Étendues adaptatives

Description du service Microsoft Purview Audit

Lorsque vous créez une stratégie de conformité des communications, une stratégie de rétention ou une stratégie d’étiquetage automatique, vous pouvez ajouter une étendue adaptative pour votre stratégie. Une seule stratégie peut avoir une ou plusieurs étendues adaptatives.

• Une étendue adaptative utilise une requête que vous spécifiez pour vous permettre de définir l’appartenance des utilisateurs ou des groupes inclus dans cette requête. Ces requêtes dynamiques s’exécutent quotidiennement sur les attributs ou propriétés que vous spécifiez pour l’étendue sélectionnée. Vous pouvez utiliser une ou plusieurs étendues adaptatives avec une seule stratégie.
• Par exemple, vous pouvez affecter différents paramètres de stratégie à des utilisateurs en fonction de leur service à l’aide des attributs Microsoft Entra existants sans les frais administratifs liés à la création et à la gestion de groupes à cette fin.

Avantages de l’utilisation d’étendues adaptatives

Les avantages de l’utilisation d’étendues adaptatives sont les suivants :

• Aucune limite sur le nombre d’éléments par stratégie. Bien que les stratégies adaptatives soient toujours soumises au nombre maximal de stratégies par limitations de locataire, la configuration plus flexible entraîne probablement beaucoup moins de stratégies.
• Ciblage plus puissant pour vos stratégies. Par exemple, vous pouvez attribuer différents paramètres aux utilisateurs en fonction de leur emplacement géographique sans la surcharge administrative liée à la création et à la gestion de groupes.
• Les étendues basées sur les requêtes offrent une résilience contre les changements métier qui peuvent ne pas être reflétés de manière fiable dans l’appartenance à des groupes ou des processus externes qui reposent sur la communication entre services.
• Une stratégie unique peut inclure des emplacements pour Microsoft Teams et Viva Engage, tandis que lorsque vous n’utilisez pas d’étendue adaptative, chaque emplacement nécessite sa propre stratégie.
• Prise en charge des unités administratives Microsoft Entra.

Pour plus d’avantages liés à l’utilisation d’étendues adaptatives spécifiques aux stratégies de rétention, consultez Étendues de stratégie adaptatives ou statiques pour la rétention.

Pour plus d’informations sur la configuration, voir Configuration des étendues adaptatives.

Fonctionnement des étendues adaptatives avec les unités administratives Microsoft Entra

Alors que les étendues adaptatives sont créées et configurées dans Microsoft Purview pour prendre en charge le ciblage dynamique des stratégies pour la conformité, les unités administratives sont créées et configurées dans Microsoft Entra ID. Ils permettent d’affecter des administrateurs à une ou plusieurs unités administratives, de sorte que ces administrateurs désormais restreints ne peuvent gérer que les utilisateurs des unités administratives qui leur sont affectées. Cette configuration prend en charge la meilleure pratique de sécurité du moindre privilège. En règle générale, les unités administratives sont conçues autour d’une zone géographique, d’un département ou de divisions commerciales spécifiques.

Cette limite de gestion passe dans Microsoft Purview pour les solutions prises en charge afin de garantir que les administrateurs restreints peuvent gérer uniquement les utilisateurs qu’ils ont été affectés à la gestion.

Pour montrer comment les unités administratives s’intègrent aux étendues adaptatives, prenons l’exemple d’un administrateur de conformité restreinte qui souhaite créer une étendue utilisateur adaptative uniquement pour les utilisateurs en France :

