Microsoft 365 / Configuration d'un nouvel employé : comptes, licences et accès

Pour un nouvel employé qui utilisera Microsoft 365, créez le compte, confirmez le lieu d'utilisation et les licences requises, accordez les adhésions aux groupes et rôles approuvés, et vérifiez la première connexion et l'accès de l'employé. La création d'un compte seule ne rend pas les services de messagerie et de collaboration prêts. Commencez par une liste approuvée des exigences d'accès, puis vérifiez que l'employé peut réellement utiliser les services requis.

Informations à obtenir avant de commencer

Confirmez avec les ressources humaines (RH) et les responsables métier le nom d’affichage, le nom de connexion et l’adresse e-mail du nouvel employé à utiliser, la date de début, le département, le pays/la région de travail, les applications requises, la portée d’accès à l’équipe/au site et le rôle d’administrateur. Vérifiez également qu’il n’existe aucun compte portant le même nom ou des alias existants. Même lorsque vous créez plusieurs comptes en une seule fois, ne copiez pas uniformément les autorisations et les licences ; vérifiez-les en fonction des fonctions professionnelles.

L’organisation doit disposer des abonnements et licences nécessaires. Définissez l’emplacement d’utilisation à partir de la situation réelle de l’employé, car certains services ne sont pas disponibles partout. Consultez le guide Microsoft pour ajouter des utilisateurs et le guide d’attribution des licences pour les étapes et autorisations requises.

Répartition des responsabilités de demande, d'approbation, d'exécution et de vérification

Une demande de copie de la configuration d’un employé voisin ne remplace pas une liste de permissions approuvée : cet employé peut disposer d’un accès temporaire au projet ou de privilèges administratifs. Pour une réembauche, inspectez les comptes existants et supprimés ainsi que les exigences de transfert de données avant de créer un autre compte. Dans une organisation qui synchronise un annuaire local, établissez d’abord quel annuaire fait autorité et créez le compte via ce processus approuvé.

Ordre de configuration des comptes et licences pour les nouveaux employés

1. Dans la vue tableau de bord du centre d’administration Microsoft 365, ouvrez Utilisateurs → Utilisateurs actifs, recherchez le nom de connexion souhaité et les adresses existantes, et vérifiez les licences disponibles. Utilisez un compte autorisé à créer des utilisateurs, comme un administrateur utilisateur dans son périmètre autorisé. Un administrateur de licences peut gérer les affectations de licences mais ne peut pas créer des utilisateurs uniquement en occupant ce rôle ; voir les autorisations de l’administrateur de licences de Microsoft.
2. Sélectionnez Ajouter un utilisateur. Entrez le nom, le nom d'utilisateur et le domaine, vérifiez les règles de nommage de l'organisation, et définissez l'emplacement d'utilisation lors de l'attribution des licences de produit. Passez en revue les paramètres de mot de passe, y compris l'exigence de changer le mot de passe lors de la première connexion pour ce compte basé sur un mot de passe. Si le locataire utilise un répertoire source synchronisé, suivez son processus de création et de synchronisation approuvé au lieu de créer un compte cloud en double.
3. Sélectionnez les licences de produit et les plans de service requis. Choisissez en fonction des fonctionnalités réellement nécessaires pour le travail, telles que la messagerie, Teams et les applications de bureau, et n'attribuez pas de produits inutiles par habitude.
4. Examinez les paramètres et sélectionnez Terminer l'ajout. Rouvrez l'utilisateur sous Utilisateurs → Utilisateurs actifs → Licences et applications et vérifiez les produits enregistrés et les plans de service. L'attribution des licences et la mise en service des services sont des états distincts ; une boîte aux lettres peut encore être en préparation après qu'une licence a été attribuée.

Définissez avant la création du compte comment vérifier l’identité de l’employé et lui remettre le mot de passe initial. L’employé doit changer son mot de passe et enregistrer ses méthodes d’authentification lors de sa première connexion, sans communiquer son nouveau mot de passe ni ses codes à l’administrateur. Le guide de création de compte et d’attribution de licences détaille les champs à renseigner et les erreurs à examiner.

Comment les groupes et les permissions d'accès sont-ils accordés ?

Les groupes de sécurité peuvent contrôler l'accès aux applications ou aux ressources et la portée des politiques ; les groupes Microsoft 365 peuvent connecter des ressources de collaboration telles que Teams et SharePoint. Obtenez l'approbation de l'entreprise et des propriétaires de ressources avant d'ajouter l'employé. Si les licences sont basées sur le groupe, identifiez quelles attributions sont directes et lesquelles sont héritées, et vérifiez les produits ou plans de service incompatibles plutôt que d'ajouter des attributions directes supplémentaires pour masquer une erreur. Le guide de Microsoft sur la gestion des licences basées sur les groupes explique le flux de travail d'attribution et de dépannage.

Le rôle d'administrateur est traité séparément des autorisations générales des utilisateurs. Accordez uniquement les autorisations minimales nécessaires pour les tâches assignées et, si possible, séparez les comptes de travail généraux des comptes administratifs.

