Un départ se prépare comme un changement de sécurité
Supprimer le compte dès la réception du billet RH peut interrompre la messagerie, rendre des fichiers inaccessibles et casser des processus métier. À l'inverse, laisser le compte actif pour que le gestionnaire récupère des documents expose l'organisation. Le bon processus bloque l'identité à l'heure convenue, puis organise la continuité et la conservation avec des responsables identifiés.
Ce guide couvre un départ normal ou urgent. Il ne remplace pas une enquête sur un compte compromis ni une décision de conservation juridique. Les accès au contenu doivent être autorisés, limités et consignés; ne remettez jamais le mot de passe du partant à son remplaçant.
Avant le départ : cadrer le périmètre et la responsabilité
- Obtenir le compte exact, l'heure effective et le fuseau, le gestionnaire, le responsable RH et le degré d'urgence.
- Identifier si l'identité est cloud seulement ou synchronisée depuis Active Directory, ainsi que la source d'autorité.
- Recenser rôles administratifs, groupes, boîtes déléguées, applications SaaS, appareils, VPN et accès locaux.
- Nommer les repreneurs des équipes Teams, sites SharePoint, flux Power Automate, applications, tâches planifiées et abonnements.
- Décider du sort des courriels et documents : usage opérationnel, conservation, sauvegarde, accès autorisé et échéance.
- Faire valider les obligations de conservation par les personnes responsables avant suppression ou retrait de licence.
| Décision | Effet | Limite |
|---|---|---|
| Bloquer | Empêche l'obtention de nouveaux accès via l'identité | N'efface pas les copies et ne termine pas toutes les sessions tierces |
| Révoquer | Invalide les sessions et jetons révoquables | Les cookies applicatifs et jetons d'accès ont leurs propres règles |
| Conserver | Préserve les données selon politique ou hold | Ne fournit pas nécessairement un accès métier quotidien |
| Supprimer | Déclenche les cycles de suppression | Ne doit pas précéder les validations de conservation |
1. Bloquer les connexions et révoquer les sessions
À l'heure du départ, désactivez le compte Entra et révoquez ses sessions. Pour une identité hybride, désactivez aussi le compte à la source AD et vérifiez la synchronisation. Réinitialisez le secret à la bonne source selon votre procédure, sans le publier dans un billet ou un script.
La révocation n'est pas une déconnexion universelle instantanée. Les jetons d'accès peuvent rester utilisables jusqu'à expiration ou à une évaluation CAE prise en charge. Un service SaaS peut garder son propre cookie; retirez l'accès, désapprovisionnez l'utilisateur et fermez les sessions côté application lorsque possible. Une session VPN doit aussi être traitée côté équipement.
$Upn = 'depart@contoso.com'
Connect-MgGraph -Scopes 'User.ReadWrite.All','User.RevokeSessions.All' -NoWelcome
$user = Get-MgUser -UserId $Upn -Property Id,UserPrincipalName,AccountEnabled,OnPremisesSyncEnabled
$user | Select-Object Id,UserPrincipalName,AccountEnabled,OnPremisesSyncEnabled
# Bloque les nouvelles connexions; vérifier aussi la source AD si hybride
Update-MgUser -UserId $user.Id -AccountEnabled:$false
Revoke-MgUserSignInSession -UserId $user.Id
Get-MgUser -UserId $user.Id -Property UserPrincipalName,AccountEnabled |
Select-Object UserPrincipalName,AccountEnabled2. Traiter les appareils et les accès hors Microsoft 365
Récupérez ordinateur, téléphone, clés physiques et matériel d'authentification. Distinguez un appareil d'entreprise à réinitialiser d'un appareil personnel où seules les données gérées doivent être retirées. Une action Intune Wipe, Retire ou suppression sélective n'a pas la même portée; elle dépend aussi de la plateforme, de l'inscription et de la connectivité.
Ne désactivez pas automatiquement tous les appareils dont l'utilisateur est propriétaire : certains peuvent être partagés ou utilisés par une autre personne. Vérifiez affectation et usage. La suppression d'un objet Entra ou Intune ne prouve ni l'effacement du disque ni la disparition des fichiers téléchargés.
- Retirer les affectations SaaS et vérifier le désapprovisionnement SCIM, puis les comptes locaux de l'application.
- Fermer les sessions VPN et retirer les certificats ou accès distants concernés selon la procédure.
- Retirer les rôles privilégiés actifs et éligibles, les délégations et les accès aux coffres de secrets.
- Faire tourner les secrets partagés effectivement connus par le partant, après analyse des dépendances.
- Transférer les tâches et identités applicatives vers des propriétaires nominatifs; éviter les scripts métier attachés au compte personnel.
