Entrazure
Ce que nous construisons
Une gouvernance qui tient après la première exception. Un modèle de nomenclature et de cycle de vie pour les sites et les équipes, un provisionnement qui attribue un propriétaire et une date de revue dès la création, des réglages de partage externe choisis délibérément, et un accès invité gouverné par Microsoft Entra ID B2B avec échéance plutôt qu’à perpétuité. Les rôles d’administration passent sous la gestion des accès privilégiés : administrateur général devient quelque chose qu’on demande pour une heure, pas quelque chose que quatre personnes détiennent pour toujours.
Intune et la conformité des appareils. Inscription, politiques de conformité, profils de configuration et anneaux de mise à jour, déployés en mode rapport avant toute application. La conformité ne vaut rien seule : elle est reliée à l’accès conditionnel, et un appareil non conforme cesse d’être une ligne dans un tableau de bord pour devenir un appareil qui n’ouvre pas le site de la paie. Les appareils personnels et ceux des contractuels sont couverts par des politiques de protection des applications, pas par une gestion complète.
Architecture Teams et SharePoint. Une structure qui reflète la façon dont le travail est organisé plutôt que la forme de l’organigramme : quel contenu vit dans une équipe, lequel vit dans une bibliothèque aux permissions définies, ce qu’il advient d’une équipe de projet quand le projet se termine, et où s’applique la rétention. L’archivage et l’élimination se conçoivent en même temps que la création, parce qu’un locataire sans porte de sortie accumule indéfiniment.
Classification et protection. Les étiquettes de confidentialité Microsoft Purview, avec une taxonomie assez courte pour que les gens en choisissent une, l’étiquetage automatique pour les catégories qui se détectent de façon fiable, et la prévention des pertes de données là où le risque justifie la friction. L’étiquette est le mécanisme qui garde un document hors d’une réponse générée : elle se construit ici, pas en improvisation pendant un pilote Copilot.
La migration, quand elle s’applique. Depuis Google Workspace ou un Exchange sur site : courriel, fichiers, groupes et modèle de partage, vers un locataire gouverné avant l’arrivée des données.
L’hygiène des permissions décide de tout le reste
Microsoft 365 Copilot n’accorde aucun accès nouveau. Il répond à partir de ce que la personne peut déjà ouvrir, en une phrase de langage courant, sans avoir besoin de savoir que le document existe. C’est là tout le risque, et ce n’est pas un défaut de Copilot. C’est le résidu de dix ans d’entraide rapide : un dossier partagé avec « tout le monde sauf les externes » pour clore une demande d’accès, un lien anonyme créé pour un fournisseur remplacé depuis, une équipe de projet terminée qui détient toujours ses fichiers et reste ouverte à ses membres d’origine, le OneDrive d’une personne partie, hérité par son gestionnaire et jamais revu.
Notre déploiement de Copilot vérifie et corrige assez de tout cela pour qu’un déploiement se passe bien, et la page déploiement de Copilot sans incident de surpartage explique pourquoi un déploiement sans audit finit en incident. Les deux s’arrêtent au bord du même problème : elles traitent la conséquence. Si les réglages de partage, le chemin de provisionnement et la revue de propriété qui ont produit le désordre restent intacts, le locataire le régénère, et l’audit suivant retrouve les mêmes constats sous d’autres noms deux ans plus tard.
Ce mandat travaille donc en amont. Les réglages de partage sont modifiés au niveau du locataire et des sites. Chaque site et chaque équipe reçoit un propriétaire nommé et une revue d’accès récurrente. Les liens à portée large sont restreints ou supprimés, et le réglage qui les autorisait est corrigé. Les sites sans propriétaire sont traités plutôt qu’hérités. Le contenu sensible est étiqueté là où il se trouve, au lieu d’être poursuivi à travers le locataire. Il en résulte un parc de permissions qui reste défendable sans que personne l’audite à la main, soit l’état que Copilot supposait dès le départ.
Comment le mandat se déroule
Semaine 1, évaluation et décisions. Rapport des permissions et des partages sur SharePoint et OneDrive, inventaire des appareils et écart de conformité, revue des rôles d’administration, et l’atelier qui tranche les choix coûteux à défaire : posture de partage, règles de cycle de vie, taxonomie d’étiquettes, séquence d’application côté appareils. Le livrable est un registre de décisions et un backlog de remédiation priorisé, avec une estimation d’effort par élément.
Semaine 2, base d’identité et d’appareils. Accès conditionnel revu et reconstruit là où il présente des trous, rôles privilégiés placés derrière une approbation à durée limitée, politiques de conformité Intune déployées en mode rapport, politiques de protection des applications pour les appareils non gérés.
Semaine 3, architecture de collaboration et remédiation. Cycle de vie des sites et des équipes déployé, réglages de partage corrigés, haut du backlog exécuté avec les vrais propriétaires d’affaires, étiquettes publiées et étiquetage automatique passé en simulation avant toute application.
Semaine 4, application et transfert. Conformité des appareils appliquée par groupe, revues d’accès placées sur un cycle récurrent, documentation et procédures écrites, séances de travail avec les personnes qui exploiteront le locataire. Ce que nous laissons volontairement de côté est nommé, avec la raison et le moment de le reprendre.
