Access Review

Fonctionnalité Azure AD permettant aux propriétaires de groupes ou aux administrateurs de réviser périodiquement les droits d'accès des membres d'un groupe ou d'une application. Elle garantit que seuls les utilisateurs autorisés conservent leurs accès.

User3, propriétaire de Group1, utilise une Access Review pour valider que User1 doit toujours être membre du groupe.

AzCopy

Utilitaire en ligne de commande Microsoft permettant de copier des données vers et depuis Azure Blob Storage et Azure File Storage. Pour Blob Storage, il supporte l'authentification Azure AD et SAS ; pour File Storage, uniquement les SAS.

Un administrateur utilise AzCopy avec un token SAS pour copier des fichiers vers Azure File Storage dans storage1.

Azure AD Connect

Outil de synchronisation Microsoft permettant de répliquer les objets (utilisateurs, groupes, contacts) d'un Active Directory local vers Azure Active Directory. Il prend en charge des fonctionnalités comme la réécriture de mot de passe et le filtrage par OU.

Après avoir retiré OU1 du périmètre de synchronisation Azure AD Connect, les objets qu'elle contenait sont supprimés d'Azure AD.

Azure AD Seamless SSO

Fonctionnalité permettant aux utilisateurs connectés à des machines jointes au domaine Active Directory local de s'authentifier automatiquement aux ressources Azure sans ressaisir leurs identifiants. Elle fonctionne avec la synchronisation de hachage de mot de passe ou l'authentification directe.

Les utilisateurs du bureau de Miami utilisent Azure AD Seamless SSO pour accéder aux ressources Azure sans second prompt d'authentification.

Azure Blob Storage Access Tier

Paramètre de niveau d'accès appliqué aux blobs dans Azure Storage, disponible en trois niveaux : Hot (accès fréquent), Cool (accès peu fréquent) et Archive (stockage à long terme à faible coût). Chaque niveau impacte les coûts de stockage et de récupération.

Contoso configure le niveau Archive pour ses fichiers de plans afin de minimiser les coûts de stockage à long terme.

Azure File Sync

Service permettant de centraliser les partages de fichiers d'une organisation dans Azure Files tout en maintenant la flexibilité et les performances d'un serveur de fichiers local. Il s'appuie sur un Storage Sync Service et des groupes de synchronisation.

Server1 est enregistré dans Sync1 et D:\Folder1 est ajouté comme server endpoint pour synchroniser les fichiers avec share1 dans Azure.

Azure Import/Export

Service Azure permettant de transférer de grandes quantités de données vers Azure Blob Storage ou Azure File Storage en expédiant physiquement des disques durs à un centre de données Microsoft. Il nécessite des fichiers CSV Driveset et Dataset pour préparer les disques.

Subscription1 utilise un job Azure Import/Export pour importer 5 To de données vers Azure Blob Storage en expédiant des disques physiques.

Cloud Endpoint

Dans Azure File Sync, point de terminaison unique représentant un partage de fichiers Azure au sein d'un groupe de synchronisation. Un groupe de synchronisation ne peut avoir qu'un seul cloud endpoint, qui sert de référence centrale pour la synchronisation.

share1 est configuré comme cloud endpoint de Group1 ; il est impossible d'ajouter share2 comme second cloud endpoint dans le même groupe.

Cloud Tiering

Fonctionnalité d'Azure File Sync permettant de stocker uniquement les fichiers fréquemment utilisés localement sur le serveur, tout en déplaçant les fichiers moins utilisés vers Azure Files sous forme de pointeurs. Elle optimise l'utilisation de l'espace disque local.

Cloud tiering est activé sur Endpoint3, ce qui permet de ne conserver localement que les fichiers les plus accédés.

Custom RBAC Role

Rôle Azure Role-Based Access Control défini par l'utilisateur, basé sur un rôle existant exporté via Get-AzRoleDefinition, puis modifié et réimporté. Il permet d'accorder des permissions précises non couvertes par les rôles intégrés.

L'administrateur exécute Get-AzRoleDefinition puis ConvertTo-Json pour exporter le rôle Reader avant de créer Role1 personnalisé.

Dynamic Membership Group

Groupe Azure AD dont les membres sont automatiquement ajoutés ou retirés selon des règles basées sur des attributs utilisateur ou appareil (ex. département, système d'exploitation). Les utilisateurs ne peuvent pas ajouter manuellement des membres à ce type de groupe.

Group1 utilise une règle dynamique basée sur l'attribut département ; les utilisateurs ne peuvent donc pas y ajouter manuellement Device1.

External Collaboration Settings

Paramètres Azure AD contrôlant la capacité des utilisateurs à inviter des utilisateurs externes (guests) dans le tenant. Ils définissent qui peut envoyer des invitations et quelles restrictions s'appliquent aux domaines externes.

La modification des External Collaboration Settings permet à Admin1 d'inviter user1@outlook.com dans le tenant contoso.onmicrosoft.com sans recevoir l'erreur d'autorisation.

Group Expiration Policy

Stratégie Azure AD permettant de définir une durée de vie pour les groupes Office 365 (Microsoft 365 Groups), après laquelle ils sont automatiquement supprimés si non renouvelés. Cette fonctionnalité ne s'applique pas aux groupes de sécurité.

