Configuration de Microsoft Entra pour le contenu chiffré

Description du service

Description du service Microsoft Purview Audit

Si vous protégez des éléments sensibles tels que des e-mails et des documents à l’aide du chiffrement à partir du service Azure Rights Management de la Protection des données Microsoft Purview, certaines configurations de Microsoft Entra peuvent empêcher l’accès autorisé à cette Contenu chiffré.

De même, si vos utilisateurs reçoivent du courrier chiffré d’une autre organisation ou collaborent avec d’autres organisations qui chiffrent des documents à l’aide du service Azure Rights Management, vos utilisateurs risquent de ne pas pouvoir ouvrir cet e-mail ou ce document en raison de la configuration de leur Microsoft Entra ID.

Par exemple :

• Un utilisateur ne peut pas ouvrir les e-mails chiffrés envoyés à partir d’une autre organisation. Ou encore, un utilisateur signale que les destinataires d’une autre organisation ne peuvent pas ouvrir un e-mail chiffré qu’ils leur ont envoyé.

• Votre organisation collabore avec une autre organisation sur un projet commun, et les documents de projet sont protégés en les cryptant, ce qui autorise l’accès à l’aide de groupes dans Microsoft Entra ID. Les utilisateurs ne peuvent pas ouvrir les documents chiffrés par les utilisateurs de l’autre organization.

• Les utilisateurs peuvent ouvrir un document chiffré lorsqu’ils sont au bureau, mais pas lorsqu’ils essaient d’accéder à ce document à distance et qu’ils sont invités à procéder à une authentification multifacteur (MFA).

Pour vous assurer que l’accès au service de chiffrement n’est pas bloqué par inadvertance, utilisez les sections suivantes pour configurer l’Microsoft Entra ID de votre organisation ou pour relayer les informations à un administrateur Microsoft Entra d’une autre organisation. Sans accès au service Azure Rights Management, les utilisateurs ne peuvent pas être authentifiés et ne sont pas autorisés à ouvrir du contenu chiffré.

Paramètres d’accès inter-locataires et contenu chiffré

Par défaut, il n’y a rien à configurer pour que l’authentification inter-locataires fonctionne lorsque les utilisateurs protègent le contenu à l’aide du chiffrement à partir du service Azure Rights Management. Toutefois, votre organisation peut restreindre l’accès en utilisant les paramètres d’accès inter-locataires de Microsoft Entra External Identities. À l’inverse, une autre organisation peut également configurer ces paramètres pour restreindre l’accès avec des utilisateurs de votre organisation. Ces paramètres affectent l’ouverture de tous les éléments chiffrés, notamment les e-mails et les documents chiffrés.

Par exemple, une autre organisation peut avoir configuré des paramètres qui empêchent ses utilisateurs d’ouvrir le contenu chiffré par votre organisation. Dans ce scénario, tant que l’administrateur Microsoft Entra n’a pas reconfiguré ses paramètres inter-locataires, un utilisateur externe qui tente d’ouvrir ce contenu voit un message l’informant que l’accès est bloqué par votre organisation avec une référence à votre administrateur client.

Exemple de message pour l’utilisateur connecté à partir de l’organisation Fabrikam, Inc, lorsque son Microsoft Entra ID local bloque l’accès :

Vos utilisateurs verront un message similaire lorsque c’est votre configuration Microsoft Entra qui bloque l’accès.

Du point de vue de l’utilisateur connecté, s’il s’agit d’une autre Microsoft Entra organization responsable du blocage de l’accès, le message devient Access bloqué par le organization et affiche le nom de domaine de cet autre organization dans le corps du message. Par exemple :

Chaque fois que des paramètres d’accès entre locataires restreignent l’accès par les applications, celles-ci doivent être configurées pour autoriser l’accès au service Rights Management, qui a l’ID d’application suivant :

00000012-0000-0000-c000-000000000000

Si l’accès au service de gestion des droits n’est pas autorisé, les utilisateurs ne peuvent pas être authentifiés et autorisés à ouvrir du contenu chiffré. Cette configuration peut être définie comme paramètre par défaut et comme paramètre organisationnel :

• Pour autoriser le partage de contenu chiffré avec une autre organisation, créez un paramètre entrant qui autorise l’accès au service Rights Management de Microsoft (ID : 00000012-0000-0000-c000-00000000000000).

