Qui possède votre tenant Microsoft 365, et qui le contrôle

Votre entreprise a un tenant Microsoft 365 : c’est là que sont stockés vos comptes, vos boîtes aux lettres, vos fichiers et vos droits. Microsoft écrit que la personne qui a acheté un abonnement pour l’organisation et l’a inscrite aux services en ligne est automatiquement Global Administrator. Selon la façon dont le dossier a démarré, cette personne peut être chez vous, ou chez le prestataire qui a monté l’environnement.

Qu’un tenant Microsoft 365 soit administré par la personne qui l’a inscrit — chez vous, ou chez le prestataire qui a monté l’environnement — n’est pas anormal. Un prestataire a besoin d’accès d’administration pour faire son travail, et Microsoft prévoit explicitement les mécanismes qui les lui donnent. Trois choses se vérifient : quels accès existent, où ils se voient, et ce que vous pouvez reprendre seul.

Ce qu’est un tenant, et ce qu’il contient

Trois objets se confondent souvent. L’organisation représente l’entreprise qui utilise les services, identifiée par un ou plusieurs noms de domaine DNS publics comme contoso.com ; elle contient les abonnements. L’abonnement est l’accord passé avec Microsoft pour utiliser une ou plusieurs plateformes ou services, facturé soit à la licence par utilisateur, soit à la consommation de ressources. Le tenant Microsoft Entra est une instance précise de Microsoft Entra ID qui contient les comptes et les groupes.

Les comptes utilisateurs de toutes les offres cloud de Microsoft sont stockés dans ce tenant Entra, et plusieurs abonnements de la même organisation peuvent partager le même. Un abonnement payant ou d’essai à Microsoft 365 ou à Dynamics 365 comprend un tenant Entra gratuit.

Sur la propriété, Microsoft écrit que, pour tous les types de déploiement, vous êtes propriétaire de vos données et de vos identités. Son tableau de responsabilité partagée place les données client, les configurations et les identités du côté du client dans les quatre modèles qu’il compare, de l’installation chez vous jusqu’au service en ligne prêt à l’emploi dont Microsoft 365 est l’exemple. La propriété d’un tenant Microsoft 365 et son contrôle au quotidien restent deux choses distinctes : le contrôle suit les rôles d’administration, et ces rôles s’attribuent séparément.

Ce que le rôle Global Administrator permet

Microsoft écrit que les détenteurs de ce rôle ont accès à toutes les fonctions d’administration de Microsoft Entra ID et des services qui utilisent les identités Entra, et il cite le portail Microsoft Defender, le portail Microsoft Purview, Exchange Online, SharePoint Online et Skype for Business Online. La même documentation ajoute que les Global Administrators ont un accès presque illimité aux réglages de votre organisation et à la plupart de ses données, et demande d’en limiter le nombre autant que possible.

Dans le détail, un Global Administrator peut réinitialiser le mot de passe de n’importe quel utilisateur et de tous les autres administrateurs, gérer les achats d’abonnements et de produits de l’organisation, ajouter et gérer les domaines, et débloquer un autre Global Administrator. Il peut aussi consulter les journaux d’activité de l’annuaire et élever ses droits pour gérer tous les abonnements Azure et tous les groupes d’administration ; Microsoft écrit qu’il obtient par là un accès complet à toutes les ressources Azure du tenant.

Sur les boîtes aux lettres et les fichiers, Microsoft documente des opérations d’administration qui rendent le contenu accessible. Convertir la boîte d’un collaborateur en boîte partagée conserve tous les courriers et le calendrier existants, dans une boîte à laquelle plusieurs personnes accèdent. Quand un compte est supprimé, un autre utilisateur peut recevoir l’accès au OneDrive et dispose alors de trente jours par défaut pour consulter et télécharger les fichiers à conserver ; par défaut, c’est le responsable hiérarchique du collaborateur qui reçoit cet accès automatiquement.

Microsoft documente une limite du rôle : un Global Administrator ne peut pas retirer sa propre attribution, et Microsoft l’en empêche pour éviter qu’une organisation se retrouve sans aucun Global Administrator. Le rôle porte à l’inverse une exclusivité : seuls les Global Administrators peuvent voir et gérer les abonnements achetés par l’intermédiaire d’un partenaire.

