Microsoft Entra ID Governance : couverture, licences et angle mort des PME et ETI

Ce guide s'adresse aux DSI et responsables IT d'entreprises de 50 à 500 salariés déjà équipées de Microsoft 365, qui se demandent si l'add-on Entra ID Governance vaut son prix. Vous pilotez un tenant de 5 000 postes avec une équipe IAM dédiée ? La documentation de Microsoft vous servira mieux.

Microsoft Entra ID Governance est un add-on pour les tenants Entra ID P1 et P2 qui ajoute des workflows de cycle de vie, des revues d'accès avancées et la gestion des droits (entitlement management) au-dessus de l'annuaire. Il est affiché à 6,10 € HT par utilisateur et par mois en France, avec engagement annuel, et il doit couvrir chaque utilisateur membre dans le périmètre d'une fonctionnalité de gouvernance, pas seulement ceux qui s'en servent. Il gouverne les applications reliées à Entra par l'authentification unique ou le provisionnement : les outils SaaS qui ne passent jamais par Entra restent hors de sa portée, sauf à importer leurs données d'accès à la main.

Dernière vérification le 28 septembre 2026. Prix et règles de licence contrôlés ce jour-là sur la page tarifaire de Microsoft France et sur Microsoft Learn.

Qu'est-ce que Microsoft Entra ID Governance ?

Microsoft Entra ID Governance est l'offre de gouvernance et administration des identités (IGA) de Microsoft pour Entra ID : elle contrôle qui accède à quoi, pour combien de temps, et prouve que ces accès ont été revus. Elle se vend comme un add-on d'un tenant Entra ID existant, pas comme un annuaire séparé, et reprend des fonctions de gouvernance qui vivaient auparavant dans Entra ID P2.

Concrètement, elle regroupe quatre familles de fonctionnalités :

• Workflows de cycle de vie (lifecycle workflows) : tâches automatisées d'arrivée, de mobilité et de départ (joiner, mover, leaver), déclenchées par les attributs RH, dans la limite de 50 workflows et 100 extensions de tâches personnalisées.
• Revues d'accès (access reviews) : campagnes de certification récurrentes où managers, propriétaires ou utilisateurs confirment ou retirent un accès, avec des recommandations par machine learning et des revues ciblées sur les comptes inactifs. Notre feuille de route des revues d'accès pour ISO 27001 détaille le contrôle lui-même.
• Gestion des droits (entitlement management) : des packages d'accès qui regroupent groupes, équipes Teams, applications et sites SharePoint, avec politiques d'approbation, dates d'expiration et contrôles de séparation des tâches.
• Privileged Identity Management (PIM) : activation juste-à-temps des rôles d'administration, à la place de privilèges permanents.

Entra ID Governance ne remplace pas votre fournisseur d'identité. Si vous n'avez pas encore tranché ce choix, commencez par notre comparatif Okta vs Microsoft Entra ID pour les ETI, puis revenez à la question de la gouvernance.

Qu'ajoute-t-il par rapport à Entra ID P1 et P2 ?

La frontière compte, car beaucoup de tenants paient déjà une partie de ces fonctions. Le tableau conserve les lignes qui changent une décision en PME ou ETI, tirées du tableau des fonctionnalités par licence publié sur Microsoft Learn. Microsoft Entra Suite inclut toutes les fonctionnalités d'Entra ID Governance.

Lisez attentivement la colonne P2. Elle conserve les revues d'accès de base, les packages d'accès et PIM, mais l'automatisation qui soulage une petite équipe IT (workflows de cycle de vie, attribution automatique, découverte de comptes) n'existe que dans la colonne Governance.

Comment fonctionnent les licences Microsoft Entra ID Governance ?

Entra ID Governance se licencie par utilisateur membre, avec engagement annuel, et ne fonctionne que si le tenant possède déjà un produit contenant Entra ID P1 ou P2. Les invités sont facturés à part, par utilisateur actif mensuel, via un abonnement Azure.

Quels plans Microsoft servent de prérequis ?

