Restreindre les autorisations d'accès des invités dans Microsoft Entra ID

Aperçu

L’ID Microsoft Entra, qui fait partie de Microsoft Entra, vous permet de restreindre ce que les utilisateurs invités peuvent voir dans leur organisation dans l’ID Microsoft Entra. Les utilisateurs invités sont définis par défaut sur un niveau d’autorisation limité dans Microsoft Entra ID, tandis que les utilisateurs membres disposent de l’ensemble complet d’autorisations utilisateur. Il existe un autre niveau d’autorisation des utilisateurs invités dans les paramètres de collaboration externe de l’organisation Microsoft Entra qui offre un accès encore plus restreint. Les niveaux d’accès invité possibles sont les suivants :

Lorsque l’accès invité est restreint, les invités ne peuvent afficher que leur propre profil utilisateur. L’autorisation de voir d’autres utilisateurs n’est pas accordée, même si l’invité effectue une recherche par nom d’utilisateur principal ou par objectId. L’accès restreint empêche également les utilisateurs invités de consulter l’appartenance des groupes dont ils sont membres. Pour plus d’informations sur les autorisations utilisateur globales par défaut, consultez Quelles sont les autorisations utilisateur par défaut dans Microsoft Entra ID ?.

Mise à jour dans le Centre d’administration Microsoft Entra

1. Connectez-vous au centre d’administration Microsoft Entra en tant qu’administrateur d’utilisateurs .

2. SélectionnezIdentités externes>.

3. Sélectionnez Paramètres de collaboration externe.

4. Sur la page Paramètres de collaboration externe , sélectionnez l’option L’accès utilisateur invité est limité aux propriétés et appartenances de leurs propres objets annuaire.

   

5. Sélectionnez Enregistrer. La prise en compte des modifications pour les utilisateurs invités peut prendre jusqu’à 15 minutes.

Mise à jour avec l’API Microsoft Graph

Il existe une nouvelle API Microsoft Graph pour configurer les autorisations d’invité dans votre organisation Microsoft Entra. Les appels d’API suivants permettent d’assigner n’importe quel niveau d’autorisation. La valeur de guestUserRoleId utilisée ici permet d’illustrer le paramètre d’utilisateur invité le plus restreint. Pour savoir comment définir des autorisations invité avec Microsoft Graph, consultez authorizationPolicyType de ressource.

Configuration initiale

POST https://graph.microsoft.com/beta/policies/authorizationPolicy/authorizationPolicy

{
  "guestUserRoleId": "2af84b1e-32c8-42b7-82bc-daa82404023b"
}

La réponse doit être Réussite 204.

Mise à jour de la valeur existante

PATCH https://graph.microsoft.com/beta/policies/authorizationPolicy/authorizationPolicy

{
  "guestUserRoleId": "2af84b1e-32c8-42b7-82bc-daa82404023b"
}

La réponse doit être Réussite 204.

Affichage de la valeur actuelle

GET https://graph.microsoft.com/beta/policies/authorizationPolicy/authorizationPolicy

Exemple de réponse :

{
    "@odata.context": "https://graph.microsoft.com/beta/$metadata#policies/authorizationPolicy/$entity",
    "id": "authorizationPolicy",
    "displayName": "Authorization Policy",
    "description": "Used to manage authorization related settings across the company.",
    "enabledPreviewFeatures": [],
    "guestUserRoleId": "10dae51f-b6af-4016-8d66-8c2a99b929b3",
    "permissionGrantPolicyIdsAssignedToDefaultUserRole": [
        "user-default-legacy"
    ]
}

Mise à jour avec des cmdlets PowerShell

Avec cette fonctionnalité, la possibilité de configurer les autorisations restreintes via les applets de commande PowerShell v2 a été ajoutée. Les cmdlets PowerShell Get et Update ont été publiées dans la version 2.0.2.85.

Commande Get : Get-MgPolicyAuthorizationPolicy

Exemple :

Get-MgPolicyAuthorizationPolicy | Format-List

AllowEmailVerifiedUsersToJoinOrganization : True
AllowInvitesFrom                          : everyone
AllowUserConsentForRiskyApps              :
AllowedToSignUpEmailBasedSubscriptions    : True
AllowedToUseSspr                          : True
BlockMsolPowerShell                       : False
DefaultUserRolePermissions                : Microsoft.Graph.PowerShell.Models.MicrosoftGraphDefaultUserRolePermissions
DeletedDateTime                           :
Description                               : Used to manage authorization related settings across the company.
DisplayName                               : Authorization Policy
GuestUserRoleId                           : 10dae51f-b6af-4016-8d66-8c2a99b929b3
Id                                        : authorizationPolicy
AdditionalProperties                      : {[@odata.context, https://graph.microsoft.com/v1.0/$metadata#policies/authorizationPolicy/$entity]}

Commande Update : Update-MgPolicyAuthorizationPolicy

Exemple :

Update-MgPolicyAuthorizationPolicy -GuestUserRoleId '2af84b1e-32c8-42b7-82bc-daa82404023b'

Services Microsoft 365 pris en charge

Services pris en charge

Par support, l'expérience répond aux attentes ; en particulier qu'elle est identique à l'expérience de l'invité actuelle.

• Équipes
• Outlook (OWA)
• SharePoint
• Planificateur dans Microsoft Teams
• Application mobile Planificateur
• Application web Planificateur
• Project pour le web
• Opérations de projet

Services non pris en charge actuellement

Les services sans prise en charge actuelle peuvent rencontrer des problèmes de compatibilité avec le nouveau paramètre de restriction invité.

• Formulaires

• Projet en ligne

• Viva Engage

• Planificateur dans SharePoint

Foire Aux Questions (FAQ)

Étapes suivantes

• Pour en savoir plus sur les autorisations d’invité existantes dans Microsoft Entra ID, consultez Quelles sont les autorisations utilisateur par défaut dans Microsoft Entra ID ?
• Pour connaître les méthodes de l’API Microsoft Graph permettant de restreindre l’accès invité, consultez authorizationPolicyType de ressource
• Pour révoquer tous les accès d’un utilisateur, consultez Révocation de l’accès utilisateur dans Microsoft Entra ID