Guide complet : Déployer la gestion unifiée de configuration Microsoft 365 (UTCM)

Introduction

La surveillance des dérives de configuration représente un défi majeur pour les administrateurs Microsoft 365. Les modifications non autorisées ou accidentelles peuvent compromettre la sécurité et la conformité de votre environnement. Microsoft répond à ce besoin avec Unified Tenant Configuration Management (UTCM), une solution native qui révolutionne la gestion des configurations.

Cet article vous guide pas à pas dans l'implémentation d'UTCM à l'aide de PowerShell, depuis la configuration initiale jusqu'à la détection des dérives.

Architecture et composants d'UTCM

Avant de plonger dans la configuration, comprenons l'architecture d'UTCM qui repose sur trois piliers fondamentaux :

Les snapshots (instantanés)

Les snapshots capturent l'état de vos ressources à un instant donné. Ils constituent votre référence, votre état désiré. Pensez-y comme une photographie de vos politiques d'accès conditionnel ou de vos règles Exchange à un moment où tout est parfaitement configuré.

Les monitors (moniteurs)

Les monitors sont le moteur de surveillance. Ils comparent périodiquement l'état actuel de votre tenant avec le snapshot de référence. Par défaut, cette vérification s'exécute toutes les 6 heures.

Les drifts (dérives)

Les drifts représentent les écarts détectés entre l'état actuel et l'état de référence. Par exemple, si le nom d'une politique d'accès conditionnel a été modifié, UTCM le signalera comme une dérive.

Prérequis techniques

Avant de commencer l'implémentation, assurez-vous de disposer des éléments suivants :

• PowerShell 7 ou version supérieure installé sur votre poste de travail
• Un compte avec le rôle Global Administrator dans votre tenant
• Les modules PowerShell Microsoft Graph installés

1Connect-MgGraph -Scopes 'ConfigurationMonitoring.ReadWrite.All'

Configuration de l'authentification UTCM

UTCM utilise un principal de service dédié qui lui permet d'accéder aux ressources à surveiller. Cette approche garantit une séparation claire des privilèges et une sécurité renforcée.

1Install-Module Microsoft.Graph.Authentication

1Connect-MgGraph -Scopes 'Application.ReadWrite.All'

1# Création du principal de service
2$body = @{
3    appId = "03b07b79-c5bc-4b5e-9bfa-13acf4a99998"
4}
5Invoke-MgGraphRequest -Uri "v1.0/servicePrincipals" -Method POST -Body $body
6 
7# Attribution des permissions
8$permissions = @('Policy.Read.All', 'Policy.ReadWrite.ConditionalAccess')
9$graph = Invoke-MgGraphRequest -Uri "v1.0/servicePrincipals?`$filter=appId eq '00000003-0000-0000-c000-000000000000'" -Method GET -OutputType PSObject | Select -Expand Value
10$utcm = Invoke-MgGraphRequest -Uri "v1.0/servicePrincipals?`$filter=appId eq '03b07b79-c5bc-4b5e-9bfa-13acf4a99998'" -Method GET -OutputType PSObject | Select -Expand Value
11 
12foreach ($requestedPermission in $permissions) {
13    $AppRole = $Graph.AppRoles | Where-Object { $_.Value -eq $requestedPermission }
14    $body = @{
15        appRoleId = $AppRole.Id
16        resourceId = $Graph.Id
17        principalId = $UTCM.Id
18    } | ConvertTo-Json 
19 
20    Invoke-MgGraphRequest -Uri "/v1.0/servicePrincipals/$($UTCM.Id)/appRoleAssignments" -Method POST -Body $body
21}

Création d'un snapshot de référence

Le snapshot constitue votre ligne de base, votre état de référence. Il est crucial de le capturer lorsque vos ressources sont dans l'état souhaité.

