Désactiver les comptes admin locaux sous Windows

Le compte Administrateur intégré de Windows, le compte Invité et la possibilité pour chaque utilisateur de créer des comptes Microsoft personnels sont autant de portes dérobées héritées. Elles existent par défaut sur chaque machine, souvent sans que personne ne s'en occupe. Les désactiver et restreindre l'élévation locale figure parmi les gestes de durcissement les plus rentables : peu d'effort, gros impact sur la surface d'attaque et sur la capacité d'un rançongiciel à se propager.

Un compte administrateur local partagé, avec le même mot de passe sur des dizaines de machines, est le rêve de tout attaquant : une seule compromission lui ouvre l'ensemble du parc. À l'inverse, un parc où chaque privilège est nominatif, justifié et journalisé complique considérablement la progression d'un intrus. C'est tout l'objectif du moindre privilège appliqué aux postes Windows.

Les comptes à neutraliser en priorité

• Le compte Administrateur intégré : cible connue, souvent partagé, sans traçabilité individuelle.
• Le compte Invité : accès anonyme sans authentification, à désactiver systématiquement.
• Les comptes Microsoft personnels : ils contournent la gestion d'identité de l'entreprise et exfiltrent parfois des données vers un OneDrive privé.
• L'appartenance implicite au groupe Administrateurs locaux : à réserver à quelques comptes justifiés.

Désactiver le compte Administrateur intégré n'empêche pas l'administration : celle-ci passe par des comptes nominatifs, avec journalisation, ou par des mécanismes dédiés. L'objectif est que plus personne ne se connecte avec un compte anonyme ou partagé au privilège maximal, et que chaque action puisse être rattachée à une personne réelle.

Ce qui se configure via Intune

Plusieurs de ces contrôles se déploient par des profils de configuration Intune, catalogue de paramètres ou modèles, appuyés sur les fournisseurs CSP de Windows. L'intérêt est de les appliquer de façon homogène et vérifiable, plutôt que machine par machine.

1. 1Désactiver les comptes Administrateur et Invité intégrés.
2. 2Bloquer l'ajout de comptes Microsoft personnels sur les appareils gérés.
3. 3Restreindre l'appartenance au groupe Administrateurs locaux à une liste contrôlée.
4. 4Renforcer le Contrôle de compte d'utilisateur (UAC) pour exiger une élévation explicite.
5. 5Vérifier dans les rapports Intune que la politique s'applique bien sans verrouiller vos techniciens.

Pour aller plus loin, la solution Windows LAPS, intégrée à Entra, fait tourner automatiquement le mot de passe du compte administrateur local et le stocke de façon sécurisée. Ainsi, même si un compte local doit exister pour le dépannage, son mot de passe est unique par machine et jamais réutilisé, ce qui casse net la propagation latérale par identifiants partagés.

Le principe du moindre privilège, concrètement

Réduire les droits d'administration locale limite ce qu'un rançongiciel ou un attaquant peut faire une fois un poste compromis : sans droits élevés, il ne peut ni désactiver l'antivirus, ni installer un service persistant, ni chiffrer les fichiers d'autres utilisateurs. C'est une exigence directe du moindre privilège présent dans ISO 27001 et NIS2, et l'une des mesures les plus efficaces pour contenir la propagation latérale.

Accorder l'élévation seulement quand il le faut

Retirer les droits d'administrateur ne doit pas paralyser les utilisateurs légitimes. La gestion des privilèges de point de terminaison (Endpoint Privilege Management) d'Intune permet d'autoriser l'élévation d'une application précise, à la demande et de façon tracée, sans donner à l'utilisateur un compte administrateur permanent.

Ce modèle répond au besoin réel : installer une imprimante ou un outil validé de temps en temps, sans laisser la porte ouverte en permanence. Chaque élévation est journalisée, ce qui fournit une preuve directe du contrôle lors d'un audit et facilite l'investigation en cas d'incident. Vous passez ainsi d'un « tout le monde est admin » à un modèle où l'élévation est l'exception, pas la règle.

En pratique, on définit des règles d'élévation pour les logiciels de confiance couramment installés, et on traite les cas ponctuels à la demande, avec validation. L'expérience utilisateur reste fluide : au lieu d'un refus sec, l'application demandée s'élève après contrôle, et l'événement est enregistré. Le service informatique garde la maîtrise sans devenir un goulot d'étranglement pour chaque petite installation.

