Comment configurer l'expiration des rôles dans Purview

Introduction

Dans la plupart des tenants, les permissions Microsoft Purview s’accumulent. Un auditeur externe reçoit un accès eDiscovery pour trois semaines, un consultant obtient le rôle Compliance Administrator le temps d’un projet, et personne ne retire l’attribution ensuite. Purview permet désormais d’associer une date d’expiration à une attribution de groupe de rôles : à l’échéance, l’attribution est retirée automatiquement et l’accès est révoqué sans intervention.

Prérequis

Licences nécessaires

• Microsoft 365 (toutes les éditions).

Rôle d’administrateur

• Un compte avec le rôle Administrateur Global ou Gestion des rôles pour accéder au Microsoft Purview Portal.

Étape 1 : Se connecter au Microsoft Purview Portal

Connectez-vous au Microsoft Purview Portal en ouvrant votre navigateur web sur https://purview.microsoft.com.

Étape 2 : Accéder aux groupes de rôles

Dans le menu de gauche, cliquez sur Settings, puis sur Roles and scopes, et sur Role groups.

Sélectionnez le groupe de rôles à modifier, puis cliquez sur Edit.

Étape 3 : Assigner le groupe

Cliquez sur Add member, et sur Choose groups (ou Choose users) pour ajouter les groupes (ou comptes) concernés.

Étape 4 : Définir une date d’expiration

Sélectionnez le ou les groupes ajoutés, et cliquez sur Edit expiration pour définir l’échéance. La durée retenue peut aller d’un minimum d’un jour à un maximum de deux ans à compter de la date courante.

Étape 5 : Modifier, prolonger ou retirer une expiration

Une expiration n’est pas figée. Depuis le même écran Edit expiration, trois actions sont possibles :

• Mettre à jour l’échéance : Avancer ou reporter la date d’une attribution existante.
• Prolonger l’attribution : Repousser l’échéance avant qu’elle ne soit atteinte.
• Retirer l’expiration : Rendre l’attribution permanente.

La page My Permissions permet à l’utilisateur de consulter la date d’expiration la plus tardive parmi ses attributions actives.

Ce qu’il faut vérifier avant de généraliser

Plusieurs comportements méritent d’être connus avant d’appliquer le principe à l’ensemble des groupes de rôles :

• Deux exceptions : Tous les groupes de rôles intégrés et personnalisés acceptent une expiration, sauf eDiscovery Administrator et eDiscovery Manager.
• Aucune notification : Ni l’utilisateur ni l’administrateur ne reçoivent d’alerte avant l’échéance. La perte d’accès est silencieuse.
• Attributions indépendantes : Si un utilisateur obtient le même groupe de rôles par une attribution individuelle et par un groupe de sécurité, chaque attribution conserve sa propre échéance. L’accès reste actif tant qu’une seule des deux est valide.
• Héritage par groupe de sécurité : Lorsqu’un groupe de rôles est attribué à un groupe de sécurité, tout nouveau membre hérite de l’échéance associée à cette attribution.
• Actions en cours préservées : À l’expiration, les opérations déjà terminées ou en cours ne sont pas affectées, seules les nouvelles opérations sont refusées.

Le point le plus structurant est l’absence de notification. Une attribution temporaire posée sur un rôle réellement opérationnel, par exemple un administrateur DLP en pleine campagne de déploiement, peut interrompre un chantier sans avertissement. La contrepartie de l’automatisme est donc un besoin de suivi côté organisation, avec un calendrier des échéances tenu en dehors de Purview.

Conclusion

Vous savez maintenant comment configurer, prolonger et retirer une date d’expiration sur les attributions de groupes de rôles dans Microsoft Purview.

Sources

Microsoft Learn - Permissions dans le portail Microsoft Purview

Avez-vous apprécié cet article ? Vous avez des questions, commentaires ou suggestions, n’hésitez pas à m’envoyer un message depuis le formulaire de contact.

N’oubliez pas de nous suivre et de partager cet article.