Périmètre protégé
Ce que montre le périmètre protégé
BaaStide protège tout le tenant. Le périmètre protégé est donc la liste des ressources que BaaStide trouve chez Microsoft, avec l'état de chaque ressource et de chaque contenu.
Deux onglets du tenant donnent cette information :
- L'onglet Ressources donne la liste des ressources trouvées et la date de la dernière lecture.
- L'onglet Connexion donne l'état de l'accès de BaaStide au tenant : les permissions accordées par le client et la date de fin du certificat.
Vous ne choisissez pas un périmètre plus petit. Voir Sauvegarder Microsoft 365.
Prérequis
- Un tenant connecté. Voir Connecter un tenant.
- Le rôle Lecture seule suffit pour lire les deux onglets. Voir Rôles et droits.
- Une première découverte faite. Elle a lieu juste après la connexion.
Comment BaaStide trouve les ressources
BaaStide lit l'inventaire du tenant une fois par jour. Cette lecture s'appelle la découverte. Elle liste les utilisateurs, les boîtes partagées, les groupes, les équipes, les sites et les bibliothèques de documents. Quand une découverte échoue, BaaStide la relance au plus une fois par heure.
La même découverte quotidienne contrôle aussi la connexion : elle lit les permissions accordées et la date de fin du certificat, et elle renouvelle le certificat quand c'est nécessaire.
Lire les ressources du tenant
- Ouvrez la page du tenant.
- Choisissez l'onglet Ressources.
- Lisez la ligne Dernière découverte : son statut, sa date et le nombre de ressources vues.
- Pour réduire la liste, choisissez un Type, ou un État, ou les deux.
- Cliquez sur Voir plus pour la page suivante.
La liste donne pour chaque ressource son nom, son type, sa situation et la date de sa dernière sauvegarde réussie.
Statut de la dernière découverte
| Statut | Ce qu'il veut dire |
|---|---|
| En attente | La découverte attend son tour. |
| En cours | La découverte lit le tenant. |
| Réussie | Tout l'inventaire a été lu. |
| Partielle | Une partie de l'inventaire n'a pas été lue. Des ressources peuvent manquer dans la liste. |
| Échouée | Rien n'a été lu. La liste montre le dernier état connu. |
Après une découverte partielle ou échouée, le portail affiche un bandeau au-dessus de la liste. La liste garde les ressources déjà connues : une lecture en échec ne retire jamais une ressource.
État d'une ressource
| État | Ce qu'il veut dire |
|---|---|
| Découverte | BaaStide connaît la ressource. Aucune sauvegarde ne l'a encore prise en charge. |
| Protégée | La ressource est dans les sauvegardes du tenant. BaaStide la sauvegarde à chaque passage. |
| Retirée du tenant | Microsoft n'a plus la ressource. Ses données sauvegardées restent jusqu'à la date écrite sous l'état. |
Une ressource devient Protégée dès qu'elle entre dans une sauvegarde, avant le résultat de cette sauvegarde. L'état ne dit donc pas si la sauvegarde a réussi. Lisez la date de la dernière sauvegarde réussie, dans la liste, pour connaître ce résultat.
La colonne Situation reste vide pour une ressource protégée dont tous les contenus sont disponibles. Elle montre donc seulement ce qui demande votre attention.
Accès à un contenu
Pour chaque ressource, BaaStide note l'accès à chacun de ses contenus. La colonne Situation et le menu Parcourir écrivent cet accès quand il n'est pas normal.
| Accès | Ce qu'il veut dire |
|---|---|
| Disponible | BaaStide lit ce contenu. |
| Non provisionné | Microsoft n'a pas créé ce contenu pour cette ressource. |
| Non vérifié | L'accès n'a pas encore été contrôlé. |
| Désactivé | Le contenu existe, mais il est désactivé dans le tenant. |
| Refusé | Microsoft refuse l'accès. La cause est écrite sous l'état. |
| Erreur temporaire | Une erreur passagère. BaaStide réessaie. La date du prochain essai est écrite sous l'état. |
Cinq causes sont écrites sous un accès Refusé : Permission manquante, Pas de licence, Appartient à un autre tenant, Bloqué par une stratégie et Cause inconnue.
Ouvrir les bibliothèques d'un site
Un site SharePoint ne porte pas de données lui-même. Ses bibliothèques de documents les portent.
- Dans la liste des ressources, choisissez le Type Site.
- Cliquez sur Bibliothèques de documents sur la ligne du site.
La page du site liste ses bibliothèques, avec leur situation et la date de leur dernière sauvegarde réussie. Quand le site est retiré du tenant, un bandeau donne la date du retrait et la date de fin de conservation.
Lire l'état de la connexion
- Ouvrez la page du tenant.
- Choisissez l'onglet Connexion.
La carte Connexion donne quatre informations :
| Champ | Ce qu'il donne |
|---|---|
| État | Connecté, Permission manquante, Reconnexion requise ou Indisponible. |
| ID du tenant | L'identifiant du tenant chez Microsoft. |
| Certificat valide jusqu'au | La date de fin du certificat de l'application BaaStide dans le tenant. |
| Dernier contrôle quotidien | La date du dernier contrôle. Pas encore contrôlée tant qu'aucun contrôle n'a eu lieu. |
L'état apparaît aussi en haut de la page du tenant. Quand il demande une action, le portail propose le bouton Reconnecter. La signification de chaque état et la procédure de reconnexion sont dans Connecter un tenant.