Capture des politiques d'accès conditionnel

Pour créer un snapshot de vos politiques d'accès conditionnel actuelles :

1$uri = "beta/admin/configurationManagement/configurationSnapshots/createSnapshot"
2$body = @{
3    displayName = "Conditional Access Baseline"
4    description = "Criticial CA policies"
5    resources = @(
6        "microsoft.entra.conditionalaccesspolicy"
7    )
8}
9Invoke-MgGraphRequest -Uri $uri -Method POST -Body $body

Capture de multiples types de ressources

Pour capturer plusieurs types de ressources simultanément, étendez simplement le tableau des ressources :

1resources = @(
2    "microsoft.entra.conditionalaccesspolicy",
3    "microsoft.entra.authenticationmethodpolicy"
4)

Mise en place du monitoring

Une fois le snapshot créé, configurez le monitoring pour surveiller activement les dérives.

1# Filtrage pour localiser le snapshot désiré
2$filter = "displayName eq 'Conditional Access Baseline'"
3$uri = "beta/admin/configurationManagement/configurationSnapshotJobs/?`$filter=$filter"
4# Récupération du snapshot
5$snapshot = Invoke-MgGraphRequest -Uri $uri -Method GET -OutputType PSObject | Select -Expand Value
6# Obtention de l'URI des configurations
7$resourceLocation = $snapshot[0].resourceLocation
8# Récupération de la configuration complète
9$resources = Invoke-MgGraphRequest -Uri $resourceLocation -Method GET
10$fineResources = $resources | Select displayName, description, resources

1$uri = "beta/admin/configurationManagement/configurationMonitors"
2$body = @{
3    displayName = "Conditional Access Monitor"
4    description = "Criticial CA policies Monitor"
5    baseline = @{
6        displayName = $fineResources.displayName
7        description = $fineResources.description
8        resources = ($fineResources.resources | Select-Object -Property displayName, resourceType, properties)
9    }
10} | ConvertTo-Json -Depth 10
11Invoke-MgGraphRequest -Uri $uri -Method POST -Body $body

Surveillance et analyse des résultats

Vérification du statut des jobs

Les monitors s'exécutent automatiquement toutes les 6 heures. Pour consulter les résultats :

1# Recherche de l'ID du monitor
2$filter = "displayName eq 'Conditional Access Monitor'"
3$uri = "beta/admin/configurationManagement/configurationMonitors/?`$filter=$filter"
4$monitorJob = Invoke-MgGraphRequest -Uri $uri -Method GET -OutputType PSObject | Select -Expand Value
5 
6# Récupération des résultats
7$filter = "monitorId eq '$($monitorJob[0].id)'"
8$uri = "/beta/admin/configurationManagement/configurationMonitoringResults?`$filter=$filter"
9$monitorResults = Invoke-MgGraphRequest -Uri $uri -Method GET -OutputType PSObject | Select -expand Value

Analyse des dérives détectées

Lorsque des dérives sont signalées, examinez-les en détail :

1$filter = "monitorId eq '$($monitorJob[0].id)'"
2$uri = "/beta/admin/configurationManagement/configurationDrifts/?`$filter=$filter"
3$configurationDrifts = Invoke-MgGraphRequest -Uri $uri -Method GET -OutputType PSObject | Select -expand Value

Pour une visualisation détaillée des changements :

1$configurationDrifts | ConvertTo-Json -Depth 10

Recommandations et bonnes pratiques

Automatisation et intégration

Bien qu'UTCM soit puissant, il reste actuellement un ensemble d'APIs. Pour une utilisation optimale :

• Automatisez la récupération et l'analyse des dérives via des runbooks Azure Automation
• Intégrez les alertes dans votre système de ticketing ou de notification
• Documentez chaque snapshot avec des descriptions détaillées pour faciliter le suivi

Gestion des permissions

Planification de la surveillance

• Créez des snapshots distincts pour différentes catégories de ressources
• Établissez une routine de revue hebdomadaire des dérives
• Documentez les changements légitimes pour éviter les faux positifs récurrents

Conclusion

UTCM représente une avancée significative dans la gestion proactive des configurations Microsoft 365. En implémentant cette solution, vous transformez la surveillance réactive en une approche préventive, garantissant la stabilité et la conformité de votre environnement.

La clé du succès réside dans une implémentation méthodique, une documentation rigoureuse et une automatisation intelligente. Alors qu'UTCM évolue vers sa version finale, les fondations que vous posez aujourd'hui vous permettront de tirer pleinement parti de ses futures capacités.