Concrètement Pascal Sauliere | @psauliere

Une introduction à Azure AD Privileged Identity Management (PIM) Philippe Beraud, @philberd Azure AD Privileged Identity Management: Security Wizard, Alerts, Reviews & more! https://blogs.technet.microsoft.com/ad/2015/08/27/azure-ad-privileged-identity-management-security- wizard-alerts-reviews-more/

Azure Active Directory Privileged Identity Management Lync 2014 3/13/2018 Azure Active Directory Privileged Identity Management Version préliminaire publique Fonctionnalité Azure AD Premium dans le portail Azure portal L’exigence d’une licence Azure AD Premium est appliquée pour les administrateurs globaux (GA) L’administrateur global activant PIM doit disposer d’une licence Azure AD Premium L’abonnement d’essai de 30 jours pour Azure AD Premium peut être utilisé à des fins de tests Permet de gérer, de contrôler et de surveiller vos identités privilégiées et leur accès aux ressources Montre quels utilisateurs disposent de rôles privilégiés dans Azure AD et d’autres services en ligne MS comme Office 365 ou Microsoft Intune Restreint au travers du JIT (Just-In-Time) le temps pendant lequel les utilisateurs détiennent des privilèges comme administrateurs temporaires Ajoute la surveillance et le suivi des activations d’administration Seulement les rôles Azure AD, Office 365 et Microsoft Intune à ce stade La version préliminaire n’offre pas la gestion des identités privilégiées pour Azure © 2014 Microsoft Corporation. All rights reserved. Microsoft, Windows, and other product names are or may be registered trademarks and/or trademarks in the U.S. and/or other countries. The information herein is for informational purposes only and represents the current view of Microsoft Corporation as of the date of this presentation. Because Microsoft must respond to changing market conditions, it should not be interpreted to be a commitment on the part of Microsoft, and Microsoft cannot guarantee the accuracy of any information provided after the date of this presentation. MICROSOFT MAKES NO WARRANTIES, EXPRESS, IMPLIED OR STATUTORY, AS TO THE INFORMATION IN THIS PRESENTATION.

Configuration de PIM Configuration au travers du portail Azure Lync 2014 3/13/2018 Configuration de PIM Configuration au travers du portail Azure Utilisation de la Marketplace Security + Identity > "Azure AD Privileged Identity Management" L’administrateur qui active PIM est ajouté au rôle Administrateur de sécurité (SA) Seuls les administrateurs de sécurité peuvent modifier les paramètres des rôles © 2014 Microsoft Corporation. All rights reserved. Microsoft, Windows, and other product names are or may be registered trademarks and/or trademarks in the U.S. and/or other countries. The information herein is for informational purposes only and represents the current view of Microsoft Corporation as of the date of this presentation. Because Microsoft must respond to changing market conditions, it should not be interpreted to be a commitment on the part of Microsoft, and Microsoft cannot guarantee the accuracy of any information provided after the date of this presentation. MICROSOFT MAKES NO WARRANTIES, EXPRESS, IMPLIED OR STATUTORY, AS TO THE INFORMATION IN THIS PRESENTATION.

Assistant de sécurité Améliorer en continu le niveau de sécurité Lync 2014 3/13/2018 Assistant de sécurité Améliorer en continu le niveau de sécurité Découverte Tous les utilisateurs dans tous les rôles pris en charge se font découvrir Sécurisation des rôles L’administrateur qui active PIM Demeure un administrateur global (GA) permanent Est le premier administrateur sécurité (SA) temporaire actif Options globales : Les laisser comme permanents vs. Les designer comme temporaires Options par rôle utilisateur : Laisser comme permanent, Définir comme temporaire, Destituer l’utilisateur du rôle Paramètres pour les administrateurs temporaires Période d’activation (0,5 – 72 heures) Notification des administrateurs si leur(s) rôle(s) devien(nen)t actif(s) afin d’aider à la détection des activations non-autorisées Authentification multifacteur © 2014 Microsoft Corporation. All rights reserved. Microsoft, Windows, and other product names are or may be registered trademarks and/or trademarks in the U.S. and/or other countries. The information herein is for informational purposes only and represents the current view of Microsoft Corporation as of the date of this presentation. Because Microsoft must respond to changing market conditions, it should not be interpreted to be a commitment on the part of Microsoft, and Microsoft cannot guarantee the accuracy of any information provided after the date of this presentation. MICROSOFT MAKES NO WARRANTIES, EXPRESS, IMPLIED OR STATUTORY, AS TO THE INFORMATION IN THIS PRESENTATION.

