# Faut-il une licence E5 pour auditer les permissions Microsoft 365 ? > Business Premium, E3 ou E5 : ce que chaque licence permet d'auditer sur les permissions Microsoft 365, outil par outil, avec les limites. Source: https://olyteck.com/blog/fr/licence-e5-audit-permissions-microsoft-365 Published: 2026-09-25 Author: Oleg Garasym, Olyteck (France, EU-hosted) Product: Olyteck Cyber Topics: microsoft 365, licence, e5, e3, business premium, permissions, audit, entra id, sharepoint, purview License: free to quote with attribution to Olyteck and a link to the source URL. --- C'est souvent la première question qu'on nous pose, avant même de regarder un rapport : « Microsoft ne le fait-il pas déjà ? ». Et derrière elle, une seconde, plus budgétaire : faut-il passer en E5 pour savoir qui a accès à quoi dans son tenant ? **Réponse courte : non.** Avec Microsoft 365 Business Premium ou E3, vous pouvez déjà faire un audit de base sérieux des permissions. E5 et les modules complémentaires ajoutent de la profondeur (rétention plus longue, [revues d'accès](/blog/fr/revue-des-acces-microsoft-365-iso-27001), gouvernance automatisée), pas le point de départ. Cet article détaille, besoin par besoin, l'outil natif, la licence minimale vérifiée sur Microsoft Learn et ses limites, pour que vous puissiez décider sans rien acheter. ## Ce que Business Premium et E3 vous donnent déjà Les deux offres incluent **Microsoft Entra ID P1**, d'après la page de licences Entra : E3 dans la liste des offres entreprise, Business Premium pour les PME. C'est la brique qui compte pour l'identité. Elles incluent aussi **Audit (Standard)** dans Microsoft Purview, avec une rétention par défaut de **180 jours** depuis octobre 2023. Concrètement, sans rien ajouter, vous avez : - le **SharePoint admin center**, pour lire et durcir les réglages de partage externe, au niveau de l'organisation et site par site ; - le **rapport de partage** d'un site ou d'un OneDrive, un CSV de chaque fichier, utilisateur, permission et lien ; - l'**Entra admin center**, pour lister les invités, les attributions de rôles et les consentements accordés aux applications ; - le rapport **User registration details**, qui montre qui a enregistré une méthode MFA (Entra ID P1 requis) ; - **Microsoft Secure Score**, accessible par rôle, sans licence dédiée mentionnée par Microsoft ; - les **rapports d'utilisation Microsoft 365**, sur 7, 30, 90 ou 180 jours. Le problème n'est pas l'absence d'outils, c'est leur dispersion. ## Le tableau : besoin, outil natif, licence minimale, limites Licences vérifiées sur Microsoft Learn et les service descriptions Microsoft en septembre 2026. | Besoin | Outil natif | Licence minimale | Limites | |---|---|---|---| | Réglages de partage externe | SharePoint admin center, Sharing | Toute offre avec SharePoint | Réglages, pas l'inventaire des liens | | Liens de partage d'un site | Rapport de partage (Site usage) | Toute offre avec SharePoint | Un site à la fois, liens Anyone exclus | | Liens et EEEU sur tout le tenant | Data access governance reports | SAM (Copilot ou Plan 1) | E5 seul : rapports d'activité uniquement | | Invités | Entra admin center, filtre Guest | Entra ID Free | Liste, pas ce qu'ils atteignent | | Rôles à privilèges | Entra, Roles and administrators | Entra ID Free | Vue PIM avec P2 | | Statut MFA | User registration details | Entra ID P1 | Enregistrement, pas application | | Consentements OAuth | Enterprise apps, Permissions | Entra ID Free | Application par application | | Gouvernance OAuth continue | App governance | Defender for Cloud Apps (E5, Defender Suite) | Absent de Business Premium seul | | Revues d'accès Entra | Access reviews | Entra ID P2 (partiel), Governance | Revues des inactifs : Governance | | Revue d'accès aux sites | Site access review (SAM) | SAM (Copilot ou Plan 1) | 100 sites depuis l'interface web | | Journal d'audit | Purview Audit (Standard) | Business Premium, E3 | 180 jours | | Journal d'audit long | Purview Audit (Premium) | E5 ou Purview Suite | 1 an, 10 ans avec module | | Données sensibles | Content explorer (Purview) | E5 ou Purview Suite | E3 : agrégation sans l'interface | | Posture globale | Secure Score | Accès par rôle | Recommandations hors licence incluses | | Activité | Usage reports | Toute offre | Activité, pas permissions | Trois remarques pour lire ce tableau correctement. **Business Premium et SAM.