Qu’est-ce que la sauvegarde de la configuration M365?

Définition

La sauvegarde de la configuration M365 est une catégorie d’outils de protection infonuagique qui prend des instantanés de la configuration d’un locataire Microsoft 365, y compris les politiques d’accès conditionnel, les attributions de rôles, les inscriptions d’applications, les profils Intune et les emplacements nommés, afin que les changements puissent être détectés, audités et annulés. Elle se distingue de la sauvegarde du contenu des boîtes aux lettres et des fichiers.

La sauvegarde de la configuration M365 prend des instantanés de la configuration d’un locataire Microsoft 365 selon un calendrier, calcule les différences par rapport à l’instantané précédent et (dans les outils qui le permettent) offre un moyen d’annuler les changements indésirables. Elle se distingue de la sauvegarde des boîtes aux lettres ou du contenu M365, qui capture le contenu des boîtes aux lettres, de OneDrive, des sites SharePoint et des canaux Teams.

Cette catégorie est apparue en réponse à une lacune précise des protections natives de Microsoft. Les locataires sont compromis au niveau de la configuration, par exemple par une politique d’accès conditionnel désactivée, une inscription d’application dotée de portées excessives ou une attribution de rôle qui promeut un principal de service au rang d’administrateur général. Le journal d’audit natif de Microsoft ne conserve que 30 jours, ne stocke pas les valeurs de l’état précédent et n’offre aucun retour arrière en un clic.

Ce qui est sauvegardé

Les différents produits de la catégorie couvrent des types d’objets différents. La couverture la plus large comprend habituellement :

• Objets d’identité Entra ID. Politiques d’accès conditionnel, emplacements nommés, politique des méthodes d’authentification, niveaux d’authentification, attributions de rôles (rôles d’annuaire et rôles admissibles PIM), appartenances à des groupes et attributs de sécurité personnalisés.
• Objets d’application. Inscriptions d’applications, principaux de service, autorisations OAuth accordées et attributions de rôles aux applications.
• Objets de gestion des appareils Intune. Profils de configuration des appareils, politiques de conformité, politiques de protection des applications et profils de déploiement Autopilot.
• Paramètres du locataire M365. Paramètres à l’échelle de l’organisation, configuration des domaines et configurations des boîtes aux lettres partagées.
• Ressources d’abonnements Azure (dans certains produits). Attributions de rôles RBAC, règles des groupes de sécurité réseau, politiques d’accès Key Vault, identités gérées et attributions de politiques au niveau de l’abonnement.

Ce que les outils de configuration ne sauvegardent pas, c’est le contenu destiné aux utilisateurs : courriels, documents, fichiers OneDrive et conversations Teams. Cela relève des produits de sauvegarde des boîtes aux lettres et du contenu comme Dropsuite mail backup, SkyKick, AvePoint et N-able Cove.

Comment fonctionnent les outils de sauvegarde de la configuration

1. Instantané. L’outil lit l’état des objets au moyen de Microsoft Graph (et d’Azure Resource Manager pour les ressources Azure) selon un calendrier, habituellement de 15 minutes à 24 heures par type d’objet. Les états identiques sont stockés une seule fois plutôt que dupliqués.
2. Différence. Chaque nouvel instantané est comparé à l’état courant précédent de cet objet. Les différences sont consignées champ par champ, et le changement est évalué selon sa gravité.
3. Corrélation. Le changement détecté est rapproché du journal d’audit de Microsoft pour déterminer qui l’a fait, quand (l’heure réelle du changement, distincte de l’heure de détection) et d’où (IP, pays).
4. Notification. Les opérateurs obtiennent un flux de changements qu’ils peuvent filtrer par type d’objet, gravité, utilisateur et plage de temps. Les changements de gravité élevée, comme une politique d’accès conditionnel désactivée ou une attribution de rôle ajoutée, sont signalés de façon proactive.
5. Retour arrière. Un opérateur sélectionne un changement (ou plusieurs changements d’un utilisateur, ou tout l’historique d’un objet jusqu’à un moment précis) et crée un plan de retour arrière. Le plan est révisé et approuvé, puis exécuté dans Graph ou ARM, avec une journalisation complète de chaque action.

Questions fréquentes

La sauvegarde de la configuration M365 est-elle la même chose que la sauvegarde des boîtes aux lettres M365?

Non. La sauvegarde des boîtes aux lettres capture le contenu des boîtes aux lettres, de OneDrive, de SharePoint et de Teams. La sauvegarde de la configuration capture les paramètres du locataire qui contrôlent l’accès à ces charges de travail : politiques d’accès conditionnel, attributions de rôles et inscriptions d’applications. La plupart des organisations ont besoin des deux.

Pourquoi le journal d’audit de Microsoft ne suffit-il pas?

Parce que la conservation des audits est de 30 jours dans les forfaits par défaut, et que le journal d’audit indique qu’un changement a eu lieu mais ne stocke pas la valeur précédente ni n’offre de retour arrière. Les outils de sauvegarde de la configuration prennent un instantané de l’état réel de l’objet et offrent un moyen de revenir en arrière.

Lavawall® fait-il la sauvegarde de la configuration M365?

Oui. Le module de sauvegarde et de retour arrière de la configuration M365 / Entra / Azure couvre environ 25 types d’objets dans M365, Entra, Intune et les abonnements Azure, avec un flux de retour arrière en trois étapes : planifier, approuver, exécuter.