Sécurisation et gouvernance de l’environnement Microsoft 365

Le lot couvre la revalidation et la sécurisation de la chaîne Active Directory locale–Microsoft Entra ID, notamment Entra Connect, les identités, les accès privilégiés et le durcissement de l’annuaire. Le périmètre de référence comprend environ 120 utilisateurs, un serveur Entra Connect et un environnement Microsoft 365 Business Premium, à confirmer au cadrage.

Démarrage et Entra Connect. Le Sprint 0, limité à cinq jours ouvrés, revalide les audits antérieurs et l’état réel de la synchronisation, des identités, des privilèges, des licences et des dépendances. Il établit les écarts et risques résiduels, les prérequis, le backlog priorisé, la roadmap sur douze mois et le registre RIDA. Six livrables sont remis au plus tard le dernier jour ouvré du Sprint 0 : diagnostic de reprise, matrice des écarts et recommandations, schéma d’architecture, backlog initial, roadmap et registre RIDA.

La chaîne AD–Entra ID est cartographiée et ses erreurs de synchronisation corrigées. Le titulaire vérifie version, mode de fonctionnement et comptes de service, documente les flux, fiabilise Entra Connect Health et ses alertes, et définit le filtrage des unités organisationnelles. Password Hash Sync est activé et validé si ce mode est retenu. Hybrid Entra ID Join, Seamless SSO et la résilience sont examinés selon la cible ; un serveur de secours en mode staging ou un mécanisme équivalent est envisagé si pertinent. Le rôle résiduel du serveur Exchange local est documenté et les dépendances hybrides non maîtrisées recherchées ; aucun décommissionnement n’est engagé sans décision explicite de l’ASFR.

Identités et Active Directory. Le lot comprend la généralisation du MFA selon les populations et risques, un socle de politiques Conditional Access, le blocage des authentifications héritées et la protection des administrateurs par des comptes dédiés. Deux comptes Break Glass sont documentés, protégés et testés périodiquement. Les rôles privilégiés sont rationalisés ; PIM et Identity Protection sont déployés lorsque les licences détenues le permettent, sinon les prérequis et scénarios sont proposés. Les comptes invités, administrateurs et utilisateurs à risque font l’objet d’un processus de revue. Les journaux de connexion et d’audit sont organisés.

Le durcissement AD porte notamment sur les groupes d’administration, les mots de passe et le verrouillage, les comptes inactifs, orphelins et de service, Kerberoasting, SMBv1, NTLMv1, LLMNR, les services Spooler inutiles, les GPO, délégations, droits étendus, corbeille AD, sauvegardes et restauration. Les suppressions de protocoles ou services sont compatibles avec les applications ; les exceptions maintenues sont documentées. Le DQE indicatif prévoit notamment 120 mises en œuvre MFA, six politiques Conditional Access et dix jours de remédiation AD ; ses quantités servent à comparer les offres et ne constituent pas un engagement de commande.

Organisation, recette et livrables. La référence prévoit six sprints pour ce lot, Sprint 0 inclus, sur les mois 1 à 3 ; les sprints de réalisation durent deux semaines. Chaque sprint produit le Sprint Backlog, l’incrément ou les configurations/scripts, les preuves de tests, l’as-built actualisé, le registre RIDA, la roadmap et le compte rendu de Sprint Review, remis sous deux jours ouvrés. Le tableau de bord consolidé est remis toutes les quatre semaines. La recette vérifie notamment la synchronisation documentée, supervisée et testée, le déploiement MFA/Conditional Access sans blocage métier non maîtrisé, les comptes privilégiés et Break Glass, et la clôture ou l’acceptation formelle des écarts AD et d’hybridation résiduels. Une stabilisation d’un mois est prévue après le lot. Les accès du titulaire sont temporaires, nominatifs, à moindre privilège et traçables ; les changements sensibles sont planifiés, validés et assortis d’un retour arrière lorsque pertinent.