ITP avec Entra ID

N'oubliez pas la dernière partie de l'étape 6, Terminez et confirmez l'enregistrement: envoyez un e-mail à Stoïk avec l'ID de votre tenant. Sans lui, la surveillance ne peut pas être activée de notre côté.

CrowdStrike a modifié cette intégration en 2026. Le connecteur Entra ID est désormais configuré comme un enregistrement Azure dans Falcon Cloud Connectors. Vous ne créez plus manuellement d'application, de secret client ni de rôle personnalisé. Si vous avez déjà configuré le connecteur précédent, consultez Migration depuis le connecteur hérité.

Objectif d'ITP

Identity Threat Protection (ITP) surveille en continu l'activité des comptes et Active Directory pour détecter des comportements anormaux.

• Analyse comportementale centrée sur l'identité : détecte les authentifications suspectes, les schémas d'accès inhabituels, les tentatives de connexion non autorisées et les anomalies des comptes utilisateur. Exemples : connexions suspectes entre postes de travail et serveurs, scans réseau, tentatives par force brute et extraction d'identifiants. Le module peut bloquer automatiquement les événements critiques.

• Posture de sécurité d'Active Directory : offre une vue en temps réel de la sécurité d'AD, avec des options plus avancées que le scan AD de Stoïk Protect. Il identifie les problèmes de configuration, les comptes dont les mots de passe ont été compromis et les problèmes de gestion des privilèges.

• Surveillance des menaces dans le cloud (optionnel) : une fois Entra ID connecté, ITP ingère vos comptes cloud et hybrides, les journaux d'audit Entra ID, les journaux de connexion et les journaux d'activité Azure. Il corrèle l'activité SSO avec vos comptes sur site et détecte les connexions depuis des adresses IP suspectes ainsi que les tentatives d'accès anormales.

Prérequis

• Une Microsoft Entra ID P1 ou P2 licence. Microsoft Entra ID Free n'est pas pris en charge.

• Un abonnement Azure dans le tenant. CrowdStrike y déploie ses ressources d'ingestion des journaux.

• Une personne ayant le rôle d'Administrateur général ou rôle d'Administrateur de rôles privilégiés dans Entra ID, pour accorder le consentement administrateur.

• Une personne ayant le Propriétaire et Propriétaire de la pile de déploiement Azure rôles Azure au niveau du groupe racine du tenant niveau, pour déployer les ressources.

• Une compte de console Falcon avec les autorisations nécessaires pour configurer le connecteur. Stoïk le crée pour vous à l'étape 1.

Le rôle d’Administrateur général dans Entra ID ne pas n’accorde pas les rôles Azure ci-dessus. Ils doivent être attribués explicitement au niveau du groupe racine du tenant, sinon le déploiement échoue.

Intégration

Vous effectuez vous-même toute la configuration depuis votre console Falcon. Stoïk vous donne l'accès nécessaire et vérifie le résultat. Aucun secret n'est échangé avec Stoïk: les identifiants d'API CrowdStrike nécessaires au déploiement sont générés par vous dans la console et utilisés uniquement dans votre propre Azure Cloud Shell.

Effectuez cette procédure pour chaque tenant Entra ID.

Étape	Qui
1. Obtenez votre accès à la console Falcon	Vous et Stoïk
2. Vérifiez vos rôles Azure	Vous (administrateur Azure)
3. Créez l'enregistrement Azure dans Falcon	Vous
4. Accordez le consentement administrateur	Vous (Administrateur général ou Administrateur de rôles privilégiés)
5. Déployez les ressources depuis Azure Cloud Shell	Vous (administrateur Azure)
6. Terminez et confirmez l'enregistrement	Vous, puis Stoïk
7. Accordez à Stoïk l'accès de remédiation	Vous (Administrateur général)

Idéalement, la même personne effectue les étapes 3 à 6 et possède à la fois les rôles Entra ID et Azure ci-dessus. Sinon, prévoyez une courte session avec les personnes concernées : l'assistant doit rester ouvert de l'étape 3 à l'étape 6.

