Microsoft 365 / Départ d’un employé : bloquer l’accès et transmettre les données

Lors du départ d’un employé utilisant Microsoft 365, l'accès doit être bloqué en premier, puis la remise des e-mails et des données OneDrive doit être vérifiée, et enfin des décisions concernant la licence et la suppression du compte doivent être prises. Si la licence est retirée en premier ou si le compte est supprimé immédiatement, il peut devenir difficile d'accéder aux données nécessaires. Assurez-vous de revoir ensemble les procédures de conservation de l'organisation, les exigences légales et les procédures des ressources humaines (RH).

Décisions à prendre avant le départ

Enregistrez le moment du blocage de l'accès, la personne responsable de la passation, les e-mails/fichiers/matériaux Teams devant être conservés, la méthode de traitement des appareils personnels et de l'entreprise, ainsi que la date prévue de suppression du compte. S'il existe des obligations légales de conservation ou si l'employé fait l'objet d'une enquête, consultez le personnel juridique/de sécurité avant de procéder aux procédures standard de suppression. Dans un environnement d'identité hybride, qui connecte les identités sur site et dans le cloud, vérifiez également le compte sur site et l'état de la synchronisation.

Microsoft décrit la procédure de départ d’un employé en distinguant le blocage de l’accès, la conservation des données, le traitement des appareils, la transmission des données et la suppression du compte. Les options dépendent des stratégies et licences de l’organisation.

Ne choisissez pas le compte sur la seule base du nom affiché. Vérifiez l’adresse de connexion complète et l’organisation de l’employé avant de modifier quoi que ce soit.

Dans la liste des tâches, créez des éléments séparés pour « Blocage d'accès », « Transmission des données », « Remplacement du propriétaire » et « Gestion du produit/compte ». Même si l'administrateur informatique a terminé le blocage, le départ global n'est pas complet si le département n'a pas vérifié les données. Vérifiez également si l'utilisateur est le seul propriétaire de certaines équipes, groupes ou applications partagés, et préparez un propriétaire de remplacement.

Commencez par bloquer l'accès

1. Dans le centre d'administration Microsoft 365, ouvrez Utilisateurs → Utilisateurs actifs et vérifiez l'adresse complète de connexion et le locataire avant de sélectionner le compte. Utilisez un administrateur autorisé à gérer cette cible ; les autorisations pour réinitialiser les mots de passe ou terminer les sessions des utilisateurs ordinaires ne couvrent pas automatiquement les administrateurs privilégiés.
2. Bloquez la connexion de l'utilisateur cible et réinitialisez le mot de passe. Envisagez également des mesures pour invalider les sessions de connexion existantes. Ne supposez pas que le simple changement de mot de passe mettra immédiatement fin aux sessions existantes.
3. Vérifiez le rôle d'administrateur, les groupes, l'accès aux applications, l'intégration aux services externes et l'enregistrement des appareils, et supprimez ou révoquez-les si nécessaire. Lors de la suppression des données d'entreprise d'un appareil mobile, vérifiez d'abord son impact sur les données personnelles.

Dans les détails de l’utilisateur sélectionné, choisissez Bloquer la connexion → Empêcher cet utilisateur de se connecter → Enregistrer les modifications. Réinitialisez le mot de passe et utilisez Compte → Se déconnecter de toutes les sessions comme actions séparées. La procédure de blocage d’accès et de déconnexion de session de Microsoft note que le blocage du compte peut prendre jusqu’à 24 heures pour prendre effet et que les jetons existants ou la session de service actuelle peuvent retarder la déconnexion. Ne considérez pas un paramètre enregistré comme une preuve que chaque application s’est immédiatement arrêtée. Pour un confinement urgent, demandez au personnel de sécurité d’évaluer des restrictions supplémentaires spécifiques au service.

