Comment appliquer des stratégies d'accès conditionnel à des sites SharePoint individuels

Les contextes d'authentification peuvent être utilisés parallèlement à l'accès conditionnel pour aider à sécuriser des sites SharePoint spécifiques qui doivent adhérer à des protocoles de sécurité plus rigoureux. Les étiquettes de sensibilité peuvent être utilisées pour aller plus loin en appliquant des contrôles supplémentaires qui ne peuvent pas être appliqués dans le cadre de l'accès conditionnel, tels que les paramètres de confidentialité du groupe et les options de partage externe.

Dans ce tutoriel, je vais vous montrer comment créer un nouveau contexte d'authentification et l'appliquer à un site SharePoint ou Teams, soit directement, soit via une étiquette de sensibilité. Je vous montrerai ensuite comment cibler ce contexte d'authentification avec un accès conditionnel.

Exigences en matière de licence

Pour pouvoir appliquer un contexte d'authentification à un site SharePoint ou des étiquettes à un site SharePoint, une licence Microsoft 365 E5 est requise.

Il existe également certaines limitations et éléments essentiels que vous devez connaître concernant l'utilisation des contextes d'authentification pour sécuriser des sites spécifiques :

Si vous appliquez un contexte d’authentification à un site principal « Teams activé ». Si vous créez un canal privé sous ce site, un site SharePoint pour le canal privé ne pourra pas être provisionné.
Si vous essayez de renommer un dossier dans Teams pour un site avec un contexte d’authentification appliqué, l’opération de renommage échouera.
Vous ne pourrez pas synchroniser les sites SharePoint avec un contexte d'authentification appliqué avec le client OneDrive.
Si vous essayez de copier des fichiers d’un site SharePoint sans contexte d’authentification appliqué vers un site avec un contexte d’authentification appliqué, cela échouera.

Créer un nouveau contexte d'authentification

Nous allons commencer par créer un nouveau contexte d'authentification en accès conditionnel. Les contextes d’authentification sont conçus pour fournir une sécurité supplémentaire aux données au sein d’applications telles que SharePoint ou d’autres applications « métier » protégées par Defender pour Cloud Apps. Dans mon exemple, notre contexte d'authentification sera ciblé par une stratégie d'accès conditionnel pour appliquer une sécurité supplémentaire, y compris une stratégie de blocage des téléchargements dans Defender pour les applications cloud et les points forts de l'authentification.

Puisque notre politique d'accès conditionnel cible notre contexte d'authentification, nous devrons également lier notre contexte d'authentification à notre application ou à notre site SharePoint. Cela peut être fait de plusieurs manières, que je détaillerai dans les prochaines étapes. La première est que nous pouvons configurer une étiquette de sensibilité avec notre contexte d'authentification d'accès conditionnel, où des paramètres supplémentaires peuvent également être appliqués au sein de cette étiquette, ou le contexte d'authentification peut être directement attribué au site SharePoint.

Pour créer un nouveau contexte d'authentification, suivez les étapes ci-dessous :

1. Connectez-vous à Microsoft Entra sur https://entra.microsoft.com

2. Développez Azure Active Directory, puis Protéger et sécuriser et sélectionnez Accès conditionnel.

3. Sélectionnez Contexte d'authentification puis Nouveau contexte d'authentification.

3. Choisissez un nom significatif pour votre contexte d'authentification, cochez la case Publier dans les applications afin que le contexte d'authentification puisse être utilisé, puis cliquez sur Enregistrer.

Votre nouveau contexte d'authentification sera désormais visible depuis l'onglet Contact d'authentification et pourra également être attribué aux applications et aux sites SharePoint.

Créer une étiquette de sensibilité avec le contexte d'authentification

Si vous ne souhaitez pas utiliser les étiquettes de sensibilité pour attribuer votre nouveau contexte d'authentification à un site, vous pouvez ignorer cette étape, sinon continuez la lecture. L'utilisation d'une étiquette de sensibilité vous permet d'inclure une protection supplémentaire sur votre site en fonction des paramètres que vous choisissez dans votre étiquette. Par exemple, vous pouvez inclure votre contexte d'authentification dans votre étiquette, ainsi que contrôler vos paramètres de partage externe pour le site avec une étiquette de sensibilité.