Ce que vous gardez
- L’audit des permissions et des partages, avec le backlog de remédiation, les propriétaires et l’état de chaque élément.
- Un modèle de gouvernance écrit : posture de partage, règles de cycle de vie, politique d’invités, modèle de rôles d’administration.
- Les bases de conformité et de configuration Intune, et les politiques d’accès conditionnel qui s’y rattachent.
- Une taxonomie d’étiquettes de confidentialité publiée, et les politiques d’étiquetage automatique derrière.
- Les procédures de provisionnement, de revue d’accès, de départ d’employé et d’élimination de site, écrites pour votre équipe.
- Le registre de décisions, y compris les exceptions accordées et la date d’expiration de chacune.
Pour qui c’est
Des organisations de 100 à 5 000 postes dont Microsoft 365 est l’environnement de travail principal, en particulier quand le locataire vit depuis des années, a absorbé une fusion, ou s’apprête à être pointé vers un assistant. C’est le bon mandat quand le locataire fonctionne convenablement au quotidien mais que personne ne sait dire ce qui est partagé avec qui, et quand la conformité des appareils existe sous forme de rapport plutôt que de contrôle. Il va de pair avec la cybersécurité et Entra ID du côté de l’identité, et avec l’architecture de conformité dès qu’un auditeur entre dans la pièce.
Pour qui ce n’est pas
Si vous êtes moins d’une cinquantaine d’utilisateurs, avec un seul site SharePoint et aucun contenu réglementé, c’est plus de gouvernance que votre situation n’en demande. Réglez le partage, nommez un propriétaire, et mettez le budget ailleurs.
Si l’attente est un ménage du locataire sans rien changer à la façon dont les gens partagent leurs fichiers, ça ne tiendra pas. Une remédiation sans changement de réglages est une photographie, et le parc dérive de nouveau en moins d’un an.
Et si le besoin réel est un centre d’assistance qui répond aux questions des utilisateurs toute la journée, ce n’est pas ce que nous vendons. Notre travail est l’architecture et le modèle d’exploitation qu’il y a derrière. L’Azure infogéré couvre l’exploitation de la plateforme, pas le soutien aux utilisateurs finaux.
Pages liées
- Déploiement de Microsoft 365 Copilot, l’assistant que ce travail rend sûr à activer.
- Déploiement de Copilot sans incident de surpartage, le même problème vu du côté du déploiement.
- Formation et transfert, la façon dont votre équipe reprend le locataire.
- Cybersécurité et Entra ID, l’accès conditionnel et l’identité privilégiée en détail.
- Tous les services Azure, le catalogue complet des mandats.
Questions fréquentes
Nous avons déjà Microsoft 365. Que reste-t-il à construire ?
En général, tout ce pour quoi personne n’a eu de temps : un cycle de vie des sites et des équipes, des réglages de partage externe qui correspondent à votre appétit pour le risque, une base de conformité des appareils que l’accès conditionnel applique réellement, et un modèle de rôles d’administration qui ne se résume pas à quatre administrateurs généraux permanents. Les licences ont été achetées il y a des années. C’est le modèle d’exploitation derrière qui reste à bâtir.
Est-ce le même travail que l’évaluation de préparation à Copilot ?
Les deux se recoupent sans se confondre. Une évaluation de préparation vérifie le locataire et en corrige assez pour qu’un déploiement se passe bien. Ce mandat-ci change les réglages par défaut, le chemin de provisionnement et le cycle de revue qui ont produit le surpartage, pour que le ménage n’ait pas à être refait avant la prochaine chose que vous allumerez.
Combien de temps prend la remédiation des permissions ?
L’audit prend deux semaines. La remédiation dépend entièrement de l’histoire que porte le locataire, et nous ne la chiffrons pas avant d’avoir compté les sites, les liens à portée large et les équipes sans propriétaire. Ce que nous garantissons au départ, c’est une liste priorisée avec une estimation d’effort par élément, pour que la discussion budgétaire porte sur des chiffres réels.
Faut-il passer tous les appareils sous Intune ?
Ni le premier jour, ni tous. La conformité des appareils ne sert à rien tant que l’accès conditionnel n’en dépend pas : nous la séquençons donc. Inscription et politiques de conformité d’abord en mode rapport, puis application par groupe d’utilisateurs. Les appareils personnels passent par des politiques de protection des applications plutôt que par une gestion complète, parce qu’exiger d’inscrire le portable d’un contractuel est une bonne façon d’enliser le déploiement.
Pouvez-vous nous migrer depuis Google Workspace ?
Oui, et depuis un Exchange sur site. Courriel, fichiers, groupes et modèle de partage, vers un locataire gouverné avant que les données y arrivent. Migrer un parc documentaire désordonné dans un locataire non gouverné, c’est reproduire le même problème dans un endroit plus cher.
Qui exploite tout ça après votre départ ?
Votre équipe, et c’est l’objectif. La configuration est documentée, les tâches récurrentes ont leurs procédures, et nous tenons des séances de travail avec les personnes qui en héritent. Si vous préférez que ça reste chez nous, c’est une entente d’infogérance distincte, chiffrée séparément.
Une question sur ce mandat ?
Trois champs. Un architecte le lit et répond en un jour ouvrable.