• Pour autoriser l’accès au contenu chiffré que les utilisateurs reçoivent d’autres organisations, créez un paramètre sortant qui autorise l’accès au service Microsoft Rights Management (ID : 00000012-0000-0000-c000-00000000000000)

Lorsque ces paramètres sont configurés pour le service de chiffrement, l’application affiche les services RMS.

Pour obtenir des instructions sur la configuration de ces paramètres d’accès interlocataires, consultez Configurer les paramètres d’accès inter-clients pour la collaboration B2B.

Si vous avez configuré des stratégies d’accès conditionnel Microsoft Entra nécessitant une authentification multifacteur (MFA) pour les utilisateurs, consultez Stratégies d’accès conditionnel et documents chiffrés.

Stratégies d’accès conditionnel et documents chiffrés

Si votre organisation a implémenté des stratégies d’accès conditionnel Microsoft Entra qui incluent les services Rights Management de Microsoft et que la stratégie s’étend aux utilisateurs externes qui ont besoin d’ouvrir des documents chiffrés par votre organisation :

• Pour les utilisateurs externes qui ont un compte Microsoft Entra dans leur propre client, nous vous recommandons d’utiliser les paramètres d’accès inter-clients des identités externes pour configurer les paramètres d’approbation pour les revendications MFA d’une, de plusieurs ou de toutes les organisations Microsoft Entra externes.

• Pour les utilisateurs externes non couverts par l’entrée précédente, par exemple, les utilisateurs qui n’ont pas de compte Microsoft Entra ou vous n’avez pas configuré de paramètres d’accès inter-locataires pour les paramètres d’approbation, ces utilisateurs externes doivent avoir un compte invité dans votre client.

Sans l’une de ces configurations, les utilisateurs externes ne peuvent pas ouvrir le contenu chiffré et voir un message d’erreur. Le texte du message peut les informer que leur compte doit être ajouté en tant qu’utilisateur externe dans le client, avec l’instruction incorrecte pour ce scénario de se déconnecter et de se reconnecter avec un autre compte d’utilisateur Microsoft Entra.

Si vous ne pouvez pas répondre à ces exigences de configuration pour les utilisateurs externes qui ont besoin d’ouvrir du contenu chiffré par votre organisation, vous devez supprimer Microsoft Rights Management Services des stratégies d’accès conditionnel ou exclure les utilisateurs externes des stratégies.

Pour plus d’informations, reportez-vous à la question fréquemment posée, Je vois Microsoft Rights Management Services est répertorié comme une application cloud disponible pour l’accès conditionnel. Comment cela fonctionne-t-il ?

Comptes invités permettant aux utilisateurs externes d’ouvrir des documents chiffrés

Vous aurez peut-être besoin de comptes invités dans votre locataire Microsoft Entra pour que les utilisateurs externes puissent ouvrir des documents chiffrés par votre organisation. Options pour créer les comptes invités :

• Créez ces comptes invités vous-même. Vous pouvez spécifier une adresse de messagerie que ces utilisateurs utilisent déjà. Par exemple, son adresse Gmail.

  Cette option vous permet de restreindre l’accès et les droits à des utilisateurs spécifiques en spécifiant leur adresse de messagerie dans les paramètres de chiffrement. L'inconvénient est la surcharge administrative liée à la création du compte et à la coordination avec la configuration de l'étiquette.

• Utilisez l’intégration SharePoint et OneDrive avec Microsoft Entra B2B pour que les comptes invités soient automatiquement créés lorsque vos utilisateurs partagent des liens.

