Microsoft Entra novembre 2025 : sécurité et gouvernance

Introduction : pourquoi c’est important

Les mises à jour Microsoft Entra de novembre 2025 renforcent un thème clair : la sécurité des identités doit s’étendre aux agents IA, à l’authentification moderne et à des surfaces de connexion plus sûres. Pour les administrateurs IT, le mois apporte de nouvelles previews pour gouverner les agents et protéger les applications GenAI, tout en introduisant un durcissement de la sécurité et des changements de cycle de vie/API susceptibles d’impacter les workflows existants.

Nouveautés (points clés)

Identité à l’ère de l’IA & gouvernance des agents

• Microsoft Entra Agent ID (Public Preview) : nouvelles capacités pour gérer, gouverner et protéger les agents IA dans le cadre du Agent 365 control plane.
• Security Copilot inclus dans Microsoft 365 E5 : élargit l’accès aux expériences Copilot dans Entra et aux nouveaux agents Entra, rendant l’assistance de sécurité avancée disponible pour davantage d’administrateurs.
• Entra Suite Prompt Shield (Public Preview) : aide à protéger les applications GenAI d’entreprise contre les attaques par injection de prompt.
• Passkeys synchronisées + récupération de compte en libre-service (Public Preview) : améliore l’adoption d’une authentification résistante au phishing avec des options de récupération plus larges, sur plusieurs méthodes d’authentification.

Microsoft Entra ID : changements de sécurité et d’expérience d’administration

• Bloquer l’injection de scripts externes lors de la connexion Entra ID (Action may be required) : Entra ID a déployé une Content Security Policy (CSP) plus stricte sur login.microsoftonline.com afin d’empêcher l’exécution de scripts non autorisés et de réduire le risque XSS.
• Détection Jailbreak/Root dans Microsoft Authenticator (Action may be required) : à partir de février 2026, Authenticator désactivera et effacera les Entra credentials sur les appareils jailbreakés/rootés (iOS et Android). Aucune configuration administrateur n’est requise.
• Remplacer « Revoke MFA sessions » par « Revoke sessions » (Action may be required) : à partir de février 2026, l’action du portail invalidera toutes les sessions utilisateur (y compris MFA), en alignant le comportement entre Conditional Access et MFA par utilisateur.

Mises à jour Governance, External ID et accès réseau

Entra ID Governance

• Nouvelles capacités incluant la conversion d’utilisateurs externes en membres internes, le connecteur SCIM 2.0 SAP CIS (avec provisioning de groupes), les adhésions/propriétés de groupes éligibles dans Entitlement Management, et des améliorations de Lifecycle Workflows (retraitement des échecs, prise en charge des sensitivity labels, déclencheurs pour employés/invités inactifs).
• Dépréciation de l’API PIM (Action may be required) : l’Iteration 2 (beta) PIM API cessera de renvoyer des données le 28 octobre 2026. Une migration vers les API Iteration 3 (GA) est recommandée.

Entra External ID

• Extension régionale vers l’Australie et le Japon, ainsi qu’une configuration simplifiée d’Azure Monitor/Sentinel pour les tenants externes et des intégrations supplémentaires anti-fraude/WAF.

Global Secure Access

• Nouvelles intégrations telles que GSA + Netskope ATP/DLP et Internet Access TLS Inspection.

Impact pour les administrateurs IT

• Anticipez des besoins de tests de compatibilité des flux de connexion en raison du durcissement CSP (en particulier si des extensions ou outils injectent des scripts).
• Préparez-vous aux changements de comportement d’Authenticator sur les appareils compromis et à d’éventuels tickets de support lorsque des utilisateurs sont bloqués.
• Mettez à jour les runbooks opérationnels pour la révocation de session afin d’éviter toute mauvaise interprétation du nouveau comportement « Revoke sessions ».
• Démarrez des efforts de modernisation des API si vous dépendez des endpoints PIM iteration 2.

Prochaines étapes recommandées

1. Tester les flux de connexion sur les navigateurs et endpoints gérés ; supprimer/remplacer tout outil injectant des scripts dans les pages de connexion Entra.
2. Informer les utilisateurs finaux avant février 2026 au sujet de la détection jailbreak/root d’Authenticator et des mesures de remédiation requises.
3. Mettre à jour la documentation helpdesk/admin pour utiliser Revoke sessions et documenter son impact plus large.
4. Démarrer la planification de migration des API PIM dès maintenant ; arrêter tout nouveau développement sur les API iteration 2 et valider la compatibilité avec iteration 3.
5. Évaluer les previews (Agent ID, Prompt Shield, récupération via passkeys) dans un pilote contrôlé afin d’évaluer l’adéquation en matière de gouvernance et de sécurité.