Managed Entra
Mille fois par jour, Entra ID décide qui a accès à votre tenant. Les règles qui gouvernent ces décisions ont été configurées dans le portail il y a des années, par quelqu'un qui travaille ailleurs aujourd'hui. Nous exploitons ces règles en tant que code : documentées, surveillées, et vous savez à l'avance ce qui change.
Le château n'a plus de murailles
Pendant deux décennies, une règle simple prévalait : qui est sur le réseau d'entreprise en fait partie. Trois évolutions ont sapé cette logique.
- 1Le travail a déménagéLes données sont chez Microsoft, les collaborateurs travaillent dans le train, chez eux ou chez le client. Les murailles protègent toujours le bâtiment. Seulement, plus personne n'y travaille.
- 2Chaque mot de passe est une porte dans la murailleQui peut se connecter est à l'intérieur. Le réseau ne peut pas savoir si c'est votre comptable qui se trouve derrière le login, ou quelqu'un qui a acheté son mot de passe pour quelques dollars.
- 3Les attaquants n'entrent pas par effraction. Ils se connectent.Les identifiants volés sont aujourd'hui un produit avec tarif et service après-vente. 97 % des attaques sur les identités ciblent les mots de passe. Pour le pare-feu, ça ressemble à un mardi matin parfaitement ordinaire : quelqu'un se connecte.
L'identité est le nouveau périmètre. Et il ne se trouve pas à la grille d'entrée, mais dans votre tenant.
Les effectifs invisibles
Ce qui est visible, c'est ce que contient le système RH : des personnes avec un dossier, une entrée, une mobilité, une sortie. La majeure partie n'y figure pas. Les invités et partenaires, les comptes admin et partagés, les Enterprise Apps et désormais les agents ont les mêmes accès que les autres, mais sans dossier ni processus de sortie. L'IAM classique ne les connaît pas, parce que le cloud ne consulte jamais les RH.
Chacune de ces identités passe par le même point : Entra ID.
Trois questions avant qu'un token soit émis
Dans Entra ID, Zero Trust est une policy : Conditional Access vérifie chaque identité pour chaque application selon le même schéma, collaborateurs comme invités, apps comme agents. Nous construisons pour cela une baseline qui s'applique à tous, plutôt qu'un patchwork d'exceptions.
- 1Qui es-tu ?Authentification forte : Passkeys (FIDO2), Windows Hello for Business, Microsoft Authenticator Passkey. Le SMS et l'appel téléphonique disparaissent de toute façon à partir de février 2027.
- 2Avec quoi travailles-tu ?Uniquement les appareils déclarés conformes par Intune. Une identité sans appareil, comme un agent, supporte la vérification seule.
- 3Quel est le niveau de risque en ce moment ?User Risk, Sign-in Risk, localisation, session. Si quelque chose attire l'attention, l'accès est coupé immédiatement, sans attendre la prochaine connexion.
Une baseline pour toutes les identités et toutes les apps. Chaque exception non documentée est une faille, et une seule suffit.
Une seule faille suffit
La meilleure armure ne sert à rien si la visière est entrouverte. Dans les environnements Entra qui ont grandi au fil du temps, ce genre de failles est monnaie courante : des policies en mode audit-only depuis des années, des exceptions devenues la norme, des admins nommés à vie, des invités sans sponsor.
Personne n'a pris cette décision. C'est ainsi que les choses ont évolué, parce que l'identity management était une tâche secondaire. C'est pourquoi nous n'installons pas Entra. Nous l'exploitons.
Chaque modification emprunte le même chemin
Dans beaucoup d'entreprises, la configuration d'un tenant n'existe que dans les têtes et les clics de quelques personnes. Chez nous, elle vit dans un blueprint que nous développons depuis plus de dix ans et que nous exploitons en tant que code depuis trois ans. Chaque modification apportée à votre tenant suit les mêmes cinq étapes, y compris les nôtres.
- 1Pull RequestChaque modification commence par un Pull Request dans le repository, nulle part ailleurs.
- 2Revue à quatre yeuxUne seconde personne chez nous examine chaque modification avant que quoi que ce soit ne soit exécuté.
- 3PlanLe plan indique ligne par ligne ce qui change. Si quelque chose dévie, tout s'arrête.
- 4ValidationSi les utilisateurs ne sont pas concernés, nous déployons et vous informons. Sinon, nous demandons votre accord.
- 5DeploymentLa pipeline déploie, journalise et peut être rejouée à l'identique, y compris dans un nouveau tenant.
Si quelqu'un modifie quand même quelque chose manuellement dans le portail, Drift Control rétablit l'état cible et vous en informe.
Pourquoi cloud-native
La technologie est là. Nous l'utilisons.
Entra ID et Intune font aujourd'hui ce qui nécessitait autrefois un datacenter : les appareils rejoignent le tenant dès leur mise en service, les utilisateurs se connectent avec un passkey, et chaque accès est régi par une policy, pas par un VPN. Nous nous appuyons précisément sur cette technologie parce qu'elle est plus sûre, demande moins de maintenance et s'améliore de mois en mois.