  Cette option offre un coût d’administration minimal, car les comptes sont créés automatiquement et une configuration d’étiquette plus simple. Dans ce scénario, vous devez sélectionner l’option de chiffrement Ajouter des utilisateur authentifiés, car vous ne connaissez pas les adresses de messagerie à l’avance. Ce paramètre ne vous permet pas de restreindre l’accès et les droits d’utilisation à des utilisateurs spécifiques.

Les utilisateurs externes peuvent également utiliser un compte Microsoft pour ouvrir des documents chiffrés lorsqu’ils utilisent Windows et Microsoft 365 Apps (anciennement Office 365 Apps ; voir Changement de nom de Microsoft 365 Apps) ou l’édition autonome d’Office 2019. Plus récemment pris en charge pour les autres plateformes, les comptes Microsoft sont également pris en charge pour l’ouverture de documents chiffrés sur macOS (Microsoft 365 Apps, version 16.42+), Android (version 16.0.13029+) et iOS (version 2.42+).

Par exemple, un utilisateur de votre organisation partage un document chiffré avec un utilisateur extérieur à votre organisation, et les paramètres de chiffrement spécifient une adresse de messagerie Gmail pour l’utilisateur externe. Cet utilisateur externe peut créer son propre compte Microsoft qui utilise son adresse de messagerie Gmail. Ensuite, une fois qu’ils se sont ouverts avec ce compte, ils peuvent ouvrir le document et le modifier, conformément aux restrictions d’utilisation qui leur sont spécifiées. Pour consulter un exemple pas à pas de ce scénario, consultezOuverture et modification du document protégé.

Lorsqu’un utilisateur avec un compte Microsoft ouvre un document chiffré de cette façon, il crée automatiquement un compte invité pour le client si un compte invité du même nom n’existe pas encore. Lorsque le compte invité existe, il peut être utilisé pour ouvrir des documents dans SharePoint et OneDrive à l’aide d’Office sur le Web, en plus d’ouvrir des documents chiffrés à partir des applications Office de bureau et mobiles prises en charge.

Toutefois, le compte Invité automatique n’est pas créé immédiatement dans ce scénario, en raison de la latence de réplication. Si vous spécifiez des adresses e-mail personnelles dans le cadre de vos paramètres de chiffrement, nous vous recommandons de créer des comptes invités correspondants dans Microsoft Entra ID. Informez ensuite ces utilisateurs qu’ils doivent utiliser ce compte pour ouvrir un document chiffré à partir de votre organisation.

Paramètres d’accès intercloud et contenu chiffré

Les paramètres d’accès inter-clients permettent un accès inter-cloud aux documents chiffrés. Par conséquent, les utilisateurs qui font partie d’une organisation dans un autre environnement cloud peuvent ouvrir des fichiers Word, Excel et PowerPoint qui sont chiffrés par votre organisation. Par exemple, ces utilisateurs peuvent être dans Microsoft Azure Government ou Microsoft Azure China (géré par 21Vianet).

Scénarios pris en charge

Les scénarios suivants sont pris en charge pour l’accès intercloud au contenu chiffré :

