Accès conditionnel géographique
Bloquez les connexions à Microsoft 365 depuis les pays où un client ne travaille pas, ouvrez un pays pour un voyageur seulement pour la durée de son voyage et gardez les comptes de secours à l’abri de tout blocage.
À quoi sert la page
Le Geo Conditional Access Manager est une section de la page Microsoft 365 de la console Lavawall®. Lavawall est la plateforme de RMM, de sécurité et de conformité de ThreeShield, conçue et hébergée au Canada.
La plupart des entreprises se connectent depuis quelques pays seulement. Cette section propose ces pays à partir des connexions réussies du client au cours des 90 derniers jours, puis met en place et maintient une politique d’accès conditionnel Microsoft Entra qui bloque les connexions provenant de partout ailleurs. Les connexions échouées sont exclues, de sorte que les tentatives d’un attaquant ne rendent jamais son pays « normal ».
Lorsqu’une personne voyage, vous ajoutez son voyage. Les pays du voyage s’ouvrent pour cette personne seulement, de son premier jour à son dernier, grâce à une politique qui lui est propre. Les comptes de secours que vous choisissez ne sont jamais bloqués par aucune de ces politiques.
Lavawall maintient les politiques telles que vous les avez configurées ici. Si quelqu’un les modifie ou les supprime dans le centre d’administration Microsoft Entra, Lavawall les rétablit la prochaine fois qu’il applique vos paramètres.
Ce que vous voyez
- Enforcement (application) : le Mode (Désactivé, Report only ou Enforce) et les interrupteurs Block unknown countries et Block Tor exit nodes.
- L’état d’application (Applied, Applying to the tenant, Partly applied ou Not applied, avec la raison), le moment de la dernière application des paramètres et Apply now.
- Break-glass accounts (comptes de secours) : des comptes d’urgence qui ne sont jamais bloqués, avec Add account et un bouton de retrait pour chacun.
- Allowed countries (baseline) (pays autorisés) : les pays depuis lesquels les connexions sont permises, avec Add country et Analyze sign-ins.
- Travel exceptions (exceptions de voyage) : les voyages actifs et planifiés avec leurs pays, leurs dates, leur état et la mention indiquant si la politique propre au voyageur est prête, un filtre, des colonnes triables et Schedule travel.
- In the tenant (dans le locataire) : l’emplacement des pays autorisés et les politiques de blocage que Lavawall maintient dans Microsoft 365.
- Audit log (journal d’audit) : chaque modification, son auteur et le moment où elle a été faite.
Comment configurer le blocage par pays
- Ouvrez la page Microsoft 365 du client, développez Investigate & manage et repérez Geo Conditional Access Manager.
- Si un encadré Write access required s’affiche, cliquez sur Re-authorize read and write et accordez le consentement en tant qu’administrateur Microsoft 365, puis cliquez sur Test permissions.
- Sous Allowed countries (baseline), cliquez sur Analyze sign-ins. Passez en revue les pays proposés. Les personnes qui se sont connectées depuis d’autres pays sont énumérées en dessous : cochez celles qui travaillent réellement depuis ces pays pour leur accorder une exception de voyage permanente, et examinez tout ce que vous ne reconnaissez pas. Cliquez sur Save as baseline.
- Sous Break-glass accounts, cliquez sur Add account, choisissez un compte d’urgence et cliquez sur Ajouter. Ajoutez-en un deuxième si vous en avez un.
- Sous Enforcement, choisissez Report only. En une minute environ, l’état passe à Applied.
- Vérifiez les résultats du mode rapport seulement dans les journaux de connexion de Microsoft Entra. Lorsqu’ils vous conviennent, choisissez Enforce et confirmez.
Comment ajouter un voyage
- Sous Travel exceptions, cliquez sur Schedule travel.
- Choisissez les voyageurs dans Travellers et les pays dans Countries.
- Définissez le First day et le Last day. Les jours sont exprimés dans votre propre fuseau horaire.
