Analyseur de Conditional Access Entra ID
Collez des politiques Conditional Access exportées pour vérifier le MFA admin manquant, l’authentification héritée non bloquée et les portées trop larges.
S’exécute dans votre navigateur · rien n’est envoyéEntra IDNouveau
Tout s’exécute dans votre navigateur. Rien n’est envoyé, y compris les ID de groupe, les ID de rôle et les noms de politique de votre export.
Mode d’emploi
- Dans Graph Explorer (ou un script), exécutez une requête GET vers "https://graph.microsoft.com/v1.0/identity/conditionalAccess/policies".
- Copiez la réponse JSON.
- Collez-la dans l’outil.
- Examinez les résultats et le tableau des politiques, puis exportez le rapport si besoin.
Cas courants
Exportez toutes les politiques et vérifiez que le MFA admin et un blocage de l’authentification héritée sont réellement en place et appliqués, pas seulement configurés en mode rapport uniquement.
Collez une politique en brouillon pour confirmer qu’elle exclut un compte d’urgence avant de la faire passer de rapport uniquement à activée.
Explication
Collez la sortie JSON de "GET /identity/conditionalAccess/policies" de l’API Microsoft Graph (par exemple depuis Graph Explorer, ou un script utilisant le module PowerShell Microsoft.Graph), et l’outil vérifie l’ensemble des politiques à la recherche de lacunes courantes : aucune politique n’exigeant l’authentification multifacteur pour les administrateurs, des protocoles d’authentification héritée laissés non bloqués, des politiques sans aucun contrôle d’octroi ni de session, et une politique ciblant « Tous les utilisateurs » sans aucune exclusion, ce qui risque de bloquer tout le monde (y compris les administrateurs) en cas de problème. L’outil signale aussi les politiques désactivées, en mode rapport uniquement, et les doublons exacts. Tout s’exécute localement ; les ID de groupe, les ID de rôle et les noms de politique ne quittent jamais votre navigateur.
🔒 Votre saisie reste dans votre navigateur et n’est envoyée nulle part.
Questions fréquentes
Cela se connecte-t-il à mon tenant ?
Non. Aucun identifiant ni appel API. Vous exportez vous-même les politiques, par exemple avec Graph Explorer ou le module PowerShell Microsoft.Graph, et collez le JSON ici.
Comment l’outil détermine-t-il si une politique couvre les administrateurs ?
Il recherche une politique incluant un rôle d’annuaire privilégié connu (comme Administrateur général, via son ID de modèle de rôle, identique sur tous les tenants) ou la valeur de rôle « All », ciblant toutes les applications, activée, et exigeant le MFA. Une politique visant seulement des applications spécifiques ou un groupe plutôt qu’un rôle ne satisfera pas cette vérification, même si elle couvre effectivement les mêmes administrateurs.
Pourquoi une politique « tous les utilisateurs, sans exclusion » est-elle signalée même si elle semble correcte ?
C’est un avertissement de bonne pratique, pas forcément une mauvaise configuration. Microsoft recommande d’exclure au moins un compte d’urgence (« break-glass ») des politiques larges, pour qu’une erreur dans la politique, une panne d’un contrôle requis (comme un fournisseur MFA), ou une correspondance de condition inattendue ne bloque pas tous les comptes à la fois.
Cela simule-t-il ce qui se passerait pour un utilisateur ou une connexion spécifique ?
Non, cette version vérifie l’ensemble des politiques lui-même à la recherche de lacunes et de risques structurels. Elle n’évalue pas une connexion hypothétique par rapport aux appartenances de groupe, à l’état de l’appareil ou aux scores de risque comme le ferait le vrai moteur Conditional Access.
Et ensuite ?
Un problème ou une suggestion ? Dites-le-nous