Ce qu’un partenaire détient sur votre tenant : administration déléguée, revendeur, conseiller d’abonnement

Un partenaire peut être lié à votre environnement de plusieurs façons, qui ne se retirent pas de la même manière. L’administration déléguée lui donne des droits sur vos services ; la relation de revendeur et le rôle de conseiller d’abonnement sont commerciaux.

L’administration déléguée. Microsoft la définit ainsi : elle permet aux techniciens d’un partenaire Cloud Solution Provider d’administrer des services Microsoft comme Microsoft 365, Dynamics 365 et Azure pour le compte de votre organisation, avec les mêmes rôles et les mêmes permissions que vos propres administrateurs. Ces rôles sont attribués à des groupes de sécurité situés dans le tenant Entra du partenaire, ce qui fait que ses techniciens n’ont pas besoin d’un compte utilisateur dans votre tenant pour administrer vos services.

Microsoft écrit qu’il existe deux types de relation d’administration déléguée : l’ancien, DAP, et l’actuel, GDAP.

DAP. Toutes les relations DAP permettent au CSP de déléguer à ses techniciens les rôles Global Administrator et Helpdesk Administrator. Le groupe Admin Agents du partenaire se voit attribuer le rôle Global Administrator dans votre tenant Entra. Une relation DAP dure jusqu’à ce que vous ou votre CSP la révoquiez : elle n’expire pas d’elle-même.

GDAP. Microsoft le présente comme une fonction de sécurité qui donne au partenaire un accès à moindre privilège, granulaire et limité dans le temps, sur les workloads de ses clients, c’est-à-dire sur les services qu’il administre pour eux. Le client doit accorder cet accès explicitement. Quand un CSP crée une demande de relation GDAP pour votre tenant, un Global Administrator de votre côté doit l’approuver, et la demande précise le tenant du partenaire, les rôles qu’il veut pouvoir déléguer à ses techniciens et la date d’expiration.

La durée maximale d’une relation GDAP est de deux ans, et Microsoft écrit que les relations permanentes ne sont pas possibles pour des raisons de sécurité. Une extension automatique peut prolonger une relation de six mois, jusqu’à ce qu’elle soit résiliée ou l’extension désactivée. Le consentement du client n’est pas requis pour activer cette extension sur une relation GDAP active existante. Une relation portant le rôle Global Administrator ne peut pas être prolongée automatiquement.

Microsoft a mené lui-même une partie du passage de DAP à GDAP. Pour les partenaires concernés, il crée automatiquement une relation GDAP avec un jeu de rôles par défaut, attribue ces rôles à des groupes de sécurité CSP prédéfinis, puis retire la relation DAP trente jours plus tard. La relation ainsi créée dure un an et porte un nom qui commence par MLT_. Microsoft précise que les courriels qui partiraient normalement vers les clients dans le cadre de cette transition ne sont pas envoyés.

La relation de revendeur. Elle est commerciale, et distincte des droits d’administration. Microsoft écrit que retirer les relations GDAP d’un client ne met pas fin à la relation de revendeur du partenaire, et que celui-ci peut continuer à acheter des produits pour ce client et à gérer son budget Azure.

Le conseiller d’abonnement. Un partenaire autorisé par Microsoft peut aussi être partner of record sur un abonnement. Microsoft le décrit comme un conseiller qui apporte la vente, le support et l’expertise technique nécessaires pour mettre en place et maintenir votre abonnement Microsoft 365. Il s’ajoute au moment de l’achat ou plus tard, en saisissant son identifiant de partenaire Microsoft.

Sur ce que les désignations Microsoft attestent d’un partenaire, et sur ce qu’elles ne disent pas, voir choisir un partenaire Microsoft.

Où voir vos relations partenaires, et comment en retirer une

Dans le centre d’administration Microsoft 365, dans le menu de navigation, ouvrez Settings, puis Partner relationships : vos partenaires y sont listés. Si vous n’en avez aucun, la page affiche un message indiquant que vous n’avez pas encore de partenaire.

C’est la page que Microsoft désigne pour savoir quels partenaires disposent de privilèges d’administration délégués sur votre tenant. Il écrit aussi que la méthode recommandée à un client pour voir ou retirer les relations GDAP existantes passe par le portail admin.microsoft.com. Une page Delegated administration du portail Azure liste par ailleurs les deux types de relation, DAP et GDAP.

