Comment déployer Microsoft 365 Copilot AI avec des politiques de sécurité personnalisées

Commencez par confirmer que votre environnement répond à toutes les exigences techniques. Microsoft 365 Copilot nécessite des boîtes aux lettres Exchange Online et ne fonctionnera pas avec des configurations sur site ou hybrides.

Connect-MsolService
Get-Mailbox -Identity user@yourdomain.com | Select-Object PrimarySmtpAddress, Database

La sortie doit montrer une base de données Exchange Online. Si vous voyez des serveurs sur site, migrez d'abord ces boîtes aux lettres.

Vérifiez votre statut de licence actuel :

Get-MsolAccountSku | Where-Object {$_.AccountSkuId -like "*COPILOT*" -or $_.AccountSkuId -like "*E7*"}

Pour le nouveau niveau E7 lancé en mars 2026, vérifiez que vous avez la licence Frontier Suite qui inclut Copilot et Agent 365 par défaut.

Copilot nécessite que des points de terminaison réseau spécifiques soient accessibles. Configurez votre pare-feu pour autoriser ces points de terminaison Microsoft 365 Copilot :

# Ajoutez ces domaines à la liste blanche de votre pare-feu
*.copilot.microsoft.com
*.bing.com
*.openai.azure.com
graph.microsoft.com
login.microsoftonline.com

Pour les environnements d'entreprise, déployez les paramètres du navigateur via la stratégie de groupe. Créez un nouveau GPO avec ces paramètres :

  https://*.microsoft.com
  https://*.office.com

Testez la connectivité réseau depuis une machine cliente :

Test-NetConnection -ComputerName copilot.microsoft.com -Port 443
Test-NetConnection -ComputerName graph.microsoft.com -Port 443

Les deux tests doivent retourner "TcpTestSucceeded: True".

Accédez au portail de conformité Microsoft Purview pour établir la gouvernance des données avant d'activer Copilot. Cela empêche les données sensibles d'être traitées par l'IA de manière involontaire.

Créez des étiquettes de sensibilité pour la classification des données Copilot :

1. Allez sur compliance.microsoft.com > Protection des informations > Étiquettes
2. Cliquez sur "Créer une étiquette" et configurez :

{
  "name": "Copilot-Restricted",
  "description": "Données non adaptées au traitement par l'IA",
  "settings": {
    "encryption": true,
    "contentMarking": true,
    "copilotAccess": "blocked"
  }
}

Configurez des politiques de rétention spécifiquement pour le contenu généré par Copilot :

1. Accédez à Gestion du cycle de vie des données > Microsoft 365 > Politiques de rétention
2. Créez une nouvelle politique ciblant "Interactions Microsoft 365 Copilot"
3. Définissez la période de rétention pour correspondre à vos exigences de conformité (généralement 7 ans pour les données financières)

Vérifiez que vos politiques sont actives :

Connect-IPPSSession
Get-RetentionCompliancePolicy | Where-Object {$_.Name -like "*Copilot*"}

La commande devrait retourner vos nouvelles politiques de rétention Copilot.

Implémentez des contrôles d'accès granulaires en utilisant les politiques d'accès conditionnel de Microsoft Entra ID. Accédez à entra.microsoft.com > Protection > Accès conditionnel.

Créez une politique spécifique à Copilot :

1. Cliquez sur "Nouvelle politique" et nommez-la "Contrôle d'accès Microsoft 365 Copilot"
2. Sous Assignations > Applications cloud, sélectionnez "Microsoft 365 Copilot"
3. Configurez les conditions en fonction de vos exigences de sécurité :

{
  "conditions": {
    "signInRisk": "medium",
    "devicePlatforms": ["windows", "macOS"],
    "locations": "trusted_locations_only",
    "clientApps": "browser_and_mobile_apps"
  },
  "grantControls": {
    "requireMFA": true,
    "requireCompliantDevice": true,
    "requireApprovedApp": true
  }
}

Pour les clients E7, configurez les politiques de gouvernance d'Agent 365. Accédez au portail Agent 365 via le centre d'administration Microsoft 365 :

# Enregistrez un agent personnalisé avec des contrôles de gouvernance
New-Agent365Registration -Name "CustomSalesAgent" -Type "ThirdParty" -SecurityLevel "High" -DataAccess "SalesDataOnly"

Testez la politique d'accès conditionnel en vous connectant en tant qu'utilisateur test :

Connect-AzureAD
Get-AzureADPolicy -Type "ConditionalAccessPolicy" | Where-Object {$_.DisplayName -like "*Copilot*"}

Déployez Copilot progressivement pour minimiser les risques et recueillir des retours. Commencez avec un groupe pilote de 10 à 20 utilisateurs de différents départements.

