Bonnes pratiques de sécurité relatives aux comptes administrateur

Suivez les bonnes pratiques ci-après pour améliorer la sécurité de vos comptes administrateur et par extension, de votre entreprise dans son ensemble.

Protéger les comptes administrateur

Exiger un deuxième facteur d'authentification pour les comptes administrateur

Si une personne parvient à obtenir le mot de passe administrateur, la validation en deux étapes permet de protéger le compte contre tout accès non autorisé. Les super-administrateurs en particulier ont tout intérêt à utiliser la validation en deux étapes, car leurs comptes permettent de contrôler l'accès à toutes les données des employés et de l'organisation.

Utiliser des clés de sécurité pour la validation en deux étapes

Il existe plusieurs méthodes de validation en deux étapes, telles que les clés de sécurité, les invites Google, Google Authenticator et les codes de secours. Les clés de sécurité sont de petits périphériques matériels utilisés dans le cas de l'authentification à deux facteurs. Elles permettent de lutter contre les menaces d'hameçonnage et constituent la forme la plus sécurisée de validation en deux étapes.

Ne pas utiliser de compte super-administrateur dans le cadre d'activités quotidiennes

Les super-administrateurs peuvent gérer tous les aspects du compte de votre entreprise et réinitialiser le mot de passe d'un autre utilisateur.

Les super-administrateurs doivent utiliser un compte utilisateur distinct pour leurs activités quotidiennes. Ils doivent se connecter à leur compte super-administrateur uniquement pour réaliser des tâches spécifiques destinées aux super-administrateurs, telles que configurer la validation en deux étapes ou aider un autre administrateur à récupérer son compte.

Ne pas rester connecté à un compte super-administrateur

Si vous restez connecté à un compte super-administrateur alors que vous n'effectuez pas de tâches administratives spécifiques, le risque d'exposition aux attaques d'hameçonnage augmente. Les super-administrateurs doivent se connecter au besoin pour effectuer des tâches spécifiques, puis se déconnecter.

Gérer les comptes super-administrateur

Configurer plusieurs comptes super-administrateur

Une entreprise doit disposer de plusieurs comptes super-administrateur, gérés par des personnes différentes. Si un compte est perdu ou compromis, un autre super-administrateur peut effectuer des tâches essentielles pendant la récupération du compte en question.

Créer différents comptes super-administrateur pour différentes personnes

S'il existe plusieurs super-administrateurs et que tous se connectent via admin@example.com, vous ne pouvez pas savoir à quel super-administrateur correspondent les activités du journal d'audit. Chaque super-administrateur doit avoir un compte administrateur identifiable.

Par exemple, si Marie et Jean sont des super-administrateurs, ils doivent chacun disposer d'un compte de super-administrateur et d'un compte utilisateur :

  • admin-marie@example.com, marie@example.com
  • admin-jean@example.com, jean@example.com
Déléguer les tâches administratives quotidiennes à des comptes utilisateur

Pour encourager l'utilisation d'un compte super-administrateur uniquement lorsque cela est nécessaire, déléguez les opérations administratives quotidiennes à des comptes utilisateur. Vous pouvez par exemple déléguer une activité fréquente à un compte utilisateur, telle que la réinitialisation des mots de passe, mais autoriser uniquement les super-administrateurs à supprimer un compte.

Lorsque vous déléguez des droits d'administrateur, basez-vous sur le modèle d'accès restreint. Il permet à chaque administrateur d'accéder uniquement aux ressources et outils dont il a besoin pour effectuer ses tâches habituelles dans le compte qu'il utilise au quotidien.

Surveiller l'activité des comptes administrateur

Configurer des alertes par e-mail destinées à l'administrateur

Surveillez l'activité des administrateurs et les risques de sécurité potentiels en configurant des alertes par e-mail destinées à l'administrateur relatives à certains événements, tels que des tentatives de connexion suspectes, des appareils mobiles compromis ou des modifications effectuées par un autre administrateur.

Lorsque vous activez une alerte pour une activité, vous recevez un e-mail chaque fois qu'elle se produit.

Consulter le journal d'audit de la console d'administration

Le journal d'audit de la console d'administration est un autre outil permettant de surveiller l'activité des administrateurs. Il affiche l'historique de chaque tâche effectuée dans la console d'administration Google, l'administrateur qui l'a exécutée, la date et l'adresse IP avec laquelle l'administrateur s'est connecté.

L'activité du super-administrateur apparaît dans la colonne "Description de l'événement" sous la forme _SEED_ADMIN_ROLE, suivie du nom d'utilisateur.

Préparer la récupération d'un compte administrateur

Ajouter des options de récupération à des comptes administrateur

Les administrateurs doivent ajouter des options de récupération à leur compte administrateur.

Si un administrateur oublie son mot de passe, il peut cliquer sur le lien Besoin d'aide ? qui figure sur la page de connexion pour que Google lui envoie un nouveau mot de passe par téléphone, SMS ou e-mail. Pour ce faire, Google doit disposer d'un numéro de téléphone et d'une adresse e-mail de récupération pour le compte.

Recueillir des informations pour réinitialiser un mot de passe

Si un super-administrateur ne parvient pas à réinitialiser son mot de passe à l'aide de l'option de récupération par téléphone ou e-mail, et qu'aucun autre super-administrateur n'est disponible pour réinitialiser le mot de passe, il peut contacter l'assistance Google.

Pour vérifier une identité, Google pose des questions sur le compte de l'organisation :

  • La date de création du compte
  • L'adresse e-mail secondaire d'origine associée au compte (adresse e-mail utilisée pour l'inscription)
  • Le numéro du bon de commande Google associé au compte (le cas échéant)
  • Le nombre de comptes utilisateur créés
  • L'adresse de facturation liée au compte
  • Le type de carte de crédit utilisée et ses quatre derniers chiffres

Google demande également à l'administrateur de valider la propriété DNS du domaine. Ce dernier doit donc disposer des identifiants lui permettant de modifier les paramètres DNS du domaine auprès de son bureau d'enregistrement.

Enregistrer une clé de sécurité supplémentaire

Les administrateurs sont invités à enregistrer plusieurs clés de sécurité pour leur compte administrateur et à les stocker dans un endroit sûr. Si leur clé de sécurité principale est perdue ou volée, ils pourront toujours se connecter à leur compte.

Enregistrer les codes de secours à l'avance

Si un administrateur perd sa clé de sécurité ou son téléphone (sur lequel il peut recevoir une invite Google ou un code dans le cadre de la validation en deux étapes), il peut se connecter à l'aide d'un code de secours.

Les administrateurs doivent générer et imprimer des codes de secours à utiliser en cas de besoin. Conservez-les dans un endroit sécurisé.

Configurer un administrateur supplémentaire

Si un administrateur ne parvient pas à se connecter à son compte, un autre administrateur peut générer un code de secours pour qu'il puisse se connecter via la validation en deux étapes.

Ces informations vous-ont elles été utiles ?
Comment pouvons-nous l'améliorer ?