3. Inventorier la boîte avant toute conversion
Recensez taille, archive, conservation, règles, transferts et délégations. Les règles existantes sont conservées lors d'une conversion en boîte partagée; vérifiez donc qu'aucun transfert externe ou comportement inattendu ne reste actif.
L'accès au courrier d'un ancien employé doit suivre la politique de l'organisation et l'autorisation RH ou juridique pertinente. Préférez une délégation traçable avec échéance à un accès permanent donné à toute l'équipe.
$Mailbox = 'depart@contoso.com'
Connect-ExchangeOnline -ShowBanner:$false
Get-Mailbox -Identity $Mailbox | Format-List RecipientTypeDetails,ArchiveStatus,
LitigationHoldEnabled,InPlaceHolds,RetentionPolicy,
ForwardingAddress,ForwardingSmtpAddress,DeliverToMailboxAndForward
Get-MailboxStatistics -Identity $Mailbox | Select-Object DisplayName,TotalItemSize,ItemCount
Get-InboxRule -Mailbox $Mailbox -IncludeHidden |
Select-Object Name,Enabled,ForwardTo,RedirectTo,DeleteMessage,MoveToFolder
Get-MailboxPermission -Identity $Mailbox |
Where-Object { -not $_.IsInherited } |
Select-Object User,AccessRights,Deny
Get-RecipientPermission -Identity $Mailbox | Select-Object Trustee,AccessRights4. Choisir entre boîte partagée et boîte inactive
Convertissez la boîte tant qu'elle dispose de sa licence. Une boîte partagée sans licence a une limite de 50 Go; une capacité de 100 Go demande Exchange Online Plan 2. Archive, hold et fonctionnalités de conformité peuvent nécessiter une licence spécifique : vérifiez chaque usage avant de retirer le produit. Les délégués doivent eux-mêmes disposer des droits et licences appropriés.
Ne supprimez pas le compte qui ancre la boîte partagée. Gardez-le bloqué : la conversion n'interdit pas à elle seule la connexion. En hybride, alignez le type de destinataire dans l'environnement source pour éviter qu'une synchronisation inverse la conversion.
| Besoin | Option | Condition |
|---|---|---|
| Recevoir et traiter les courriels futurs | Boîte partagée | Conserver son compte d'ancrage désactivé |
| Conserver des preuves sans exploitation quotidienne | Boîte inactive | Conservation ou hold approprié appliqué et confirmé avant suppression |
| Relayer temporairement les demandes | Délégation ou transfert autorisé | Destinataire, périmètre et échéance documentés |
| Reprendre le poste | Nouveau compte pour le remplaçant | Transférer les ressources, pas l'identité |
$Mailbox = 'depart@contoso.com'
$Delegate = 'gestionnaire@contoso.com'
# Après inventaire, autorisation et vérification des exigences de licence
Set-Mailbox -Identity $Mailbox -Type Shared
Add-MailboxPermission -Identity $Mailbox -User $Delegate `
-AccessRights FullAccess -InheritanceType All -AutoMapping:$false
# FullAccess n'accorde pas Send As; l'ajouter seulement si approuvé
Get-Mailbox -Identity $Mailbox | Select-Object RecipientTypeDetails
Get-MailboxPermission -Identity $Mailbox -User $Delegate5. Confirmer la conservation avant la suppression
Une boîte inactive se prépare en appliquant un hold ou une conservation compatible, avec la licence requise, puis en attendant son application effective avant de supprimer le compte. Un simple paramètre MRM RetentionPolicy dans Exchange ne prouve pas que la boîte deviendra inactive. Vérifiez les politiques Purview, leurs portées et les holds réels avec l'équipe conformité.
Documentez les identifiants de boîte, la politique, la durée, les personnes autorisées et le mécanisme de récupération. La durée d'une politique peut dépendre de la date de création ou de réception des éléments plutôt que du jour du départ. Une boîte inactive n'est pas une boîte partagée destinée au traitement du nouveau courrier.
6. Transférer OneDrive sans improviser une sauvegarde
Avant de retirer la licence, inventoriez les dossiers professionnels, liens, fichiers partagés et données non synchronisées. Donnez un accès temporaire au repreneur autorisé, puis déplacez les documents d'équipe vers une bibliothèque SharePoint dont la responsabilité est durable. Validez les versions, permissions, liens et processus qui utilisent l'ancien chemin; une copie peut modifier ces propriétés.
La suppression d'un utilisateur déclenche le cycle OneDrive configuré dans SharePoint; ce délai est distinct des 30 jours de restauration du compte Entra. Ne supposez pas que toutes les données disparaissent, ou restent disponibles, au même moment. Les politiques Purview et holds peuvent modifier le cycle de conservation.
Retirer la licence sans supprimer l'identité n'est pas une stratégie gratuite de conservation indéfinie. Selon les paramètres par défaut actuels, OneDrive devient en lecture seule après 60 jours sans licence puis est archivé après 93 jours. Des options de stockage facturé et exceptions de cloud ou d'offre existent; consultez le rapport OneDrive Accounts et la politique applicable au locataire.
