Accès invité Entra ID pour les agences : moindre privilège, avec une date de fin

Ouvrez la liste des invités de votre locataire Microsoft 365. Pas la liste des utilisateurs, celle des invités. Pour beaucoup d’entreprises montréalaises, elle ressemble à des archives : une agence web de 2021, l’adjointe d’un comptable qui a quitté son cabinet, trois personnes avec des courriels personnels et quelqu’un dont personne ne reconnaît le nom. Chacun peut encore ouvrir une session.

L’accès invité Entra ID pour les agences, c’est la discipline qui permet à des firmes externes de travailler dans votre SharePoint, Teams ou vos applications sans transformer votre locataire en maison de chambres. La méthode est simple et efficace : inviter dans des groupes plutôt qu’individuellement, cibler étroitement les groupes, donner à chaque invité un responsable et une date de fin, et réviser selon un calendrier.

Invité, membre ou autre chose

Microsoft Entra ID (anciennement Azure AD) offre plus d’une façon de laisser entrer une personne externe. Le choix compte :

• Invité (collaboration B2B). La personne se connecte avec l’identité de sa propre organisation, ou un code à usage unique, et apparaît dans votre annuaire comme externe. Le meilleur défaut pour les agences et les contractuels.
• Compte membre dans votre locataire. Une identité interne complète. À réserver à ceux qui sont, dans les faits, votre personnel.
• Boîte partagée ou identifiant partagé. Ce n’est pas une méthode d’accès pour une agence. Un identifiant partagé n’a pas de responsable, pas d’AMF fiable et pas de retrait propre.

L’erreur récurrente : donner à l’agence un compte membre « parce que c’était plus simple », puis regarder ce compte accumuler des licences, des groupes et des accès à des boîtes que personne ne révise. Traitez cela comme une constatation, pas comme une commodité.

Décider qui a le droit d’inviter

Par défaut, Entra ID peut permettre à beaucoup d’utilisateurs internes d’inviter des invités. Cette commodité devient vite un fouillis. Décidez volontairement :

1. Qui peut inviter des personnes externes (souvent une courte liste d’administrateurs ou de responsables d’équipe, pas tout le monde)
2. Quels domaines sont autorisés ou bloqués pour la collaboration
3. Si les courriels personnels sont acceptables et, le cas échéant, pour quoi faire
4. Ce qu’un invité peut voir dans l’annuaire (les paramètres de collaboration externe peuvent le limiter)

Mettez ces quatre réponses sur une page. C’est la politique qu’un futur audit demandera, et c’est aussi la page qui aide une nouvelle responsable de bureau à dire non à la cinquième demande de « les ajouter vite ».

Inviter dans des groupes, pas dans tout

Un invité devrait atterrir dans un groupe de sécurité ou un groupe Microsoft 365 qui correspond à un projet, pas à tout le locataire. Un modèle que nous utilisons :

• Un groupe par agence et par mandat, nommé pour que le responsable soit évident (par exemple `EXT-Agence-Site-2026`)
• Accès à un canal Teams ou à une bibliothèque SharePoint, pas à la racine du site
• Pas d’accès au carnet d’adresses complet au-delà du besoin du projet
• Pas de licence, sauf si l’invité a vraiment besoin d’une charge de travail qui en exige une
• Un responsable interne nommé qui répond du groupe

Le groupe est ce qu’on révise et ce qu’on supprime. À la fin du contrat, retirer le groupe retire les chemins d’accès d’un seul geste, au lieu de chasser les liens de partage un par un.

Exiger l’AMF, et dire laquelle

Les invités peuvent s’authentifier avec l’identité de leur propre organisation, qui a souvent l’AMF, ou être obligés de satisfaire l’AMF de votre locataire par l’accès conditionnel. C’est une décision à prendre explicitement :

• Accepter leur AMF par les paramètres d’accès inter-locataires, si vous faites confiance aux contrôles de ce locataire
• Exiger votre AMF pour les invités qui touchent des ressources sensibles
• Bloquer certains invités de certaines applications

Au minimum, exigez l’AMF pour les utilisateurs externes par une politique d’accès conditionnel et testez-la avec un vrai compte invité avant d’annoncer le changement. Le raisonnement est celui de notre texte sur l’AMF, les journaux et les sauvegardes qu’on peut restaurer : un seul fournisseur sans second facteur défait le travail fait sur le personnel.

