Accès inter-locataires : maîtriser qui entre, qui sort et vers quels locataires
Par défaut, un locataire Entra ID collabore avec n'importe quel autre locataire, dans les deux sens. Les paramètres d'accès inter-locataires permettent de distinguer partenaires de confiance et inconnus, et même d'empêcher vos utilisateurs de se connecter à des locataires étrangers.
Entrant, sortant : deux directions à régler
Les paramètres d'accès inter-locataires (Identités externes > Paramètres d'accès inter-locataires) distinguent deux flux. Le flux entrant détermine quels utilisateurs externes peuvent accéder à vos ressources ; le flux sortant, à quels locataires vos utilisateurs peuvent accéder en tant qu'invités. Pour chacun, on règle séparément la collaboration B2B et le B2B direct connect, et l'on peut filtrer par utilisateurs, groupes et applications.
Paramètres par défaut et paramètres par organisation
Les paramètres par défaut s'appliquent à tout locataire non listé. Dans la configuration d'origine, la collaboration B2B est ouverte et le B2B direct connect est bloqué. Les paramètres par organisation ajoutent des exceptions pour un locataire identifié, qui priment sur les valeurs par défaut. Une approche prudente consiste à restreindre les valeurs par défaut, puis à ouvrir explicitement pour les partenaires réels. Cela demande un inventaire préalable : les journaux de connexion permettent d'identifier les locataires avec lesquels vos utilisateurs échangent effectivement.
Faire confiance aux revendications MFA et appareil
Sans configuration, un invité doit enregistrer une méthode MFA dans votre locataire, en plus de celle de son organisation. Les réglages de confiance entrante permettent d'accepter :
- l'authentification multifacteur effectuée dans le locataire d'origine ;
- les appareils déclarés conformes par le locataire d'origine ;
- les appareils joints hybrides à Entra ID du partenaire.
Ces options améliorent l'expérience et permettent à vos stratégies d'accès conditionnel d'exiger une MFA pour les invités sans friction. Elles ne doivent toutefois être accordées qu'aux organisations dont vous connaissez le niveau d'exigence : vous déléguez une partie de votre contrôle.
B2B direct connect et canaux partagés Teams
Le B2B direct connect permet à un utilisateur externe d'accéder à une ressource sans compte invité dans votre annuaire. Son usage principal aujourd'hui est celui des canaux partagés Teams. Il exige une configuration réciproque : les deux organisations doivent l'autoriser, l'une en sortant, l'autre en entrant. Comme aucun objet invité n'est créé, la visibilité passe par les journaux et les rapports de Teams ; ouvrez-le donc organisation par organisation, jamais par défaut.
Point clé. Bloquer le sortant dans les paramètres inter-locataires ne suffit pas à empêcher un utilisateur de se connecter à un autre locataire avec un compte créé là-bas. C'est le rôle des restrictions de locataire v2.
Restrictions de locataire v2
Les restrictions de locataire v2 visent l'exfiltration par locataire étranger : un collaborateur qui se connecte, depuis un poste de l'entreprise, à un locataire personnel ou à celui d'un tiers pour y déposer des données. La stratégie se définit dans les paramètres inter-locataires, puis doit être appliquée côté réseau ou poste : insertion d'un en-tête par le proxy d'entreprise, Global Secure Access, ou stratégie sur les appareils Windows gérés. Le périmètre et les options d'application évoluent ; vérifiez les prérequis actuels avant un déploiement.
Par où commencer
- exporter les paramètres actuels et lister les organisations déjà configurées ;
- identifier les locataires partenaires à partir des journaux de connexion ;
- restreindre les valeurs par défaut et ouvrir par organisation ;
- n'accorder la confiance MFA et appareil qu'aux partenaires évalués ;
- piloter les restrictions de locataire v2 sur un groupe restreint avant généralisation.