Guide des unités administratives de Microsoft Entra

By Mirko Peters · 2026-04-30 · Updated 2026-07-18

Découvrez les unités administratives de Microsoft Entra avec des conseils pratiques sur la sécurité, la gouvernance, le contrôle d’accès, la mise en œuvre et les usages concrets.

Automatically translated with AI from the original post. Read the English original

Lorsque vous gérez une grande organisation utilisant Microsoft 365 ou Azure, les choses peuvent vite devenir compliquées. Les unités administratives (ou UA) de Microsoft Entra ID jouent le rôle de responsables de quartier pour les rues numériques de votre locataire. Elles vous permettent de découper votre population d’utilisateurs afin de déléguer aux administrateurs locaux juste assez de contrôle pour gérer leur périmètre, sans leur confier toute la ville.

Il s’agit d’une évolution majeure pour les organisations qui cherchent à concilier sécurité, conformité et efficacité. Plutôt que de distribuer les mêmes droits d’administration à tout le monde, les UA garantissent que les bonnes personnes gèrent les bons utilisateurs, ni plus, ni moins. Dans la suite de cet article, vous verrez en quoi les UA se distinguent des groupes et des unités d’organisation classiques, et comment elles simplifient le quotidien tout en renforçant la gouvernance. Que vous recherchiez une meilleure délimitation des rôles, une segmentation de votre locataire ou simplement moins de confusion, comprendre les unités administratives dans Entra ID vaut la peine d’y consacrer du temps.

Qu’est-ce qu’une unité administrative dans Microsoft Entra ID ?

Les unités administratives (UA) de Microsoft Entra ID sont des conteneurs spécifiques conçus pour organiser l’administration à grande échelle. Considérez-les comme des frontières numériques : vous pouvez affecter des administrateurs à ces frontières afin qu’ils ne gèrent que les utilisateurs ou les groupes situés à l’intérieur de leur périmètre.

Une fois une UA créée, vous pouvez déléguer des droits d’administration, comme Administrateur des utilisateurs ou Administrateur du support technique, uniquement aux personnes ou aux groupes qu’elle contient. Les équipes informatiques locales restent ainsi concentrées sur leur propre personnel, sans intervenir partout ailleurs. Il s’agit de décentraliser le contrôle sans ouvrir toutes les portes à la fois.

Cette approche est particulièrement utile dans les grandes organisations ou les structures complexes, comme les établissements scolaires, les multinationales ou les administrations publiques, où l’on ne souhaite pas qu’un administrateur basé à New Jersey réinitialise les mots de passe des collaborateurs de Tokyo. On fixe en quelque sorte un cap, et chacun reste dans son couloir.

Contrairement aux unités d’organisation traditionnelles d’Active Directory local, les UA n’existent que dans le cloud Microsoft et servent avant tout à délimiter les autorisations d’administration. Elles ne se confondent pas non plus avec les groupes de sécurité ou les groupes Microsoft 365, qui servent principalement à accéder aux applications et aux ressources, et non à définir des droits d’administration. En résumé : les UA vous permettent de gérer « qui peut administrer quoi » au sein même de votre locataire cloud, ce qui rend l’administration à la fois plus précise et plus sûre.

En quoi les unités administratives Azure se distinguent des groupes et des UO

• Unités administratives (UA) : conçues pour l’administration déléguée. Elles limitent les rôles d’administration à des utilisateurs et groupes précis au sein d’une UA, mais n’accordent pas de droits d’accès aux ressources telles que les fichiers ou les boîtes aux lettres.
• Groupes : utilisés pour attribuer l’accès aux applications et aux ressources (par exemple Teams, SharePoint ou l’attribution de licences). Les groupes ne limitent ni ne définissent les périmètres d’administration ; ils servent uniquement à gérer l’appartenance pour les autorisations ou la distribution.
• Unités d’organisation (UO) : notion issue d’Active Directory local, qui organise hiérarchiquement des objets (utilisateurs, ordinateurs) pour l’application de stratégies de groupe. Elles ne sont pas conçues pour la délégation dans le cloud ou dans Microsoft 365, et n’ont pas d’équivalent direct dans Entra ID.

