Microsoft Entra Account Discovery comble les failles de visibilité sur les identités

Introduction

La gouvernance des identités n’est efficace que lorsque les administrateurs peuvent voir qui a déjà accès. Microsoft répond à ce problème avec Account Discovery dans Microsoft Entra ID Governance, une nouvelle fonctionnalité en préversion publique conçue pour faire remonter les comptes existants dans les applications SaaS connectées et sur site.

C’est important, car de nombreuses applications ont été déployées bien avant l’activation des contrôles modernes de gouvernance. En conséquence, les organisations héritent souvent d’accès non gérés, de comptes orphelins et d’attributions directes d’applications qui échappent à Conditional Access, aux revues d’accès et aux politiques de cycle de vie.

Nouveautés

Account Discovery se connecte à une application cible, récupère les comptes utilisateurs et leurs propriétés, puis les compare aux identités dans Microsoft Entra à l’aide d’attributs de correspondance configurables tels que :

• User principal name
• Adresse e-mail

Il vérifie ensuite si les utilisateurs correspondants sont déjà attribués à l’application d’entreprise dans Entra et génère un rapport de découverte avec trois classifications :

• Correspondants et attribués : les utilisateurs existent dans Entra et sont déjà attribués à l’application
• Correspondants mais non attribués : les utilisateurs existent dans Entra, mais l’accès a été accordé directement dans l’application
• Comptes orphelins ou locaux : aucune identité Entra correspondante n’existe pour le compte de l’application

Cela donne aux équipes IT une base rapide pour comprendre quels comptes sont déjà gouvernés et lesquels nécessitent une remédiation.

Pourquoi c’est important pour les administrateurs

Pour les équipes identité et sécurité, le principal avantage est la visibilité avant l’application des politiques. Lors de l’intégration d’une application, les administrateurs peuvent utiliser Account Discovery pour trouver les utilisateurs qui disposent déjà d’un accès via des processus hérités, un provisioning manuel ou une inscription directe.

L’exemple de Microsoft utilise Salesforce, où la découverte peut révéler :

• Des employés avec des identités valides mais sans attribution d’application Entra
• Des comptes locaux ou orphelins qui peuvent nécessiter une suppression ou une enquête
• Des comptes de service et de test nécessitant un examen distinct

Une fois identifiés, les administrateurs peuvent intégrer les utilisateurs légitimes dans des packages d’accès Entitlement Management et appliquer des approbations, des règles d’expiration et des revues d’accès récurrentes. Ils peuvent également enquêter sur les comptes locaux susceptibles de contourner MFA et Conditional Access.

Gouvernance continue et prochaines étapes

Account Discovery ne sert pas uniquement à l’intégration initiale. Microsoft le présente comme un point de contrôle continu de la gouvernance pour détecter les écarts au fil du temps, par exemple :

• De nouveaux comptes locaux créés en dehors des workflows approuvés
• Des cas de départ non traités
• Des comptes temporaires de prestataires ou de test qui restent actifs plus longtemps que prévu

Ce que les équipes IT doivent faire maintenant

• Examiner quelles applications d’entreprise disposent d’un accès hérité ou géré manuellement
• Exécuter Account Discovery lors de l’intégration des applications nouvellement gouvernées
• Utiliser les résultats pour intégrer les utilisateurs dans les workflows de gouvernance Entra
• Enquêter sur les comptes orphelins, de service et locaux, puis les corriger
• Planifier des revues de découverte périodiques pour détecter les dérives d’accès

Disponibilité

Account Discovery est disponible en préversion publique pour les organisations disposant des licences suivantes :

• Microsoft Entra ID Governance
• Microsoft Entra Suite
• Microsoft E7

La fonctionnalité est accessible via le Microsoft Entra admin center et les Microsoft Graph APIs.