Erreurs fréquentes à éviter

Le durcissement des comptes est puissant, mais quelques précautions évitent de se retrouver bloqué ou de croire à tort que le contrôle est en place.

• Retirer tous les droits d'administration sans prévoir de mécanisme d'élévation, et paralyser les utilisateurs légitimes.
• Oublier d'exclure le compte du service informatique, et se verrouiller hors des machines.
• Désactiver le compte Administrateur intégré sans mettre en place LAPS, se privant d'un accès de secours en cas de perte de connexion à Entra.
• Croire qu'un simple retrait de droits suffit, sans journaliser ni vérifier l'application réelle sur le parc.

Déployer sans se verrouiller : l'ordre des opérations

Le principal risque de ce durcissement n'est pas technique mais opérationnel : se couper soi-même l'accès aux machines. Un ordre de déploiement prudent évite ce piège et permet de revenir en arrière à chaque étape si un imprévu survient. L'idée directrice est de toujours disposer d'un accès de secours valide avant de retirer l'ancien.

1. 1Déployez d'abord Windows LAPS et vérifiez que les mots de passe des comptes locaux remontent bien dans Entra.
2. 2Créez ou confirmez vos comptes d'administration nominatifs et testez-les sur quelques machines pilotes.
3. 3Excluez explicitement le compte du service informatique de toute politique de restriction du groupe Administrateurs.
4. 4Ciblez d'abord un groupe pilote restreint, observez les rapports, puis étendez progressivement au reste du parc.
5. 5Ne désactivez le compte Administrateur intégré qu'une fois l'accès de secours confirmé et testé.

En procédant par vagues, vous transformez une opération risquée en une série d'étapes réversibles. Chaque vague valide que l'élévation à la demande et les comptes nominatifs fonctionnent avant de resserrer davantage. Cette prudence n'allonge le calendrier que de quelques jours, mais elle vous épargne le scénario redouté d'un parc entier verrouillé un vendredi soir.

Comment AuPoint simplifie le moindre privilège

Empiler les bons profils CSP, gérer les exclusions pour vos techniciens et vérifier l'application sans se verrouiller demande de la rigueur dans la console native. AuPoint est un SaaS qui rend la sécurité et la conformité Intune faciles, sans PowerShell. La plateforme réunit ces durcissements dans des politiques claires, avec aperçu de l'impact, exclusion « moi-même » pour ne jamais vous couper l'accès, et retour arrière en un clic.

Questions fréquentes

Comment dépanner une machine sans compte admin local ?

Vous utilisez des comptes nominatifs d'administration, l'élévation à la demande via Endpoint Privilege Management, ou un compte local géré par Windows LAPS dont le mot de passe est récupérable dans Entra. Le dépannage reste possible, mais tracé et sans compte partagé.

Désactiver le compte Administrateur intégré présente-t-il un risque de verrouillage ?

Le risque existe si vous n'avez prévu aucun accès de secours. C'est pourquoi on couple cette mesure à Windows LAPS ou à des comptes d'administration dédiés, et pourquoi l'exclusion de votre propre compte est indispensable avant d'appliquer la politique.

Bloquer les comptes Microsoft personnels empêche-t-il d'utiliser les comptes professionnels ?

Non. Le blocage vise les comptes Microsoft personnels ajoutés sur l'appareil. Les identités Microsoft Entra de l'entreprise, utilisées pour la connexion et l'accès aux ressources professionnelles, continuent de fonctionner normalement.

Windows LAPS fonctionne-t-il sans Active Directory local ?

Oui. Windows LAPS prend en charge à la fois Active Directory et Microsoft Entra. Pour un parc géré uniquement par Intune et joint à Entra, les mots de passe des comptes administrateurs locaux sont stockés et récupérables directement dans Entra, sans aucune infrastructure de domaine local. C'est précisément ce qui rend cette solution adaptée aux PME modernes sans serveur sur site.

Connectez votre tenant Microsoft à AuPoint et appliquez le moindre privilège à vos postes Windows en quelques minutes, avec aperçu de l'impact et réversibilité garantie, sans PowerShell. Commencez gratuitement sur aupoint.io.