Gestion des comptes administrateurs en PME : comptes séparés, LAPS, PIM et coffre d’accès

La réponse courte : dans une attaque par rançongiciel, l’objectif de l’attaquant est presque toujours le même, obtenir un compte administrateur. Avec lui, il désactive l’antivirus, supprime les sauvegardes et chiffre tout. Pour une PME, la gestion des comptes administrateurs tient en six mesures : un compte d’administration séparé du compte quotidien, peu d’administrateurs globaux et des rôles limités pour le reste, deux comptes d’accès d’urgence, la double authentification résistante au phishing sur tous les comptes à privilèges, Windows LAPS pour les mots de passe administrateur locaux des postes, et un coffre d’accès avec une revue régulière des droits. Ce guide détaille chaque mesure, côté Microsoft 365 et côté Active Directory.

Chez ALLSAFE SOLUTIONS, infogérant à Casablanca, nous appliquons ces règles chez nos clients dans le cadre de notre offre de cybersécurité des entreprises au Maroc. Les recommandations citées proviennent de la documentation Microsoft Learn (bonnes pratiques des rôles Microsoft Entra, Windows LAPS).

Pourquoi les comptes administrateurs sont la cible n° 1

Les audits que nous menons en PME révèlent souvent les mêmes situations : le dirigeant est administrateur global de Microsoft 365 avec son compte de messagerie, le prestataire précédent a laissé un compte « admin » actif, tous les postes partagent le même mot de passe administrateur local, et le mot de passe du domaine est connu de plusieurs personnes qui ont quitté l’entreprise.

Chacune de ces situations raccourcit le chemin d’un attaquant. Un clic sur une fausse page de connexion suffit si le compte piégé est administrateur. Un mot de passe administrateur local identique sur tous les postes lui permet de passer de poste en poste ; Microsoft cite précisément ce risque de déplacement latéral pour justifier Windows LAPS. Nous détaillons le déroulé typique d’une attaque dans rançongiciel : les 7 mesures pour une PME.

Mesure 1 : séparer le compte d’administration du compte quotidien

Chaque personne qui administre quelque chose a deux comptes :

• Un compte quotidien, sans aucun droit d’administration : messagerie, Teams, navigation, applications métiers.
• Un compte d’administration, nominatif (par exemple « adm-prénom »), sans boîte aux lettres, utilisé uniquement pour les consoles d’administration.

Microsoft recommande aussi d’utiliser des comptes uniquement cloud pour les rôles Microsoft Entra, et non des comptes synchronisés depuis l’Active Directory local : si l’annuaire local est compromis, il ne doit pas entraîner le cloud avec lui. Dans l’autre sens, les comptes d’administration du domaine local ne servent pas à administrer Microsoft 365.

Mesure 2 : limiter les administrateurs globaux et déléguer avec des rôles précis

Microsoft recommande d’attribuer le rôle d’administrateur général à moins de cinq personnes et de limiter les attributions de rôles à privilèges à moins de dix. Le portail Microsoft Entra affiche d’ailleurs un avertissement au-delà.

Pour le reste, on applique le principe du moindre privilège : Microsoft Entra propose de nombreux rôles intégrés, et chaque tâche a le sien.

Besoin	Rôle adapté plutôt qu’administrateur général
Créer des comptes, réinitialiser des mots de passe	Administrateur des utilisateurs ou administrateur du support
Gérer la messagerie	Administrateur Exchange
Gérer Teams et la téléphonie Teams	Administrateur Teams
Gérer les postes et smartphones	Administrateur Intune
Consulter les alertes de sécurité	Lecteur de sécurité ou opérateur de sécurité
Gérer les licences et la facturation	Administrateur de facturation, administrateur de licences

Le même principe vaut sur site : le groupe « Admins du domaine » doit être presque vide, et les techniciens du support reçoivent des droits délégués sur les unités d’organisation qu’ils gèrent, pas sur tout le domaine.

Mesure 3 : prévoir deux comptes d’accès d’urgence

Microsoft recommande deux comptes d’accès d’urgence (« bris de glace ») uniquement dans le cloud, titulaires en permanence du rôle d’administrateur général, non attribués à une personne en particulier. Ils servent quand plus personne ne peut se connecter : panne du service de double authentification, administrateurs bloqués par une règle d’accès conditionnel mal réglée, départ brutal de l’administrateur.

En pratique : des mots de passe très longs, conservés hors ligne sous le contrôle de la direction, une méthode d’authentification robuste comme une clé de sécurité physique, une exclusion documentée des règles qui pourraient les bloquer, et une alerte à chaque connexion. On vérifie régulièrement qu’ils fonctionnent, sans les utiliser au quotidien.

Mesure 4 : la double authentification résistante au phishing

Tous les comptes à privilèges ont la double authentification, sans exception, et de préférence une méthode résistante au phishing : clé de sécurité FIDO2, clé d’accès (passkey), Windows Hello Entreprise. Une notification à approuver ou un code SMS peut être relayé par une fausse page ; une clé de sécurité, non. Dans Microsoft Entra, l’accès conditionnel (licence Entra ID P1) permet d’exiger cette méthode pour les rôles d’administration et un poste conforme. Notre guide de déploiement de la MFA détaille les méthodes et leur ordre de déploiement.

Mesure 5 : Windows LAPS pour les administrateurs locaux

Windows LAPS est intégré à Windows : il gère et sauvegarde automatiquement le mot de passe d’un compte administrateur local sur chaque poste joint à Microsoft Entra ID ou à Active Directory, le renouvelle régulièrement et permet aux administrateurs autorisés de le consulter pour dépanner.