Mettre une expiration sur chaque invité

« Temporaire » n’est pas un statut qu’Entra ID comprend. Une date, oui. En pratique :

• Aligner la date de fin d’accès sur l’énoncé de travaux, plus un court délai pour la passation
• Utiliser les revues d’accès d’Entra ID Governance (si votre licence les inclut) pour demander chaque trimestre aux responsables de groupe si chaque invité doit rester
• Si la licence ne couvre pas les revues, tenir un registre simple des invités, responsables et dates de fin, et le réviser par rappel au calendrier
• Traiter « pas de réponse du responsable » comme « retirer », pas comme « garder »

Certaines fonctions, comme les revues d’accès automatisées, dépendent du forfait Entra ID que vous détenez. Nous vérifions ce que vos licences couvrent avant de promettre de l’automatisation, et nous revenons à un processus manuel léger quand elles ne le couvrent pas.

Un départ qui retire vraiment l’accès

Supprimer l’objet invité est la dernière étape, pas la seule. La liste :

1. Retirer l’invité de tous les groupes et équipes Teams
2. Révoquer les sessions actives et les jetons d’actualisation
3. Revoir et retirer les liens de partage externes qu’il a créés ou reçus
4. Vérifier les règles de transfert de courriel ou les inscriptions d’applications qu’il possédait
5. Transférer la propriété des fichiers, canaux ou flux à une personne interne
6. Supprimer le compte invité et noter la date dans le registre
7. Confirmer le retrait en tentant d’accéder à une ressource comme cette personne, quand c’est possible

Si l’agence détenait aussi des identifiants hors d’Entra ID (l’administration du site, le CRM, le fournisseur DNS), il faut les retirer dans la même séance. Sinon, le locataire a l’air propre pendant que le vrai accès se trouve ailleurs.

Ce que révèle une revue

La première revue trimestrielle trouve d’ordinaire les mêmes choses : des invités sans responsable, des invités dont l’entreprise ne travaille plus avec vous, des groupes devenus plus larges que leur objet et des liens partagés ouverts à « toute personne disposant du lien ». Rien d’exotique. C’est le résultat normal de trois ans de « ajoutez-les vite ».

Les corriger prend deux heures quand le registre existe, et deux semaines d’archéologie quand il n’existe pas.

Où cela s’inscrit dans l’espace de travail

L’accès invité est une pièce de la bonne tenue d’un locataire 365 : des licences qui correspondent aux gens, une identité avec AMF, un courriel et des fichiers dont les responsables sont clairs, et des appareils qu’on peut effacer. Notre aperçu de l’espace de travail Microsoft 365 et Azure montre l’ensemble. Si vous préférez ne pas l’exploiter vous-même, la TI clé en main à Montréal est la façon dont nous le faisons au quotidien.

Ce qu’il nous faut pour commencer

• Un accès en lecture à la liste des invités et aux politiques d’accès conditionnel du locataire
• La liste des agences et contractuels qui devraient encore avoir accès
• Un responsable interne nommé pour chacun
• Les dates de fin de contrat, ou un honnête « on n’est pas certains »

Nous sommes à Montréal et répondons les jours ouvrables, de 9 h à 17 h HE. Envoyez votre liste d’invités à hello@aervio.io ou appelez au +1 438-498-3913, et nous vous renverrons ceux qui semblent sans responsable, expirés ou trop larges. Nos services Microsoft 365 et Azure couvrent la mise en place et la revue trimestrielle.

Questions

Une agence doit-elle avoir un compte invité ou un compte membre?

Un compte invité dans presque tous les cas. Les invités peuvent être limités à des groupes, équipes ou sites précis, ils portent une marque externe claire et on peut les retirer sans toucher à l’annuaire interne. Un compte membre pour une firme externe accumule des permissions et ne part jamais.

Les invités doivent-ils utiliser l’AMF?

Oui. Exigez l’authentification multifacteur par l’accès conditionnel pour les utilisateurs invités et externes, et décidez si vous acceptez l’AMF de leur propre locataire ou exigez la vôtre. Dans les deux cas, par écrit, pas par supposition.

Combien de temps l’accès invité doit-il durer?

Le temps du contrat, et rien de plus. Fixez une expiration alignée sur l’énoncé de travaux, nommez un responsable interne et faites une revue d’accès chaque trimestre. Le renouvellement est un oui délibéré, pas un défaut.