Bloquer la création directe de Teams et de sites SharePoint

Cette procédure explique comment empêcher les utilisateurs finaux de créer des équipes Microsoft Teams et des sites SharePoint en libre-service, afin d’imposer un passage par Teams Governor (demande, approbation, modèle, cycle de vie).

À savoir : Teams repose sur les Groupes Microsoft 365. Limiter la création de groupes limite donc la création de Teams (ainsi que d’autres services qui en dépendent). Des licences Microsoft Entra ID P1/P2 sont requises pour l’admin configurateur et les membres du groupe autorisé à créer. [1]

Étapes (recommandation Microsoft)

1. Restreindre qui peut créer des Groupes Microsoft 365 (impacte Teams)

La restriction s’effectue au niveau du répertoire (Group.Unified) via Microsoft Graph PowerShell : on désactive la création pour tous, puis on autorise un groupe de sécurité spécifique (ex. « Créateurs approuvés »). [1][2]

Script PowerShell (Microsoft Graph SDK) — exécuter en tant qu’administrateur

# 1) Prérequis : Graph SDK
Install-Module Microsoft.Graph -Scope CurrentUser
Install-Module Microsoft.Graph.Beta -Scope CurrentUser  # pour DirectorySettings (si nécessaire)

# 2) Connexion avec les scopes requis
Connect-MgGraph -Scopes "Directory.ReadWrite.All","Group.Read.All"

# 3) Récupérer ou créer le paramétrage Group.Unified
$settings = Get-MgBetaDirectorySetting | Where-Object {$_.DisplayName -eq "Group.Unified"}
if (-not $settings) {
  $template = Get-MgBetaDirectorySettingTemplate | Where-Object {$_.DisplayName -eq "Group.Unified"}
}

# 4) Spécifier le groupe de sécurité autorisé (remplacer par l'affichage exact)
$allowedGroup = Get-MgGroup -Filter "displayName eq 'Créateurs approuvés'"
if (-not $allowedGroup) { throw "Le groupe 'Créateurs approuvés' est introuvable." }

# 5) Désactiver la création pour tous, et autoriser ce groupe uniquement
$values = @(
  @{Name = "EnableGroupCreation"; Value = "false"}
  @{Name = "GroupCreationAllowedGroupId"; Value = $allowedGroup.Id}
)
if ($settings) {
  $values += @($settings.Values | Where-Object { $_.Name -notin "EnableGroupCreation","GroupCreationAllowedGroupId" } |
    ForEach-Object { @{Name = $_.Name; Value = $_.Value} })
  Update-MgBetaDirectorySetting -DirectorySettingId $settings.Id -Values $values
} else {
  $settings = New-MgBetaDirectorySetting -TemplateId $template.Id -Values $values
}

# 6) Vérifier
(Get-MgBetaDirectorySetting -DirectorySettingId $settings.Id).Values | 
  Where-Object Name -in "EnableGroupCreation","GroupCreationAllowedGroupId" | 
  Format-Table Name,Value

Référence : Manage who can create Microsoft 365 Groups • Configure group settings (Group.Unified). [1][2]

Effet de bord attendu : la restriction s’applique aussi à Outlook, Planner, Viva Engage, Project (et autres services adossés aux Groupes). [1]

2. Désactiver la création libre de sites SharePoint

Dans le Centre d’administration SharePoint : Settings → Site creation → désélectionner Users can create SharePoint sites. Cette option n’affecte pas la création de sites via des Groupes/Teams si l’étape 1 n’est pas faite. [3]

Intégration avec Teams Governor

• Configurez séparément les restrictions Microsoft ; Teams Governor ne remplace pas automatiquement les boutons de création natifs.
• Communiquez le parcours de demande Teams Governor : approbation si le modèle l’exige, provisionnement, nommage et cycle de vie.
• Documentez les exceptions administratives et vérifiez que l’identité applicative du backend conserve les autorisations de provisionnement nécessaires.

FAQ

Peut‑on bloquer la création de Teams uniquement ?

Non. On contrôle la création de Teams en contrôlant la création des Groupes Microsoft 365 (Teams en dépend). [5]

Sources : Microsoft Learn (Groupes M365, paramètres Group.Unified, gouvernance Teams) et documentation SharePoint. [1][2][4][3]