Gouvernance Power Platform : environnements, stratégies DLP et inventaire des créateurs
La Power Platform est souvent la grande oubliée des audits Microsoft 365. Pourtant, chaque utilisateur disposant d'une licence peut y créer des applications et des flux qui manipulent les données de l'organisation et les envoient, si rien ne l'interdit, vers des services externes. Sans gouvernance, le locataire accumule des automatisations dont personne ne connaît l'existence.
L'environnement par défaut, un espace partagé par tous
Chaque locataire possède un environnement par défaut, dans lequel tous les utilisateurs disposant d'une licence peuvent créer des applications et des flux. On ne peut ni le supprimer ni en retirer les utilisateurs. Dans les locataires que nous auditons, c'est là que se concentre l'essentiel des créations : des flux personnels, des applications partagées avec toute l'organisation, des connexions ouvertes vers des services tiers.
La bonne pratique consiste à assumer ce rôle d'espace de productivité personnelle, en le renommant explicitement, et à lui appliquer la stratégie de protection des données la plus stricte. Les projets métier sérieux doivent vivre ailleurs.
Une stratégie d'environnements
Une organisation saine distingue au minimum :
- l'environnement par défaut, réservé à la productivité personnelle ;
- des environnements de développement, de test et de production pour les applications métier ;
- éventuellement des environnements dédiés à des services ou à des données sensibles.
Les paramètres du locataire permettent de restreindre la création d'environnements de production, d'évaluation et de développement aux administrateurs. Sans cette restriction, n'importe quel utilisateur peut créer des environnements d'évaluation, qui échappent souvent aux contrôles. Les groupes d'environnements et les environnements gérés (Managed Environments) apportent des règles centralisées et des fonctions de gouvernance supplémentaires ; leurs conditions de licence évoluent, vérifiez l'état actuel avant de les intégrer à votre plan.
Deux réglages complètent utilement cette organisation. D'abord, associer chaque environnement disposant d'une base Dataverse à un groupe de sécurité Entra ID : seuls ses membres y obtiennent un accès, au lieu de tous les utilisateurs disposant d'une licence. Ensuite, désigner pour chaque environnement de production un propriétaire métier et un administrateur technique, consignés quelque part de façon durable. Lorsqu'un flux critique tombe en panne ou qu'une application doit être retirée, la première question est toujours la même : à qui appartient-elle ? Sans réponse, personne n'ose rien supprimer, et l'environnement grossit indéfiniment. Les comptes de service utilisés pour faire tourner les flux métier doivent eux aussi être identifiés, protégés par l'accès conditionnel et rattachés à un responsable.
Les stratégies de protection contre la perte de données
Les stratégies DLP de la Power Platform ne se confondent pas avec celles de Microsoft Purview : elles classent les connecteurs en trois groupes.
- Professionnel : connecteurs autorisés à échanger des données entre eux (SharePoint, Outlook, Dataverse…) ;
- Non professionnel : connecteurs autorisés, mais qui ne peuvent pas être combinés avec ceux du groupe professionnel dans une même application ou un même flux ;
- Bloqué : connecteurs interdits.
Une stratégie au niveau du locataire fixe le socle, des stratégies par environnement ajoutent des restrictions. Les nouveaux connecteurs doivent être affectés par défaut au groupe le plus restrictif adapté à votre contexte. Certains connecteurs ne peuvent pas être bloqués ; pour les connecteurs génériques, comme HTTP, le filtrage des points de terminaison et le contrôle des actions permettent d'affiner. Les connecteurs personnalisés doivent aussi être couverts.
Attention aux effets de bord. Une nouvelle stratégie DLP plus stricte peut suspendre immédiatement des flux existants. Avant de l'appliquer, analysez les connecteurs effectivement utilisés et prévenez les propriétaires concernés.
Savoir qui crée quoi
La gouvernance commence par l'inventaire : applications, flux, agents Copilot Studio, connexions, propriétaires et étendue du partage. Le centre d'administration de la Power Platform offre des vues d'inventaire, et le kit de démarrage du centre d'excellence (CoE Starter Kit) de Microsoft fournit des outils plus complets. Points récurrents dans nos audits :
- des applications partagées avec toute l'organisation sans justification ;
- des flux critiques dont le propriétaire a quitté l'entreprise ;
- des flux métier tournant sous les connexions personnelles d'un employé ;
- des connexions vers des services externes non validés.
L'isolation du locataire mérite aussi d'être examinée : elle empêche les connexions vers ou depuis d'autres locataires Entra ID, un vecteur d'exfiltration discret.
Ce qu'un audit vérifie
- Les droits de création d'environnements et la liste des environnements existants, avec leurs propriétaires.
- Les stratégies DLP au niveau du locataire et des environnements, dont celle de l'environnement par défaut.
- Le classement par défaut des nouveaux connecteurs et le traitement des connecteurs personnalisés et HTTP.
- L'inventaire des applications, flux et agents : partage, propriétaires, objets orphelins.
- La configuration de l'isolation du locataire.