Lync 2014 3/13/2018 Une fois PIM activé https://portal.azure.com/#blade/Microsoft_Azure_PIM/RoleSelectionBlade Lame PIM pour un administrateur de la sécurité Donne l’accès à la lame Gérer les identités Permet l’activation pour soi-même et d’autres Lame PIM pour un non-administrateur de la sécurité Le nœud Gérer les identités n’est pas présent L’administrateur global (GA) ne peut pas gérer les paramètres PIM ainsi que l’appartenance aux rôles Seuls les rôles dont l’utilisateur est membre sont présents L’utilisateur peut simplement auto-active et désactiver l’appartenance existante à un rôle © 2014 Microsoft Corporation. All rights reserved. Microsoft, Windows, and other product names are or may be registered trademarks and/or trademarks in the U.S. and/or other countries. The information herein is for informational purposes only and represents the current view of Microsoft Corporation as of the date of this presentation. Because Microsoft must respond to changing market conditions, it should not be interpreted to be a commitment on the part of Microsoft, and Microsoft cannot guarantee the accuracy of any information provided after the date of this presentation. MICROSOFT MAKES NO WARRANTIES, EXPRESS, IMPLIED OR STATUTORY, AS TO THE INFORMATION IN THIS PRESENTATION.

Lync 2014 3/13/2018 Activation de rôle Les administrateurs activent leur rôles au travers du portail Azure (ou en PowerShell) Le champs Justification est obligatoire Non utilisé actuellement pour quoi que ce soit, sauf l’audit L'utilisation potentielle pour les workflows d'autorisation dans le futur n’est pas à exclure… Le champs Numéro de ticket peut être obligatoire si configuré dans les paramètres du rôle Désactivation Peut être déclenchée manuellement (ou par script) une fois les taches d’administration réalisées Déclenchée automatiquement à l’expiration du rôle © 2014 Microsoft Corporation. All rights reserved. Microsoft, Windows, and other product names are or may be registered trademarks and/or trademarks in the U.S. and/or other countries. The information herein is for informational purposes only and represents the current view of Microsoft Corporation as of the date of this presentation. Because Microsoft must respond to changing market conditions, it should not be interpreted to be a commitment on the part of Microsoft, and Microsoft cannot guarantee the accuracy of any information provided after the date of this presentation. MICROSOFT MAKES NO WARRANTIES, EXPRESS, IMPLIED OR STATUTORY, AS TO THE INFORMATION IN THIS PRESENTATION.

Démo Azure Active Directory Privileged Identity Management (PIM) Lync 2014 3/13/2018 Azure Active Directory Privileged Identity Management (PIM) Démo https://portal.azure.com/#blade/Microsoft_Azure_PIM/RoleSelectionBlade Premiers pas avec Azure AD Privileged Identity Management : https://azure.microsoft.com/fr- fr/documentation/articles/active-directory-privileged-identity-management-getting-started/ © 2014 Microsoft Corporation. All rights reserved. Microsoft, Windows, and other product names are or may be registered trademarks and/or trademarks in the U.S. and/or other countries. The information herein is for informational purposes only and represents the current view of Microsoft Corporation as of the date of this presentation. Because Microsoft must respond to changing market conditions, it should not be interpreted to be a commitment on the part of Microsoft, and Microsoft cannot guarantee the accuracy of any information provided after the date of this presentation. MICROSOFT MAKES NO WARRANTIES, EXPRESS, IMPLIED OR STATUTORY, AS TO THE INFORMATION IN THIS PRESENTATION.