En bref : utilisez les UA pour délimiter l’administration, les groupes pour gérer l’accès, et les UO pour organiser l’Active Directory local. Choisissez l’outil adapté à chaque besoin.

Mettre en œuvre les unités administratives : scénarios clés pour Microsoft 365

Lorsque votre environnement Microsoft 365 s’étend sur plusieurs pays, départements ou zones de conformité, une équipe d’administration centrale ne suffit plus. C’est là que les unités administratives entrent en jeu : elles structurent la gestion de configurations complexes sans vous faire perdre le contrôle, ni la tête.

Les unités administratives permettent de distribuer exactement le niveau de privilège nécessaire, afin que les équipes locales ou les responsables de département puissent réinitialiser les mots de passe ou gérer l’appartenance aux groupes là où le besoin se présente. En segmentant ainsi votre locataire, vous améliorez la productivité et réduisez les risques, puisque personne ne dispose de droits d’administration plus étendus que nécessaire.

Les situations concrètes se présentent sans cesse : une université composée de plusieurs facultés, un distributeur implanté dans différentes régions, ou une entreprise mondiale dotée d’équipes informatiques régionales. Les unités administratives deviennent alors le moyen privilégié de définir qui est responsable de quelle partie de l’organisation, et de faire en sorte que les règles internes soient effectivement appliquées.

Nous passons en revue ci-dessous les scénarios les plus courants et les points de décision liés au déploiement de ces unités. Vous verrez non seulement pourquoi elles sont importantes, mais aussi comment elles vous aident à résoudre des problèmes récurrents tels que la conformité, l’accès au moindre privilège et l’autonomie régionale.

Quand utiliser des unités administratives dans des scénarios administratifs complexes

• Organisations géographiquement dispersées : Confiez à des équipes informatiques régionales la gestion des utilisateurs de leur seule zone (par exemple, Europe ou Asie), sans accès au locataire global.
• Segmentation par département : Déléguez les droits d'administration aux équipes RH, Finance ou aux facultés universitaires, en limitant les autorisations de gestion de chaque équipe à son propre département.
• Frontières de conformité ou de confidentialité : Isolez les utilisateurs soumis à des réglementations différentes (comme le RGPD ou HIPAA) dans des UA dédiées, afin d'appliquer des frontières de sécurité strictes.
• Fusions et acquisitions : Intégrez de nouvelles unités métier ou des sociétés acquises et laissez-les se gérer elles-mêmes, sans ouvrir l'accès à l'ensemble de votre environnement.
• Éducation et districts scolaires : Donnez aux administrateurs d'établissement le contrôle des seuls élèves et du personnel de leur campus, en maintenant hors de portée les données des autres établissements.

Utiliser les unités administratives Azure pour gérer la segmentation du locataire Microsoft 365

• Administration décentralisée : Les UA vous permettent d'attribuer des administrateurs locaux aux seuls utilisateurs ou groupes qu'ils connaissent, sans recourir à un administrateur général pour les tâches courantes. Cela évite le fameux « trop de cuisiniers gâtent la sauce ».
• Frontières de sécurité claires : En segmentant votre locataire à l'aide d'UA, vous pouvez définir des frontières alignées sur les départements, les régions ou les entités juridiques, chacune dotée de droits d'administration adaptés.
• Conformité facilitée : Les équipes informatiques ne voyant que les utilisateurs de leur périmètre, il est nettement plus simple de réussir les audits, d'appliquer le principe du moindre privilège et de limiter les risques d'exposition des données.
• Dépannage simplifié : Les administrateurs locaux peuvent réinitialiser des mots de passe, gérer les licences ou ajuster les appartenances sans interférer avec les données des autres équipes, ce qui rend la gestion quotidienne plus fluide.
• Stratégies de gouvernance : Pour des stratégies avancées autour de RBAC, de PIM et de l'application des règles, consultez cet article sur la gouvernance Azure et les bonnes pratiques RBAC pour des conseils pratiques.

