Microsoft vient de mettre à disposition une nouvelle version (1.2020.1219.0) de l’outil de packaging MSIX (MSIX Packing Tool) depuis le Microsoft Store. Cet outil permet de prendre un package d’application Win32 existant et de la convertir au format MSIX. Vous utilisez pour cela une machine de référence pour exécuter l’outil et obtenir le package MSIX que vous pouvez ensuite déployer à la main, par votre outil de télédistribution ou depuis le Microsoft Store.

Pour rappel, le format MSIX est un nouveau format standardisé lancé par Microsoft pour remplacer l’ensemble des formats de packaging existants tout en bénéficiant des avancés des différentes solutions : Click-To-Run (C2R), App-V, APPX et plus généralement du Framework d’applications universelles (UWP). Il offre donc des mécanismes de conteneurisation et les bénéfices des applications universelles avec une installation, mise à jour et désinstallation aisée sans laisser aucune trace sur le système. Il fournit aussi des mécanismes de sécurisation avancés permettant de valider l’intégrité du code exécuté. Ce format permet aussi de créer des personnalisations pour les applications packagées et de les faire perdurer au travers des différentes mises à jour de l’application.

Cette préversion ajoute les fonctionnalités :

• Améliorations de l’interface graphique pour la page de sélection de l'installateur.
• Suppression du support pour la version 1 de Device Guard Signing
• N'ajoute un logo par défaut pour le magasin que si celui-ci n'est pas extrait de l'application.

Pour accéder à l’outil, vous devez :

• Participer au programme Windows Insider Fast ou Slow Ring
• Avoir les droits d’administrateur sur la machine
• Avoir un compte Microsoft pour accéder au Microsoft Store.

Plus d'éléments sur le format MSIX sur MSIX Intro

Télécharger MSIX Packing Tool

Microsoft vient de mettre à disposition une nouvelle version (1.2.1755) du client Windows pour Remote Desktop.

Cette version apporte les éléments suivants :

• Ajout du point d'accès Experience Monitor à l'icône de la barre d'état système.
• Correction d'un problème où la saisie d'une adresse électronique dans l'onglet "Subscribe to a Workplace" entraînait l'arrêt de la réponse de l'application.
• Correction d'un problème où le client n'envoyait parfois pas les événements EventHub et Diagnostics.
• Mises à jour du plugin "Teams on Windows Virtual Desktop", avec notamment :
  • L’amélioration des performances de la synchronisation audio et vidéo et l’ajout d'un décodage accéléré par le matériel qui réduit l'utilisation du CPU sur le client.
  • La résolution des causes les plus fréquentes de problèmes d'écran noir lorsqu'un utilisateur se joint à un appel ou à une réunion avec sa vidéo activée, lorsqu'un utilisateur effectue un partage d'écran et lorsqu'un utilisateur allume et éteint sa caméra.
  • L’amélioration de la qualité de la commutation du haut-parleur actif dans la vue d'une seule vidéo en réduisant le temps d'apparition de la vidéo et en réduisant les écrans noirs intermittents lors de la commutation des flux vidéo vers un autre utilisateur.
  • La correction d'un problème où les périphériques matériels avec des caractères spéciaux n'étaient parfois pas disponibles dans Teams.

Télécharger pour :

• Windows 64-bit
• Windows 32-bit
• Windows ARM64

Desktop Analytics étant un service comme Microsoft Intune, on retrouve des mises à jour de service continuelle. Comme pour Microsoft Intune, je vous propose un résumé des changements et fonctionnalités que Microsoft a pu introduire dans le mois.

• D'ici à la fin mars 2021, le rôle d'administrateur Desktop Analytics dans Azure Active Directory ne nécessitera plus les autorisations suivantes :
  • microsoft.office365.webPortal/allEntities/basic/read
  • microsoft.office365.serviceHealth/allEntities/allTasks
  • microsoft.office365.supportTickets/allEntities/allTasks

Ces permissions ne sont pas utilisées actuellement par ce rôle.Aucune action n'est requise, cet avis est une annonce de dépréciation.

 Plus d’informations sur : What’s new in Desktop Analytics

Microsoft a introduit un ensemble de nouveautés dans Microsoft Cloud App Security (MCAS), sa solution Cloud Access Security Broker (CASB). Comme pour les autres services, je vous propose un résumé des changements et fonctionnalités que Microsoft a pu introduire dans le mois.

