Une seule licence Microsoft Copilot (anciennement Microsoft 365 Copilot) attribuée dans le locataire donne à vos administrateurs l'accès à une large part de SharePoint Advanced Management (SAM). Reste à savoir quelles fonctions activer, dans quel ordre, et lesquelles ne sont pas couvertes. Ce guide d'audit propose une séquence exécutable, de la vérification des droits jusqu'au dépannage.
Trois voies de licence pour accéder à SAM
La documentation Microsoft Learn sur les prérequis de SAM décrit aujourd'hui trois voies d'accès. La plus répandue est la plus simple : au moins un utilisateur du locataire détient une licence Copilot, sans qu'il soit administrateur SharePoint.
| Voie d'accès | Condition | À savoir |
|---|---|---|
| Licence Microsoft Copilot | Au moins un utilisateur du locataire, administrateur ou non | Base : un abonnement admissible (Office 365 E3, E5 ou A5, Microsoft 365 E1, E3, E5 ou A5, ou nuages gouvernementaux) |
| Module complémentaire SAM Plan 1 | Abonnements SharePoint K, P1 ou P2 | Requis pour la création restreinte de sites par les applications, non incluse avec Copilot |
| Microsoft 365 E7 (Frontier Suite) | Abonnement E7 | Comprend E5, Copilot, Entra Suite et Agent 365 |
Le module complémentaire autonome est la voie que l'on oublie : elle concerne les organisations sans Copilot, ou celles qui veulent la création restreinte de sites. Avant de lancer l'audit, confirmez que vos administrateurs détiennent le rôle SharePoint Administrator ou SharePoint Advanced Management Administrator.
Ce que contient SAM avec Copilot, et ce qui n'y est pas
La page Learn dédiée aux fonctions SAM incluses avec Copilot (mise à jour le 18 août 2026) range l'offre en trois familles.
- Contrôle de la prolifération : comparaison des politiques de sites, politique de propriété des sites, politique des sites inactifs et attestation des sites, chacune avec un mode simulation et un mode actif.
- Contrôle du surpartage : évaluation de la gestion du contenu, blocage du téléchargement, aperçus des applications d'entreprise, accès conditionnel par site, Restricted Access Control (RAC), Restricted Content Discovery (RCD), rapports sur les liens de partage, sur « Tout le monde sauf les utilisateurs externes » et sur les permissions, révision de l'accès par les propriétaires.
- Contrôle du cycle de vie : gestion du catalogue, historique des changements et actions récentes des administrateurs.
Trois limites méritent d'être connues avant de promettre quoi que ce soit à votre direction. La création restreinte de sites par les applications exige le module complémentaire SAM Plan 1. Le renommage avancé du locataire n'est pas disponible dans les nuages GCC, GCC-High et DoD. Enfin, dans les locataires commerciaux, SAM est requis au-delà de 10 000 sites.
10 000
Sites au-delà desquels SAM est requis (locataires commerciaux)
Microsoft Learn
10
Groupes maximum par site pour Restricted Access Control
Microsoft Learn
100
Sites maximum pour Restricted SharePoint Search
Microsoft Learn
500 000
Éléments à partir desquels la propagation de RCD peut dépasser une semaine
Microsoft Learn
E5 seul n'ouvre pas tout SAM
La page des rapports de gouvernance de l'accès aux données précise qu'un administrateur E5 peut consulter ces rapports, mais pas les autres fonctions SAM : ni instantanés, ni actions de correction. L'aide de Start-SPODataAccessGovernanceInsight indique de son côté qu'une licence SAM est requise. Les étiquettes de confidentialité exigent E5 ou G5 et ne viennent pas avec Copilot seul. Vérifiez donc ce que votre locataire affiche réellement avant de bâtir un plan.
Étape 1 : mesurer l'exposition avec les rapports DAG
Les rapports de gouvernance de l'accès aux données (DAG, pour Data Access Governance) donnent le point de départ chiffré de l'audit. Deux familles coexistent : les rapports instantanés, qui photographient l'état des permissions, et les rapports d'activité, qui couvrent les 28 derniers jours (liens de partage créés, partage avec toute l'organisation).
