01 · Configurer le tenant Microsoft Entra et gérer les identités

Version : 1.1 · Date : 2026-10-22 · Domaine 1 de l'examen : Implement and manage user identities (20 à 25 %)

En une phrase : un tenant Microsoft Entra contient des users, des groups, des devices et des domaines ; l'administrateur délègue sa gestion avec des Microsoft Entra roles attribués au bon scope (tenant, administrative unit ou objet), règle le comportement par défaut du tenant (user, group, device settings, branding) et attribue les licences, désormais depuis le Microsoft 365 admin center.

Ce que l'examen demande#

Bloc Configure and manage a Microsoft Entra tenant et bloc Create, configure, and manage Microsoft Entra identities du guide d'étude SC-300 (compétences du 28 octobre 2026) :

Le domaine 1 de l'examen compte aussi les identités externes (chapitre 02) et l'identité hybride (chapitre 03). Le guide se contredit sur le poids du domaine 2 (Implement authentication and access management) : 25 à 30 % dans le résumé, 20 à 25 % dans le détail ; ce cours retient 25 à 30 %.

Ce chapitre suppose connus les bases vues en SC-500 : la différence entre Microsoft Entra roles et Azure RBAC (SC-500 01 § 1.2), les licences des grandes fonctions (§ 1.3), les administrative units (§ 11.6) et les groupes (§ 11.9). Il va plus loin, au niveau administrateur : portail, PowerShell Microsoft Graph, API Graph, limites et dépannage.

1. Le tenant Microsoft Entra en bref pour un administrateur#

1.1 Les éditions et ce qu'elles débloquent#

Piège : l'attribution des licences ne se fait plus dans l'interface du Microsoft Entra admin center ni du portail Azure, mais dans le Microsoft 365 admin center (page Microsoft Entra licensing : « User and group license assignments are managed through the Microsoft 365 Admin Center ») ; PowerShell et l'API Graph ne changent pas (section 13).

1.2 Les rôles d'administration à connaître par cœur#

Principe constant à l'examen : le rôle le moins privilégié qui suffit. Une question qui propose Global Administrator alors qu'un rôle dédié existe attend le rôle dédié.

2. Built-in et custom Microsoft Entra roles#

2.1 Le modèle#

Un role assignment associe trois choses :

1. un principal : user, role-assignable group ou service principal ;
2. une role definition : un ensemble de permissions (microsoft.directory/users/basic/update…) ;
3. un scope (directoryScopeId) : / pour le tenant, /administrativeUnits/{id} pour une AU, /{id} pour un objet comme une app registration.

On crée une définition une fois et on l'attribue autant de fois que nécessaire, à des scopes différents.

Autres limites utiles : 100 attributions de built-in roles par principal à un scope autre que le tenant (pas de limite au niveau du tenant) ; un ajout ou un retrait de rôle peut prendre jusqu'à 15 minutes ou demander une reconnexion.

2.2 Créer et attribuer une custom role#

Portail : Entra ID > Roles & admins > New custom role, onglet Permissions (rechercher « credentials », « basic »…), puis Review + create. L'attribution se fait ensuite depuis le rôle (Add assignments) ou depuis l'objet visé (une app registration > Roles and administrators).

Connect-MgGraph -Scopes "RoleManagement.ReadWrite.Directory"

# Custom role : gérer les propriétés de base et les credentials des app registrations
$def = New-MgRoleManagementDirectoryRoleDefinition -BodyParameter @{
  displayName     = "Application Support Administrator"
  description     = "Peut gérer les propriétés de base et les credentials des app registrations"
  isEnabled       = $true
  rolePermissions = @(@{ allowedResourceActions = @(
      "microsoft.directory/applications/basic/update",
      "microsoft.directory/applications/credentials/update") })
}

# Attribution limitée à une seule app registration (scope = /{objectId de l'application})
New-MgRoleManagementDirectoryRoleAssignment -BodyParameter @{
  principalId      = "<objectId du user>"
  roleDefinitionId = $def.Id
  directoryScopeId = "/<objectId de l'app registration>"
}

À retenir : une custom role attribuée sur une app registration ne donne accès qu'aux pages récentes de App registrations, et pas du tout au portail si le réglage Restrict access to Microsoft Entra administration portal vaut Yes (section 7).