Pour créer une nouvelle étiquette de sensibilité, suivez les étapes ci-dessous :

1. Connectez-vous à Microsoft Purview ici : https://compliance.microsoft.com

2. Sous l'en-tête du menu Solutions, sélectionnez Protection des informations.

3. Sélectionnez l'onglet Étiquettes, puis Créer une étiquette.

4. Complétez le nom et la description de votre étiquette de sensibilité, en vous assurant qu'elle est significative et que les autres peuvent en comprendre l'objectif, en un coup d'œil. Cliquez ensuite sur Suivant.

5. Pour les besoins de ce didacticiel, je vais uniquement sélectionner Groupes et sites. Toutefois, si vous envisagez de rendre cette étiquette disponible pour que les utilisateurs puissent l'attribuer à des éléments et à d'autres ressources, activez-les de manière appropriée.

6. Cliquez sur Suivant jusqu'à ce que vous atteigniez la page Groupes et sites et cochez la case en regard de Paramètres de partage externe et d'accès conditionnel.

7. Sur la page des paramètres de partage externe et d'accès conditionnel, je vais également tirer le meilleur parti des options de partage externe pour cette étiquette de sensibilité. Ci-dessous, j'ai coché la case permettant de contrôler le partage externe à partir des sites SharePoint étiquetés et je l'ai définie sur Uniquement les personnes de votre organisation.

J'ai également coché la case à côté de Utiliser l'accès conditionnel Azure AD pour protéger les sites SharePoint étiquetés et sélectionné le contexte d'authentification que j'ai créé précédemment.

8. Cliquez sur Suivant jusqu'à atteindre la dernière page et sélectionnez Créer une étiquette.

9. Une fois l'étiquette créée, vous devrez la publier sur vos applications afin qu'elle puisse être attribuée. Sur la page Protection des informations, sélectionnez l'onglet Politiques d'étiquetage, puis Publier l'étiquette.

10. Sélectionnez votre nouvelle étiquette et cliquez sur Suivant.

11. Laissez le paramètre Publier vers les utilisateurs et les groupes comme par défaut et cliquez sur Suivant. Le paramètre par défaut doit être Activé pour tous les utilisateurs et groupes.

12. Cliquez sur Suivant, en laissant chaque page avec les paramètres par défaut jusqu'à ce que vous atteigniez la page Nommez votre stratégie, saisissez un nom significatif pour votre stratégie et cliquez sur Suivant, puis sur Soumettre.

Veuillez lire : Cela peut prendre jusqu'à 24 heures pour que votre nouveau libellé soit visible et que vous puissiez l'attribuer à votre site.

Appliquer l'étiquette de sensibilité à un site SharePoint

Une fois que vous avez créé l'étiquette souhaitée, vous devez l'appliquer à votre site (bibliothèque de documents) pour que les paramètres prennent effet.

1. Commencez par accéder à votre site via votre navigateur Web. Le format de votre URL sera probablement : https://*defaultdomain*.sharepoint.com/sites/*yoursite*

2. Sélectionnez le rouage des paramètres en haut à droite de la page, puis sélectionnez Informations sur le site.

3. Vous pouvez maintenant définir le libellé de sensibilité sur votre site et cliquer sur Enregistrer.

Appliquer un contexte d'authentification directement à un site SharePoint

Si vous décidez de ne pas utiliser d'étiquette de sensibilité, vous pouvez également attribuer votre contexte d'authentification directement à votre site à l'aide du module SharePoint Online PowerShell.

Commencez par installer SharePoint Online avec la commande suivante :

Install-Module -Name Microsoft.Online.SharePoint.PowerShell `
-Scope CurrentUser -Force

Vous pouvez ensuite utiliser l'applet de commande Connect-SPOService pour vous connecter à SharePoint en ligne. Vous devez également définir votre URL SharePoint racine. Vous pouvez obtenir votre URL racine depuis le centre d'administration SharePoint, ce sera le site principal dans la liste Sites actifs. Sinon, vous pouvez copier l'URL du centre d'administration et supprimer -admin qui est ajouté au domaine.