La version 189, 190 et 191 introduisent les changements suivants :

• Nouvelle détection d'anomalies : Suspicious addition of credentials to an OAuth app.  Microsoft a étendu les détections d'anomalies pour inclure l'ajout suspect d'identifiants privilégiés à une application OAuth. La détection peut indiquer qu'un attaquant a compromis l'application et l'utilise pour des activités malveillantes. Pour plus d'informations, voir Cloud App Security anomaly detection alerts investigation guide | Microsoft Docs.
• Audit amélioré pour les activités de découverte Shadow IT : Microsoft a mis à jour l'audit des activités Shadow IT pour y inclure les actions effectuées par les administrateurs. Les nouvelles activités suivantes sont désormais disponibles dans le journal des activités et peuvent être utilisées dans le cadre d'enquête sur la sécurité des applications Cloud.
  • Taguer ou dé-taguer des applications
  • Créer, mettre à jour ou supprimer des collecteurs de journaux
  • Créer, mettre à jour ou supprimer de sources de données
• Nouveaux points de terminaison de l'API REST pour l'enrichissement des données. Microsoft a ajouté les points de terminaison de l'API d'enrichissement des données suivants, qui vous permettent de gérer entièrement vos plages d'adresses IP à l'aide de l'API.

La version 192, 193 et 194 introduisent les changements suivants :

• Mises à jour de la page des stratégies : Microsoft a mis à jour la page des stratégies, en ajoutant un onglet pour chaque catégorie de stratégie. Microsoft a également ajouté un onglet "All Policies" pour vous donner une liste complète de toutes les stratégies.
• Microsoft a amélioré l'exportation des activités des applications Office 365 OAuth vers un fichier CSV avec l'URL de redirection des applications OAuth.
• Dans les mois à venir, Cloud App Security mettra à jour son interface utilisateur afin d'offrir une expérience plus cohérente sur les portails de sécurité Microsoft 365. Plus d’infos sur : Microsoft Cloud App Security User Interface Updates - Microsoft Tech Community

Plus d’informations sur : What's new with Microsoft Cloud App Security

Microsoft a introduit un ensemble de nouveautés dans Azure Defender (anciennement Azure Security Center). Comme pour les autres services, je vous propose un résumé des changements et fonctionnalités que Microsoft a pu introduire dans le mois.

• Azure Security Benchmark est maintenant une stratégie par défaut pour Azure Security Center. Azure Security Benchmark est un ensemble de directives spécifiques à Azure, élaborées par Microsoft, pour les bonnes pratiques de sécurité et de conformité, basées sur des cadres de conformité communs. Ce référentiel largement respecté s'appuie sur les contrôles du Center for Internet Security (CIS) et du National Institute of Standards and Technology (NIST) en mettant l'accent sur la sécurité dans le Cloud.t
• Disponibilité Générale des connecteurs multi-cloud permettant la gestion d’Azure, d’Amazon Web Services (AWS) et Google Cloud Platform (GCP).
• Disponibilité Générale de la nouvelle page des alertes de sécurité dans le portail Azure. Ceci permet d’améliorer l’expérience de tri, de donner plus d’informations sur les alertes, d’ajouter un bouton de création d’alerte exemple, d’alignement de l’expérience d’incident sur Azure Sentinel, d’amélioration des performances, etc.
• Disponibilité Générale de l’évaluation de la vulnérabilité des machines sur site et multi-cloud grâce à l’intégration via Azure Arc. Lorsque vous aurez activé Azure Arc sur vos machines non Azure, Security Center vous proposera de déployer le scanner de vulnérabilité intégré sur celles-ci. Parmi les fonctionnalités, on retrouve :
  • Surveillance de l'état de provisionnement du scanner de vulnérabilité (VA) sur les machines Azure Arc.
  • Provisionnement de l'agent VA intégré aux machines non protégées Windows et Linux Azure Arc.
  • Réception et analyse des vulnérabilités détectées par les agents déployés.
  • Une expérience unifiée pour les VMs Azure et les machines Azure Arc.
• Disponibilité Générale des recommandations de protection pour les ressources Kubernetes avec 13 recommandations de sécurité.
• Amélioration de la page d’inventaire des actifs (Asset Inventory)
• Preview du Secure Score pour les groupes d’administration (Management groups) an plus du niveau d’abonnement.
• Disponibilité Générale de l’API Secure Score.
• L’intégration de Microsoft Defender for Endpoint avec Azure Defender supporte maintenant en Preview Windows Server 2019 et Windows Virtual Desktop (WVD).
• Azure Defender for App Service détecte désormais les entrées DNS en suspens (DNS Dandling) lorsqu'un site web App Service est mis hors service. C'est le moment où l'entrée DNS pointe vers une ressource inexistante, et votre site web est vulnérable à une prise de contrôle de sous-domaine. Ces protections sont disponibles que vos domaines soient gérés par Azure DNS ou par un registraire de domaines externe et s'appliquent à la fois à l'App Service sous Windows et Linux.

