M365Con 2027 – conférence en ligne gratuite · 11–22 Jan 2027 · 120 sessions→ m365con.net
M365.FM DUB
FrançaisFR
EnglishEnglishDeutschDeutschEspañolEspañolFrançaisFrançaisItalianoItalianoPortuguêsPortuguêsNederlandsNederlandsPolskiPolskiBahasa IndonesiaBahasa IndonesiaРусскийРусскийУкраїнськаУкраїнськаالعربيةالعربيةעבריתעברית日本語日本語한국어한국어
☰
CommunautéTous les épisodesPodcastBlogVideosLibraryGuestsProfilApprendrePodcast

Blog · Mirko Peters

Comment générer un rapport des groupes de rôles Microsoft Purview avec PowerShell

By · · Updated

Utilisez PowerShell pour créer un rapport des autorisations de vos groupes de rôles Microsoft Purview. Auditez la conformité, l’ediscovery et Microsoft 365 grâce à ce guide.

Automatically translated with AI from the original post. Read the English original

La gestion des groupes de rôles dans Purview est essentielle pour préserver la sécurité et la conformité de votre organisation. Vous pouvez simplifier ce processus en tirant parti de PowerShell, qui automatise les tâches et fait gagner du temps. Avec PowerShell, vous pouvez facilement générer un rapport détaillant l’appartenance aux groupes de rôles dans Purview. Ce guide vous accompagne pas à pas pour vous connecter à Purview et créer efficacement votre rapport.

Points clés

7 faits surprenants sur le rapport des groupes de rôles Microsoft Purview

Prérequis pour PowerShell

Prerequisites for PowerShell

Autorisations requises

Avant de commencer à utiliser PowerShell pour générer des rapports dans Purview, assurez-vous de disposer des autorisations nécessaires. Vous devez disposer d’un accès administrateur à Purview. Cet accès vous permet d’afficher et de gérer efficacement les groupes de rôles. Sans ces autorisations, vous risquez de rencontrer des erreurs lors de l’exécution des scripts ou de la récupération des données.

Installation de PowerShell

Pour exécuter des scripts PowerShell, vous devez avoir PowerShell installé sur votre ordinateur. La version minimale requise est la 5.1. Si vous ne l’avez pas installée, vous pouvez la télécharger depuis le site officiel de Microsoft. Vous aurez également besoin de modules spécifiques pour vous connecter à Microsoft Purview : les modules requis sont CAMP et AIPService.

Voici une liste de contrôle rapide pour vérifier que vous remplissez les prérequis :

En remplissant ces prérequis, vous vous assurez une expérience fluide lors de la génération de votre rapport sur les groupes de rôles Purview.

Récapitulatif des étapes

  1. Vérifiez votre version de PowerShell.
  2. Installez les modules nécessaires.
  3. Confirmez vos droits d’administration dans Purview.

En suivant ces étapes, vous serez prêt à utiliser PowerShell efficacement pour vos besoins de reporting.

Se connecter à Microsoft Purview

Configurer la connexion

Pour vous connecter à Microsoft Purview à l’aide de PowerShell, suivez ces étapes :

  1. Assurez-vous de disposer d’un abonnement Azure : vous avez besoin d’un abonnement Azure valide et d’un locataire Microsoft Entra qui y est associé.
  2. Connectez-vous au portail Azure : utilisez vos identifiants de compte Azure pour accéder au portail.
  3. Installez Azure PowerShell ou Azure CLI : vérifiez que les outils nécessaires sont installés sur votre poste client.
  4. Créez un groupe de ressources : si vous n’en avez pas, exécutez la commande suivante :
    New-AzResourceGroup -Name myResourceGroup -Location 'East US'
  5. Créez ou déployez le compte Microsoft Purview : utilisez cette commande pour configurer votre compte Purview :
    New-AzPurviewAccount

En suivant ces étapes, vous établirez une connexion sécurisée à Microsoft Purview.

Authentifier les identifiants

Une fois la connexion configurée, vous devez authentifier vos identifiants. Voici la marche à suivre :

  1. Ouvrez PowerShell : lancez PowerShell sur votre poste.
  2. Exécutez la commande de connexion : utilisez la commande suivante pour vous connecter :
    Connect-AzAccount
    Cette commande vous demande de saisir vos identifiants de compte Azure.
  3. Vérifiez votre connexion : une fois connecté, contrôlez que vous avez accès à votre compte Purview en exécutant :
    Get-AzPurviewAccount

Si vous rencontrez des problèmes pendant la connexion, examinez les erreurs courantes suivantes :

En suivant ces étapes, vous pourrez vous connecter à Microsoft Purview et authentifier vos identifiants, ce qui ouvrira la voie à la génération de votre rapport sur les groupes de rôles.