Vos serveurs de fichiers, imprimantes et applications métier restent accessibles. Windows Hello for Business Cloud Trust et Entra Private Access font le lien, sans qu'un appareil ait encore besoin de voir le Domain Controller. Pour ceux qui sont encore en mode hybride, nous parcourons le chemin étape par étape, et il est généralement plus court que tout le monde ne le pensait.
- Passkeys plutôt que mots de passeRésistants au phishing, connexion en quelques secondes, et le ticket helpdesk « mot de passe oublié » disparaît.
- Conditional Access plutôt que VPNChaque accès est vérifié, quel que soit l'endroit. Le réseau d'entreprise n'est plus qu'un lieu parmi d'autres.
- Entra ID Join plutôt qu'hybrideUn seul annuaire, un seul état d'appareil, fini les GPO qui entrent en conflit avec Intune.
- Private Access comme passerelleLes anciennes applications restent accessibles, mais via Entra plutôt que par le réseau.
Every time you choose Hybrid Join over Entra Join, an angel loses its wings.
C'est dans notre pitch. Nous le disons avec le sourire, mais nous le disons à chaque fois.
Ce que nous exploitons
Base de licences : Entra ID P1 (Microsoft 365 E3) pour la base. PIM, Access Packages, Access Reviews et ID Protection nécessitent P2 (Microsoft 365 E5).
Vous connaissez vos équipes, nous exploitons le reste
Qui arrive, qui part, qui obtient quel rôle : c'est vous ou votre partenaire qui décidez, et cela ne change pas. Tout ce qui se trouve en dessous, nous le prenons en charge : l'exploitation courante du tenant, des utilisateurs et des accès, ainsi que le socle composé de Conditional Access, d'authentification et d'Enterprise Applications, qui fonctionne en tant que code et intègre chaque nouveauté Microsoft.
Qui arrive, qui part, qui a quel rôle : vous le savez, pas nous.
- User Support
- Identity Lifecycle depuis le système RH
- Création et gestion des identités
- Communication avec les partenaires
L'exploitation courante : surveiller, alerter, rapporter, intégrer les nouveautés Microsoft.
- Configuration du tenant
- Configuration des utilisateurs
- Configuration des accès
- Global Secure Access
Le socle que personne n'aime maintenir manuellement et que nous exploitons donc en tant que code.
- Conditional Access
- Authentification et autorisation
- Cross-Tenant Access
- Enterprise Applications
Jusqu'où voulez-vous déléguer ?
La même technologie en trois niveaux. Vous pouvez commencer avec TerraProvider. Workplace Foundation l'inclut automatiquement, et Managed Entra regroupe les deux.
ProduitTerraProviderLe provider Terraform pour Microsoft 365 que nous utilisons nous-mêmes. Community Edition gratuite jusqu'à 100 utilisateurs. | SubscriptionWorkplace FoundationNotre blueprint en abonnement, mis à jour en continu. Vous gérez le repository et la pipeline. | Managed ServiceManaged EntraNous déployons, alertons et rapportons. Le repository est chez nous, le Technical Account Manager est dans votre agenda. | |
|---|---|---|---|
| Configuration du tenant en tant que code, avec Terraform ou OpenTofu | inclus | inclus | inclus |
| Blueprint prêt à l'emploi : Identity et Conditional Access Baseline, mis à jour en continu | non inclus | inclus | inclus |
| Exploitation par nos soins : déploiement, alertes, reporting, Service Review | non inclus | non inclus | inclus |
| RealmJoin : 80+ runbooks pour l'exploitation | non inclus | non inclus | inclus |
| Ce que vous apportez | Terraform ou OpenTofu, Git et CI/CD, connaissance approfondie d'Entra. | Évaluer les modifications du blueprint, définir les paramètres, maintenir votre propre code. | Connaissances de base sur Entra pour le First Level. Ni Terraform, ni Git. |
| Preuve | Terraform et OpenTofu, Disaster Recovery pour la configuration du tenant | 10+ ans de blueprint, 150+ releases | Alertes KQL, rapport mensuel, Technical Account Manager |
- Configuration du tenant en tant que code, avec Terraform ou OpenTofu
- Blueprint prêt à l'emploi : Identity et Conditional Access Baseline, mis à jour en continu
- Exploitation par nos soins : déploiement, alertes, reporting, Service Review
- RealmJoin : 80+ runbooks pour l'exploitation
Ce que vous apportez: Terraform ou OpenTofu, Git et CI/CD, connaissance approfondie d'Entra.
Terraform et OpenTofu, Disaster Recovery pour la configuration du tenant
- Configuration du tenant en tant que code, avec Terraform ou OpenTofu
- Blueprint prêt à l'emploi : Identity et Conditional Access Baseline, mis à jour en continu
- Exploitation par nos soins : déploiement, alertes, reporting, Service Review
- RealmJoin : 80+ runbooks pour l'exploitation
Ce que vous apportez: Évaluer les modifications du blueprint, définir les paramètres, maintenir votre propre code.
