Points clés à retenir (TL;DR)
Synthèse exécutive- Convertir la boîte en boîte partagée permet de conserver l'accès aux courriels sans consommer de licence Exchange Online Plan 1/2 (sous 50 Go).
- Traitez l'opération comme une demande de service standard déclenchée par le processus RH de départ, avec validation d'accès et période de rétention définie.
- Bloquez d'abord la connexion (révocation des sessions, réinitialisation du mot de passe), puis redirigez ou déléguez, enfin retirez la licence.
- Documentez une date de suppression planifiée : une boîte partagée oubliée devient une dette de données et un risque de conformité.
- Prévoyez un plan de retour : tant que la licence est retirée depuis moins de 30 jours, la conversion est réversible.
Contexte
Au départ d’un employé, la boîte courriel contient souvent de l’historique client, des devis, des fils de projet et des pièces jointes contractuelles. La supprimer d’emblée fait perdre cette mémoire opérationnelle ; la laisser active sous licence coûte inutilement et laisse un compte connectable actif, soit une surface d’attaque (usurpation de compte, T1078 – Valid Accounts).
Pour une PME, la boîte partagée résout les deux problèmes : elle reste accessible par les collègues (gestionnaire, équipe de vente, support) sans mot de passe propre et sans licence tant qu’elle ne dépasse pas 50 Go. C’est l’option par défaut recommandée dans un processus d’offboarding structuré.
La methode etape par etape
Rattachement ITIL. Le départ est un déclencheur RH qui ouvre une demande de service (service request) récurrente et scriptable. Si l’opération touche plusieurs systèmes critiques en même temps ou impose une fenêtre de maintenance, encadrez-la comme un changement standard pré-approuvé (pas de passage CAB car risque connu et faible). Prerequis : rôle Exchange Administrator (ou Global Administrator), module ExchangeOnlineManagement installé, et accord documenté du gestionnaire sur le délégataire et la rétention.
- Verrouiller le compte (confidentialité d’abord). Bloquez la connexion et révoquez les jetons actifs pour couper tout accès du partant.
Connect-MgGraph -Scopes "User.ReadWrite.All" Update-MgUser -UserId "jdupont@exemple.test" -AccountEnabled:$false Revoke-MgUserSignInSession -UserId "jdupont@exemple.test" - Documenter l’état initial. Notez la taille de la boîte et les règles existantes (transfert automatique, règles de boîte de réception à nettoyer). Au-delà de 50 Go, une boîte partagée exige quand même une licence : archivez ou purgez avant conversion.
Connect-ExchangeOnline Get-EXOMailboxStatistics -Identity "jdupont@exemple.test" | Select DisplayName, TotalItemSize Get-InboxRule -Mailbox "jdupont@exemple.test" - Convertir la boîte en boîte partagée.
Set-Mailbox -Identity "jdupont@exemple.test" -Type Shared - Déléguer les accès aux bonnes personnes. Accès complet pour consulter, « Send As » seulement si l’on doit répondre au nom de l’adresse (à cadrer avec RH/gestionnaire pour éviter l’usurpation interne).
Add-MailboxPermission -Identity "jdupont@exemple.test" ` -User "gestionnaire@exemple.test" -AccessRights FullAccess -InheritanceType All Add-RecipientPermission -Identity "jdupont@exemple.test" ` -Trustee "gestionnaire@exemple.test" -AccessRights SendAs -Confirm:$false - Retirer la licence Exchange Online. À faire après la conversion. La boîte reste accessible ; la suppression de licence ne la détruit pas immédiatement.
Set-MgUserLicense -UserId "jdupont@exemple.test" ` -RemoveLicenses @("") -AddLicenses @() - Gérer la redirection et la signature. Au besoin, redirigez temporairement les nouveaux messages vers le gestionnaire et/ou activez une réponse automatique indiquant le nouveau contact.
