Microsoft 365 / Définir les autorisations du site SharePoint et gérer le partage externe

Les autorisations du site SharePoint déterminent qui peut accéder au site, et les paramètres de partage externe limitent la portée du partage de contenu avec des personnes en dehors de l'organisation. S'il s'agit d'un site connecté à une équipe, vous devez également vérifier la relation avec les membres de Teams / du groupe Microsoft 365. Les autorisations de site et les liens de partage ne sont pas les mêmes paramètres.

Structure à vérifier avant de modifier les autorisations

• Vérifiez si le site est un site indépendant ou un site connecté à un groupe Microsoft 365 / Teams.
• Vérifiez les groupes d'accès actuels et les autorisations directement accordées, telles que propriétaires, membres et visiteurs.
• Vérifiez s'il existe des liens de partage créés séparément pour des fichiers ou des dossiers.
• Vérifiez la portée du partage externe à l'échelle de l'organisation pour SharePoint et OneDrive ainsi que les paramètres d'invitation des invités Microsoft Entra.

Le guide de Microsoft sur le partage et les autorisations dans SharePoint recommande de gérer l'appartenance aux sites connectés aux groupes via le groupe Microsoft 365 associé, ou via Teams lorsque le site est connecté à une équipe. Donner à quelqu'un la permission sur le site seul ne le rend pas automatiquement membre de l'équipe Teams.

Propriétaires, membres, visiteurs et héritage des autorisations

Dans un site classique, les propriétaires administrent le site, les membres modifient les contenus et les visiteurs les consultent. Cependant, s’il existe des autorisations personnalisées sur un site existant, ne déterminez pas les autorisations réelles uniquement par le nom ; vérifiez les paramètres. Les sites d’équipe connectés à un groupe sont liés aux propriétaires et membres des groupes Microsoft 365, tandis que les sites de communication sont principalement gérés autour des groupes SharePoint du site.

L’héritage des permissions est une structure où les bibliothèques, dossiers et fichiers suivent les permissions de leur conteneur parent. Si des permissions différentes sont attribuées à un seul fichier ou qu’un lien de partage séparé est créé, il devient difficile de comprendre tous les accès uniquement à partir de la liste du site. Lorsqu’on reçoit une demande de 'suppression de l’accès pour un employé spécifique', il est nécessaire de vérifier les trois chemins ensemble : groupes d’équipe ou de site, permissions directes et liens de partage.

Les sites de canaux privés et partagés dans Teams sont gérés via les membres du canal selon la structure de connexion Teams et SharePoint . Contrairement aux sites réguliers, vous ne devez pas essayer de modifier indépendamment les membres dans SharePoint. De plus, les administrateurs de site ne peuvent pas changer toutes les politiques, et modifier le niveau d’autorisation de partage externe d’un site nécessite des privilèges d’administrateur SharePoint.

Vérifier et modifier les autorisations du site

1. Allez à [Sites] → [Sites actifs] dans le centre d’administration SharePoint et recherchez le site cible. Puisqu’il peut y avoir des sites de canaux portant des noms similaires, vérifiez à la fois l’URL et le type de site.

2. Vérifiez la relation entre les administrateurs, les propriétaires et les membres dans les détails du site. S'il s'agit d'un site connecté à Teams, commencez par examiner la liste des propriétaires et des membres de l'équipe.
3. Ajoutez ou supprimez des groupes ou des utilisateurs en fonction de l'objectif du changement. Si vous souhaitez uniquement partager un fichier spécifique, ne donnez pas accès à l'ensemble du site et envisagez plutôt le partage de fichiers.
4. Utilisez un compte de test pour confirmer que seul le contenu attendu est visible. Si les autorisations ont été étendues, vérifiez également les liens de partage précédents et les autorisations directes.

Exemple d'ajout de quelqu'un pour qu'il puisse uniquement consulter le site

Supposons un cas où un autre département a seulement besoin de lire le site du document. S'il n'est pas nécessaire de participer aux conversations ou aux calendriers sur Teams, envisagez si l'autorisation de lecture du site est appropriée plutôt que de les ajouter comme membres généraux du groupe. Les groupes Microsoft 365 ne fournissent pas de rôle de membre en lecture seule, donc une attribution de lecture au niveau du site séparée peut être appropriée pour ce besoin.

1. Ouvrez le site cible et vérifiez les groupes et autorisations actuels à Paramètres → Autorisations du site.
2. S'il s'agit d'un site de communication, choisissez Partager le site, et s'il s'agit d'un site connecté à un groupe, sélectionnez le chemin approprié tel que Ajouter des membres → Partager le site uniquement selon l'objectif. Utilisez le chemin des membres de Teams si l'intention est une participation complète de l'équipe.
3. Sélectionnez les utilisateurs/groupes de sécurité exacts et désignez la permission Lecture. Passez en revue les paramètres de cible et de notification avant d'ajouter. Le guide de partage de site Microsoft distingue le partage avec les ressources du groupe et le partage du site uniquement.
4. Demandez à l'utilisateur prévu ou à un utilisateur test approuvé de vérifier qu'il peut lire le document test mais ne peut pas le modifier. Ne déduisez pas leurs autorisations uniquement à partir de la vue de l'administrateur.