1. Deux unités administratives sont affectées à l’administrateur de la conformité, Tous les utilisateurs en Europe et Tous les utilisateurs en Amérique du Nord. Lorsqu’ils créent une étendue adaptative, ils ne peuvent sélectionner et affecter que ces unités administratives. Ils ne peuvent pas créer d’étendue adaptative pour gérer les utilisateurs d’autres unités administratives.
2. Ils créent une nouvelle étendue adaptative pour les utilisateurs et sélectionnent l’unité administrative Tous les utilisateurs en Europe. Ensuite, parce qu’ils veulent que l’étendue adaptative soit uniquement pour les utilisateurs en France, ils utilisent l’attribut Pays ou région de Microsoft Entra ID pour spécifier la France (CountryOrRegion = France). S’ils configurent mal cet attribut et spécifient une valeur valide dans Microsoft Entra ID, comme l’Inde, mais que les utilisateurs avec cette valeur ne sont pas inclus dans l’unité administrative Tous les utilisateurs en Europe, l’étendue ne contient aucun utilisateur.
3. Lorsque seule cette étendue adaptative est sélectionnée pour une stratégie destinée à tous les utilisateurs, la stratégie est appliquée uniquement aux utilisateurs en France.
4. En tant qu’élément de configuration réutilisable, la même étendue adaptative peut être utilisée pour d’autres stratégies de conformité.

Si l’administrateur de conformité ajoute les deux unités administratives à cette étendue adaptative, le résultat final reste le même, car les utilisateurs de l’étendue administrative Amérique du Nord n’ont pas spécifié la France comme attribut de pays ou de région. Toutefois, l’administrateur de conformité sait qu’il doit cibler uniquement les utilisateurs en France, il est donc plus efficace d’exécuter la requête uniquement sur l’unité administrative Europe. Si les exigences changent, vous pouvez toujours ajouter ou supprimer des unités administratives à partir d’une étendue adaptative existante.

Maximums pour les étendues de stratégie adaptative

Il n’existe aucune limite au nombre d’étendues de stratégie adaptative que vous pouvez ajouter à une stratégie, mais il existe des limites maximales pour la requête qui définit chaque étendue adaptative :

• Longueur de chaîne pour les valeurs d’attribut ou de propriété : 200
• Nombre d’attributs ou de propriétés sans groupe ou au sein d’un groupe : 10
• Nombre de groupes de sécurité : 10
• Nombre de caractères dans une requête avancée : 10 000
• Le regroupement d’attributs ou de propriétés au sein d’un groupe n’est pas pris en charge. Cette limitation signifie que le nombre maximal de propriétés ou d’attributs pris en charge dans une seule étendue adaptative est de 100.
• Pour les stratégies d’étiquetage automatique, une étendue adaptative SharePoint prend en charge jusqu’à 50 000 sites par stratégie.

Configurer des étendues adaptatives

Lorsque vous choisissez d’utiliser des étendues adaptatives, vous êtes invité à sélectionner le type d’étendue adaptative souhaité. Il existe trois types d’étendues adaptatives, et chacune prend en charge différents attributs ou propriétés :

^* Les sites du centre des enregistrements (fonctionnalité héritée) dans SharePoint ne sont pas pris en charge.

Les noms des propriétés des sites sont basés sur les propriétés gérées des sites SharePoint. Pour plus d'informations sur les attributs personnalisés, voir Utilisation de propriétés de site SharePoint personnalisées pour appliquer la rétention Microsoft 365 avec des étendues de politique adaptative.

Les noms d’attribut pour les utilisateurs et les groupes sont basés sur les propriétés de destinataire filtrables qui correspondent aux attributs de Microsoft Entra. Par exemple :

• L’alias correspond au nom LDAP mailNickname qui s’affiche en tant que Email dans le centre d’administration Microsoft Entra.
• Les adresses e-Email sont mappées au nom LDAP proxyAddresses qui s’affiche en tant qu’adresse proxy dans le centre d’administration Microsoft Entra.

Vous pouvez facilement spécifier les attributs et propriétés répertoriés dans la table lorsque vous configurez une étendue adaptative à l’aide du générateur de requêtes simple. Le générateur de requêtes avancé prend en charge des attributs et propriétés supplémentaires, comme décrit dans la section suivante.

Comment configurer une étendue adaptative

Avant de configurer votre étendue adaptative, utilisez la section précédente pour identifier le type d’étendue à créer et les attributs et valeurs à utiliser. Vous devrez peut-être travailler avec d'autres administrateurs pour confirmer ces informations.

