Principal de service

Qu'est-ce que le principal de service (service principal) ?

Le principal de service (service principal) est une identité non humaine qui représente une application ou un service dans un tenant Microsoft Entra ID, et l'objet auquel sont rattachés ses autorisations, ses attributions de rôles et ses identifiants. L'inscription d'application définit l'application une seule fois, le principal de service en est l'instance locale dans chaque tenant qui l'utilise.

À retenir

• Le service principal est l'identité locale d'une application dans un tenant Microsoft Entra ID, là où ses autorisations et ses rôles sont accordés.
• L'inscription d'application définit une application une seule fois dans son tenant d'origine, alors que chaque tenant qui l'utilise reçoit son propre principal de service.
• Un principal de service s'authentifie par secret client, certificat ou informations d'identification fédérées, tandis qu'une identité managée confie la gestion de ses identifiants à la plateforme.
• Les autorisations d'application Microsoft Graph accordées à un principal de service par consentement administrateur restent actives tant que personne ne les révise.

Comment fonctionne le principal de service

• Inscription : inscrire une application crée l'objet application, avec son nom, ses URI de redirection, les autorisations demandées et ses identifiants.
• Instanciation : Entra ID crée un principal de service dans chaque tenant qui utilise l'application, à l'inscription dans le tenant d'origine et lors du consentement ailleurs.
• Types : les principaux de service d'application proviennent d'une inscription d'application, les identités managées sont liées à une ressource Azure, et les principaux hérités sont antérieurs aux inscriptions d'application.
• Identifiants : secrets client, certificats ou informations d'identification fédérées, qui font confiance aux jetons d'un système externe, par exemple une chaîne CI/CD, sans stocker de secret.
• Autorisations : les autorisations déléguées agissent au nom d'un utilisateur connecté, les autorisations d'application permettent au principal de service d'agir seul sur tout le tenant et exigent un consentement administrateur.

Service principal, inscription d'application ou compte de service : quelle différence ?

• Inscription d'application : la définition globale de l'application (l'objet application), conservée dans son tenant d'origine, une par application.
• Principal de service : son instance dans un tenant donné, visible parmi les applications d'entreprise du centre d'administration Entra, où se rattachent consentements, autorisations et rôles.
• Compte de service : un compte de type utilisateur piloté par un programme, en général avec un mot de passe. Rien ne le relie à une définition d'application, si bien que sa finalité et son responsable se perdent facilement.

Les risques tiennent au cycle de vie plus qu'au concept. Un principal de service créé par un collaborateur parti n'a plus de propriétaire. Un secret client configuré avec une longue validité tombe dans l'oubli. Une autorisation d'application étendue sur Microsoft Graph, comme la lecture de toutes les boîtes aux lettres, accordée une fois par un administrateur pour un pilote, survit au pilote. Le terme existe aussi dans Kerberos, où un nom de principal de service (SPN) identifie une instance de service pour les demandes de tickets : une notion distincte.

Exemples et cas d'usage

Prenons une entreprise de 300 salariés qui utilise Microsoft Entra ID depuis des années. Une revue de sécurité recense 140 applications d'entreprise dans le tenant : une trentaine réellement utilisées, une douzaine créées par d'anciens collaborateurs et sans propriétaire, et deux qui détiennent l'autorisation d'application Mail.Read héritée d'un projet de migration. L'une d'elles possède encore un secret client valide dont personne ne connaît l'usage.

Le nettoyage se fait dans Entra ID : désigner des propriétaires, remplacer les secrets client par des certificats ou des identités managées, et retirer les autorisations inutiles. C'est l'application concrète du principe de moindre privilège, que l'ANSSI recommande dans ses guides. Corma couvre le volet SaaS : la plateforme se connecte nativement à Microsoft Entra ID, tient un inventaire complet des applications SaaS utilisées, de leurs licences et de leurs contrats, et mène des revues d'accès avec preuves d'audit, ce qui donne à l'équipe une liste de référence à comparer avec le tenant.

Concepts associés

• Compte de service
• Identité de charge de travail (workload identity)
• Microsoft Entra ID (anciennement Azure AD)
• Identité non humaine (NHI)
• Gestion des secrets
• Plateforme de gestion des identités et des accès Corma

FAQ

Quelle différence entre un service principal et une inscription d'application ?

L'inscription d'application est la définition globale d'une application, créée une seule fois dans son tenant d'origine. Le service principal est l'instance de cette application dans un tenant précis, et c'est là que les autorisations et les rôles sont accordés.

Un service principal est-il un compte de service ?

Non. Un compte de service est un compte de type utilisateur employé par un programme, en général protégé par un mot de passe. Un service principal est une identité d'application dans Entra ID, avec ses propres identifiants et autorisations, et il ne peut pas se connecter de façon interactive.

Un principal de service peut-il utiliser la MFA ?

Non. Un principal de service s'authentifie par secret, certificat ou informations d'identification fédérées, jamais par un second facteur : des autorisations limitées et des identifiants protégés comptent donc le plus.

Comment sécuriser un service principal ?

Donnez un propriétaire à chaque service principal, accordez-lui uniquement les autorisations nécessaires, préférez les certificats ou les identités managées aux secrets client, et révisez ses autorisations régulièrement.

Demander une démo