La sécurité de Business Central n’est pas entièrement gérée par Business Central. BC bénéficie de son propre système de sécurité intégré : Entra. Souvent appelé Azure AD, Entra effectue de nombreuses tâches en arrière-plan, totalement invisibles pour l’utilisateur.

Examinons cela plus en détail.

Single Sign-On

Un utilisateur accédant à Business Central peut penser « Je me connecte à Business Central », alors qu’en réalité, c’est Entra qui lui permet d’accéder à la plateforme. Le processus d’authentification est entièrement délégué à Entra. Après validation de la requête utilisateur, Entra renvoie un jeton d’accès autorisant Business Central à lui accorder l’accès. L’utilisateur devrait plutôt penser : « Je me connecte à Entra et j’obtiens un passeport numérique pour accéder à Business Central ».

C’est ainsi que l’authentification unique (SSO) est possible pour toutes les solutions du cloud Microsoft. En quoi est-ce plus sûr ?

Premièrement, Business Central ne stocke aucun mot de passe. Deuxièmement, les politiques de sécurité sont centralisées, ce qui réduit les risques de violation de données.

MFA, Conditional Access, Zero Trust

Les données sont protégées par des ensembles d’autorisations dans Business Central. Ces ensembles définissent les modalités d’accès aux objets, c’est-à-dire ce que l’utilisateur peut consulter ou modifier. En arrière-plan, Entra gère les accès via :

• Authentification multifacteur

• Restrictions géographiques

• Blocage de l’accès depuis un appareil non conforme

• Application des autorisations d’accès pour les appareils connectés à Intune

• Blocage automatique en cas de comportement suspect.

Il s’agit de la politique Zero Trust définie dans Entra ID.

Sessions et jetons

Lors de la connexion et tel que mentionné précédemment, Business Central reçoit un jeton d’accès valable quelques minutes.

Une fois connecté, l’utilisateur reçoit un jeton d’actualisation valable quelques heures. Entra ID renouvelle automatiquement ces jetons jusqu’à leur expiration et la fermeture de la session.

Ce système garantit une sécurité continue, une déconnexion automatique en cas de compromission du compte et une gestion centralisée des sessions.

Sans ce dispositif, une personne mal intentionnée pourrait accéder à Business Central simplement en s’installant au bureau de l’utilisateur pendant son heure de lunch.

Entra ID sécurise les API

Lorsqu’une application externe, comme Power Automate ou un site web, appelle Business Central, celle-ci doit d’abord obtenir un jeton, incluant les autorisations nécessaires, auprès d’Entra ID avant l’exécution de la requête.

Une fois de plus, l’ange gardien de Business Central œuvre en coulisses.

Entra ID protège votre écosystème

Pour conclure, chaque environnement de test et de production hérite des politiques Entra ID relatives à l’authentification multi facteurs, à l’accès conditionnel, aux restrictions d’appareil, aux comptes invités et aux cycles de certificats et de clés.

N’hésitez pas à écrire si vous avez des questions ou des commentaires.

Cordialement,

Sylvain.

 

Dernière mise à jour : juin 2026