Vous devez attribuer les groupes de rôles appropriés aux administrateurs pour créer une étendue adaptative. N’importe quel groupe de rôles avec le rôle de gestionnaire d’étendue peut créer une étendue adaptative. Le rôle de gestionnaire d’étendue est inclus dans les groupes de rôles intégrés suivants :

• Administrateur de conformité
• Administrateur de conformité des données
• Gestion de l’organisation
• Gestion des enregistrements
• Conformité des communications
• Administrateurs de conformité des communications

Pour les sites SharePoint, une configuration SharePoint supplémentaire peut être nécessaire si vous envisagez d’utiliser des propriétés de site personnalisées.

Pour créer et configurer des étendues adaptatives, appliquez les instructions suivantes.

1. Connectez-vous au portail> Microsoft PurviewParamètres>Rôles et étendues>Étendues adaptatives.

2. Sur la page Étendues adaptatives , sélectionnez + Créer une étendue.

3. Suivez les invites de la configuration où vous êtes invité à affecter une unité administrative pour la première fois. Si des unités administratives sont affectées à votre compte, vous devez sélectionner une unité administrative qui restreint l’étendue d’appartenance.

   Remarque

   Étant donné que les unités administratives ne prennent pas encore en charge les sites SharePoint, vous ne pouvez pas créer une étendue adaptative pour les sites SharePoint si vous sélectionnez des unités administratives.

   Si vous ne souhaitez pas restreindre l’étendue adaptative à l’aide d’unités administratives, ou si votre organisation n’a pas configuré d’unités administratives, conservez la valeur par défaut Annuaire complet.

4. Sélectionnez le type d’étendue, puis sélectionnez les attributs ou propriétés que vous souhaitez utiliser pour générer l’appartenance dynamique. Tapez les valeurs d’attribut ou de propriété.

   Par exemple, pour configurer une étendue adaptative qui identifie les utilisateurs en Europe, commencez par sélectionner le type d’étendue Utilisateurs . Sélectionnez ensuite l’attribut Pays ou région , et tapez Europe :

   

   Une fois par jour, cette requête s’exécute sur l’ID Entra et identifie tous les utilisateurs qui ont la valeur Europe spécifiée dans leur compte pour l’attribut Pays ou région.

   Importante

   Étant donné que la requête ne s’exécute pas immédiatement, il n’y a aucune validation que vous ailliez tapée correctement dans la valeur.

   Sélectionnez Ajouter un attribut (pour les utilisateurs et les groupes) ou Ajouter une propriété (pour les sites) pour utiliser n’importe quelle combinaison d’attributs ou de propriétés pris en charge pour leur type d’étendue. Utilisez des opérateurs logiques pour créer des requêtes. Les opérateurs pris en charge sont est égal à, est différent de, commence par et ne commence pas par. Vous pouvez grouper les attributs ou propriétés sélectionnés. Par exemple :

   

   Vous pouvez également sélectionner Générateur de requêtes pour spécifier vos propres requêtes :

   • Pour les étendues d’utilisateur et de groupe Microsoft 365 : utilisez la syntaxe de filtrage OPATH. Par exemple, pour créer une étendue d’utilisateurs qui définit son appartenance par département, pays/région et état :

     

     L'un des avantages de l'utilisation du générateur de requêtes avancées pour ces champs d'application est un choix plus large d'opérateurs de requête :

     • et
     • ou
     • pas
     • eq (égal à)
     • ne (n’est pas égal à)
     • lt (inférieur à)
     • gt (supérieur à)
     • like(comparaison de chaînes)
     • n’aime pas(comparaison de chaînes)

   • Pour les étendues de sites SharePoint : Utilisez le langage de requête par mots clés (KeyQL). Vous êtes peut-être déjà familiarisé avec l’utilisation de KeyQL pour rechercher SharePoint à l’aide des propriétés de site indexées. Pour vous aider à spécifier ces requêtes KeyQL, consultez Référence de syntaxe du langage de requête par mots-clés (KeyQL).