Vérifiez l’état enregistré du compte et les journaux de connexion pertinents. Ne demandez pas les identifiants de l’ancien employé et ne vous faites pas passer pour lui. Une connexion avec un autre compte de test ne prouve pas que le compte de l’employé est bloqué : examinez le compte concerné et les mesures prises sur ses sessions.

Comment transférer le courrier et OneDrive ?

Pour assurer la continuité des activités, choisissez le mode de transmission du courrier. Conversion en boîte aux lettres partagée, accès délégué et exportation des messages peuvent avoir des conditions différentes de licence et de conservation. Faites approuver les destinataires et la durée d’un transfert automatique en raison des risques pour la confidentialité et de sortie d’informations. Consultez le guide Microsoft de transmission des données Outlook et OneDrive pour les procédures prises en charge.

Pour conserver la boîte aux lettres en service, partez d’une boîte utilisateur sous licence et ouvrez Utilisateurs → Utilisateurs actifs → l’utilisateur → Courrier → Convertir en boîte aux lettres partagée → Convertir. Vérifiez le type obtenu avant de retirer une licence ; un retrait préalable peut masquer l’option de conversion. Le guide Microsoft de conversion des boîtes aux lettres précise qu’une boîte partagée sans licence est limitée à 50 Go. Une capacité supérieure, l’archivage ou les fonctions de conservation juridique peuvent nécessiter des licences supplémentaires. La conversion ne permet donc pas automatiquement de retirer toutes les licences.

Le compte utilisateur de base d’une boîte aux lettres partagée ne doit pas être supprimé. Même si l’utilisateur est parti, le compte connecté est nécessaire tout en maintenant la boîte aux lettres partagée. La connexion directe doit rester bloquée, et accordez au successeur les autorisations de lecture et d’envoi en délégation afin qu’il puisse y accéder en utilisant son propre compte. Passez en revue les règles de la boîte de réception et les paramètres de transfert car ils peuvent rester actifs, pour vous assurer que la boîte est dans l’état souhaité.

Pour OneDrive, convenez du propriétaire receveur, des fichiers nécessaires et de la période d’accès. Pour un usage professionnel à long terme, déplacer le matériel requis vers un site d’équipe SharePoint approprié peut être préférable plutôt que de donner à un autre employé un accès indéfini à un espace de stockage de travail personnel complet. Vérifiez les liens existants et les destinataires après le transfert.

Étapes de vérification et de transfert des fichiers OneDrive

1. Un administrateur approuvé ouvre Utilisateurs → Utilisateurs actifs → l'utilisateur → OneDrive → Obtenir l'accès aux fichiers → Créer un lien vers des fichiers. Utilisez cette voie administrative prise en charge, pas le mot de passe de l’employé. Confirmez que le compte et le contenu sont dans un état qui permet l’accès ; le contenu archivé ou autrement restreint sans licence peut nécessiter d’abord une licence prise en charge ou une réactivation.
2. Définissez avec le responsable métier les dossiers et fichiers nécessaires, leur destination et les exigences de conservation. Limitez l’accès au périmètre approuvé et désignez les responsables, au lieu d’accorder un accès indéfini à l’ensemble de l’espace personnel de stockage professionnel.
3. Utilisez une méthode de déplacement ou de copie prise en charge pour transférer les fichiers requis vers la destination approuvée, comme un site d'équipe. Ne supposez pas qu'une copie ou un téléchargement inclut l'historique des versions. Le guide de départ met en garde contre les transferts ne conservant que la dernière version ; si les versions antérieures doivent être conservées, validez la méthode choisie et l'historique de la destination avant de supprimer l'original. Vérifiez également les liens et les autorisations.
4. Ouvrez les documents importants avec le compte du successeur et vérifiez si le contenu, les autorisations et l'historique requis existent. Ne jugez pas le transfert comme complet simplement parce que le nombre de fichiers correspond.
5. Supprimez l'accès administratif temporaire lorsqu'il n'est plus nécessaire et enregistrez la modification. Le guide de passation fournit un chemin d'administrateur SharePoint via Centre d'administration SharePoint → Autres fonctionnalités → Profils utilisateur → Ouvrir → Gérer les profils utilisateur → l'ancien utilisateur → Gérer les propriétaires de collection de sites. Supprimez l'administrateur inutile de la liste des administrateurs de la collection de sites et vérifiez le résultat enregistré ; conservez tout accès encore nécessaire pour un propriétaire approuvé.