Le retrait des privilèges délégués se fait au même endroit : sélectionnez la ligne du partenaire, choisissez Remove roles, puis confirmez. Microsoft écrit qu’à ce moment les attributions de rôles Entra sont retirées et que le partenaire ne peut plus administrer votre tenant Entra. Les groupes de sécurité rattachés à la relation perdent l’accès à votre organisation, et il en va de même quand un client met fin à une relation DAP.

Le conseiller d’abonnement se change ou se retire ailleurs : depuis l’abonnement lui-même, sous Billing puis Your products, ou sous Subscriptions en vue simplifiée, en ouvrant l’abonnement et en choisissant Remove sous Partner information. Microsoft précise que ces opérations demandent un compte de facturation de type Microsoft Online Services Agreement et au moins le rôle Billing Administrator.

Ce qui survit au retrait des privilèges délégués

Deux choses survivent à ce retrait, et Microsoft les documente toutes les deux.

Les rôles sur les abonnements Azure. Quand un client retire les privilèges d’administration délégués depuis le portail, le partenaire peut toujours gérer l’abonnement Azure de ce client tant qu’il reste attribué à un ou plusieurs rôles sur cet abonnement. Pour l’en empêcher, il faut retirer l’attribution de rôle elle-même, ce qui est un geste séparé.

La relation de revendeur. Vous ne pouvez pas la retirer vous-même. Si vous essayez, l’option de suppression est grisée, et Microsoft renvoie vers une procédure que le partenaire revendeur exécute de son côté.

La reprise de tenant documentée par Microsoft, et le cas qu’elle couvre

Microsoft documente une procédure de reprise sous le nom d’admin takeover d’un annuaire non géré. Le cas visé est celui d’un tenant né sans décision de l’entreprise : quand un utilisateur s’inscrit en libre-service à un service en ligne qui utilise Microsoft Entra ID, il est ajouté à un annuaire Entra non géré, construit à partir du domaine de son adresse de messagerie.

La procédure existe en deux formes, et la preuve passe dans les deux cas par le DNS : vous ajoutez un enregistrement TXT chez votre registrar, l’organisme auprès duquel votre domaine est enregistré, et une fois cet enregistrement vérifié vous pouvez administrer l’organisation Entra. La reprise interne attribue au demandeur le rôle Global Administrator de l’annuaire non géré, sans migrer aucun utilisateur, domaine ni plan de service vers un autre annuaire. La reprise externe ajoute le nom de domaine à un annuaire que vous administrez déjà et déplace avec lui les utilisateurs, les abonnements et les attributions de licences ; Microsoft écrit qu’elle n’est pas prise en charge pour un service dont les plans comprennent SharePoint, OneDrive ou Skype for Business.

La portée de cette procédure est étroite. Elle règle le cas du tenant né d’une inscription en libre-service. Elle ne s’applique pas à un tenant géré, où votre domaine est déjà vérifié et où des comptes détiennent le rôle Global Administrator. Deux leviers documentés restent alors disponibles : détenir vous-même au moins un compte Global Administrator, et retirer les relations d’administration déléguée.

Détenir un compte Global Administrator que vous contrôlez est l’objet des comptes d’accès d’urgence. Microsoft recommande d’en créer au moins deux, en comptes cloud uniquement sur le domaine en .onmicrosoft.com, sans fédération ni synchronisation depuis un annuaire local, avec le rôle Global Administrator, et d’en conserver les identifiants dans un endroit sûr accessible à plusieurs membres de l’équipe d’administration. Parmi les situations qui justifient ces comptes, Microsoft cite le départ de la personne détenant le dernier accès Global Administrator : Entra ID empêche la suppression du dernier compte Global Administrator, mais n’empêche pas que ce compte soit supprimé ou désactivé côté annuaire local.

La sauvegarde de vos données Microsoft 365 : ce que Microsoft couvre

Microsoft écrit que, quel que soit le type de déploiement, vous conservez la responsabilité de vos données, de vos terminaux, de la gestion des comptes et de la gestion des accès.

Microsoft applique par ailleurs ses propres délais de conservation. La période de rétention par défaut d’un OneDrive dont le compte a été supprimé est de trente jours, modifiable dans le centre d’administration SharePoint. À l’expiration de cette période, le OneDrive est déplacé dans la corbeille de la collection de sites, où il est conservé quatre-vingt-treize jours, et sa restauration demande alors de passer par PowerShell, en ligne de commande.

