Applications Teams : reprendre la main sur ce que les utilisateurs installent
Teams n'est pas qu'un outil de conversation : c'est une plateforme sur laquelle des centaines d'applications tierces peuvent s'installer, lire des messages ou accéder à des fichiers. Dans beaucoup de locataires, les réglages par défaut n'ont jamais été revus et personne ne sait vraiment quelles applications sont utilisées ni avec quels droits.
Ce qu'une application Teams peut faire
Une application Teams peut prendre la forme d'un onglet, d'un bot, d'une extension de messagerie ou d'un connecteur. Derrière l'interface, elle s'appuie souvent sur une application enregistrée dans Entra ID et sur des autorisations Microsoft Graph : lire les messages d'un canal, accéder aux fichiers de l'équipe, consulter le calendrier de l'utilisateur. Une application d'apparence anodine, comme un outil de sondage, peut ainsi obtenir un accès large aux données.
La gouvernance des applications Teams se joue donc à deux niveaux : dans Teams, pour décider quelles applications peuvent être installées et par qui, et dans Entra ID, pour contrôler les autorisations accordées à ces applications.
Les paramètres à l'échelle de l'organisation
Dans le centre d'administration Teams, les paramètres d'applications à l'échelle de l'organisation définissent le cadre général :
- autoriser ou non les applications tierces et les nouvelles applications publiées dans le magasin ;
- autoriser ou non les applications personnalisées, développées en interne ou fournies sous forme de package ;
- permettre aux utilisateurs de demander une application bloquée, ce qui crée un circuit de validation plutôt qu'une interdiction sèche.
Ces paramètres priment sur tout le reste : une application tierce autorisée dans une stratégie reste indisponible si les applications tierces sont désactivées au niveau de l'organisation.
Stratégies d'autorisation ou gestion centrée sur les applications
Historiquement, la disponibilité des applications se gérait par des stratégies d'autorisation d'applications attribuées aux utilisateurs : « toutes les applications Microsoft, ces applications tierces-là, aucune application personnalisée ». Microsoft fait évoluer ce modèle vers une gestion centrée sur les applications, où chaque application porte directement sa disponibilité : tout le monde, certains utilisateurs ou groupes, ou personne. Les locataires sont migrés progressivement et les deux modèles coexistent encore selon les cas ; vérifiez celui qui s'applique dans votre centre d'administration.
Quel que soit le modèle, la démarche reste la même : partir de l'inventaire des applications réellement installées, décider pour chacune, et définir le comportement par défaut pour les nouvelles applications publiées par Microsoft et par les éditeurs tiers.
Applications tierces et autorisations Graph
Bloquer une application dans Teams n'enlève pas les autorisations que son application Entra ID a déjà reçues. Inversement, une application autorisée dans Teams peut demander, à l'installation, un consentement sur des données. Deux mécanismes méritent l'attention :
- le consentement classique aux autorisations déléguées ou d'application, encadré par les paramètres de consentement des utilisateurs dans Entra ID ;
- le consentement spécifique aux ressources (RSC), qui permet à un propriétaire d'équipe ou de conversation d'accorder à une application l'accès aux données de cette seule équipe ou conversation, si les paramètres du locataire l'autorisent.
Le RSC n'est pas anodin. Un propriétaire d'équipe qui accorde à une application la lecture de tous les messages de son équipe ouvre l'accès à des échanges qu'il ne maîtrise pas seul. Décidez explicitement si ce consentement est permis, et à qui, plutôt que de laisser le réglage par défaut.
Le chargement d'applications personnalisées
Le chargement d'applications personnalisées permet d'installer une application à partir d'un package, sans passer par le magasin ni par le catalogue de l'organisation. C'est indispensable pour les développeurs, mais risqué s'il est ouvert à tous : un package peut embarquer un bot ou un onglet pointant vers n'importe quel service. Ce droit se contrôle à la fois dans les paramètres de l'organisation et dans les stratégies de configuration attribuées aux utilisateurs. Réservez-le à un groupe de développeurs identifié, et publiez les applications internes validées dans le catalogue de l'organisation.
Côté suivi, les installations et suppressions d'applications Teams sont journalisées dans le journal d'audit unifié, ce qui permet de repérer l'arrivée d'une nouvelle application tierce dans une équipe sensible.
Ce qu'un audit vérifie
- Les paramètres d'applications à l'échelle de l'organisation : tiers, personnalisées, demandes des utilisateurs.
- Le modèle de gestion en vigueur et la disponibilité réelle des applications tierces.
- L'inventaire des applications installées et de leurs éditeurs.
- Les autorisations Graph accordées aux applications Teams dans Entra ID.
- Le paramétrage du consentement spécifique aux ressources.
- Les utilisateurs autorisés à charger des applications personnalisées.
- Le suivi des installations d'applications dans le journal d'audit.