Pour l’adhésion aux équipes, ouvrez le centre d’administration Teams → Équipes → Gérer les équipes → l’équipe cible → Membres et ajoutez le compte approuvé ; Microsoft documente ces contrôles dans son guide pour attribuer des propriétaires et des membres d’équipe. Pour les groupes de sécurité ou les groupes Microsoft 365, utilisez Équipes et groupes → Équipes et groupes actifs dans le centre d’administration Microsoft 365. Ne donnez pas à un lecteur SharePoint l’adhésion complète à une équipe juste pour rendre un fichier accessible, car l’adhésion peut accorder un accès en modification et d’autres accès collaboratifs. Vérifiez la lecture et la délégation d’envoi de la boîte aux lettres partagée séparément de l’adhésion au groupe.

Séquence de vérification pour les organisations utilisant des licences basées sur les groupes

1. Tout d'abord, vérifiez les produits et applications associés au groupe de licences pour le rôle professionnel concerné. Pour les groupes dynamiques, assurez-vous également que les attributs des nouveaux employés, comme le département, correspondent aux règles.
2. Ajoutez l'utilisateur au groupe approuvé et relisez la liste des membres. Ne supposez pas qu'une structure imbriquée où un utilisateur est ajouté uniquement à un autre groupe à l'intérieur du groupe propagera les assignations de licences.
3. Vérifiez les résultats d'assignation réels dans Facturation → Licences sous les détails du produit et de l'utilisateur. L'ajout réussi à un groupe et l'assignation réussie d'un produit sont des statuts séparés.
4. Si l’affectation échoue, ouvrez Facturation → Licences → le produit → Erreurs et problèmes. Inspectez l’utilisateur concerné pour vérifier s’il y a un nombre insuffisant de licences disponibles, un emplacement d’utilisation invalide ou des plans de service conflictuels. Corrigez la cause, puis sélectionnez Retraiter dans les détails de l’erreur de l’utilisateur et vérifiez à nouveau l’affectation résultante. N’attribuez pas directement un autre produit simplement pour masquer l’erreur initiale.

Un utilisateur peut recevoir des licences par plusieurs voies : consignez les attributions directes et les groupes à l’origine des attributions héritées. Pour changer de groupe de licences, ajoutez d’abord l’utilisateur au groupe de destination, vérifiez que la nouvelle licence est effectivement appliquée, puis retirez-le du groupe d’origine. Vérifiez séparément l’attribution des licences et le retrait des accès aux données.

Ce qu'il faut vérifier avant la première connexion

• Assurez-vous que le mot de passe initial et le mode de livraison sont conformes aux procédures de sécurité de l'organisation, et guidez l'utilisateur pour changer le mot de passe lors de la première connexion.
• Expliquez l'authentification multifactorielle (MFA), qui vérifie l'identité en utilisant plus d'un type de facteur, et informez l'employé des méthodes d'inscription autorisées par l'organisation. Expliquez également toute exigence concernant l'enregistrement des appareils et l'accès conditionnel. Accordez du temps pour préparer une méthode d'authentification approuvée ; les administrateurs ne doivent pas collecter les codes de vérification de l'employé.
• Vérifiez l'adresse de réception des e-mails, l'accès requis à l'équipe/site et la disponibilité des applications avec le nouvel employé ou la personne responsable.
• S'il y a un problème, identifiez la cause dans l'ordre des résultats d'attribution de licence, de l'appartenance aux groupes, des journaux de connexion et de l'état du service.

Vérifications et compte rendu du premier jour

Par exemple, utilisez les contrôles suivants lors de l'intégration d'un représentant commercial. Utilisez des documents sans informations réelles sur les clients et des destinataires de courrier électronique approuvés.

1. Le nouvel employé se connecte avec le compte de l'entreprise correct et complète l'enregistrement et l'authentification MFA. Si l'enregistrement de l'ordinateur de l'entreprise est requis, vérifiez également la préparation du périphérique et les résultats de l'accès conditionnel.
2. Ouvrez la boîte aux lettres dans Outlook pour le web et vérifiez l'envoi et la réception de tests internes et externes. Si vous utilisez une boîte aux lettres partagée, vérifiez également l'accès en délégation de votre compte et l'identité de l'expéditeur autorisée.
3. Ouvrez les documents de test dans l'équipe/site désigné et effectuez la lecture et la modification conformément à vos fonctions. Le simple fait de pouvoir ouvrir les liens des dossiers ne signifie pas que toutes les permissions de données sont appropriées.
4. Installez et activez les applications de bureau nécessaires et enregistrez les documents. Distinguez où les échecs se produisent entre les droits de licence de l’application, l’accès aux fichiers et les stratégies de l’appareil.
5. Fournissez à l'employé et au contact du département un enregistrement des contrôles complétés et en cours, ainsi que le contact du support. Indiquez qui supprimera l'accès temporaire et nettoiera les données de test, et quand ce travail doit être effectué.

Si l'étape de connexion échoue, vérifiez le journal de connexion ; si seule l'application ne s'ouvre pas, vérifiez la licence et la préparation du service ; si seul un fichier spécifique ne s'ouvre pas, vérifiez les autorisations de stockage réelles. Ne créez pas de nouveaux comptes de manière répétée simplement parce qu'un nouvel employé ne peut pas se connecter le premier jour. Pour les groupes ou rôles attribués incorrectement, révoquez uniquement cet élément et vérifiez également si l'accès aux autres travaux reste possible.