Microsoft Entra Backup and Recovery sauvegarde chaque jour vos objets Entra ID. Fonctionnement, licences, limites : tout ce qu’il faut savoir

Une stratégie d’accès conditionnel modifiée un mardi, des utilisateurs bloqués le jeudi, et personne ne sait exactement ce qui a changé. Ce scénario, beaucoup d’administrateurs l’ont vécu. Jusqu’ici, revenir en arrière dans Entra ID relevait du bricolage ou d’un outil tiers. Ça tombe bien : Microsoft Entra Backup and Recovery est désormais disponible pour tous. Cette fonctionnalité sauvegarde automatiquement, chaque jour, les objets les plus sensibles de votre annuaire et vous permet de les restaurer dans un état connu et sain.

Microsoft Entra Backup and Recovery, comment ça marche ?

Une sauvegarde quotidienne, sans configuration

Microsoft a annoncé la disponibilité générale de Microsoft Entra Backup and Recovery fin juin 2026, après une phase de préversion lancée au printemps. Le principe : une sauvegarde automatique par jour, conservée sept jours. Aucun paramétrage n’est nécessaire pour démarrer. Pendant la préversion, la rétention était de cinq jours. Elle est passée à sept jours lors du passage en disponibilité générale.

Des sauvegardes impossibles à supprimer

C’est l’un des points forts du service : personne ne peut désactiver, modifier ou supprimer une sauvegarde. Pas même un administrateur général. En cas de compte à privilèges compromis, l’attaquant ne peut donc pas effacer vos points de restauration. Les données de sauvegarde restent stockées dans la même zone géographique que votre tenant.

Comparer avant de restaurer

Le service propose des rapports de différences : vous comparez l’état actuel de votre annuaire avec une sauvegarde, vous identifiez ce qui a bougé, puis vous restaurez uniquement ce qui doit l’être. Un objet, un attribut, une stratégie : la restauration peut être très ciblée.

Quels objets sont protégés ?

La liste des objets couverts

La sauvegarde porte sur les utilisateurs, les groupes, les applications, les principaux de service, les identités managées, les stratégies d’accès conditionnel, les emplacements nommés ainsi que les stratégies d’authentification et d’autorisation. En clair : tout ce qui conditionne qui accède à quoi dans votre environnement Microsoft 365.

Une couverture parfois partielle

Attention, tous les objets ne sont pas sauvegardés avec la même finesse. Les stratégies d’accès conditionnel et les emplacements nommés sont couverts en totalité. Pour les utilisateurs, en revanche, seule une partie des propriétés est prise en charge : certains liens, comme le responsable hiérarchique, sont exclus.

Les prérequis

Le service s’adresse aux tenants « workforce » disposant de licences Microsoft Entra ID P1 ou P2. Bonne nouvelle : il est inclus dans ces licences, sans surcoût. Deux rôles dédiés encadrent l’usage, dont un rôle en lecture seule pour consulter les sauvegardes et les rapports sans pouvoir restaurer.

Pourquoi ce n’est pas une stratégie de sauvegarde complète

Sept jours, c’est court

Une erreur de configuration détectée lors d’un audit trimestriel, une élévation de privilèges discrète repérée trois semaines plus tard : dans ces cas, la fenêtre de sept jours est déjà refermée. Plusieurs experts, comme Keepit dans son analyse de la fonctionnalité, recommandent de se poser la question de son vrai délai de détection. Microsoft prévoit d’ailleurs une extension de la rétention à 30 jours via Microsoft 365 Backup, annoncée pour décembre 2026.

Une sauvegarde chez le même fournisseur

Les sauvegardes sont gérées par Microsoft, dans le même environnement que les données qu’elles protègent. C’est très pratique au quotidien, mais la règle d’or reste valable : une stratégie de sauvegarde solide ne repose jamais sur un seul point. On vous en parlait déjà dans notre article Quelle sauvegarde pour Office 365 ?.

Restaurer ne remplace pas détecter

Restaurer une configuration, c’est bien. Comprendre pourquoi elle a été modifiée, c’est mieux. Microsoft Entra Backup and Recovery s’intègre idéalement dans une démarche plus large de surveillance, avec des alertes sur les changements sensibles et, pour les organisations les plus exposées, un Security Operation Center.

Questions fréquentes

Microsoft Entra Backup and Recovery est-il payant ?

Non, pas en supplément. Le service est inclus dans les licences Microsoft Entra ID P1 et P2. Si vos utilisateurs disposent de Microsoft 365 Business Premium, par exemple, la licence P1 est déjà incluse.

Combien de temps les sauvegardes sont-elles conservées ?

Sept jours, avec une sauvegarde par jour. Une extension à 30 jours, via Microsoft 365 Backup, est annoncée par Microsoft pour fin 2026.

Faut-il l’activer ?

Non. Les sauvegardes démarrent automatiquement sur les tenants éligibles. En revanche, il est utile de vérifier qui a accès aux rôles de restauration et de tester une restauration à blanc pour connaître la procédure avant d’en avoir besoin.

Microsoft Entra Backup and Recovery comble un vrai manque : pouvoir revenir en arrière sur une erreur ou une attaque touchant vos identités, sans outil externe et sans surcoût. Retenez trois points : la rétention est de sept jours, certains objets ne sont couverts que partiellement, et le service complète votre stratégie de sauvegarde sans la remplacer.

Envie de vérifier que vos identités sont vraiment protégées ? L’équipe gestion des identités et des accès de Dynamips vous accompagne, de l’audit à la mise en place. Nos clients nous attribuent d’ailleurs une note de 4,7/5 sur Trustpilot, notamment pour notre réactivité. Contactez-nous pour en parler.