1

Obtenez votre accès à la console Falcon

1. E-mail [e-mail] avec le nom et l'e-mail de la personne qui effectuera la configuration.

2. Stoïk crée pour cette personne un compte utilisateur Falcon avec les autorisations nécessaires pour configurer le connecteur Entra ID.

3. La personne reçoit un e-mail d'activation de CrowdStrike. Elle définit son mot de passe et AMF, puis se connecte à la console Falcon.

2

Vérifiez vos rôles Azure

La personne qui effectue le déploiement ouvre Azure Cloud Shell en Bash mode et exécute :

az role assignment list \\
  --assignee $(az ad signed-in-user show --query id -o tsv) \\
  --scope "/providers/Microsoft.Management/managementGroups/$(az account show --query tenantId -o tsv)" \\
  --include-groups \\
  --query "[?roleDefinitionName=='Owner' || roleDefinitionName=='Azure Deployment Stack Owner'].{Role:roleDefinitionName, Scope:scope}" \\
  -o table

La sortie doit lister les deux Propriétaire et Propriétaire de la pile de déploiement Azure. Si l'un des deux rôles manque, faites-le attribuer au niveau du groupe racine du tenant avant de continuer.

Si vous ne pouvez pas voir ou gérer le groupe racine du tenant, un Administrateur général doit d'abord activer la gestion des accès pour les ressources Azure en Entra ID > Propriétés. Cela leur donne le droit d'attribuer les rôles ci-dessus. Vous pouvez le désactiver à nouveau ensuite.

3

Créez l'enregistrement Azure dans Falcon

Avant de commencer, copiez depuis vos consoles Microsoft :

• le ID du tenant: centre d'administration Microsoft Entra > Entra ID > Vue d'ensemble

• le ID d'abonnement où les ressources CrowdStrike seront déployées : Portail Azure > Abonnements

Ensuite, dans la console Falcon :

1. Ouvrez l'assistant :

   • Si vous avez un connecteur Entra ID hérité, allez dans Protection de l'identité > Paramètres > Configurations > Connecteurs et cliquez sur Mettre à niveau maintenant dessus. L'assistant s'ouvre avec votre tenant prérempli.

   • Sinon, allez dans Connecteurs > Connecteurs cloud > Connexions cloud, ouvrez l' onglet Azure et cliquez sur Ajouter un nouvel enregistrement. Si vous y êtes invité, sélectionnez Nouvelles méthodes de déploiement, puis Suivant.

2. Paramètres d'enregistrement : saisissez un nom d'enregistrement, votre ID du tenant Microsoft Entra, sélectionnez Bicep et saisissez le ID d'abonnement. Cliquez sur Continuer avec la configuration standard.

3. Fonctionnalités : sélectionnez Visibilité et détection en temps réel, puis Suivant.

4. Paramètres avancés : laissez Je souhaite personnaliser les autorisations Entra ID décoché. Modifiez la région des ressources d'ingestion des journaux uniquement si nécessaire. Cliquez sur Suivant.

5. Identifiants API : cliquez sur Générer un client API. Copiez le ID client et secret client et conservez-les à portée de main pour l'étape 5. Le secret n'est affiché qu'une seule fois. Cliquez sur Terminé, puis Suivant.

Gardez le secret client pour vous. Ne l'envoyez jamais par e-mail, chat ou ticket, y compris à Stoïk. Vous n'en avez besoin que dans Azure Cloud Shell pendant l'étape 5.

4

Accordez le consentement administrateur

Cette étape doit être effectuée par un Administrateur général ou un Administrateur de rôles privilégiés. Sans consentement administrateur, Falcon ne peut pas lire les données Entra ID et Identity Protection ne fonctionnera pas.

1. Sur la Déploiement de la configuration page de l'assistant, cliquez sur Accordez le consentement administrateur et connectez-vous avec votre compte administrateur Microsoft.