Une Group Expiration Policy de 180 jours est configurée sur les groupes Office 365 pour supprimer automatiquement l'accès temporaire à Library1.

GRS (Geo-Redundant Storage)

Option de réplication Azure Storage qui réplique les données de manière synchrone trois fois dans la région primaire et de manière asynchrone vers une région secondaire distante. Elle assure la tolérance aux pannes en cas de sinistre régional.

Le compte de stockage est créé avec Standard_GRS pour assurer la tolérance aux pannes en cas de sinistre affectant la région Azure principale.

Logic App Contributor

Rôle RBAC intégré Azure permettant de créer et gérer des Azure Logic Apps dans un périmètre défini (abonnement, groupe de ressources ou ressource), sans accorder d'accès aux autres ressources environnantes.

Le rôle Logic App Contributor est attribué au groupe Developers sur le groupe de ressources Dev pour leur permettre de créer des Logic Apps.

MFA Trusted Device Remember

Paramètre du service Azure Multi-Factor Authentication permettant aux utilisateurs de ne pas répéter la MFA pendant un nombre de jours défini sur un appareil de confiance après une première authentification réussie. Il se configure dans les Service Settings de la page MFA.

L'option Remember MFA on trusted device est configurée pour 10 jours afin d'éviter aux utilisateurs de répéter la MFA à chaque connexion depuis un appareil de confiance.

Password Writeback

Fonctionnalité d'Azure AD Connect permettant de répercuter dans l'Active Directory local les modifications de mots de passe effectuées dans Azure AD ou via SSPR. Lorsqu'elle est désactivée, seuls les utilisateurs cloud-only peuvent réinitialiser leur mot de passe.

Lorsque Password Writeback est désactivé dans adatum.com, seul User1 (compte cloud-only) peut réinitialiser son mot de passe via SSPR.

Privileged Identity Management (PIM)

Application Azure AD permettant de gérer, contrôler et surveiller l'accès aux ressources Azure et Azure AD avec des rôles Just-In-Time (JIT) et des workflows d'approbation. Son activation nécessite le rôle Global Administrator.

Admin1@contoso.onmicrosoft.com, en tant que Global Administrator de Tenant1, est le seul compte pouvant ajouter l'application PIM au tenant.

Recovery Services Vault

Ressource Azure servant de conteneur centralisé pour gérer les sauvegardes de machines virtuelles, partages de fichiers Azure et bases de données SQL. Le vault doit impérativement se trouver dans la même région que les ressources à protéger.

Vault1 sauvegarde VM1 car ils se trouvent dans la même région, mais ne peut pas sauvegarder share1 situé dans une région différente.

Shared Access Signature (SAS)

Mécanisme d'authentification Azure Storage générant un token URI donnant un accès temporaire et délimité à des ressources de stockage spécifiques. C'est la seule méthode d'authentification supportée par AzCopy pour Azure File Storage.

Un token SAS est généré pour permettre aux partenaires un accès temporaire et sécurisé aux fichiers de plans stockés dans Azure Blob Storage.

SSPR (Self-Service Password Reset)

Fonctionnalité Azure AD permettant aux utilisateurs de réinitialiser leur propre mot de passe sans intervention du support informatique, via des méthodes d'authentification préalablement configurées comme le téléphone mobile ou les questions de sécurité.

User1 utilise SSPR pour réinitialiser son mot de passe en répondant aux 3 questions de sécurité requises ainsi qu'en validant via son téléphone mobile.

Storage Sync Service

Ressource Azure de niveau supérieur représentant Azure File Sync dans un abonnement. Elle permet d'enregistrer des serveurs Windows locaux et de créer des groupes de synchronisation associant des partages de fichiers Azure à des dossiers serveurs.

La première étape de configuration d'Azure File Sync dans l'abonnement consiste à créer un Storage Sync Service avant de définir un groupe de synchronisation.

Temporary Disk (Lecteur D)

Disque éphémère associé à chaque machine virtuelle Azure, utilisé pour le stockage temporaire de données comme les fichiers de pagination. Son contenu est effacé et réinitialisé lors d'un redéploiement, d'un redimensionnement ou d'une défaillance de l'hôte.

Après le redéploiement de VM1, les fichiers créés sur le lecteur D (disque temporaire) sont perdus, contrairement aux fichiers stockés sur le lecteur C (disque OS).

UPN (User Principal Name)

Identifiant de connexion unique d'un utilisateur dans Azure AD, au format nom@domaine.com. Azure AD n'accepte pas certains caractères spéciaux dans le préfixe UPN, ce qui peut bloquer la synchronisation depuis un Active Directory local.

Des utilisateurs de humongousinsurance.com ont des UPN contenant des caractères spéciaux non supportés par Azure AD, ce qui nécessite une correction avant synchronisation.

ZRS (Zone-Redundant Storage)

Option de réplication Azure Storage qui répartit les données de manière synchrone sur trois zones de disponibilité au sein d'une même région. La migration en direct vers ZRS via le support Azure est disponible uniquement pour les comptes LRS ou GRS de type GPv2 dans les régions compatibles.

Storage2 est identifié comme le compte pouvant migrer vers ZRS en demandant une migration en direct auprès du support Azure, car il remplit les conditions de type et de région requises.