SharePoint et OneDrive depuis un appareil non géré : limiter sans bloquer le travail
Un ordinateur personnel, une borne d'hôtel, le PC d'un prestataire : autant d'appareils depuis lesquels un utilisateur peut ouvrir SharePoint ou OneDrive et télécharger des documents sensibles. Microsoft 365 propose plusieurs leviers pour autoriser la consultation tout en empêchant les données de quitter l'environnement maîtrisé.
Le problème : la donnée suit le téléchargement
L'authentification multifacteur protège l'identité, pas l'appareil. Une fois connecté depuis un poste non géré, l'utilisateur peut télécharger, synchroniser ou imprimer des fichiers qui échappent alors à tout contrôle : pas de chiffrement de disque garanti, pas d'antivirus vérifié, pas d'effacement possible en cas de départ.
Les trois niveaux d'accès pour les appareils non gérés
Dans le centre d'administration SharePoint, le contrôle d'accès pour les appareils non gérés propose trois options :
- Autoriser l'accès complet : comportement par défaut, aucune restriction.
- Autoriser un accès limité, web uniquement : consultation dans le navigateur, sans téléchargement, impression ni synchronisation.
- Bloquer l'accès : aucun accès depuis un appareil non conforme ou non joint.
L'accès limité est souvent le meilleur compromis : l'utilisateur peut lire et, selon la configuration, modifier en ligne, mais les fichiers ne quittent pas le service. Ce réglage peut aussi être appliqué site par site, ou via les étiquettes de confidentialité de conteneur, pour ne protéger que les espaces sensibles.
Les restrictions appliquées par l'application et l'accès conditionnel
Sous le capot, l'accès limité repose sur l'accès conditionnel Entra ID (qui nécessite une licence Entra ID P1) et sur le contrôle de session « Utiliser les restrictions appliquées par l'application ». Activer l'option dans SharePoint crée des stratégies d'accès conditionnel ; il est préférable de les relire et de les intégrer à votre propre jeu de stratégies plutôt que de les laisser en l'état. Deux points à surveiller :
- les exclusions (comptes de service, comptes d'urgence) doivent être cohérentes avec le reste de vos stratégies ;
- les applications de bureau et mobiles doivent elles aussi être couvertes, faute de quoi l'utilisateur contourne la restriction web en passant par un client lourd.
Réserver la synchronisation aux postes de l'entreprise
Le client de synchronisation OneDrive peut être limité aux ordinateurs joints à des domaines précis. Ce réglage empêche un PC personnel de répliquer localement des bibliothèques entières.
Set-SPOTenantSyncClientRestriction -Enable -DomainGuids "GUID-de-votre-domaine-AD" Get-SPOTenantSyncClientRestriction
Cette restriction repose sur l'appartenance à un domaine Active Directory ; dans un parc joint uniquement à Entra ID, c'est l'accès conditionnel exigeant un appareil conforme qui prend le relais.
La déconnexion sur inactivité
Sur un poste partagé, une session laissée ouverte reste un risque. La déconnexion de session inactive met fin à la session web après une durée définie, avec un avertissement préalable. Elle s'applique au navigateur et ne concerne pas les applications de bureau.
Bon réflexe. Testez l'expérience d'un utilisateur sur un appareil non géré avant d'activer quoi que ce soit : un message clair expliquant pourquoi le téléchargement est bloqué évite une avalanche de tickets au support.
Par où commencer
- Recenser les sites contenant des données sensibles et leur appliquer d'abord l'accès limité.
- Vérifier que les stratégies d'accès conditionnel couvrent navigateurs, clients de bureau et mobiles.
- Restreindre la synchronisation OneDrive aux postes gérés.
- Activer la déconnexion sur inactivité avec une durée adaptée aux usages.