Préparer son tenant M365 pour Copilot : La checklist technique de l'administrateur

Acheter des licences Microsoft Copilot est une étape administrative simple. Rendre son environnement techniquement prêt à les accueillir est un défi d'ingénierie bien plus complexe.

Pour les DSI et les architectes Infrastructure, la notion de "Technical Readiness" va bien au-delà de la compatibilité des versions d'Office.

Il ne s'agit pas seulement de faire apparaître le bouton Copilot dans Word ou Excel, mais de garantir que les données indexées par le Semantic Index (qui s'active automatiquement avec Copilot) reposent sur des permissions correctement configurées et des données de qualité.

Le Semantic Index indexe automatiquement le contenu accessible dans Microsoft Graph (SharePoint, OneDrive, Exchange, Teams). Votre rôle est de nettoyer les permissions et les données avant son activation.

Déployer l'IA sur un tenant non préparé expose l'organisation à deux risques majeurs :

1. Risque de sécurité : L'IA rendra visibles des failles de permissions jusqu'alors ignorées.
2. Risque de performance : Un index pollué par des données obsolètes (ROT - Redundant, Obsolete, Trivial) générera des réponses de faible qualité ou non pertinentes, diluant la valeur des recommandations de Copilot et réduisant la confiance des utilisateurs dans l'outil.

Voici la checklist technique indispensable en 4 étapes pour assainir votre tenant, verrouiller les accès et garantir un déploiement maîtrisé. 

• Étape 1 : Hygiène de l'Identité (Entra ID)

• Étape 2 : Verrouillage SharePoint et OneDrive

• Étape 3 : Optimisation des données (Data Hygiene)

• Étape 4 : Surveillance et remédiation centralisée avec IDECSI

Les prérequis d'infrastructure et de réseau 

Avant même d'aborder la donnée, assurez-vous que la "tuyauterie" technique permet le fonctionnement optimal du service.

Canaux de mise à jour (Update Channels)

Copilot pour Microsoft 365 fonctionne avec les applications Microsoft 365 (Word, Excel, PowerPoint, Outlook, Teams) à jour. L'expérience Copilot est disponible sur tous les canaux de mise à jour (Current Channel, Monthly Enterprise Channel, Semi-Annual Enterprise Channel).

Action : Assurez-vous que vos utilisateurs disposent d'Applications Microsoft 365 récentes. Les dernières fonctionnalités Copilot peuvent être déployées plus rapidement sur le Current Channel ou Monthly Enterprise Channel, mais le canal Semi-Annual reste compatible avec les fonctionnalités de base de Copilot.

Configuration Réseau (WebSockets)

Le trafic généré par Copilot diffère des requêtes classiques.

Point de vigilance : Assurez-vous que votre infrastructure réseau respecte les exigences de connectivité standard de Microsoft 365, incluant l'autorisation des connexions HTTPS (port 443) et WebSockets (WSS) pour les domaines “.office.com”, “.microsoft.com” et les endpoints Microsoft 365.

Ces prérequis sont identiques aux exigences générales M365 (Teams, SharePoint Online, Exchange Online). Sans une connectivité optimale, l'expérience Copilot pourra être dégradée (latence, échecs de génération de réponses).

Ressource : Consultez la liste officielle des endpoints Microsoft 365 pour vérifier votre configuration réseau.

Étape 1 : Hygiène de l'Identité (Entra ID)

Copilot s'appuie exclusivement sur l'identité de l'utilisateur pour déterminer ce qu'il a le droit de voir. Si votre annuaire est sale, Copilot sera permissif.

Le nettoyage des comptes invités (Guests)

Les comptes externes (Entra ID B2B Guests) accumulés au fil des années représentent une surface d'attaque étendue. Un invité disposant de droits résiduels peut accéder via Copilot pour Microsoft 365 (s'il dispose d'une licence) aux fichiers et sites SharePoint qui lui ont été explicitement partagés, exposant potentiellement des données sensibles à des collaborateurs externes qui n'en ont plus besoin.

Action technique : Exécutez un script PowerShell ou une revue d'accès dans Entra ID pour identifier et désactiver les comptes invités inactifs depuis plus de 90 jours.

Audit des Groupes de Sécurité Dynamiques

C'est souvent le maillon faible. Un groupe dynamique mal configuré (ex: une règle incluant "Tous les utilisateurs" par erreur dans un groupe sensible) ouvre l'accès à Copilot pour l'ensemble de l'entreprise.

