> For the complete documentation index, see [llms.txt](https://docs.stoik.io/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.stoik.io/help/help-center-fr/mdr/deploy/crowdstrike/add-on/itp.md). # ITP avec Entra ID Connectez chaque tenant Entra ID à CrowdStrike Identity Threat Protection (ITP) en créant une inscription Azure depuis votre console Falcon. À la fin, vous envoyez à Stoïk l’ID de votre tenant afin que la supervision puisse être activée. ## Prérequis * Un **Microsoft Entra ID P1 ou P2** licence. Microsoft Entra ID Free n’est pas pris en charge. * Un **abonnement Azure** dans le tenant. CrowdStrike y déploie ses ressources d’ingestion des journaux. * Une personne ayant le **Administrateur général** ou **Administrateur des rôles privilégiés** rôle dans Entra ID, afin d’accorder le consentement administrateur. * Une personne ayant le **Propriétaire** et **Propriétaire du stack de déploiement Azure** Les rôles Azure au niveau du **groupe racine du tenant** niveau, pour déployer les ressources. * Un **compte de la console Falcon** avec les autorisations nécessaires pour configurer le connecteur. Stoïk le crée pour vous à l’étape 1. {% hint style="warning" %} Le rôle d’Administrateur général dans Entra ID ne **ne** accorde pas les rôles Azure ci-dessus. Ils doivent être attribués explicitement au niveau du groupe racine du tenant, sinon le déploiement échoue. {% endhint %} ## Objectif d’ITP ITP surveille en continu l’activité des comptes et Active Directory afin de détecter un comportement anormal. * **Analyse comportementale centrée sur l’identité :** détecte les authentifications suspectes, les schémas d’accès inhabituels, les tentatives de connexion non autorisées et les anomalies de compte utilisateur. Par exemple, des connexions suspectes entre poste de travail et serveur, des scans réseau, des tentatives par force brute et l’extraction d’identifiants. Le module peut bloquer automatiquement les événements critiques. * **Posture de sécurité d’Active Directory :** offre une vue en temps réel de la sécurité d’AD, avec des options plus avancées que l’analyse Stoïk Protect AD. Il identifie les problèmes de configuration, les comptes dont les mots de passe ont été compromis et les problèmes de gestion des privilèges. * **Surveillance des menaces cloud (facultatif) :** une fois Entra ID connecté, ITP ingère vos comptes cloud et hybrides, les journaux d’audit Entra ID, les journaux de connexion et les journaux d’activité Azure. Il corrèle l’activité SSO avec vos comptes sur site et détecte les connexions provenant d’adresses IP suspectes ainsi que les tentatives d’accès anormales. ## Intégration CrowdStrike a modifié cette intégration en 2026 : le connecteur Entra ID est désormais configuré comme une **inscription Azure** dans Falcon Cloud Connectors. Vous ne créez plus manuellement d’application, de secret client ni de rôle personnalisé. Si vous avez déjà configuré le connecteur précédent, consultez [Migration depuis le connecteur hérité](#migrating-from-the-legacy-connector). Vous effectuez vous-même toute la configuration depuis votre console Falcon, pour **chaque tenant Entra ID**. Stoïk vous fournit les accès nécessaires et vérifie le résultat. **Aucun secret n’est échangé avec Stoïk**: vous générez les identifiants API CrowdStrike dans la console et les utilisez uniquement dans votre propre Azure Cloud Shell. Idéalement, la même personne effectue les étapes 3 à 6 et détient à la fois les rôles Entra ID et Azure ci-dessus. Sinon, prévoyez une courte session avec les personnes concernées : l’assistant doit rester ouvert de l’étape 3 à l’étape 6.
