Site Castelid

Active Directory · AD CS · Microsoft Entra ID

Savoir ce qui expose vraiment vos identités.

Castelid identifie les risques prioritaires de votre annuaire, de votre PKI et de votre locataire Entra ID, accompagne leur correction et vérifie les résultats. Un service mené par des experts de l’identité Microsoft.

Demander un diagnostic Voir la méthode
  • Analyse en lecture seule, sans modification des configurations analysées.
  • Prérequis de collecte documentés et validés par vos équipes avant exécution.
  • Restitution en français, alignée sur les recommandations de l’ANSSI et de Microsoft.
Fiche de correction · exemple PKI-07
Critique

Un modèle de certificat laisse le demandeur choisir l’identité inscrite dans le certificat

ESC1 · modèle VPN-Utilisateurs-2019 · autorité CORP-SUBCA01

Utilisateurs du domaineVPN-Utilisateurs-2019Admins du domaine · Tier 0
Correction
Retirer « Fournir dans la demande » et réserver l’inscription à un groupe dédié.
Impact étudié
Certificats émis sur 90 jours rapprochés des usages VPN avant toute modification.
Retour arrière
Droits et paramètres du modèle sauvegardés avant le changement.
Vérification
Nouvelle collecte : le chemin vers le Tier 0 n’existe plus.
Données fictives Résolu

Le constat

Le chemin le plus court vers votre système d’information passe par vos identités.

Des privilèges qui s’accumulent

Comptes d’administration permanents, comptes de service dont le mot de passe n’a pas changé depuis des années, délégations oubliées : chaque migration et chaque projet en ajoutent.

Des chemins indirects

Une ACL sur un objet, un modèle de certificat trop ouvert ou une délégation Kerberos peuvent relier un compte ordinaire au Tier 0. Ces chemins n’apparaissent pas dans la liste des administrateurs.

Des exceptions qui durent

Exclusions d’accès conditionnel, méthodes MFA héritées, applications aux permissions trop larges dans Entra ID : les contournements « temporaires » restent en place.

Castelid vous aide à décider quoi corriger d’abord, à le corriger avec méthode et à en apporter la preuve.

Offres

Identifier, corriger, vérifier : trois offres qui s’enchaînent.

Commencez par le diagnostic. La remédiation et le suivi se décident ensuite, à partir du plan priorisé.

01

Diagnostic et priorisation

4 à 6 jours 1 forêt (jusqu’à 3 domaines), AD CS et 1 locataire Entra ID
  • Atelier de cadrage et prérequis validés
  • Collecte en lecture seule
  • Chemins vers le Tier 0 et évaluation du modèle en tiers
  • Synthèse pour la direction et rapport technique
  • Plan de correction priorisé et état de référence daté

Forfaitselon le nombre de comptes et le périmètre

02

Remédiation accompagnée

Par lots de 5 à 20 jours Lots choisis dans le plan priorisé
  • Fiche de changement et validation écrite
  • Étude d’impact avant chaque changement
  • Mise en œuvre progressive et journal des changements
  • Retour arrière lorsqu’il est possible
  • Contrôle après intervention

Forfait par lot ou régieavec vos équipes ou à leur place

03

Suivi des dérives

Chaque trimestre Engagement de 12 mois
  • Nouvelle collecte en lecture seule
  • Comparaison avec l’état de référence
  • Rapport des dérives et des nouveaux chemins
  • Revue d’une heure avec un expert

Abonnement trimestrielselon le nombre de comptes

Modules complémentaires

À ajouter au diagnostic ou à commander seuls.

  • Audit des contournements MFA2–3 j
  • Audit PKI et AD CS approfondi3–5 j
  • Plan de reprise de la forêt AD8–10 j
  • Identités des agents IA5–7 j
  • Formation identité Microsoft½–3 j

Chaque mission fait l’objet d’un devis forfaitaire, établi après un échange de 30 minutes sur votre contexte : nombre de comptes, forêts, autorités de certification et locataires.

