La collecte lit avec des autorisations d’application que votre administrateur approuve — à nouveau lorsqu’un rôle s’ajoute — et avec des rôles en lecture seule dans l’annuaire. Vont au-delà de la lecture ConfigurationMonitoring.ReadWrite.All, car le droit de lecture de Microsoft pour la surveillance de configuration ne permet que de lister des tâches et les stratégies Teams ne proviennent que d’un instantané lancé, ainsi qu’Exchange.ManageAsApp, par lequel PureTenant n’appelle que des commandes de lecture. Tout le reste ne s’ajoute que sur votre accord.
Autorisations d’application de la collecte
Microsoft GraphPlus de 40 autorisations en lecture issues des domaines les plus divers
Une sélection, utilisée en app-only — sans connexion d’une personne. L’unique exception nommée avec droit d’écriture y figure toujours.
| Autorisation | Nature |
|---|---|
Directory.Read.All | lecture |
Reports.Read.All | lecture |
AuditLog.Read.All | lecture |
SecurityIncident.Read.All | lecture |
AttackSimulation.Read.All | lecture |
ThreatHunting.Read.All | lecture |
ConfigurationMonitoring.ReadWrite.All | écriture · l’exception nommée |
RoleManagement.Read.Directory | lecture |
IdentityRiskyUser.Read.All | lecture |
Policy.Read.All | lecture |
MailboxSettings.Read | lecture |
SensitivityLabel.Read | lecture |
eDiscovery.Read.All | lecture |
Sites.Read.All | lecture |
DeviceManagementManagedDevices.Read.All | lecture |
DeviceManagementConfiguration.Read.All | lecture |
CallRecords.Read.All | lecture |
VirtualEvent.Read.All | lecture |
AccessReview.Read.All | lecture |
CopilotPackages.Read.All | lecture |
AgentIdentity.Read.All | lecture |
Defender for Endpoint2 autorisations par service, utilisées en app-only — sans connexion d’une personne.
| Autorisation | Nature |
|---|---|
Machine.Read.All | lecture |
Vulnerability.Read.All | lecture |
Exchange Online1 autorisation par service, utilisées en app-only — sans connexion d’une personne.
| Autorisation | Nature |
|---|---|
Exchange.ManageAsApp | accès · utilisé en lecture seule |
Exchange Online Protection1 autorisation par service, utilisées en app-only — sans connexion d’une personne.
| Autorisation | Nature |
|---|---|
Exchange.ManageAsApp | accès · utilisé en lecture seule |
Rôles d’annuaire
Les rôles d’annuaire du principal de service sont en lecture : Security Reader et Global Reader. Un rôle avec droit d’écriture ne s’ajoute que sur votre accord (ci-dessous).
Ce qui s’applique en outre
« Exchange.ManageAsApp » ouvre l’accès aux cmdlets d’Exchange et de Purview ; PureTenant n’y appelle que des commandes de lecture et rejette toute autre avant qu’elle n’atteigne Microsoft. Pour les stratégies Teams, la collecte crée dans votre tenant une tâche d’instantané et la supprime ensuite ; elle consomme une partie d’un quota mensuel de votre tenant. Pour cela, la configuration attribue au principal de service « Tenant Configuration Management » de Microsoft le rôle en lecture seule « Teams Reader ». Le rôle « Compliance Administrator » ne s’ajoute que si votre administrateur l’approuve explicitement, l’autorisation Group.ReadWrite.All uniquement lors de la mise en place de l’accès Power BI. Sur demande, votre administrateur accorde lui-même par PowerShell le groupe de rôles « eDiscoveryManager » pour eDiscovery — il permet plus que la lecture, alors que PureTenant interroge les dossiers avec un droit en lecture seule — et la stratégie Teams « insights-events », valable pour tout le tenant, pour les webinaires et les assemblées générales.
Les autorisations de la configuration
Pour créer l’application, votre administrateur se connecte une fois et approuve des autorisations déléguées : Application.ReadWrite.All, AppRoleAssignment.ReadWrite.All, RoleManagement.ReadWrite.Directory et Directory.Read.All. Le jeton de cette connexion ne sert qu’à la création et est ensuite écarté ; il n’est jamais enregistré.