Invités inactifs ou jamais acceptés : détecter, désactiver, supprimer
Chaque projet mené avec un partenaire laisse des comptes invités derrière lui. Des années plus tard, ils ont toujours accès aux équipes, sites et applications auxquels ils avaient été ajoutés. Le nettoyage des invités est une tâche simple, à condition d'en faire un processus plutôt qu'un chantier ponctuel.
Pourquoi les invités dormants posent problème
Un compte invité inactif conserve ses appartenances et ses droits. Son authentification dépend du locataire d'origine ou de la boîte aux lettres de l'invité, que vous ne maîtrisez pas : si l'employé du partenaire est parti et que son compte a été récupéré par un tiers, ou si sa messagerie personnelle est compromise, l'accès à vos données suit. Les invitations jamais acceptées posent un autre risque : le lien d'invitation peut être utilisé par quiconque met la main sur le message, selon la configuration.
Les données disponibles
Microsoft Graph expose plusieurs propriétés utiles sur les utilisateurs de type invité :
signInActivity: dates de dernière connexion interactive, non interactive et de dernière connexion réussie. Sa lecture nécessite des permissions d'audit et une licence Entra ID P1 ou supérieure ; vérifiez la documentation Microsoft actuelle ;externalUserState: indique si l'invitation est en attente d'acceptation ou acceptée, avec la date du dernier changement d'état ;createdDateTime: pour distinguer un invité récent jamais connecté d'un compte abandonné ;- Les sponsors : lorsqu'ils sont renseignés, ils désignent la personne interne responsable de l'invité.
Absence de données. Une valeur de dernière connexion vide ne signifie pas toujours « jamais connecté » : l'historique n'est pas illimité, et certains accès ne génèrent pas de connexion dans votre locataire. Croisez avec la date de création et l'état d'invitation avant de conclure.
Définir des règles claires
Avant d'automatiser, fixez des seuils validés par les métiers. Par exemple :
| Situation | Action proposée |
|---|---|
| Invitation en attente depuis plus de 30 jours | Suppression de l'invité |
| Aucune connexion depuis 90 jours | Notification du sponsor, puis désactivation |
| Compte désactivé depuis 30 jours sans réclamation | Suppression |
Ces durées sont indicatives ; adaptez-les à vos cycles de projets. L'essentiel est qu'elles soient écrites et appliquées de façon constante.
Automatiser le processus
- Un script planifié, par exemple une automatisation utilisant une identité managée avec des permissions en lecture sur les utilisateurs et les journaux, extrait les invités et calcule leur inactivité ;
- Les sponsors ou propriétaires des équipes concernées reçoivent la liste des invités à confirmer ;
- Les comptes non confirmés sont désactivés, ce qui est réversible ;
- Après le délai de grâce, ils sont supprimés. Un utilisateur supprimé reste restaurable pendant 30 jours ;
- Chaque exécution est journalisée pour la traçabilité.
Si vous disposez d'Entra ID Governance, les revues d'accès peuvent cibler les invités, y compris sur l'ensemble des groupes Microsoft 365, et appliquer automatiquement le refus aux invités non confirmés. Veillez à limiter les droits de l'identité qui effectue les suppressions : la capacité de supprimer des utilisateurs est sensible.
Traiter la cause
Le nettoyage ne sert à rien si les invités s'accumulent de nouveau. Associez-le à un sponsor obligatoire à la création, à des packages d'accès avec expiration lorsque c'est possible, et à des paramètres de collaboration externe qui limitent qui peut inviter. Dans les locataires que nous auditons, la proportion d'invités jamais connectés est souvent le premier indicateur d'une gouvernance absente.
Ce qu'un audit vérifie
- Le nombre d'invités inactifs au-delà du seuil défini, et d'invitations jamais acceptées.
- Les invités dormants disposant d'appartenances sensibles ou de rôles d'annuaire.
- L'existence d'un processus documenté et automatisé de nettoyage.
- La présence de sponsors et de revues d'accès sur les invités.