Lire les permissions accordées
La carte Permissions d'application dans le tenant liste les permissions que le tenant accorde vraiment à l'application BaaStide. BaaStide les relit à chaque contrôle quotidien.
- Ouvrez l'onglet Connexion du tenant.
- Lisez le champ Dernier contrôle.
- Lisez le tableau : une ligne par permission, avec l'API qui la porte.
| Dernier contrôle | Ce qu'il veut dire |
|---|---|
| Non contrôlées | Aucun contrôle n'a encore eu lieu. Le contrôle quotidien les lit après la connexion. |
| Vérifiées | La liste vient d'une lecture complète et récente. |
| Accès refusé | Le dernier contrôle n'a pas pu lire les permissions : Microsoft a refusé l'accès. |
| Requêtes limitées par Microsoft | Le dernier contrôle n'a pas pu lire les permissions : Microsoft limite les requêtes. |
| Microsoft indisponible | Le dernier contrôle n'a pas pu lire les permissions : Microsoft est injoignable. |
Deux dates complètent l'état : Dernière tentative de contrôle et Dernière lecture complète.
Un contrôle en échec ne veut pas dire qu'une permission a été retirée. Dans ce cas, le portail garde la dernière lecture complète et écrit sa date.
Les permissions demandées par BaaStide
L'administrateur du tenant accorde ces permissions d'application une fois, au moment de la connexion.
| Permission | Ce qu'elle permet |
|---|---|
User.Read.All | Lire les utilisateurs du tenant. |
Group.Read.All | Lire les groupes et les sites. |
Organization.Read.All | Lire les informations de l'organisation, dont son domaine principal. |
Reports.Read.All | Lire les rapports d'usage Microsoft. |
Mail.Read | Lire les boîtes mail. |
MailboxSettings.Read | Lire les réglages d'une boîte mail. |
Calendars.Read | Lire les calendriers. |
Contacts.Read | Lire les contacts. |
Files.Read.All | Lire les fichiers OneDrive. |
Sites.Read.All | Lire les bibliothèques de documents SharePoint. |
Team.ReadBasic.All | Lire la liste des équipes. |
TeamSettings.Read.All | Lire les réglages d'une équipe. |
Channel.ReadBasic.All | Lire la liste des canaux. |
ChannelMember.Read.All | Lire les membres d'un canal. |
ChannelMessage.Read.All | Lire les messages des canaux. |
Application.ReadWrite.OwnedBy | Gérer la seule application créée par BaaStide, dont le renouvellement de son certificat. |
AppRoleAssignment.ReadWrite.All | Accorder ces permissions à l'application au moment de la connexion. |
Toutes les permissions sur les données du tenant sont en lecture seule. Quand vous activez la
restauration pour le tenant, BaaStide demande en plus la permission Sites.ReadWrite.All. Elle
apparaît alors dans le tableau des permissions accordées.
Lire l'historique des permissions
La carte Historique des permissions donne les changements vus entre deux lectures complètes, du plus récent au plus ancien.
| Changement | Ce qu'il veut dire |
|---|---|
| Présente à la première lecture | La permission existait déjà à la première lecture complète. |
| Ajoutée | La permission est apparue depuis la lecture précédente. |
| Retirée | La permission a disparu depuis la lecture précédente. |
Une ligne donne la date du changement, le changement, la permission et son API. Le portail écrit aussi la date de la première lecture : BaaStide ne connaît pas les changements antérieurs.
Limites et précautions
- La découverte a lieu une fois par jour. Une ressource créée chez Microsoft entre deux découvertes entre dans la liste à la découverte suivante, et elle est protégée à la sauvegarde suivante.
- Une découverte partielle ou échouée ne retire aucune ressource de la liste. BaaStide conclut à l'absence d'une ressource seulement après une lecture complète de son type.
- Un utilisateur sans boîte mail et sans OneDrive reste dans la liste. Aucune unité de sauvegarde n'est créée pour lui, et son état reste Découverte.
- Un groupe et un site n'ont pas d'état d'accès : ils ne portent pas de données en direct.
- Les messages des canaux Teams ne sont pas contrôlés par la découverte. Leur accès est noté par l'unité de sauvegarde de l'équipe.
- Une ressource Retirée du tenant garde ses données sauvegardées jusqu'à la date écrite sous son état. Après cette date, les données sont supprimées.
- Le portail liste les permissions vraiment accordées. Elles peuvent différer des permissions demandées par BaaStide, par exemple après un changement dans le tenant.
- Le portail ne montre jamais la clé privée du certificat. Il donne seulement sa date de fin.
- Les permissions ne se changent pas depuis le portail. Pour accorder de nouveau une permission retirée, reconnectez le tenant.
Référence
- Routes de l'API :
GET /endpoints/{id}/m365/resources,GET /endpoints/{id}/m365/connection,GET /endpoints/{id}/m365/permissionsetGET /endpoints/{id}/m365/permissions/history, dans la référence de l'API. - Outil MCP :
get_m365_status, dans la référence MCP.