Action technique : Auditez les règles d'appartenance des groupes ayant des droits élevés sur SharePoint. Vérifiez l'absence de groupes "Orphelins" (sans propriétaires actifs) qui ne sont plus maintenus.

Étape 2 : Verrouillage SharePoint et OneDrive

C'est ici que réside le risque maximal de surexposition via le Semantic Index. Copilot indexe tout ce qui est techniquement accessible, même si l'accès est "caché" par une arborescence complexe.

La chasse aux liens "Anyone" (Anonymous Links)

Les liens de partage anonymes ("Anyone with the link") permettent un accès non authentifié aux fichiers, mais ne sont pas indexés par le Semantic Index de Copilot. Copilot ne pourra accéder à ces contenus que si l'utilisateur dispose déjà de permissions authentifiées directes sur le fichier ou le site.

En revanche, les liens configurés sur "Tout le monde dans l'organisation" (People in your organization) exposent réellement les données à tous les utilisateurs authentifiés du tenant, et ces fichiers seront indexés et accessibles via Copilot pour tous les employés.

Configuration Admin : Au niveau du centre d'administration SharePoint, limitez l'utilisation des liens "Tout le monde dans l'organisation" pour les contenus sensibles. Forcez l'expiration automatique de ces liens (ex: 30 jours maximum) et réduisez leurs privilèges par défaut à "Affichage seul" (View only). Pour les données critiques, privilégiez le partage avec des personnes spécifiques uniquement.

Sites Publics vs Sites Privés

Lors de la création rapide d'équipes Teams, de nombreux utilisateurs sélectionnent l'option "Public" par défaut, pensant rendre le site visible à leur département. En réalité, dans SharePoint Online (Microsoft 365), un site "Public" permet à tous les membres de l'organisation de découvrir le site et de demander l'accès, mais ne donne pas automatiquement un rôle "Member" à tous les utilisateurs.

Cependant, si des permissions ont été configurées de manière permissive (par exemple, ajout manuel du groupe "Tous les utilisateurs" comme membre), le site devient effectivement accessible en lecture/écriture à l'ensemble du tenant, et Copilot indexera ces données pour tous les utilisateurs.

Action technique : Scannez vos équipes Teams et sites SharePoint pour identifier ceux configurés en "Public" ou ayant des permissions larges (groupe "Everyone" ou "All Users"). Pour les contenus sensibles, basculez impérativement ces sites en "Privé" et limitez l'accès aux membres explicitement autorisés.

Exclusion explicite de l'indexation (Search Exclusion)

Certaines données (Paie, RH, Stratégie Codir) sont trop sensibles pour risquer la moindre fuite via un prompt, même pour des utilisateurs légitimes.

Astuce d'expert : Utilisez les fonctionnalités de "Search & Intelligence" dans le portail d'administration pour exclure spécifiquement certaines bibliothèques de documents de l'indexation. Copilot ne pourra jamais utiliser ces sources pour générer une réponse, quel que soit le niveau de droit de l'utilisateur.

Étape 3 : Optimisation des données (Data Hygiene)

La qualité des réponses de Copilot dépend directement de la qualité des données ingérées (Garbage In, Garbage Out). Un tenant encombré ralentit l'indexation et augmente le risque d'hallucinations.

Suppression du ROT (Redundant, Obsolete, Trivial)

Copilot ne sait pas distinguer un brouillon de 2018 du contrat final de 2026 si les deux sont accessibles.

Action technique : Configurez des Retention Policies (règles de rétention) strictes.

• Suppression automatique des contenus des dossiers "Brouillons" ou "Téléchargements" après X jours.
• Archivage des données non modifiées depuis plus de 3 ou 5 ans vers un stockage froid (Azure Blob Storage ou site d'archivage exclu de l'index).

Limitation du versioning

Les bibliothèques SharePoint conservent souvent des centaines de versions mineures d'un même fichier, augmentant considérablement les coûts de stockage.

Action technique : Limitez le nombre de versions majeures/mineures conservées (par exemple : conserver 10 versions majeures et 5 versions mineures maximum) pour optimiser vos coûts de stockage et améliorer les performances générales de SharePoint.
Le Semantic Index de Copilot se concentre principalement sur les versions actuelles des fichiers, mais une gouvernance stricte du versioning contribue à un environnement Microsoft 365 plus performant.

Étape 4 : Supervision et remédiation centralisée avec IDECSI