Comment configurer des unités administratives dans Microsoft Entra ID

Le déploiement des unités administratives dans Microsoft Entra ID repose sur une idée claire : qui souhaitez-vous administrer, et à qui faites-vous confiance pour le faire ? Une fois cette cartographie établie, la mise en place d'une UA consiste d'abord à créer l'unité elle-même, puis à la peupler avec les bons utilisateurs ou groupes, et enfin à attribuer les rôles d'administration avec le niveau de contrôle approprié.

Vous pouvez créer des UA directement dans le portail Azure, qui propose un parcours intuitif, étape par étape. Pour les organisations plus importantes ou plus dynamiques, vous pouvez mettre à profit vos compétences en automatisation avec l'API Microsoft Graph, en laissant les scripts assurer l'essentiel du travail.

Ensuite, il s'agit de répartir les personnes dans les bonnes UA, une à une si nécessaire, ou en masse si vous travaillez à grande échelle. L'appartenance à un groupe peut être gérée directement ou dynamiquement, mais les appareils et les ressources (comme les sites SharePoint) présentent certaines limites, que nous signalerons bientôt.

Enfin, vous voudrez attribuer les rôles d'administration soit selon le modèle classique d'Azure AD, soit via Privileged Identity Management (PIM) pour un accès juste-à-temps et une traçabilité. Les sections suivantes détailleront chaque étape afin que vous soyez prêt à créer, sécuriser et déléguer en toute confiance.

Créer et configurer des unités administratives dans Microsoft 365

• Accéder au portail Azure : Accédez à Microsoft Entra ID, choisissez Unités administratives, puis cliquez sur « + Nouvelle unité administrative » pour lancer l'assistant de configuration.
• Nommer, décrire et définir le périmètre : Donnez à votre UA un nom clair et explicite (par exemple « Administrateurs ventes APAC »). Vous pouvez éventuellement ajouter une description à l'intention des futurs administrateurs.
• Ajouter des membres : Vous pouvez affecter directement des utilisateurs ou des groupes en tant que membres. Décidez qui est géré au sein de cette UA : les administrateurs n'agiront que sur ces personnes.
• Option d'automatisation : Vous préférez le code ? Utilisez l'API Microsoft Graph pour créer, mettre à jour et gérer les UA dans des workflows en masse ou automatisés. Le scripting facilite les modifications importantes et réduit les erreurs.
• Vérifier les chevauchements d'appartenance : Évitez les appartenances qui se chevauchent entre UA si vous souhaitez un périmètre strict. Un utilisateur ne peut être géré que dans une seule UA pour un contexte de rôle donné.

Attribuer des utilisateurs et des groupes aux unités administratives

• Affectation directe : Ajoutez manuellement des utilisateurs ou des groupes via le portail Azure (Utilisateurs > Ajouter un membre) pour qu'ils deviennent des objets gérés dans votre UA.
• Groupes dynamiques (avec limitations) : Vous pouvez ajouter des groupes dynamiques comme membres d’une UA, mais les UA elles-mêmes ne peuvent pas appliquer nativement de règles dynamiques pour l’instant : celles-ci résident dans le groupe, et non dans l’UA.
• Imports en masse : Pour les grandes organisations, utilisez PowerShell ou l’API Graph pour attribuer efficacement plusieurs utilisateurs et groupes. Cela vous fait gagner du temps et garantit la cohérence.
• Revoir régulièrement les membres : Planifiez des contrôles périodiques pour supprimer les comptes orphelins et vérifier que les utilisateurs disposent toujours de la portée appropriée. La vie change : gardez vos périmètres à jour.
• Inclusion des appareils : À ce jour, les appareils (ordinateurs portables, téléphones mobiles) ne peuvent pas être membres d’UA. La gestion ne concerne strictement que les personnes et les groupes, et non le matériel ou les ressources.