Options PIM par rôle Durée pendant laquelle le rôle peut être actif Lync 2014 3/13/2018 Options PIM par rôle Durée pendant laquelle le rôle peut être actif De 30 minutes à 72 heures Mèls de notification vers les administrateurs pour l’activation de leur rôle Information de ticket exigée pour activer L’utilisateur doit préciser un numéro de ticket afin de pouvoir active le rôle Vérification de l’identité par une authentification multifacteur exigée avant l’activation © 2014 Microsoft Corporation. All rights reserved. Microsoft, Windows, and other product names are or may be registered trademarks and/or trademarks in the U.S. and/or other countries. The information herein is for informational purposes only and represents the current view of Microsoft Corporation as of the date of this presentation. Because Microsoft must respond to changing market conditions, it should not be interpreted to be a commitment on the part of Microsoft, and Microsoft cannot guarantee the accuracy of any information provided after the date of this presentation. MICROSOFT MAKES NO WARRANTIES, EXPRESS, IMPLIED OR STATUTORY, AS TO THE INFORMATION IN THIS PRESENTATION.

Gestion des identités Assignation des rôles Lync 2014 3/13/2018 Gestion des identités Assignation des rôles Suivi des alertes et des rapports d’activité Revues de sécurité © 2014 Microsoft Corporation. All rights reserved. Microsoft, Windows, and other product names are or may be registered trademarks and/or trademarks in the U.S. and/or other countries. The information herein is for informational purposes only and represents the current view of Microsoft Corporation as of the date of this presentation. Because Microsoft must respond to changing market conditions, it should not be interpreted to be a commitment on the part of Microsoft, and Microsoft cannot guarantee the accuracy of any information provided after the date of this presentation. MICROSOFT MAKES NO WARRANTIES, EXPRESS, IMPLIED OR STATUTORY, AS TO THE INFORMATION IN THIS PRESENTATION.

Assignation de rôles Fait de l’utilisateur un candidat pour le rôle Lync 2014 3/13/2018 Assignation de rôles Fait de l’utilisateur un candidat pour le rôle Permanent vs. temporaire Permet d’assigner des rôles Azure AD, Office 365 et Microsoft Intune Rôles organisationnels Azure AD Rôles Annuaire Azure AD Rôles d’administration Office 365 Rôles d’administration Microsoft Intune © 2014 Microsoft Corporation. All rights reserved. Microsoft, Windows, and other product names are or may be registered trademarks and/or trademarks in the U.S. and/or other countries. The information herein is for informational purposes only and represents the current view of Microsoft Corporation as of the date of this presentation. Because Microsoft must respond to changing market conditions, it should not be interpreted to be a commitment on the part of Microsoft, and Microsoft cannot guarantee the accuracy of any information provided after the date of this presentation. MICROSOFT MAKES NO WARRANTIES, EXPRESS, IMPLIED OR STATUTORY, AS TO THE INFORMATION IN THIS PRESENTATION.

Alertes et rapports d’activité Lync 2014 3/13/2018 Alertes et rapports d’activité Alertes de sécurité Alertes sur de potentielles activités suspectes Recommandations en matière Rapport Administrateur Liste les administrateurs courants pour chaque rôle Historique d’audit Audits à la fois pour la gestion des rôles et l’activation des rôles pour une période temporelle donnée © 2014 Microsoft Corporation. All rights reserved. Microsoft, Windows, and other product names are or may be registered trademarks and/or trademarks in the U.S. and/or other countries. The information herein is for informational purposes only and represents the current view of Microsoft Corporation as of the date of this presentation. Because Microsoft must respond to changing market conditions, it should not be interpreted to be a commitment on the part of Microsoft, and Microsoft cannot guarantee the accuracy of any information provided after the date of this presentation. MICROSOFT MAKES NO WARRANTIES, EXPRESS, IMPLIED OR STATUTORY, AS TO THE INFORMATION IN THIS PRESENTATION.

