Créer un environnement de partage invité plus sécurisé

Dans cet article, nous allons parcourir différentes options pour créer un environnement de partage d’invités plus sécurisé dans Microsoft 365. Voici des exemples pour vous donner une idée des options disponibles. Vous pouvez utiliser ces procédures dans différentes combinaisons pour répondre aux besoins de sécurité et de conformité de votre organisation.

Cet article contient les rubriques suivantes :

• Configuration de l’authentification multifacteur pour les invités.
• Configuration des conditions d’utilisation pour les invités.
• Configuration des révisions trimestrielles d’accès invité pour vérifier régulièrement si les invités ont toujours besoin d’autorisations pour les équipes et les sites.
• Limitation de l’accès des invités au Web uniquement pour les appareils non gérés.
• Configuration d’une stratégie de délai d’expiration de session pour assurer l’authentification quotidienne des invités.
• Création d’un type d’informations sensibles pour un projet hautement sensible.
• Attribution automatique d’une étiquette de confidentialité aux documents contenant un type d’informations sensibles.
• Suppression automatique de l’accès invité aux fichiers avec une étiquette de confidentialité.

Certaines des options décrites dans cet article nécessitent que les invités disposent d’un compte dans Microsoft Entra ID. Pour vous assurer que les invités sont inclus dans le répertoire lorsque vous partagez des fichiers et des dossiers avec eux, utilisez l’intégration de SharePoint et OneDrive à Microsoft Entra B2B Preview.

Notez que nous ne parlons pas de l’activation des paramètres de partage d’invités dans cet article. Consultez la rubrique Collaborer avec des personnes extérieures à votre organisation pour plus d’informations sur l'activation du partage des invités pour différents scénarios.

Configurer l’authentification multifacteur pour les invités

L’authentification multifacteur réduit considérablement les risques de compromission d’un compte. Étant donné que les invités peuvent utiliser des comptes de messagerie personnels qui n’adhèrent à aucune stratégie de gouvernance ou bonnes pratiques, il est particulièrement important d’exiger l’authentification multifacteur pour les invités. En cas de vol du nom d'utilisateur et du mot de passe d’un invité, la nécessité d’un second facteur d'authentification réduit considérablement les chances de voir des inconnus accéder à vos sites et fichiers.

Dans cet exemple, nous avons configuré l’authentification multifacteur pour les invités à l’aide d’une stratégie d’accès conditionnel dans Microsoft Entra ID.

Pour configurer l’authentification multifacteur pour les invités

1. Ouvrez le centre d’administration Microsoft Entra.
2. Développez Protection, puis sélectionnez Accès conditionnel.
3. Sur l’accès conditionnel | Page Vue d’ensemble , sélectionnez Créer une stratégie.
4. Dans le champ Nom , tapez un nom.
5. Sélectionnez le lien Utilisateurs .
6. Choisissez Sélectionner des utilisateurs et des groupes, puis sélectionnez la zone Invités ou utilisateurs externes case activée.
7. Dans la liste déroulante, sélectionnez Utilisateurs invités B2B Collaboration et Utilisateurs membres B2B Collaboration.
8. Sélectionnez le lien Ressources cibles .
9. Sélectionnez Toutes les applications cloud sous l’onglet Inclure .
10. Sélectionnez le lien Accorder .
11. Dans le panneau Accorder, sélectionnez la zone Exiger l’authentification multifacteur case activée, puis cliquez sur Sélectionner.
12. Sous Activer la stratégie, sélectionnez Activé, puis sélectionnez Créer.

Désormais, les invités doivent s’inscrire à l’authentification multifacteur avant de pouvoir accéder au contenu partagé, aux sites ou aux équipes.

Informations supplémentaires

Planifier un déploiement d’authentification multifacteur Microsoft Entra

Configurer les conditions d’utilisation pour les invités

Dans certains cas, les invités peuvent ne pas avoir signé d’accords de non-divulgation ou d’autres accords juridiques avec votre organization. Vous pouvez demander aux invités d’accepter les conditions d’utilisation avant d’accéder aux fichiers partagés avec eux. Les conditions d’utilisation peuvent s’afficher lors de la première tentative d’accès à un fichier ou à un site partagé.

Pour créer des conditions d’utilisation, vous devez commencer par créer le document dans Word ou dans un autre logiciel de création, puis l’enregistrer sous forme de fichier .pdf. Ce fichier peut ensuite être chargé dans Microsoft Entra’ID.

