Partager via

Sécurité des appareils Salles Microsoft Teams sur Windows et Teams Android

  • S’applique à: Microsoft Teams

Cet article fournit des conseils de sécurité pour les appareils Salles Microsoft Teams sous Windows et Android ainsi que pour les panneaux Teams, Téléphone Teams et Affichages Teams. Ces conseils incluent des informations sur la sécurité du matériel, des logiciels, du réseau et des comptes.

Sélectionnez l’onglet Salles Teams sous Windows ou appareils Teams Android pour plus d’informations sur la sécurité de votre appareil.

Microsoft collabore avec ses partenaires pour fournir une solution sécurisée qui ne nécessite aucune action supplémentaire pour sécuriser les Salles Microsoft Teams sous Windows. Cette section présente de nombreuses fonctionnalités de sécurité disponibles dans les Salles Teams sous Windows.

Pour plus d’informations sur la sécurité des Salles Teams sur les appareils Android, sélectionnez l’onglet Salles Teams sous Android.

Remarque

Les Salles Microsoft Teams ne doivent pas être considérées comme des postes de travail classiques pour utilisateurs finaux. Non seulement les cas d’utilisation sont très différents, mais les profils de sécurité par défaut le sont aussi ; nous recommandons de les traiter comme des appliances. L’installation de logiciels supplémentaires sur vos appareils Salles Teams n’est pas prise en charge par Microsoft. Cet article s’applique aux appareils Salles Microsoft Teams fonctionnant sous Windows.

Peu de données des utilisateurs finaux sont stockées sur les Salles Teams. Les données des utilisateurs finaux peuvent être stockées dans les fichiers journaux uniquement à des fins de dépannage et de support. Aucun participant à une réunion utilisant les Salles Teams ne peut copier des fichiers sur le disque dur ni se connecter avec son propre compte. Aucune donnée utilisateur finale n’est transférée vers, ni accessible par, l’appareil Salles Microsoft Teams.

Même si les utilisateurs finaux ne peuvent pas stocker de fichiers sur le disque dur des Salles Teams, Microsoft Defender est activé par défaut. Les performances des Salles Teams sont testées avec Microsoft Defender, y compris l’inscription au portail Defender pour point de terminaison. Désactiver cette fonction ou ajouter un logiciel de sécurité pour point de terminaison peut entraîner des résultats imprévisibles et une dégradation potentielle du système.

Sécurité matérielle

Dans un environnement Salles Teams, un module de calcul central exécute Windows 10 ou 11 édition IoT Enterprise. Chaque module de calcul certifié doit disposer d’une solution de montage sécurisée, d’un emplacement pour verrou de sécurité (par exemple, verrou Kensington) et de mesures de sécurité pour l’accès aux ports d’E/S afin d’empêcher la connexion d’appareils non autorisés. Vous pouvez également désactiver certains ports via la configuration UEFI (Unified Extensible Firmware Interface).

Chaque module de calcul certifié doit être livré avec la technologie compatible TPM (Trusted Platform Module) 2.0 activée par défaut. Le TPM est utilisé pour chiffrer les informations de connexion du compte de ressource des Salles Teams.

Le démarrage sécurisé est activé par défaut. Le démarrage sécurisé est une norme de sécurité développée par les membres du secteur des PC pour s’assurer qu’un appareil démarre uniquement à l’aide de logiciels approuvés par le fabricant d’ordinateurs (OEM). Au démarrage du PC, le microprogramme vérifie la signature de chaque composant du logiciel de démarrage, y compris les pilotes UEFI (également appelés Option ROMs), les applications EFI et le système d’exploitation. Si les signatures sont valides, le PC démarre et le microprogramme transmet le contrôle au système d’exploitation. Pour plus d’informations, consultez Démarrage sécurisé.

L’accès aux paramètres UEFI est possible uniquement en connectant un clavier et une souris physiques, ce qui empêche d’y accéder via la console tactile des Salles Teams ou tout autre écran tactile connecté aux Salles Teams.

La protection d’accès direct à la mémoire du noyau (DMA) est un paramètre Windows activé sur les Salles Teams. Avec cette fonctionnalité, le système d’exploitation et le microprogramme protègent le système contre les attaques DMA malveillantes et involontaires pour tous les appareils compatibles DMA : pendant le processus de démarrage et contre les attaques DMA malveillantes provenant d’appareils connectés à des ports DMA internes ou externes facilement accessibles, tels que les emplacements PCIe M.2 et Thunderbolt 3, pendant l’exécution du système d’exploitation.