3. Les administrative units#

Les bases (contenu, groupe sans ses membres, AU dynamique, restricted management) sont dans SC-500 01 § 11.6. Ici : quand s'en servir, et comment l'administrer.

3.1 Quand utiliser une administrative unit#

3.2 Configurer et gérer les administrative units#

Trois règles qui tombent à l'examen :

• Un rôle scopé à une AU ne touche pas les réglages du tenant : un Groups Administrator d'AU gère les groupes de l'AU, pas la naming policy ni l'expiration.
• Sur une AU, les actions sensibles (méthodes d'authentification, mot de passe, téléphone, suppression) ne visent que les users sans rôle d'administration.
• Un service principal ou un guest scopé à une AU doit aussi avoir Directory Readers au niveau du tenant, sinon il ne lit pas les objets.

Connect-MgGraph -Scopes "AdministrativeUnit.ReadWrite.All","RoleManagement.ReadWrite.Directory"

$au = New-MgDirectoryAdministrativeUnit -DisplayName "Paris" -Description "Utilisateurs et postes du site de Paris"

# Ajouter un user à l'AU
New-MgDirectoryAdministrativeUnitMemberByRef -AdministrativeUnitId $au.Id `
  -BodyParameter @{ "@odata.id" = "https://graph.microsoft.com/v1.0/users/<objectId du user>" }

# Helpdesk Administrator limité à l'AU : le scope est /administrativeUnits/{id}
$role = Get-MgRoleManagementDirectoryRoleDefinition -Filter "displayName eq 'Helpdesk Administrator'"
New-MgRoleManagementDirectoryRoleAssignment -BodyParameter @{
  principalId      = "<objectId du technicien>"
  roleDefinitionId = $role.Id
  directoryScopeId = "/administrativeUnits/$($au.Id)"
}

Détail Graph : /administrativeUnits/{id} donne le droit de gérer les membres de l'AU ; /{id} donnerait le droit de gérer l'objet lui-même. Un rôle non scopable renvoie 400 Bad Request.

4. Évaluer les permissions effectives#

Les permissions effectives d'un administrateur sont l'union de ses rôles actifs, chacun limité à son scope.

Où le vérifier :

1. Entra ID > Users > {user} > Assigned roles : rôles directs et via groupe, à toutes les étendues (vue PIM avec P2 : eligible, active, expired).
2. Roles & admins > {rôle} > Assignments : colonne Scope (Directory, This resource).
3. Roles & admins > All roles > Download assignments : CSV de toutes les attributions (opération en masse, 1 heure max).
4. Admin units > {AU} > Roles and administrators : attributions scopées à l'AU.
5. Roles & admins > Your Role : ses propres rôles.

# Toutes les attributions d'un principal, avec leur scope
Get-MgRoleManagementDirectoryRoleAssignment -Filter "principalId eq '<objectId>'" -ExpandProperty roleDefinition |
  Select-Object @{n='Rôle';e={$_.RoleDefinition.DisplayName}}, DirectoryScopeId

Comment Entra décide : l'appel arrive sur Microsoft Graph avec le jeton du user ; Entra évalue d'abord ses rôles à partir du claim wids du jeton, puis les attributions à d'autres scopes. D'où les 15 minutes possibles après un changement.

5. Les domaines#

Supprimer un domaine : aucun user (UPN, e-mail, proxy address), aucun group (e-mail, proxy address) et aucune application (app ID URI) ne doit plus l'utiliser, et on se connecte avec un compte qui ne l'utilise pas. ForceDelete (portail Azure ou domain: forceDelete dans Graph) renomme tout en onmicrosoft.com et désactive les comptes touchés, mais échoue au-delà de 1 000 références, avec une application multitenant, un domaine fédéré, ou des groupes gérés par Exchange (mail-enabled security groups, listes de distribution : à nettoyer dans l'Exchange admin center). La suppression est asynchrone (jusqu'à 24 h).

Côté Microsoft 365 : le Microsoft 365 admin center ajoute aussi les domaines et guide la création des enregistrements DNS des services (MX et CNAME Exchange, Teams…) ; la vérification d'appartenance reste la même.