Pour créer une Microsoft Entra conditions d’utilisation

1. Ouvrez le centre d’administration Microsoft Entra.

2. Développez Protection, puis sélectionnez Accès conditionnel.

3. Sélectionnez Conditions d’utilisation.

4. Sélectionnez Nouveaux termes.

   

5. Tapez un Nom.

6. Pour le document Conditions d'utilisation, accédez au fichier PDF que vous avez créé et sélectionnez-le.

7. Sélectionnez la langue de votre document Conditions d’utilisation.

8. Tapez un nom d’affichage.

9. Validez l'option Demander aux utilisateurs d'étendre les conditions d'utilisation en la définissant sur ACTIVÉ.

10. Sous Accès conditionnel, dans la liste Appliquer le modèle de stratégie sur l'accès conditionnel, choisissez Créer une stratégie d'accès conditionnel ultérieurement.

11. Sélectionnez Créer.

Une fois que vous avez créé les conditions d’utilisation, l’étape suivante consiste à créer une stratégie d’accès conditionnel qui affiche les conditions d’utilisation sur les systèmes des utilisateurs invités.

Pour créer une stratégie d’accès conditionnel, procédez comme suit :

1. Dans le centre d’administration Microsoft Entra, sous Protection, sélectionnez Accès conditionnel.
2. Sur l’accès conditionnel | Page Vue d’ensemble , sélectionnez Créer une stratégie.
3. Dans le champ Nom, tapez un nom.
4. Sélectionnez le lien Utilisateurs .
5. Sélectionnez Sélectionner des utilisateurs et des groupes, puis sélectionnez la zone Invités ou utilisateurs externes case activée.
6. Dans la liste déroulante, sélectionnez Utilisateurs invités B2B Collaboration et Utilisateurs membres B2B Collaboration.
7. Sélectionnez le lien Ressources cibles .
8. Sous l’onglet Inclure , sélectionnez Sélectionner des applications, puis cliquez sur le lien Sélectionner .
9. Dans le panneau Sélectionner, sélectionnez Office 365, puis cliquez sur Sélectionner.
10. Sélectionnez le lien Accorder .
11. Dans le panneau Accorder, sélectionnez la zone case activée des conditions d’utilisation que vous avez créées, puis cliquez sur Sélectionner.
12. Sous Activer la stratégie, sélectionnez Activé, puis sélectionnez Créer.

Maintenant, la première fois qu’un invité tente d’accéder au contenu ou à une équipe ou à un site dans votre organization, il doit accepter les conditions d’utilisation.

Informations supplémentaires

Microsoft Entra conditions d’utilisation

Vue d’ensemble de la signature électronique Microsoft SharePoint

Configurer les révisions d’accès invité

Avec les révisions d’accès dans Microsoft Entra ID, vous pouvez automatiser une révision périodique de l’accès utilisateur à différentes équipes et groupes. En exigeant une révision d’accès pour les invités en particulier, vous pouvez vous assurer que les invités ne conservent pas l’accès aux informations sensibles de votre organization plus longtemps que nécessaire.

Configurer une révision d’accès des invités

1. Ouvrez le centre d’administration Microsoft Entra.

2. Développez Gouvernance des identités, puis sélectionnez Révisions d’accès.

3. Sélectionnez Nouvelle révision d’accès.

4. Sélectionnez l’option Équipes + groupes.

5. Sélectionnez l'option Tous les groupes Microsoft 365 avec des utilisateurs invités. Cliquez sur Sélectionner les groupes à exclure si vous voulez exclure des groupes.

6. Choisissez l’option Utilisateurs invités uniquement , puis sélectionnez Suivant : Avis.

7. Sous Sélectionner les réviseurs, sélectionnez Propriétaires du groupe.

8. Cliquez sur Sélectionner les réviseurs de secours, choisissez les réviseurs, puis cliquez sur Sélectionner.

9. Choisissez une durée (en jours) pour que la révision soit ouverte pour les commentaires.

10. Sous Spécifier la périodicité de l'évaluation, choisissez Trimestriel.

11. Sélectionnez une date de début et une durée.

12. Pour Fin, choisissez Jamais, puis sélectionnez Suivant : Paramètres.

    

13. Sous l’onglet Paramètres, examinez les paramètres de conformité aux règles de votre entreprise.

    