2. Vérifiez que le ID du tenant dans l'URL correspond à votre tenant.

3. Examinez les autorisations demandées et cliquez sur Accepter.

4. De retour dans l'assistant, cliquez sur Vérifier.

L'application créée par CrowdStrike ne dispose que d'autorisations en lecture seule sur votre annuaire. lecture seule sur votre annuaire.

5

Déployez les ressources depuis Azure Cloud Shell

1. Sur la Déploiement de la configuration sur la page, ouvrez le Bash et cliquez sur Télécharger le ZIP pour obtenir crowdstrike-fcs-azure-bicep-generated.zip.

2. Dans Azure Cloud Shell (Bash), importez le fichier ZIP.

3. Décompressez-le :

   unzip crowdstrike-fcs-azure-bicep-generated.zip

4. Vérifiez que le fichier de paramètres est présent :

   ls parameters.bicepparam

   Si le fichier n'apparaît pas, vérifiez que vous avez importé et décompressé le bon fichier.

5. Copiez les commandes affichées sur l' Bash onglet et exécutez-les dans l'ordre :

   • az login -t '<tenant ID>'

   • export FALCON_CLIENT_SECRET=<client secret from step 3>

   • az stack mg create ..., qui déploie le modèle Bicep

6. Attendez que la dernière commande se termine. Le terminal semble inactif pendant l'exécution du déploiement et n'affiche que les erreurs. C'est normal.

6

Terminez et confirmez l'enregistrement

1. Dans l'assistant, cliquez sur Valider et terminer.

2. Sur la onglet Azure onglet de Connexions cloud, l'enregistrement affiche d'abord En attente, puis Actif. Prévoyez environ 2 heures pour que les données apparaissent.

3. L'enregistrement est terminé lorsque les deux Actifs et Visibilité et détection en temps réel affichent Actif.

4. E-mail [e-mail] avec l'ID de votre tenant. Stoïk vérifie l'enregistrement et active la surveillance de son côté.

Une fois l'enregistrement actif, Stoïk supprime les autorisations de configuration de votre compte Falcon.

7

Accordez à Stoïk l'accès de remédiation

Si un compte est compromis en dehors des heures ouvrées, votre équipe peut être indisponible. Accorder cet accès permet à Stoïk de désactiver les comptes concernés une fois la compromission confirmée.

1. Connectez-vous en tant qu'Administrateur général et ouvrez le lien de consentement administrateur.

2. Examinez les autorisations demandées et cliquez sur Accepter.

3. Vous arrivez sur une page blanche. Vous pouvez la fermer.

L'application peut uniquement activer ou désactiver des comptes existants. Elle ne peut pas créer de comptes ni modifier d'autres attributs. Chaque action nécessite l'AMF, est consignée et horodatée. Stoïk peut fournir le journal d'audit complet sur demande.

Migration depuis le connecteur hérité

Si vous avez configuré le connecteur Entra ID précédent (application stoik-connector-itp avec un secret client), il doit être migré :

1. Demandez votre accès à la console Falcon (étape 1).

2. Effectuez les étapes 2 à 6. À l'étape 3, partez de Mettre à niveau maintenant sur le connecteur hérité.

3. Une fois le nouvel enregistrement actif, le connecteur hérité affiche Prêt à être mis hors service. Supprimez-le dans Protection de l'identité > Paramètres > Configurations > Connecteurs, ou demandez à Stoïk de le faire.

4. Vous pouvez alors supprimer l'ancienne stoik-connector-itp application, son secret client et le lecteur RBAC de la protection de l'identité rôle personnalisé de votre tenant. Ils ne sont plus utilisés.

Console Falcon auto-gérée

Si vous gérez votre propre console Falcon, sautez l'étape 1 et utilisez un compte disposant des autorisations nécessaires pour gérer les enregistrements cloud et les clients API. Suivez les étapes 2 à 7.