Le rapport des permissions de sites repère les sites aux accès les plus larges : milliers d'utilisateurs, invités externes, groupe « Tout le monde sauf les utilisateurs externes ». Un rapport dédié identifie aussi les fichiers et dossiers rendus publics par ces groupes spéciaux. Microsoft suggère un instantané par trimestre et un rapport d'activité par mois.
En PowerShell, Start-SPODataAccessGovernanceInsight génère les rapports et Get-SPODataAccessGovernanceInsight les liste. La vue d'ensemble de SAM mentionne d'autres rapports utiles à un audit orienté Copilot : AI insights sur les rapports DAG, rapport sur les agents créés dans SharePoint, rapport d'accès des agents, rapport de permissions d'un utilisateur donné, et lancement de révisions d'accès de site depuis un rapport DAG.
Un scénario d'illustration : après un premier instantané, vous classez les sites par ampleur d'exposition et retenez les cinq plus exposés. Ce sont eux qui recevront les contrôles des étapes suivantes.
Étape 2 : gagner du temps avec Restricted Content Discovery
Restricted Content Discovery empêche le contenu d'un site de ressortir dans la recherche à l'échelle de l'organisation et dans les réponses de Copilot, y compris pour les fichiers récemment consultés. Microsoft Learn le présente comme un contrôle temporaire, le temps de revoir les permissions (page mise à jour le 22 septembre 2026).
Dans le Centre d'administration SharePoint, ouvrez le site concerné parmi les sites actifs, puis l'onglet Settings. Activez l'option « Restrict content from Microsoft 365 Copilot », placée à côté de « Restricted site access ».
Ce que RCD fait et ne fait pas :
- il ne modifie pas les permissions : un utilisateur qui a déjà accès peut ouvrir le contenu directement ;
- il retire aussi les points d'entrée IA du site, comme le bouton Copilot ;
- il ne s'applique pas à OneDrive ;
- il n'affecte ni les recherches lancées depuis le site, ni le résumé d'un document déjà ouvert ;
- le contenu reste dans l'index, donc eDiscovery et l'étiquetage automatique Purview continuent de fonctionner.
La mise à jour est un effet de propagation d'index : pour un site de plus de 500 000 éléments, elle peut prendre plus d'une semaine. La gestion de RCD peut être déléguée aux administrateurs de site via le paramètre DelegateRestrictedContentDiscoverabilityManagement de Get-SPOTenant ; ils doivent alors justifier chaque changement. Microsoft recommande un usage parcimonieux, car un usage excessif appauvrit les réponses de Copilot.
Dans un billet Tech Community de juillet 2026 (mis à jour en août), l'équipe FastTrack recommande d'utiliser RCD pendant le pilote Copilot, puis de le désactiver après validation. Elle propose aussi de remplacer les liens « Anyone » par des accès délimités avec expiration, et de lancer des révisions d'accès Entra sur les groupes Microsoft 365 pour repérer les adhésions périmées.
Restricted SharePoint Search n'est pas une alternative sûre
Cet autre contrôle temporaire n'est pas une frontière de sécurité. Il est limité à 100 sites et Microsoft recommande de le désactiver après validation des permissions. Un site récemment consulté ou partagé via Teams ou Outlook apparaît quand même dans les résultats.
Étape 3 : verrouiller avec RAC, puis installer le cycle de vie
Restricted Access Control (RAC) va plus loin que RCD : seuls les membres des groupes désignés accèdent au site, même s'ils détenaient une permission directe ou un lien. Chaque site accepte jusqu'à 10 groupes de sécurité ou groupes Microsoft 365, et Copilot comme la recherche respectent la politique. La fonction doit d'abord être autorisée à l'échelle du locataire avec Set-SPOTenant -EnableRestrictedAccessControl $true, avec jusqu'à une heure de délai.
Le ménage durable vient ensuite : les politiques de propriété, de sites inactifs et d'attestation ne suppriment aucun site, elles avisent les propriétaires et les administrateurs. Commencez en mode simulation et lisez les résultats avant de basculer en mode actif.
Mise en œuvre
Ce script contrôle votre environnement avant l'audit : disponibilité des cmdlets DAG et RCD, version du module, état de la délégation RCD. Il peut aussi activer RAC au niveau du locataire, mais uniquement si vous le demandez, et il respecte -WhatIf.