     Par exemple, étant donné que les étendues de site SharePoint incluent automatiquement tous les types de sites SharePoint, y compris les sites connectés à un groupe Microsoft 365 et les sites OneDrive, vous pouvez utiliser la propriété de site indexée SiteTemplate pour inclure ou exclure des types de sites spécifiques. Les modèles que vous pouvez spécifier :

     • SITEPAGEPUBLISHING pour les sites de communication modernes
     • GROUP pour les sites Microsoft 365 connectés à un groupe
     • TEAMCHANNEL pour les sites de canal privé Microsoft Teams
     • STS pour un site d’équipe SharePoint classique
     • SPSPERS pour les sites OneDrive

     Par conséquent, pour créer une étendue adaptative qui inclut uniquement les sites de communication modernes et exclut les sites Microsoft 365 connectés au groupe et OneDrive, spécifiez la requête KeyQL suivante :

     SiteTemplate=SITEPAGEPUBLISHING
     

     Vous pouvez valider ces requêtes avancéesindépendamment de la configuration de l’étendue.

     Remarque

     Vous devez utiliser le générateur de requêtes avancé si vous souhaitez exclure des boîtes aux lettres inactives. Ou inversement, ciblez simplement les boîtes aux lettres inactives. Pour cette configuration, utilisez la propriété OPATH IsInactiveMailbox:

     • Pour exclure les boîtes aux lettres inactives, assurez-vous que la requête inclut : (IsInactiveMailbox -eq "False")
     • Pour cibler uniquement les boîtes aux lettres inactives, spécifiez : (IsInactiveMailbox -eq "True")

5. Créez autant d’étendues adaptatives que nécessaire. Vous pouvez sélectionner une ou plusieurs étendues adaptatives lorsque vous créez votre stratégie.

Le remplissage complet des requêtes peut prendre jusqu’à cinq jours et les modifications ne sont pas immédiates. Tenez compte de ce délai en attendant quelques jours avant d’ajouter une étendue nouvellement créée à une stratégie.

Valider les requêtes avancées

Vous pouvez valider manuellement les requêtes avancées à l’aide de PowerShell et de la recherche Microsoft Office SharePoint Online :

• Utilisez PowerShell pour les types d’étendue Utilisateurs et Groupes Microsoft 365
• Utilisez la recherche Microsoft Office SharePoint Online pour le type d’étendue Sites Microsoft Office SharePoint Online

Pour exécuter une requête à l’aide de PowerShell

1. Connectez-vous à Exchange Online PowerShell à l’aide d’un compte disposant des autorisations d’administrateur d’Exchange Online appropriées.

2. Utilisez Get-Recipient, Get-Mailbox ou Get-User avec le paramètre -Filter et votre Requête OPATH pour l’étendue adaptative entre crochets ({,}). Si vos valeurs d’attribut sont des chaînes, mettez ces valeurs entre guillemets doubles ou simples.

   Vous pouvez déterminer s’il faut utiliser Get-Mailbox, Get-Recipient ou Get-User pour la validation en identifiant l’applet de commande prise en charge par la Propriété OPATH que vous choisissez pour votre requête.

   Importante

   Get-Mailbox ne prend pas en charge le type de destinataire MailUser , vous devez donc utiliser Get-Recipient ou Get-User pour valider les requêtes qui incluent des boîtes aux lettres locales dans un environnement hybride.

   Pour valider une étendue Utilisateur, utilisez la commande appropriée :

   • Get-Mailbox avec -RecipientTypeDetails UserMailbox,SharedMailbox,RoomMailbox,EquipmentMailbox
   • Get-Recipient avec -RecipientTypeDetails UserMailbox,MailUser,SharedMailbox,RoomMailbox,EquipmentMailbox

   Pour valider une étendue groupe Microsoft 365 utilisez :

   • Get-Mailbox avec -GroupMailbox ou Get-Recipient avec -RecipientTypeDetails GroupMailbox

   Par exemple, pour valider une portée utilisateur liée à l’attribut Department défini sur la valeur Marketing, vous pouvez utiliser :

   Get-Recipient -RecipientTypeDetails UserMailbox,MailUser -Filter {Department -eq "Marketing"} -ResultSize Unlimited
   

