Démystifier le locataire Microsoft 365 : architecture, identité et périmètres expliqués

Par Mirko Peters · 2026-08-27

Bienvenue à nouveau dans le podcast ! Si vous avez déjà écouté nos épisodes sur l’architecture cloud, la sécurité ou l’administration d’entreprise, vous savez que nous aimons plonger en profondeur…

Traduit automatiquement par IA à partir de l'article original. Lire l'original en anglais

Bienvenue de nouveau dans le podcast ! Si vous avez déjà écouté nos épisodes consacrés à l’architecture cloud, à la sécurité ou à l’administration d’entreprise, vous savez que nous aimons plonger au cœur de la tuyauterie des technologies que nous utilisons chaque jour. Aujourd’hui, nous examinons de plus près l’un des concepts les plus fondamentaux, et pourtant souvent mal compris, de l’écosystème cloud des entreprises : le locataire Microsoft 365. Que vous soyez administrateur informatique passant ses journées dans le Centre d’administration, spécialiste de la sécurité chargé de concevoir des stratégies d’accès, ou dirigeant s’interrogeant sur la manière dont les données de votre entreprise sont cloisonnées dans le cloud, comprendre le locataire est essentiel. Dans cet article de blog complémentaire à notre dernier épisode, nous allons développer les piliers fondamentaux du cloud Microsoft. Nous détaillerons ce qu’est réellement un locataire M365, comment les identités y fonctionnent, comment les abonnements pilotent les licences et pourquoi les frontières administratives constituent votre meilleure défense contre les fuites de données et les failles de sécurité.

Introduction au locataire Microsoft 365

Pour bien comprendre le cloud Microsoft, il faut commencer par le commencement : le locataire. Mais qu’est-ce qu’un locataire Microsoft 365, au juste ? Dans son essence, un locataire est l’instance dédiée de votre organisation aux services cloud Microsoft. Imaginez une tranche sécurisée et isolée de l’immense infrastructure de centres de données mondiale de Microsoft. Lorsque votre entreprise souscrit à Microsoft 365, Azure ou Dynamics 365, Microsoft provisionne pour vous un conteneur dédié. Ce conteneur regroupe vos données, vos identités d’utilisateurs, vos configurations de services et vos stratégies de sécurité. Il est totalement séparé de celui de tous les autres clients du cloud Microsoft, garantissant une isolation multilocataire conforme à des normes de conformité rigoureuses.

Pourtant, beaucoup de personnes confondent à tort les termes « locataire », « domaine » et « abonnement ». Clarifions cela immédiatement. Un locataire est le conteneur global. Un domaine n’est qu’un espace de noms, tel que contoso.com, que vous utilisez pour vos adresses e-mail et vos identifiants de connexion. Un abonnement correspond à l’accord commercial au titre duquel vous payez les licences et les services. Un même locataire peut être associé à plusieurs domaines et à plusieurs abonnements, mais le locataire lui-même reste la frontière fondamentale qui relie l’ensemble. Une image simple permet de visualiser la distinction : le locataire est la structure physique et le terrain sur lequel elle repose, les domaines sont l’adresse figurant sur la boîte aux lettres, et les abonnements sont les factures d’énergie et d’eau que vous réglez pour maintenir l’électricité et l’eau courantes.

Le rôle de Microsoft Entra ID et la gestion des identités

Impossible de parler d’un locataire Microsoft 365 sans évoquer l’identité, et plus précisément Microsoft Entra ID, anciennement connu sous le nom d’Azure Active Directory. Si le locataire est la maison, Microsoft Entra ID correspond au système de sécurité, aux serrures de la porte d’entrée et à l’annuaire de toutes les personnes autorisées à entrer. Chaque locataire Microsoft 365 est livré avec un annuaire Microsoft Entra ID par défaut. Cet annuaire constitue la source de référence de l’ensemble de vos comptes utilisateurs, groupes, principaux de service et inscriptions d’applications.

L’identité est le nouveau périmètre de sécurité de l’architecture cloud moderne. À l’époque de l’informatique sur site, nous sécurisions le réseau d’entreprise en installant un pare-feu et en faisant confiance à tout ce qui se trouvait à l’intérieur de ce réseau. Dans le cloud, le périmètre réseau a disparu : vos utilisateurs travaillent depuis des cafés, des bureaux à domicile et des appareils mobiles répartis partout dans le monde. L’identité a donc pris la place du pare-feu. Lorsqu’un utilisateur tente d’accéder à Exchange Online, SharePoint ou Microsoft Teams, Microsoft Entra ID est le service qui vérifie son identité, contrôle les appareils qu’il utilise et détermine s’il doit obtenir l’accès, en fonction des stratégies d’accès conditionnel.

