Comment repérer et auditer les locataires informatiques fantômes (shadow IT) dans Microsoft Entra ID

By Mirko Peters · 2026-10-25

Découvrez comment repérer et auditer les locataires shadow IT oubliés dans Microsoft Entra ID à l’aide de signaux de découverte automatisés et de stratégies de gouvernance multilocataire.

Automatically translated with AI from the original post. Read the English original

Découvrez comment identifier, suivre et sécuriser les locataires shadow IT Microsoft Entra oubliés que votre organisation a créés involontairement. Ce guide présente les signaux de découverte automatisés, l’analyse des locataires liés et les étapes de gouvernance nécessaires pour cartographier les environnements cloud non gérés et les replacer sous contrôle central.

Points clés

• Les organisations accumulent fréquemment plusieurs locataires Microsoft Entra à la suite de fusions, de filiales, d’environnements de test et de shadow IT départemental.
• Les locataires non gérés, échappant à la supervision de la DSI centrale, créent des angles morts critiques en matière de sécurité et des risques de conformité.
• Microsoft Entra s’appuie sur l’activité B2B, les inscriptions d’applications multilocataires et les comptes de facturation partagés pour faire automatiquement remonter les locataires liés.
• Établir des relations de gouvernance formelles permet aux organisations parentes de sécuriser des locataires distincts sans imposer de migrations complexes et immédiates.
• La surveillance de la configuration garantit que votre environnement multilocataire conserve ses lignes de base de sécurité sur plus de 200 types de ressources.

Le risque caché des locataires shadow IT

Un risque se cache dans presque toutes les configurations Microsoft 365 de grande envergure, et il est rarement abordé lors des revues de sécurité standard. Les entreprises supposent souvent que leur empreinte cloud est délimitée par un seul annuaire. En réalité, les organisations finissent discrètement par posséder plusieurs locataires Microsoft Entra, sans l’avoir jamais planifié. Lorsqu’un service, un collaborateur isolé ou une équipe projet externe lance rapidement un pilote, une démonstration produit ou un environnement de test avec une carte bancaire professionnelle, un tout nouveau locataire voit le jour.

Microsoft qualifie ces environnements isolés de locataires shadow IT, car la DSI centrale ne les administre pas et ignore souvent leur existence. Pendant que les équipes de sécurité consacrent des millions à protéger la porte d’entrée contre les attaquants externes, les mots de passe volés et les campagnes de phishing sophistiquées, une porte dérobée peut rester grande ouverte par l’intermédiaire d’un locataire de test oublié, créé il y a deux ans. Un attaquant n’a pas besoin de franchir des défenses étroitement surveillées lorsqu’un locataire shadow non corrigé et non supervisé fonctionne en arrière-plan, sans aucune supervision administrative.

Le danger n’est pas seulement théorique. Un locataire que personne n’administre peut facilement être mal configuré, exposant des données sensibles de l’entreprise à des tiers non autorisés. Comme ces environnements échappent aux processus standard de provisionnement et d’audit, ils n’apparaîtront jamais dans vos revues trimestrielles d’accès. Lorsqu’un auditeur externe demande qui peut accéder à un ensemble précis de fichiers d’entreprise, un haussement d’épaules ne suffira pas à satisfaire les exigences réglementaires. On ne peut sécuriser que ce que l’on voit, et, pour l’instant, votre inventaire des actifs est probablement incomplet.

Comment Microsoft Entra fait remonter les locataires oubliés

Heureusement, Microsoft fournit des mécanismes intégrés pour localiser ces environnements cachés en analysant les signaux de connexion que votre écosystème génère depuis le début. Cette fonctionnalité repose sur la découverte de locataires liés, plutôt que sur une liste impossible à établir manuellement, recensant chaque ressource numérique jamais enregistrée par les collaborateurs.

Signaux d’activité B2B

Le premier signal majeur utilisé pour découvrir les locataires est l’activité business-to-business (B2B). Microsoft Entra analyse en continu les connexions d’invités, les inscriptions d’invités externes et les flux d’accès administratifs qui circulent entre votre annuaire principal et des environnements externes. Si des utilisateurs de votre organisation collaborent activement avec un locataire inconnu, cette interaction apparaît comme une connexion mesurable.

Inscriptions d’applications multilocataires

Les architectures cloud modernes reposent largement sur des applications qui franchissent les frontières organisationnelles. Le deuxième signal de découverte concerne les inscriptions d’applications multilocataires. Il s’agit notamment des applications personnalisées ou commerciales inscrites dans votre locataire principal et qui accèdent à des annuaires externes, ainsi que des applications tierces provenant de locataires externes qui disposent d’autorisations actives et de jetons d’API au sein de votre environnement. Ces passerelles programmatiques laissent une piste d’audit claire.