Recevoir un devis

Méthode

Observer d’abord. Corriger ensuite, sur votre décision.

L’analyse et la correction sont deux phases distinctes, avec des comptes et des scripts distincts.

  1. 01

    Cadrer

    Atelier de cadrage : périmètre, actifs du Tier 0, calendrier. Les comptes et permissions nécessaires sont documentés, script par script, et validés par vos équipes.

    Validation
  2. 02

    Analyser

    Collecte en lecture seule, sans modification des configurations analysées. Chaque collecte est tracée : identifiant, date, opérateur, version et empreinte SHA-256.

    Lecture seule
  3. 03

    Corriger

    Phase distincte, déclenchée par votre validation explicite. Chaque changement a sa fiche : étude d’impact, mise en œuvre progressive, journal et retour arrière lorsqu’il est possible.

    Sur décision
  4. 04

    Vérifier

    Une nouvelle collecte mesure l’écart avec l’état de référence : ce qui est fermé, ce qui reste ouvert et ce qui est apparu depuis.

    Preuve

Les scripts de collecte vous sont remis avant exécution : vos équipes peuvent les relire. Les collectes sont chiffrées, stockées dans l’Union européenne et effacées 30 jours après la restitution, sauf contrat de suivi.

Planifier le cadrage

Périmètre

Ce que nous examinons

Le périmètre exact est fixé au cadrage, en fonction de votre environnement et de vos priorités.

Active Directory

Modèle en tiers, groupes et comptes à privilèges, droits délégués, chemins de contrôle vers le Tier 0.

  • ACL
  • AdminSDHolder
  • délégations Kerberos
  • GPO
  • krbtgt

AD CS et PKI

Modèles de certificats, droits sur les autorités, inscription web, correspondance entre certificats et comptes.

  • famille ESC
  • EKU
  • enrollment agents
  • CRL

Microsoft Entra ID

Rôles d’administration, attributions permanentes, comptes d’urgence, synchronisation avec l’annuaire local.

  • PIM
  • rôles privilégiés
  • Entra Connect
  • comptes synchronisés

MFA et accès conditionnel

Couverture des politiques, exclusions, méthodes d’authentification faibles, protocoles hérités et contournements.

  • exclusions
  • authentification héritée
  • méthodes MFA

Comptes de service et applications

Comptes de service, principaux de service, secrets et certificats d’applications, consentements accordés.

  • gMSA
  • SPN
  • principaux de service
  • consentements

Agents IA

Identités et permissions des agents IA dans votre locataire, selon votre besoin.

  • Entra Agent ID
  • permissions Graph

Livrables

De quoi décider, puis de quoi agir.

  1. Synthèse pour la directionLes risques prioritaires en langage clair, avec ce qu’ils permettent concrètement à un attaquant.
  2. Chemins vers le Tier 0Points d’entrée et points de blocage, classés par nombre d’identités exposées.
  3. Modèle en tiersNiveau atteint, preuves et plan de P0 à P4 avec la charge estimée.
  4. Fiches de correctionUne par action : étude d’impact, moyen de limiter l’impact, retour arrière et vérification.
  5. Comparaison avant/aprèsÉtat de référence daté, puis écart mesuré à chaque nouvelle collecte.

Suivi des constats

référence 12/11 → contrôle 18/02
ConstatGravitéRéférenceContrôle
Modèle de certificat ESC1CritiquePrésentFermé
Délégation non contrainte sur un serveur applicatifÉlevéPrésentFermé
Exclusion permanente d’une politique MFAÉlevéPrésentJustifié, revu
Compte de service ajouté aux Admins du domaineCritiqueAbsentNouveau

Exemple de présentation, données fictives.

Pourquoi Castelid

Un outil d’audit vous montre l’exposition. Castelid vous aide à la réduire.

Les outils d’audit, gratuits ou sous licence, sont précieux et nous pouvons partir de leurs résultats. Castelid y ajoute la priorisation dans votre contexte, l’accompagnement de la correction et la preuve du résultat.