- Ajoutez un Motif si vous le souhaitez, puis cliquez sur Schedule.
- Au début du voyage, la colonne Policy passe à Ready. Les pays se referment après le dernier jour.
Comment mettre fin à un voyage plus tôt
- Repérez le voyage sous Travel exceptions.
- Cliquez sur son bouton de fin et confirmez avec End now.
Comment désactiver le blocage
- Sous Enforcement, choisissez Désactivé et confirmez.
- Lavawall désactive les politiques de blocage dans le locataire et supprime les politiques des voyageurs. Vos paramètres de pays de référence, de voyage et de comptes de secours sont conservés.
Conseils
- Utilisez comme comptes de secours des comptes d’urgence dédiés, uniquement infonuagiques, protégez-les par une connexion résistante à l’hameçonnage, gardez leurs identifiants hors ligne et déclenchez une alerte à chaque connexion.
- Enforce n’est pas offert tant qu’au moins un compte de secours n’est pas défini, et Lavawall maintient la politique en mode rapport seulement jusqu’à ce qu’il en existe un dans le locataire et qu’il soit activé.
- Privilégiez un voyage pour les personnes qui se déplacent plutôt que Everyone in the tenant. Ouvrir un pays à tout le monde l’ouvre aussi à quiconque utilise un mot de passe volé.
- Jusqu’à 40 personnes peuvent avoir un voyage en même temps, car chacune utilise sa propre politique d’accès conditionnel.
- Les mandataires anonymes et les RPV ne peuvent pas être bloqués de façon fiable au moyen d’une liste. Les locataires dotés de Microsoft Entra ID P2 peuvent les bloquer avec une politique fondée sur le risque de connexion.
- Faites vos modifications ici, et non dans le centre d’administration Microsoft Entra. Les modifications apportées à ces politiques à cet endroit sont annulées.
Dépannage
- « Write access required. »
- Lavawall n’a pas reçu l’autorisation de modifier l’accès conditionnel dans ce locataire. Cliquez sur Re-authorize read and write et accordez le consentement en tant qu’administrateur Microsoft 365.
- « Policy.Read.All is missing. »
- Microsoft exige aussi cette autorisation avant que des politiques puissent être créées. Cliquez sur Re-authorize read and write.
- « Security defaults are on in this tenant. »
- L’accès conditionnel ne peut pas être utilisé lorsque les paramètres de sécurité par défaut sont activés. Désactivez-les dans le centre d’administration Microsoft Entra une fois en place les politiques dont vous avez besoin.
- « This tenant needs Microsoft Entra ID P1 or higher. »
- L’accès conditionnel fait partie d’Entra ID P1, qui est inclus dans Microsoft 365 Business Premium.
- Le Policy d’un voyage affiche Erreur.
- La politique propre au voyageur n’a pas pu être créée; il reste donc bloqué en dehors des pays autorisés. La raison est indiquée sous le badge. Corrigez le problème, puis cliquez sur Apply now.
- « Your role cannot change Conditional Access settings. »
- Demandez à un Super Admin, un Admin ou un MSP Client Admin d’effectuer la modification.
Articles connexes
Besoin d’aide?
Consultez le centre de soutien ou communiquez avec notre équipe de soutien en nous indiquant la page où vous vous trouviez :
- Clavardage : utilisez le bouton de clavardage dans le coin inférieur droit de cette page pour joindre notre équipe immédiatement. Lorsque le consentement aux témoins est requis, le clavardage démarre après votre acceptation (paramètres des témoins).
- Courriel : envoyez un message à notre équipe de soutien par la page Nous joindre. Il est lu directement par une personne.
- Téléphone : AB : 1-403-538-5053, C.-B. : 1-778-731-1339, ON : 1-289-724-8829, É.-U. : 1-406-988-7333, R.-U. : +44 20 3695 9786.
Les noms, entreprises, appareils et chiffres figurant dans les images sont des exemples. Les autres noms de produits et d’entreprises sont des marques de commerce de leurs propriétaires respectifs.