Groupes Microsoft 365 et équipes Teams : encadrer la création, le nommage et le cycle de vie
Par défaut, tout utilisateur peut créer un groupe Microsoft 365, et donc une équipe Teams, un site SharePoint et une boîte aux lettres partagée associés. Quelques années plus tard, nous trouvons souvent des milliers de groupes aux noms ambigus, dont une partie sans propriétaire ni activité. Il n'est pas nécessaire de tout bloquer pour reprendre le contrôle.
Un groupe, c'est bien plus qu'une liste de membres
Créer une équipe Teams crée un groupe Microsoft 365, qui provisionne à son tour un site SharePoint, une boîte aux lettres de groupe, un bloc-notes et un plan. Chaque groupe est donc un nouveau conteneur de données, avec ses propres règles de partage, ses propriétaires et, potentiellement, ses invités.
La prolifération pose trois problèmes concrets : les utilisateurs ne savent plus où se trouve l'information de référence, des données sensibles se retrouvent dans des espaces que personne ne surveille, et l'accès des anciens membres ou des invités n'est jamais revu.
Faut-il restreindre la création ?
Il est possible de limiter la création de groupes Microsoft 365 à un groupe de sécurité donné, au moyen des paramètres d'annuaire du groupe unifié dans Entra ID (paramètres EnableGroupCreation et GroupCreationAllowedGroupId, configurés via PowerShell). Cette restriction s'applique à toutes les applications qui créent des groupes : Teams, Outlook, SharePoint, Planner. Les administrateurs disposant des rôles adéquats peuvent toujours en créer.
Le choix n'est pas binaire. Nous voyons fonctionner trois modèles :
- création libre, compensée par un nommage, une expiration et des revues rigoureuses ;
- création déléguée à des relais identifiés dans chaque service ;
- création sur demande, via un formulaire et un circuit d'approbation, éventuellement automatisé.
Un modèle trop restrictif pousse les utilisateurs vers des outils non maîtrisés ou vers des équipes « fourre-tout » détournées de leur objet. Le bon choix dépend de la maturité de l'organisation et de la sensibilité des données.
Un paramètre trompeur. Le réglage d'Entra ID « Les utilisateurs peuvent créer des groupes Microsoft 365 dans les portails Azure » ne concerne que les portails d'administration. Le désactiver n'empêche pas la création depuis Teams ou Outlook ; seule la restriction par les paramètres d'annuaire le fait.
La stratégie de nommage
La stratégie de nommage des groupes ajoute automatiquement un préfixe ou un suffixe (fixe ou fondé sur un attribut, comme le service ou le pays) et bloque une liste de mots interdits. Elle évite qu'un utilisateur crée une équipe nommée « Direction générale » ou « RH » qui pourrait tromper ses collègues. Elle nécessite des licences Entra ID P1 pour les utilisateurs concernés ; vérifiez les conditions en vigueur.
Gardez une convention simple : un préfixe lisible suffit souvent. Une stratégie trop complexe produit des noms illisibles et finit contournée.
Expiration et groupes sans propriétaire
La stratégie d'expiration fixe une durée de vie aux groupes, par exemple 180 ou 365 jours. Les groupes utilisés sont renouvelés automatiquement ; pour les autres, les propriétaires reçoivent des notifications et doivent confirmer le renouvellement. Sans réponse, le groupe est supprimé et reste restaurable pendant 30 jours. Les données conservées par une stratégie de rétention restent protégées indépendamment de la suppression.
Les groupes sans propriétaire sont un angle mort : personne ne reçoit les notifications d'expiration, personne ne gère les membres. Le centre d'administration Microsoft 365 propose une stratégie qui invite les membres actifs d'un groupe orphelin à en devenir propriétaires. Nous recommandons en complément d'exiger au moins deux propriétaires par groupe et de suivre régulièrement la liste des groupes qui n'en ont qu'un ou aucun.
Les invités, groupe par groupe
Les paramètres d'invités du locataire s'appliquent à tous les groupes, mais il est possible d'interdire l'ajout d'invités dans un groupe précis, soit par un paramètre d'annuaire propre au groupe, soit, plus simplement, au moyen d'étiquettes de confidentialité appliquées aux conteneurs. Une étiquette « Confidentiel - interne » peut ainsi imposer un groupe privé, sans invités, avec un partage SharePoint restreint. C'est la manière la plus lisible de faire varier les règles selon la sensibilité.
Ce qu'un audit vérifie
- Le nombre de groupes Microsoft 365, leur évolution et la part de groupes inactifs.
- La configuration de la restriction de création et le groupe autorisé.
- L'existence d'une stratégie de nommage et la liste des mots bloqués.
- La stratégie d'expiration et sa durée.
- Les groupes sans propriétaire ou avec un propriétaire unique.
- Les groupes contenant des invités et les règles par groupe ou par étiquette.