Article · Microsoft 365
Bonnes pratiques d’administration Microsoft 365 pour les organisations en croissance
Une bonne administration de Microsoft 365 passe presque inaperçue : les nouveaux employés sont productifs dès le premier jour, ceux qui partent perdent leurs accès le dernier jour, les licences correspondent à l’effectif et personne ne se demande à qui appartient une équipe Teams. Voici les routines qui rendent cela possible.
- Publié le
- Lecture de 7 min
Sur cette page
À retenir
- Normalisez les processus d’arrivée, de mutation et de départ au moyen de listes de contrôle, pour que chaque compte soit créé et supprimé de la même façon.
- Administrez avec des comptes d’administration distincts fondés sur le moindre privilège, et déléguez les tâches courantes au moyen de rôles restreints.
- Révisez les licences chaque mois pour repérer les licences inutilisées et les forfaits mal assortis.
- Encadrez Teams, les groupes et les sites SharePoint par des règles de nomenclature, de propriété et de cycle de vie avant que la prolifération ne s’installe.
- Suivez le Centre de messages et l’état d’intégrité des services, consignez les changements et tenez à jour la documentation du locataire.
- Utilisez Microsoft Graph PowerShell pour les tâches répétitives ; les anciens modules ont été retirés ou sont désuets.
Intégration : rendre les nouveaux employés productifs dès le premier jour
C’est à l’intégration que les incohérences commencent. Un processus normalisé élimine les approximations et simplifie les départs plus tard.
Exiger une demande complète
Exigez une demande du gestionnaire précisant la date d’entrée en fonction, le poste, le service, le supérieur, le lieu de travail, les applications requises et les ressources partagées. Servez-vous-en comme registre des accès approuvés.
Créer l’identité de façon uniforme
Suivez une convention de nomenclature pour les noms d’utilisateur principaux et les noms d’affichage, remplissez les attributs de service, de titre, de supérieur et de bureau, et attribuez les licences par groupe lorsque c’est possible.
Accorder les accès par des groupes
Ajoutez l’utilisateur à des groupes de sécurité et à des groupes Microsoft 365 fondés sur les rôles plutôt que d’accorder des autorisations sur des fichiers, des boîtes aux lettres ou des sites individuels.
Préparer l’authentification
Remettez un passe d’accès temporaire (Temporary Access Pass) ou organisez une première connexion supervisée pour que l’utilisateur inscrive son authentification multifacteur de façon sécuritaire, et ayez son appareil géré prêt.
Confirmer et documenter
Vérifiez dès le premier jour la connexion, la boîte aux lettres, Teams, les applications requises et l’accès aux lecteurs partagés, puis fermez la demande en indiquant ce qui a été accordé.
Liste de contrôle pour les départs
Le processus de départ est une mesure de sécurité. Convenez du moment avec le gestionnaire ou les RH, surtout lors des départs involontaires, et suivez chaque étape.
- Bloquez la connexion et révoquez toutes les sessions actives au moment convenu, puis réinitialisez le mot de passe.
- Supprimez les méthodes d’authentification multifacteur inscrites ainsi que les mots de passe d’application et les appareils associés à l’utilisateur.
- Retirez l’utilisateur des groupes, des équipes Teams, des listes de distribution et des rôles d’administration, et transférez la propriété des groupes ou des équipes dont il était propriétaire.
- Convertissez la boîte aux lettres en boîte aux lettres partagée ou configurez le transfert ou l’accès délégué pour le gestionnaire, selon ce qui a été convenu, et activez une réponse automatique s’il y a lieu.
- Transférez le contenu OneDrive ou donnez-y accès au gestionnaire avant l’expiration de la période de conservation des utilisateurs supprimés.
- Effacez ou retirez les appareils de l’entreprise au moyen d’Intune et effacez de façon sélective les données de l’entreprise sur les cellulaires personnels.
