comptes d’action Microsoft Defender pour Identity

Defender pour Identity vous permet d’effectuer des actions de correction ciblant Active Directory local comptes en cas de compromission d’une identité. Pour effectuer ces actions, Microsoft Defender pour Identity devez disposer des autorisations nécessaires.

Par défaut, le capteur Microsoft Defender pour Identity installé sur un contrôleur de domaine emprunte l’identité du compte LocalSystem du contrôleur de domaine et effectue les actions. Toutefois, vous pouvez modifier ce comportement par défaut en configurant un compte gMSA et en étendue les autorisations en fonction de vos besoins.

Créer et configurer un compte d’action spécifique

1. Sur un contrôleur de domaine de votre domaine, créez un compte gMSA en suivant les instructions fournies dans Prise en main des comptes de service gérés de groupe.

2. Attribuez le droit « Se connecter en tant que service » au compte gMSA sur chaque contrôleur de domaine qui exécute le capteur Defender pour Identity.

3. Accordez les autorisations requises au compte gMSA.

   1. Ouvrez Utilisateurs et ordinateurs Active Directory.

   2. Cliquez avec le bouton droit sur le domaine ou l’unité d’organisation approprié, puis sélectionnez Propriétés.

      

   3. Accédez à l’onglet Sécurité et sélectionnez Avancé.

      

   4. Sélectionnez Ajouter.

   5. Choisissez Sélectionner un principal.

   6. Vérifiez que les comptes de service sont marqués dans Types d’objets.

   7. Entrez le nom du compte gMSA dans la zone Entrer le nom de l’objet à sélectionner , puis sélectionnez OK.

   8. Sélectionnez Objets Utilisateur descendant dans le champ S’applique à , laissez les paramètres existants et ajoutez les autorisations et propriétés suivantes :

      • Pour activer la réinitialisation forcée du mot de passe :
        • Autorisations :
          • Réinitialiser le mot de passe
        • Propriétés :
          • Lire pwdLastSet
          • Écrire pwdLastSet
      • Pour désactiver l’utilisateur :
        • Propriétés :
          • Lire userAccountControl
          • Écrire userAccountControl

   9. (Facultatif) Sélectionnez Objets groupe descendant dans le champ S’applique à et définissez les propriétés suivantes :

      • Lire les membres
      • Écrire des membres

   10. Sélectionnez OK.

Notes

• Il n’est pas recommandé d’utiliser le même compte gMSA que vous avez configuré pour les actions gérées par Defender pour Identity sur des serveurs autres que des contrôleurs de domaine. Si le serveur est compromis, un attaquant peut récupérer le mot de passe du compte et obtenir la possibilité de modifier les mots de passe et de désactiver les comptes.

• Nous vous déconseillons d’utiliser le même compte que le compte de service d’annuaire et le compte Gérer l’action. Cela est dû au fait que le compte de service d’annuaire nécessite uniquement des autorisations en lecture seule sur Active Directory, et que les comptes Gérer l’action ont besoin d’autorisations d’écriture sur les comptes d’utilisateur.

Ajouter le compte gMSA dans le portail Microsoft 365 Defender

1. Accédez au portail Microsoft 365 Defender.

2. Accédez à Paramètres ->Identités.

3. Sous Microsoft Defender pour Identity, sélectionnez Gérer les comptes d’action.

4. Sélectionnez +Créer un compte pour ajouter votre compte gMSA.

5. Indiquez le nom et le domaine du compte, puis sélectionnez Enregistrer.

6. Votre compte d’action sera répertorié dans la page Gérer les comptes d’action .

   

Vidéos connexes

Actions de correction dans Defender pour Identity

Étapes suivantes

« Installer le capteur Defender pour IdentityConfigurer le capteur Defender pour Identity »