Microsoft vend les fonctions de gouvernance sous six produits qui ne diffèrent que par leur prérequis. Pour un tenant commercial de PME ou d'ETI, trois comptent :

• Microsoft Entra ID Governance : exige un produit comportant le plan de service P1 ou P2, comme Entra ID P1, Microsoft 365 Business Premium, Microsoft 365 E3 ou Enterprise Mobility + Security E3.
• Microsoft Entra ID Governance Step Up for Microsoft Entra ID P2 : pour les tenants qui possèdent déjà P2, par exemple via Microsoft 365 E5. Son prix n'apparaît pas sur la page tarifaire publique de Microsoft : il passe par un partenaire ou par les équipes commerciales de Microsoft.
• Microsoft Entra Suite : les mêmes fonctions de gouvernance, plus Private Access, Internet Access, ID Protection et Verified ID, à 10,40 € HT par utilisateur et par mois. Elle exige P1, et Microsoft propose un tarif spécial aux clients P2 et E5.

Le prérequis doit rester actif. Microsoft prévient que s'il expire, les scénarios Entra ID Governance « might not function as expected » (risquent de ne plus fonctionner comme prévu), selon ses fondamentaux des licences mis à jour le 29 juillet 2026.

Qui doit être licencié : la règle du périmètre

Microsoft ne compte pas les personnes qui cliquent. Il compte les utilisateurs membres auxquels une fonction s'applique. Le tenant doit détenir au moins autant de licences que d'utilisateurs membres gouvernés, y compris ceux qui ont ou peuvent demander un accès aux applications, qui l'approuvent ou qui le révisent (Microsoft Learn). Les licences n'ont pas à être attribuées nominativement, mais leur nombre doit correspondre au périmètre.

C'est là que la plupart des fils de discussion se trompent. La question « How does licensing work with entitlement management? » revient sans cesse sur r/entra, parce que la réponse dépend du périmètre et non de l'usage. Les exemples de Microsoft tranchent :

Pour une PME ou une ETI, la conséquence est simple : une revue d'accès trimestrielle à l'échelle de l'entreprise, ou un workflow de départ qui s'applique à tous, fait entrer tout l'effectif dans le périmètre.

Les invités sont facturés à part

Les licences des salariés ne couvrent pas les invités professionnels, c'est-à-dire les utilisateurs externes (partenaires, prestataires, clients) invités dans votre tenant. Les actions de gouvernance sur les invités sont facturées par utilisateur actif mensuel (MAU) via l'add-on Microsoft Entra ID Governance for guests, qui impose de lier le tenant à un abonnement Azure. Microsoft applique cette liaison depuis janvier 2026, et la facturation concerne chaque invité gouverné, y compris dans les 50 000 premiers MAU offerts par External ID. Les fonctions P2 utilisées sur des invités ne sont pas facturées (page sur les licences invités, mise à jour le 23 septembre 2026).

Microsoft Entra ID Governance est-il inclus dans E5 ?

Non. Microsoft 365 E5 inclut Microsoft Entra ID P2, et P2 n'est pas Entra ID Governance. Les tenants E5 conservent les fonctions de gouvernance déjà présentes dans P2 (revues d'accès de base, packages d'accès, PIM), mais il leur faut le Step Up for Microsoft Entra ID P2 pour débloquer les workflows de cycle de vie, les recommandations de revue par machine learning, la découverte de comptes et les autres fonctions propres à Governance.

Microsoft est explicite sur la trajectoire. Toutes les fonctions P2 disponibles restent en place, « but no new Identity Governance & Administration (IGA) features or capabilities will be added to the Microsoft Entra ID P2 SKU » : aucune nouvelle fonction IGA ne sera ajoutée à P2. Chaque nouveauté de gouvernance sort désormais dans l'add-on Governance ou dans Entra Suite. En haut de gamme, Microsoft Learn indique que Microsoft 365 E7 inclut toutes les fonctions ID Governance via Entra Suite et Agent 365.

Combien coûte Entra ID Governance pour une entreprise de 100 à 500 salariés ?

Au prix catalogue, une entreprise déjà équipée de P1 paie 73,20 € HT par utilisateur et par an pour Entra ID Governance, soit environ 18 300 € HT par an pour 250 salariés dans le périmètre. Sans P1, le ticket d'entrée double, puisqu'il faut d'abord acheter P1.

