Microsoft Entra ID P1 vs P2 vs Governance : licences, prix et ce dont une PME ou une ETI a vraiment besoin

Pour les DSI et RSSI de PME et ETI (50 à 500 salariés) en Microsoft 365 Business Premium ou E3 qui hésitent entre P2 et Governance. En E5, P2 est déjà inclus.

Microsoft Entra ID P1 est la licence d'identité qui active l'accès conditionnel, les stratégies MFA et l'authentification unique pour 6,10 € HT par utilisateur et par mois, et elle est déjà incluse dans Microsoft 365 Business Premium et E3. Entra ID P2 coûte 8,70 € HT et ajoute Identity Protection, Privileged Identity Management (PIM) et les revues d'accès de base. Entra ID Governance est une extension à 6,10 € HT qui s'ajoute à P1 ou P2 et apporte les workflows de cycle de vie et les fonctions de revue avancées. Pour la plupart des PME et ETI, la base la plus rentable est P1 pour tous et P2 pour les administrateurs ; l'intérêt de Governance dépend du nombre d'applications réellement connectées à Entra.

Mis à jour le 30 septembre 2026. Prix vérifiés le jour même sur la page tarifaire Microsoft Entra et périmètre fonctionnel sur Microsoft Learn.

Que sont Entra ID Free, P1, P2 et Governance ?

Microsoft Entra ID (anciennement Azure Active Directory) est le service d'identité cloud de Microsoft, vendu en niveaux empilés où chaque niveau inclut le précédent. Free est fourni avec tout abonnement cloud Microsoft. P1 et P2 sont des licences par utilisateur. Governance n'est pas un niveau au-dessus de P2 : c'est une extension qui exige P1 ou P2 en prérequis. Pour revoir les bases du produit, consultez notre définition de Microsoft Entra ID.

Pourquoi tant de guides affichent-ils encore 6 $ et 9 $ ?

Parce que c'étaient les prix jusqu'à la mi-2026. La page tarifaire américaine de Microsoft affiche désormais P1 à 7,00 $ et P2 à 10,00 $, soit 1 $ de plus sur chacun. Le changement est arrivé avec la mise à jour tarifaire Microsoft 365 entrée en vigueur le 1er juillet 2026, documentée par Office 365 for IT Pros dès son annonce.

Plusieurs guides de licences bien positionnés, publiés ou mis à jour à l'été 2026, citent encore 6 $ pour P1 et 9 $ pour P2, notamment le comparatif CyberDuo (août 2026) et le guide SAMexpert (mis à jour en juin 2026). iC Consult garde les anciens chiffres tout en signalant la hausse de juillet. L'extension ID Governance n'a pas bougé. Pour construire un budget en euros, partez de la page tarifaire officielle française, pas d'un tableau tiers converti depuis le dollar.

À quoi sert Entra ID P1, et cela suffit-il ?

Entra ID P1 sert à rendre l'accès conditionnel : exiger le MFA, bloquer l'authentification héritée, restreindre les connexions selon la conformité de l'appareil ou la localisation, et attribuer les applications par groupe. Pour une PME ou une ETI qui en dispose déjà via Business Premium ou E3, P1 est généralement la bonne base pour chaque salarié.

Ce que P1 apporte concrètement :

• Des stratégies d'accès conditionnel (MFA, conformité des appareils, localisation, contrôles de session). Microsoft précise que cette fonctionnalité nécessite des licences Microsoft Entra ID P1.
• Un accès par groupe et des groupes dynamiques, pour que les accès suivent le service ou le rôle.
• Les fonctions d'identité hybride pour les entreprises qui synchronisent encore un Active Directory sur site.
• Le provisionnement automatique des groupes vers les applications SaaS et sur site. Le provisionnement des utilisateurs vers les applications SaaS est, lui, déjà disponible en Free.
• Un tableau de bord de gouvernance des identités et l'acceptation des conditions d'utilisation.

Ce que P1 n'apporte pas : la détection de risque sur les connexions, les rôles d'administration à la demande et toute forme de revue d'accès. Ce sont précisément les trois points sur lesquels un auditeur ou un assureur cyber vous interrogera, d'où le débat sur P2 au moment du renouvellement.

Quelles différences entre Entra ID P1 et P2 ?

P2 ajoute trois capacités à P1 : Identity Protection, Privileged Identity Management et une gouvernance des identités de base. Tout ce que contient P1 reste inclus.

• Identity Protection évalue le risque de chaque connexion et de chaque utilisateur (identifiants divulgués, voyage impossible, adresses IP anonymes) et permet à l'accès conditionnel de réagir, par exemple en imposant un changement de mot de passe.
• Privileged Identity Management (PIM) remplace les droits d'administration permanents par une activation limitée dans le temps et soumise à approbation, pour qu'un rôle d'administrateur général ne soit actif que lorsqu'il sert.
• Les revues d'accès et la gestion des droits d'accès dans leur version de base : revues récurrentes des membres de groupes et d'applications, packages d'accès, expiration des attributions, contrôle de séparation des tâches.