Connect-MgGraph -Scopes "Domain.ReadWrite.All"
New-MgDomain -Id "contoso.com"
Get-MgDomainVerificationDnsRecord -DomainId "contoso.com" | Where-Object RecordType -eq "Txt"   # valeur MS=ms…
Confirm-MgDomain -DomainId "contoso.com"                                                       # après création du TXT

6. Company branding#

Le company branding personnalise la page de connexion Microsoft Entra pour tous les accès au tenant.

Piège : le branding n'est pas un contrôle de sécurité, mais il aide les utilisateurs à repérer une fausse page (le hameçonnage imite souvent la page par défaut). La personnalisation par langue s'ajoute à la configuration par défaut, elle ne la remplace pas.

7. Les réglages du tenant#

7.1 Tenant properties#

Entra ID > Overview > Properties : nom du tenant, contact technique, global privacy contact et privacy statement URL (affichés aux users et aux guests), pays et emplacement des données (fixés à la création). C'est aussi là que se trouve Access management for Azure resources (l'élévation d'un Global Administrator, voir SC-500 03).

7.2 User settings#

Entra ID > Users > User settings (au moins Global Administrator pour ces réglages) :

7.3 Group settings#

Entra ID > Groups > General :

• Users can create security groups et Users can create Microsoft 365 groups (Yes, No ou un groupe autorisé) : effet en 15 minutes au plus ; n'affecte pas les service principals ; les owners gardent la gestion de leurs groupes.
• Expiration (Microsoft 365 groups seulement) : suppression automatique sans renouvellement, renouvellement automatique en cas d'activité.
• Naming policy (Microsoft 365 groups) : préfixes ou suffixes (chaînes ou attributs comme [Department]) et blocked words (5 000 au maximum, correspondance exacte, sans tenir compte de la casse) ; licence P1 pour chaque membre unique des groupes concernés ; ne s'applique pas à certains rôles (Global Administrator, User Administrator…).

7.4 Device settings#

Voir la section 12.

8. Les users#

Limites : un user non administrateur crée au plus 250 objets ; un tenant compte 50 000 objets sans domaine vérifié, 300 000 avec.

Connect-MgGraph -Scopes "User.ReadWrite.All"
New-MgUser -DisplayName "Alain Martin" -UserPrincipalName "[email protected]" -MailNickname "alain.martin" `
  -AccountEnabled -UsageLocation "FR" `
  -PasswordProfile @{ Password = (Read-Host "Mot de passe initial"); ForceChangePasswordNextSignIn = $true }

# Restaurer un user supprimé depuis moins de 30 jours
Restore-MgDirectoryDeletedItem -DirectoryObjectId "<objectId du user supprimé>"

9. Les groups#

Les types (security, Microsoft 365), les appartenances (assigned, dynamic) et les role-assignable groups sont dans SC-500 01 § 11.9. Les points d'administration en plus :

Connect-MgGraph -Scopes "Group.ReadWrite.All"
New-MgGroup -DisplayName "GRP-Marketing" -MailEnabled:$false -MailNickname "grp-marketing" -SecurityEnabled `
  -GroupTypes @("DynamicMembership") -MembershipRule 'user.department -eq "Marketing"' -MembershipRuleProcessingState "On"

10. Custom security attributes#

Les custom security attributes sont des paires clé-valeur métier, posées sur des objets Entra, dont la lecture et l'écriture sont réservées à des rôles dédiés.

Connect-MgGraph -Scopes "CustomSecAttributeDefinition.ReadWrite.All","CustomSecAttributeAssignment.ReadWrite.All","User.Read.All"

New-MgDirectoryAttributeSet -Id "Engineering" -Description "Attributs des équipes d'ingénierie" -MaxAttributesPerSet 25
New-MgDirectoryCustomSecurityAttributeDefinition -AttributeSet "Engineering" -Name "Project" -Type "String" `
  -IsCollection:$true -IsSearchable:$true -Status "Available" -UsePreDefinedValuesOnly:$false `
  -Description "Projets de l'utilisateur"