Qui fait quoi
ÉtapeQui
1. Obtenez l’accès à votre console FalconVous et Stoïk
2. Vérifiez vos rôles AzureVous (administrateur Azure)
3. Créez l’inscription Azure dans FalconVous
4. Accordez le consentement administrateurVous (Administrateur général ou Administrateur des rôles privilégiés)
5. Déployez les ressources depuis Azure Cloud ShellVous (administrateur Azure)
6. Finalisez et confirmez l’inscriptionVous, puis Stoïk
7. Accordez à Stoïk l’accès à la remédiationVous (Administrateur général)
{% stepper %} {% step %} ### Obtenez l’accès à votre console Falcon 1. E-mail avec le **nom et l’e-mail** de la personne qui effectuera la configuration. 2. Stoïk crée pour cette personne un compte utilisateur Falcon avec les autorisations nécessaires pour configurer le connecteur Entra ID. 3. La personne reçoit un e-mail d’activation de CrowdStrike. Elle définit son mot de passe et **MFA**, puis se connecte à la [console Falcon](https://falcon.eu-1.crowdstrike.com). {% endstep %} {% step %} ### Vérifiez vos rôles Azure La personne qui effectue le déploiement ouvre [Azure Cloud Shell](https://shell.azure.com) en **Bash** mode et exécute : ```bash az role assignment list \ --assignee $(az ad signed-in-user show --query id -o tsv) \ --scope "/providers/Microsoft.Management/managementGroups/$(az account show --query tenantId -o tsv)" \ --include-groups \ --query "[?roleDefinitionName=='Owner' || roleDefinitionName=='Azure Deployment Stack Owner'].{Role:roleDefinitionName, Scope:scope}" \ -o table ``` La sortie doit lister les deux **Propriétaire** et **Propriétaire du stack de déploiement Azure**. Si l’un des rôles manque, faites-le attribuer au niveau du groupe racine du tenant avant de continuer.
Impossible de voir ou de gérer le groupe racine du tenant Un Administrateur général doit d’abord activer `la gestion des accès pour les ressources Azure` en `Entra ID` > `Propriétés`. Cela leur donne le droit d’attribuer les rôles ci-dessus. Vous pouvez le désactiver à nouveau ensuite.
{% endstep %} {% step %} ### Créez l’inscription Azure dans Falcon Avant de commencer, copiez depuis vos consoles Microsoft : * le `ID du tenant`: [centre d’administration Microsoft Entra](https://entra.microsoft.com) > `Entra ID` > `Aperçu` * le `ID d’abonnement` où les ressources CrowdStrike seront déployées : [portail Azure](https://portal.azure.com) > `Abonnements` Puis, dans la console Falcon : 1. **Ouvrez l’assistant :** * Si vous avez un connecteur Entra ID hérité, allez à `Protection de l’identité` > `Paramètres` > `Configurations` > `Connecteurs` et cliquez sur **Mettre à niveau maintenant** dessus. L’assistant s’ouvre avec votre tenant prérempli. * Sinon, allez à `Connecteurs` > `Connecteurs cloud` > `Connexions cloud`, ouvrez l’ `Azure` onglet et cliquez sur **Ajouter une nouvelle inscription**. Si vous y êtes invité, sélectionnez **Nouvelles méthodes de déploiement**, puis **Suivant**. 2. **Paramètres d’inscription :** saisissez un nom d’inscription, votre `ID de tenant Microsoft Entra`, sélectionnez `Bicep` et saisissez le `ID d’abonnement`. Cliquez sur **Continuer avec la configuration standard**. 3. **Fonctionnalités :** sélectionnez `Visibilité et détection en temps réel`, puis **Suivant**. 4. **Paramètres avancés :** laissez `Je souhaite personnaliser les autorisations Entra ID` décoché. Modifiez la région des ressources d’ingestion des journaux uniquement si nécessaire. Cliquez sur **Suivant**. 5. **Identifiants API :** cliquez sur **Générer le client API**. Copiez le `ID client` et `secret client` et gardez-les à portée de main pour l’étape 5. Le secret n’est affiché qu’une seule fois. Cliquez sur **Terminé**, puis **Suivant**. {% hint style="warning" %} Conservez le secret client pour vous seul. Ne l’envoyez jamais par e-mail, chat ou ticket, y compris à Stoïk. Vous n’en avez besoin que dans Azure Cloud Shell pendant l’étape 5. {% endhint %} {% endstep %} {% step %} ### Accorder le consentement administrateur À exécuter par un Administrateur général ou un Administrateur des rôles privilégiés. Sans consentement administrateur, Falcon ne peut pas lire les données Entra ID et Identity Protection ne fonctionnera pas. 1. Sur la `Configurer le déploiement` page de l’assistant, cliquez sur **Accorder le consentement administrateur** et connectez-vous avec votre compte administrateur Microsoft. 