Point	Ce que dit Microsoft
Postes pris en charge	Windows 11 et versions de Windows 10 ayant reçu la mise à jour d’avril 2023, tant qu’elles reçoivent des mises à jour
Serveurs pris en charge	Windows Server 2019, 2022 et 2025 avec les mises à jour requises
Sauvegarde	Dans Microsoft Entra ID ou dans Active Directory, pas les deux
Licence	Fonction sans coût supplémentaire ; sauvegarde dans Entra ID dès la licence Entra ID Free
Contrôleurs de domaine	Gestion du mot de passe du compte de restauration (DSRM)
Ancien Microsoft LAPS	Obsolète à partir de Windows 11 23H2, à remplacer par Windows LAPS

Le déploiement se fait par Intune ou par stratégie de groupe. Nous le couvrons dans Microsoft Intune pour PME. Profitez-en pour retirer les droits d’administrateur local aux utilisateurs : c’est une des mesures les plus efficaces contre l’installation de logiciels malveillants.

Mesure 6 : PIM, coffre d’accès et revue des droits

L’élévation temporaire avec Privileged Identity Management

Avec Microsoft Entra ID P2 (ou Entra ID Governance), Privileged Identity Management rend un administrateur « éligible » à un rôle plutôt que titulaire permanent. Il active le rôle pour une durée limitée quand il en a besoin, éventuellement avec une approbation, et les droits disparaissent automatiquement ensuite. Microsoft recommande cette approche. Pour une PME sans licence P2, la séparation des comptes et la limitation des rôles apportent déjà l’essentiel.

Le coffre d’accès de l’équipe informatique

Les secrets qui ne passent pas par l’annuaire (pare-feu, commutateurs, hyperviseurs, standard téléphonique, comptes de service, portails des éditeurs) vont dans un coffre réservé à l’équipe informatique, séparé des coffres métiers, avec double authentification et journal des accès. Nous détaillons le choix de l’outil dans politique de mots de passe et gestionnaire de mots de passe. Les accès d’administration aux équipements sont eux-mêmes restreints : par exemple, l’interface d’un pare-feu n’est jamais ouverte sur internet, voir les 10 réglages de sécurité d’un FortiGate.

La revue régulière des droits

Les personnes changent de poste, les prestataires se succèdent, les droits s’accumulent. Une revue, au moins à chaque départ et à intervalle régulier, répond à trois questions : qui a quel rôle, en a-t-il encore besoin, et quels comptes n’ont pas servi depuis longtemps. Microsoft propose des revues d’accès automatisées avec Entra ID Governance ; à défaut, un export des rôles et une validation par la direction suffisent.

Et les solutions PAM dédiées ?

Les solutions de gestion des accès à privilèges (PAM) ajoutent l’enregistrement des sessions d’administration, la rotation automatique des mots de passe des comptes de service et un portail unique d’accès aux serveurs. Elles se justifient avec de nombreux serveurs, plusieurs prestataires qui interviennent ou des exigences réglementaires fortes. Pour la plupart des PME, nous commençons par les six mesures ci-dessus, qui couvrent l’essentiel du risque, avant d’envisager un tel outil. Cette démarche s’inscrit dans une approche zero trust adaptée aux PME.

Le cas des prestataires et de l’infogérant

Votre prestataire informatique détient des accès puissants : ils doivent être encadrés comme ceux de vos administrateurs internes.

• Un compte nominatif par technicien, jamais un compte « prestataire » partagé.
• Des droits limités au périmètre du contrat, avec double authentification.
• Un journal des actions consultable par vous.
• La possibilité de couper l’accès à tout moment, et une liste à jour des comptes du prestataire.
• Les comptes d’urgence sous le contrôle de la direction, pas du seul prestataire.

Ce sont exactement les points que nous recommandons de vérifier dans un contrat d’infogérance.

Les erreurs que nous corrigeons le plus souvent

1. Le dirigeant administrateur global avec son compte de messagerie quotidien.
2. Un compte « admin@ » partagé par plusieurs personnes, sans double authentification.
3. Le même mot de passe administrateur local sur tous les postes, souvent depuis l’installation initiale.
4. Des utilisateurs administrateurs de leur poste « pour installer des logiciels ».
5. Des comptes d’anciens salariés ou prestataires encore titulaires de rôles.
6. Aucun compte d’urgence, ou un compte d’urgence protégé par le téléphone d’un salarié parti.

Checklist

• Compte d’administration séparé pour chaque administrateur, sans messagerie.
• Moins de cinq administrateurs globaux, rôles délégués pour le reste.
• Deux comptes d’accès d’urgence cloud, testés, sous contrôle de la direction, avec alerte de connexion.
• Double authentification résistante au phishing sur tous les comptes à privilèges.
• Windows LAPS déployé, droits d’administrateur local retirés aux utilisateurs.
• Groupe « Admins du domaine » réduit au minimum.
• Coffre d’accès de l’équipe informatique avec journal.
• Revue des droits à chaque départ et à intervalle régulier.

Comment nous procédons

Nous commençons par un audit initial offert de vos comptes à privilèges : rôles Microsoft 365 et Entra ID, groupes d’administration Active Directory, administrateurs locaux, comptes des équipements et des prestataires. Nous corrigeons ensuite par ordre de risque : séparation des comptes, comptes d’urgence, double authentification, LAPS, coffre d’accès. Les connexions des comptes à privilèges sont surveillées par notre équipe de supervision 24/7, et un incident critique est pris en charge en moins de 15 minutes, dans le cadre de notre infogérance au Maroc.

En tant que partenaire Microsoft, nous configurons Microsoft Entra ID, l’accès conditionnel, Intune et Windows LAPS. Demandez votre audit initial offert : nous vous répondons sous 24 h ouvrées.