Comment gérer les paramètres de partage externe dans SharePoint et OneDrive à grande échelle

Certaines tâches professionnelles exigent de partager des fichiers avec des personnes extérieures à l’entreprise via SharePoint et OneDrive. Cela apporte un vrai gain de confort et de productivité, mais aussi un risque de sécurité lorsque les autorisations d’accès ne sont pas surveillées régulièrement. Les administrateurs informatiques, les fournisseurs de services gérés (MSP) et les sysadmins ont donc la responsabilité essentielle de trouver le juste équilibre entre collaboration efficace et conformité aux normes de sécurité.

Dans cet article, vous découvrirez différentes étapes pour gérer les paramètres de partage externe de SharePoint et de OneDrive : de la définition des valeurs par défaut globales dans le centre d’administration Microsoft 365 à l’utilisation d’outils en ligne de commande pour la vérification et le dépannage.

Vous préférez la vidéo ? Regardez « Comment gérer les paramètres de partage externe dans SharePoint et OneDrive à grande échelle » pour un guide visuel.

Comment encadrer les paramètres de partage externe de SharePoint et OneDrive à grande échelle

La gestion des paramètres de partage externe dans des plateformes comme SharePoint et OneDrive demande une approche à plusieurs niveaux. Vous resterez ainsi toujours aligné sur les objectifs de collaboration et les besoins de sécurité de votre entreprise. Voici quelques méthodes pour améliorer vos processus de gestion existants.

📌 Prérequis :

• Un tenant Microsoft 365 avec SharePoint et OneDrive activés
• Un ou plusieurs rôles d’administrateur (administrateur général, administrateur SharePoint ou administrateur de conformité)

💡 Conseil : consultez la section Points de vigilance avant de poursuivre.

📌 Stratégies de déploiement recommandées :

Méthode 1 : configurer les paramètres de partage externe par défaut depuis le centre d’administration Microsoft 365

Cette méthode définit des politiques de référence à l’échelle du tenant pour le partage externe de fichiers et de dossiers dans SharePoint et OneDrive. Les administrateurs gagnent ainsi en contrôle sur les accès anonymes et l’expiration des liens.

📌 Cas d’utilisation :

• Onboarding de nouveaux tenants Microsoft 365
• Application de politiques de collaboration à l’échelle de l’organisation

📌 Prérequis : un accès au centre d’administration Microsoft 365

1. Rendez-vous dans Partage, dans le centre d’administration SharePoint.
2. Connectez-vous avec un compte disposant d’autorisations d’administrateur pour votre entreprise.
3. Sous Partage externe, choisissez parmi les quatre niveaux de partage disponibles :
   • Tout le monde (le plus permissif)
   • Invités nouveaux et existants
   • Invités existants
   • Uniquement les personnes de votre organisation

💡 Remarque : les paramètres propres à un site peuvent remplacer la valeur par défaut définie au niveau du tenant.

4. Définissez les paramètres de lien par défaut :
   • Affichage
   • Modification
5. Définissez les durées d’expiration des liens anonymes.
6. Répétez ces étapes sous OneDrive > Partage.
7. Enregistrez les modifications pour les appliquer globalement.

Méthode 2 : configurer les politiques de partage au niveau du site avec PowerShell

Cette méthode PowerShell applique ou restreint les paramètres de partage externe au niveau du site, en particulier lorsque la sensibilité d’un site donné impose des politiques plus strictes. Elle offre un contrôle précis sur les sites sensibles. De plus, elle remplace les valeurs par défaut du tenant pour un déploiement à grande échelle, si nécessaire.