• Lorsque vous examinez les détails d'une recommandation, il est souvent utile de pouvoir voir la stratégie sous-jacente. Pour chaque recommandation supportée par une stratégie, il y a un nouveau lien à partir de la page des détails de la recommandation.
• Microsoft étend la capacité d’exclusion pour inclure des recommandations entières. Vous pouvez exclure une ressource, un abonnement ou un groupe d’administration (management group) pour s’assurer qu’ils ne soient pas listés comme non sains et n’impactent pas le Secure Score.
• La recommandation "Sensitive data in your SQL databases should be classified" n'affecte plus le Secure Score.
• Si un utilisateur n'a pas l'autorisation de voir les données du Centre de sécurité, il verra désormais un lien lui permettant de demander des autorisations à l'administrateur global de son entreprise. La demande comprend le rôle qu'il souhaite et la justification de la nécessité de cette autorisation.
• Microsoft a ajouté un troisième type de données aux options de déclenchement des automatisations de flux de travail : les modifications des évaluations de conformité réglementaire.

• On retrouve 35 recommandations en Preview afin d’améliorer la couverture d’Azure Security Benchmark avec :
  • Azure Cosmos DB accounts should use customer-managed keys to encrypt data at rest
  • Azure Machine Learning workspaces should be encrypted with a customer-managed key (CMK)
  • Bring your own key data protection should be enabled for MySQL servers
  • Bring your own key data protection should be enabled for PostgreSQL servers
  • Cognitive Services accounts should enable data encryption with a customer-managed key (CMK)
  • Container registries should be encrypted with a customer-managed key (CMK)
  • SQL managed instances should use customer-managed keys to encrypt data at rest
  • SQL servers should use customer-managed keys to encrypt data at rest
  • Storage accounts should use customer-managed key (CMK) for encryption
  • Subscriptions should have a contact email address for security issues
  • Auto provisioning of the Log Analytics agent should be enabled on your subscription
  • Email notification for high severity alerts should be enabled
  • Email notification to subscription owner for high severity alerts should be enabled
  • Key vaults should have purge protection enabled
  • Key vaults should have soft delete enabled
  • Function apps should have 'Client Certificates (Incoming client certificates)' enabled
  • Web Application Firewall (WAF) should be enabled for Application Gateway
  • Web Application Firewall (WAF) should be enabled for Azure Front Door Service service
  • Firewall should be enabled on Key Vault
  • Private endpoint should be configured for Key Vault
  • App Configuration should use private link
  • Azure Cache for Redis should reside within a virtual network
  • Azure Event Grid domains should use private link
  • Azure Event Grid topics should use private link
  • Azure Machine Learning workspaces should use private link
  • Azure SignalR Service should use private link
  • Azure Spring Cloud should use network injection
  • Container registries should not allow unrestricted network access
  • Container registries should use private link
  • Public network access should be disabled for MariaDB servers
  • Public network access should be disabled for MySQL servers
  • Public network access should be disabled for PostgreSQL servers
  • Storage account should use a private link connection
  • Storage accounts should restrict network access using virtual network rules
  • VM Image Builder templates should use private link
• Microsoft permet maintenant l’export d’une liste de recommandations au format CSV tout en prenant en compte les filtres définis dans la page des recommandations.t

• Auparavant, les ressources qui étaient évaluées pour une recommandation et qui étaient jugées non applicables apparaissaient dans la politique d'Azure comme "non conformes". Aucune action de l'utilisateur ne pouvait changer leur état en "Conforme". Avec ce changement, elles sont signalées comme "conformes" pour plus de clarté.

• Microsoft a ajouté une nouvelle fonction aux outils d'exportation continue pour exporter des instantanés hebdomadaires de données de score sécurisé et de conformité réglementaire.

Plus d’informations sur : Release notes for Azure Security Center | Microsoft Docs

Microsoft a publié le correctif KB4600089 de Microsoft Endpoint Configuration Manager 2010 (MECM/SCCM). Ce correctif s’applique à la fois aux environnements qui ont utilisé le script Early Wave et à ceux qui ont attendu la version finale

Parmi les problèmes corrigés, on retrouve :

Console Configuration Manager

• Si le processus de mise à jour des images de démarrage sur les points de distribution prend plus de huit minutes, des détails d'exception ressemblant à ce qui suit sont affichés : Exception type:   System.ArgumentOutOfRangeException. Message:          Value of '101' is not valid for 'Value'. 'Value' should be between 'minimum' and 'maximum'.
• Si le processus d’onboarding du tenant est terminé et que les téléchargements de périphériques sont limités à une collection spécifique, l'utilisateur ne peut pas modifier la collection de limitation lorsque la console termine. Cela se produit si l'utilisateur se voit refuser l'accès au parent de la collection limite.
• Lors de la modification d'un type de déploiement d'application qui ne contenait pas auparavant de chemin d'accès au contenu, ceci génère une exception.
• Il inclut aussi la KB4599924 Console terminates unexpectedly in Configuration Manager current branch, version 2010.