L'écart de prix est de 2,60 € HT par utilisateur et par mois, soit 43 % de plus que P1. Sur 200 utilisateurs, passer tout le monde en P2 coûte 6 240 € HT de plus par an.

Peut-on acheter P2 uniquement pour les administrateurs ?

Oui, et pour la plupart des PME et ETI c'est le choix le plus efficace. Microsoft licencie PIM par utilisateur qui en bénéficie : dans son propre exemple, un tenant de 50 administrateurs dont 42 gérés par PIM, avec cinq approbateurs et six réviseurs, nécessite 53 licences, pas une par salarié.

La limite de cette approche est Identity Protection. Les stratégies basées sur le risque ne protègent que les utilisateurs titulaires de P2 : acheter P2 pour les administrateurs sécurise les comptes à privilèges mais laisse les autres utilisateurs au niveau de protection de P1. Pour 200 personnes dont dix administrateurs, l'écart est faible : 14 952 € HT par an pour P1 partout et P2 pour les dix administrateurs, contre 20 880 € pour P2 généralisé.

Les revues d'accès relèvent-elles de P2 ou de Governance ?

Des deux, et c'est l'erreur de licence la plus fréquente sur ce sujet. Les revues d'accès et la gestion des droits de base sont incluses dans P2. Les fonctions avancées de revue et de cycle de vie exigent la licence distincte Entra ID Governance. Une question récurrente sur Microsoft Q&A porte exactement sur ce point : P2 suffit-il pour les revues d'accès des groupes ?

Le tableau de licences de Microsoft tranche. Sur les 60 fonctionnalités destinées aux salariés listées dans les principes de licence d'ID Governance (page mise à jour le 29 juillet 2026), 28 exigent Entra ID Governance ou Entra Suite et ne sont pas incluses dans P2. P1 seul en couvre 8.

Conséquence pratique : si vous comptez automatiser les arrivées et les départs avec les workflows de cycle de vie, P2 ne suffira pas. Il faut Governance pour chaque utilisateur concerné par le workflow. L'exemple de Microsoft compte 401 licences pour un workflow couvrant 400 nouveaux arrivants plus l'administrateur qui le pilote.

Combien coûte chaque option pour 200 utilisateurs ?

Pour une entreprise de 200 personnes, la fourchette réaliste va de 14 640 € à 39 600 € HT par an au prix catalogue, selon le niveau de la pile Entra retenu. Le tableau applique les prix Microsoft de septembre 2026 à six scénarios courants.

Deux règles de licence modifient ces montants en pratique :

• On licencie les utilisateurs concernés, pas tout le tenant. Microsoft compte 76 licences pour la revue d'un groupe de 75 membres avec un propriétaire réviseur. Si seules 80 personnes entrent dans le périmètre de vos revues, vous licenciez 80 comptes, pas 200.
• Les invités sont facturés autrement. ID Governance applique une licence par utilisateur actif mensuel (MAU) aux invités, ce qui exige de rattacher un abonnement Azure pour leur facturation.

Pour la plupart des budgets de PME et d'ETI, c'est la dernière colonne qui compte. Si vous payez déjà Business Premium ou E3, P1 est un coût acquis. La vraie décision est de savoir si les 1 044 € ou les 14 640 € suivants par an vous apportent les preuves que votre auditeur attend.

Ce que les licences Entra ne voient pas : les applications non connectées

Chaque niveau Entra, Governance compris, gouverne les applications connectées à Entra. Revues d'accès, PIM et workflows de cycle de vie agissent sur les groupes, les rôles et les applications qu'Entra connaît. Une application payée par carte bancaire, utilisée avec un identifiant personnel ou jamais reliée au SSO et à SCIM reste hors du périmètre de toute montée en gamme.

Dans les PME et ETI, cet angle mort est rarement petit. Lorsque Satelia, entreprise de télésurveillance spécialisée dans les maladies cardiaques, a dû répondre à des exigences ISO et SOC 2, elle a découvert 160 applications utilisées, bien au-delà des 30 identifiées dans ses rapports manuels. Toute revue limitée aux applications déjà connues et connectées serait partie de la liste la plus courte.

C'est souvent ici que le débat P2 contre Governance se révèle mal posé. Payer 14 640 € HT par an pour Governance améliore les revues des applications qu'Entra voit déjà. Cela ne dit pas quelles applications existent, qui les paie, ni qui y garde un compte après son départ. Une couche de gouvernance qui s'appuie sur Entra comme source d'identité et étend revues et départs à toutes les applications SaaS, connectées ou non, comble cet écart. C'est la raison d'être de la gouvernance des identités automatisée de Corma.

Quelle licence un audit NIS2 ou ISO 27001 exige-t-il vraiment ?

Aucune réglementation n'impose une licence Microsoft précise. Les auditeurs demandent des mesures et des preuves, et chaque niveau Entra en produit une partie. Le tableau rapproche les exigences les plus fréquentes du niveau qui les couvre.

