Paramètres de collaboration externe : encadrer les invités dans Entra ID
Inviter un partenaire dans Teams prend quelques secondes. Derrière ce geste, un compte invité est créé dans votre annuaire, avec des droits de lecture qui dépendent de paramètres rarement consultés. Les paramètres de collaboration externe fixent qui peut inviter, qui peut être invité et ce que l'invité peut voir.
Ce que voit un invité
Le premier réglage porte sur les restrictions d'accès des utilisateurs invités. Trois niveaux existent :
| Niveau | Effet |
|---|---|
| Même accès que les membres | L'invité peut énumérer l'annuaire comme un employé. À éviter. |
| Accès limité aux propriétés et appartenances des objets de l'annuaire | Valeur par défaut : l'invité ne peut pas énumérer librement les utilisateurs et groupes, mais conserve certaines lectures. |
| Accès restreint aux propriétés et appartenances de ses propres objets | Le plus restrictif : l'invité ne voit que ce qui le concerne. |
Le niveau le plus restrictif convient à la plupart des organisations. Testez-le avec vos usages Teams et SharePoint avant de le généraliser, et vérifiez dans la documentation Microsoft actuelle les éventuelles limitations fonctionnelles.
Qui peut inviter
Par défaut, tout le monde dans l'organisation peut inviter des invités, y compris les invités eux-mêmes. Les options vont jusqu'à réserver l'invitation aux titulaires de rôles d'administration spécifiques, comme Inviteur d'invités, ou à l'interdire totalement.
Le bon choix dépend de votre modèle de collaboration. Un compromis fréquent : autoriser les membres à inviter, interdire aux invités d'inviter, et encadrer l'invitation par un processus avec sponsor interne. Si le partage externe dans SharePoint, OneDrive et Teams est largement ouvert, rappelez-vous que ces services peuvent eux aussi déclencher des invitations.
Listes de domaines autorisés et refusés
Les restrictions de collaboration permettent soit d'autoriser les invitations vers tous les domaines (valeur par défaut), soit de refuser une liste de domaines, soit de n'autoriser qu'une liste de domaines. Une seule approche peut être active à la fois.
- La liste d'autorisation est la plus sûre mais demande une maintenance : chaque nouveau partenaire doit y être ajouté.
- La liste de refus sert surtout à bloquer les messageries grand public ou des domaines concurrents ; elle est facile à contourner.
Paramètres d'accès inter-locataires. Les listes de domaines ne sont qu'une partie du dispositif. Les paramètres d'accès inter-locataires permettent de régler, organisation par organisation, la collaboration B2B entrante et sortante, et de décider si vous faites confiance à la MFA ou à la conformité des appareils du locataire d'origine.
Code secret à usage unique par e-mail
Lorsqu'un invité ne dispose ni d'un compte Entra ID, ni d'un compte Microsoft, ni d'une fédération configurée, il peut s'authentifier avec un code secret envoyé par e-mail. Ce mécanisme est activé par défaut sur les locataires récents. Il évite la création de comptes non gérés, mais la sécurité du compte invité dépend alors de celle de sa boîte aux lettres. Imposez une MFA aux invités via l'accès conditionnel : ils l'enregistreront dans votre locataire.
Les réglages complémentaires
- L'inscription en libre-service des invités via des flux utilisateur, à désactiver si elle n'est pas utilisée ;
- La possibilité pour les utilisateurs externes de quitter l'organisation d'eux-mêmes ;
- Une stratégie d'accès conditionnel dédiée aux invités et utilisateurs externes ;
- Des revues d'accès régulières sur les invités, traitées dans un article distinct.
Dans les locataires que nous auditons, les invités conservent souvent le niveau d'accès par défaut et peuvent eux-mêmes inviter d'autres externes.
Ce qu'un audit vérifie
- Le niveau de restriction d'accès des utilisateurs invités.
- Les droits d'invitation et l'attribution du rôle Inviteur d'invités.
- Les restrictions de collaboration par domaine et les paramètres d'accès inter-locataires.
- L'état du code secret à usage unique et des inscriptions en libre-service.
- L'existence d'une stratégie d'accès conditionnel exigeant la MFA pour les invités.