Comptes invités : cycle de vie, invités inactifs et revues d'accès
Un invité est créé en quelques secondes, souvent par un utilisateur qui partage un document ou ajoute un partenaire à une équipe. Personne ne pense ensuite à le supprimer. Dans les locataires que nous auditons, les invités inactifs depuis des années, ou qui n'ont jamais accepté leur invitation, sont monnaie courante.
Qui peut inviter
Les paramètres de collaboration externe d'Entra ID définissent qui peut envoyer des invitations. Les options vont de « tout le monde, y compris les invités » à « personne », en passant par « les membres et certains rôles d'administration » ou « uniquement certains rôles d'administration ». La valeur par défaut est permissive.
Il n'y a pas de bonne réponse universelle : interdire toute invitation aux utilisateurs pousse souvent vers des contournements (envoi de pièces jointes, outils non maîtrisés). L'important est que le choix soit délibéré, et en tout état de cause que les invités eux-mêmes ne puissent pas inviter d'autres invités.
Ces paramètres se complètent par les restrictions de collaboration (domaines autorisés ou interdits) et les paramètres d'accès inter-locataires, qui permettent de différencier les règles selon l'organisation partenaire.
Ce que les invités peuvent voir
Le paramètre d'accès des utilisateurs invités propose trois niveaux :
- Même accès que les membres : l'invité peut parcourir l'annuaire comme un salarié. À éviter, sauf cas très particulier.
- Accès limité (valeur par défaut) : l'invité peut voir les membres des groupes dont il fait partie et quelques propriétés des utilisateurs.
- Accès restreint : l'invité ne voit que son propre profil et les objets strictement nécessaires.
L'accès restreint est la cible que nous recommandons. Il convient de le tester avec les usages Teams et SharePoint de l'organisation, mais il fonctionne dans la grande majorité des cas.
À vérifier en priorité. Les invités titulaires d'un rôle d'administration ou propriétaires de groupes, d'équipes ou d'applications. Ce sont des situations que nous trouvons régulièrement, généralement héritées d'une ancienne prestation, et qui donnent à un compte externe un contrôle qui ne devrait pas lui appartenir.
Repérer les invités inactifs
Deux catégories méritent un traitement :
- Les invitations jamais acceptées : l'état de l'utilisateur externe indique une acceptation en attente. Au-delà de quelques semaines, l'invitation n'a plus de raison d'être.
- Les invités inactifs : l'attribut d'activité de connexion, accessible via Microsoft Graph, donne la date de dernière connexion, interactive ou non. Un seuil de 90 jours est un point de départ courant, à ajuster selon les rythmes de collaboration.
Attention à la lecture des dates : un invité peut accéder à un document partagé sans se connecter souvent, et l'historique de l'attribut ne remonte pas avant sa mise en place. Comme pour les appareils, désactiver avant de supprimer laisse le temps de détecter une erreur.
Les revues d'accès
Les revues d'accès automatisent la question « cet invité a-t-il encore besoin de son accès ? ». Selon vos licences (Entra ID P2 ou Entra ID Governance, à vérifier pour votre contrat), elles peuvent porter sur :
- les invités membres des groupes Microsoft 365 et des équipes Teams, revus par les propriétaires ou par les invités eux-mêmes ;
- l'ensemble des invités du locataire, avec un ciblage des utilisateurs inactifs ;
- les accès aux applications et aux packages d'accès.
Le paramètre clé est l'action appliquée aux invités refusés : bloquer la connexion pendant une période, puis supprimer le compte. Sans cette action automatique, la revue reste déclarative. Pour les nouvelles collaborations, la gestion des droits d'utilisation permet d'aller plus loin : l'invité demande l'accès via un package, avec une date d'expiration et un sponsor désigné.
Ce qu'un audit vérifie
- Les paramètres d'invitation et l'interdiction pour les invités d'inviter.
- Le niveau d'accès des invités à l'annuaire.
- Les restrictions de domaines et les paramètres d'accès inter-locataires.
- Le volume d'invitations non acceptées et d'invités inactifs.
- Les invités titulaires de rôles ou propriétaires d'objets.
- L'existence de revues d'accès sur les invités, avec action automatique sur les refus.