Packages d'accès Entra ID : en finir avec les demandes d'ajout au groupe par e-mail
Dans beaucoup d'organisations, l'accès à une équipe, un site SharePoint ou une application se gagne par un e-mail au support, puis ne se perd jamais. La gestion des droits d'utilisation d'Entra ID transforme ces demandes en un processus traçable, avec une date de fin.
Le problème des accès accordés à la main
Un ajout manuel à un groupe ne laisse qu'une ligne dans le journal d'audit, sans justification ni échéance. Au fil des mutations, les utilisateurs accumulent des droits qui ne correspondent plus à leur poste, et les invités externes restent membres de projets terminés depuis longtemps. C'est exactement ce que la gestion des droits d'utilisation (entitlement management) cherche à corriger.
Les briques du modèle
- Catalogue : conteneur de ressources (groupes, équipes, applications, sites SharePoint) confié à un propriétaire métier ;
- Package d'accès : ensemble cohérent de ressources et de rôles, par exemple « Projet Alpha – contributeur » ;
- Stratégie : qui peut demander, qui approuve, pour combien de temps, avec quelles questions ;
- Affectation : le résultat, daté et justifié, visible dans les rapports.
La fonctionnalité nécessite Entra ID P2 ou Entra ID Governance, certaines options (extensions personnalisées, affectations automatiques selon des attributs, par exemple) relevant de Governance. Le découpage exact évolue : vérifiez-le pour votre locataire.
Concevoir des stratégies utiles
Une stratégie bien pensée répond à quatre questions. Qui est éligible : un service, tous les employés, une organisation partenaire ? Qui approuve : le responsable, le propriétaire de la ressource, ou les deux en deux étapes ? Combien de temps dure l'accès : une date fixe, un nombre de jours, avec ou sans prolongation ? Et faut-il une revue d'accès périodique des affectations ? Demander une justification au moment de la requête coûte peu et améliore beaucoup la qualité de la trace.
Bonne pratique. Fixez une expiration sur chaque stratégie, même longue. Un accès sans date de fin revient au modèle manuel, avec seulement un formulaire en plus.
Les utilisateurs externes et les organisations connectées
Les organisations connectées déclarent un partenaire (par son locataire Entra ID ou son domaine) dont les utilisateurs peuvent demander un package d'accès depuis le portail My Access. À l'approbation, le compte invité est créé automatiquement. Surtout, les paramètres de cycle de vie des externes permettent de bloquer la connexion puis de supprimer l'invité lorsque sa dernière affectation expire. C'est l'un des moyens les plus efficaces de contenir la prolifération des comptes invités.
Migrer depuis les demandes improvisées
- inventorier les groupes et équipes les plus demandés au support ;
- regrouper les ressources par besoin métier plutôt que par système ;
- désigner un propriétaire de catalogue par domaine ;
- publier le lien My Access et fermer progressivement le circuit par e-mail ;
- revoir ensuite les membres historiques des groupes, ajoutés hors du processus.
En résumé
Les packages d'accès ne sont pas qu'un outil de confort : ils fournissent, pour chaque droit, un demandeur, un approbateur, une justification et une date de fin. C'est précisément ce que recherchent les auditeurs lorsqu'ils examinent la gestion des accès, et ce qui manque le plus souvent dans les locataires que nous analysons.