Générer le rapport sur les groupes de rôles Purview

Generate Purview Role Group Report

Script PowerShell pour le rapport d’appartenance

Pour générer un rapport sur les groupes de rôles Purview, vous pouvez utiliser le script PowerShell suivant. Ce script se connecte à Microsoft Graph et récupère l’appartenance aux groupes de rôles. Suivez ces étapes pour créer votre rapport :

  1. Connectez-vous à Microsoft Graph : utilisez les étendues requises pour accéder aux données nécessaires.
  2. Connectez-vous à Exchange Online : assurez-vous de disposer d’un accès au point de terminaison de sécurité et de conformité.
  3. Récupérez les groupes de rôles : exécutez l’applet de commande Get-RoleGroup pour trouver tous les groupes de rôles de votre locataire.
  4. Énumérez les membres : pour chaque groupe de rôles, identifiez les membres actuels. Distinguez les différents types d’objets Entra ID.
  5. Mettez à jour les listes PowerShell : créez des listes pour stocker les détails de chaque attribution de rôle et de chaque appartenance à un groupe de rôles.
  6. Identifiez les identifiants uniques : repérez les identifiants uniques détenant des attributions de rôle, tels que les utilisateurs ou les principaux de service.
  7. Collectez les détails des objets : pour chaque identifiant unique, récupérez des informations complémentaires comme le service et le pays.
  8. Triez les informations : organisez les informations d’attribution des utilisateurs par type d’objet et par nom pour faciliter le reporting.
  9. Générez un rapport HTML : créez un rapport HTML incluant les détails de chaque groupe de rôles actif et de ses membres.

Voici un exemple de script PowerShell qui met en œuvre ces étapes :

# Connect to Microsoft Graph
Connect-MgGraph -Scopes "Group.Read.All"

# Get role groups
$roleGroups = Get-RoleGroup

# Initialize lists
$roleGroupMemberships = @()

foreach ($group in $roleGroups) {
    $members = Get-RbacGroupMember -GroupId $group.Id
    foreach ($member in $members) {
        $roleGroupMemberships += [PSCustomObject]@{
            RoleGroupName = $group.DisplayName
            MemberName    = $member.DisplayName
            MemberType    = $member.ObjectType
        }
    }
}

# Generate HTML report
$roleGroupMemberships | ConvertTo-Html -Property RoleGroupName, MemberName, MemberType -Title "Purview Role Group Membership Report" | Out-File "PurviewRoleGroupReport.html"

Ce script vous permettra de générer un rapport complet sur l’appartenance aux groupes de rôles dans Purview.

Comprendre les données de sortie

Après avoir exécuté le script PowerShell, vous obtiendrez un rapport HTML détaillant l’appartenance aux groupes de rôles. Voici comment interpréter les données de sortie :

En analysant ces données, vous pouvez mieux comprendre l’appartenance aux groupes de rôles au sein de votre organisation. Ces informations sont essentielles pour garantir un contrôle d’accès basé sur les rôles (RBAC) approprié et maintenir la conformité en matière de sécurité.

Gardez à l’esprit que l’exactitude des appartenances affichées dans le rapport dépend de l’état actuel de votre environnement Purview. Mettre régulièrement à jour vos scripts et rapports vous permettra de rester informé de tout changement dans l’appartenance aux groupes de rôles.

Bonnes pratiques pour la production de rapports

Planifier des rapports réguliers

Pour maintenir la conformité et la sécurité, vous devez planifier des rapports réguliers sur les groupes de rôles Purview. Des rapports réguliers vous permettent de savoir en permanence qui détient des rôles liés à la conformité et garantissent que votre organisation respecte ses stratégies de sécurité. Voici quelques étapes pour planifier efficacement ces rapports :

  1. Utiliser les cmdlets PowerShell : exploitez les cmdlets PowerShell pour automatiser la génération des rapports. Vous pouvez créer un script qui s’exécute à intervalles réguliers.
  2. Configurer le Planificateur de tâches : utilisez le Planificateur de tâches Windows pour exécuter automatiquement votre script PowerShell. Vous recevrez ainsi des rapports à jour sans intervention manuelle.
  3. Choisir les formats de rapport : enregistrez vos rapports dans des formats sécurisés, comme .PDF. Cela protège les informations sensibles et facilite leur partage avec les utilisateurs autorisés.

