Microsoft 365 : accès conditionnel et MFA

Déployez deux stratégies d'accès conditionnel Entra ID via Microsoft Graph. Travaillez depuis ~/m365. Groupe des comptes d'urgence (« bris de glace ») : 5d2f8e1a-7c3b-4a9d-b6e0-2f1c8d4a7b93.

1. ca-mfa.json — displayName CA01 - MFA pour tous, état enabledForReportingButNotEnforced (mode rapport), tous les utilisateurs (includeUsers: ["All"]) sauf le groupe d'urgence (excludeGroups), toutes les applications, clientAppTypes: ["all"], contrôle builtInControls: ["mfa"]
2. ca-legacy.json — CA02 - Bloquer authentification héritée, état enabled, mêmes utilisateurs et exclusion, clientAppTypes: ["exchangeActiveSync", "other"], contrôle ["block"]
3. Créez-les : az rest --method POST --url https://graph.microsoft.com/v1.0/identity/conditionalAccess/policies --body @ca-mfa.json (idem avec ca-legacy.json)
4. Pourquoi démarrer CA01 en mode rapport ? → answer rapport <impact|licence|cout> ; pourquoi bloquer l'authentification héritée ? → answer heritage <mfa|chiffrement|performance>