CoreView Access Reviews permettent aux administrateurs de tenant d’évaluer et d’ajuster les autorisations des utilisateurs sur les ressources Microsoft 365 à intervalles réguliers. Les administrateurs de tenant peuvent identifier et supprimer les autorisations utilisateur obsolètes et configurer les Access Reviews pour les aligner sur les politiques internes ou les exigences réglementaires, telles que NIST, ISO, ou SOC2. L’attribution des réviseurs, les notifications et la génération de rapports sont effectuées via des CoreView workflows automatisés. Toutes les décisions prises lors d’une Access Review sont consignées et peuvent être exportées à des fins d'audit.
Processus d’exécution d’une Access Review
1. Création d’une revue par les administrateurs de tenant
Les administrateurs de tenant initient chaque Access Review. Lors de la création, les administrateurs de tenant précisent quelles ressources (telles que Teams, groupes, boîtes aux lettres ou autres ressources Microsoft 365) sont incluses dans la revue. L’attribution des réviseurs s’effectue en sélectionnant les personnes ou groupes qui gèrent ou possèdent les ressources sélectionnées.
2. Exécution par les réviseurs attribués
Les réviseurs — généralement des propriétaires de groupes ou des responsables de ressources — contrôlent les autorisations actuelles de tous les utilisateurs sur les ressources ciblées. Les réviseurs choisissent d’approuver, de modifier ou de révoquer l’accès de chaque utilisateur. Les modifications restent en attente tant que la revue n’est pas finalisée.
3. Modèles et personnalisation
CoreView propose des modèles et des options de configuration pour des revues récurrentes de:
- Membres de Microsoft Teams ou de groupes
- Groupes de sécurité
- Accès des utilisateurs invités
- Autorisations de boîtes aux lettres
- Propriété OneDrive
- Membres de sites SharePoint
Qui peut être réviseur ?
Administrateur de tenant
Un administrateur de tenant est un utilisateur doté de privilèges d’administration pouvant désigner des réviseurs et initier des Access Reviews pour les ressources Microsoft 365 du tenant.
CoreView operator
Un CoreView operator peut être tout utilisateur disposant d’un rôle attribué dans CoreView, tel qu’un propriétaire de groupe, un administrateur délégué, ou une personne avec un rôle personnalisé dédié à la revue.
Utilisateur non-CoreView
Les utilisateurs sans compte CoreView, mais titulaires d’un compte dans le tenant Microsoft 365 de l’organisation, peuvent être choisis comme réviseurs. Dans ce cas, CoreView crée un compte temporaire avec un accès restreint limité aux tâches d’Access Review attribuées, en utilisant l’authentification Microsoft 365. Lorsque les tâches attribuées sont terminées, l’accès est révoqué jusqu’à leur participation à une nouvelle revue.
Cycle de vie d’une Access Review
Le cycle de vie d’une Access Review comporte les étapes suivantes :
- Initialisation : les administrateurs de tenant précisent les ressources à examiner, la durée de la revue, la planification et la configuration des notifications.
- Attribution : les réviseurs désignés reçoivent une notification par email.
- Exécution : les réviseurs approuvent, modifient ou révoquent les autorisations d’accès utilisateur pour chaque ressource. Toutes les modifications restent en attente jusqu’à la clôture de la revue.
- Suivi : les administrateurs de tenant suivent l’avancement de la revue via des tableaux de bord indiquant les pourcentages de complétion et les éléments en attente.
- Journalisation : à la fin de la revue, CoreView génère des journaux d’audit pour le cycle de la revue. Ces journaux peuvent être exportés au format CSV pour conservation ou intégration dans des systèmes externes de suivi de conformité.
.png)
Pour des instructions détaillées concernant la configuration et l’utilisation, reportez-vous aux articles suivants :