# Attribuer la valeur à un user
Update-MgUser -UserId "<objectId>" -BodyParameter @{
  customSecurityAttributes = @{ Engineering = @{
      "@odata.type"         = "#Microsoft.DirectoryServices.CustomSecurityAttributeValue"
      "[email protected]"  = "#Collection(String)"
      Project               = @("Baker", "Cascade") } }
}

11. Les opérations en masse#

Modèle CSV de création : Name [displayName] Required, User name [userPrincipalName] Required, Initial password [passwordProfile] Required, puis des colonnes optionnelles (bloquer la connexion, prénom, poste, usage location…). Pas d'espace avant ou après les valeurs, une ligne par user, mot de passe conforme à la politique.

# Création en masse depuis un CSV (colonnes : DisplayName, UserPrincipalName, MailNickname, UsageLocation)
Connect-MgGraph -Scopes "User.ReadWrite.All"
Import-Csv .\nouveaux-users.csv | ForEach-Object {
  New-MgUser -DisplayName $_.DisplayName -UserPrincipalName $_.UserPrincipalName -MailNickname $_.MailNickname `
    -UsageLocation $_.UsageLocation -AccountEnabled `
    -PasswordProfile @{ Password = [guid]::NewGuid().ToString() + "!Aa1"; ForceChangePasswordNextSignIn = $true }
}

# Export de tous les users (contourne la limite d'une heure du portail)
Get-MgUser -All -Property DisplayName,UserPrincipalName,UsageLocation,AccountEnabled | Export-Csv .\users.csv -NoTypeInformation

Le mot de passe aléatoire est à communiquer par un canal sûr, ou à remplacer par un Temporary Access Pass (chapitre 04).

12. Device join et device registration#

Une device identity est un objet de l'annuaire, prérequis du Conditional Access basé sur l'appareil et d'Intune.

Device settings (Entra ID > Devices > All devices > Device settings) :

Piège : un appareil peut apparaître deux fois (registered et hybrid joined) si l'utilisateur a ajouté son compte pro avant la jonction hybride ; la jonction hybride l'emporte, et Windows 10 1803+ nettoie l'état registered.

13. Les licences#

Erreurs du group-based licensing (Billing > Licenses > {produit} > Errors & issues, ou notification sur le groupe dans Entra) :

Après correction : Reprocess (20 users à la fois dans le portail). Supprimer un groupe licencié demande d'abord d'en retirer les licences ; une licence héritée peut alors être convertie en attribution directe pour préserver une dépendance.

Connect-MgGraph -Scopes "User.ReadWrite.All","Organization.Read.All","Group.ReadWrite.All"
$sku = Get-MgSubscribedSku | Where-Object SkuPartNumber -eq "AAD_PREMIUM_P2"

Update-MgUser -UserId "[email protected]" -UsageLocation "FR"
Set-MgUserLicense -UserId "[email protected]" -AddLicenses @(@{ SkuId = $sku.SkuId }) -RemoveLicenses @()

# Group-based licensing
Set-MgGroupLicense -GroupId "<objectId du groupe>" -AddLicenses @(@{ SkuId = $sku.SkuId }) -RemoveLicenses @()

# Rapport : licences d'un user et attribution directe ou héritée
Get-MgUserLicenseDetail -UserId "[email protected]"
(Get-MgUser -UserId "[email protected]" -Property LicenseAssignmentStates).LicenseAssignmentStates |
  Select-Object SkuId, AssignedByGroup, State, Error

AssignedByGroup vide signifie une attribution directe ; une valeur indique le groupe d'origine.

14. Labs conseillés#

Dans un tenant de test (un essai Microsoft Entra ID P2 de 30 jours suffit, sans coût). Supprimer à la fin les objets créés.