La directive NIS2 énumère, à son article 21, paragraphe 2, les mesures de gestion des risques attendues, dont la sécurité des ressources humaines, les politiques de contrôle d'accès et la gestion des actifs au point i), et le recours à l'authentification à plusieurs facteurs ou à l'authentification continue au point j). En France, c'est l'ANSSI qui porte la mise en œuvre de NIS2. L'ISO/IEC 27001:2022 demande des mesures comparables dans son annexe A, notamment les droits d'accès (5.18), les droits d'accès privilégiés (8.2) et l'authentification sécurisée (8.5).

La dernière ligne est celle que la plupart des guides de licences oublient : aucun des cinq guides que nous avons étudiés pour cet article ne mentionne NIS2. La gestion des actifs figure pourtant au même point de la directive que le contrôle d'accès. Pour le déroulé de la revue elle-même, consultez notre feuille de route des revues d'accès pour l'ISO 27001.

Quel plan Entra pour votre entreprise ?

Partez de la licence que vous possédez déjà et des preuves dont vous avez besoin, pas de la liste des fonctionnalités. La grille ci-dessous résume les situations les plus courantes.

Si vous choisissez encore un fournisseur d'identité plutôt qu'un niveau de licence, notre comparatif Okta vs Microsoft Entra ID pour les ETI traite cette décision en amont.

Comment Corma complète Entra ID

Corma ne remplace pas Entra ID : Corma utilise Entra comme source d'identité et gouverne les accès sur toutes vos applications SaaS, y compris celles qu'Entra ne voit pas. L'intégration native avec Microsoft Entra synchronise utilisateurs et groupes, puis Corma ajoute ce qu'aucun niveau Entra ne fournit seul :

• Découverte des SaaS et visibilité sur les licences, applications connectées ou non, avec le coût de chaque outil, grâce à la plateforme de gestion SaaS de Corma.
• Revues d'accès sur toutes les applications, pas seulement celles derrière le SSO, avec des preuves prêtes pour l'audit issues des revues d'accès automatisées.
• Automatisation des arrivées et des départs sur toute la pile. Skello a automatisé l'onboarding et l'offboarding de plus de 140 salariés avec Corma.
• Hébergement dans l'UE et conformité RGPD, sur une plateforme certifiée ISO/IEC 27001:2022, ce qui compte quand l'outil de gouvernance détient lui-même votre cartographie des accès.

Pour beaucoup d'équipes IT de PME et d'ETI, la combinaison P1 pour tous, P2 pour les administrateurs et une couche de gouvernance comme Corma coûte moins cher que Governance pour tous et couvre davantage d'applications. Pour voir comment la gestion des identités et des accès de Corma s'articule avec votre tenant Entra, le plus rapide est une démonstration sur votre propre pile.

FAQ

Comment savoir si j'ai Entra ID P1 ou P2 ?

Ouvrez le centre d'administration Microsoft Entra et regardez la page Vue d'ensemble : la barre d'information indique le plan de licence Entra ID actuel. Pour la liste complète des produits du tenant, allez dans Facturation, puis Licences, puis Tous les produits. Avec Microsoft 365 E3 ou Business Premium, vous avez P1 ; E5 inclut P2.

Entra ID P2 est-il inclus dans Microsoft 365 E3 ?

Non. Microsoft 365 E3 inclut Entra ID P1, pas P2. Entra ID P2 est inclus dans Microsoft 365 E5 et E7 et dans Microsoft Defender Suite. Un client E3 qui a besoin de fonctions P2 achète des licences P2 autonomes pour les utilisateurs concernés.

Entra ID P1 est-il inclus dans E3 ?

Oui. Microsoft 365 E3 inclut Entra ID P1, tout comme Microsoft 365 Business Premium, E5 et E7. Les clients E3 disposent donc déjà de l'accès conditionnel et n'ont pas à acheter P1 séparément.

La licence Entra ID P1 ou P2 est-elle par utilisateur ou par tenant ?

Entra ID P1 et P2 se licencient par utilisateur. Chaque utilisateur concerné par une fonctionnalité premium, comme une stratégie d'accès conditionnel, une revue d'accès ou PIM, doit disposer de la licence correspondante. Une seule licence n'active pas la fonctionnalité pour tout le tenant.

Business Premium inclut-il Entra ID P1 ou P2 ?

Microsoft 365 Business Premium inclut Entra ID P1. Entra ID P2 est inclus dans Microsoft Defender Suite pour Business Premium, ou s'achète en licence autonome à 8,70 € HT par utilisateur et par mois pour les utilisateurs qui en ont besoin.

Comment les invités sont-ils licenciés pour la gouvernance ?

Microsoft Entra ID Governance licencie les utilisateurs invités à l'utilisateur actif mensuel (MAU), et non par poste attribué. Cela exige un abonnement Azure rattaché au tenant pour la facturation des invités. Les salariés et autres utilisateurs membres sont licenciés par utilisateur.