Conseil : appliquez toujours le principe du moindre privilège lorsque vous accordez l’accès aux rapports. Cela réduit le risque d’accès non autorisé.

Analyser les données des rapports

Une fois vos rapports générés, leur analyse devient essentielle. Comprendre l’appartenance aux groupes de rôles de conformité vous aide à identifier les risques potentiels pour la sécurité. Voici quelques stratégies d’analyse efficaces :

En appliquant ces bonnes pratiques, vous améliorerez votre processus de reporting et garantirez que votre organisation reste conforme aux normes de conformité de Microsoft 365.

Dans ce guide, vous avez appris à générer un rapport sur les groupes de rôles Purview à l’aide de PowerShell. Vous vous êtes connecté à Microsoft Purview, vous avez authentifié vos identifiants et exécuté un script PowerShell pour récupérer l’appartenance aux groupes de rôles.

Le reporting régulier est essentiel pour préserver la sécurité et la conformité. Il vous permet de surveiller les accès et de repérer les risques potentiels.

Je vous encourage à intégrer ce processus à vos flux de travail. Cela renforcera la posture de sécurité de votre organisation et garantira le respect des normes du secteur.

Questions fréquentes

Qu’est-ce que Microsoft Purview ?

Microsoft Purview est une solution de gouvernance des données unifiée qui vous aide à gérer et à protéger vos données dans divers environnements. Elle fournit des outils de découverte, de classification et de conformité des données.

Pourquoi utiliser PowerShell pour les rapports Purview ?

PowerShell automatise la génération des rapports, vous fait gagner du temps et réduit les erreurs manuelles. Il vous permet de récupérer et de gérer efficacement l’appartenance aux groupes de rôles dans Purview.

À quelle fréquence dois-je générer les rapports des groupes de rôles Purview ?

Vous devez générer les rapports des groupes de rôles Purview régulièrement, idéalement chaque mois ou chaque trimestre. Cette pratique vous aide à surveiller les accès et à maintenir la conformité avec les stratégies de sécurité.

Que faire si je rencontre des erreurs lors de l’exécution du script PowerShell ?

En cas d’erreur, vérifiez vos autorisations, assurez-vous que tous les modules requis sont installés et contrôlez votre connexion à Microsoft Purview. Consultez les messages d’erreur pour obtenir des indications précises.

Puis-je personnaliser le format du rapport ?

Oui, vous pouvez personnaliser le format du rapport. Modifiez le script PowerShell pour changer le format de sortie, par exemple pour générer des fichiers CSV ou PDF, selon vos besoins.

portail Purview et conformité Purview

Cette FAQ explique comment générer un rapport des groupes de rôles Purview avec PowerShell et présente les autorisations, la gestion des rôles et l’audit associés dans Microsoft Purview et Microsoft 365.

module PowerShell, autorisations Microsoft Purview et rôles RBAC Purview

Ce guide explique comment utiliser le module PowerShell et le SDK Microsoft Graph PowerShell pour lister les membres des groupes de rôles, examiner les définitions de rôles intégrées et créer des rapports destinés aux scénarios de conformité et de eDiscovery.

Qu’est-ce qu’un rapport des groupes de rôles Purview avec PowerShell, et pourquoi en créer un ?

Un rapport des groupes de rôles Purview avec PowerShell est une liste générée (au format CSV ou JSON) qui recense les groupes de rôles, les attributions de rôles (rôles RBAC Purview et correspondances avec les rôles intégrés) et les membres des groupes de rôles, pour l’ensemble des solutions Microsoft Purview et des services Microsoft 365. Vous le créez pour auditer les autorisations sur les rôles, vérifier qui dispose d’un accès à des rôles privilégiés (rôle Administrateur général ou rôle d’administrateur), appuyer les revues de conformité et les dossiers eDiscovery, ou alimenter les revues d’autorisations liées à la gestion des modifications et à la gestion des risques internes.

Quel module PowerShell utiliser pour générer un rapport sur les groupes de rôles de Microsoft Purview ?

Combinez plusieurs modules selon votre environnement : le SDK Microsoft Graph PowerShell pour interroger les attributions de rôles du portail Microsoft Purview et les membres des groupes de rôles, ainsi que le module Exchange Online Management ou les modules Security & Compliance pour certains groupes de rôles propres à Microsoft 365 et à eDiscovery. Microsoft publie parfois des exemples sur Microsoft Learn pour les tâches liées aux données Purview et au portail de conformité Purview.

Quelles autorisations faut-il pour exécuter un rapport des groupes de rôles Purview avec PowerShell ?

