Azure Entra ID : un connecteur entièrement reconstruit, et une fusion avec Azure Admin

Parlons franchement : ces derniers mois, notre connecteur Azure Entra ID ne vous a pas donné entière satisfaction. Certains d’entre vous ont constaté des lenteurs et des indisponibilités ponctuelles, et nous les avons constatées avec vous. Plutôt que de corriger à la marge, nous avons fait un autre choix : reconstruire entièrement le connecteur.

Et nous en avons profité pour simplifier votre quotidien : Azure Admin et Azure Entra ID fusionnent en un connecteur unique. Une seule instance à configurer, un seul vault, une couverture bien plus large.

Cette refonte, nous l’avons menée avec deux exigences de départ : la performance et la fiabilité. Le nouveau connecteur collecte toutes ses données via l’API Microsoft Graph, l’interface officielle et unifiée de Microsoft pour interroger un tenant, avec des temps de réponse courts et stables, y compris sur les tenants comptant plusieurs milliers d’applications.

Autre changement de philosophie : quand une permission manque, le connecteur ne tombe plus en erreur obscure. Il vous indique explicitement la permission exacte à accorder dans votre tenant. Autrement dit, fini les capteurs en erreur sans explication : vous savez immédiatement quoi corriger, et où.

Jusqu’ici, la surveillance de votre annuaire se partageait entre deux connecteurs : Azure Admin d’un côté (certificats, secrets, synchronisation d’annuaire), Azure Entra ID de l’autre. Le nouveau connecteur réunit ces cas d’usage et en ajoute de nouveaux, pour une vue en lecture seule complète de votre tenant Microsoft Entra ID (l’ex-Azure Active Directory) :

• Identités et licences — comptes actifs et désactivés, invités, comptes inactifs depuis 30 ou 90 jours, licences assignées par SKU et estimation du coût des licences non utilisées.
• Posture de sécurité — rôles d’annuaire et nombre de global admins, politiques d’accès conditionnel, utilisateurs à risque, couverture MFA (taux de MFA, admins sans MFA, comptes SMS uniquement), audit des permissions OAuth2 accordées aux applications.
• Accès privilégiés — assignations de rôles éligibles versus permanentes via Privileged Identity Management, et global admins assignés en permanence.
• Inventaire — groupes (Microsoft 365, Teams, sécurité, dynamiques, vides), appareils par système d’exploitation (conformes, gérés, obsolètes), applications et l’état de leurs credentials.
• Santé du service — état de Microsoft Entra, incidents et avis en cours.

Chaque type d’élément est un capteur indépendant : vous n’activez que ce dont vous avez besoin, avec uniquement les permissions Graph correspondantes.

La surveillance des certificats et secrets reste le cœur du connecteur : détecter un credential qui expire avant qu’il ne casse une authentification. Elle gagne trois capacités attendues de longue date :

1. Le périmètre Enterprise apps — en plus de vos app registrations, le connecteur surveille désormais les certificats de signature SAML de vos applications SSO. Un certificat SAML expiré, c’est un SSO en panne pour tous les utilisateurs : autant le voir venir.
2. Un canal par certificat ou par secret — au-delà de la vue de synthèse, vous pouvez suivre chaque credential individuellement, avec un nommage stable qui évite les collisions.
3. Des filtres d’inclusion et d’exclusion — pour ne suivre que les applications qui comptent, par nom ou par identifiant.

C’est le point important de cette annonce : la bascule de vos instances existantes sera pilotée automatiquement par nos équipes. Vos capteurs Azure Admin et Azure Entra ID actuels seront migrés vers le nouveau connecteur de façon progressive et transparente — pas d’instance à recréer, pas d’interruption de vos historiques, aucune action de votre part.

Le calendrier : la fusion s’étalera sur les prochaines semaines, et nous préviendrons individuellement les comptes concernés avant chaque vague. Seul cas où nous solliciterons votre administrateur : si vous souhaitez activer les nouveaux types d’éléments, certaines permissions Graph supplémentaires devront être accordées dans votre tenant — elles sont détaillées type par type dans la documentation, et vous n’accordez que ce que vous utilisez.

La documentation complète est disponible ici : connecteur Azure Entra ID, et la création du vault est décrite sur la page Vaults.

J’en profite pour signaler que cette documentation a elle aussi fait peau neuve : nouvelle plateforme, exemples de sortie réels pour chaque connecteur, tableau des permissions par type d’élément et guide de dépannage. Le connecteur et sa documentation ont été repensés ensemble.

Et pour toute question sur la fusion ou l’activation des nouveaux capteurs, notre équipe est à votre disposition.