Offboarding : convertir une boîte en boîte partagée

Contexte

Quand un employe quitte une PME, sa boite courriel contient souvent des echanges clients, des factures et des fils de projets encore utiles. La supprimer immediatement cree des pertes de contexte et des « trous » dans le service aux clients; la laisser active avec une licence payante gaspille des couts et augmente la surface d’attaque (un compte dormant encore connectable).

Dans Microsoft 365, une boite partagee (shared mailbox) n’exige pas de licence Exchange Online tant qu’elle reste sous 50 Go et sans archive en ligne. Elle permet a plusieurs personnes autorisees de consulter l’historique et de repondre, sans mot de passe partage. La convertir est donc la bonne reponse operationnelle : continuite de service, reduction des couts, controle des acces.

La methode etape par etape

Cette operation est une demande de service (catalogue de services), pas un incident. Si elle touche plusieurs comptes ou des regles de securite, traitez-la comme un changement standard (pre-approuve, risque faible, procedure documentee) plutot que de passer au CAB.

Prerequis

• Role Exchange Administrator (ou Global Administrator) dans Microsoft Entra / Microsoft 365.
• Module PowerShell ExchangeOnlineManagement installe.
• Approbation du gestionnaire et ticket RH confirmant le depart et la date effective.
• Liste des delegues autorises et une date de retention decidee.

Procedure

1. Securiser le compte : bloquer la connexion et reinitialiser le mot de passe pour couper l’acces de la personne (correspond a MITRE ATT&CK T1078 – comptes valides a neutraliser lors d’un depart).
2. Geler les redirections : verifier et retirer toute regle de transfert automatique non autorisee.
3. Convertir en boite partagee.
4. Deleguer les acces (Full Access, et Send As si la personne doit repondre au nom de l’ancienne adresse).
5. Retirer la licence payante une fois la conversion confirmee et la taille sous 50 Go.
6. Mettre a jour la documentation : CMDB/registre, proprietaire de la boite, date de revue.

Connect-ExchangeOnline

# 1. Bloquer la connexion (Entra PowerShell / portail Entra)
#    Portail : Entra > Utilisateurs > Bloquer la connexion = Oui

# 2. Verifier les regles de transfert
Get-InboxRule -Mailbox depart@exemple.test | Format-Table Name,Enabled,ForwardTo,RedirectTo

# 3. Convertir en boite partagee
Set-Mailbox -Identity depart@exemple.test -Type Shared

# 4. Deleguer l'acces
Add-MailboxPermission -Identity depart@exemple.test -User delegue@exemple.test -AccessRights FullAccess -InheritanceType All
Add-RecipientPermission -Identity depart@exemple.test -Trustee delegue@exemple.test -AccessRights SendAs -Confirm:$false

# 5. Retirer la licence : via portail M365 ou Microsoft Graph PowerShell

Etape de validation

# Confirmer le type Shared
Get-Mailbox -Identity depart@exemple.test | Format-List DisplayName,RecipientTypeDetails
# Attendu : RecipientTypeDetails : SharedMailbox

# Confirmer la delegation
Get-MailboxPermission -Identity depart@exemple.test | Where-Object {$_.AccessRights -eq 'FullAccess'}

Testez ensuite que le delegue voit la boite partagee dans Outlook (ajout automatique sous quelques heures) et peut envoyer avec « Send As ».

Plan de retour (rollback)

# Revenir en boite utilisateur et reattribuer une licence si besoin
Set-Mailbox -Identity depart@exemple.test -Type Regular
# Puis reassigner la licence via le portail / Graph

Attention : gardez la boite sous 50 Go pendant la periode sans licence; au-dela, une licence redevient necessaire.

Bonnes pratiques

• Checklist d’offboarding standardisee dans le catalogue de services, declenchee automatiquement par RH.
• Principe du moindre privilege : deleguez nominativement, jamais via mot de passe partage.
• Repondeur automatique clair indiquant la nouvelle personne-ressource pendant la transition.
• Retention : appliquez une politique de conservation (ou litigation hold si enjeu legal) avant toute suppression future.
• Revue trimestrielle des boites partagees pour fermer celles devenues inutiles.

Erreurs a eviter

• Supprimer la boite immediatement : perte d’historique irreversible apres la periode de retention.
• Retirer la licence avant la conversion : la boite peut etre desactivee/supprimee apres 30 jours.
• Oublier de bloquer la connexion : le compte reste exploitable (T1078).
• Laisser des regles de transfert automatique actives vers une adresse externe.
• Depasser 50 Go ou activer une archive en ligne sans licence.
• Ne pas documenter le proprietaire : la boite devient orpheline.

Indicateurs a suivre

A retenir

Convertir la boite d’un employe en boite partagee est le compromis gagnant entre continuite de service, cout et securite. Cadrez l’operation comme une demande de service (ou un changement standard), securisez le compte avant la conversion, deleguez proprement et fixez une date de retention. Formalisez ces etapes dans votre catalogue de services pour qu’elles s’executent de facon fiable a chaque depart.

Besoin d’industrialiser votre processus d’offboarding ? Documentez-le une fois, testez-le sur un compte de test (exemple.test), puis automatisez-le.