• Les clients ConfigMgr qui mettent à jour leur BIOS peuvent être listés deux fois à plusieurs endroits dans la console.
• Si vous supprimez du contenu téléchargé du Community Hub, le contenu n'est pas supprimé du Community hub > Your downloads et vous ne pouvez pas le télécharger à nouveau.
• Le bouton "Push Update" n'est pas activé pour le contenu révisé du Community Hub.
• Un utilisateur ayant un accès en lecture seule aux applications est incapable de copier ou de faire défiler le contenu du script dans la fenêtre de l'éditeur de script.

Exceptions du service SMS_Executive

• Sur les serveurs de site Windows Server 2012 R2 après la mise à jour vers ConfigMgr 2010. Cela se produit si les services IIS n'ont jamais été installés auparavant sur le serveur.
• Si le fichier de verrouillage de l'installation du client a une date de fichier non valide.
• Si le Software Update Point a le paramètre "Use a proxy server when downloading content by using automatic deployment rules" activé.

Clients

• Le Software Center ne s'ouvre pas sur certains clients ConfigMgr 2010. Le fichier SCClient_<domaine>@<nom d'utilisateur>_1.log contient des erreurs ressemblant à ce qui suit. Notez que le numéro de ligne peut être différent de l'exemple ci-dessous.

Call to ExecuteQuery failed, Query: "Select * From CCM_Application WHERE UserUIExperience = TRUE"
Exception caught in ExecuteQuery, line 465...
(Microsoft.SoftwareCenter.Client.Data.WmiConnectionManager at ExecuteQuery)

• Le DCMAgent.log contient également une erreur ressemblant à ce qui suit, enregistrée en même temps que l'entrée du journal du SCClient. Le code d'erreur 0x87d00315 se traduit par "The CI version info data is not available".  ExecuteApplicationQuery - Failed to get machine targeted applications (0x87d00315).
• Les ordinateurs signalent à tort le non-respect d'une stratégie de chiffrement des lecteurs de données fixes BitLocker. Cela se produit pour les ordinateurs ne comportant qu'un seul lecteur et une seule partition, même s'ils sont chiffrés avec BitLocker.

Inventaires

• Les données d'inventaire du matériel client ne sont pas répliquées d'un site primaire vers le CAS lorsque le reporting est activé pour la classe CCM_SoftwareDistributionClientConfig dans l'espace de noms ROOT\ccm\Policy\Machine\ActualConfig. Les erreurs ressemblant à ce qui suit sont enregistrées dans le fichier dataldr.log sur le site primaire.

Column names in each view or function must be unique. Column name 'ADV_RebootLogoffNotification0' in view or function 'v_GS_CCM_SOFTWAREDISTRIBUTIONCLIENTCONFIG' is specified more than once.

Gestion des applications

• Les options de déploiement et l'option permettant aux clients d'utiliser des points de distribution à partir des paramètres par défaut du groupe limite du site dans l'onglet Content des propriétés de déploiement peuvent revenir inopinément à la valeur par défaut après l'enregistrement des modifications.

Gestion des mises à jour logicielles

• La case à cocher Set custom scheduleest désactivée et tout paramètre de calendrier personnalisé est supprimé lorsque la liste des catalogues de mise à jour des logiciels partenaires est actualisée.
• Le tableau de bord de gestion des clients d'Office 365 affiche tous les canaux du client sous la rubrique "Autres".
• Le traitement des règles de déploiement automatique échoue après la mise à jour vers la ConfigMgr 2010. La dernière description d'erreur est la suivante : " Auto Deployment Rule download failed". Cela se produit en raison des fichiers temporaires de zéro octet laissés dans le dossier Windows\Temp pendant le processus de téléchargement.
• Les ordinateurs clients peuvent recevoir inopinément un déploiement de mise à jour logicielle si la collection cible passe de "Tous les systèmes" à une autre collection.
• La synchronisation des pilotes surface échoue si le Software Update Point se trouve dans un domaine séparé et non fiable du serveur du site. Et une erreur ressemblant à ce qui suit est enregistrée dans le fichier wsyncmgr.log. Sync failed: The request failed with HTTP status 401: Unauthorized. Source: Microsoft.UpdateServices.Internal.ApiRemoting.ExecuteSPSearchUpdates

Gestion par le Cloud

• Les stratégies de pare-feu attribuées par le centre d'administration de Microsoft Endpoint Manager ne s'appliquent pas aux clients Windows 10 20H1 et ultérieures.
• Plusieurs fichiers journaux de clients, tels que CoManagementHandler.log et execmgr.log, contiennent les fausses entrées de journal. Cela entraîne l'écrasement d'informations de dépannage potentiellement précieuses. Failed to GetDeviceManagementConfigInfo, honor MEM authority. Error (0x00000000).
• Les stratégies de cogestion existantes ne s'appliquent pas à Windows Virtual Desktop.