14. Sélectionnez Suivant : Vérifier + créer.

15. Tapez un nom de révision, puis examinez les paramètres.

16. Sélectionnez Créer.

Informations supplémentaires

Gérer l’accès invité avec les révisions d’accès

Créer une révision d’accès des groupes et des applications dans Microsoft Entra ID

Configurer l’accès web uniquement pour les invités avec des appareils non gérés

Si vos invités utilisent des appareils qui ne sont pas gérés par votre organization ou un autre organization avec lequel vous avez une relation d’approbation, vous pouvez leur demander d’accéder à vos équipes, sites et fichiers à l’aide d’un navigateur web uniquement. Cela réduit le risque qu'ils téléchargent des fichiers sensibles et les laissent sur un appareil non géré. Cela est également utile en cas de partage avec des environnements qui utilisent des appareils partagés.

Pour Groupes Microsoft 365 et Teams, cela s’effectue avec une stratégie d’accès conditionnel Microsoft Entra. Pour SharePoint, celui-ci est configuré dans le centre d’administration SharePoint. (Vous pouvez également utiliser des étiquettes de confidentialité pour restreindre l’accès web uniquement aux invités.)

Pour restreindre l'accès des invités au web uniquement pour les groupes et Microsoft Teams :

1. Ouvrez le centre d’administration Microsoft Entra.

2. Développez Protection, puis sélectionnez Accès conditionnel.

3. Sur l’accès conditionnel | Page Vue d’ensemble , sélectionnez Créer une stratégie.

4. Dans le champ Nom, tapez un nom.

5. Sélectionnez le lien Utilisateurs .

6. Sélectionnez Sélectionner des utilisateurs et des groupes, puis sélectionnez la zone Invités ou utilisateurs externes case activée.

7. Dans la liste déroulante, sélectionnez Utilisateurs invités B2B Collaboration et Utilisateurs membres B2B Collaboration.

8. Sélectionnez le lien Ressources cibles .

9. Sous l’onglet Inclure , sélectionnez Sélectionner des applications, puis cliquez sur le lien Sélectionner .

10. Dans le panneau Sélectionner, sélectionnez Office 365, puis cliquez sur Sélectionner.

11. Sélectionnez le lien Conditions .

12. Dans le panneau Conditions , sélectionnez le lien Applications clientes .

13. Dans le panneau Applications clientes, sélectionnez Oui pour Configurer, puis sélectionnez les paramètres Applications mobiles et clients de bureau, Exchange ActiveSync clients et Autres clients. Désactivez la case à cocher Navigateur.

    

14. Sélectionnez Terminé.

15. Sélectionnez le lien Accorder .

16. Dans le panneau Accorder, sélectionnez Exiger que l’appareil soit marqué comme conforme et Exiger Microsoft Entra appareil joint hybride.

17. Sous Pour plusieurs contrôles, sélectionnez Exige l’un des contrôles sélectionnés, puis cliquez sur Sélectionner.

18. Sous Activer la stratégie, sélectionnez Activé, puis sélectionnez Créer.

Informations supplémentaires

Contrôles d’accès aux appareils non gérés SharePoint et OneDrive

Configurer une stratégie de délai d’expiration de session pour les invités

Exiger des invités qu’ils s’authentifient régulièrement peut réduire le risque que des utilisateurs inconnus accèdent au contenu de votre organisation si l'appareil d'un invité n'est pas sécurisé. Vous pouvez configurer une stratégie d’accès conditionnel de délai d’expiration de session pour les invités dans Microsoft Entra ID.

Pour configurer une stratégie de délai d’expiration de session d’invité, procédez comme suit :

1. Ouvrez le centre d’administration Microsoft Entra.
2. Développez Protection, puis sélectionnez Accès conditionnel.
3. Sur l’accès conditionnel | Page Vue d’ensemble , sélectionnez Créer une stratégie.
4. Dans le champ Nom , tapez un nom.
5. Sélectionnez le lien Utilisateurs .
6. Sélectionnez Sélectionner des utilisateurs et des groupes, puis sélectionnez la zone Invités ou utilisateurs externes case activée.
7. Dans la liste déroulante, sélectionnez Utilisateurs invités B2B Collaboration et Utilisateurs membres B2B Collaboration.
8. Sélectionnez le lien Ressources cibles .
9. Sous l’onglet Inclure , sélectionnez Sélectionner des applications, puis cliquez sur le lien Sélectionner .
10. Dans le panneau Sélectionner, sélectionnez Office 365, puis cliquez sur Sélectionner.
11. Sélectionnez le lien Session .
12. Dans le panneau Session, sélectionnez Fréquence de connexion.
13. Choisissez 1 et Jours pour la période, puis cliquez sur Sélectionner.
14. Sous Activer la stratégie, sélectionnez Activé, puis sélectionnez Créer.

