Le cycle d'une campagne, de bout en bout
01En une phrase #sec_b8b4c57e
Une campagne va d'une intention — « je veux certifier ceci » — à une preuve opposable, en passant par des décisions humaines qu'aucun automatisme ne remplace.
02La collecte, avant tout le reste #sec_756f1a3f
Rien ne se certifie sans données. L'administrateur de souscription branche une connexion vers la source — un tenant Microsoft 365, par exemple — et la collecte relève l'état réel : les groupes et leurs membres, les espaces et leurs propriétaires, les dates de dernière activité, les partages.
Cette collecte n'est pas une photo unique. Elle se rejoue, et c'est ce qui permet de dire qu'un accès est encore là au moment où on le certifie, et non qu'il y était il y a six mois.
03L'intention : quoi, et selon quelle règle #sec_a537ce1e
L'administrateur de workspace ouvre Campagnes › Nouvelle campagne . Le premier écran pose la seule question qui commande tout le reste : que voulez-vous certifier ?
Il choisit un périmètre technique — une solution, un workload, une ressource — puis une politique . Cinq familles :
| Politique | Ce qu'elle interroge |
|---|---|
| Inactivity | Les accès dormants : encore utilisés, ou à retirer ? |
| Membership | Qui a accès à quoi, et est-ce toujours justifié ? |
| Ownership | Qui répond de cette ressource ? |
| Permissions | Les droits accordés sont-ils au bon niveau ? |
| Privacy | La visibilité de cette ressource est-elle celle qu'on croit ? |
Le choix de la politique n'est pas cosmétique : il détermine les critères que le relecteur verra, la forme de sa décision, et les relecteurs éligibles.
04Le reste du paramétrage #sec_f69bcd11
Le wizard compte sept étapes , et il refuse d'avancer tant que la précédente est incomplète.
- Intention — le périmètre technique et la politique
- Identité — le nom de la campagne, ce à quoi on la reconnaîtra dans six mois
- Périmètre — ce qu'on inclut exactement, et ce qu'on exclut
- Reviewers — qui décide : le manager, le propriétaire de la ressource, une liste nommée
- Cadence & communication — l'échéance, les relances, les messages
- Règles de certification — ce qui vaut décision, et ce qui bloque
- Revoir & lancer — la relecture avant l'armement
Le dernier écran mérite son nom : une fois lancée, une campagne produit des requêtes , et une requête est adressée à quelqu'un.
05Les décisions #sec_1cf93f85
Chaque relecteur désigné reçoit sa file dans le REVIEW Center. Pour chaque ressource, l'écran énonce trois choses, distinctement :
- Le critère — ce que la politique attend
- L'observé — ce que la collecte a relevé
- La décision — ce que le relecteur atteste
Une décision demande une justification écrite . Ce n'est pas un champ décoratif : c'est elle qui, dans un an, expliquera à un auditeur pourquoi cet accès a été maintenu.
06Ce qui se passe quand personne ne décide #sec_a9a76277
Une campagne n'attend pas indéfiniment. L'administrateur de workspace voit ses retards dans Pilotage et dans le Centre d'alertes , relance, redistribue, délègue.
Ce qu'il ne peut pas faire, c'est décider à la place. Une campagne qui se termine avec des requêtes sans décision se termine ainsi, et le rapport le dit.
07La preuve #sec_0e5b28dd
À la clôture, ce qui reste n'est pas un tableau de bord : c'est un dossier de certification . Qui a décidé quoi, quand, sur quelle base, et avec quelle justification.
La piste d'audit qui le porte est append-only : elle s'écrit, elle ne se réécrit pas. C'est ce qui distingue une preuve d'un rapport.
08Et après #sec_0de1c4d8
Une recertification n'est pas un projet, c'est un rythme. Une campagne close appelle la suivante, et la valeur du produit tient moins à la première campagne qu'à la dixième — quand la comparaison entre deux passages devient possible.
09À retenir #sec_fac9e6a3
Collecter, choisir une règle, désigner qui répond, laisser décider, prouver. Cinq temps, et un seul est automatisable — le premier.