10+ ans de blueprint, 150+ releases
- Configuration du tenant en tant que code, avec Terraform ou OpenTofu
- Blueprint prêt à l'emploi : Identity et Conditional Access Baseline, mis à jour en continu
- Exploitation par nos soins : déploiement, alertes, reporting, Service Review
- RealmJoin : 80+ runbooks pour l'exploitation
Ce que vous apportez: Connaissances de base sur Entra pour le First Level. Ni Terraform, ni Git.
Alertes KQL, rapport mensuel, Technical Account Manager
Managed Entra inclut Workplace Foundation et TerraProvider. Qui souscrit chez nous obtient les trois.
Votre chemin vers Managed Entra
- Kickstarter WorkshopKickstarter WorkshopUne journée sur site : Zero Trust, votre Conditional Access Blueprint, Identity Governance. Vous repartez avec une cible claire.
- ParamétrisationParamétrisationDeux à quatre semaines : le blueprint devient votre blueprint, avec les exceptions que vous conservez délibérément. Tout en tant que code, avant que quoi que ce soit ne s'exécute.
- OnboardingOnboardingUne journée : SLA, priorités P1 à P4, escalade, Named Persons des deux côtés. Ensuite, le blueprint se déploie par vagues, d'abord en Report-only, puis en mode actif.
- ExploitationExploitationBase Fee et un prix mensuel fixe par utilisateur, Technical Account Manager, Service Review mensuel, Drift Control, Evergreen.
Une journée sur site
Kickstarter Workshop
Avant de construire quoi que ce soit en tant que code, nous examinons avec vous le tenant tel qu'il est aujourd'hui. Vous apportez l'Admin Center et les personnes qui connaissent les exceptions. Nous apportons le blueprint.
Zero TrustPrincipeLes accès auxquels vous faites confiance aujourd'hui sans le savoir.
Conditional AccessBlueprintQuels silos votre tenant requiert et quelles exceptions subsistent.
Identity GovernanceRôles et invitésQui a besoin de quel rôle, pour combien de temps, et qui se porte garant pour qui.
CibleRésultatUn document que vous pouvez présenter en interne, et une offre à prix fixe.
Questions que nous entendons lors du premier entretien
Réponses courtes. Si votre question ne figure pas ici, posez-la-nous ci-dessous.
Notre IT s'en charge elle-même.
Pour les collaborateurs avec un dossier RH, souvent oui. Pour les invités, les comptes admin, les apps et les agents, la responsabilité est rarement clairement attribuée, et Microsoft fait évoluer les règles en permanence. Entra et Intune ensemble représentent 18 domaines actifs, soit, selon notre expérience, 1,5 à 3 postes à temps plein. Nous exploitons de nombreux tenants selon un blueprint commun et détectons les schémas plus tôt qu'une équipe isolée.
Perdons-nous le contrôle sur notre tenant ?
Votre tenant reste le vôtre, les logs restent chez vous, et vous voyez chaque modification à l'avance dans le plan. Une règle s'applique toutefois : les composants Foundation ne sont modifiés que par nous. Sinon, ce ne serait plus une exploitation, mais une coexistence sans coordination.
De quelles licences avons-nous besoin ?
Entra ID P1, c'est-à-dire Microsoft 365 E3, pour la base. PIM, Access Packages, Access Reviews et ID Protection nécessitent P2, soit E5. Les licences restent chez vous.
Nous sommes encore en mode hybride.
Hybride avec Entra Connect Sync ne pose aucun problème. Hybrid Join sur les appareils est remplacé par Managed Intune, étape par étape.
Qu'est-ce qui n'est pas inclus ?
Le support aux utilisateurs finaux, y compris pour l'enregistrement MFA. La définition d'un modèle de rôles pour les métiers et le nettoyage des anciennes autorisations sont des projets à part, que nous sommes heureux de mener avec vous. Le processus Joiner-Mover-Leaver issu du système RH reste dans votre IAM.
Que se passe-t-il si nous voulons déroger au blueprint ?
Cela devient alors un Custom Override : documenté dans le code, décidé délibérément. Il sort du processus Evergreen, et nous vous disons ce que cela implique avant que vous ne le fassiez.
Et les agents ?
Avec Agent 365, chaque agent reçoit sa propre identité dans Entra, avec un sponsor et des droits comme une personne. Nous les traitons comme des comptes admin : Access Packages, Review, Conditional Access. Nous définissons actuellement le périmètre dans le service. Personne ne donne à un nouveau collègue une carte de crédit d'entreprise sans plafond le premier jour ; un agent ne devrait pas non plus en bénéficier.
Quel est le coût de Managed Entra ?
Une Base Fee plus une User Fee par utilisateur actif et par mois. Les Standard Requests et le monitoring sont inclus, les projets se facturent séparément. Le Kickstarter Workshop est proposé à prix fixe.
Qui travaille, c'est réglé. Reste la question de où.
Pour aller plus loin
Qui a créé ces agents ?
E7 regroupe E5, Copilot, l'Entra Suite et Agent 365. Mais une licence ne remet pas un tenant en ordre. C'est ...
