Entra ID — connexion refusée par l'accès conditionnel (erreur 53003)
```text AADSTS53003: Access has been blocked by Conditional Access policies. ```
Détecter
Un utilisateur saisit correctement son mot de passe et sa MFA, puis reçoit « Vous n'avez pas accès à cette ressource ».
Symptômes
Un utilisateur saisit correctement son mot de passe et sa MFA, puis reçoit « Vous n'avez pas accès à cette ressource ».
Environnement
Tenant Microsoft 365 avec stratégies d'accès conditionnel (emplacements nommés, conformité d'appareil, risque de connexion).
Cause racine
Une stratégie d'accès conditionnel dont les conditions correspondent (pays hors liste, appareil non conforme, application cliente héritée, risque élevé) applique un contrôle Bloquer ou un contrôle que l'utilisateur ne peut pas satisfaire. Codes voisins : 50126 identifiants invalides, 50076 MFA requise, 53000 appareil non conforme, 50053 compte verrouillé.
Diagnostic
- Entra › Journaux de connexion : filtrer l'utilisateur, ouvrir l'échec → onglet Accès conditionnel : stratégies appliquées avec le résultat failure.
- Vérifier les conditions qui ont correspondu (emplacement, plateforme, état de l'appareil).
- Outil What If pour rejouer la situation.
- Ne pas confondre avec les journaux d'audit (modifications des stratégies : qui a changé quoi).
Solution
Corriger la cause, pas désactiver la stratégie : rendre l'appareil conforme (Intune), ajouter une exception ciblée et temporaire (groupe dédié, validée par le RSSI, avec date de fin), ou corriger un emplacement nommé erroné. Garder les comptes d'urgence exclus.
Commandes
Connect-MgGraph -Scopes "AuditLog.Read.All","Policy.Read.All"
Get-MgAuditLogSignIn -Filter "userPrincipalName eq 'l.moreau@contoso.fr'" -Top 5 |
Select-Object CreatedDateTime, @{n='Code';e={$_.Status.ErrorCode}}, ConditionalAccessStatus
Get-MgIdentityConditionalAccessPolicy | Select-Object DisplayName, State
Prévention
Stratégies testées en mode Rapport seulement avant activation, groupe pilote, procédure d'exception documentée, revue périodique des exclusions.