Les Salles Teams activent également l’intégrité du code protégée par l’hyperviseur (HVCI). L’une des fonctionnalités fournies par HVCI est Credential Guard. Credential Guard offre les avantages suivants :

  • Sécurité matérielle NTLM, Kerberos et Credential Manager tirent parti des fonctionnalités de sécurité de la plateforme, notamment le démarrage sécurisé et la virtualisation, pour protéger les informations d’identification.

  • Sécurité basée sur la virtualisation Les informations d’identification dérivées de Windows NTLM et Kerberos ainsi que d’autres secrets s’exécutent dans un environnement protégé isolé du système d’exploitation en cours d’exécution.

  • Meilleure protection contre les menaces persistantes avancées Lorsque les informations d’identification de domaine Credential Manager, ainsi que les informations d’identification dérivées de NTLM et Kerberos, sont protégées grâce à la sécurité basée sur la virtualisation, les techniques et outils d’attaque par vol d’informations d’identification utilisés dans de nombreuses attaques ciblées sont bloqués. Les logiciels malveillants s’exécutant dans le système d’exploitation avec des privilèges d’administration ne peuvent pas extraire les secrets protégés par la sécurité basée sur la virtualisation.

Sécurité logicielle

Après le démarrage de Microsoft Windows, les Salles Teams se connectent automatiquement à un compte utilisateur Windows local nommé Skype. Le compte Skype n’a pas de mot de passe. Pour sécuriser la session de compte Skype, procédez comme suit.

Important

Ne modifiez pas le mot de passe ni le compte utilisateur Skype local. Cela pourrait empêcher les Salles Teams de se connecter automatiquement.

L’application Salles Microsoft Teams s’exécute grâce à la fonctionnalité Accès affecté disponible dans Windows 10 version 1903 et ultérieures. L’accès affecté est une fonctionnalité de Windows qui limite les points d’entrée des applications accessibles à l’utilisateur et active le mode kiosque à application unique. À l’aide du lanceur d’interpréteur de commandes, les Salles Teams sont configurées en tant qu’appareil kiosque qui exécute une application de bureau Windows comme interface utilisateur. L’application Salles Microsoft Teams remplace l’interpréteur de commandes par défaut (explorer.exe) qui s’exécute habituellement lors de l’ouverture de session d’un utilisateur. En d’autres termes, l’interpréteur de commandes Explorer traditionnel n’est pas lancé, ce qui réduit considérablement la surface de vulnérabilité des Salles Microsoft Teams dans Windows. Pour plus d’informations, consultez Configurer les kiosques et les panneaux numériques sur les éditions de bureau de Windows.

Si vous décidez d’exécuter une analyse de sécurité ou un benchmark Center for Internet Security (CIS) sur les Salles Teams, l’analyse ne peut s’exécuter que dans le contexte d’un compte d’administrateur local, car le compte utilisateur Skype ne prend pas en charge l’exécution d’applications autres que l’application Salles Teams. La plupart des fonctionnalités de sécurité appliquées au contexte utilisateur Skype ne s’appliquent pas aux autres utilisateurs locaux et, par conséquent, ces analyses de sécurité ne reflètent pas le verrouillage complet appliqué au compte Skype. Par conséquent, nous vous déconseillons d’exécuter une analyse locale sur les Salles Teams. Cependant, vous pouvez effectuer des tests d’intrusion externes si vous le souhaitez. En raison de cette configuration, nous vous recommandons d’effectuer des tests d’intrusion externes sur les appareils Salles Teams plutôt que des analyses locales.

De plus, des stratégies de verrouillage sont appliquées pour limiter l’utilisation des fonctionnalités non administratives. Un filtre clavier est activé pour intercepter et bloquer les combinaisons de touches potentiellement non sécurisées qui ne sont pas couvertes par les stratégies d’accès affecté. Seuls les utilisateurs disposant de droits d’administrateur locaux ou de domaine sont autorisés à se connecter à Windows pour gérer les Salles Teams. Ces stratégies, ainsi que d’autres appliquées à Windows sur les appareils Salles Microsoft Teams, sont continuellement évaluées et testées tout au long du cycle de vie du produit.

Microsoft Defender est activé par défaut. La licence Salles Teams Pro inclut également Defender pour point de terminaison, ce qui permet aux clients d’inscrire leurs Salles Teams dans Defender pour point de terminaison. Cette inscription permet aux équipes de sécurité d’avoir une visibilité sur l’état de la sécurité des Salles Teams sur les appareils Windows depuis le portail Defender. Les Salles Teams sur Windows peuvent être inscrites en suivant les étapes pour les appareils Windows. Nous vous déconseillons de modifier les Salles Teams à l’aide de règles de protection (ou d’autres stratégies Defender qui modifient la configuration), car ces stratégies peuvent affecter les fonctionnalités des Salles Teams. Cependant, la fonctionnalité de création de rapports dans le portail est prise en charge.

