Permissions demandées
Chaque permission Microsoft Graph et chaque portée Google demandée par Sorvek, à quoi elle sert, et pourquoi rien n'est modifié sans votre décision.
Sur cette page
Côté Microsoft, Sorvek ne demande que des permissions de lecture. Côté Google, toutes les portées sont en lecture, sauf deux qui n'existent pas en lecture seule chez Google ; Sorvek ne s'en sert pour écrire que lors d'une révocation que vous lancez vous-même en mode réel. Les actions correctives tournent en mode Simulation par défaut et ne modifient rien sans votre décision.
Pour voir ce qui est accordé chez vous : Paramètres > Sources de données, bouton Permissions de la source.
Microsoft Graph : permissions applicatives
Avec le consentement administrateur, l'écran de Microsoft affiche la liste exacte. Avec une inscription d'application BYO (Brancher Microsoft 365), l'assistant de Sorvek affiche ce tableau.
| Permission | Requise | Ce que Sorvek en fait | Accès |
|---|---|---|---|
User.Read.All |
Oui | Lit les utilisateurs (nom, courriel, département, titre) pour rattacher chaque compte SaaS à une personne. | Lecture |
Directory.Read.All |
Oui | Lit l'annuaire : domaines, licences, rôles d'administrateur, groupes. En BYO, prouve aussi que l'application appartient à votre locataire. | Lecture |
Policy.Read.All |
Oui | Lit l'accès conditionnel, les politiques d'authentification et le réglage du consentement des usagers. | Lecture |
Application.Read.All |
Oui | Lit les applications d'entreprise, leurs propriétaires et leurs attributions. | Lecture |
AuditLog.Read.All |
Oui | Lit les journaux de connexion et d'audit (dernière connexion, auteur d'un consentement). | Lecture |
UserAuthenticationMethod.Read.All |
Oui | Lit les méthodes d'authentification inscrites, pour mesurer la couverture MFA. | Lecture |
DelegatedPermissionGrant.Read.All |
Oui | Lit les autorisations OAuth accordées par vos employés à des applications tierces. | Lecture |
Mail.Read |
Oui (module courriel) | Lit les courriels pour y reconnaître inscriptions, notifications et factures SaaS. Le contenu est analysé en mémoire ; le corps n'est pas conservé (voir l'exception dans Données conservées, durées et suppression). | Lecture |
MailboxSettings.Read |
Non | Lit les règles de transfert et le type de boîte (partagée, salle, équipement). | Lecture |
Reports.Read.All |
Non | Lit les rapports d'utilisation Microsoft 365 (licences et activité). | Lecture |
IdentityRiskEvent.Read.All, IdentityRiskyUser.Read.All, IdentityRiskyServicePrincipal.Read.All |
Non | Lisent les signaux de risque d'Entra ID P2 (événements, utilisateurs, applications). | Lecture |
Group.Read.All, Domain.Read.All |
Non | Lisent les groupes et les domaines, déjà couverts par Directory.Read.All. |
Lecture |
SharePointTenantSettings.Read.All |
Non | Lit les paramètres de partage SharePoint et OneDrive. La découverte SaaS n'en a pas besoin. | Lecture |
Sans User.Read.All ou Directory.Read.All, le scan s'arrête. Sans une autre permission requise, il continue, mais ses résultats peuvent être incomplets : son détail, sur la page Scans, nomme la permission manquante. Une permission facultative absente retire seulement la fonction qui en dépend.
Permissions déléguées
openid, profile, email et User.Read servent à vous connecter à Sorvek avec votre compte Microsoft, et à vérifier votre rôle d'administrateur juste après le consentement. Elles ne donnent accès qu'à votre propre profil.
Modules facultatifs de l'assistant BYO
L'assistant propose aussi, en lecture : Microsoft Defender (AdvancedQuery.Read.All, Machine.Read.All, Alert.Read.All) et Azure Sentinel (Data.Read sur Log Analytics), dont la découverte SaaS ne se sert pas, et l'inventaire des agents Copilot Studio, qui passe par un enregistrement Power Platform (PowerShell New-PowerPlatformManagementApp).
Google Workspace : portées de délégation
Dans la console Google, chaque portée s'écrit en entier : https://www.googleapis.com/auth/ suivi du nom ci-dessous. Le bouton de copie de l'assistant (Brancher Google Workspace) donne la liste complète.
| Portée | Module | Requise | Ce que Sorvek en fait | Accès |
|---|---|---|---|---|
admin.directory.user.readonly |
Annuaire | Oui | Lit les utilisateurs du domaine et leur statut de validation en deux étapes. | Lecture |
admin.directory.group.readonly |
Annuaire | Oui | Lit les groupes. | Lecture |
admin.directory.group.member.readonly |
Annuaire | Oui | Lit les membres des groupes. | Lecture |
admin.directory.domain.readonly |
Annuaire | Oui | Demandée, mais pas utilisée par la collecte. | Lecture |
admin.directory.orgunit.readonly |
Annuaire | Non | Pas utilisée par la collecte. | Lecture |
admin.directory.user.security |
Apps OAuth tierces | Oui | Liste les applications tierces auxquelles chaque employé a donné accès. Sans variante en lecture seule chez Google, elle sert aussi à une révocation lancée en mode réel. | Lecture, écriture sur votre action |
admin.reports.audit.readonly |
Journaux | Oui | Lit l'activité de ces accès sur 180 jours : dernière utilisation et révocations. | Lecture |
admin.reports.usage.readonly |
Journaux | Non | Pas utilisée par la collecte. | Lecture |
gmail.readonly |
Gmail | Oui | Lit les en-têtes des courriels (expéditeur, destinataires, objet, date, libellés). Le corps n'est ni demandé ni stocké. | Lecture |
apps.alerts |
Alertes de sécurité | Oui | Demandée, mais pas utilisée par la collecte. Google n'en offre pas de variante en lecture seule. | Aucune écriture |
Aucune écriture sans votre décision
- Simulation par défaut : révoquer une autorisation OAuth, désactiver le compte d'un employé qui part ou révoquer ses sessions passent par un même garde-fou. Sorvek journalise ce qu'il aurait fait, sans rien modifier.
- Deux verrous pour le mode réel : un interrupteur tenu par Sorvek, et l'armement de votre organisation sur la page Actions destructives, avec une phrase de confirmation. Si l'un des deux est fermé, tout reste simulé. Voir Autorisations OAuth et révocation.
- Microsoft : sans permission d'écriture, Microsoft refuse toute écriture, même en mode réel.
- Google : en mode réel, seule la révocation d'un accès OAuth écrit dans votre domaine.
- Toujours un geste humain : une action n'a lieu que si une personne autorisée la lance (par défaut, le rôle Administrateur : voir Rôles et accès). Aucune tâche planifiée ne la déclenche.
Vous ne trouvez pas votre réponse ?
Déjà client : la bulle de support, en bas de l’application, envoie votre question avec son contexte. Sinon, écrivez à l’équipe Sorvek.