Si le compte ou OneDrive a déjà été supprimé, la procédure d’utilisateur actif ne s’applique plus. Consultez le guide Microsoft de restauration d’un OneDrive supprimé pour vérifier si une récupération est possible. La conservation du OneDrive d’un utilisateur supprimé est configurable et dure 30 jours par défaut. Elle est suivie d’une période distincte de 93 jours à l’état de site supprimé, pendant laquelle un administrateur SharePoint peut le restaurer. Ces périodes ne correspondent pas à la corbeille d’un fichier individuel. Les options de l’onglet OneDrive des utilisateurs actifs ne sont pas prises en charge pour les locataires Multi-Geo ; utilisez la procédure documentée adaptée au locataire.

Vérifications avant la suppression de licence et la suppression de compte

• Confirmez que l'e-mail, OneDrive, Teams, etc., ont été remis et que la personne responsable peut accéder aux matériels.
• Vérifiez les exigences de licence nécessaires pour la conversion de boîte aux lettres partagée ou les politiques de conservation. Toutes les boîtes aux lettres partagées ne sont pas toujours exploitées sans licence.
• Examinez les règles d'audit/conservation légale, la période de récupération et les règles internes de tenue des registres.
• Ensuite, obtenez l'approbation pour le moment de la suppression de la licence et de la suppression du compte, exécutez-la et conservez un enregistrement de l'achèvement.

Est-il sûr de laisser le compte en ne supprimant que la licence ?

Un OneDrive sans licence n'est pas une archive gratuite indéfinie. Pour les clients couverts par la politique actuelle de Microsoft sur les comptes sans licence, le cycle de vie par défaut place le compte en mode lecture seule après 60 jours sans licence et l'archive, ou le traite conformément à l'état du compte et de la rétention, après 93 jours. Les exigences applicables en matière de licence, de facturation et de réactivation peuvent affecter l'accès. Ces changements de politique ne s'appliquent pas aux clients du secteur de l'éducation, aux clients du Government Community Cloud ou aux clients du Département de la Défense des États-Unis. La période de stockage actif configurée par une organisation peut également modifier le calendrier par défaut ; voir les Contrôles de stockage standard pour les comptes OneDrive sans licence de Microsoft.

Depuis le 1er juillet 2026, les comptes OneDrive sans licence concernés, qui ne sont couverts ni par une licence payante ni par une option applicable de facturation ou de stockage, accumulent un délai de non-paiement de 365 jours. Pour ceux qui étaient déjà dans cette situation le 1er juillet 2026, le risque de suppression ne commence pas avant le 1er juillet 2027. Pour les autres, il dépend du moment où les 365 jours cumulés sont atteints. Conserver le compte utilisateur ne suffit pas à préserver les données. Vérifiez le guide Microsoft de gestion des comptes OneDrive sans licence et Centre d’administration SharePoint → Rapports → Comptes OneDrive pour l’état et les conditions de conservation et de facturation. Faites approuver par le responsable de conformité une solution adaptée de licence, de stockage et d’archivage.

La période de récupération après suppression et le comportement de conservation des données varient en fonction du service et des paramètres. L'enregistrement final inclut le état du blocage, les actions de session, la personne ayant confirmé la transmission des données, la décision de conserver le compte en raison de boîtes aux lettres partagées, les licences révoquées, les autorisations restantes des administrateurs/appareils/applications, et la date de la prochaine révision. Si la mauvaise cible a été traitée, cessez les modifications supplémentaires, vérifiez le statut actuel et les services affectés, puis procédez aux procédures de récupération approuvées.