   Pour valider une étendue utilisateur liée à l’attribut EmailAddresses , la valeur doit généralement inclure le préfixe smtp : . Par exemple , pour exclure un utilisateur, là où EmailAddresses inclut admin@contoso.com:

   Get-Mailbox -RecipientTypeDetails UserMailbox -Filter {EmailAddresses -notlike "smtp:admin@contoso.com"} -ResultSize Unlimited
   

   Pour valider une étendue de groupe Microsoft 365 liée à l’attribut CustomAttribute15 du groupe défini sur Marketing comme valeur, vous pouvez utiliser :

   Get-Mailbox -RecipientTypeDetails GroupMailbox -Filter {CustomAttribute15 -eq "Marketing"} -ResultSize Unlimited
   

   Conseil

   Lorsque vous utilisez ces commandes pour valider une étendue utilisateur, si le nombre de destinataires renvoyés est supérieur à celui attendu, cela peut être dû au fait qu’elle inclut les utilisateurs qui n’ont pas de licence valide pour les étendues adaptatives. Les paramètres de stratégie ne sont pas appliqués à ces utilisateurs.

   Par exemple, dans un environnement hybride, vous pouvez avoir des comptes d’utilisateurs synchronisés sans licence sans boîte aux lettres Exchange localement ou dans Exchange Online. Vous pouvez identifier ces utilisateurs en exécutant la commande suivante : Get-User -RecipientTypeDetails User

3. Vérifiez que la sortie correspond aux utilisateurs ou groupes attendus pour votre étendue adaptative. Si ce n’est pas le cas, case activée votre requête et les valeurs à l’administrateur compétent pour Microsoft Entra ID ou Exchange.

   Remarque

   La sortie de ces commandes peut ne pas correspondre à la liste des membres pour le même filtre dans les détails de l’étendue sur la page Étendues adaptatives. La liste des membres dans les détails de l’étendue affiche les boîtes aux lettres d’arbitrage dans l’étendue alors que la sortie de la commande ne le fait pas. En outre, les modifications apportées aux requêtes d’étendue adaptative peuvent prendre jusqu’à cinq jours pour être effectives et reflétées dans l’affichage des détails de l’étendue de la page Étendues adaptatives.

Pour exécuter une requête à l’aide de la recherche SharePoint

1. À l’aide d’un compte ayant le rôle d’administrateur SharePoint, accédez à https://<your_tenant>.sharepoint.com/search.
2. Utilisez la barre de recherche pour spécifier votre requête KeyQL.
3. Vérifiez que les résultats de la recherche correspondent aux URL de site attendues pour votre étendue adaptative. Si ce n’est pas le cas, vérifiez votre requête et les URL auprès de l’administrateur approprié pour Microsoft Office SharePoint Online.

Afficher les détails de l’appartenance à l’étendue adaptative

Après avoir créé une requête pour une étendue adaptative dans Microsoft Purview, vous pouvez afficher les détails du membre de l’étendue.

Suivez les étapes suivantes pour accéder à la page des détails du membre d’une étendue adaptative dans Microsoft Purview :

1. Connectez-vous au portail Microsoft Purview si vous n’êtes pas déjà connecté.

2. Sélectionnez Paramètres>Rôles et étendues Étendues>adaptatives.

3. Sélectionnez une étendue adaptative existante dans la liste.

4. Dans le volet volant Détails , sélectionnez Détails de l’étendue.

5. Une liste des membres de l’étendue s’affiche. Examinez la colonne État dans la liste qui affiche Ajouté pour les membres dans l’étendue adaptative ou Supprimé si le membre était précédemment dans l’étendue adaptative, mais supprimé maintenant, il ne correspond plus à la requête d’étendue.

6. Si vous le souhaitez, utilisez l’option Exporter pour télécharger une liste des membres de l’étendue affichés dans un fichier CSV.

   Si le nombre de membres de l’étendue est grand (1 000 ou plus), ou si vous souhaitez personnaliser l’exportation, utilisez l’applet de commande PowerShell Get-AdaptiveScopeMembers.