Configurez l’accès conditionnel avec Microsoft Defender for Endpoint

  • S’applique à: Microsoft Defender for Endpoint Plan 1, Microsoft Defender for Endpoint Plan 2

Vous pouvez utiliser les signaux de risque des appareils de Microsoft Defender for Endpoint avec les stratégies de conformité de Microsoft Intune et Accès conditionnel Microsoft Entra. Les appareils dépassant votre seuil de risque sélectionné sont marqués comme non conformes, et l’accès conditionnel peut les bloquer des ressources organisationnelles.

Cette configuration s’applique aux appareils Windows inscrits à Intune qui sont intégrés à Defender for Endpoint. Avant de commencer, examinez les exigences de licence, d’inscription et de poste dans les prérequis.

Prerequisites

Assurez-vous que votre environnement répond aux exigences suivantes :

Avertissement

Créez une politique de conformité Intune et confirmez qu’au moins un dispositif de test est déclaré conforme avant d’activer la politique d’accès conditionnel. Sans une politique de conformité fonctionnelle, l’accès conditionnel ne peut pas évaluer la conformité des appareils comme prévu et pourrait bloquer l’accès de manière inattendue.

  • Licences : Un abonnement Microsoft Defender for Endpoint, un abonnement Microsoft Intune, et une licence Microsoft Entra ID P1 ou P2 pour l’accès conditionnel.
  • Microsoft Intune : Intune est un produit distinct qui ne fait pas partie de Defender pour Endpoint et n'est pas inclus dans tous les abonnements. Vous avez besoin d’un abonnement qui inclut Intune, ou vous pouvez l’acheter séparément en tant qu’abonnement autonome ou en extension. Pour plus d’informations, consultez Gestion des licences Microsoft Intune.
  • Appareils : appareils Windows 10 ou versions ultérieures enregistrés avec Microsoft Entra ID, inscrits dans Intune, et intégrés à Defender pour Endpoint. Les appareils enregistrés Microsoft Entra sont pris en charge lorsqu'ils sont inscrits dans Intune. Pour inscrire des appareils, utilisez l’inscription automatique de Windows ou faites inscrire leurs appareils Windows dans Intune. Pour la planification de l’identité des appareils, voir Planifier le déploiement de votre appareil Microsoft Entra.

Utilisez les rôles suivants ou des permissions personnalisées équivalentes :

Importante

Microsoft vous recommande d’utiliser des rôles disposant du moins d’autorisations. Cela contribue à renforcer la sécurité de votre organisation. Le rôle d’administrateur général dispose de privilèges élevés. Il doit être limité aux scénarios d’urgence lorsque vous ne pouvez pas utiliser un rôle existant.

Configurer l’accès conditionnel en fonction du risque de l’appareil

Suivez les étapes suivantes pour utiliser Defender pour le risque d’appareil de terminaison dans l’accès conditionnel :

Étape 1 : Activez la connexion Microsoft Intune

Suivez les instructions de connexion au service dans Connecter Defender for Endpoint à Intune.

Sur la page Autres options du portail Microsoft Defender à https://security.microsoft.com/securitysettings/endpoints/integration, vérifiez que la connexion Microsoft Intune est activée. Si vous changez le paramètre, sélectionnez les préférences d’Enregistrer.

Sur la page Sécurité des points de terminaison | Defender for Endpoint du centre d’administration Microsoft Intune à l’adresse https://intune.microsoft.com/#view/Microsoft_Intune_Workflows/SecurityManagementMenu/~/atp, vérifiez que État de la connexion est défini sur Activé. Le statut peut prendre jusqu’à 15 minutes à se mettre à jour.

Étape 2 : Activer l’intégration de Defender for Endpoint dans Intune

Suivez Configurer les paramètres d’intégration. Sur la page Sécurité des points de terminaison | Microsoft Defender for Endpoint du centre d’administration Microsoft Intune à https://intune.microsoft.com/#view/Microsoft_Intune_Workflows/SecurityManagementMenu/~/atp, vérifiez les paramètres suivants :

  • L’état de la connexion est activé.
  • Dans la section d’évaluation de la stratégie de conformité, vérifiez que Connecter les appareils Windows à Microsoft Defender pour point de terminaison est Activé.