• Les organisations du cloud commercial Microsoft Azure peuvent autoriser l’accès aux organisations dans le cloud Microsoft Azure Government ou Microsoft Azure China (géré par 21Vianet) sans contacter Microsoft.
• Les organisations du cloud Microsoft Azure China (géré par 21Vianet) peuvent autoriser l’accès aux organisations dans le cloud commercial Microsoft Azure sans contacter Microsoft.
• Les fichiers chiffrés Word, Excel et PowerPoint peuvent être partagés avec des utilisateurs dans un autre environnement cloud et consultés sur Windows, MacOS et des appareils mobiles. Ce scénario ne s’applique pas aux fichiers partagés via des liens de partage SharePoint ou OneDrive, mais plutôt à des méthodes telles que les pièces jointes directes, le lecteur USB, le partage de fichiers ou partagés et téléchargés à partir de SharePoint.
• Les fichiers PDF chiffrés et les fichiers chiffrés de manière générique (extension .pfile) peuvent être partagés avec des utilisateurs dans un autre environnement cloud et consultés à l’aide de la visionneuse de la Protection des données Microsoft Purview sur Windows.
• L’utilisateur peut être, mais n’est pas obligé d’être, un invité dans votre organisation.
• Les utilisateurs externes et les domaines peuvent être configurés pour des étiquettes de confidentialité qui appliquent le chiffrement lorsque vous utilisez des autorisations définies par l’administrateur, ou spécifiés par les utilisateurs lorsque les étiquettes sont configurées pour des autorisations définies par l’utilisateur.
• Vous pouvez envoyer des courriers chiffrés dans les deux sens entre les organisations dans le cloud commercial Microsoft Azure et Microsoft Azure Chine (géré par 21Vianet) à l’aide du chiffrement de messages Microsoft Purview. Les destinataires doivent utiliser le portail de messages chiffré et s’authentifier à l’aide d’un code secret à usage unique. Pour plus d’informations, voir Gérer l’utilisation des codes secrets à usage unique pour le portail de messages chiffrés.

Scénarios non pris en charge

Les scénarios suivants ne sont actuellement pas pris en charge pour l’accès intercloud au contenu chiffré :

• La consommation native d’e-mails chiffrés inter-cloud dans les clients Outlook n’est pas prise en charge.
• Les visionneuses PDF telles que Microsoft Edge ou Adobe Acrobat ne sont actuellement pas prises en charge.

Configuration requise

Avant de configurer l’accès intercloud, assurez-vous que les conditions suivantes sont respectées :

• Microsoft 365 Apps version 2402 ou ultérieure ou Microsoft Office 2024.
• Client Protection des données Microsoft Purview 3.1.310.0 ou version ultérieure.
• Les administrateurs des deux côtés doivent :
  • Configurer les paramètres d’accès inter-locataires pour activer l’accès inter-cloud
  • Ajouter l’organisation partenaire en tant qu’organisation autorisée
• Une adresse e-mail doit être attribuée aux utilisateurs qui ouvrent des fichiers chiffrés.

Paramètres d’accès inter-clients : activer la collaboration inter-cloud

Une étape unique est nécessaire pour permettre la collaboration dans différents environnements cloud :

1. Dans le centre d’administration Microsoft Entra, accédez auxparamètres d’accès inter-locataires des identités> externes.
2. Sélectionnez Paramètres cloud Microsoft.
3. Sélectionnez l’environnement cloud à activer pour la collaboration :
   • Les organisations dans le cloud commercial voient Microsoft Azure Government et Microsoft Azure China (géré par 21Vianet).
   • Les organisations dans un cloud souverain voient uniquement le cloud commercial Microsoft Azure.
4. Sélectionnez l’environnement cloud où votre organisation partenaire est hébergée, puis sélectionnez Enregistrer.

Paramètres d’accès inter-clients : configurer les paramètres organisationnels

Pour configurer les paramètres organisationnels :

1. Dans le centre d’administration Microsoft Entra, accédez auxparamètres d’accès inter-locataires des identités> externes.
2. Sélectionnez Paramètres de l’organisation.
3. Sélectionnez Ajouter une organisation.
4. Entrez l’ID de locataire Microsoft Entra pour l’organisation partenaire.
5. Sélectionnez Ajouter.

L’ID de locataire est affiché dans la section Vue d’ensemble du centre d’administration Microsoft Entra et doit être fourni par l’organisation partenaire.

Paramètres d’accès inter-locataires : approuver les revendications MFA externes

Si les utilisateurs externes ne sont pas invités en tant qu’invités, les paramètres d’approbation entrants doivent être configurés pour approuver les revendications MFA externes. Si des utilisateurs sont invités en tant qu’invités et que vous approuvez des revendications MFA externes, il est recommandé d’exclure les utilisateurs externes de l’inscription MFA dans votre organisation.