- Module requis : Microsoft.Online.SharePoint.PowerShell, installé par
Install-Module -Name Microsoft.Online.SharePoint.PowerShell -Scope CurrentUser. - Permission : rôle SharePoint Administrator ou SharePoint Advanced Management Administrator ; vérifiez dans la page des prérequis lequel convient à votre usage.
- Sortie : un tableau de disponibilité des cmdlets, la valeur de délégation RCD, et le résultat de l'activation RAC le cas échéant.
1[CmdletBinding(SupportsShouldProcess = $true)]2param(3 # Préfixe du locataire, par exemple contoso pour contoso-admin.sharepoint.com4 [Parameter(Mandatory = $true)]5 [string]$TenantName,6 7 # À fournir uniquement pour autoriser RAC à l'échelle du locataire8 [switch]$EnableRestrictedAccessControl9)10 11$ErrorActionPreference = 'Stop'12 13# 1. Vérifier la présence du module SharePoint Online14if (-not (Get-Module -ListAvailable -Name Microsoft.Online.SharePoint.PowerShell)) {15 throw 'Module absent. Exécutez : Install-Module -Name Microsoft.Online.SharePoint.PowerShell -Scope CurrentUser'16}17Import-Module Microsoft.Online.SharePoint.PowerShell -DisableNameChecking18 19# 2. Connexion au centre d'administration SharePoint20Connect-SPOService -Url ('https://{0}-admin.sharepoint.com' -f $TenantName)21 22# 3. Contrôler la disponibilité des cmdlets utilisées dans l'audit23$attendues = 'Start-SPODataAccessGovernanceInsight',24 'Get-SPODataAccessGovernanceInsight',25 'Get-SPORestrictedContentDiscoverabilityReport'26$disponibilite = foreach ($nom in $attendues) {27 $cmd = Get-Command -Name $nom -ErrorAction SilentlyContinue28 [pscustomobject]@{29 Cmdlet = $nom30 Disponible = [bool]$cmd31 Module = $cmd.Source32 Version = $cmd.Version33 }34}35$disponibilite | Format-Table -AutoSize36 37# 4. Lire (sans rien modifier) la délégation de la gestion de RCD38$tenant = Get-SPOTenant39Write-Host ('Délégation RCD aux administrateurs de site : {0}' -f $tenant.DelegateRestrictedContentDiscoverabilityManagement)40 41# 5. Activation facultative de RAC au niveau du locataire (propagation : jusqu'à une heure)42if ($EnableRestrictedAccessControl) {43 if ($PSCmdlet.ShouldProcess($TenantName, 'Set-SPOTenant -EnableRestrictedAccessControl $true')) {44 Set-SPOTenant -EnableRestrictedAccessControl $true45 Write-Host 'RAC autorisé au niveau du locataire.'46 }47}Pour générer les rapports DAG, ne recopiez pas un exemple trouvé ailleurs : les paramètres dépendent de la version du module. Lisez la syntaxe exacte avec les deux commandes ci-dessous.
1Get-Command -Name Start-SPODataAccessGovernanceInsight -Syntax2Get-Help -Name Get-SPODataAccessGovernanceInsight -FullRAC est un réglage de tout le locataire
Autoriser RAC change un paramètre global. Exécutez d'abord le script avec -WhatIf, puis sans -EnableRestrictedAccessControl pour un simple contrôle. Appliquez ensuite la politique site par site, en commençant par un site pilote, car une politique mal calibrée coupe l'accès de personnes légitimes.
Dépannage
| Symptôme | Cause probable | Résolution |
|---|---|---|
| Le contenu d'un site apparaît encore dans Copilot après activation de RCD | Propagation d'index en cours ; au-delà de 500 000 éléments, plus d'une semaine | Patienter, suivre l'avancement avec Get-SPORestrictedContentDiscoverabilityReport, puis retester |
| Un utilisateur ouvre toujours le contenu d'un site sous RCD | RCD ne change pas les permissions | Corriger les permissions, ou utiliser RAC pour restreindre l'accès |
| RAC sans effet juste après l'activation | Délai de propagation du réglage locataire (jusqu'à une heure) | Attendre, puis revérifier la politique du site |
| Rapports DAG sans instantanés ni actions de correction | Droits issus d'une licence E5 seule, sans SAM | Attribuer une licence Copilot ou le module SAM Plan 1, puis revérifier l'affichage |
| Création restreinte de sites par les applications indisponible | Fonction non incluse avec la licence Copilot | Acquérir le module complémentaire SAM Plan 1 |
| Un site sous Restricted SharePoint Search ressort quand même | Site récemment consulté ou partagé via Teams ou Outlook | Ne pas le considérer comme une frontière de sécurité ; corriger les permissions |
Contrôles après déploiement
À valider une fois les contrôles appliqués
- Les trois cmdlets d'audit sont disponibles et le module est à jour.