Attribution de rôles aux administrateurs avec Privileged Identity Management

• Attribution de rôles par UA : Depuis l’UA, attribuez des rôles tels que Administrateur utilisateur, Administrateur de groupes ou Administrateur du support technique, afin que les administrateurs délégués ne disposent de pouvoirs qu’au sein de cette UA.
• Exploiter PIM pour un accès juste-à-temps : Utilisez Privileged Identity Management (PIM) d’Azure AD pour accorder un accès administrateur juste-à-temps (JIT). Les rôles peuvent ainsi être activés temporairement, ce qui réduit le risque lié à des accès permanents.
• Mettre en place des workflows d’approbation : Configurez des approbations PIM afin que l’accès administrateur nécessite une validation supplémentaire, un vrai atout pour les environnements soumis à la conformité ou à une sécurité renforcée.
• Surveiller et auditer les accès : Gardez un œil sur qui active quoi et quand. Connectez les journaux d’audit à Microsoft Sentinel ou utilisez l’audit Purview pour le suivi forensique de l’activité des utilisateurs dans l’ensemble de Microsoft 365. Cela enrichit la gouvernance et renforce votre dispositif de sécurité.
• Revoir les attributions privilégiées : Réexaminez régulièrement les rôles accordés. Supprimez les privilèges obsolètes ou inutiles afin d’éviter l’accumulation de privilèges et de respecter le principe du moindre privilège.

Exigences administratives, licences et limitations

Avant de découper votre locataire en unités avec des UA, il convient de prendre en compte certains prérequis et contraintes. Tous les abonnements Microsoft 365 ne se valent pas : l’utilisation des UA nécessite généralement des licences Azure AD Premium P1 pour les utilisateurs ciblés comme pour les administrateurs délégués.

La fonctionnalité est solide en ce qui concerne les utilisateurs et les groupes, mais elle montre ses limites avec les appareils, les sites SharePoint ou d’autres ressources : les UA ne sont actuellement pas conçues pour gérer le matériel ni pour attribuer un accès granulaire aux ressources. Les attributions de licences et certaines fonctionnalités de gestion des propriétés présentent également des restrictions, qui peuvent exiger des solutions de contournement astucieuses dans les environnements volumineux ou en constante évolution.

La hiérarchie constitue un autre point sensible. Contrairement aux UO de l’Active Directory classique, les UA sont plates : il n’existe ni imbrication ni relation parent/enfant. Vous devrez donc concevoir votre segmentation sans ce niveau de complexité (ou de souplesse, selon le point de vue).

Au fil des détails qui suivent, vous découvrirez les limites fonctionnelles des UA, ce qui vous permettra de fixer des attentes réalistes auprès de vos équipes informatiques comme des parties prenantes métier.

Principales limitations administratives : hiérarchie, appareils et SharePoint

• Aucune structure hiérarchique : Les UA sont plates : il n’existe aucune notion d’imbrication ni d’organisation parent/enfant. Vous ne pouvez pas, par exemple, créer une UA « Amérique du Nord » avec des UA enfants pour chaque État ou province. Chaque UA est autonome.
• Lacunes en matière de gestion des appareils : Les appareils tels que les ordinateurs portables, les téléphones ou les imprimantes ne peuvent pas être gérés directement avec les UA. Si vous avez besoin d’une portée au niveau des appareils, d’autres solutions ou des stratégies Intune peuvent être nécessaires.
• Limitations SharePoint/OneDrive : Les UA ne permettent pas de délimiter les droits d’administration sur les sites SharePoint ou OneDrive. La gouvernance des données dans ces applications nécessite des stratégies distinctes ou des alternatives, comme Microsoft Dataverse pour les besoins complexes en données.
• Difficultés d’attribution de licences : Vous pouvez attribuer des licences aux utilisateurs au sein des UA, mais aucune automatisation à l’échelle d’une UA n’est intégrée, ce qui complique l’automatisation à grande échelle.
• Gestion des propriétés : La mise à jour en masse ou la production de rapports sur les propriétés des utilisateurs au sein des UA est limitée. Vous devrez souvent recourir à des outils externes, à PowerShell ou à l’API Graph pour combler ces lacunes.