📌 Cas d’utilisation :

• Gérer l’accès à des sites de projet ou juridiques sensibles
• Encadrer le partage sur des sites destinés à des sous-traitants ou clients externes

📌 Prérequis :

• SharePoint Online Management Shell
• Les URL des sites et un accès à PowerShell

1. Après avoir installé et importé le module PowerShell SharePoint Online, connectez-vous à SharePoint Online depuis une session PowerShell avec privilèges élevés :

Connect-SPOService -Url https://yourtenant-admin.sharepoint.com

2. Affichez les paramètres de partage actuels pour auditer les politiques en place avant toute modification :

Get-SPOSite -Identity https://yourtenant.sharepoint.com/sites/marketing | Select SharingCapability

3. Définissez la politique de partage externe souhaitée :

Set-SPOSite -Identity https://yourtenant.sharepoint.com/sites/marketing -SharingCapability ExternalUserSharingOnly

💡 Remarque : les options -SharingCapability disponibles sont les suivantes :

• • Disabled
  • ExternalUserSharingOnly
  • ExternalUserAndGuestSharing
  • ExistingExternalUserSharingOnly

5. Appliquez la politique à l’ensemble des sites :

Get-SPOSite -Limit All | ForEach-Object {

Set-SPOSite -Identity $_.Url -SharingCapability ExternalUserSharingOnly

}

Méthode 3 : automatiser l’audit des politiques de partage avec Microsoft Graph

Cette méthode permet aux administrateurs d’auditer et de surveiller qui partage quoi, avec qui et quand, dans SharePoint et OneDrive, grâce à Microsoft Graph PowerShell. Les MSP peuvent ainsi générer des rapports de conformité, repérer les partages excessifs et auditer les accès externes à grande échelle.

📌 Cas d’utilisation :

• Créer des rapports mensuels de partage externe
• Enquêter sur des fuites de données suspectées
• Garantir une application proactive de la conformité

📌 Prérequis :

• Microsoft Graph PowerShell SDK
• Une inscription d’application avec les scopes appropriés (Sites.Read.All et Reports.Read.All)

1. Après avoir installé le SDK Microsoft Graph PowerShell, connectez-vous à Microsoft Graph et utilisez-le pour récupérer les métadonnées des sites et des partages depuis une session PowerShell avec privilèges élevés :

Connect-MgGraph -Scopes "Sites.Read.All" 

⚠️ Important : si vous utilisez une authentification applicative (non interactive), vous devez inscrire une application dans Azure AD et accorder les autorisations d’API.

2. Obtenez la liste de tous les sites SharePoint :

Get-MgSite -All -Property "Id, WebUrl, DisplayName, SharingCapability" 

Chaque objet site doit inclure des métadonnées, telles que l’ID du site, l’URL web et le nom d’affichage.

3. Facultatif : exportez les résultats au format CSV pour établir des rapports indiquant qui a partagé quoi, avec qui et quand.
4. Automatisez l’exécution du script à l’aide de tâches planifiées ou du scripting NinjaOne RMM.

Méthode 4 : utiliser la stratégie de groupe pour désactiver la synchronisation de fichiers avec des comptes non autorisés

Cette méthode empêche les utilisateurs de synchroniser des comptes OneDrive personnels ou non gérés sur les terminaux de l’entreprise. Seuls les comptes de l’organisation sont utilisés, ce qui évite les fuites de données via des comptes personnels.

📌 Cas d’utilisation :

• Gérer les paramètres sur les ordinateurs portables et fixes appartenant à l’entreprise
• Encadrer le partage dans des secteurs très réglementés, comme la finance, la santé et le juridique

📌 Prérequis :

• Un environnement Active Directory
• La console de gestion des stratégies de groupe (GPMC)
• Intune (autre solution facultative)

1. Ouvrez la console de gestion des stratégies de groupe (GPMC).
2. Accédez à :

Configuration ordinateur > Modèles d’administration > OneDrive

3. Activez les paramètres suivants :
   • Empêcher les utilisateurs de synchroniser des comptes OneDrive personnels (bloque toute activité de synchronisation depuis des comptes Microsoft personnels)
   • Connecter automatiquement les utilisateurs à l’application de synchronisation OneDrive avec leurs identifiants Windows (connecte automatiquement les utilisateurs au client de synchronisation OneDrive avec leur compte de domaine ou Azure AD, afin que leur OneDrive soit configuré sans connexion manuelle)
4. Exécutez gpupdate /force sur les machines cibles pour appliquer les modifications.