Ce dont vous avez besoinOutil d’audit seulAudit ponctuel classiqueCastelid
Rapport d’exposition AD et Entra IDOuiOuiOui, avec AD CS
Priorités adaptées à votre contexteScore et règles génériquesSelon l’auditeurChemins vers votre Tier 0
Accompagnement de la correctionÀ votre chargeRarement inclusPhase dédiée, sur votre validation
Étude d’impact et retour arrière par changementNonVariableUne fiche par changement
Preuve avant/aprèsSelon l’outil et la licenceNouvel audit nécessaireComparaison avec l’état de référence
Suivi des dérivesContinu, sous licenceNonTrimestriel, avec revue d’expert
Interlocuteur expert en françaisNonOuiOui

Ce tableau compare des approches, pas des produits. Certains éditeurs proposent aussi de l’accompagnement ou une surveillance continue : Castelid reste indépendant de tout éditeur et s’adapte à vos outils existants.

Qui intervient

Castelid est un service de RSMIND GROUP.

Cabinet français spécialisé dans l’identité Microsoft et la cybersécurité, basé à Montigny-le-Bretonneux (Yvelines). Les missions sont menées ou supervisées par son fondateur.

Riadh SebriFondateur de RSMIND GROUP · plus de 15 ans sur Active Directory, Entra ID et PKI
  • Missions Active Directory et Entra ID pour de grands groupes de l’énergie, de la banque, de l’industrie et de la logistique.
  • Mise en place d’un plan de reprise de forêt Active Directory pour un groupe international.
  • Conception d’accès conditionnel, de PIM et de séparations de locataires dans Entra ID.
  • Infrastructures PKI Microsoft : autorités, modèles, révocation, migration.
  • Référentiels : guides de l’ANSSI et modèle d’accès d’entreprise de Microsoft.

Questions fréquentes

Avant de nous ouvrir votre annuaire

Allez-vous modifier notre Active Directory pendant le diagnostic ?

Non. L’analyse se fait en lecture seule, sans modification des configurations analysées. Si un prérequis est nécessaire, par exemple un compte de collecte dédié, il est documenté et validé par vos équipes avant la collecte. Toute correction relève d’une phase distincte, que vous déclenchez.

De quels accès avez-vous besoin ?

Un compte de lecture dans l’annuaire et des permissions Microsoft Graph en lecture pour Entra ID. La liste exacte, script par script, vous est remise au cadrage pour approbation.

Que deviennent les données collectées ?

Les collectes sont chiffrées, stockées dans l’Union européenne et effacées 30 jours après la restitution, sauf contrat de suivi. Chaque collecte est tracée : identifiant, date, opérateur, version des scripts et empreinte.

Pouvez-vous garantir qu’une correction n’aura aucun impact ?

Personne ne peut le garantir sur un annuaire en production. Nous réduisons le risque : étude d’impact avant chaque changement, mise en œuvre progressive, retour arrière lorsqu’il est possible et contrôle après intervention. Rien n’est modifié sans votre validation écrite.

Nous utilisons déjà un outil d’audit. Castelid fait-il doublon ?

Non. Nous pouvons partir de ses résultats. Castelid apporte la priorisation dans votre contexte, l’accompagnement de la correction et la preuve avant/après.

Castelid est-il un logiciel ?

Pas aujourd’hui. Castelid est un service mené par des experts, outillé par nos propres scripts de collecte. Une plateforme de suivi est en préparation ; elle sera construite à partir des besoins récurrents de nos clients.

Combien coûte un diagnostic ?

Le prix dépend du nombre de comptes et du périmètre : forêts, domaines, autorités de certification, locataires. Vous recevez un forfait ferme après un échange de 30 minutes.

Contact

Parlons de votre annuaire.

Un échange de 30 minutes pour comprendre votre contexte et vous proposer un périmètre. Sans engagement.

Vos informations servent uniquement à répondre à votre demande. Politique de confidentialité.