Pour plus d’informations sur la configuration, consultez Gérer les paramètres d’accès inter-locataires pour la collaboration B2B .

Paramètres d’accès inter-locataires : paramètres d’accès entrant et sortant

Les étapes d’activation du cloud partenaire et d’ajout de l’organisation partenaire sont suffisantes pour permettre aux deux organisations de consommer du contenu protégé de l’organisation partenaire. Si vous souhaitez restreindre la collaboration inter-cloud pour autoriser uniquement le déchiffrement de documents, à l’exclusion d’autres services, ou rendre la relation unidirectionnelle, passez en revue Paramètres d’accès inter-locataires et contenu chiffré.

Modifications apportées au partage basé sur un domaine

Lorsque le scénario de chiffrement est limité au même environnement cloud, la spécification d’un seul domaine pour les paramètres de chiffrement d’étiquette entraîne l’authentification et l’autorisation de tous les utilisateurs de l’organisation propriétaire du domaine spécifié, quel que soit le domaine de messagerie des utilisateurs. Pour plus d’informations sur cet accès basé sur le domaine, voir la remarque dans Restreindre l’accès au contenu à l’aide d’étiquettes de confidentialité pour appliquer le chiffrement.

Toutefois, la fonctionnalité cross-cloud repose sur des données incorporées dans les jetons d’accès Entra. La fonctionnalité utilise deux revendications facultatives : verified_primary_email et verified_secondary_email.

Lors de l’autorisation, ces revendications sont extraites et évaluées par rapport aux autorisations définies dans l’étiquette. Lorsque le service de gestion des droits évalue l’accès basé sur un domaine, il ne peut évaluer que les suffixes de courrier électronique qui ont été fournis dans le jeton d’accès. Il en résulte un scénario où les autorisations définies par l’administrateur ou les autorisations définies par l’utilisateur doivent contenir un nom de domaine qui correspond exactement au suffixe de messagerie d’un utilisateur.

Problèmes courants entre clouds

Les utilisateurs externes voient « L’accès est bloqué par votre organisation » lorsqu’ils essaient d’ouvrir des fichiers chiffrés

Les paramètres d’accès inter-locataires ne sont pas configurés correctement d’un côté ou des deux. Examinez la section Paramètres d’accès inter-locataires et contenu chiffré et la section Paramètres d’accès inter-locataires : paramètres d’accès entrant et sortant .

AADSTS90072 : Les utilisateurs non invités voient « Le compte utilisateur {user@contoso.com} du fournisseur d’identité 'microsoftonline.com' n’existe pas dans...

Cette erreur indique que les revendications MFA externes ne sont pas approuvées. Pour plus d’informations sur la configuration, consultez Gérer les paramètres d’accès inter-locataires pour la collaboration B2B.

Étapes suivantes

Pour connaître les configurations supplémentaires que vous devrez peut-être effectuer, consultez Restreindre l’accès à un client. Spécifique à la configuration de l’infrastructure réseau pour le service Azure Rights Management, voir Pare-feu et infrastructure réseau.

Si vous utilisez des étiquettes de confidentialité pour chiffrer des documents et des e-mails, vous pouvez être intéressé par la Prise en charge pour les utilisateurs externes et le contenu étiqueté pour comprendre quels paramètres d’étiquette s’appliquent aux clients. Pour obtenir des instructions de configuration des paramètres de chiffrement d’étiquette, voir Restreindre l’accès au contenu à l’aide d’étiquettes de confidentialité pour appliquer le chiffrement.

Vous souhaitez savoir comment et quand accéder au service de chiffrement ? Consultez la procédure pas à pas du fonctionnement du service : première utilisation, chiffrement du contenu, consommation de contenu.