Méthode 5 : utiliser l’Éditeur du registre pour renforcer l’application des politiques

Cette méthode met en place des contrôles stricts en modifiant le registre Windows afin de restreindre le comportement de OneDrive sur les terminaux. Cette modification verrouille les terminaux dans les environnements hors domaine ou BYOD en ajoutant un niveau d’application supplémentaire au-delà de la GPO. C’est particulièrement utile pour l’automatisation via RMM.

📌 Cas d’utilisation : gérer le partage sur des appareils non joints à l’AD et sur les machines de sous-traitants ou de consultants temporaires

📌 Prérequis :

• Des droits d’administrateur sur le terminal
• Un accès au registre

1. Ouvrez l’Éditeur du registre en tant qu’administrateur. Appuyez sur Touche Windows + R, tapez « regedit », puis appuyez sur Ctrl + Maj + Entrée.
2. Dans le volet de gauche, suivez ce chemin :

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\OneDrive

3. Créez ou mettez à jour les clés DWORD suivantes avec les valeurs appropriées :
   • DisablePersonalSync = 1
   • SilentAccountConfig = 1
   • BlockExternalSync = 1

Ces clés restreignent le comportement de synchronisation et les destinations de téléversement externes. Elles s’avèrent utiles dans les environnements verrouillés.

Méthode 6 : utiliser CMD (invite de commande) pour les contrôles de conformité et la visibilité du client de synchronisation

Cette méthode s’appuie sur des outils en ligne de commande pour vérifier l’état du client de synchronisation, tester l’application des politiques et forcer les mises à jour de configuration. Elle aide les administrateurs à résoudre les problèmes de synchronisation ou de politique lors de la validation après déploiement.

📌 Cas d’utilisation :

• Vérifier la bonne application d’une GPO ou du registre
• Diagnostiquer les échecs de synchronisation

📌 Prérequis :

• Un accès à l’invite de commande Windows
• Le client OneDrive installé

1. Ouvrez l’invite de commande. Appuyez sur Touche Windows + R, tapez « cmd », puis appuyez sur Entrée.
2. Vérifiez l’état de synchronisation de OneDrive :

%localappdata%\Microsoft\OneDrive\OneDrive.exe /status

Cela permet de confirmer que OneDrive est en cours d’exécution, actif et synchronisé avec Microsoft 365.

3. Listez les dossiers actuellement synchronisés afin de détecter l’utilisation non conforme d’un compte personnel sur l’appareil :

dir %userprofile%\OneDrive* /a /s

4. Forcez l’actualisation des politiques OneDrive pour que les modifications de GPO prennent effet immédiatement :

gpupdate /force

Utilisez ces commandes pour vérifier les modifications de GPO ou du registre et pour résoudre les problèmes de synchronisation liés au partage.

⚠️ Points de vigilance

L’intérêt de gérer le partage externe à grande échelle

Les raisons de gérer les paramètres de partage externe de SharePoint et OneDrive sont nombreuses :

• Éviter les fuites de données sensibles ou réglementées liées à un partage incontrôlé, à des liens anonymes et à des accès invités trop larges
• Garantir des politiques de sécurité cohérentes entre les sites et les utilisateurs pour réduire les failles, limiter les erreurs de configuration et imposer des règles de protection des données à l’échelle de l’organisation
• Améliorer la visibilité et l’auditabilité en suivant et en consignant qui a partagé quoi, avec qui et quand
• Assurer la conformité à des cadres tels que le RGPD (règlement général sur la protection des données), HIPAA et CMMC
• Réduire la charge opérationnelle des équipes informatiques et des MSP qui gèrent des centaines d’utilisateurs ou de sites

Autres points à prendre en compte lors de l’ajustement des paramètres de partage externe de OneDrive et SharePoint

Pour réussir durablement la gestion de vos politiques de partage externe, vous devez connaître d’autres stratégies permettant de détecter les failles, d’encadrer les comportements et de respecter les cadres réglementaires.