Créez des groupes de sécurité pour un déploiement par phases :

Connect-AzureAD
New-AzureADGroup -DisplayName "Copilot-Pilot-Wave1" -MailEnabled $false -SecurityEnabled $true -MailNickName "CopilotPilot1"
New-AzureADGroup -DisplayName "Copilot-Pilot-Wave2" -MailEnabled $false -SecurityEnabled $true -MailNickName "CopilotPilot2"

Ajoutez les utilisateurs pilotes au groupe de la première vague :

$pilotUsers = @("user1@yourdomain.com", "user2@yourdomain.com", "user3@yourdomain.com")
$groupId = (Get-AzureADGroup -Filter "DisplayName eq 'Copilot-Pilot-Wave1'").ObjectId

foreach ($user in $pilotUsers) {
    $userId = (Get-AzureADUser -Filter "UserPrincipalName eq '$user'").ObjectId
    Add-AzureADGroupMember -ObjectId $groupId -RefObjectId $userId
}

Configurez les paramètres de Copilot dans le centre d'administration Microsoft 365 :

1. Accédez à Paramètres > Paramètres de l'organisation > Microsoft 365 Copilot
2. Activez "Autoriser Copilot dans les applications Microsoft 365"
3. Sous "Accès utilisateur", sélectionnez "Groupes spécifiques" et ajoutez votre groupe pilote
4. Configurez les paramètres de mise à la terre des données sur "Données de l'utilisateur actuel uniquement"

Vérifiez que les utilisateurs pilotes peuvent accéder à Copilot :

Get-MsolUser -UserPrincipalName "pilot-user@yourdomain.com" | Select-Object Licenses

La sortie doit montrer la licence Copilot attribuée et active.

Configurez une surveillance complète pour suivre l'utilisation de Copilot et assurer la conformité avec les politiques de votre organisation. Accédez à la section des rapports du centre d'administration Microsoft 365.

Activez l'analyse de l'utilisation de Copilot :

1. Allez dans Rapports > Utilisation > Microsoft 365 Copilot
2. Configurez la livraison automatisée des rapports à l'équipe de conformité
3. Configurez des alertes pour les modèles d'utilisation inhabituels

Créez des requêtes de conformité personnalisées en utilisant PowerShell :

Connect-ExchangeOnline
# Rechercher les interactions de Copilot avec des données sensibles
New-ComplianceSearch -Name "CopilotSensitiveDataAudit" -ContentMatchQuery "(Copilot AND (SSN OR "Credit Card" OR "Confidential"))" -ExchangeLocation All

Configurez une surveillance en temps réel avec Microsoft Purview Audit :

Search-UnifiedAuditLog -StartDate (Get-Date).AddDays(-1) -EndDate (Get-Date) -Operations "CopilotInteraction" -ResultSize 1000 | Export-Csv "CopilotAuditLog.csv"

Pour les clients E7, configurez la surveillance de conformité Agent 365 :

# Surveiller les activités d'agent personnalisées
Get-Agent365AuditLog -AgentType "Custom" -TimeRange "Last24Hours" | Where-Object {$_.RiskLevel -eq "High"}

Créez des rapports de conformité automatisés :

$report = @{
    "TotalCopilotUsers" = (Get-MsolUser | Where-Object {$_.Licenses.AccountSkuId -like "*COPILOT*"}).Count
    "SensitiveDataInteractions" = (Search-UnifiedAuditLog -Operations "CopilotSensitiveData" -StartDate (Get-Date).AddDays(-7)).Count
    "PolicyViolations" = (Get-ComplianceAlert | Where-Object {$_.Category -eq "Copilot"}).Count
}
$report | ConvertTo-Json | Out-File "WeeklyCopilotCompliance.json"