Gérer efficacement les identités au sein de votre locataire exige une stratégie claire. La plupart des organisations utilisent un modèle d’identité hybride, en synchronisant leurs Active Directory Domain Services sur site avec Microsoft Entra ID à l’aide d’un outil appelé Microsoft Entra Connect ou Microsoft Entra Cloud Sync. Les utilisateurs conservent ainsi un seul jeu d’identifiants pour leurs ressources réseau locales comme pour leurs services Microsoft 365 dans le cloud. Toutefois, que vos identités soient exclusivement cloud ou synchronisées depuis un environnement sur site, la gestion de leur cycle de vie (création, attribution de rôles, gestion des identifiants et suppression) figure parmi les responsabilités les plus critiques d’un administrateur Microsoft 365.

Gérer les abonnements, les licences et la facturation

Une fois votre locataire et vos identités en place, il faut vous intéresser à la manière dont vous payez les services que vous utilisez. C’est là qu’interviennent les abonnements et les licences. Dans l’écosystème Microsoft 365, un abonnement est un contrat commercial qui donne à votre organisation accès à un ensemble précis de services cloud pendant une durée déterminée, généralement selon un modèle de tarification par utilisateur et par mois.

Il est important de comprendre que les abonnements sont liés au locataire. Vous ne pouvez pas acheter un abonnement Microsoft 365 Business Premium ou Enterprise E5 et l’affecter à un utilisateur d’un autre locataire. Toutes les licences doivent être achetées et attribuées dans les limites administratives de ce locataire. Par ailleurs, les organisations gèrent souvent plusieurs abonnements au sein d’un même locataire. Par exemple, vous pouvez disposer d’un abonnement pour les licences Microsoft 365 E5, d’un autre pour les services Azure facturés à la consommation, et d’un troisième pour des produits complémentaires spécialisés comme Power BI Premium ou Microsoft Copilot.

La gestion des licences peut vite devenir un casse-tête administratif si elle n’est pas anticipée. Les administrateurs doivent attribuer des licences aux utilisateurs ou aux groupes, en veillant à ce que chacun dispose exactement des outils dont il a besoin, qu’il s’agisse d’Exchange pour la messagerie, de SharePoint pour la collaboration documentaire ou de la suite complète d’applications de bureau. L’attribution automatisée des licences, souvent pilotée par l’attribution de licences basée sur les groupes dans Microsoft Entra ID, est une bonne pratique pour les organisations en croissance. Lorsqu’un nouvel utilisateur est ajouté au groupe « Sales », le système lui attribue automatiquement les licences appropriées ; lorsqu’il quitte l’organisation et est retiré du groupe, ces licences sont récupérées et redeviennent disponibles pour d’autres utilisateurs.

Configurer les domaines personnalisés et le DNS

Lorsque vous créez un locataire Microsoft 365 pour la première fois, Microsoft vous attribue un nom de domaine par défaut se terminant par onmicrosoft.com, par exemple contoso.onmicrosoft.com. Ce domaine est pleinement fonctionnel, mais vous ne souhaitez certainement pas que vos courriels professionnels partent avec une adresse du type utilisateur@contoso.onmicrosoft.com. Pour affirmer une présence de marque professionnelle et garantir un flux de messagerie et une intégration des services sans accroc, vous devez configurer des domaines personnalisés dans votre locataire.

La configuration d’un domaine personnalisé implique de prouver à Microsoft que vous êtes bien propriétaire du nom de domaine que vous souhaitez utiliser. Cela passe par l’ajout d’enregistrements TXT ou MX auprès de votre hébergeur DNS (Domain Name System), tel que GoDaddy, Cloudflare ou Route 53. Une fois que Microsoft a vérifié la propriété de votre domaine, par exemple contoso.com, vous pouvez en faire votre domaine principal, mettre à jour les noms d’utilisateur principaux (UPN) afin que les utilisateurs se connectent avec leur adresse professionnelle, et configurer les enregistrements DNS nécessaires à la distribution des courriels (enregistrements MX), à la détection automatique (enregistrements CNAME) et aux protocoles de sécurité tels que SPF, DKIM et DMARC.

Une configuration DNS soignée ne sert pas qu’à donner une image professionnelle ; c’est une exigence de sécurité critique. Sans enregistrements SPF, DKIM et DMARC correctement configurés et associés à votre domaine personnalisé dans votre locataire M365, des acteurs malveillants peuvent facilement usurper votre domaine de messagerie, ce qui ouvre la voie à des attaques de phishing visant vos clients et vos partenaires. Prendre le temps de configurer et de vérifier correctement vos paramètres DNS constitue une étape essentielle de tout projet de déploiement Microsoft 365.

Services cloud essentiels et provisionnement des ressources

Une fois votre locataire, votre système d’identité, vos abonnements et vos domaines personnalisés en place, votre environnement Microsoft 365 est enfin prêt à héberger des charges de travail. Un locataire Microsoft 365 n’est pas un bloc monolithique : c’est un écosystème riche d’applications SaaS (logiciel en tant que service) intégrées, conçues pour favoriser la productivité, la collaboration et la communication. Pour tout administrateur, il est essentiel de comprendre comment ces services cloud fondamentaux se provisionnent et interagissent à l’intérieur des limites du locataire.

