Contrôler les accès externes (guests) dans Microsoft Teams

L'accès invité dans Microsoft Teams permet à des personnes extérieures à l'organisation de collaborer sur des canaux, des fichiers et des réunions. C'est une fonctionnalité précieuse, mais qui, sans gouvernance adaptée, expose le tenant à des risques réels de fuite de données, d'accumulation de comptes inactifs et de perte de visibilité. Teams Governor permet d'identifier, de contrôler et d'automatiser la gestion de ces accès tout au long du cycle de vie des espaces collaboratifs.

À retenir : un guest (invité) est un utilisateur externe invité dans une équipe Teams. Il possède un compte invité Microsoft Entra B2B dans votre tenant et dispose d'un accès limité, mais réel, aux ressources associées à l'équipe (fichiers SharePoint, conversations, onglets…). [1]

Pourquoi les accès guests sont-ils risqués ?

Les accès invités sont souvent ajoutés ponctuellement, pour un projet ou une collaboration courte. Sans processus de révision régulier, ils s'accumulent et créent des angles morts dans la sécurité du tenant.

• Persistance excessive : un guest reste actif bien après la fin de la collaboration, conservant l'accès aux fichiers et conversations.
• Visibilité réduite : les propriétaires d'équipes n'ont pas toujours conscience du nombre et de l'identité des invités présents dans leurs espaces.
• Accès aux données sensibles : un invité a accès au site SharePoint associé à l'équipe, y compris aux bibliothèques de documents et aux listes.
• Comptes dormants : un invité qui n'a plus de relation avec l'organisation peut toujours se connecter si son compte n'est pas révoqué.
• Conformité : certains référentiels (ISO 27001, HDS, NIS2) exigent une revue périodique des accès tiers. [2]

Microsoft indique que les accès invités dans Teams héritent des paramètres de partage externe définis au niveau de SharePoint et de Microsoft Entra ID. Un mauvais paramétrage au niveau tenant peut ouvrir des accès plus larges que prévu. [1]

Bonnes pratiques recommandées par Microsoft

Limiter qui peut inviter des guests

La capacité d’inviter un compte dans l’annuaire et celle de l’ajouter à une équipe sont des contrôles distincts. Vérifiez les paramètres Microsoft Entra, Teams et SharePoint ainsi que les rôles autorisés à inviter, plutôt que de supposer que tout membre peut ajouter un invité à une équipe. [3]

Les modèles Teams Governor définissent notamment le niveau de partage SharePoint et les liens par défaut. Ils ne remplacent pas les politiques Microsoft Entra et Teams qui contrôlent les invitations et l’ajout de membres.

Activer les révisions d'accès (Access Reviews)

Microsoft Entra ID propose des révisions d'accès permettant de demander périodiquement aux propriétaires de confirmer si chaque invité doit conserver son accès. [2]

• Révision hebdomadaire, mensuelle ou trimestrielle.
• Notification automatique aux propriétaires.
• Suppression automatique des invités non confirmés.

Comment configurer une révision d'accès pour les guests Teams ?

Dans le portail Microsoft Entra ID, accédez à Identity Governance > Access Reviews, créez une nouvelle révision ciblant les membres invités (rôle Guest) des groupes Microsoft 365 associés aux équipes Teams, définissez la fréquence et les responsables de la révision, puis activez la suppression automatique des accès non confirmés.

Référence : [2] Microsoft Learn — Access reviews overview.

Définir une expiration des invités

Une expiration d’accès SharePoint, une révision d’accès Entra et la suppression d’un compte invité sont des opérations différentes. Un invité inactif n’est pas automatiquement supprimé de l’annuaire par Teams Governor. Configurez les mécanismes Microsoft adaptés à vos licences et validez les règles de retrait d’accès. [4]

Combinez les revues Microsoft Entra et les cycles de vie Teams Governor selon votre périmètre. Le retrait d’un accès au projet n’est ni une désactivation ni une suppression du compte invité.

Contrôle des guests avec Teams Governor

Visibilité dans la page Requêtes

Teams Governor affiche pour chaque projet le nombre d’utilisateurs externes recensés, permettant aux administrateurs d'identifier rapidement les équipes avec un nombre élevé de guests ou des invités particulièrement anciens.

• Nombre total d'invités par équipe.
• Identification des équipes sans propriétaire actif avec des guests présents.
• Priorisation des actions selon le risque (équipes sensibles, volumétrie).

Automatiser via les cycles de vie

L'approche la plus structurante consiste à intégrer la gestion des guests directement dans le cycle de vie de l'équipe. Teams Governor permet de déclencher des actions sur les invités lors du passage d'une étape à une autre.

• Étape « Stabilisation » : notification aux propriétaires pour réviser la liste des invités.
• Étape « Clôture » : retrait des accès externes traités par l’action configurée, si elle est activée.
• Étape « Archivage » : archivage de l’équipe ou restrictions de partage, selon les options activées ; ces actions sont distinctes.

Astuce : déclenchez une étape « Révision des accès » automatiquement après N jours d'inactivité de l'équipe. Cela permet de nettoyer les invités sans attendre la clôture formelle du projet.

Action manuelle sur un projet

En dehors des actions automatisées, il est possible d'agir directement depuis les propriétés d'un projet :

1. Ouvrir les Propriétés du projet.
2. Cliquer sur Mettre à jour le projet.
3. Sélectionner Personnalisé.
4. Cocher Supprimer les invités de l'équipe.

Vérifiez le périmètre des accès retirés et les éventuels liens ou accès accordés ailleurs. Cette action ne supprime pas le compte Microsoft Entra de l’invité, qui reste dans l’annuaire jusqu’à une décision d’administration explicite.

Paramétrer les règles guest dans le modèle

Dans Teams Governor, chaque modèle d'équipe peut inclure des règles relatives aux guests :

• Niveau de partage externe du site SharePoint associé.
• Définition du lien de partage par défaut pour les fichiers partagés avec des externes.
• Visibilité publique ou privée de l’équipe, indépendamment de la présence d’invités.

Pourquoi imposer « Privé » pour toute équipe avec guests ?

Une équipe publique est visible et rejoignable par tous les membres de l'organisation. Si des invités y sont présents, toutes les conversations et tous les fichiers accessibles aux membres internes le sont potentiellement aussi aux externes. Le mode Privé limite l’adhésion à l’équipe, mais ne supprime pas les permissions et liens SharePoint accordés séparément. Il ne constitue pas à lui seul une garantie sur tous les contenus.

Référence : [5] Microsoft Learn — Vue d'ensemble des équipes et canaux.

Synthèse de l'approche recommandée

Pour aller plus loin

• Accès invité dans Microsoft Teams — Microsoft Learn [1]
• Vue d'ensemble des révisions d'accès (Entra ID Governance) — Microsoft Learn [2]
• Configurer l'accès invité dans Teams — Microsoft Learn [3]
• Restreindre les autorisations des invités dans Microsoft Entra ID — Microsoft Learn [4]
• Vue d'ensemble des équipes et canaux Teams — Microsoft Learn [5]
• Limiter le partage dans Microsoft 365 — Microsoft Learn

Sources : [1] Microsoft Learn — Guest access in Teams. [2] Microsoft Learn — Access reviews overview. [3] Microsoft Learn — Set up guest access in Teams. [4] Microsoft Learn — Restrict guest permissions. [5] Microsoft Learn — Teams and channels overview.