Si vous voulez montrer seulement un fichier, ne partagez pas l'ensemble du site. Au lieu de cela, définissez la cible et les autorisations de visualisation/modification sur ce fichier spécifique. Le lien « Personnes ayant déjà accès » est utilisé pour envoyer le chemin d'accès qu'elles ont déjà et est différent du lien utilisé pour accorder de nouvelles autorisations.

Définir la portée du partage externe

Un site ne peut pas autoriser un partage externe plus large que l’organisation. Vérifiez d’abord les paramètres de partage de l’organisation. Dans le Centre d’administration SharePoint, sélectionnez ensuite le site concerné, puis l’onglet Paramètres → Autres paramètres de partage. Le guide Microsoft du partage externe d’un site explique l’articulation entre ces deux niveaux.

Autoriser le niveau Tout le monde (Anyone) ne rend pas le site lui-même publiquement accessible de manière anonyme. Cela permet aux personnes disposant des autorisations de partage requises de créer des liens non authentifiés vers les fichiers et dossiers éligibles ; cela ne donne pas à chaque personne la permission de créer des liens. Un détenteur peut transférer un tel lien à quelqu'un d'autre. Si le travail est limité à des partenaires nommés, envisagez plutôt un lien authentifié Personnes spécifiques (Specific people). Certains emplacements, y compris les fichiers de canaux partagés, ne prennent pas en charge les liens Tout le monde.

1. Dans le centre d'administration SharePoint, vérifiez la portée maximale de l'organisation dans Politiques → Partage . Si un seul site est nécessaire pour cette tâche, examinez d'abord s'il est nécessaire d'étendre à la configuration à l'échelle de l'organisation.
2. Sites → Sites actifs, sélectionnez le site par son URL réelle, puis allez dans Paramètres → Autres paramètres de partage .
3. Vérifiez le niveau d'autorisation, les restrictions de domaine, l'expiration des invités et le type de lien par défaut. Les options disponibles sont affectées par les paramètres de l'organisation et d'autres politiques de collaboration externe.
4. Enregistrez les valeurs précédentes, ne sauvegardez que les modifications requises et relisez les paramètres. Utilisez un fichier de test non sensible et des comptes de test approuvés pour vérifier l'accès prévu. Testez un destinataire externe prévu et un compte exclu qui n'a pas de droit d'accès distinct. Un lien « Personnes spécifiques » ne doit pas accorder un nouvel accès à un destinataire auquel il est transféré ; un lien « Tout le monde » peut être utilisé par un autre titulaire sans connexion. Comparez le résultat avec le type de lien sélectionné et les politiques actuelles.

Révoquer les accès et résoudre les erreurs de partage

S'il n'y a pas d'options de partage externe, vérifiez dans l'ordre les restrictions de l'organisation, le type de site, l'invitation des invités Entra et les restrictions de domaine, ainsi que les stratégies de groupe. Si l'invitation a réussi mais que le fichier ne peut pas être ouvert, vérifiez si le destinataire s'est authentifié avec l'adresse invitée et contrôlez le stockage réel du fichier. Activer un paramètre autorisé sur un site ne contourne pas toutes les autres politiques.

Lors de la révocation de l'accès, supprimez les liens inutiles et les autorisations directes inutiles dans le panneau Gérer l'accès du fichier, et si l'accès se fait via un groupe, modifiez également les membres du groupe. Même si un lien est supprimé, les membres ayant la permission sur le site peuvent toujours y accéder. La suppression de ces autorisations SharePoint ne supprime pas les copies déjà téléchargées.

Si vous réduisez les paramètres, les liens externes existants peuvent ne pas fonctionner. Cependant, si vous réactivez le partage au niveau de l’organisation, les paramètres de site précédents et les liens partagés peuvent recommencer à fonctionner, donc ne confondez pas le blocage temporaire avec la suppression définitive des liens. Si vous avez accidentellement élargi la portée, en plus de restaurer la politique précédente, vous devriez également vérifier les liens et invitations qui ont été créés pendant cette période. Microsoft note que les invités perdent généralement l’accès dans l’heure qui suit la restriction ou la désactivation du partage externe ; ne supposez pas que chaque modification soit instantanée. Ses directives de partage au niveau de l’organisation expliquent également l’accès restauré aux invités après que le partage soit réactivé. Terminez la vérification en confirmant les résultats réels avec les comptes de test autorisés et exclus.