Les comptes d'accès d'urgence ne sont pas un simple admin protégé par MFA

Chaque MSP finit par se voir demander pourquoi un client a besoin de comptes d'accès d'urgence dédiés si chaque administrateur doit déjà utiliser l'authentification multifacteur. La réponse est que les comptes d'accès d'urgence résolvent un problème différent : rester utilisables lorsque le fournisseur d'identité ou le système MFA lui-même est indisponible, et non ajouter une autre couche sur un système qui fonctionne déjà.

Ce que recommande Microsoft

Les recommandations de Microsoft pour Entra ID préconisent au moins deux comptes d'accès d'urgence cloud-only, non synchronisés depuis un annuaire local ni fédérés via un fournisseur d'identité externe — car un compte qui dépend de la même infrastructure qu'il est censé secourir n'est pas vraiment un compte d'urgence. Microsoft recommande une authentification résistante au phishing telle que les clés FIDO2 ou l'authentification par certificat, délibérément indépendante des méthodes utilisées par les administrateurs habituels, et une attribution permanente — et non éligible ou limitée dans le temps — du rôle Global Administrator dans Privileged Identity Management, puisqu'un workflow d'activation est précisément ce qui pourrait ne pas fonctionner pendant une panne. Ces comptes doivent tout de même être couverts par des stratégies d'accès conditionnel exigeant une MFA résistante au phishing ; l'exclusion recommandée porte sur le blocage géolocalisé spécifiquement, et non sur les contrôles d'accès en général, compte tenu de cas passés où des connexions légitimes ont été mal classées géographiquement pendant plusieurs heures.

Ce que NIST et OWASP ajoutent

Le contrôle AC-2(2) de NIST SP 800-53 présente les comptes d'urgence comme quelque chose d'activé pour une crise définie puis automatiquement désactivé ou supprimé ensuite, plutôt que maintenu indéfiniment. Les recommandations MFA d'OWASP signalent les processus de récupération et de contournement comme une cible d'attaquant à part entière : tout mécanisme restaurant l'accès en urgence ne doit pas devenir discrètement un moyen de contourner la MFA en conditions normales.

À quoi ressemble « prouvez que ça marche »

• Surveillez spécifiquement les connexions à ces comptes, avec une alerte à chaque tentative — réussie ou échouée.
• Exécutez des exercices d'accès selon un calendrier fixe, généralement tous les 90 jours, plutôt que de supposer que la configuration fonctionne toujours.
• Rédigez un bref post-mortem après chaque utilisation réelle ou exercice, et ajustez la configuration en fonction des constats.
• Documentez qui peut récupérer les identifiants et comment, car une redondance sans processus de récupération n'est pas réellement redondante.

Une conception d'accès d'urgence qui n'a jamais été testée dans des conditions de défaillance simulée n'est pas une protection — c'est une hypothèse.

Sources : Microsoft Learn — comptes d'accès d'urgence, NIST SP 800-53 Rev. 5.