** La page des prérequis de [SharePoint Advanced Management](/blog/fr/sharepoint-advanced-management-inclus-copilot-limites) cite comme licences de base Office 365 E3, E5 ou A5 et Microsoft 365 E1, E3, E5 ou A5. Business Premium n'y figure pas à la date de rédaction. Si vous comptez sur SAM via une licence Copilot en Business Premium, faites confirmer l'éligibilité par votre partenaire avant de l'intégrer à votre plan. **E5 et les rapports de gouvernance des accès.** Microsoft précise qu'un administrateur avec E5 peut accéder aux Data access governance reports, mais sans les rapports instantanés ni les actions correctives, et avec des rapports d'activité limités à 10 000 sites. Les autres fonctions SAM restent hors de portée. **Le journal Entra n'est pas le journal Purview.** Les journaux d'audit et de connexion Entra sont conservés 7 jours en Entra ID Free et 30 jours en P1 ou P2, sauf export vers Azure Monitor. C'est souvent là qu'une enquête sur un ancien compte s'arrête. ## Ce que E5 et les modules complémentaires ajoutent vraiment Rien de ceci n'est nécessaire pour savoir qui a accès à quoi. Tout sert à le prouver dans la durée ou à l'automatiser. - **Rétention.** Audit (Premium) conserve un an les enregistrements Exchange, SharePoint, OneDrive et Entra, et permet des politiques de rétention personnalisées. Dix ans demandent un module supplémentaire par utilisateur. - **Revues d'accès.** Microsoft Entra ID Governance est désormais la licence de référence pour les access reviews. Certaines capacités historiques fonctionnent avec P2, qui est inclus dans E5 mais pas dans E3. - **Rôles à privilèges.** PIM, avec attributions éligibles et temporaires, demande Entra ID P2 ou Entra ID Governance. - **Applications OAuth.** App governance, dans Defender for Cloud Apps, ajoute politiques, alertes et remédiation. Il faut E5, Microsoft Defender Suite (anciennement Microsoft 365 E5 Security) ou une licence Defender for Cloud Apps autonome. - **Données sensibles.** Content explorer montre où se trouvent les types d'informations sensibles. L'interface demande E5 ou Microsoft Purview Suite (anciennement Microsoft 365 E5 Compliance). Pour une PME en Business Premium, il existe une voie intermédiaire : **Microsoft Defender Suite for Business Premium** (Entra ID P2, Defender for Cloud Apps, entre autres) et **Microsoft Purview Suite for Business Premium** (Audit Premium notamment), tous deux plafonnés à 300 utilisateurs. C'est souvent plus proportionné qu'une migration complète vers E5. ## Graph et PowerShell : gratuit en licence, pas en temps Presque tout ce que montrent les consoles est lisible par Microsoft Graph et PowerShell, sans nouvelle licence Microsoft 365 à acheter. Deux réserves. D'abord, Graph ne restitue que ce que vos licences produisent : pas de données PIM sans P2, pas d'audit au-delà de 180 jours sans Audit (Premium). Ensuite, le coût passe à l'ingénierie : une application Entra, la pagination, les limites de débit, puis le croisement d'un lien SharePoint, d'un invité Entra et d'un consentement applicatif. Microsoft renvoie d'ailleurs lui-même vers Graph ou PowerShell pour révoquer les consentements utilisateur, impossibles à retirer depuis le portail. [Un script répond une fois](/blog/fr/coder-soi-meme-audit-microsoft-365), le jour où on le lance. Le relancer chaque trimestre, le maintenir et le rendre lisible pour un auditeur, c'est là que se trouve la vraie dépense. ## Le vrai coût : cinq à sept consoles à assembler Pour un audit de permissions complet, il faut ouvrir : SharePoint admin center, rapports de partage site par site, Entra admin center (utilisateurs, rôles, applications, méthodes d'authentification), Purview pour l'audit, Defender pour Secure Score, Microsoft 365 admin center pour l'utilisation. Cinq à sept consoles, chacune avec son export, son format et ses rôles d'accès. Aucune ne répond seule à la question qui intéresse une direction : « qu'est-ce que cette personne peut atteindre, partout ? ». La réponse existe, mais c'est vous qui la reconstituez, et l'effort grandit avec le nombre de sites et l'ancienneté des partages. D'où une réponse nuancée à « Microsoft ne le fait-il pas déjà ? » : Microsoft fournit la matière première, et sur plusieurs points d'excellents outils. Il ne fournit ni la vue consolidée, ni sa répétition dans le temps. ## Comment Olyteck aborde le sujet Olyteck Cyber lit votre tenant par Microsoft Graph avec 19 permissions, toutes en lecture seule, sans agent et sans lire le contenu des fichiers. Il rassemble dans un même rapport ce que les consoles dispersent : liens anonymes et partages externes SharePoint et OneDrive, invités, comptes administrateurs obsolètes, absence de MFA, lacunes d'accès conditionnel et consentements OAuth à risque. Pour une personne donnée, il