Connect-SPOService -url https://*yourdomain*.sharepoint.com/

Attribuez votre contexte d'authentification à votre site avec l'applet de commande Set-sposite, assurez-vous que lorsque vous entrez le chemin de votre site, vous utilisez le chemin complet du site spécifique que vous souhaitez modifier, il s'agit généralement de votre URL racine, suivie de mon /sites /*nom du site*. La commande ci-dessous vous fournira le modèle vous permettant d'attribuer votre contexte d'authentification à votre site cible.

Set-sposite -Identity https://*yourdomain*.sharepoint.com/sites/testsite `
-ConditionalAccessPolicy AuthenticationContext `
-AuthenticationContextName "Strong Authentication"

Pour vérifier que les paramètres ont été correctement appliqués à votre site, vous pouvez utiliser l'applet de commande Get-sposite. Utilisez l'exemple ci-dessous pour afficher les paramètres d'accès conditionnel et de contexte d'authentification de votre site.

Get-Sposite -identity https://x7kxf.sharepoint.com/sites/testsite | `
select Con*, auth*

Créer une politique d'accès conditionnel pour cibler le contexte d'authentification

La politique d'accès conditionnel déterminera quelle mesure de sécurité supplémentaire sera appliquée lors de l'accès à chaque site SharePoint lié à un contexte d'authentification.

Pour créer une nouvelle stratégie d'accès conditionnel pour cibler votre contexte d'authentification, suivez les étapes ci-dessous.

1. Connectez-vous au centre d'administration Azure Active Directory et sélectionnez Azure Active Directory, puis Sécurité.

2. Sélectionnez Accès conditionnel sous l'en-tête Protéger du menu.

3. Dans l'onglet Stratégies, sélectionnez Nouvelle stratégie pour créer une nouvelle stratégie d'accès conditionnel.

4. Définissez un nom significatif pour votre stratégie et sélectionnez les utilisateurs auxquels elle sera attribuée. J'ai sélectionné Tous les utilisateurs.

5. Dans l'onglet Applications ou actions cloud, sélectionnez Contexte d'authentification dans la liste déroulante et cochez le contexte d'authentification que vous souhaitez que cette stratégie d'accès conditionnel applique.

6. Sélectionnez maintenant les contrôles d'accès que vous souhaitez appliquer sur votre site. Ceux-ci seront spécifiques à vos besoins mais pourront être aussi forts ou détendus que nécessaire. Pour ma politique, j'ai décidé d'appliquer une authentification forte avec l'application Authenticator ainsi que la politique Bloquer les téléchargements dans le contrôle des applications à accès conditionnel.

Si vous souhaitez en savoir plus sur la configuration de la stratégie de blocage des téléchargements ou d'une stratégie de sécurité Cloud Apps personnalisée, lisez mon tutoriel : Comment empêcher les utilisateurs externes de télécharger des fichiers depuis Teams . Voici d'autres didacticiels qui vous seront extrêmement utiles pour configurer votre politique d'accès conditionnel :

Comment configurer l'exigence de force d'authentification dans l'accès conditionnel
Comment créer une stratégie d'accès conditionnel dans Azure Active Directory
Créer une stratégie d'accès conditionnel Azure AD à l'aide de PowerShell

Tester l'accès au site SharePoint

Une fois que tout est configuré et que votre accès conditionnel est appliqué, la sécurité supplémentaire sera immédiatement appliquée à votre site SharePoint. Dans le cas de mon exemple, j'ai appliqué la politique Strong MFA et la politique Block Download MCAS.

Si c'est la première fois qu'un utilisateur configure MFA, l'écran suivant lui demandera de s'inscrire à l'application Microsoft Authenticator.

Une fois terminé, ils seront redirigés vers le site où apparaîtra l’invite d’accès surveillé de Microsoft Cloud App Security.

Cependant, si votre utilisateur n'utilise pas l'application Microsoft Authenticator ou une autre méthode MFA sécurisée, son accès aux sites spécifiques sera restreint.

Si vous avez appliqué l'étiquette de sensibilité ou le contexte d'authentification directement à un site Teams, vous obtiendrez la même expérience lorsque vous tenterez d'accéder au site via l'onglet Fichiers du client de bureau ou de l'application Web Teams.