Microsoft Bitlocker n’est pas activé par défaut, mais peut être activé via une stratégie si vous le souhaitez. Vérifiez que Bitlocker est activé sans authentification avant démarrage, sinon la Salle Teams ne démarrera pas sur un appareil fonctionnel sans saisie manuelle d’un code PIN, ce qui affectera l’utilisation du système de salle.

Sécurité du compte

Les appareils Salles Teams incluent un compte d’administration nommé « Admin » avec un mot de passe par défaut. Nous vous recommandons vivement de modifier le mot de passe par défaut dès que possible après la fin de l’installation.

Le compte Administrateur n’est pas nécessaire au bon fonctionnement des appareils Salles Teams et peut être renommé ou même supprimé. Cependant, avant de supprimer le compte Admin, vérifiez que vous avez configuré un autre compte d’administrateur local avant de supprimer celui fourni avec les appareils Salles Teams. Pour plus d’informations sur la modification d’un mot de passe pour un compte Windows local à l’aide des outils intégrés de Windows ou de PowerShell, consultez ces guides :

Vous pouvez également importer des comptes de domaine dans le groupe Administrateurs Windows local à l’aide d’Intune. Pour plus d’informations, consultez Csp Policy – RestrictedGroups.

Remarque

Si vous utilisez une Salle Teams Crestron avec une console connectée au réseau, veillez à suivre les instructions de Crestron pour configurer le compte Windows utilisé pour le jumelage.

Attention

Si vous supprimez ou désactivez le compte Admin avant d’accorder des autorisations d’administrateur local à un autre compte local ou de domaine, vous risquez de perdre la possibilité d’administrer l’appareil Salle Teams. Si cela se produit, vous devrez réinitialiser l’appareil à ses paramètres d’origine et terminer à nouveau le processus d’installation.

N’accordez pas d’autorisations d’administrateur local au compte utilisateur Skype.

Windows Configuration Designer peut être utilisé pour créer des packages d’approvisionnement Windows. En plus de modifier le mot de passe Admin local, vous pouvez également effectuer des opérations telles que modifier le nom de la machine et l’inscrire dans Microsoft Entra ID. Pour plus d’informations sur la création d’un package d’approvisionnement avec Windows Configuration Designer, consultez Packages de configuration pour Windows 10.

Vous devez créer un compte de ressource pour chaque appareil Salle Teams afin qu’il puisse se connecter à Teams. Vous ne pouvez pas utiliser l’authentification interactive à deux facteurs ou multifacteur avec ce compte. Exiger un second facteur interactif empêcherait le compte de se connecter automatiquement à l’application Salle Teams après un redémarrage. De plus, les stratégies d’accès conditionnel Microsoft Entra et les stratégies de conformité Intune peuvent être déployées pour sécuriser le compte de ressource et obtenir l’authentification multifacteur par d’autres moyens. Pour plus d’informations, consultez Stratégies de conformité des appareils Intune et accès conditionnel pris en charge pour Salles Microsoft Teams et Conformité de l’accès conditionnel et Intune pour Salles Microsoft Teams.

Nous vous recommandons de créer le compte de ressource dans Microsoft Entra ID, si possible en tant que compte cloud uniquement. Bien qu’un compte synchronisé puisse fonctionner avec les Salles Teams dans les déploiements hybrides, ces comptes synchronisés rencontrent souvent des difficultés à se connecter aux Salles Teams et peuvent être difficiles à dépanner. Si vous choisissez d’utiliser un service de fédération tiers pour authentifier les informations d’identification du compte de ressource, vérifiez que le fournisseur d’identité tiers répond avec l’attribut wsTrustResponse défini sur urn:oasis:names:tc:SAML:1.0:assertion. Si votre entreprise ne souhaite pas utiliser WS-Trust, utilisez plutôt des comptes cloud uniquement.