Sécurité, gouvernance et alternatives aux unités administratives

La sécurité et la gouvernance ne s’arrêtent pas à la configuration des UA : c’est seulement le début. Pour protéger votre locataire (et votre réputation), vous devez réfléchir à la manière dont les UA sont administrées, à qui reçoit des délégations de droits, et à la façon dont l’accès privilégié est surveillé, réexaminé et révoqué dans le temps.

Parmi les bonnes pratiques figurent l’application du principe de moindre privilège, l’utilisation de workflows d’approbation avec PIM et l’audit de chaque attribution de rôle. Ne négligez pas la surveillance continue : revues des accès privilégiés, alertes sur les activités anormales et rapports périodiques vous permettront de mieux contrôler qui gère réellement votre environnement.

Pour certaines organisations, même la conception la plus fine des UA ne suffit pas. Vous avez peut-être besoin d’une segmentation à plusieurs niveaux, de contrôles de conformité plus poussés ou d’une automatisation plus avancée. C’est à ce moment que des solutions alternatives, comme les locataires virtuels CoreView, entrent en jeu et vous permettent de découper votre locataire d’une façon que les UA ne permettent pas encore.

Pour approfondir la mise en place d’une gouvernance rigoureuse, notamment l’application des stratégies, le RBAC et les garde-fous automatisés, consultez cette analyse des stratégies de gouvernance Azure. Et si vous êtes confronté à l’IA ou à l’automatisation, la sécurisation des autorisations Copilot et Graph est une lecture indispensable pour rester conforme à l’ère des copilotes et des bots.

Implications de sécurité persistantes et alternatives aux locataires virtuels

• Accumulation de privilèges : si les droits d’administration ne sont pas réexaminés, d’anciens administrateurs ou des collaborateurs changeant fréquemment de poste peuvent accumuler des privilèges « zombies », l’un des principaux risques internes. Des revues régulières et leur suppression sont indispensables.
• Lacunes en matière d’audit et de visibilité : les journaux d’audit natifs ne permettent pas toujours de savoir facilement qui a modifié quoi, et dans quelle UA. Pour une supervision de niveau entreprise, reliez les journaux Entra à vos outils SIEM ou utilisez Microsoft Purview ou Sentinel pour une surveillance robuste et des rapports de conformité. Des épisodes comme Agentageddon expliquent les risques liés au retard pris dans l’audit de l’IA et de la gouvernance dans Microsoft 365.
• Limites de périmètre : les UA ne peuvent pas segmenter nativement les environnements cloud croisés ou hybrides. Pour les configurations hybrides ou multi-cloud, tournez-vous vers des outils tiers ou des solutions de locataires virtuels pour des frontières plus strictes et une gouvernance centralisée.
• Quand envisager des alternatives : envisagez des solutions comme les locataires virtuels CoreView lorsque vous avez besoin d’une segmentation à plusieurs niveaux, d’une cartographie de conformité ou d’une automatisation avancée des workflows, au-delà de ce que les UA peuvent offrir. Le Shadow IT et l’IA exigent une surveillance avancée : consultez cette analyse de Microsoft Foundry et des fondamentaux de Purview pour d’autres pistes.

À écouter également

Si vous vous intéressez aux unités administratives Microsoft Entra, ces épisodes apportent un contexte pratique sur la sécurité des identités, la gouvernance, les accès privilégiés et la mise en œuvre :

• Microsoft Defender XDR – Simply Explained — Relier la gouvernance des identités aux signaux de sécurité, à l’investigation et à la réponse.
• Conditional Access – Simply Explained — Découvrir comment les contrôles d’accès basés sur des stratégies appliquent les décisions liées aux identités.
• Privileged Identity Management – Simply Explained — Comprendre les privilèges à la demande, les approbations et les revues d’accès.
• Microsoft Teams Governance – The Illusion of Control — Voir comment la gouvernance transforme les autorisations et la propriété en opérations reproductibles.