Créer un type d’informations sensibles pour un projet hautement sensible

Les types d’informations sensibles sont des chaînes prédéfinies qui peuvent être utilisées dans les flux de travail de stratégie afin d’appliquer les exigences de conformité. Le portail de conformité Microsoft Purview inclut plus d’une centaine de types d’informations sensibles, notamment les numéros de permis de conduire, les numéros de carte de crédit, les numéros de compte bancaire, etc.

Vous pouvez créer des types d'informations sensibles personnalisés pour vous aider à gérer le contenu propre à votre organisation. Dans cet exemple, nous créons un type d’informations sensibles personnalisé pour un projet hautement sensible. Vous pouvez ensuite utiliser ce type d’informations sensibles pour appliquer automatiquement une étiquette de confidentialité.

Pour créer un type d’informations sensibles personnalisé, procédez comme suit :

1. Dans le portail de conformité Microsoft Purview, dans le volet de navigation de gauche, développez Classification des données, puis sélectionnez Classifieurs.
2. sélectionnez l’onglet Types d’informations sensibles .
3. Sélectionnez Créer un type d’informations sensibles.
4. Pour Nom et Description, tapez Projet Saturne, puis sélectionnez Suivant.
5. Sélectionnez Créer un modèle.
6. Dans le panneau Nouveau modèle , sélectionnez Ajouter un élément principal, puis sélectionnez Liste de mots clés.
7. Tapez un ID tel que Project Saturn.
8. Dans la zone non sensible à la casse, tapez Projet Saturne, Saturne, puis sélectionnez Terminé.
9. Sélectionnez Créer, puis Suivant.
10. Choisissez un niveau de confiance, puis sélectionnez Suivant.
11. Sélectionnez Créer.
12. Sélectionnez Terminé.

Pour plus d’informations, consultez En savoir plus sur les types d’informations sensibles.

Créer une stratégie d’attribution automatique d’étiquette pour affecter une étiquette de confidentialité sur la base d’un type d’informations sensibles

Si vous utilisez des étiquettes de confidentialité dans votre organization, vous pouvez appliquer automatiquement une étiquette aux fichiers qui contiennent des types d’informations sensibles définis.

Pour créer une stratégie d’étiquetage automatique :

1. Ouvrez le Centre d’administration Microsoft Purview.
2. Dans le volet de navigation de gauche, développez Protection des informations, puis sélectionnez Étiquetage automatique.
3. Sélectionnez Créer une stratégie d’étiquetage automatique.
4. Dans la page Choisir les informations à appliquer à cette étiquette , choisissez Personnalisé , puis sélectionnez Stratégie personnalisée.
5. Sélectionnez Suivant.
6. Tapez un nom et une description pour la stratégie, puis sélectionnez Suivant.
7. Dans la page Affecter des unités d’administration , sélectionnez Suivant.
8. Dans la page Choisir les emplacements où vous souhaitez appliquer l’étiquette , sélectionnez Sites SharePoint et éventuellement Modifier pour choisir les sites.
9. Sélectionnez Suivant.
10. Dans la page Configurer des règles communes ou avancées , choisissez Règles communes , puis sélectionnez Suivant.
11. Dans la page Définir des règles pour le contenu dans tous les emplacements , sélectionnez Nouvelle règle.
12. Dans la page Nouvelle règle , donnez un nom à la règle, sélectionnez Ajouter une condition, puis sélectionnez Contenu contient.
13. Sélectionnez Ajouter, Types d’informations sensibles, choisissez les types d’informations sensibles que vous souhaitez utiliser, sélectionnez Ajouter, puis Enregistrer.
14. Sélectionnez Suivant.
15. Sélectionnez Choisir une étiquette, sélectionnez l’étiquette que vous souhaitez utiliser, puis sélectionnez Ajouter.
16. Sélectionnez Suivant.
17. Laissez la stratégie en mode simulation et choisissez si vous souhaitez qu’elle s’active automatiquement.
18. Sélectionnez Suivant.
19. Sélectionnez Créer une stratégie, puis Terminé.