Vous avez généralement besoin de rôles élevés, comme le rôle Administrateur général ou un rôle d’administrateur délégué disposant des capacités de gestion des rôles, ou d’autorisations spécifiques Microsoft Purview, telles que des rôles d’administration dans le portail Purview (rôle privilégié ou rôle d’administrateur). Pour certaines requêtes, l’appartenance au groupe de rôles Gestion de l’organisation ou au groupe de rôles Gestionnaire eDiscovery peut être nécessaire. Assurez-vous d’avoir accordé le consentement aux autorisations Graph lorsque vous utilisez le SDK Microsoft Graph PowerShell pour lire les attributions de rôles et les entrées du journal d’audit.

Comment lister les membres des groupes de rôles et leurs rôles avec le SDK Microsoft Graph PowerShell ?

Authentifiez-vous avec des autorisations déléguées ou d’application incluant roleManagement.read.* et Directory.Read.All, puis interrogez roleDefinitions et roleAssignments pour faire correspondre les rôles RBAC Purview aux groupes de rôles et énumérer leurs membres. Exportez les résultats au format CSV pour créer un rapport. Pour les groupes propres à Exchange Online, comme le groupe de rôles Gestionnaire eDiscovery, il peut être nécessaire d’utiliser le module Exchange Online Management pour lister les membres des groupes de rôles et les privilèges de recherche de contenu.

Puis-je inclure les rôles eDiscovery et de protection des informations dans le même rapport ?

Oui. Combinez les données du portail Microsoft Purview (pour les solutions Microsoft Purview et les rôles de données Microsoft Purview), des services Microsoft 365 (recherche de contenu, dossiers eDiscovery, rôle Gestionnaire eDiscovery et groupe de rôles Gestionnaire eDiscovery) et des attributions de Microsoft Information Protection. Utilisez plusieurs modules PowerShell ou requêtes Graph pour agréger les autorisations sur les rôles, puis normalisez-les et exportez-les dans un rapport unique.

Comment auditer les modifications apportées aux groupes de rôles et suivre l’évolution des autorisations dans le temps ?

Utilisez le journal d’audit ainsi que les événements de connexion et d’audit d’Azure AD (Microsoft Entra / Microsoft Entra ID), accessibles via le SDK Microsoft Graph PowerShell ou les API d’audit du portail de conformité Purview. Planifiez des exports périodiques des attributions de rôles et des listes de membres des groupes de rôles afin de détecter les changements. Conserver des instantanés historiques permet de repérer les dérives et de constituer des preuves de conformité.

Quelles sont les limitations courantes des rôles intégrés à surveiller dans les rapports des groupes de rôles Purview ?

Les définitions des rôles intégrés peuvent être très étendues (par exemple, Administrateur général ou Administrateur de conformité) et accorder l’accès à l’ensemble de la conformité Purview, aux opérations de purge ou aux données privilégiées. Un rapport doit mettre en évidence les chevauchements entre rôles intégrés, les groupes de rôles par défaut et les attributions qui accordent, de fait, des autorisations élevées sur les données Microsoft Purview, Microsoft Defender XDR ou Microsoft 365 Copilot. Certains rôles intégrés ne peuvent pas être modifiés, mais ils peuvent être recensés et surveillés.

Comment gérer les groupes de rôles pour l’administration déléguée et réduire l’exposition aux rôles privilégiés ?

Identifiez les membres des groupes de rôles affectés à des rôles privilégiés et appliquez le principe du moindre privilège : créez des rôles personnalisés plus restreints lorsque c’est possible, supprimez les appartenances aux groupes de rôles inutiles et utilisez des contrôles de type comptes d’urgence pour les accès d’urgence. Le rapport doit signaler les utilisateurs du groupe de rôles Gestion de l’organisation, les titulaires de rôles d’administration et les principaux de service disposant d’attributions de rôles, afin de réduire le risque lié aux rôles privilégiés.

Où trouver des exemples et des bonnes pratiques pour créer et automatiser ces rapports ?

Consultez Microsoft Learn et la documentation relative aux exemples PowerShell utilisant le SDK Microsoft Graph PowerShell, le module Exchange Online Management et les API du portail de conformité. Parmi les bonnes pratiques, figurent l’automatisation des exports planifiés, la capture des entrées du journal d’audit, la documentation des rôles sous forme d’ensemble d’autorisations, ainsi que l’intégration des résultats dans les workflows de gouvernance pour la gestion des rôles, les revues des autorisations des rôles et les audits de conformité.

Microsoft Purview Compliance

Related articles

RSS