Autorisations SharePoint : les bonnes pratiques pour une architecture des informations moderne

Les autorisations et la sécurité dans SharePoint ont toujours été des sujets un peu délicats. C’est en partie dû au fait que nous essayons d’appliquer à la sécurité les schémas organiques selon lesquels nous travaillons, nous autres humains. Mais la sécurité a tendance à être plus rigide.

En savoir plus:

• De la licence E3 à E5 pour renforcer la protection des données Microsoft 365
• Elaborez un plan solide d’atténuation des risques liés à l’information
• Comment Microsoft lutte contre les rançongiciels avec de nouvelles simulations d’hameçonnage
• Découvrez des scénarios de risques de données

Alors que dans nos structures organisationnelles, nous pouvons intervenir à certains endroits mais pas à d’autres, nous mettons tout dans le même sac en matière de sécurité et appliquons des autorisations où bon nous semble à tous les niveaux de la structure. Dans les faits, cela s’est traduit par la définition d’autorisations granulaires dans notre architecture SharePoint, du type : des modifications peuvent être apportées dans cette bibliothèque, sauf dans les dossiers A, D et H. Cela dit, les sous-dossiers A.1 et D.4 sont modifiables aussi… Ce schéma a été appliqué à un grand nombre de sites et de sous-sites.

L’expérience utilisateur résultante se décrit en quelques mots : c’est compliqué, déroutant et frustrant.

Ces dernières années, l’accent mis sur l’architecture plate ne vous a sans doute pas échappé. Aplatir l’architecture des sites et des bibliothèques est avantageux pour plusieurs raisons. Selon moi, les avantages dans le domaine de la sécurité et des autorisations sont les plus importants et les plus pratiques. Mais avant de nous plonger dans Sharepoint moderne, intéressons-nous d’abord aux bonnes pratiques de base en matière de sécurité, celles qui ont amplement fait leurs preuves.

Bonnes pratiques en matière de sécurité SharePoint

S’agissant de la sécurité dans SharePoint, la meilleure pratique consiste à sécuriser le plus grand élément possible afin d’éviter les autorisations granulaires.

Une telle démarche est pertinente parce que SharePoint fonctionne sur le principe de l’héritage. Par défaut, les sites de niveau supérieur transmettent leurs caractéristiques et autorisations aux éléments et contenus des sites. Les listes et les bibliothèques héritent de celles du site qui les héberge, tandis que les dossiers (créés avec parcimonie, faut-il espérer) héritent de celles de la liste/bibliothèque qui les contient. De leur côté, les éléments et fichiers héritent de celles de la liste/bibliothèque (ou des dossiers, le cas échéant) où ils sont placés.

Lorsque l’on applique des autorisations différentes à une liste ou bibliothèque, ou encore à un dossier ou un objet, on rompt la chaîne de transmission des autorisations à partir du site. En gros, on perce des trous dans le canevas des autorisations du site.

Plus on perce de trous dans ce canevas, plus le site nécessite de gestion. Si l’on crée des groupes d’autorisations supplémentaires, ceux-ci doivent être gérés. Lorsque de nouveaux membres intègrent l’équipe, ils doivent être individuellement ajoutés partout où des autorisations granulaires ont été ajoutées.

Dans le cadre de ma fonction au support technique, je ne compte plus les occasions où l’on a fait appel à moi pour démêler des enchevêtrements d’autorisations rompues créées pour des sites ou des bibliothèques. Les utilisateurs sont frustrés parce qu’ils ne parviennent pas à accéder aux contenus dont ils ont besoin, et de plus en plus d’entre eux se demandent : « Pourquoi SharePoint est-il si difficile à utiliser ? »

En prenant un peu de recul est en se remémorant les bonnes pratiques, il est possible de simplifier les autorisations. Voici quelques conseils qui vous aideront dans cette démarche.

Bâtissez en fonction de la sécurité

Ou, à l’inverse : ne bâtissez pas en fonction de l’organigramme.

Si vous bâtissez votre architecture en fonction de vos besoins en matière de sécurité, la nécessité d’introduire des autorisations granulaires se fera moins pressante.

L’organigramme d’une entreprise indique qui rend compte à qui, mais il ne précise pas qui peut accéder, modifier, consommer ou être propriétaire de la documentation d’un secteur donné. Le vice-président du service informatique n’a pas besoin d’être propriétaire du site IT. Il ne crée pas de listes ou de bibliothèques et ne définit pas de métadonnées, mais il est fort probable qu’il soit consommateur de ces données.

Posez les questions importantes

N’hésitez pas à vous poser des questions telles que : qui doit pouvoir accéder à tel ou tel élément ? Quel type d’accès est nécessaire ? Lorsque vous recevez une demande de création d’autorisations granulaires – ce qui ne manquera pas d’arriver – interrogez-vous :

1. Du point de vue de la sécurité, s’agit-il d’un besoinou d’un souhait ?
2. S’il s’agit d’un besoin, le fait que toute personne ayant accès au site peut accéder au contenu concerné à l’aide de ses autorisations d’accès au site par défaut constitue-t-il vraiment une violation de la sécurité ?