2. Vérifiez que l’ **ID du tenant dans l’URL correspond à votre tenant**. 3. Passez en revue les autorisations demandées et cliquez sur **Accepter**. 4. De retour dans l’assistant, cliquez sur **Vérifier**. L’application créée par CrowdStrike ne dispose que d’autorisations **en lecture seule** sur votre annuaire. {% endstep %} {% step %} ### Déployez les ressources depuis Azure Cloud Shell 1. Sur la `Configurer le déploiement` page, ouvrez le `Bash` onglet et cliquez sur **Télécharger le ZIP** pour obtenir `crowdstrike-fcs-azure-bicep-generated.zip`. 2. Dans Azure Cloud Shell (Bash), téléversez le fichier ZIP. 3. Décompressez-le : ```bash unzip crowdstrike-fcs-azure-bicep-generated.zip ``` 4. Vérifiez que le fichier de paramètres est présent : ```bash ls parameters.bicepparam ``` Si le fichier n’apparaît pas, vérifiez que vous avez téléversé et décompressé le bon fichier. 5. Copiez les commandes affichées dans l’ `Bash` onglet et exécutez-les dans l’ordre : * `az login -t ''` * `export FALCON_CLIENT_SECRET=` * `az stack mg create ...`, qui déploie le modèle Bicep 6. Attendez que la dernière commande se termine. Le terminal semble inactif pendant que le déploiement s’exécute et n’affiche que les erreurs. C’est normal. {% endstep %} {% step %} ### Finalisez et confirmez l’inscription 1. Dans l’assistant, cliquez sur **Valider et terminer**. 2. Sur la `Azure` onglet de `Connexions cloud`, l’inscription affiche d’abord `en attente`, puis `Actif`. Comptez environ **2 heures** avant que les données n’apparaissent. 3. L’inscription est terminée lorsque les deux `Ressources` et `Visibilité et détection en temps réel` affichent `Actif`. {% hint style="warning" %} E-mail votre ID de tenant. Stoïk vérifie l’inscription et active la supervision de son côté. Sans cela, la supervision ne peut pas être activée. {% endhint %} Une fois l’inscription active, Stoïk supprime les autorisations de configuration de votre compte Falcon. {% endstep %} {% step %} ### Accorder l’accès à la remédiation à Stoïk Si un compte est compromis en dehors des heures ouvrées, votre équipe peut être indisponible. Accorder cet accès permet à Stoïk de désactiver les comptes concernés une fois la compromission confirmée. 1. Connectez-vous en tant qu’Administrateur général et ouvrez le [lien de consentement administrateur](https://login.microsoftonline.com/organizations/adminconsent?client_id=72f25200-dfe6-4c66-959d-103731ae6215\&redirect_uri=https://login.microsoftonline.com/common/oauth2/nativeclient). 2. Passez en revue les autorisations demandées et cliquez sur **Accepter**. 3. Vous arrivez sur une page vierge. Vous pouvez la fermer.
Ce que l’application de remédiation peut faire L’application peut uniquement activer ou désactiver des comptes existants. Elle ne peut pas créer de comptes ni modifier d’autres attributs. Chaque action nécessite MFA, est journalisée et horodatée. Stoïk peut fournir le journal d’audit complet sur demande.
{% endstep %} {% endstepper %} ## Migration depuis le connecteur hérité Si vous avez configuré le [connecteur Entra ID précédent](/help/help-center-fr/mdr/deploy/crowdstrike/add-on/itp-legacy.md) (application `stoik-connector-itp` avec un secret client), il doit être migré : 1. Demandez l’accès à votre console Falcon (étape 1). 2. Complétez les étapes 2 à 6. À l’étape 3, partez de **Mettre à niveau maintenant** sur le connecteur hérité. 3. Une fois la nouvelle inscription active, le connecteur hérité affiche `Prêt à être mis hors service`. Supprimez-le dans `Protection de l’identité` > `Paramètres` > `Configurations` > `Connecteurs`, ou demandez à Stoïk de le faire. 4. Vous pouvez alors supprimer l’ancienne `stoik-connector-itp` application, son secret client et le `lecteur RBAC d’Identity Protection` rôle personnalisé de votre tenant. Ils ne sont plus utilisés. ## Console Falcon autogérée Si vous gérez votre propre console Falcon, ignorez l’étape 1 et utilisez un compte disposant des autorisations nécessaires pour gérer les inscriptions cloud et les clients API. Suivez les étapes 2 à 7. --- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://docs.stoik.io/help/help-center-fr/mdr/deploy/crowdstrike/add-on/itp.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.