Ce guide décrit comment accorder un accès en lecture seule (relecteur) à des dossiers spécifiques dans la boîte aux lettres Exchange Online d’un utilisateur. Il couvre les limitations de Microsoft concernant les autorisations au niveau de la boîte aux lettres et propose des étapes pour attribuer des droits d’accès par dossier avec PowerShell ou CoreView.
Vue d’ensemble
En raison des limitations de Microsoft, il est actuellement impossible d’accorder un véritable accès en lecture seule à l’ensemble d’une boîte aux lettres Exchange Online. Le droit d’accès « ReadPermission » concerne uniquement la possibilité de lire les paramètres d’autorisation de la boîte aux lettres — il ne permet pas à un utilisateur d’ouvrir ou de consulter le contenu de la boîte aux lettres.
Pour un accès complet à la boîte aux lettres, vous pouvez attribuer l’autorisation « Lecture et gestion de la délégation », qui est équivalente à l’accès total — le délégué peut lire, envoyer, supprimer et agir comme le propriétaire de la boîte aux lettres. Il n’existe pas d’option « lecture seule » intégrée au niveau de la boîte aux lettres dans Exchange Online.
L’octroi de l’autorisation « Accès total » donne aux délégués un contrôle complet sur la boîte aux lettres (lecture, envoi, suppression, etc.), et pas uniquement l’accès en lecture. Il n’existe actuellement aucune méthode prise en charge pour fournir uniquement un accès « lecture seule » au niveau de la boîte aux lettres dans Exchange Online ou Microsoft 365.
Alternatives en lecture seule : autorisations au niveau du dossier
Bien que l’accès « lecture seule » au niveau de la boîte aux lettres ne soit pas disponible, vous pouvez accorder des autorisations « lecture seule » (Relecteur) au niveau de chaque dossier (comme la boîte de réception ou le calendrier). Cela est possible aussi bien dans Exchange Online que dans les environnements Exchange locaux.
Vous pouvez appliquer ces autorisations via PowerShell ou grâce à des actions personnalisées dans CoreView.
1. Comment accorder un accès en lecture seule au niveau d’un dossier via PowerShell
La cmdlet Add-MailboxFolderPermission permet d’accorder à un utilisateur des autorisations telles que « Relecteur » (lecture seule) ou « Propriétaire » pour un dossier spécifique.
Syntaxe :
Add-MailboxFolderPermission
[-Identity] <MailboxFolderIdParameter>
-AccessRights <MailboxFolderAccessRight[]>
-User <MailboxFolderUserIdParameter>
[-Confirm]
[-DomainController <Fqdn>]
[-SendNotificationToUser <Boolean>]
[-SharingPermissionFlags <MailboxFolderPermissionFlags>]
[-WhatIf]
[<CommonParameters>]
Exemples :
# Accorder l’autorisation 'Propriétaire' à Ed sur le dossier "Marketing" dans la boîte aux lettres d’Ayla
Add-MailboxFolderPermission -Identity ayla@contoso.com:\Marketing -User ed@contoso.com -AccessRights Owner
# Ajouter Julia comme déléguée du calendrier (Éditeur) à la boîte aux lettres d’Ayla (ne peut pas voir les éléments privés)
Add-MailboxFolderPermission -Identity ayla@contoso.com:\Calendar -User julia@contoso.com -AccessRights Editor -SharingPermissionFlags Delegate
# Ajouter Laura comme déléguée du calendrier (Éditeur) avec accès aux éléments privés
Add-MailboxFolderPermission -Identity ayla@contoso.com:\Calendar -User laura@contoso.com -AccessRights Editor -SharingPermissionFlags Delegate,CanViewPrivateItems
Pour accorder un accès « lecture seule », utilisez -AccessRights Reviewer au lieu de Owner/Editor.
Les autorisations au niveau du dossier doivent être attribuées à chaque dossier individuellement. Les affectations en masse ou à tous les dossiers ne sont pas prises en charge nativement.
2. Comment accorder un accès en lecture seule au niveau du dossier avec CoreView
Vous pouvez utiliser CoreView pour attribuer des autorisations en lecture seule à un dossier spécifique d’une boîte aux lettres à l’aide d’une action personnalisée. L’exemple ci-dessous montre comment utiliser une action personnalisée pour accorder des autorisations « Relecteur » à un dossier dans une boîte aux lettres pour un autre utilisateur.
Entrées
Fournissez les informations suivantes pour exécuter l’action personnalisée :
- Boîte aux lettres : la boîte aux lettres sur laquelle vous souhaitez définir les autorisations.
- Dossier : le dossier spécifique sur lequel vous souhaitez accorder un accès.
- Délégué : l’utilisateur qui recevra l’accès en lecture seule.
Exemple JSON d’action personnalisée
{
"id": "0006e023-1df3-43c7-9598-9c09a116f393",
"title": "Grant read-only permissions to a user's mailbox",
"lastModified": "2025-09-09T12:40:32.6410000Z",
"target": "Mailbox",
"tags": [],
"vars": [
{
"name": "Folder",
"type": "string",
"isRequired": true
},
{
"name": "Delegate",
"type": "string",
"isRequired": true
}
],
"params": [
{
"name": "UserPrincipalName",
"type": "string",
"isDefault": false
}
],
"columns": {
"UserPrincipalName": ""
},
"version": 4,
"statement": "param ([string]$Folder, [string]$Delegate, [string]$UserPrincipalName)\r\n\r\nAdd-MailboxFolderPermission -Identity \"${UserPrincipalName}:\\${Folder}\" -User $Delegate -AccessRights Reviewer"
}