- Retirez les licences une fois les données traitées, et consignez la date et les étapes effectuées.
- Passez en revue les identifiants partagés, les comptes d’applications tierces et les services externes auxquels la personne avait accès en dehors de Microsoft 365.
Administrer selon le principe du moindre privilège
Chaque administrateur devrait utiliser un compte d’administration distinct, et non le compte de sa boîte aux lettres quotidienne. Des comptes d’administration uniquement infonuagiques et sans boîte aux lettres réduisent le risque qu’un courriel d’hameçonnage ou un annuaire local compromis donne à un attaquant le contrôle du locataire.
Microsoft 365 offre de nombreux rôles intégrés. Un technicien du centre d’assistance qui réinitialise des mots de passe a besoin du rôle d’administrateur du support technique ou d’administrateur d’authentification, et non de celui d’administrateur général. Une personne qui gère les boîtes aux lettres a besoin du rôle d’administrateur Exchange. Le personnel de facturation peut recevoir le rôle d’administrateur de facturation. Réservez le rôle d’administrateur général à un très petit nombre de personnes et aux tâches qui l’exigent vraiment. Révisez les attributions de rôles chaque trimestre et retirez celles qui ne sont plus nécessaires.
Si vous faites affaire avec un fournisseur TI, utilisez des privilèges d’administration délégués granulaires (GDAP), avec des relations limitées dans le temps et propres à chaque rôle, plutôt qu’un accès permanent étendu, et révisez ces relations chaque fois que vos ententes avec le fournisseur changent.
Garder les licences en phase avec la réalité
La dérive des licences est fréquente. D’anciens employés conservent des licences payées, des employés reçoivent des forfaits dont ils n’utilisent jamais les fonctions, ou certains utilisateurs ont Business Standard et d’autres Business Premium sans raison documentée, ce qui fait que les stratégies de sécurité s’appliquent de façon inégale.
Comparez chaque mois les attributions de licences à votre liste du personnel. Utilisez l’attribution de licences par groupe pour que les licences suivent l’appartenance aux rôles. Distinguez les utilisateurs qui ont besoin des applications de bureau complètes de ceux à qui l’accès Web et mobile suffit. Vérifiez les dates de renouvellement et les conditions d’engagement avant d’apporter des changements, car un engagement annuel peut limiter le moment où vous pouvez réduire le nombre de licences. Les boîtes aux lettres partagées et les boîtes aux lettres de ressources n’ont généralement pas besoin de licence, dans les limites de taille et de fonctionnalités fixées par Microsoft : évitez donc de leur en attribuer par défaut.
Gouvernance de Teams, des groupes et de SharePoint
Sans quelques règles, les espaces de collaboration se multiplient rapidement et personne ne sait lequel est à jour ni à qui il appartient.
Décider qui peut créer des équipes Teams
Permettez-le à tout le monde avec des consignes claires, ou limitez la création à un groupe et prévoyez un processus de demande simple. Les deux approches fonctionnent ; les décisions au cas par cas, non.
Nomenclature et propriété
Adoptez une stratégie ou une convention de nomenclature, par exemple un préfixe par service ou par client, et exigez au moins deux propriétaires pour chaque équipe ou groupe, afin qu’un seul départ ne le laisse pas orphelin.
Cycle de vie et expiration
Utilisez des stratégies d’expiration des groupes ou des révisions périodiques pour que les propriétaires confirment qu’une équipe est toujours nécessaire, et archivez les espaces des projets terminés.
Accès externe
Déterminez quelles équipes peuvent inclure des invités, comment l’accès invité est révisé et si les sites sensibles doivent bloquer entièrement le partage externe.
Suivre les changements, les mises à jour du service et la documentation
Microsoft modifie Microsoft 365 en continu. Le Centre de messages du centre d’administration annonce les changements de fonctionnalités et les retraits à venir, et la page État d’intégrité des services présente les incidents et avis en cours. Chargez quelqu’un de consulter les deux chaque semaine, de déterminer quels changements touchent vos utilisateurs et de les prévenir à l’avance lorsqu’un changement visible s’en vient.