La politique entrée en vigueur le 1er juillet 2026 introduit aussi un compteur de 365 jours cumulés sans paiement pour certains comptes sans licence. La récupération peut nécessiter une licence ou une réactivation facturée. Planifiez le transfert avant ces échéances et vérifiez les règles réelles plutôt que de compter sur l'archive.
7. Réattribuer les ressources métier et les délégations
La liste des groupes ne couvre pas tous les droits. Les permissions directes, comptes SaaS, fichiers locaux, services et clés API exigent une revue distincte. Pour les services critiques, attribuez un propriétaire et un suppléant, puis consignez le résultat du test.
- Teams et groupes Microsoft 365 : ajouter un propriétaire actif, vérifier les canaux privés et partagés ainsi que les réunions importantes.
- SharePoint : revoir propriétaires de sites, accès directs et liens; les fichiers d'équipe ne sont pas automatiquement transférés avec le compte.
- Power Automate et Power Apps : transférer la responsabilité et vérifier chaque connexion, licence et dépendance personnelle.
- Applications Entra : remplacer propriétaires et contacts, réviser secrets et certificats connus du partant; une application peut continuer sans la session de l'utilisateur.
- Boîtes et calendriers : retirer FullAccess, Send As et Send on Behalf accordés au partant sur d'autres boîtes.
- Rapports, abonnements et tâches planifiées : tester avec la nouvelle identité avant clôture.
8. Retirer les licences et supprimer seulement au bon moment
Le retrait de licence intervient après validation des données, fonctionnalités et repreneurs. Vérifiez les licences attribuées directement et par groupe : retirer une attribution directe ne retire pas nécessairement celle du groupe. Évaluez les autres produits du forfait, pas uniquement Exchange.
Si une boîte partagée reste utilisée, son compte d'ancrage reste présent et désactivé. Si la suppression est approuvée, documentez les délais de récupération et les protections actives. La restauration du compte dans les 30 jours ne remplace pas un plan de conservation et de sauvegarde testé.
Contrôles de sortie et exemple de dossier
Exemple fictif : un employé quitte vendredi à 17 h. Le compte est bloqué et les sessions révoquées à cette heure; la boîte de 18 Go est convertie, puis le gestionnaire reçoit FullAccess pour 30 jours. L'archive et les exigences de conservation sont vérifiées avant toute économie de licence. Les dossiers d'équipe migrent vers SharePoint avec tests des liens; une tâche distincte retire la délégation après la transition.
Pour annuler un départ, rétablissez les accès après nouvelle autorisation, vérifiez licences et source AD et testez les applications. Si une boîte est reconvertie en boîte utilisateur, attribuez la licence appropriée. Ne restaurez pas automatiquement tous les anciens privilèges.
| Contrôle | Preuve attendue | Responsable |
|---|---|---|
| Identité | AccountEnabled=false à la source et dans Entra; révocation consignée | TI identité |
| Applications et VPN | Sessions fermées et désapprovisionnement confirmé | Propriétaires applicatifs |
| Appareil | Matériel récupéré ou action de gestion suivie | Équipe poste de travail |
| Courriel | Type, taille, licence et délégation validés | Messagerie |
| OneDrive | Transfert testé, liens et conservation documentés | Gestionnaire et SharePoint |
| Conformité | Politique/hold confirmé avant suppression | Responsable conformité |
| Continuité | Flux, sites et tâches testés avec les repreneurs | Responsables métier |
| Accès temporaires | Date de retrait et billet de suivi | TI |
Permissions, traçabilité et accompagnement
Les exemples Graph demandent des scopes délégués et un rôle Entra approprié; le consentement seul ne donne pas tous les pouvoirs, notamment pour une identité privilégiée. Exchange impose son RBAC, SharePoint ses rôles et Purview ses permissions de conformité. Utilisez des comptes d'administration nominatifs, PIM lorsque disponible et les droits nécessaires à chaque étape.
Les commandes d'inventaire lisent les configurations; les exemples de blocage, révocation, conversion et délégation les modifient. Exécutez-les séparément après validation du compte et du billet. Conservez les exports dans un emplacement protégé et minimisez les données personnelles.
Un accompagnement Microsoft 365 aide à formaliser ce processus, identifier les dépendances oubliées et tester la conservation. Le résultat attendu est une procédure réutilisable avec responsables et preuves, adaptée aux licences et à l'environnement hybride.
À propos de l’auteur
Marc-Antoine Lambert
Consultant TI senior et Team Lead basé à Montréal, spécialisé en architecture, cybersécurité, infrastructures Microsoft, réseaux et continuité des opérations.
Discuter de votre environnement →