Un ou plusieurs locataires Microsoft 365 : les critères qui doivent guider la décision

Le locataire est une frontière, pas un simple conteneur

Un locataire Microsoft 365 repose sur un annuaire Entra ID unique. Tout ce qui s'y trouve partage les mêmes administrateurs généraux, les mêmes stratégies d'accès conditionnel par défaut, le même catalogue d'applications et le même journal d'audit. C'est la seule véritable frontière d'isolation offerte par la plateforme : les unités administratives, les groupes ou les stratégies de délégation organisent l'administration, mais ne protègent pas contre un administrateur général compromis.

Inversement, deux locataires sont deux mondes distincts. Les utilisateurs de l'un sont des invités dans l'autre, les calendriers, la recherche, Teams et les groupes ne se mélangent pas naturellement, et chaque réglage de sécurité doit être maintenu deux fois. Le choix revient donc à arbitrer entre isolation et simplicité.

Les bonnes raisons d'avoir un locataire unique

Dans la grande majorité des organisations que nous accompagnons, le locataire unique reste la cible raisonnable. Il offre :

• une collaboration native : annuaire global, disponibilités, Teams, partage de fichiers et recherche sans configuration inter-locataires ;
• une seule politique de sécurité : un socle d'accès conditionnel, une stratégie de méthodes d'authentification, une gouvernance des applications ;
• une seule supervision : un journal d'audit, une console Defender, une source pour le SIEM ;
• moins d'administrateurs privilégiés au total, donc une surface d'attaque plus réduite.

Les besoins d'autonomie des filiales se traitent alors par la délégation : unités administratives, rôles personnalisés, unités administratives à gestion restreinte pour les comptes sensibles, et règles de nommage.

Les cas où plusieurs locataires se justifient

Certaines situations imposent ou justifient une séparation :

• Cessions prévisibles : une entité appelée à être vendue sera beaucoup plus simple à détacher si elle dispose déjà de son propre locataire.
• Exigences réglementaires ou contractuelles : certaines activités imposent une isolation stricte de l'administration ou des données, parfois un cloud spécifique. La région de données d'un locataire est fixée à sa création ; Multi-Geo permet de répartir certaines données, mais ne crée pas d'isolation administrative.
• Isolation de l'administration : lorsque l'on ne peut pas accepter qu'un administrateur général du groupe ait la main sur une entité, seul un locataire distinct garantit cette séparation.
• Fusion récente : pendant la transition, deux locataires coexistent forcément. La question est de savoir si l'on fusionne ensuite, et dans quels délais.

Faire cohabiter plusieurs locataires

Lorsque plusieurs locataires sont maintenus, Entra ID propose plusieurs briques, dont le périmètre évolue régulièrement ; vérifiez l'état actuel des fonctionnalités et des licences au moment du projet :

• Paramètres d'accès inter-locataires : ils définissent, organisation par organisation, quels utilisateurs peuvent collaborer et si l'on fait confiance à la MFA et à la conformité des appareils du locataire partenaire.
• Synchronisation inter-locataires : elle provisionne automatiquement des utilisateurs d'un locataire comme membres B2B dans un autre, ce qui alimente l'annuaire et facilite l'attribution d'accès.
• Organisation multilocataire : elle regroupe des locataires d'un même groupe pour améliorer l'expérience dans Teams et dans certaines applications Microsoft 365.
• Connexion directe B2B : utilisée notamment pour les canaux partagés Teams, sans créer d'objet invité.

Ces outils réduisent les frictions, mais ne les suppriment pas : certaines fonctions restent limitées entre locataires, et chaque confiance accordée au partenaire (MFA, appareils conformes) élargit votre surface d'exposition à son niveau de sécurité.

Le coût réel de chaque choix

Le coût d'un modèle multi-locataires ne se mesure pas seulement en licences. Il faut compter la duplication des stratégies et de leur maintenance, des comptes d'urgence et des administrateurs, de la supervision et des intégrations SIEM, des revues d'accès, ainsi que le temps passé à diagnostiquer les problèmes de collaboration. À l'inverse, le locataire unique impose un effort de délégation fine et une discipline de gouvernance plus exigeante, car une erreur de configuration y touche tout le monde.

La consolidation de locataires, enfin, est un projet lourd : migration de boîtes aux lettres, de sites, d'équipes Teams, réattribution des licences, changements de domaines. Elle se planifie, généralement avec des outils dédiés, et ne s'improvise pas.

Ce qu'un audit vérifie

• L'inventaire exhaustif des locataires de l'organisation, y compris ceux créés hors de la DSI.
• La justification documentée de chaque locataire séparé.
• Le niveau homogène du socle de sécurité dans tous les locataires.
• Les paramètres d'accès inter-locataires et les confiances accordées aux partenaires.
• La délégation d'administration dans le locataire principal : unités administratives, rôles, comptes protégés.