Compte bris-de-glace : l'exclure de l'Accès conditionnel

Une règle d'Accès conditionnel mal calibrée peut verrouiller tous les administrateurs hors du tenant — y compris ceux qui l'ont créée. Le scénario est classique : une règle « exiger un appareil conforme » ou « bloquer hors du pays » qui, par un effet de bord, s'applique aussi aux comptes d'administration. Plus personne ne peut se connecter pour corriger la règle, et l'organisation doit passer par le support Microsoft, avec des délais qui se comptent en heures ou en jours. Le compte bris-de-glace est la parade universelle, explicitement recommandée par Microsoft.

Ce compte est votre porte de secours : un accès qui reste possible quoi qu'il arrive à vos règles, à votre fournisseur MFA ou à vos appareils. Bien conçu, il ne coûte rien et vous évite une crise. Mal conçu ou oublié dans une exclusion, il devient inutile au pire moment. Voici comment le mettre en place correctement, comment le protéger malgré son statut particulier, et comment ne jamais oublier de l'exclure.

Les règles d'un bon compte bris-de-glace

Un compte d'urgence n'est pas un compte d'administrateur ordinaire. Il obéit à des règles précises qui garantissent qu'il fonctionnera le jour où tout le reste échoue, sans devenir lui-même une faille.

• Un compte cloud dédié, non nominatif, réservé exclusivement aux urgences.
• Un mot de passe long et complexe, stocké hors ligne dans un lieu sûr (coffre physique ou gestionnaire de secrets).
• Exclu de toutes les règles d'Accès conditionnel, sans exception.
• Un rôle à privilèges élevés (administrateur général), utilisé uniquement en cas de besoin.
• Surveillé en continu : toute connexion doit déclencher une alerte immédiate.

Le paradoxe de la sécurité du compte

Un compte bris-de-glace est puissant et exclu des protections : il doit donc être compensé par d'autres mesures. C'est tout l'équilibre à trouver, car un accès d'urgence trop protégé devient inutilisable en situation de crise, tandis qu'un accès trop ouvert devient une cible.

Le protéger sans le rendre inutilisable

L'exclure du MFA facilite l'accès d'urgence, mais l'expose. La bonne pratique consiste à utiliser un secret très long stocké hors ligne, à segmenter éventuellement le mot de passe entre deux responsables, et à conserver au moins deux comptes d'urgence pour parer à la perte de l'un. Certaines organisations conservent le MFA via une méthode dédiée et robuste, comme une clé FIDO2 rangée en lieu sûr, plutôt que de l'exclure totalement.

Le surveiller comme un actif critique

Puisqu'il ne doit jamais servir au quotidien, toute connexion est un événement anormal. Configurez une alerte qui notifie immédiatement l'équipe de sécurité dès qu'une authentification a lieu sur ce compte. Une revue périodique de sa validité (mot de passe, rôle, exclusions) complète le dispositif et garantit qu'il sera opérationnel le jour où vous en aurez réellement besoin.

La mise en place pas à pas

1. 1Créer un compte cloud dédié dans Entra ID, sans lien avec une personne physique.
2. 2Lui attribuer un mot de passe long, stocké hors ligne en lieu sûr.
3. 3Lui accorder le rôle administrateur général, réservé à l'urgence.
4. 4L'exclure explicitement de toutes les règles d'Accès conditionnel existantes.
5. 5Configurer une alerte sur toute connexion de ce compte.
6. 6Documenter la procédure d'accès d'urgence et la tester périodiquement.

Un exemple concret : la règle qui aurait tout bloqué

Une PME décide d'exiger un appareil conforme pour accéder à Microsoft 365. La règle semble anodine, mais le compte de l'administrateur se connecte souvent depuis un poste personnel non inscrit dans Intune. Déployée directement en mode appliqué, la règle aurait bloqué l'administrateur lui-même : plus aucun accès pour la corriger.

Parce qu'un compte bris-de-glace avait été créé et exclu au préalable, la crise n'a pas eu lieu. L'administrateur se connecte avec le compte d'urgence, constate que la règle est trop large, la repasse en report-only, ajuste les exclusions, puis la réactive proprement. Sans ce filet, il aurait fallu ouvrir un ticket au support Microsoft et attendre. Le compte d'urgence a transformé un incident majeur potentiel en une correction de cinq minutes.

D'autres filets pour ne jamais se verrouiller

Le compte bris-de-glace est le filet ultime, mais il n'est pas le seul. Une bonne hygiène de l'Accès conditionnel combine plusieurs garde-fous, de sorte que le compte d'urgence ne serve que dans des cas vraiment extrêmes.

• Le mode report-only : activer chaque nouvelle règle en audit avant de l'appliquer, pour voir qui elle aurait bloqué.
• L'exclusion de l'administrateur courant, pour ne pas se couper l'accès pendant le déploiement.
• Le ciblage progressif : commencer par un groupe pilote plutôt que « tous les utilisateurs » d'emblée.
• La réversibilité : pouvoir désactiver une règle immédiatement si un blocage inattendu survient.
• La documentation des exclusions, pour qu'un autre administrateur comprenne les choix faits.

Ces filets se cumulent : le report-only évite la plupart des surprises, l'exclusion de l'administrateur protège l'auteur du déploiement, et le compte bris-de-glace couvre le cas résiduel où tout le reste a échoué. C'est cette défense en profondeur qui permet d'activer l'Accès conditionnel avec sérénité, même sur un tenant de production.

L'erreur classique, et comment AuPoint l'évite

L'erreur la plus fréquente est d'oublier d'exclure le compte bris-de-glace d'une nouvelle règle. On l'exclut consciencieusement des règles existantes, puis, six mois plus tard, on crée une règle supplémentaire sans y penser — et le filet a un trou. AuPoint mémorise votre compte bris-de-glace et l'injecte automatiquement dans les exclusions de chaque règle d'Accès conditionnel déployée. Impossible d'en créer une qui l'oublie.

AuPoint va plus loin : il exige la sélection d'un compte d'urgence avant d'autoriser l'activation de la moindre règle d'Accès conditionnel. Combiné à l'aperçu d'impact et à la réversibilité en un clic, cela rend le verrouillage du tenant structurellement impossible. Vous déployez vos règles de sécurité sans jamais craindre de vous enfermer dehors.

Questions fréquentes

Combien de comptes bris-de-glace faut-il ?

Au moins deux, pour parer à l'indisponibilité de l'un (mot de passe perdu, compte compromis, responsable absent). Microsoft recommande cette redondance pour les accès d'urgence, idéalement avec des méthodes d'accès différentes pour les deux comptes.

Faut-il vraiment l'exclure du MFA ?

L'objectif est de garder un accès même si le MFA est indisponible. Certaines organisations l'excluent totalement, d'autres conservent une méthode MFA robuste dédiée. Dans tous les cas, le compte doit rester accessible en cas de panne du fournisseur d'identité, sans dépendre d'un appareil unique.

À quelle fréquence tester le compte ?

Testez la procédure d'accès au moins une à deux fois par an, et à chaque changement majeur de configuration, pour vous assurer que le mot de passe fonctionne et que les exclusions sont toujours en place. Un compte d'urgence jamais testé est un pari, pas un filet.

Configurez votre compte d'urgence une fois dans AuPoint, et déployez ensuite toutes vos règles d'Accès conditionnel l'esprit tranquille — l'exclusion est automatique. Connectez votre tenant et démarrez gratuitement.