Tenez un registre simple des changements apportés aux paramètres du locataire : ce qui a changé, quand, qui l’a approuvé et pourquoi. Quand une stratégie cause un problème inattendu des mois plus tard, ce registre épargne des heures d’enquête. Combiné au journal d’audit unifié, il facilite aussi grandement les revues de sécurité.
Tenez à jour une documentation du locataire qui couvre les domaines et les enregistrements DNS, les licences, les stratégies d’accès conditionnel, les titulaires de rôles d’administration, les comptes d’accès d’urgence et l’endroit où sont conservés leurs identifiants, les stratégies de conservation, les applications tierces ayant accès au locataire et les coordonnées des fournisseurs. Cette documentation doit appartenir à l’organisation, et non à une personne ou à un fournisseur.
Automatiser les tâches répétitives
Les tâches manuelles répétées mènent aux incohérences. Microsoft Graph PowerShell est le module actuellement pris en charge pour automatiser par script l’administration des utilisateurs, des groupes et des licences ; il remplace les anciens modules MSOnline et AzureAD, que Microsoft a retirés ou rendus désuets. Exchange Online PowerShell demeure l’outil pour les paramètres des boîtes aux lettres et du flux de courriels.
Commencez modestement : un script qui signale les utilisateurs sans inscription à l’authentification multifacteur, les boîtes aux lettres sans licence, les invités qui ne se sont pas connectés depuis des mois ou les groupes sans propriétaire. Exécutez ces rapports selon un calendrier et examinez-les. À mesure que votre confiance grandit, automatisez une partie des processus d’arrivée et de départ, en conservant une étape d’approbation humaine pour tout ce qui accorde ou retire des accès.
Une routine d’administration mensuelle simple
Rapprochez les licences de la liste du personnel, révisez les attributions de rôles d’administration et les comptes invités, consultez Secure Score et les éléments du Centre de messages, confirmez les rapports de sauvegarde, examinez les risques de connexion et les alertes d’audit, et mettez à jour la documentation pour tout ce qui a changé.
Questions fréquentes
Devrions-nous convertir la boîte aux lettres d’un employé parti en boîte aux lettres partagée ?
Souvent, oui. La conversion permet à un gestionnaire de consulter la correspondance passée sans payer de licence, à condition que la boîte aux lettres respecte les limites fixées par Microsoft pour les boîtes aux lettres partagées sans licence. Retirez l’accès dès qu’il n’est plus nécessaire.
Combien d’administrateurs généraux devrions-nous avoir ?
Le moins possible, généralement deux ou trois, y compris un compte d’accès d’urgence, toutes les autres personnes utilisant des rôles plus restreints. Microsoft recommande d’en garder un petit nombre.
Qui devrait être responsable de l’administration de Microsoft 365 dans une petite entreprise ?
Une personne imputable, qu’il s’agisse d’une ressource TI interne, d’un responsable des opérations appuyé par un fournisseur ou d’un fournisseur de services TI gérés encadré par une portée écrite. Ce qui compte, c’est une responsabilité claire et des processus documentés.
À quelle fréquence devrions-nous réviser les comptes invités ?
Au moins chaque trimestre. Retirez les invités qui n’ont plus besoin d’accès et ceux qui ne se sont pas connectés depuis longtemps, et confirmez que les propriétaires des équipes souhaitent toujours garder leurs membres externes.
Services connexes
Produits et forfaits
Pour aller plus loin
Confiez l’administration de Microsoft 365 en toute confiance
Notre service d’administration Microsoft 365 couvre le cycle de vie des utilisateurs, les licences, les boîtes aux lettres, Teams et les paramètres de partage selon une portée écrite, avec une documentation qui demeure la vôtre.