Dans cet article, nous allons voir comment restreindre la portée de délégation à un site Sharepoint pour une App via la permission Site.Selected.

Délégation des droits pour l’App

Dans Entra, sélectionnez votre App et rendez vous sur « Api Premissions« 

Puis sélectionnez « Microsoft Graph« 

Ensuite « Application permissions » et recherchez « Sites.Selected« 

Ensuite validez en faisant « Add Permission » et enfin « Grant admin consent for XXXX« 

Maintenant qu’on a donné un accès Sharepoint Online à notre App, nous allons utiliser Powershell pour restreindre ses droits.

Connexion

$Connection = Connect-PnPOnline -Url https://xxxxxxx-admin.sharepoint.com -Interactive -ReturnConnection -ForceAuthentication

Restriction

Grant-PnPAzureADAppSitePermission -AppId 52c15f64-938e-4ad3-9454-c02f754b06c2 -DisplayName Demo-AppSharepoint -Site "https://MONADMIN.sharepoint.com/sites/benefits" -Permissions Read -Verbose -Connection $Connection

Check

Get-PnPAzureADAppSitePermission -AppIdentity 52c15f64-938e-4ad3-9454-c02f754b06c2 -Site "https://MONADMIN.sharepoint.com/sites/benefits"

À partir de Windows 10 version 1809, les fonctionnalités à la demande (FOD) et les packs de langues ne peuvent être installés que via Windows Update et non par WSUS. Étant donné que RSAT est une fonctionnalité optionnelle (c’est-à-dire un FOD), ça ne sera plus possible de l’installer sur une machine ayant la stratégie qui empêche le téléchargement depuis les serveurs Windows update.

Voici un script PowerShell qui modifie temporairement les paramètres de votre poste de travail pour cesser d’utiliser WSUS, téléchargera et installera RSAT, puis rétablira les paramètres pour revenir à l’utilisation de WSUS par la suite :

#Modification de la clé de registre pour installer le module sans passer par WSUS mais directement par les serveurs Windows Update

Add-ToLog -Text "Modification de la clé de registre pour utiliser Windows Update et non WSUS..." -logFile $logFile

Set-ItemProperty "REGISTRY::HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate\AU" UseWUserver -Value 0

Set-ItemProperty "REGISTRY::HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate" DisableWindowsUpdateAccess -Value 0
 

#Restart du service Windows Update pour prise en compte

Add-ToLog -Text "Redémarrage du service Windows Update" -logFile $logFile

Get-Service wuauserv | Restart-Service

 

#Installation du module PowerShell RSAT-AD

Add-ToLog -Text "Installation du module PowerShell Active Directory (RSAT)..." -logFile $logFile

Get-WindowsCapability -Name "Rsat.ActiveDirectory.DS-LDS.Tools~~~~0.0.1.0" -Online | Add-WindowsCapability -Online | Out-Null

Add-WindowsCapability –Online –Name "Rsat.ActiveDirectory.DS-LDS.Tools~~~~0.0.1.0"

#Remise par défaut de la clé de registre pour repasser par le WSUS

Add-ToLog -Text "Remise par défaut de la clé de registre pour à nouveau passer par le WSUS..." -logFile $logFile

Set-ItemProperty "REGISTRY::HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate\AU" UseWUserver -Value 1

La mémorisation de l’authentification multifacteur (MFA) pour les appareils et les navigateurs permet aux utilisateurs d’avoir la possibilité de mémoriser la MFA pendant un nombre défini de jours après avoir effectué une connexion réussie à l’aide de la MFA. Cela peut améliorer la convivialité en minimisant le nombre de fois qu’un utilisateur peut avoir besoin d’effectuer une vérification en deux étapes sur le même appareil.

Cependant, si un compte ou un appareil est compromis, le fait de mémoriser la MFA pour les appareils de confiance peut affecter la sécurité.  Dans cet article, vous apprendrez comment désactiver la mémorisation de l’authentification multifacteur sur les appareils de confiance.

Pour désactiver l’option permettant de mémoriser l’authentification multifacteur sur un appareil de confiance, procéder comme suit :

 – Se Connecter au centre d’administration Microsoft Entra puis accéder à Identité –> Utilisateurs –> Tous les utilisateurs

– Sélectionner MFA par utilisateur

 -Sélectionner Paramètres du service sous « Authentification multifacteur par utilisateur » en haut de la page.

– Décocher la case Autoriser les utilisateurs à mémoriser l’authentification multifacteur sur les appareils de confiance puis cliquer sur Enregistrer.