Déploiement de système d’exploitation

• L'étape de séquence de tâche Run PowerShell Script n'honore pas la variable SMSTSDisableStatusRetry. Il en résulte de multiples tentatives d'envoi de messages d'état même lorsqu'une machine est hors ligne, ce qui entraîne des retards croissants dans l'exécution de la séquence de tâches.
• Le contenu temporaire n'est pas toujours supprimé après l'exécution d'une séquence de tâches.
• Les clients Hybrid Azure AD Join peuvent apparaître en double dans la console ConfigMgr, mais avec des GUID (SMSID) différents. Cela se produit lors du déploiement d'un système d'exploitation vers le client où le Management Point est configuré pour la communication HTTPS.
• La propriété d'installation du client CCMDEBUGLOGGING ne fonctionne pas lorsqu'elle est passée lors de l'étape de la séquence de tâches Setup Windows et ConfigMgr.
• Les mises à jour logicielles déployées via la séquence de tâches pendant une fenêtre de maintenance peuvent ne pas redémarrer l'ordinateur comme prévu. Le fichier UpdateDeployment.log contient une erreur ressemblant à ce qui suit : InstallTargetedUpdates failed, error 87d00708
• Le contenu du package au-delà du premier package n'est pas mis en cache localement sur le client lorsque le paramètre "Save path as a variable" est activé pour l'étape de la séquence de tâches "Download Package Content".

Plus d’informations sur :  Update Rollup for Microsoft Endpoint Configuration Manager current branch, version 2010

Microsoft a introduit un ensemble de nouveautés dans Azure Active Directory en Février 2021.

Microsoft apporte les nouveautés suivantes :

• 37 nouvelles applications fédérées sont ajoutées à la galerie d’applications Azure AD avec notamment : Loop Messenger Extension, Silverfort Azure AD Adapter, Interplay Learning, Nura Space, Yooz EU, UXPressia, introDus Pre- and Onboarding Platform, Happybot, LeaksID, ShiftWizard, PingFlow SSO, Swiftlane, Quasydoc SSO, Fenwick Gold Account, SeamlessDesk, Learnsoft LMS & TMS, P-TH+, myViewBoard, Tartabit IoT Bridge, AKASHI, Rewatch, Zuddl, Parkalot - Car park management, HSB ThoughtSpot, IBMid, SharingCloud, PoolParty Semantic Suite, GlobeSmart, Samsung Knox and Business Services, Penji, Kendis- Scaling Agile Platform, Maptician, Olfeo SAAS, Sigma Computing, CloudKnox Permissions Management Platform, Klaxoon SAML, Enablon.
• De nouveaux connecteurs de provisionnement sont disponibles dans la galerie d’applications Azure AD. Vous pouvez maintenant automatiser la création, la mise à jour et la suppression des comptes utilisateurs pour :
  • Atea
  • Getabstract
  • HelloID
  • Hoxhunt
  • Iris Intranet
  • Preciate
• Microsoft activera l’authentification du mot de passe à usage unique par email par défaut à partir du 31 Octobre 2021. À l'heure actuelle, Microsoft n'autorisera plus l’utilisation d'invitations à l'aide de comptes Azure Active Directory non gérés.
• Disponibilité Générale du rôle intégré Authentication Policy Administrator. Les utilisateurs ayant ce rôle peuvent configurer la stratégie des méthodes d'authentification, les paramètres de MFA pour l'ensemble du tenant et la stratégie de protection par mot de passe. Ce rôle donne la permission de gérer les paramètres de protection par mot de passe : configurations de verrouillage intelligent et mise à jour de la liste des mots de passe interdits personnalisés.

• Disponibilité Générale du rôle intégré Domain Name Administrator. Les utilisateurs ayant ce rôle peuvent gérer (lire, ajouter, vérifier, mettre à jour et supprimer) des noms de domaine. Ils peuvent également lire des informations de l’annuaire sur les utilisateurs, les groupes et les applications, car ces objets ont des dépendances de domaine.