1. Custom role scopée : créer la custom role Application Support Administrator (section 2.2), l'attribuer à un user sur une seule app registration. Résultat attendu : il modifie les credentials de cette application et voit « Insufficient privileges » sur les autres.
2. Administrative unit et rôle scopé : créer l'AU « Paris », y mettre deux users dont un User Administrator, donner Helpdesk Administrator scopé à un technicien. Résultat attendu : il réinitialise le mot de passe du user simple, pas celui de l'administrateur ni d'un user hors AU.
3. Permissions effectives : donner un rôle via un role-assignable group, un autre en direct, un troisième éligible dans PIM. Résultat attendu : Assigned roles montre les trois avec leur origine ; seul l'éligible n'agit pas avant activation.
4. Custom security attributes : se donner Attribute Definition Administrator et Attribute Assignment Administrator, créer l'attribute set Engineering et l'attribut Project, l'attribuer, puis filtrer la liste des users dessus. Résultat attendu : un Global Administrator sans ces rôles ne voit pas la valeur.
5. Masse et licences : créer 5 users par CSV, les mettre dans un groupe, attribuer une licence au groupe dans le Microsoft 365 admin center en laissant un user sans usage location. Résultat attendu : la licence s'applique avec la usage location du tenant ; Errors & issues reste vide.

15. Pièges d'examen#

16. Scénarios corrigés#

1. Contoso veut que l'équipe de support de Lyon réinitialise les mots de passe des seuls employés lyonnais, et que l'équipe de Paris fasse de même pour Paris. Que faire ?

Deux administrative units (Lyon, Paris), avec les users de chaque site comme membres (règle dynamique sur user.city par exemple, P1 par membre), puis Helpdesk Administrator ou Password Administrator attribué au scope de chaque AU. Licence P1 pour chaque technicien.

2. Un développeur doit pouvoir créer des secrets pour l'application Paie, et seulement elle. Quelle est la solution la moins privilégiée ?

Une custom role avec microsoft.directory/applications/credentials/update (et basic/update si besoin), attribuée au scope de l'app registration Paie. Pas Application Administrator, qui vaut pour toutes les applications.

3. Un Global Administrator ne parvient pas à modifier le compte du PDG. Pourquoi, et que peut-il faire ?

Le compte est dans une restricted management administrative unit. Seuls les administrateurs scopés à l'AU peuvent le modifier ; le Global Administrator peut s'attribuer un rôle sur l'AU, ce qui est audité.

4. Après l'ajout de contoso.com, la vérification échoue alors que l'enregistrement TXT existe. Que vérifier ?

Le nom d'hôte (@ pour la racine) et la valeur exacte MS=ms…, l'absence d'anciens TXT Microsoft, la propagation DNS ; une saisie erronée impose d'attendre la fin du TTL (3 600 s). Si le domaine est vérifié dans un autre tenant, il faut d'abord l'y supprimer.

5. RH veut stocker le « niveau de salaire » des employés et l'utiliser pour donner l'accès à un compte de stockage, sans que les autres utilisateurs puissent le lire. Que proposer ?

Un custom security attribute (attribute set RH, attribut NiveauSalaire), défini par un Attribute Definition Administrator et attribué par un Attribute Assignment Administrator, puis une condition Azure ABAC sur le role assignment du stockage. Une extension serait lisible par tous.

6. Un administrateur dit « je ne vois pas où attribuer une licence P2 dans le Microsoft Entra admin center ». Que lui répondre ?

L'interface d'attribution est passée dans le Microsoft 365 admin center (Billing > Licenses) ; PowerShell (Set-MgUserLicense, Set-MgGroupLicense) et l'API Graph fonctionnent toujours.

7. 30 employés en Inde ne reçoivent pas leur licence Microsoft 365 E3 attribuée au groupe Tous les employés. Le portail signale une erreur. Causes et correction ?

Probablement une usage location non autorisée pour un service, ou des licences insuffisantes, ou un conflit avec une licence attribuée en direct. Corriger, puis Reprocess dans Errors & issues.

8. La DSI veut imposer la MFA lors de la jonction d'un PC à Microsoft Entra ID. Quelle configuration recommande Microsoft ?

Une stratégie Conditional Access sur la user action Register or join devices avec l'authentication strength Multifactor authentication, et le réglage Require multifactor authentication to register or join devices à No.

9. Un technicien a reçu le rôle User Administrator il y a deux minutes mais obtient encore « accès refusé ». Que faire ?

Attendre jusqu'à 15 minutes ou se déconnecter et reconnecter : les rôles sont évalués à partir du jeton (claim wids). Vérifier ensuite Assigned roles et s'assurer que le rôle n'est pas seulement éligible dans PIM.