La plupart du temps, les bibliothèques ou dossiers pour lesquels on rompt des autorisations auraient dû d’emblée être définis sur des sites distincts. Il n’est pas rare d’avoir des sous-ensembles de dossiers dotés d’autorisations identiques et, à côté de cela, d’avoir des listes dotées d’autorisations granulaires correspondant aux dossiers, ce afin de permettre à un groupe d’utilisateurs particulier du site d’accéder de façon sécurisée au contenu de ces listes et bibliothèques. Pourquoi ne pas simplement tout mettre à disposition sur un site où les autorisations seraient configurées correctement ? Dans ce cas, il serait possible de créer des liens pour aider les utilisateurs à passer d’un site à l’autre.

Cela permettrait d’éviter le risque que des personnes non autorisées trouvent par hasard des contenus auxquels elles ne devraient pas avoir accès. En outre, cela permettrait de réduire les frais de gestion des autorisations. Notez au passage que ce que je viens de décrire n’est rien d’autre qu’une architecture plate.

Voici donc les principes de base qui s’appliquent aussi bien à la version classique qu’à la version moderne de SharePoint À présent, intéressons-nous plus précisément à la sécurité dans SharePoint Online moderne. Il y a des points communs et des différences.

Sécurité et autorisations dans l’architecture SharePoint moderne

Commençons par un rappel : SharePoint est toujours SharePoint. Mais l’application a légèrement évolué. Comme je l’ai déjà mentionné, SharePoint moderne met l’accent sur la création d’une architecture des informations plate (AI). Finis les sous-sites, les dossiers profondément imbriqués (de grâce, arrêtez d’imbriquer, dans votre propre intérêt !).

Les sites SharePoint modernes ont toujours des propriétaires de site, des membres et des visiteurs de confiance.

L’architecture des informations est conçue de façon modulaire. L’une des principales raisons de cette désaffection pour les sous-sites est que l’intranet ne se limite pas à SharePoint. Il y a Microsoft Teams, le Planificateur et Stream, pour ne citer que quelques applications. Microsoft s’est concentré sur ces fonctions et fonctionnalités au niveau des sites de niveau supérieur. Heureusement, il n’est pas nécessaire de gérer les autorisations application par application. Groupes Microsoft 365 fait office de service de sécurité et permet de gérer l’ensemble des autorisations de ces boîtes à outils Microsoft 365 de façon centralisée.

Adopter cette méthodologie dans l’AI facilite grandement la gestion des autorisations. Il suffit alors de se servir de sites de communication pour héberger les contenus auxquels tout le monde dans l’organisation devrait avoir accès et de sites d’équipe pour les contenus collaboratifs des services, des unités commerciales ou des projets dont l’accès est réservé à des groupes de personnes particuliers. En ce qui me concerne, j’aime commencer par Microsoft Teams pour les espaces de collaboration. Lorsque je crée une équipe, j’obtiens également un site d’équipe SharePoint, un plan du Planificateur, une boîte de réception de groupe dans Outlook et un bloc-notes OneNote. À mesure que j’ajoute des personnes à l’équipe, je les ajoute en réalité au Groupe Microsoft 365 relié à toutes les applications associées. Vie la gestion centralisée des autorisations !

En revanche, les sites de communication n’ont pas accès à Groupes Microsoft 365. Ceux-ci se réduisent à l’essentiel, car le gros du travail de collaboration se fait sur les sites d’équipe.

À mesure que vous bâtissez votre architecture, si vous estimez qu’elle prend trop d’ampleur et que vous auriez besoin de recréer le schéma classique « sous-sites et sites de niveau supérieur », songez plutôt à créer des sites hub. Ce webinaire explique comment les sites hub peuvent permettre de relier entre eux des sites connexes pour permettre une navigation cohérente, des recherches ciblées et un regroupement des contenus. Depuis l’enregistrement de ce webinaire, Microsoft a introduit un groupe appelé « Visiteurs du hub » qui permet désormais de créer un groupe pouvant accéder en lecture à tous les sites d’un hub.

 Pour résumer :

• La meilleure pratique consiste à sécuriser le plus grand élément possible.
• L’architecture de SharePoint moderne est plate.
• L’AI plate permet aux sites SharePoint de tirer parti de toutes les fonctions et fonctionnalités de Microsoft 365.
• Les enchevêtrements d’autorisations rompues entre les sites/sous-sites ou les sites/bibliothèque/dossiers appartiennent au passé.

Comme je l’ai déjà souligné, SharePoint a changé, mais il s’agit toujours de SharePoint. Prenez le temps de planifier, impliquez les utilisateurs de votre entreprise pour découvrir comment ils travaillent et avec qui, et servez-vous de ces informations pour créer une architecture des informations qui leur permette de travailler sans se heurter au casse-tête des autorisations brisées. Une AI moderne offre la sécurité et la flexibilité dont nous avons besoin pour améliorer les processus d’entreprise et rationaliser la collaboration.

Produits AvePoint

Vous avez besoin de stratégies pertinentes et réfléchies ainsi que d’un moyen de savoir quelles tâches avaient été effectuées par qui dans quel espace de collaboration ? AvePoint Cloud Governance vous permet d’appliquer automatiquement les stratégies de gouvernance au sein de votre organisation.

Pour en savoir plus sur les bonnes pratiques relatives à SharePoint, abonnez-vous à notre blog !