Lync 2014 3/13/2018 Revues de sécurité Préciser une période de temps afin d’examiner les détenteurs d’un rôle particulier Comme l’usage de services cloud augmente, il en fait de même fait avec leur surface d'attaque en ajoutant toujours plus d'utilisateurs à des rôles très privilégiés. Ces utilisateurs sont souvent laissés dans ces rôles, même si de tels privilèges ne sont plus nécessaires… Prouver que seuls employé(e)s approprié(e)s sont affecté(e)s à un rôle Découvre quels utilisateurs sont affectés à un rôle dans Azure AD Peut demander aux membres du rôle de déclarer s’ils ont besoin de rester membre ou non Responsables de la revue Soi-même ou auto-revue par les membres du rôle Achever une revue Se termine à la date spécifiée Peut être close plus tôt © 2014 Microsoft Corporation. All rights reserved. Microsoft, Windows, and other product names are or may be registered trademarks and/or trademarks in the U.S. and/or other countries. The information herein is for informational purposes only and represents the current view of Microsoft Corporation as of the date of this presentation. Because Microsoft must respond to changing market conditions, it should not be interpreted to be a commitment on the part of Microsoft, and Microsoft cannot guarantee the accuracy of any information provided after the date of this presentation. MICROSOFT MAKES NO WARRANTIES, EXPRESS, IMPLIED OR STATUTORY, AS TO THE INFORMATION IN THIS PRESENTATION.

Module PowerShell Azure AD PIM Lync 2014 3/13/2018 Module PowerShell Azure AD PIM Activation et désactivation des rôles Connect-PimService Show-PimServiceConnection Get-PrivilegedRoleAssignment Enable-PrivilegedRoleAssignment Disable-PrivilegedRoleAssignement Disconnect-PimService Installé depuis https://www.powershellgallery.com/packages/Microsoft.Azure.ActiveDirectory.PIM.PSModule/ Inspection PS> mkdir 'C:\Program Files\AAD-PIM' PS> Save-Module -Name Microsoft.Azure.ActiveDirectory.PIM.PSModule -Path 'C:\Program Files\AAD-PIM'   Installation PS> Install-Module -Name Microsoft.Azure.ActiveDirectory.PIM.PSModule © 2014 Microsoft Corporation. All rights reserved. Microsoft, Windows, and other product names are or may be registered trademarks and/or trademarks in the U.S. and/or other countries. The information herein is for informational purposes only and represents the current view of Microsoft Corporation as of the date of this presentation. Because Microsoft must respond to changing market conditions, it should not be interpreted to be a commitment on the part of Microsoft, and Microsoft cannot guarantee the accuracy of any information provided after the date of this presentation. MICROSOFT MAKES NO WARRANTIES, EXPRESS, IMPLIED OR STATUTORY, AS TO THE INFORMATION IN THIS PRESENTATION.

Démo Utilisation du Module PowerShell Azure AD PIM Lync 2014 3/13/2018 © 2014 Microsoft Corporation. All rights reserved. Microsoft, Windows, and other product names are or may be registered trademarks and/or trademarks in the U.S. and/or other countries. The information herein is for informational purposes only and represents the current view of Microsoft Corporation as of the date of this presentation. Because Microsoft must respond to changing market conditions, it should not be interpreted to be a commitment on the part of Microsoft, and Microsoft cannot guarantee the accuracy of any information provided after the date of this presentation. MICROSOFT MAKES NO WARRANTIES, EXPRESS, IMPLIED OR STATUTORY, AS TO THE INFORMATION IN THIS PRESENTATION.

3/13/2018 8:05 PM Pour aller plus loin Documentation Azure AD Privileged Identity Management https://azure.microsoft.com/fr-fr/documentation/articles/active-directory-privileged-identity-management-configure/ Chaîne Azure AD + Identité https://channel9.msdn.com/Series/Azure-Active-Directory-Videos-Demos/Azure-AD-Privileged-Identity-Management https://azure.microsoft.com/fr-fr/pricing/free-trial/ Essayez Azure AD Privileged Identity Management >

Concrètement Pascal Sauliere | @psauliere