- Les cinq sites les plus exposés sont sous RCD ou RAC, et la propagation est suivie.
- Les politiques de cycle de vie tournent en mode simulation.
- La délégation RCD correspond à votre choix de gouvernance.
Questions fréquentes
Faut-il une licence Copilot pour chaque administrateur SharePoint ?
Non. Selon la page Learn sur les prérequis, il suffit qu'au moins un utilisateur du locataire détienne une licence Copilot, et cet utilisateur n'a pas besoin d'être administrateur. Vos administrateurs doivent en revanche avoir le rôle SharePoint Administrator ou SharePoint Advanced Management Administrator.
Que faire si je n'ai pas Copilot ?
Deux autres voies existent : le module complémentaire SAM Plan 1 pour les abonnements SharePoint K, P1 ou P2, ou Microsoft 365 E7. Le module complémentaire est aussi la seule option pour la création restreinte de sites par les applications.
RCD et RAC sont-ils interchangeables ?
Non. RCD masque le contenu de la recherche et de Copilot sans toucher aux permissions, et il est présenté comme temporaire. RAC restreint réellement l'accès aux membres des groupes désignés, jusqu'à 10 groupes par site.
Les étiquettes de confidentialité sont-elles incluses avec Copilot ?
Non. La page Learn indique que les étiquettes de confidentialité exigent E5 ou G5. Elles ne sont donc pas fournies par la licence Copilot seule.
Par où commencer cette semaine
L'obstacle à l'audit du surpartage n'est plus la licence, c'est le temps. Un périmètre réduit, cinq sites et un rapport, vaut mieux qu'un grand projet qui attend son budget.
Plan d'action sur cinq jours
- Confirmer qu'au moins une licence Copilot est attribuée et que les administrateurs ont le bon rôle.
- Exécuter le script de contrôle, puis générer le rapport des permissions de sites et noter les cinq sites les plus exposés.
- Appliquer RCD à ces sites le temps de la revue, et suivre la propagation.
- Créer une politique de propriété de sites en mode simulation et lire les résultats avant activation.
- Planifier un instantané trimestriel et un rapport d'activité mensuel.
Si votre organisation prépare un pilote Copilot, utilisez RCD pendant le pilote puis levez-le une fois les permissions validées, comme le suggère l'équipe FastTrack. Si vos données sensibles doivent rester cloisonnées de façon durable, visez RAC plutôt que de prolonger un contrôle temporaire. Pour les organisations québécoises, un renseignement personnel exposé par le surpartage peut relever d'un accès non autorisé au sens de l'article 3.6 de la Loi sur la protection des renseignements personnels dans le secteur privé : validez ce point avec votre responsable de la protection des renseignements personnels.
Pour cadrer l'audit dans un chantier plus large, consultez notre checklist technique pour préparer un tenant Microsoft 365 pour Copilot et nos stratégies de gouvernance contre l'exposition de données.
Pour aller plus loin
- Prerequisites for SharePoint Advanced Management : les trois voies de licence, les rôles d'administration et la configuration PowerShell.
- SharePoint Advanced Management features in Microsoft Copilot licenses : le tableau des fonctions incluses par nuage et l'exception de la création restreinte de sites.
- Restrict discovery of SharePoint sites and content (Restricted Content Discovery) : prérequis, délégation, surveillance et délais de propagation de RCD.
- Limiting Microsoft 365 Copilot data exposure risk with Zero Trust apps and data controls : les bonnes pratiques FastTrack pour réduire le surpartage avant un déploiement large.
- SharePoint Advanced Management overview : le panorama à jour des fonctions SAM, dont les nouveautés liées aux agents.
