Microsoft Entra Tenant Governance en GA : fin du shadow IT

Entra Tenant Governance : Microsoft s'attaque au shadow IT cloud

Microsoft a annoncé la disponibilité générale d'Entra Tenant Governance dans le cadre de ses mises à jour de septembre 2026 pour la plateforme Microsoft Entra. Cette fonctionnalité, jusqu'alors en préversion publique, répond à un défi organisationnel croissant dans les grandes entreprises : la prolifération de tenants Microsoft 365 non officiels, créés par des équipes métiers ou des filiales sans supervision de la DSI centrale.

Le phénomène du shadow IT dans l'écosystème Microsoft 365 est particulièrement insidieux. Contrairement au shadow IT traditionnel composé d'applications SaaS non approuvées, un tenant Microsoft 365 fantôme maintient souvent des relations actives avec le tenant principal de l'organisation : partage d'identités via B2B Collaboration, consentement multi-tenant sur des applications partagées, ou rattachement à un compte de facturation commun. Ces connexions créent des surfaces d'attaque invisibles pour les équipes de sécurité qui ne supervisent que leur tenant principal.

Avec Entra Tenant Governance, les administrateurs peuvent désormais découvrir automatiquement ces tenants satellites en analysant les signaux existants : les relations B2B Collaboration (comptes invités actifs), les consentements d'applications multi-tenants, et les liaisons de compte de facturation Azure. Cette découverte passive ne nécessite aucune modification de l'infrastructure existante et fonctionne en analysant les métadonnées déjà présentes dans le tenant principal.

Une fois les tenants associés découverts, Entra Tenant Governance permet d'établir des relations de gouvernance formelles avec eux. L'administrateur du tenant principal peut définir des baselines de sécurité et de conformité standardisées, puis les appliquer — avec les permissions appropriées — aux tenants satellites. Les baselines couvrent les politiques Entra ID (authentification multifacteur obligatoire, accès conditionnel), Intune (conformité des appareils), Exchange Online (anti-phishing, anti-spam), Microsoft Teams, Microsoft Purview et Microsoft Defender.

La surveillance de la dérive de configuration (configuration drift) est l'un des aspects les plus opérationnels de la solution. Une fois une baseline définie, Entra Tenant Governance surveille en continu les tenants associés et alerte lorsqu'une configuration s'écarte des standards établis. Si un administrateur d'un tenant satellite désactive l'authentification multifacteur pour un groupe d'utilisateurs, ou si une nouvelle application avec des permissions larges est consentie sans approbation, l'équipe de gouvernance centrale en est notifiée en temps quasi-réel.

Microsoft précise que des limites plus élevées sur le nombre de moniteurs de configuration et de snapshots par tenant sont disponibles pour les clients disposant de licences ID Governance, Entra Suite ou Microsoft E7. Ces augmentations répondent aux retours des grandes entreprises qui avaient identifié les plafonds de la préversion comme un frein au déploiement à grande échelle dans des organisations avec de nombreux tenants subsidiaires.

La fonctionnalité s'intègre directement dans la stratégie Zero Trust de Microsoft, qui préconise une vérification explicite de toutes les identités et ressources, indépendamment de leur localisation dans la topologie organisationnelle. Un tenant satellite mal sécurisé peut constituer un point d'entrée pour un attaquant qui, en compromettant d'abord cet environnement moins protégé, exploite ensuite les relations de confiance B2B pour pivoter vers le tenant principal de l'organisation.

En termes d'implémentation pratique, Microsoft recommande une démarche progressive : commencer par la phase de découverte pour identifier tous les tenants associés, effectuer un inventaire des risques pour repérer les configurations s'écartant des standards de sécurité, puis déployer les baselines de conformité de façon graduée. Cette approche évite les ruptures de service qui pourraient résulter d'une application brutale de politiques restrictives sur des tenants fonctionnels mais non conformes.

Gouvernance multi-tenant : un enjeu stratégique amplifié par NIS2 et DORA

L'essor du travail hybride et la généralisation de Microsoft 365 ont profondément transformé la topologie des systèmes d'information d'entreprise. De nombreuses organisations opèrent aujourd'hui avec plusieurs tenants Microsoft 365 : un tenant principal pour le siège, des tenants spécifiques pour des filiales acquises lors de fusions-acquisitions, des tenants de développement et de test, ou des tenants créés pour des projets de collaboration externe. Cette fragmentation répond à des besoins légitimes, mais génère une complexité de gouvernance considérable.

La réglementation européenne accentue la pression sur les entreprises pour maintenir une visibilité et un contrôle effectifs sur l'ensemble de leur périmètre numérique. NIS2, applicable aux opérateurs de services essentiels et aux fournisseurs de services numériques, exige explicitement la gestion des risques liés à la chaîne d'approvisionnement et aux entités affiliées. DORA, qui s'applique au secteur financier depuis janvier 2025, impose des exigences similaires de cartographie et de supervision des systèmes d'information, y compris les environnements cloud multi-tenants. Un tenant satellite non gouverné peut être considéré comme une lacune dans le dispositif de gestion des risques, exposant l'entreprise à des sanctions en cas d'incident.

Du point de vue des attaquants, les tenants secondaires mal sécurisés représentent des opportunités croissantes. Plusieurs incidents de sécurité majeurs des dernières années ont impliqué des compromissions initiées depuis des environnements cloud périphériques présentant des contrôles moins stricts que le cœur du système d'information. La relation de confiance B2B entre tenants, si elle n'est pas correctement surveillée, peut être exploitée pour du mouvement latéral inter-tenant — un vecteur d'attaque relativement peu documenté mais de plus en plus exploité par les groupes APT avancés.

L'arrivée en GA d'Entra Tenant Governance représente une réponse native Microsoft à cette problématique, avec l'avantage de s'intégrer directement dans les flux d'administration Entra existants. Pour les organisations fortement investies dans l'écosystème Microsoft, cette approche native présente des avantages de simplicité par rapport aux solutions tierces de Cloud Security Posture Management (CSPM) qui nécessitent des connecteurs et des configurations supplémentaires. Cela dit, les entreprises ayant une présence multi-cloud resteront mieux servies par des plateformes CSPM indépendantes offrant une couverture AWS, Azure et GCP dans un tableau de bord unifié.

Ce qu'il faut retenir

• Entra Tenant Governance est désormais en disponibilité générale : les DSI peuvent découvrir automatiquement les tenants Microsoft 365 satellites et non officiels connectés à leur organisation.
• La surveillance de la dérive de configuration couvre Entra ID, Intune, Exchange Online, Teams, Purview et Defender — un périmètre complet pour les organisations full-Microsoft.
• Dans un contexte NIS2 et DORA, la gouvernance des tenants secondaires n'est plus optionnelle : un tenant satellite non supervisé constitue un risque de conformité et un vecteur d'attaque potentiel.