• Audit et alertes : envisagez d’activer la journalisation d’audit via Purview et le centre de conformité Microsoft 365, puis de configurer des politiques d’alerte pour le partage anonyme. Cela renforce la détection des menaces en temps réel et facilite les investigations et la réponse aux incidents.
• Politiques d’expiration des liens : il est recommandé de limiter la durée de validité des liens partagés en externe afin de réduire le risque d’accès externes persistants.
• Conditions d’utilisation pour les utilisateurs externes : pour couvrir juridiquement les données partagées, exigez des utilisateurs invités qu’ils acceptent des conditions générales, telles que des clauses de non-responsabilité et de confidentialité, avant d’accéder au contenu partagé.
• Revues d’accès : vérifiez régulièrement si les utilisateurs externes ont toujours besoin d’un accès, en planifiant des revues d’accès automatisées avec Microsoft Entra ID Governance ou en scriptant les évaluations d’accès avec Microsoft Graph PowerShell.

Résolution des problèmes courants

Les utilisateurs continuent de partager en externe malgré les restrictions

Cela vient généralement de paramètres de partage au niveau du site moins restrictifs que la politique attendue. Vérifiez vos paramètres au niveau du site ou les autorisations au niveau des groupes, par exemple celles accordées via les groupes Microsoft 365 ou Teams, et modifiez-les si besoin.

Le client de synchronisation contourne les restrictions sur les comptes personnels

Commencez par confirmer que les modifications locales de GPO ou de registre ont bien été appliquées : la propagation de la politique peut être retardée, des erreurs ont pu se produire lors de la modification du registre, ou la modification nécessite un redémarrage. Renvoyez la politique avec Intune, NinjaOne ou un script si nécessaire.

Les invités externes ne sont pas invités à utiliser la MFA (authentification forte)

Appliquez des politiques d’accès conditionnel au niveau du tenant, sous Centre d’administration Microsoft Entra > Sécurité. Vous pouvez y créer une politique ciblant des utilisateurs ou des applications spécifiques. Après vos modifications, testez l’expérience de connexion des invités avec un compte externe jetable.

Les appels à l’API Graph sont refusés

Cela peut être dû à l’absence des autorisations requises pour l’inscription de l’application (pour Sites.Read.All et Files.Read.All). Vérifiez que l’application PowerShell dispose des bonnes autorisations via Azure AD > Inscriptions d’applications. Vous pouvez y attribuer les autorisations d’API Graph nécessaires et sélectionner Accorder un consentement administrateur.

Les services NinjaOne qui facilitent la gestion du partage externe à grande échelle

Il est essentiel, pour les MSP et les équipes informatiques, de gérer les politiques de partage externe dans les environnements Microsoft 365. Mais cette tâche peut s’avérer complexe et chronophage, en particulier dans les grandes entreprises. NinjaOne propose différentes fonctionnalités pour améliorer l’automatisation, le contrôle et la surveillance.

Vers une collaboration plus sûre

Pour réussir la gestion du partage externe dans SharePoint et OneDrive en entreprise, adoptez des méthodes en plusieurs couches et évolutives. De la définition des valeurs par défaut globales à l’audit des accès, vous devez suivre soigneusement certaines étapes pour limiter les risques et garantir la cohérence, tout en permettant la collaboration. Bien menée, cette démarche vous permet de concilier sécurité et facilité d’utilisation lorsque vous travaillez avec des parties externes à votre entreprise.

Sujets connexes :

• Le guide de l’administrateur sur les autorisations de groupe SharePoint : configuration, gestion et bonnes pratiques
• Comment arrêter de partager des fichiers et des dossiers OneDrive dans Windows 11
• Comment synchroniser des dossiers avec OneDrive dans Windows 10 et 11
• Comment changer l’emplacement de votre dossier OneDrive dans Windows
• Comment ajouter et supprimer un emplacement réseau dans Windows 10