17. Pour aller plus loin#

• Microsoft Entra PowerShell : un module plus récent, orienté tâches, construit sur Graph (Connect-Entra, Get-EntraDeletedUser, Restore-EntraDeletedDirectoryObject), en complément de Microsoft Graph PowerShell.
• Tenant Configuration Management et Microsoft365DSC : décrire la configuration du tenant (AU, rôles, réglages) en tant que code et détecter les dérives.
• Branding themes : un branding différent par application, en plus du branding par défaut.
• Protected actions : exiger une authentication strength pour certaines actions d'administration sensibles (chapitre 05).
• Multitenant organizations et cross-tenant synchronization : plusieurs tenants d'un même groupe (chapitre 02).

18. Fiche à retenir#

• Role assignment = principal + role definition + scope (/, /administrativeUnits/{id}, /{id}).
• Built-in roles gratuits et figés ; custom roles en P1, 100 par tenant, scope tenant ou app registration (AU si permissions users/groups/devices), pas de clonage d'un built-in.
• Le rôle le moins privilégié : Privileged Role Administrator pour attribuer, Domain Name Administrator pour les domaines, Organizational Branding Administrator pour le branding, License Administrator pour les licences.
• Administrative unit : limite la gestion, pas la lecture ; pas d'imbrication ; 30 AU par objet ; P1 par admin d'AU ; restricted management choisi à la création.
• Rôle scopé à une AU : actions sensibles seulement sur les non-admins ; SP et guests ont besoin de Directory Readers.
• Permissions effectives = union des rôles actifs ; éligible PIM = rien ; propagation jusqu'à 15 min.
• Domaine : TXT ou MX, un domaine par tenant, primary non fédéré, suppression sans aucune référence, ForceDelete < 1 000 références.
• Company branding : P1 (ou M365 Business Standard, SharePoint Plan 1), pas pour les comptes Microsoft personnels.
• Restrict access to Microsoft Entra administration portal n'est pas un contrôle de sécurité ; Restrict non-admin users from creating tenants + Tenant Creator.
• Naming policy des Microsoft 365 groups : P1 par membre ; réglages de création de groupes appliqués en 15 min.
• Users supprimés : 30 jours pour restaurer, avec leurs licences.
• Custom security attributes : users et service principals, Global Administrator sans accès par défaut, 500 actifs, désactivés et jamais supprimés.
• Opérations en masse : modèles CSV, 1 heure max dans le portail, sinon PowerShell Graph.
• Devices : registered (BYOD), joined (cible), hybrid joined (transition) ; max 50 par user ; MFA par la user action Conditional Access.
• Licences : interface dans le Microsoft 365 admin center, usage location obligatoire, group-based sans imbrication, Reprocess après correction.

Références#

Toutes lues le 21/10/2026 sur Microsoft Learn :

• Study guide for Exam SC-300
• Microsoft Entra licensing
• Overview of role-based access control in Microsoft Entra ID
• Create a custom role in Microsoft Entra ID
• Assign Microsoft Entra roles
• List Microsoft Entra role assignments
• Administrative units in Microsoft Entra ID
• Microsoft Entra service limits and restrictions
• Add your custom domain name to your tenant
• Manage custom domain names in your Microsoft Entra ID
• domain: forceDelete (Microsoft Graph)
• Configure your company branding
• What are the default user permissions in Microsoft Entra ID?
• Add or update a user's profile information and settings
• Set up self-service group management in Microsoft Entra ID
• Enforce a naming policy on Microsoft 365 groups
• What are custom security attributes in Microsoft Entra ID?
• Manage access to custom security attributes
• Bulk create users in Microsoft Entra ID
• Bulk operations service limitations
• Bulk operations in Microsoft Entra ID (Preview)
• Recover deleted data (Microsoft Entra PowerShell)
• What is a device identity?
• Manage device identities using the Microsoft Entra admin center
• Require multifactor authentication for device registration
• Assign or unassign licenses to a group in the Microsoft 365 admin center
• Assign or unassign licenses for users in the Microsoft 365 admin center
• Group-based licensing PowerShell examples
• Microsoft Entra ID and data residency