Une fois la stratégie en place, lorsqu’un utilisateur tape « Projet Saturne » dans un document, la stratégie d’étiquetage automatique applique automatiquement l’étiquette spécifiée lors de l’analyse du fichier.

Pour plus d’informations sur l’étiquetage automatique, consultez Appliquer automatiquement une étiquette de confidentialité au contenu.

Informations supplémentaires

Configurer une étiquette de confidentialité par défaut pour une bibliothèque de documents SharePoint

Créer une stratégie DLP pour supprimer l’accès invité aux fichiers hautement sensibles

Vous pouvez utiliser la Protection contre la perte de données (DLP) Microsoft Purview pour empêcher le partage indésirable de contenus sensibles par les invités. La protection contre la perte de données peut prendre des mesures basées sur l’étiquette de confidentialité d’un fichier et supprimer l’accès invité.

Création d’une stratégie DLP

1. Ouvrez le Centre d’administration Microsoft Purview.

2. Dans le volet de navigation de gauche, développez Protection contre la perte de données, puis sélectionnez Stratégies.

3. Sélectionnez Créer.

4. Choisissez Personnalisé , puis Stratégie personnalisée.

5. Sélectionnez Suivant.

6. Tapez un nom pour la stratégie, puis sélectionnez Suivant.

7. Dans la page Affecter des unités d’administration , sélectionnez Suivant.

8. Dans la page Emplacements pour appliquer la stratégie, désactivez tous les paramètres à l’exception des sites SharePoint et des comptes OneDrive, puis sélectionnez Suivant.

9. Dans la page Définir les paramètres de stratégie , sélectionnez Suivant.

10. Dans la page Personnaliser les règles DLP avancées , sélectionnez Créer une règle et tapez un nom pour la règle.

11. Sous Conditions, sélectionnez Ajouter une condition, puis choisissez Contenu partagé à partir de Microsoft 365.

12. Dans la liste déroulante, choisissez avec des personnes extérieures à mon organization.

13. Sous Conditions, sélectionnez Ajouter une condition, puis choisissez Contenu contient.

14. Sélectionnez Ajouter, Étiquettes de confidentialité, choisissez les étiquettes que vous souhaitez utiliser, puis sélectionnez Ajouter.

15. Sous Actions , sélectionnez Ajouter une action et choisissez Restreindre l’accès ou chiffrer le contenu dans les emplacements Microsoft 365.

16. Choisissez l’option Bloquer uniquement les personnes extérieures à votre organization.

    

17. Activez les notifications utilisateur, puis sélectionnez la zone Notifier les utilisateurs dans Office 365 service à l’aide d’un conseil de stratégie case activée.

18. Sélectionnez Enregistrer , puis Suivant.

19. Choisissez vos options de test, puis sélectionnez Suivant.

20. Sélectionnez Envoyer, puis Terminé.

Il est important de noter que cette stratégie ne supprime pas l’accès si l’invité est membre du site ou de l’équipe. Si vous envisagez d’avoir des documents hautement sensibles dans un site ou une équipe avec des membres invités, envisagez les options suivantes :

• Utilisez des canaux privés et autorisez uniquement les membres de votre organization dans les canaux privés.
• Utilisez lescanaux partagés pour collaborer avec des personnes extérieures à votre organisation tout en ayant uniquement des personnes de votre organisation dans l’équipe elle-même.

Options supplémentaires

Il existe des options supplémentaires dans Microsoft 365 et l’ID Microsoft Entra qui peuvent vous aider à sécuriser votre environnement de partage d’invités.

• Vous pouvez créer une liste de domaines de partage autorisés ou refusés pour limiter les personnes avec lesquelles les utilisateurs peuvent effectuer des partages. Pour plus d’informations, consultez Restreindre le partage de contenu SharePoint et OneDrive par domaine et Autoriser ou bloquer des invitations à des utilisateurs B2B d’organisations spécifiques.
• Vous pouvez limiter les autres locataires Microsoft Entra auxquels vos utilisateurs peuvent se connecter. Pour plus d’informations, consultez Restreindre l’accès à un locataire .
• Vous pouvez créer un environnement géré dans lequel vos partenaires peuvent vous aider à gérer des comptes d'invités. Pour plus d’informations, voir Créer un extranet B2B avec des invités gérés.

Articles connexes

Limiter l’exposition accidentelle aux fichiers lors du partage avec des invités

Meilleures pratiques relatives au partage de fichiers et de dossiers avec des utilisateurs non authentifiés