Automatiser les vérifications de sécurité Microsoft 365 avec Maester

La configuration de Microsoft 365 commence généralement avec de bonnes intentions : l'accès conditionnel est configuré, l'authentification multifacteur est activée pour les administrateurs, l'accès invité aux groupes sensibles est restreint. Six mois passent, les membres de l'équipe changent, quelqu'un désactive une règle pour un correctif rapide et oublie de la réactiver. Cela est généralement découvert lors d'un audit ou après un incident.

La surveillance manuelle de l'état du tenant via le portail Entra ID ou demander aux ingénieurs de parcourir des dizaines de menus une fois par mois est fastidieux et peu fiable. Les tests automatisés sont utilisés depuis longtemps pour vérifier la configuration de l'infrastructure serveur. Le projet Maester adapte cette approche pour l'environnement Microsoft 365.

Qu'est-ce que Maester

Maester est un framework de test basé sur PowerShell et le moteur Pester populaire. Son objectif principal est d'exécuter une suite de vérifications sur votre tenant M365, de vérifier les paramètres par rapport aux bonnes pratiques de sécurité et de générer un rapport détaillé.

L'outil intègre l'API Microsoft Graph, les modules de gestion M365 et les tests Pester familiers. Si vous avez déjà écrit des tests unitaires en PowerShell, la syntaxe de Maester vous semblera native.

Démarrage rapide et lancement

Vous avez besoin de PowerShell et de quelques commandes pour commencer. L'installation se fait directement depuis PowerShell Gallery :

Install-Module -Name Maester -Scope CurrentUser

Après l'installation, créez un dossier de travail et téléchargez la suite de tests prête à l'emploi :

md ~/maester-tests
cd ~/maester-tests
Install-MaesterTests

L'exécution des tests implique deux étapes : l'authentification et l'invocation du runner lui-même.

cd ~/maester-tests
Connect-Maester
Invoke-Maester

La commande Connect-Maester demande l'authentification à Microsoft Entra. D'ailleurs, il existe un paramètre pour travailler avec les clouds souverains comme USGov ou la Chine :

Connect-Maester -Environment USGov

Aperçu des fonctionnalités

Les tests prêts à l'emploi vérifient les paramètres de base : stratégies d'accès conditionnel, statut MFA, configurations de mot de passe, paramètres de partage externe et rôles administrateur. La valeur pratique du framework se révèle dans plusieurs domaines.

Tests Pester personnalisés

Vous n'êtes pas limité à l'ensemble standard du dépôt. Tout fichier .tests.ps1 dans le dossier tests devient partie de l'exécution globale. Si votre organisation interdit la création de liens publics vers les fichiers SharePoint, vous écrivez un court test Pester qui vérifie ce paramètre via l'API Microsoft Graph.

Formats de rapports multiples

Les résultats Invoke-Maester peuvent être exportés en HTML, JSON, CSV, Excel ou Markdown. Un rapport HTML interactif est pratique pour montrer aux auditeurs ou télécharger vers une ressource web interne.

Notifications dans les salons de discussion

Les résultats n'ont pas besoin d'être lus dans la console. Le script envoie un résumé à Microsoft Teams, Slack ou par e-mail. Si quelqu'un a modifié une stratégie de sécurité critique pendant la nuit, l'équipe verra un message dans le canal de travail le lendemain matin.

Intégration CI/CD

Le framework s'inscrit dans le concept DevSecOps. L'exécuter selon un calendrier est simple à configurer dans GitHub Actions, Azure DevOps ou GitLab CI. Les auteurs ont publié une action prête à l'emploi sur GitHub Marketplace (maester365/maester-action) qui affiche les résultats des vérifications dans le résumé du pipeline.

Points de vigilance

Dans la description du dépôt, les développeurs mettent en garde contre le fonctionnement instable du module ExchangeOnlineManagement version 3.9.2. Les tentatives de connexion avec cette version entraînent souvent des erreurs. L'échec est lié au module Microsoft lui-même, et non à Maester, il est donc préférable d'utiliser temporairement des versions précédentes d'ExchangeOnlineManagement.

Un autre point est la devise des tests. Les normes de sécurité Microsoft et les API changent régulièrement. Pour maintenir les vérifications à jour, vous devrez occasionnellement récupérer les nouveaux tests avec la commande Update-MaesterTests.

Conclusion

Maester sera utile pour les administrateurs système, les ingénieurs en sécurité et les spécialistes DevOps qui gèrent les tenants Microsoft 365. L'outil fait passer l'audit de sécurité de la catégorie du travail manuel fastidieux à la vérification automatisée du code. Si vous souhaitez surveiller les modifications du tenant et recevoir des notifications sur la dérive de configuration, le projet mérite d'être testé dans votre infrastructure.