Comptes de facturation partagés

La source de découverte la plus surprenante est sans doute la facturation. Deux locataires Microsoft Entra distincts peuvent être structurellement liés pour la seule raison qu’ils partagent un compte de facturation Azure ou une structure de contrat entreprise. Personne n’a besoin d’envoyer une invitation et aucun utilisateur n’a besoin de se connecter manuellement d’un périmètre à l’autre. Si un locataire non géré règle des services Azure via votre profil de facturation entreprise, ou inversement, le lien devient immédiatement visible pour le cadre de gouvernance.

Placer les locataires non gérés sous une gouvernance centralisée

Une fois la découverte terminée et la liste des locataires liés établie, les administrateurs doivent décider des environnements à conserver, de ceux à retirer et de la manière de gouverner ceux qui restent. Plutôt que de lancer un projet de migration de locataires long, perturbant et pluriannuel, les organisations peuvent établir une relation de gouvernance formelle.

Une relation de gouvernance est un lien directionnel dans lequel un locataire parent gouverne et un locataire subsidiaire est gouverné. Point crucial : il ne s’agit pas d’une fusion technique complète, car le locataire gouverné conserve ses propres utilisateurs, ses données et ses charges de travail locales. La mise en place repose sur une poignée de main sécurisée en trois étapes :

• Le locataire à gouverner envoie une invitation d’administration au locataire parent.
• Le locataire parent répond par une demande contenant un modèle de stratégie qui définit les autorisations administratives autorisées.
• Le locataire enfant examine et accepte le modèle de stratégie, ce qui active le lien de gestion sécurisé.

Cette structure permet aux administrateurs informatiques de gérer plusieurs environnements depuis un point de contrôle unique, à l’aide de comptes du locataire gouverneur. Elle élimine le cauchemar de sécurité que représente la gestion de identifiants administratifs distincts et déconnectés sur des dizaines de portails de locataires individuels.

Surveiller et sécuriser votre écosystème multilocataire

Les relations de découverte et de gouvernance ne constituent que le début. Pour éviter que le shadow IT ne réapparaisse dans votre organisation, vous devez mettre en place une surveillance active de la configuration et des contrôles de création sécurisés.

La surveillance de la configuration permet aux administrateurs de définir une référence des paramètres attendus et de prendre un instantané continu de leur environnement cloud réel. Un moniteur automatisé compare les deux toutes les six heures, sur plus de 200 types de ressources couvrant Microsoft Entra, Microsoft Intune, Exchange Online, Microsoft Teams, Microsoft Purview et Microsoft Defender. En cas de dérive, les équipes de sécurité sont alertées immédiatement.

Par ailleurs, les contrôles de création sécurisée de locataires permettent aux organisations de restreindre les personnes autorisées à créer un nouveau locataire Microsoft Entra. Tout nouveau locataire approuvé peut être automatiquement rattaché à une relation de gouvernance dès sa création, ce qui garantit qu’aucun nouvel environnement cloud ne démarre sa vie entièrement non géré.

Conclusion

Les locataires shadow IT non gérés représentent une menace silencieuse pour la sécurité de l’entreprise, la confidentialité des données et la conformité. En s’appuyant sur les signaux de découverte intégrés à Microsoft Entra, en établissant des relations de gouvernance formelles et en imposant une surveillance continue de la configuration, les responsables informatiques peuvent enfin obtenir une visibilité totale sur l’empreinte cloud étendue de leur organisation. Pour approfondir ce sujet et entendre les analyses d’experts sur l’administration cloud moderne, n’hésitez pas à écouter l’épisode complet du M365 FM Podcast.

Questions fréquentes

Qu’est-ce qu’un locataire shadow IT dans Microsoft Entra ?

Un locataire de shadow IT est un environnement Microsoft Entra non géré, créé par des collaborateurs, des services ou des équipes projet sans que la DSI centrale en ait connaissance ni n'en assure la supervision. Ces environnements hébergent souvent des charges de test, des projets pilotes ou des démonstrations en dehors des référentiels de sécurité de l'entreprise.

Comment Microsoft Entra découvre-t-il les locataires inconnus ?

Microsoft Entra découvre les locataires associés en analysant les signaux de connexion existants, notamment l'activité des invités business-to-business, les autorisations des applications multilocataires et les comptes de facturation partagés ou les contrats entreprise communs.

Une relation de gouvernance nécessite-t-elle une migration complète du locataire ?

Non. Une relation de gouvernance établit un lien de gestion sécurisé et directionnel entre un locataire parent et un locataire enfant, sans qu'il soit nécessaire de migrer les utilisateurs, les boîtes aux lettres ou les données vers un annuaire unique.

À quelle fréquence la surveillance de la configuration vérifie-t-elle les paramètres du locataire ?

La surveillance de la configuration compare automatiquement votre environnement cloud réel à vos référentiels de stratégies définis toutes les six heures, pour des centaines de types de ressources.