Invités et partage externe Microsoft 365 : reprendre la main sans bloquer la collaboration
Le partage externe est devenu la norme dans Teams et SharePoint, et avec lui l'accumulation d'invités oubliés. Il est possible de reprendre la main sans freiner les équipes : quelques réglages, un cycle de vie et une revue régulière.
La collaboration a précédé la gouvernance
Teams et SharePoint ont rendu le partage externe si simple qu'il s'est installé partout : invités ajoutés pour un projet de trois semaines et jamais retirés, liens « Tout le monde » qui circulent par mail, sites d'équipe ouverts à des partenaires dont le contrat est terminé. Rien de tout cela n'est malveillant. Mais au bout de quelques années, plus personne ne sait qui, à l'extérieur, a accès à quoi.
Les réglages qui comptent dans Entra ID
- Qui peut inviter : tout le monde, les membres seulement, ou des rôles désignés. Laisser les invités inviter d'autres invités est rarement justifié.
- Ce que voient les invités : le niveau le plus restrictif limite un invité aux propriétés et appartenances de ses propres objets, sans pouvoir parcourir l'annuaire.
- Les domaines autorisés : une liste d'autorisation ou de blocage des domaines partenaires.
- Les paramètres d'accès inter-locataires : faire confiance, ou non, au MFA et à la conformité des appareils déclarés par le tenant d'origine de l'invité.
Les réglages qui comptent dans SharePoint et OneDrive
Le niveau de partage externe de l'organisation fixe le plafond : liens « Tout le monde » sans authentification, invités nouveaux et existants, invités existants seulement, ou interne uniquement. Chaque site peut être plus restrictif que l'organisation, jamais plus ouvert. Les points à régler :
- Le type de lien proposé par défaut : « Personnes de votre organisation » plutôt que « Tout le monde ».
- Une date d'expiration obligatoire pour les liens anonymes, s'ils restent autorisés.
- Un plafond plus strict sur les sites qui hébergent des données sensibles, appuyé si possible par des étiquettes de confidentialité.
Un invité n'est pas un risque en soi. Le risque, c'est l'invité dont plus personne ne se souvient et qui conserve son accès après la fin du projet.
Gérer le cycle de vie
Le point faible est rarement l'invitation, presque toujours la sortie. Les révisions d'accès d'Entra ID Governance permettent de demander périodiquement aux propriétaires d'équipes ou de groupes de confirmer chaque invité, avec retrait automatique en l'absence de réponse. À défaut de licence, un rapport régulier des invités inactifs — sans connexion depuis 90 jours, par exemple — et une procédure de nettoyage apportent déjà l'essentiel.
Ce que demandent les référentiels
NIS2, ISO 27001 et de nombreux questionnaires clients exigent la maîtrise des accès des tiers : savoir qui ils sont, à quoi ils accèdent, et les retirer quand la relation prend fin. Un audit de configuration fournit précisément cette preuve : réglages d'invitation et de partage, nombre d'invités et date de leur dernière connexion, liens anonymes actifs, sites les plus ouverts.
Ce qu'un audit vérifie
- Les paramètres de collaboration externe et d'accès inter-locataires.
- Le niveau de partage externe de l'organisation et des sites.
- Les invités inactifs ou jamais connectés.
- L'existence de révisions d'accès, ou d'une procédure équivalente.