Gestion de la sécurité

Les niveaux d’autorisation

Les niveaux d’autorisation permettent de combiner l’octroi ou le refus de l’ensemble des droits unitaires dans un conteneur et s’appliquent au niveau d’une collection de sites.

Gérer les autorisations en accordant ou refusant chacun des droits d’un objet aux utilisateurs ou groupes serait impensable. Les droits unitaires sont combinés dans des niveaux d’autorisation. À la création de la première collection de sites, cinq niveaux d’autorisation sont créés : lecture, collaboration, modification, conception et contrôle total.

Vous trouverez ci-dessous la matrice des droits combinés pour chaque niveau d’autorisation, à l’exception du niveau contrôle total qui contient tous les droits unitaires.

Groupes SharePoint

Dans SharePoint, il est possible de créer des entités de sécurité dont le périmètre est restreint à l’application, contrairement aux comptes Active Directory ou Azure AD. Ce sont les groupes SharePoint. Ces groupes sont définis dans l’interface d’administration de la collection de sites et n’ont d’existence que dans les limites de cette collection. Ils peuvent contenir au choix :

À la création d’une collection de sites, plusieurs groupes SharePoint vides sont créés et disposent des niveaux d’autorisation correspondants.

Lorsque vous avez créé une collection de sites, vous avez dû définir au minimum un propriétaire. Ce compte a été ajouté au groupe SharePoint Propriétaires. Il faut ensuite alimenter les autres groupes et, si nécessaire, en créer. Par exemple, sur une instance SharePoint Online et sa collection de sites créée par défaut (modèle de site de communication), le groupe Tout le monde sauf utilisateurs externes de l’instance est inclus dans le groupe SharePoint Membres, ce qui donne un droit minimum d’ajout d’éléments dans les listes et les bibliothèques à tout utilisateur inscrit sur l’instance, soit avec une identité cloud ou d’entreprise synchronisée avec Azure AD Connect.

Scénarios de gestion des droits

Il est préférable appliquer les droits sur l’objet le plus haut dans la hiérarchie (collection de sites, site, bibliothèque ou liste puis fichier ou élément), car l’héritage s’applique depuis l’objet de portée globale.

Principe d’héritage et application des permissions

Par défaut, tous les objets de la collection de sites (sites, sous-sites, bibliothèques, listes, fichiers, éléments de listes) héritent des autorisations de la collection. Afin d’appliquer des permissions différentes, il faut casser l’héritage.

Sélectionnez une bibliothèque de site. Utilisez le bouton d’accès aux paramètres de l’objet puis le lienAutorisations pour le composant : bibliothèque de documents.

Par défaut, il n’est pas possible de modifier les permissions, car l’héritage s’applique. Pour le casser, utilisez le bouton Arrêter l’héritage des autorisations du ruban AUTORISATIONS. Un message de confirmation est affiché. Deux commandes supplémentaires sont alors disponibles. Les boutons de suppression et modification des autorisations sont également disponibles.

Le bouton Supprimer les autorisations uniques permet de remettre en place l’héritage de l’objet de niveau supérieur. Le bouton Accorder des autorisations permet d’ajouter des groupes SharePoint et des utilisateurs et groupes AD :

Pour accorder des autorisations...

Protection du contenu via Azure Information Protection

Microsoft a développé un équivalent au rôle Active Directory Rights Management Services pour les services en lignes : Azure Information Protection. Ce service est inclus dans les plans Entreprise des offres Office 365 et permet entre autres :

Pour comparer les fonctions d’AIP et d’AD RMS, vous pouvez vous rendre sur la page suivante : https://docs.microsoft.com/en-us/azure/information-protection/compare-on-premise

L’activation de la gestion des droits numériques existe toujours sur la page des paramètres classiques du centre d’administration SharePoint Online :

Cette fonctionnalité peut encore s’utiliser et elle permet également de sécuriser l’accès à des fichiers qui auraient été copiés hors d’une bibliothèque SharePoint. Il existe une procédure en PowerShell pour activer la possibilité d’utiliser les étiquettes de protection des données avec le contenu stocké dans les sites SharePoint. Cette procédure est accessible à l’adresse : https://learn.microsoft.com/fr-fr/microsoft-365/compliance/sensitivity-labels-sharepoint-onedrive-files?view=o365-worldwide&WT.mc_id=Portal-Microsoft_Azure_InformationProtection#enable-the-preview-by-using-microsoft-powershell-opt-in...

Authentification par jetons de revendications

Le mécanisme d’authentification des applications web utilise par défaut des jetons de revendications. Gardez à l’esprit que SharePoint ne s’occupe pas de l’authentification de l’utilisateur qui exécute la requête via son navigateur pour afficher une page d’une application web. La couche d’authentification est découplée du produit, ce qui permet de se connecter à plusieurs fournisseurs d’identités dus à l’apparition des scénarios hybride où les produits en mode cloud comme SharePoint Online doivent pouvoir autoriser des identités cloud ou synchronisées depuis un annuaire interne à l’entreprise.

De nombreux scénarios nécessitent désormais non plus d’identifier un utilisateur à partir d’une source unique disponible dans l’entreprise, comme un annuaire Active Directory, mais d’identifier un utilisateur dont les identifiants sont stockés sous différentes formes et dans des référentiels différents. Parmi ces scénarios, citons :

Le fait d’utiliser un fournisseur d’authentification par jetons de revendications permet donc d’étendre les scénarios d’utilisation de SharePoint au-delà des limites de l’entreprise, en utilisant des protocoles standardisés. L’authentification par jetons...