Les Access Reviews de CoreView permettent aux Tenant Admins et aux Access Review Admins délégués d’évaluer et d’ajuster les permissions des utilisateurs sur les ressources Microsoft 365 de manière planifiée. Les administrateurs peuvent identifier et supprimer les permissions utilisateur obsolètes, et configurer les Access Reviews afin de les aligner sur les politiques internes ou les exigences réglementaires, telles que NIST, ISO ou SOC2. Les attributions de réviseurs, les notifications et les rapports sont gérés via des flux de travail CoreView automatisés. Toutes les décisions prises pendant une Access Review sont consignées et peuvent être exportées à des fins d’audit.
Processus d’exécution d’une Access Review
1. Création de la revue par les Tenant Admins ou les Access Review Admins
Seuls les Tenant Admins ou les Access Review Admins délégués peuvent lancer une Access Review. Lors de la création, les administrateurs précisent quelles ressources (telles que Teams, les groupes, les boîtes aux lettres, les ressources SharePoint, les ressources OneDrive ou les attributions d’accès privilégié) sont incluses dans la revue. Les attributions de réviseurs sont effectuées en sélectionnant des personnes ou des groupes qui gèrent ou possèdent les ressources sélectionnées.
2. Exécution par les réviseurs assignés
Les réviseurs — généralement des propriétaires de groupes, des gestionnaires de ressources ou des approbateurs désignés — examinent les permissions actuelles de tous les utilisateurs sur les ressources ciblées. Les réviseurs choisissent d’approuver, de modifier ou de révoquer l’accès de chaque utilisateur. Les modifications restent à l’état en attente jusqu’à la finalisation de la revue.
3. Modèles et personnalisation
CoreView fournit des modèles et des options de configuration pour des revues récurrentes de :
- Appartenances à Microsoft Teams ou à des groupes
- Groupes de sécurité
- Accès des utilisateurs invités
- Permissions de boîte aux lettres
- Propriété OneDrive
- Appartenance à un site SharePoint
En outre, deux modèles d’Access Review Microsoft Entra Privileged Identity Management peuvent être activés via une configuration supplémentaire :
- Rôles d’administrateur avec attributions permanentes
- Rôles d’administrateur avec attributions éligibles
Les modèles d’Access Review Microsoft Entra Privileged Identity Management (PIM) peuvent être utilisés pour évaluer périodiquement des scénarios d’accès privilégié. Ces modèles aident à valider l’accès élevé de manière récurrente dans le cadre des processus de Governance et de conformité.
Pour plus d’informations sur Microsoft Entra Privileged Identity Management, consultez la documentation Microsoft : Qu’est-ce que Privileged Identity Management ?
Qui peut être réviseur ?
Tenant Admin et Access Review Admins
Les Tenant Admins et les Access Review Admins ont la capacité d’assigner des réviseurs — y compris eux-mêmes — aux Access Reviews. Ils peuvent également démarrer des Access Reviews qui leur ont été précédemment assignées, que ce soit par eux-mêmes ou par d’autres administrateurs.
Opérateur CoreView
Un opérateur CoreView peut être tout utilisateur disposant d’un rôle assigné dans CoreView, tel qu’un propriétaire de groupe, un administrateur délégué ou une personne ayant un rôle personnalisé conçu pour les responsabilités de revue.
Utilisateur non-CoreView
Les utilisateurs sans compte CoreView, mais qui possèdent des comptes dans le tenant Microsoft 365 de l’organisation, peuvent être sélectionnés comme réviseurs. Dans ce cas, CoreView provisionne un compte avec un accès restreint, limité aux tâches d’Access Review assignées, en utilisant l’authentification Microsoft 365.
Cycle de vie d’une Access Review
Le cycle de vie d’une Access Review comprend les étapes suivantes :
- Initiation : l’administrateur précise les ressources à revoir, la durée de la revue, la planification et les configurations de notification.
- Attribution : les réviseurs assignés reçoivent une notification par e-mail.
- Exécution : les réviseurs approuvent, modifient ou révoquent les permissions d’accès des utilisateurs pour chaque ressource. Toutes les modifications de permissions restent à l’état en attente jusqu’à la conclusion de la revue.
- Suivi : l’administrateur surveille l’avancement de la revue à l’aide de tableaux de bord qui indiquent les pourcentages d’achèvement et les éléments en suspens.
- Journalisation : à la fin de la revue, CoreView génère des journaux d’audit pour le cycle de revue. Ces journaux peuvent être exportés au format CSV pour conservation ou intégration avec des systèmes externes de suivi de conformité.
.png)
Pour des instructions de configuration et d’utilisation étape par étape, consultez les articles suivants :