Exchange Online fournit une messagerie, un calendrier et une gestion des contacts de niveau entreprise. SharePoint Online sert de socle au stockage des documents, aux intranets et à la gestion de contenu d’entreprise. Microsoft Teams réunit la messagerie instantanée, les réunions, la téléphonie et la collaboration dans un hub unique, étroitement intégré à SharePoint, Exchange et à diverses applications tierces. À côté de ces poids lourds, on trouve des services comme OneDrive Entreprise, Planner, Stream et la plateforme Power Platform (Power Apps, Power Automate et Power BI).

Lorsqu’un utilisateur crée une équipe dans Microsoft Teams, le locataire provisionne automatiquement, en coulisses, un ensemble complexe de ressources interconnectées : une collection de sites SharePoint pour le stockage des fichiers, un groupe Microsoft 365 pour la gestion des membres, une boîte aux lettres partagée et son calendrier Exchange, ainsi qu’un bloc-notes OneNote. Ce moteur de provisionnement automatisé illustre la puissance de l’architecture Microsoft 365. Il met toutefois aussi en évidence l’importance de la gouvernance. Sans stratégies de gouvernance proactives, comme la restriction de la création de groupes Microsoft 365 ou la mise en place de stratégies d’expiration automatique pour les équipes inactives, votre locataire peut rapidement se transformer en une prolifération chaotique de ressources inutilisées et de données redondantes.

Limites administratives et bonnes pratiques de sécurité

Pour clore notre exploration approfondie du locataire Microsoft 365, nous devons aborder le sujet le plus critique de tous : les limites administratives et les bonnes pratiques de sécurité. Le locataire constitue votre principale limite de sécurité. Les données qu’il contient sont chiffrées au repos comme en transit et, par défaut, elles sont totalement inaccessibles à toute personne extérieure à votre organisation, y compris aux autres clients Microsoft et même aux équipes du support Microsoft (sauf accès temporaire explicitement accordé via Customer Lockbox).

La sécurité ne s’arrête toutefois pas au périmètre du locataire : vous devez également gérer les autorisations *à l’intérieur* du locataire. C’est ici qu’intervient le principe du moindre privilège. Microsoft Entra ID propose un large éventail de rôles d’administrateur intégrés, tels que Administrateur général, Administrateur Exchange, Administrateur du support technique et Administrateur des utilisateurs. L’une des erreurs les plus courantes consiste à attribuer le rôle d’Administrateur général, qui donne un accès absolu à chaque paramètre et à chaque donnée du locataire, à un nombre trop élevé de personnes. Les bonnes pratiques recommandent de limiter le nombre d’administrateurs généraux au strict minimum (généralement deux à quatre personnes, pour assurer la redondance) et d’attribuer des rôles plus granulaires, propres à chaque tâche, pour les opérations courantes.

Par ailleurs, protéger vos comptes administrateurs par une authentification multifacteur (MFA) n’est pas négociable. Mettre en œuvre une authentification multifacteur résistante à l’hameçonnage, par exemple avec des clés de sécurité FIDO2 ou la correspondance de nombres dans Microsoft Authenticator, est l’action la plus efficace pour empêcher tout accès non autorisé à votre locataire. Associez-la à des stratégies d’accès conditionnel solides, qui évaluent le niveau de risque, la conformité de l’appareil et l’emplacement avant d’accorder l’accès, et vous obtenez une posture de défense en profondeur redoutable.

Enfin, la gouvernance et la surveillance ne doivent jamais être une réflexion après coup. Recourir à des outils comme Microsoft Purview pour la conformité, la prévention des pertes de données (DLP) et la protection des informations permet de garantir que les données sensibles sont étiquetées, suivies et protégées tout au long de leur cycle de vie. Auditer régulièrement les attributions de rôles administratifs, examiner les journaux de connexion et surveiller les alertes dans le portail Microsoft Defender permettront de maintenir votre locataire sécurisé, conforme et optimisé pour les besoins de votre entreprise.

Merci d’avoir suivi cet article de blog, qui accompagne notre podcast ! Nous espérons que cette plongée dans l’architecture des locataires Microsoft 365, la gestion des identités, les abonnements, les domaines personnalisés et les limites de sécurité vous a permis de mieux comprendre le fonctionnement interne du cloud. Si cet article vous a plu, n’hésitez pas à vous abonner au podcast, à le partager avec votre équipe informatique et à nous rejoindre la semaine prochaine pour aborder un nouveau sujet passionnant de l’univers des technologies d’entreprise. D’ici là, veillez à la sécurité de vos locataires et à la résilience de vos architectures cloud !