M365 Governance as Code
La plupart des outils de gouvernance vous rendent une case verte. Une case verte ne distingue pas ce que le produit impose, ce qui est documenté comme limite, ce qui n'est que recommandé et ce qui relève de notre avis. Ces quatre phrases ouvrent quatre conversations différentes.
Le problème d'un score favorable
Un rapport de gouvernance arrive presque toujours sous forme de liste de vert et de rouge. Il se lit comme une certitude, et une bonne partie n'en est pas une.
Prenez quatre affirmations qu'un rapport ordinaire présente de façon identique :
- le produit impose ceci, et il n'existe pas d'alternative ;
- le produit fixe une limite, et voici le chiffre ;
- Microsoft recommande ceci, et permet l'autre option ;
- nous pensons que c'est une bonne idée, et une organisation raisonnable peut refuser.
Ce ne sont pas des degrés d'une même chose. Elles mènent à des budgets différents, des échéances différentes et des conversations très différentes avec un auditeur. Un outil qui les affiche de la même manière a retiré au lecteur la seule information dont il avait besoin.
Il existe un second problème, pire parce qu'il est invisible. Lorsqu'un contrôle ne parvient pas à lire quelque chose, la plupart des outils affichent un vert. L'absence de preuve devient une conformité, et personne ne peut distinguer les verts observés de ceux qui ont simplement été supposés.
Ce que cet outil fait différemment
Chaque règle déclare sa nature, dans le fichier de la règle, avant toute exécution :
| L'affirmation | Ce qu'elle signifie | Ce que la règle doit fournir |
|---|---|---|
| Exigence | Le produit impose ceci | Une source Microsoft |
| Limite documentée | Un seuil avec un chiffre | Une source, et la limite à côté de la valeur observée |
| Recommandation documentée | Microsoft le recommande et permet l'alternative | Une source |
| Convention | Pratique courante que personne ne documente | Une justification écrite |
| Avis | Notre position, assumée comme la nôtre | Une justification écrite |
Une source ne décide jamais du type. Un avis peut citer de la documentation et reste un avis. Le lien explique l'affirmation ; il ne change pas la nature de cette affirmation.
Et lorsqu'un fait ne peut pas être lu, le résultat n'est pas un vert. C'est un état non résolu, explicite, et le rapport le dit en toutes lettres : une preuve absente est un fait sur la collecte, pas un fait sur votre tenant.
Ce que vous recevez
- un collecteur PowerShell en lecture seule, qui rassemble les faits et les normalise en JSON ;
- un moteur local qui applique les règles et produit le résultat ;
- des règles publiques, en texte clair, que vous pouvez lire, contester et modifier ;
- un rapport en Markdown pour les personnes et en JSON pour les pipelines ;
- des données d'exemple, pour tout exécuter avant de pointer l'outil vers quoi que ce soit de réel.
Ce qu'il ne fait pas
- il ne modifie rien dans votre tenant, et ne dispose d'aucune voie d'écriture ;
- il ne nous envoie ni votre inventaire, ni votre rapport, ni quoi que ce soit d'autre ;
- il ne dit pas conforme quand il n'a pas de données ;
- il ne transforme pas une recommandation en exigence ;
- il ne remplace pas un audit technique, et ne prétend pas le faire.
Un résultat, en entier
Voici à quoi ressemble un constat. Rien n'est abrégé :
Résultat : échec
La liste contient 148 000 éléments, au-dessus de la limite documentée par
Microsoft de 100 000, et hérite toujours de ses permissions. L'héritage ne
peut plus être rompu sur cette liste, elle ne pourra donc pas recevoir de
permissions propres.
Nature : limite documentée
Observé : 148 000 éléments
Limite : 100 000 éléments
Source : documentation Microsoft, avec une date de vérification
Limitation : ceci mesure une position, pas une trajectoire. Une liste à
99 000 éléments qui grandit passe aujourd'hui et perd
l'option en quelques semaines.
La dernière ligne est obligatoire dans le format des règles. Chaque règle doit répondre par écrit à une question : comment cette règle peut-elle passer sans que le problème soit résolu ? Une règle dont l'auteur ne sait pas répondre à cela n'a pas été comprise assez pour être publiée.
Où vont vos données
Nulle part. Le collecteur s'exécute sur votre machine, contre votre tenant, avec vos identifiants, et écrit un fichier sur votre disque. Le moteur lit ce fichier localement. Il n'y a ni compte, ni envoi, ni télémétrie, parce qu'il n'existe de notre côté aucun service capable de recevoir quoi que ce soit.
Si l'authentification est interactive, le rapport le signale dès la première page : cette exécution a vu ce qu'une seule personne peut voir, et rien de ce qu'elle contient ne doit être lu comme une affirmation sur l'ensemble du tenant.
Où cela s'inscrit
Cet outil répond à une question différente de celle du SharePoint Compass. Le Compass aide à choisir une direction pour un environnement SharePoint. Celui-ci mesure des conditions observables dans un tenant Microsoft 365 et vous dit quelle confiance mérite chaque réponse.
Si vous préférez que la lecture soit faite avec vous, nous pouvons examiner vos résultats ensemble et vous dire quels constats comptent réellement dans votre contexte.