Set-Mailbox -Identity "jdupont@exemple.test" ` -ForwardingAddress "gestionnaire@exemple.test" -DeliverToMailboxAndForward $true Set-MailboxAutoReplyConfiguration -Identity "jdupont@exemple.test" ` -AutoReplyState Enabled -InternalMessage "Jean a quitté l'organisation..." ` -ExternalMessage "Jean a quitté l'organisation..." - Planifier la fin de vie. Inscrivez dans la CMDB/registre une date de revue (p. ex. 12 mois) pour décider : archivage long terme, suppression, ou maintien. Sans cette étape, la boîte devient une donnée orpheline.
Validation
Get-EXOMailbox -Identity "jdupont@exemple.test" | Select RecipientTypeDetailsdoit renvoyerSharedMailbox.- Le délégataire voit la boîte apparaître dans Outlook (délai de propagation jusqu’à 60 min) et peut l’ouvrir.
- Un courriel de test entrant arrive bien et, si configuré, la redirection fonctionne.
- Le compte du partant ne peut plus se connecter (test d’authentification échoué attendu).
Plan de retour (rollback)
- Pour redonner une boîte utilisateur :
Set-Mailbox -Identity "jdupont@exemple.test" -Type Regularpuis réattribuer une licence dans les 30 jours suivant son retrait, sinon la boîte peut être supprimée définitivement. - Retirer une délégation erronée :
Remove-MailboxPermission/Remove-RecipientPermission.
Bonnes pratiques
- Enchaînement correct : verrouiller → convertir → déléguer → retirer la licence. Retirer la licence avant la conversion peut déclencher la suppression de la boîte.
- Script réutilisable : transformez ces étapes en runbook paramétré (UPN, délégataire, rétention) pour garantir la cohérence et tracer qui a exécuté quoi.
- Principe du moindre privilège : accordez « FullAccess » à une personne nommée, pas à un groupe large ; limitez « Send As ».
- Rétention et e-discovery : appliquez une politique de rétention (Microsoft Purview) ou un Litigation Hold si un contexte légal l’exige, avant toute suppression.
- Déclenchement automatique : reliez la demande au workflow RH pour que l’offboarding parte du SIRH, pas d’un courriel informel.
Erreurs a eviter
- Supprimer le compte au lieu de convertir : perte d’historique et de capacité de réponse.
- Oublier de révoquer les sessions : le mot de passe change mais un jeton actif reste exploitable un moment.
- Convertir une boîte > 50 Go sans licence : elle finira par être limitée ou nécessiter une licence.
- Laisser une redirection automatique indéfinie : fuite possible de données clients et confusion sur l’expéditeur.
- Ne jamais fixer de date de suppression : accumulation de boîtes partagées orphelines, coût de stockage et risque de conformité.
- Ne pas documenter le délégataire approuvé : accès non autorisé aux courriels d’un ex-collègue.
Indicateurs a suivre
| Indicateur | Cible indicative | Pourquoi |
|---|---|---|
| Délai de traitement de l’offboarding courriel | < 1 jour ouvré après date de départ | Réduit la fenêtre d’accès non contrôlé |
| % de départs avec compte bloqué le jour J | 100 % | Sécurité / conformité |
| Boîtes partagées sans date de revue | 0 | Évite la dette de données |
| Licences récupérées / mois | Suivi de tendance | Économie directe |
| Incidents « accès boîte ex-employé » | En baisse | Qualité du processus de délégation |
A retenir
La conversion en boîte partagée est la réponse standard d’un offboarding courriel bien outillé : elle préserve la mémoire opérationnelle, libère une licence et réduit la surface d’attaque, à condition de respecter l’ordre des opérations, de déléguer au moindre privilège et de planifier la fin de vie. Formalisez-la comme une demande de service scriptée, déclenchée par les RH, avec validation et rollback documentés.
Prochaine étape sobre : transformez ces commandes en runbooks reutilisables, declenches automatiquement par les RH.