La sauvegarde proprement dite est un produit distinct. Microsoft 365 Backup couvre les sites SharePoint, les comptes OneDrive et les boîtes Exchange, avec une fenêtre de récupération configurable dans la politique de sauvegarde à trois mois, six mois, un an ou deux ans. Microsoft écrit que c’est une offre facturée à la consommation, et non à la licence par utilisateur, et que la même capacité peut être exploitée par une application partenaire construite sur la plateforme Microsoft 365 Backup Storage : dans ce cas, l’exploitation de l’outil est gérée et payée entièrement à travers l’application du partenaire.

La même question de propriété vaut pour la sauvegarde. Trois choses se détiennent séparément : l’abonnement au produit de sauvegarde et sa facturation, la durée de rétention configurée, et la console depuis laquelle une restauration se déclenche. Chacune peut être chez vous ou chez votre prestataire, et les trois réponses ne sont pas forcément les mêmes.

Les mêmes questions se posent pour une application métier développée pour vous : où sont stockées les données, qui détient les accès d’administration, et combien de temps il faudrait à un tiers pour reprendre la main.

Notre lecture

Qu’un prestataire détienne des accès d’administration sur votre tenant est une situation de travail ordinaire. La question à poser vous concerne d’abord : détenez-vous au moins un compte Global Administrator que vous contrôlez, et savez-vous le retrouver ? Si la réponse est non, c’est le premier point à traiter, avant toute discussion sur les relations déléguées, sur la sauvegarde ou sur un changement de prestataire.

Si une relation DAP subsiste dans votre tenant, nous tranchons : demandez son remplacement par une relation GDAP. Une relation GDAP porte des rôles nommés et une date d’expiration, là où l’accès Global Administrator délégué par une relation DAP ne s’éteint pas de lui-même. La condition qui change la réponse est le périmètre du mandat : un prestataire lié par un mandat d’infogérance sur tout votre environnement aura besoin de rôles étendus, et refuser par principe des droits dont le travail a besoin coûte du temps à chaque intervention. La durée et la traçabilité des droits se règlent dans la relation GDAP elle-même ; leur étendue dépend du périmètre du mandat.

Si vos accès d’administration sont en ordre, que les relations partenaires correspondent à ce que vous avez signé et que la sauvegarde est facturée sur votre propre abonnement, l’inventaire s’arrête là. Ce sujet ne justifie pas un projet.

Ce que vous pouvez vérifier aujourd’hui

1. Ouvrez Settings puis Partner relationships dans le centre d’administration Microsoft 365 et lisez la liste. Elle indique les partenaires avec lesquels vous travaillez et ceux qui disposent de privilèges d’administration délégués sur votre tenant.
2. Ouvrez la page Role assignments du même centre d’administration, sélectionnez le rôle Global Administrator et consultez l’onglet des administrateurs assignés.
3. Vérifiez qu’au moins un de ces comptes est le vôtre, et qu’il est utilisable, pas seulement présent dans la liste.
4. Regardez les attributions de rôles sur vos abonnements Azure : retirer les privilèges d’administration délégués n’y touche pas.
5. Demandez sur quel abonnement la sauvegarde de vos données Microsoft 365 est facturée, quelle durée de rétention est configurée, et qui peut déclencher une restauration.
6. Si vous n’avez pas de comptes d’accès d’urgence, créez-en deux selon les règles publiées par Microsoft, et testez-les.

Aucun de ces points ne demande un prestataire.

Les sources Microsoft

• Subscriptions, licenses, accounts, and tenants for Microsoft’s cloud offerings
• About administrator roles in the Microsoft 365 admin center
• Shared responsibility in the cloud
• Delegated administration in Microsoft Entra ID
• Granular delegated admin privileges (GDAP) introduction
• GDAP frequently asked questions
• Microsoft-led transition from DAP to GDAP
• Obtain a customer’s admin privileges
• Add, change, or delete a Microsoft 365 subscription advisor partner
• Admin takeover of an unmanaged directory
• Manage emergency access admin accounts
• Forward a former employee’s email to another employee or convert to a shared mailbox
• OneDrive retention and deletion
• Overview of Microsoft 365 Backup