• Disponibilité Générale des collections d’utilisateur sur MyApps. Les utilisateurs peuvent désormais créer leurs propres groupes d'applications sur le lanceur d'applications My Apps. Ils peuvent également réorganiser et masquer les collections qui leur sont partagées par leur administrateur.
• Disponibilité Générale du remplissage automatique de mot de passe dans Microsoft Authenticator. Pour utiliser l'autofill sur Authenticator, les utilisateurs doivent ajouter leur compte personnel Microsoft à Authenticator et l'utiliser pour synchroniser leurs mots de passe. Les comptes professionnels ou scolaires ne peuvent pas être utilisés pour synchroniser les mots de passe pour le moment.
• Disponibilité Générale de la fonctionnalité permettant aux entreprises peut désormais inviter des invités internes à utiliser la collaboration interentreprises au lieu d'envoyer une invitation à un compte interne existant. Cela permet aux clients de conserver l'ID d'objet, l'UPN, les adhésions à des groupes et les affectations d'applications de cet utilisateur.
• Public Preview de l’utilisation du mot de passe d’accès temporaire (Temporary Access Pass) pour enregistrer les identifiants sans mot de passe. Le Temporary Access Pass est un code d'accès limité dans le temps qui sert de justificatif d'identité fort et permet d'embarquer des justificatifs d'identité sans mot de passe et de les récupérer lorsqu'un utilisateur a perdu ou oublié son facteur d'authentification forte (par exemple, la clé de sécurité FIDO2 ou l'application Microsoft Authenticator) et doit se connecter pour enregistrer de nouvelles méthodes d'authentification forte.

• La prochaine génération de flux d'utilisateurs B2C prend désormais en charge la fonctionnalité "keep me signed in" (KMSI) qui permet aux clients de prolonger la durée de vie de la session pour les utilisateurs de leurs applications web et natives en utilisant un cookie persistant. Cette fonctionnalité en Public Preview maintient la session active même lorsque l'utilisateur ferme et rouvre le navigateur, et est révoquée lorsque l'utilisateur se déconnecte.

• Public Preview permettant aux utilisateurs externes pourront désormais utiliser les comptes Microsoft pour se connecter aux applications Azure AD et métiers.
• Public Preview les clients peuvent désormais réinviter les utilisateurs invités externes existants pour réinitialiser leur statut de redemption, ce qui permet au compte de l'utilisateur invité de rester sans qu'il ne perde l’accès.
• Public Preview permettant aux clients de désormais utiliser application.readwrite.ownedby comme autorisation d'appeler les API de synchronisation. Notez que cette fonction n'est prise en charge que pour le provisionnement d'Azure AD dans des applications tierces (par exemple, AWS, Data Bricks, etc.). Il n'est actuellement pas pris en charge pour le provisionnement de HR (Workday / Successfactors) ou Cloud Sync (AD vers Azure AD).

On retrouve les modifications de service suivantes :

• Les possibilités de configuration de la durée de vie des jetons de session et de rafraîchissement dans CTL sont supprimées. Azure Active Directory n'honore plus le rafraîchissement et la configuration des jetons de session dans les stratégies existantes.
• Les autorisations non demandées mais consenties ne seront plus ajoutées aux jetons si elles déclenchent un accès conditionnel.
• Une nouvelle personnalisation de l’entreprise dans l’enregistrement combiné MFA/SSPR. Dans le passé, les logos des entreprises n'étaient pas utilisés sur les pages de connexion d'Azure Active Directory. La personnalisation de l'entreprise se trouve désormais en haut à gauche de l'enregistrement combiné MFA/SSPR. Le logo de l'entreprise figure également sur les pages "My Sign-Ins" et "Security Info".
• Le tableau de bord actualisé des activités des méthodes d'authentification donne aux administrateurs un aperçu de l'enregistrement des méthodes d'authentification et de l'activité d'utilisation chez leur locataire. Il résume le nombre d'utilisateurs enregistrés pour chaque méthode, ainsi que les méthodes utilisées lors de la connexion et de la réinitialisation des mots de passe.

Plus d’informations sur : What’s new Azure AD

Microsoft a introduit un ensemble de nouveautés dans Azure Active Directory en Janvier 2021.

Microsoft apporte les nouveautés suivantes :

• 29 nouvelles applications fédérées sont ajoutées à la galerie d’applications Azure AD avec notamment : mySCView, Talentech, Bipsync, OroTimesheet, Mio, Sovelto Easy, Supportbench,Bienvenue Formation, AIDA Healthcare SSO, International SOS Assistance Products, NAVEX One, LabLog, Oktopost SAML, EPHOTO DAM, Notion, Syndio, Yello Enterprise, Timeclock 365 SAML, Nalco E-data, Vacancy Filler, Synerise AI Growth Ecosystem, Imperva Data Security, Illusive Networks, Proware, Splan Visitor, Aruba User Experience Insight, Contentsquare SSO, Perimeter 81, Burp Suite Enterprise Edition.
• De nouveaux connecteurs de provisionnement sont disponibles dans la galerie d’applications Azure AD. Vous pouvez maintenant automatiser la création, la mise à jour et la suppression des comptes utilisateurs pour :
  • Fortes Change Cloud
  • Gtmhub
  • com
  • Splashtop
  • Templafy OpenID Connect
  • WEDO

