Microsoft Entra Backup and Recovery est désormais en disponibilité générale ! Cette solution native sauvegarde automatiquement les objets critiques de l’annuaire Entra ID et permet de les restaurer à un état antérieur après une erreur de configuration ou une compromission. Quelles sont les fonctionnalités ? Faut-il une licence spécifique pour en profiter ? Voici l’essentiel à savoir.

Jusqu’ici, Entra ID permettait de récupérer certains objets supprimés grâce à la suppression réversible, mais ne proposait pas de sauvegarde intégrée, basée sur l’état, pour revenir à une configuration antérieure après une modification ou une erreur. Il était nécessaire de trouver des alternatives, via des scripts ou des outils tiers.

Microsoft apporte désormais une réponse à cette problématique avec un outil natif. Après une préversion publique lancée le 19 mars 2026, la fonctionnalité Microsoft Entra Backup & Recovery est désormais disponible pour tous les tenants éligibles.

Une sauvegarde quotidienne, conservée 7 jours et impossible à désactiver

Le principe est simple. Entra Backup and Recovery prend automatiquement un instantané des objets, une fois par jour, et le conserve 7 jours. Résultat, vous avez à votre disposition en permanence 7 points de restauration. Aucune configuration à mettre en place, aucun planning à définir. C’est Microsoft qui gère (rassurant ? Pas sûr me diront certains d’entre vous).

Selon Microsoft, les sauvegardes sont protégées de sorte à ce qu’elles soient immuables : il n’est pas possible d’altérer ou de supprimer les sauvegardes, ni même de désactiver la fonctionnalité. Ceci est également valable si vous agissez depuis un compte à privilèges, en particulier si ce dernier a été compromis.

Côté restauration, Microsoft recommande un workflow en trois temps :

• Consulter les sauvegardes disponibles dans le centre d’administration Microsoft Entra,
• Générer un rapport de différences, qui compare l’état actuel du tenant avec une sauvegarde et détaille les attributs et liens modifiés,
• Lancer une restauration ciblée : l’ensemble des objets, certains types d’objets seulement, ou des identifiants précis.

La durée de l’opération dépend surtout du volume de modifications à traiter. Plus les changements sont nombreux, plus la restauration est longue.

Cette annonce s’inscrit dans une série d’ajouts destinés à muscler les capacités de récupération dans Entra ID. Début juin, Microsoft avait déjà introduit la suppression réversible des appareils dans Entra ID, avec un délai de restauration de 30 jours.

Ce que la solution sauvegarde… et ses angles morts

À ce jour, Entra Backup and Recovery prend en charge :

• Les utilisateurs (attributs principaux comme , , ou ),
• Les groupes, y compris leurs appartenances,
• Les applications et les service principals,
• Les stratégies d’accès conditionnel et les emplacements nommés,
• La stratégie de méthodes d’authentification et la stratégie d’autorisation,
• Les Agent ID, ainsi que les identités managées.

Mais il faut connaître les limites de cet outil, car il y en a :

• Les mots de passe ne sont pas sauvegardés. Après une restauration d’utilisateurs ou de méthodes d’authentification, il peut être nécessaire de définir un nouveau mot de passe et de réenregistrer les méthodes d’authentification.
• Les objets supprimés définitivement ne sont pas récupérables. Seuls les objets en suppression réversible (état que l’on appelle soft delete) ou dont les attributs ont été modifiés peuvent être restaurés.
• Les objets synchronisés depuis un Active Directory local restent gérés par l’AD. Ces objets apparaissent bien dans les rapports de différences (hors appartenances de groupe), mais sont exclus de la restauration. Pour les rendre récupérables via Entra, il faut basculer leur source d’autorité vers le cloud. À défaut, ils doivent être protégés séparément, au niveau de l’AD DS (l’occasion de rappeler l’existence de notre procédure pour restaurer un contrôleur de domaine Active Directory).

Licences, rôles et prérequis

De nombreuses entreprises vont pouvoir profiter de cette nouvelle fonctionnalité sans débourser un centime. En effet, elle est incluse dans les licences Entra ID P1 et P2, sans module additionnel à acheter. Si vous hésitez encore entre les différentes offres, notre article dédié à la gestion du licensing Entra ID en 2026 fait le point sur les plans Free, P1, P2 et Entra Suite.

Microsoft introduit par ailleurs deux nouveaux rôles pour appliquer le principe du moindre privilège à la gestion de cette fonctionnalité, à savoir :

• Microsoft Entra Backup Reader, qui permet de consulter les sauvegardes, les comparaisons et l’historique des restaurations,
• Microsoft Entra Backup Administrator, qui ajoute la génération des rapports de différences et le déclenchement des restaurations.

Si vous êtes Global Admin, vous disposez de ces permissions. Cette fonctionnalité est accessible depuis le centre d’administration Entra, via l’entrée “Sauvegarde et récupération” située dans le menu latéral.

Pour en savoir plus, consultez ces liens :

• Billet GA – Microsoft Entra Blog
• Microsoft Security Blog – What’s new in Microsoft Security: June 2026
• Microsoft Learn – Backup and Recovery overview

Qu’en pensez-vous ?