calcule tous ses accès réels et affiche toujours la couverture de l'analyse, par exemple « 412 sites analysés sur 1 291 ». Il reprend aussi le Secure Score et classe chaque recommandation selon les plans de service réellement provisionnés dans votre tenant : réalisable aujourd'hui, licence absente, non applicable ou indéterminé. Il ne fait pas de découverte de données sensibles et ne remplace pas la rétention d'audit de Purview. L'essai dure 14 jours, sans carte bancaire. ## FAQ ### Business Premium suffit-il pour auditer les permissions ? Pour un audit de base, oui : Entra ID P1, Audit (Standard) sur 180 jours, les réglages de partage SharePoint, les rapports de partage par site, les invités, les rôles et les consentements OAuth. Ce qui manque : les revues d'accès, PIM, app governance et Audit (Premium), accessibles par les suites Defender et Purview pour Business Premium. ### Quelle différence entre E3 et E5 pour un audit de permissions ? E3 et E5 donnent la même visibilité de base. E5 ajoute Entra ID P2 (PIM, une partie des revues d'accès), Audit (Premium) sur un an, Defender for Cloud Apps avec app governance, et l'interface de Content explorer. C'est de la profondeur et de la durée, pas l'accès initial. ### Une licence Copilot donne-t-elle SharePoint Advanced Management ? Oui : dès qu'au moins un utilisateur a une licence Microsoft Copilot, les administrateurs SharePoint accèdent aux fonctions SAM liées au déploiement de Copilot, dont les Data access governance reports et la revue d'accès aux sites. La restriction de création de sites par les applications reste liée au module SharePoint Advanced Management Plan 1. ### Peut-on tout faire en PowerShell ou avec Graph ? Presque tout ce que vos licences produisent, oui, sans surcoût de licence. Mais il faut écrire, maintenir et relancer les scripts, puis croiser les résultats. Le coût est en heures d'ingénierie, à chaque revue. ## Sources - https://learn.microsoft.com/en-us/entra/fundamentals/licensing - https://learn.microsoft.com/en-us/entra/id-governance/licensing-fundamentals - https://learn.microsoft.com/en-us/entra/id-governance/access-reviews-overview - https://learn.microsoft.com/en-us/entra/identity/role-based-access-control/view-assignments - https://learn.microsoft.com/en-us/entra/external-id/user-properties - https://learn.microsoft.com/en-us/entra/identity/authentication/howto-authentication-methods-activity - https://learn.microsoft.com/en-us/entra/identity/enterprise-apps/manage-application-permissions - https://learn.microsoft.com/en-us/entra/identity/monitoring-health/reference-reports-data-retention - https://learn.microsoft.com/en-us/purview/audit-solutions-overview - https://learn.microsoft.com/en-us/purview/audit-log-retention-policies - https://learn.microsoft.com/en-us/office365/servicedescriptions/microsoft-365-service-descriptions/microsoft-365-tenantlevel-services-licensing-guidance/microsoft-purview-service-description - https://learn.microsoft.com/en-us/office365/servicedescriptions/microsoft-365-service-descriptions/microsoft-365-tenantlevel-services-licensing-guidance/microsoft-defender-service-description - https://learn.microsoft.com/en-us/defender-cloud-apps/app-governance-get-started - https://learn.microsoft.com/en-us/defender-xdr/microsoft-secure-score - https://learn.microsoft.com/en-us/sharepoint/sharepoint-advanced-management-prerequisites - https://learn.microsoft.com/en-us/sharepoint/sharepoint-advanced-management-licensing - https://learn.microsoft.com/en-us/sharepoint/data-access-governance-reports - https://learn.microsoft.com/en-us/sharepoint/site-access-review - https://learn.microsoft.com/en-us/sharepoint/sharing-reports - https://learn.microsoft.com/en-us/sharepoint/turn-external-sharing-on-or-off - https://learn.microsoft.com/en-us/microsoft-365/admin/activity-reports/activity-reports - https://www.microsoft.com/en-us/security/small-medium-business/microsoft-defender-suite-business-premium *État de la documentation Microsoft au 25 septembre 2026. Les offres et leurs noms changent souvent : vérifiez la page Microsoft Learn correspondante avant toute décision d'achat.* ## À lire ensuite - [SharePoint Advanced Management est inclus avec Copilot : ce qu'il couvre, et ce qu'il ne voit pas](/blog/fr/sharepoint-advanced-management-inclus-copilot-limites) - [Liens de partage anonymes Microsoft 365 : comment auditer vos partages externes SharePoint](/blog/fr/trouver-liens-partage-anonymes-microsoft-365) - [Fin du MFA par SMS le 1er février 2027 : trouver les comptes qui seront bloqués](/blog/fr/fin-mfa-sms-entra-passkeys-2027)