• Disponibilité Générale d’Azure AD Connect Cloud Sync permettant de déployer des agents légers permettant la synchronisation d’environnements déconnectés par exemple.
• Disponibilité Générale de deux nouveaux rôles par défaut Attack Simulation Administrator et Attack Payload Author. Attack Simulation Administrator permet de créer et gérer tous les aspects de la création de simulations d'attaques, de lancer / programmer une simulation et examiner les résultats des simulations. Les utilisateurs ayant le rôle d'auteur de charge utile d'attaque peuvent créer des charges utiles d'attaque mais pas les lancer ou les programmer. Les charges utiles d'attaque sont alors disponibles pour tous les administrateurs du locataire qui peuvent les utiliser pour créer une simulation.
• Disponibilité Générale du rôle Usage Summary Reports Reader permettant d’accéder aux données agrégées au niveau du tenant et aux informations associées dans Microsoft 365 Admin Center for Usage et Productivity Score. Toutefois, il ne peut pas accéder aux détails ou aux informations concernant les utilisateurs.
• Disponibilité Générale de la stratégie Require App Protection pour l’accès conditionnel Azure AD. Ce paramètre permet d’accéder aux services uniquement quand les stratégies de protection applicative Intune sont délivrées et appliquées aux applications mobiles.
• Disponibilité Générale du mot de passe à usage unique par email (Email One-Time passcode).
• Public Preview de la personnalisation et de la configuration des périphériques partagés Android pour les employés de terrain. Cette intégration a lieu entre Azure AD et Microsoft Endpoint Manager (Intune) afin de permettre :
  • Mettre à disposition des périphériques Android partagés avec Microsoft Endpoint Manager
  • Sécuriser l’accès pour les employés de terrain en utilisant l'accès conditionnel basé sur le périphérique
  • Personaliser l'expérience d'enregistrement des employés de terrain avec Managed Home Screen.
• Public Preview de la possibilité d’assigner des groupes Azure AD à des rôles Azure AD personnalisés ou à des rôles étendus dans des unités administratives.
• Public Preview de la fonction permettant de télécharger les journaux de provisionnement sous le format CSV ou JSON.

On retrouve les modifications de service suivantes :

• Dans le passé, le champ Secret Token pouvait être laissé vide lors de la mise en place du provisionnement sur une application personnalisée ou BYOA. Cette fonction était destinée à être utilisée uniquement à des fins de test. Microsoft a mis à jour l'interface utilisateur pour rendre le champ obligatoire.
• Public Preview d’une option supplémentaire pour la sélection des approbateurs dans la fonctionnalité Entitlement Management. Si vous sélectionnez " Manager as approver" pour le premier approbateur, vous aurez une autre option, " Second level manager as alternate approver", que vous pourrez choisir dans le champ "Approbateur suppléant". Si vous sélectionnez cette option, vous devez ajouter un approbateur suppléant auquel transmettre la demande au cas où le système ne trouverait pas le gestionnaire de deuxième niveau.  
• Vous pouvez ouvrir dans Teams directement depuis le portail My Access.
• Les invites de connexion et d'utilisateur final pour les utilisateurs invités à risque ont été mises à jour.

Plus d’informations sur : What’s new Azure AD

Comme pour les autres services, je vous propose un résumé des changements et fonctionnalités que Microsoft a pu introduire dans le mois concernant son service Microsoft Defender for Office (anciennement Office 365 Advanced Threat Protection (ATP)).

• Intégration de l'Alert ID (recherche à l'aide de l'Alert ID et de la navigation Alert-Explorer) dans les expériences de chasse (Hunting)
• Augmentation des limites d'exportation d’enregistrements de 9990 à 200 000 dans les expériences de chasse (Hunting)
• Extension de la limite de conservation des données et de recherche de l'explorateur (et des détections en temps réel) pour les tenant d'essai de 7 (limite précédente) à 30 jours expériences de chasse (Hunting).
• De nouveaux pivots de chasse appelés "domaine usurpé" (Impersonated domain) et "utilisateur usurpé" (Impersonated user) dans l'explorateur (et détections en temps réel) pour rechercher les attaques d'usurpation d'identité contre des utilisateurs ou des domaines protégés. Pour plus d'informations Threat Explorer and Real-time detections - Office 365 | Microsoft Docs. (Microsoft Defender pour Office 365 Plan 1 ou Plan 2)

Plus d’informations sur : What's new in Microsoft Defender for Office 365 - Office 365 | Microsoft Docs

Outre les différentes solutions de sécurité indépendantes, Microsoft propose Microsoft 365 Defender. Ce service est une solution intégrée qui fournit des éléments provenant de tous les outils de sécurité dont Microsoft Defender for Endpoint (MDATP), Microsoft Defender for Office 365, Microsoft Defender for Identity, Microsoft Cloud App Security. Ces solutions regroupent des mécanismes et concepts communs comme la détection et l’investigation et la réponse automatique. Cette console regroupera les alertes et les incidents agrégés des différents services.