Étape 3 : Créer et attribuer la stratégie de conformité dans Intune

Suivez Créer et assigner une politique de conformité pour définir le niveau de risque de l’appareil. Utilisez le Defender suivant pour les paramètres spécifiques au point de terminaison :

  • Plateforme : sélectionnez Windows 10 et ultérieur.
  • Type de profil : Si cette option est disponible, sélectionnez la politique de conformité Windows 10/11.
  • Paramètres de conformité : Développez Microsoft Defender for Endpoint, et définissez Exiger que l’appareil soit au score de risque machine ou en dessous du niveau de risque maximal autorisé par votre organisation :
    • Désactiver : ce niveau est le plus sûr. L’appareil ne peut pas contenir de menaces existantes et accéder aux ressources organisationnelles. Si des menaces sont détectées, l’appareil est évalué comme non conforme.
    • Faible : l’appareil est conforme seulement si les menaces détectées sont de niveau faible. Les appareils présentant des niveaux de menace moyens ou élevés ne sont pas conformes.
    • Moyen : l’appareil est conforme si les menaces détectées sont de niveau faible ou moyen. Si des menaces de niveau élevé sont détectées, l’appareil est considéré comme non conforme.
    • Élevé : ce niveau est le moins sécurisé et permet tous les niveaux de menace. Utilisez-le uniquement lorsque vous souhaitez signaler un risque sans rendre les appareils non conformes en fonction du niveau de menace.
  • Actions en cas de non-conformité : Configurez le calendrier et les actions appropriés à votre organisation. Intune ajoute Marquer l’appareil comme non conforme par défaut, mais vous pouvez modifier son planning et ajouter d’autres actions.
  • Devoirs : Commencez par un groupe d’examen. Après avoir validé les résultats de conformité des appareils, étendez l’attribution aux utilisateurs ou appareils visés.

Créez la politique et confirmez que les dispositifs de test rapportent l’état attendu avant de configurer l’accès conditionnel.

Étape 4 : Créer une stratégie d’accès conditionnel Microsoft Entra

Conseil

Créez d’abord la politique en mode Rapport uniquement . Une politique exigeant la conformité pour tous les utilisateurs et ressources peut bloquer l’accès si sa portée ou ses exclusions sont incorrectes.

Suivez Exiger la conformité de l’appareil à l’accès conditionnel. Sur la page Accès conditionnel | Politiques dans le centre d’administration Microsoft Entra center à https://entra.microsoft.com/#view/Microsoft_AAD_ConditionalAccess/ConditionalAccessBlade/~/Policies/menuId//fromNav/Identity, créez une politique avec les paramètres suivants :

  • Utilisateurs ou identités de charge de travail :
    • Inclure : sélectionnez Tous les utilisateurs.
    • Exclure : Sélectionnez les comptes d’accès d’urgence de votre organisation. Si vous utilisez Microsoft Entra Connect ou Microsoft Entra Connect Cloud Sync, excluez également le rôle d’annuaire Comptes de synchronisation d’annuaires.
  • Ressources cibles : Sous Ressources (anciennement applications cloud), sélectionnez Toutes les ressources (anciennement « Toutes les applications cloud »).
  • Accorder : Sélectionnez Accorder l’accès, puis sélectionnez Exiger que l’appareil soit marqué comme étant conforme.
  • Activer la politique : Sélectionnez Rapport uniquement.

Créez la stratégie. Après avoir confirmé les résultats attendus en mode rapport uniquement, modifiez la politique et changez Activer la politique sur Activé.

Remarque

  • Le contrôle "Exiger que l’appareil soit marqué comme conforme" ne bloque pas l’inscription à Intune.
  • Vous n'avez pas besoin d'exclure l'application Microsoft Defender for Endpoint pour Android et iOS (identifiant dd47d17a-3194-4d86-bfd5-c6ae6f5651e3d'application) des politiques conformes aux appareils. L’application peut transmettre l’état de sécurité de l’appareil à Accès conditionnel.

Pour le flux de travail complet de l’intégration, voir Configurer Microsoft Defender for Endpoint avec Intune.

  • Dernière mise à jour :