Copilot et SharePoint : préparer les permissions avant un pilote

Distinguer accès et découverte

Une permission SharePoint autorise un utilisateur à consulter ou modifier un contenu. La découverte désigne la possibilité de retrouver ce contenu dans une recherche ou une réponse assistée. Microsoft 365 Copilot s’appuie sur les droits de l’utilisateur : son déploiement ne remplace pas la revue de ces droits.

Exemple hypothétique : une bibliothèque de négociation commerciale est accessible à un groupe trop large depuis un ancien projet. Le problème existe avant Copilot, même si personne ne recherche habituellement ces documents. La priorité est de confirmer le public légitime avec le propriétaire métier, puis de corriger l’accès à la source.

Cartographier les accès

Commencez par les équipes du pilote, leurs documents utiles et les contenus sensibles qu’elles pourraient rencontrer. Pour chaque site, consignez le propriétaire, les groupes, les membres et les invités. Examinez les bibliothèques, dossiers ou fichiers dont les permissions diffèrent du niveau parent : une liste des propriétaires de sites ne suffit pas à expliquer tous les accès.

Pour un site connecté à Teams, vérifiez les appartenances dans Teams et dans le groupe Microsoft 365 associé. Les canaux privés et partagés disposent de sites SharePoint distincts ; leurs permissions se gèrent dans Teams. Intégrez-les à l’inventaire pour éviter qu’un contrôle du seul site principal laisse un périmètre sans examen.

• Associer chaque espace sensible à un propriétaire métier.
• Relever les groupes et les autorisations particulières.
• Identifier les sites des canaux privés et partagés.

Vérifier le partage

Un lien destiné à des personnes spécifiques ne vise pas le même public qu’un lien destiné aux personnes de l’organisation. Un lien Tout le monde peut permettre un accès sans authentification. Ne déduisez toutefois pas d’un type de lien qu’un document sera automatiquement présenté par Copilot : examinez les permissions et le scénario réel de consultation.

Le partage externe se règle au niveau de l’organisation et de chaque site ; un site ne peut pas être plus permissif que l’organisation. Vérifiez les invités et les besoins de collaboration avant toute restriction. Désactiver le partage externe ne corrige pas, à lui seul, les droits internes accordés à un groupe trop étendu.

Corriger les droits

Classez les anomalies selon la sensibilité, le public réellement autorisé et les dépendances métier. Un accès anonyme injustifié ou un dossier confidentiel partagé trop largement mérite une correction prioritaire. Faites approuver chaque changement par le propriétaire concerné ; documentez les droits retirés, le résultat attendu et la procédure de rétablissement si un accès nécessaire disparaît.

Une restriction de découverte ne doit pas être confondue avec une correction des autorisations. La documentation Microsoft indique que les nouvelles activations de la recherche SharePoint restreinte sont bloquées depuis le 31 juillet 2026 et que cette fonctionnalité est en cours de retrait. Ne bâtissez pas un nouveau pilote sur cette ancienne mesure temporaire ; vérifiez les contrôles actuels, leur portée et leurs conditions avant de les retenir.

Tester avec les comptes des utilisateurs concernés

Préparez une matrice de recette : profil, document, droit attendu et résultat observé. Utilisez des comptes représentatifs du périmètre, plutôt qu’un compte administrateur. Pour un responsable commercial, un contributeur et un collaborateur hors périmètre, vérifiez directement l’ouverture des documents autorisés et le refus d’accès aux documents exclus.

Testez ensuite les tâches Copilot retenues et contrôlez les sources des réponses. Une réponse absente ne prouve pas qu’un accès est interdit : le test direct des permissions reste nécessaire. Inversement, une réponse pertinente ne dispense pas de vérifier son exactitude. Conservez les résultats et reprenez la recette après une correction des droits.

Décider du pilote avec des livrables vérifiables

Le dossier de préparation rassemble l’inventaire, la matrice des accès, les écarts priorisés, les corrections approuvées et les résultats de recette. Une décision de lancement explicite les anomalies encore ouvertes, leurs responsables et les conditions d’extension. Le contrôle d’un périmètre pilote ne constitue pas une validation de tous les espaces du tenant.

Vérifiez également les licences, les rôles d’administration et les fonctionnalités effectivement disponibles pour les utilisateurs et les contrôles envisagés. La Pépiite IT, ESN et partenaire Microsoft, accompagne la préparation des usages Copilot, des données et des permissions. Pour cadrer cette étape, réunissez vos populations, vos espaces documentaires, vos licences et un exemple de tâche métier ; le diagnostic permet de discuter du périmètre à examiner.