Parmi les nouveautés de ce mois, on retrouve l’intégration de Microsoft Defender for Endpoint et Microsoft Defender for Office 365 dans le centre de sécurité amélioré de Microsoft 365 (https://security.microsoft.com). Cette expérience est en Public Preview. En savoir plus : Microsoft 365 security center overview - Microsoft 365 security | Microsoft Docs

Je vous propose un petit aperçu des nouveautés en Janvier 2021 autour de la gouvernance, de la conformité et de la protection de données (MIP, etc.).

On retrouve notamment :

• Les solutions de conformité Microsoft 365 suivantes prennent désormais en charge la détection du contenu des cartes générées par les applications dans les messages Teams :

• • eDiscovery de base et avancée. Le contenu des cartes peut désormais être mis en attente ou inclus dans les recherches (Ceci s'applique également à la recherche de contenu).
  • Audit. L'activité de la carte est désormais enregistrée dans le journal d'audit.
  • Stratégie de rétention. Il est désormais possible d'utiliser les stratégies de rétention pour conserver et supprimer le contenu de la carte..
• Une nouvelle évaluation permettant d’adresser la gouvernance et la protection de l’information en répondant aux exigences de conformité de la loi néo-zélandaise sur els documents publics.
• Sur les étiquettes de confidentialité (Sensibility labels) :
  • Les étiquettes sont maintenant supportées dans les tenants US Government (GCC et GCC-H)
  • Nouveau support de la labélisation automatique (Automatic labeling) pour macOS.

Plus d’informations sur : Announcing new Microsoft Information Protection capabilities to know and protect your sensitive data - Microsoft Tech Community

Microsoft Defender for Identity étant un service Cloud, on retrouve des mises à jour de service continuelle. Comme pour les autres services, je vous propose un résumé des changements et fonctionnalités que Microsoft a pu introduire dans le mois.

• La version 2.141 apporte une nouvelle alerte de sécurité Suspected AS-REP Roasting attack (external ID 2412). Dans cette détection, une alerte de sécurité est déclenchée lorsqu'un attaquant cible des comptes avec une préauthentification Kerberos désactivée, et tente d'obtenir des données TGT Kerberos. L'intention de l'attaquant peut être d'extraire les identifiants des données en utilisant des attaques de craquage de mots de passe hors ligne. Pour plus d'informations : Kerberos AS-REP Roasting exposure (external ID 2412).

• Les versions 2.140, 2.141 apportent des améliorations et des corrections de bugs sur les capteurs.

Plus d’informations sur : What's new in Microsoft Defender for Identity

Microsoft Defender for Identity étant un service Cloud, on retrouve des mises à jour de service continuelle. Comme pour les autres services, je vous propose un résumé des changements et fonctionnalités que Microsoft a pu introduire dans le mois.

• La version 2.136 prend désormais en charge l'installation de capteurs sur les serveurs Active Directory Federation Services (AD FS). L'installation du capteur sur les serveurs AD FS compatibles étend la visibilité de Microsoft Defender for Identity dans un environnement hybride en surveillant ce composant de fédération. Microsoft a également mis à jour certaines de nos détections existantes (création de services suspects, attaque de force brute suspecte (LDAP), reconnaissance d'énumération de comptes) pour travailler également sur les données AD FS. Pour commencer le déploiement du capteur pour AD FS server, téléchargez le dernier package de déploiement depuis la page de configuration du capteur.
• La version 2.139 a mis à jour la gravité de l’exposition Suspected Kerberos SPN pour mieux refléter l’impact de l’alerte. Plus d’informations sur : Suspected Kerberos SPN exposure (external ID 2410).

• Les versions 2.136, 2.137, 2.138, 2.139 apportent des améliorations et des corrections de bugs sur les capteurs.

Plus d’informations sur : What's new in Microsoft Defender for Identity

Voici un résumé des changements et fonctionnalités apportés à Microsoft Defender for Endpoint (anciennement Microsoft Defender Advanced Threat Protection (ATP)) introduit dans le mois.

• Microsoft Defender for Endpoint ajoute maintenant le support de Windows Virtual Desktop.

Plus d’informations sur : What’s new in Microsoft Defender for Endpoint