Sécurité réseau

En règle générale, les Salles Teams ont les mêmes exigences réseau que n’importe quel client Microsoft Teams. L’accès via des pare-feu et d’autres dispositifs de sécurité est le même pour les Salles Teams que pour tout autre client Microsoft Teams. Spécifiquement pour les Salles Teams, les catégories listées comme « obligatoires » pour Teams doivent être ouvertes sur votre pare-feu. Les Salles Teams ont également besoin d’accéder à Windows Update, au Microsoft Store et à Microsoft Intune (si vous utilisez Microsoft Intune pour gérer vos appareils). Pour la liste complète des adresses IP et URL requises pour les Salles Microsoft Teams, consultez :

Pour le portail de gestion Salles Microsoft Teams Pro, vous devez également vous assurer que les Salles Teams peuvent accéder aux URL suivantes :

  • agent.rooms.microsoft.com
  • mmrstgnoamiot.azure-devices.net
  • mmrprodapaciot.azure-devices.net
  • mmrprodemeaiot.azure-devices.net
  • mmrprodnoamiot.azure-devices.net
  • mmrprodnoampubsub.webpubsub.azure.com
  • mmrprodemeapubsub.webpubsub.azure.com
  • mmrprodapacpubsub.webpubsub.azure.com

Les clients GCC devront également activer l’URL suivante :

  • mmrprodgcciot.azure-devices.net

Les clients GCC-High devront également activer l’URL suivante :

  • mmrgcchiot.azure-devices.us

Les clients DoD devront également activer l’URL ci-dessous :

  • mmrdodiot.azure-devices.us

Les Salles Teams sont configurées pour se maintenir automatiquement à jour avec les dernières mises à jour Windows, y compris les mises à jour de sécurité. Les Salles Teams installent toutes les mises à jour en attente chaque jour entre 2 h 00 et 3 h 00, heure locale de l’appareil, selon une stratégie locale prédéfinie. Il n’est pas nécessaire d’utiliser d’autres outils pour déployer et appliquer les mises à jour Windows. L’utilisation d’autres outils pour déployer et appliquer des mises à jour peut retarder l’installation des correctifs Windows et entraîner un déploiement moins sécurisé. L’application Salles Teams est déployée via le Microsoft Store.

Les appareils Salles Teams fonctionnent avec la plupart des protocoles de sécurité réseau 802.1X ou autres. Cependant, nous ne sommes pas en mesure de tester les Salles Teams avec toutes les configurations possibles de sécurité réseau. Par conséquent, si des problèmes de performances liés au réseau surviennent, vous devrez peut-être désactiver ces protocoles. Pour plus d’informations, consultez Implémentation de l’authentification 802.1x

Pour des performances optimales des médias en temps réel, nous recommandons vivement de configurer le trafic média Teams pour qu’il contourne les serveurs proxy et autres dispositifs de sécurité réseau. Les médias en temps réel sont très sensibles à la latence, et les serveurs proxy ainsi que les dispositifs de sécurité réseau peuvent dégrader considérablement la qualité vidéo et audio des utilisateurs. De plus, comme les médias Teams sont déjà chiffrés, il n’y a aucun avantage tangible à faire transiter le trafic par un serveur proxy. Pour plus d’informations, consultez Mise en réseau (vers le cloud) : point de vue d’un architecte, qui présente les recommandations réseau pour améliorer les performances des médias avec Microsoft Teams et Salles Microsoft Teams. Si votre organisation utilise des restrictions de locataire, elle est prise en charge pour les Salles Teams sur les appareils Windows en suivant les instructions de configuration du document de préparation de votre environnement.

Les appareils Salles Teams n’ont pas besoin de se connecter à un réseau local interne. Envisagez de placer les Salles Teams dans un segment de réseau isolé et sécurisé avec un accès direct à Internet. Si votre réseau LAN interne est compromis, les vecteurs d’attaque potentiels vers les Salles Teams sont réduits.

Nous recommandons vivement de connecter vos appareils Salles Teams à un réseau câblé. L’utilisation de réseaux sans fil nécessite une planification et une évaluation rigoureuses pour garantir une expérience optimale. Pour plus d’informations, consultez Considérations relatives au réseau sans fil.

La participation de proximité et d’autres fonctionnalités des Salles Teams reposent sur Bluetooth. Cependant, l’implémentation Bluetooth sur les appareils Salles Teams n’autorise pas la connexion d’un appareil externe à un appareil Salles Teams. L’utilisation de la technologie Bluetooth sur les appareils Salles Teams est actuellement limitée aux balises publicitaires et aux connexions proximales déclenchées. Le type d’unité de données de protocole (PDU) ADV_NONCONN_INT est utilisé dans la balise publicitaire. Ce type PDU est destiné aux appareils non connectés qui publient des informations sur l’appareil à l’écoute. Aucun jumelage d’appareils Bluetooth n’est nécessaire dans le cadre de ces fonctionnalités. Pour plus d’informations sur les protocoles Bluetooth, consultez le site web Bluetooth SIG.

  • Last updated on