Activer la gestion des droits d’utilisation de l’infrastructure cloud (CIEM)

Remarque

À compter du 1er avril 2025, Microsoft Entra Permissions Management ne sera plus disponible pour l’achat.

Le 1er octobre 2025, Microsoft cessera de prendre en charge ce produit. En savoir plus sur la mise hors service de Microsoft Entra Permissions Management.

La dépréciation de Microsoft Entra Permissions Management n’affecte pas les fonctionnalités CIEM existantes dans Microsoft Defender pour Cloud. En savoir plus sur l’avenir de CIEM dans Microsoft Defender pour Cloud.

Microsoft Defender pour Cloud fournit un modèle de sécurité CIEM (Cloud Infrastructure Entitlement Management) qui aide les organisations à gérer et contrôler l’accès et les droits des utilisateurs dans leur infrastructure cloud. CIEM est un composant essentiel de la solution CNAPP (Cloud Native Application Protection Platform) qui fournit une visibilité sur qui ou ce qui a accès à des ressources spécifiques. Il garantit que les droits d’accès respectent le principe de privilège minimum (PoLP), où les utilisateurs ou les identités de charge de travail, tels que les applications et les services, reçoivent uniquement les niveaux d’accès minimum nécessaires pour effectuer leurs tâches. Le modèle CIEM aide également les organisations à surveiller et à gérer les autorisations sur plusieurs environnements cloud, notamment Azure, AWS et GCP.

Avant de commencer

• Vous devez activer la gestion de la posture de sécurité cloud Microsoft Defender (CSPM) sur votre abonnement Azure, votre compte AWS ou votre projet GCP.

• En fonction de l’environnement cloud, vous devez disposer des rôles et autorisations Azure suivants pour activer l’extension Gestion des autorisation (CIEM) de Defender CSPM :

  • AWS et GCP : Rôle Administrateur de sécurité et l’autorisation Application.ReadWrite.All pour votre locataire.
  • Azure : Rôle Administrateur de sécurité et l’autorisation Microsoft.Authorization/roleAssignments/write pour l’abonnement.

• AWS uniquement : connectez votre compte AWS à Defender pour le cloud.

• GCP uniquement : connectez votre projet GCP à Defender pour le cloud.

Activer CIEM pour Azure

Lorsque vous avez activé le plan CSPM Defender sur votre compte Azure, la norme Azure CSPM est automatiquement affectée à votre abonnement. La norme Azure CSPM fournit des recommandations de gestion des droits d’utilisation d’infrastructure cloud (CIEM).

Quand Gestion des autorisations (CIEM) est désactivé, les recommandations CIEM du standard Azure CSPM ne sont pas calculées.

1. Connectez-vous au portail Azure.

2. Recherchez et sélectionnez Microsoft Defender pour le cloud.

3. Accédez à Paramètres d’environnement.

4. Sélectionnez un abonnement approprié.

5. Recherchez le plan CSPM Defender et sélectionnez Paramètres.

6. Activez Gestion des autorisations (CIEM).

   

7. Sélectionnez Continuer.

8. Sélectionnez Enregistrer.

Les recommandations CIEM applicables s’affichent sur votre abonnement dans quelques heures.

Liste des recommandations Azure :

• Les identités surapprovisionnées Azure doivent avoir uniquement les autorisations nécessaires

• Les autorisations des identités inactives dans votre abonnement Azure doivent être révoquées

Activer CIEM pour AWS

Lorsque vous avez activé le plan CSPM Defender sur votre compte AWS, la norme AWS CSPM est automatiquement affectée à votre abonnement. La norme AWS CSPM fournit des recommandations CIEM (gestion des droits d’utilisation d’infrastructure cloud). Quand Gestion des autorisations est désactivé, les recommandations CIEM du standard AWS CSPM ne seront pas calculées.

1. Connectez-vous au portail Azure.

2. Recherchez et sélectionnez Microsoft Defender pour le cloud.

3. Accédez à Paramètres d’environnement.

4. Sélectionnez un compte AWS approprié.

5. Recherchez le plan CSPM Defender et sélectionnez Paramètres.

   

6. Activez Gestion des autorisations (CIEM).

7. Sélectionnez Configurer l’accès.

8. Sélectionnez un modèle de déploiement.

9. Exécutez le script mis à jour sur votre environnement AWS à l’aide des instructions à l’écran.

10. Cochez la case Le modèle CloudFormation a été mis à jour sur l’environnement AWS (Stack).

    

11. Sélectionnez Vérifier et générer.

12. Sélectionnez Mettre à jour.

Les recommandations CIEM applicables s’affichent sur votre abonnement dans quelques heures.

Liste des recommandations AWS :

• Les identités surapprovisionnées AWS doivent avoir uniquement les autorisations nécessaires

• Les autorisations des identités inactives dans votre compte AWS doivent être révoquées.

Activer CIEM pour GCP

Lorsque vous avez activé le plan CSPM Defender sur votre projet GCP, la norme GCP CSPM est automatiquement affectée à votre abonnement. La norme GCP CSPM fournit des recommandations CIEM (gestion des droits d’utilisation d’infrastructure cloud).

Quand Gestion des autorisations (CIEM) est désactivé, les recommandations CIEM du standard GCP CSPM ne sont pas calculées.

1. Connectez-vous au portail Azure.

2. Recherchez et sélectionnez Microsoft Defender pour le cloud.

3. Accédez à Paramètres d’environnement.

4. Sélectionnez le projet GCP approprié.

5. Recherchez le plan CSPM Defender et sélectionnez Paramètres.

   

6. Faites passer Gestion des autorisations (CIEM) sur Activé.

7. Sélectionnez Enregistrer.

8. Sélectionnez Suivant : Configurer l’accès.

9. Sélectionnez le type d’autorisations approprié.

10. Sélectionnez un modèle de déploiement.

11. Exécutez le script Terraform ou l’interpréteur de commandes cloud mis à jour sur votre environnement GCP à l’aide des instructions à l’écran.

12. Cochez la case J’ai exécuté le modèle de déploiement pour que les modifications prennent effet.

    

13. Sélectionnez Vérifier et générer.

14. Sélectionnez Mettre à jour.

Les recommandations CIEM applicables s’affichent sur votre abonnement dans quelques heures.

Liste des recommandations GCP :

• Les identités surapprovisionnées dans GCP ne devraient avoir que les permissions nécessaires.

• Les autorisations des identités inactives dans votre projet GCP doivent être révoquées

Limitations connues

Les comptes AWS et GCP intégrés à La gestion des autorisations avant d’être intégrés à Defender pour Cloud ne peuvent pas être intégrés via Microsoft Defender pour Cloud.