Vérifiez les chiffres qu'on vous présente. Beaucoup de guides et de réponses de forum citent encore d'anciens prix : un fil r/AZURE hésite entre « Entra ID P2 at $9 or Microsoft Entra ID Governance at $7 per user and month ». La page tarifaire Microsoft France, consultée le 28 septembre 2026, affiche P1 à 6,10 €, P2 à 8,70 €, Entra ID Governance à 6,10 € et Entra Suite à 10,40 € HT par utilisateur et par mois, en paiement annuel. Budgétez sur les chiffres actuels et revérifiez-les avant de signer.

Deux paramètres font bouger ces montants. Les remises partenaires et les contrats d'entreprise baissent le prix catalogue. Le périmètre réduit l'effectif concerné : si la gouvernance ne couvre qu'une équipe finance de 40 personnes qui demandent trois applications, seuls ces utilisateurs et leurs approbateurs ont besoin d'une licence. Le problème, c'est que les contrôles demandés en audit, comme les revues d'accès à l'échelle de l'entreprise et l'automatisation des départs, s'appliquent à tout le monde.

Et ce budget ne couvre que les applications qu'Entra voit. Si l'arbitrage est difficile à défendre pour une petite équipe IT, comparez-le à une gouvernance des identités pensée pour les équipes IT des PME et ETI, qui s'appuie sur Entra ID au lieu de le remplacer.

Quelles applications Entra ID Governance peut-il vraiment gouverner ?

Entra ID Governance gouverne pleinement une application quand l'une de deux conditions est remplie : Entra ID est le seul fournisseur d'identité de l'application, si bien que seuls les utilisateurs affectés dans Entra peuvent s'y connecter, ou Entra provisionne et désapprovisionne les comptes de l'application, via SCIM, Microsoft Graph ou des groupes Active Directory. Hors de ces conditions, la documentation de Microsoft précise que la gouvernance des identités « can still be used », tout en reconnaissant que « there may be some limitations » (Microsoft Learn).

Ces limites résument toute la question pour un parc SaaS de PME ou d'ETI. La matrice associe les types d'applications courants à ce que l'add-on en fait.

Que deviennent les applications sans SCIM ni SSO ?

La réponse de Microsoft pour les applications déconnectées s'appelle la ressource à données personnalisées (custom data provided resource), toujours en préversion (documentation datée du 12 mars 2026). Elle permet d'inclure une application dans une revue d'accès en important ses données d'accès, avec quatre contraintes :

• jusqu'à 10 fichiers CSV par revue, importés à la main, via Microsoft Graph ou via une Logic App ;
• une fenêtre de deux heures pour terminer l'import une fois la revue passée à l'état Initializing ;
• des revues à une seule étape, avec les managers des utilisateurs comme seuls réviseurs ;
• une licence Entra ID Governance ou Entra Suite pour les utilisateurs du périmètre.

Cela fonctionne pour quelques applications sensibles. Cela ne passe pas à l'échelle de la longue traîne, et cela ne fait rien pour les applications que personne n'a déclarées. Or cette longue traîne est plus longue que ne le laissent croire la plupart des inventaires. Quand Satelia, entreprise de télésurveillance cardiaque de 70 salariés, a connecté Corma pendant la préparation de ses certifications ISO 27001 et SOC 2, elle a découvert 160 applications, bien au-delà des 30 identifiées dans ses rapports manuels.

La vraie question n'est donc pas de savoir si vous aurez des applications non gouvernées. Vous en avez déjà. Pour la mécanique des départs sur ces outils, voir notre guide sur la gestion du cycle de vie des identités pour les applications sans SCIM, SAML ni SSO.

L'angle mort des PME et ETI

L'écart ne se trouve pas dans la liste des fonctionnalités. Il apparaît là où les hypothèses de Microsoft (une équipe IAM, un parc applicatif largement intégré, un budget de licences qui suit l'effectif) rencontrent une entreprise de 50 à 500 personnes pilotée par une petite équipe IT.

1. Un calcul de licences sur tout l'effectif. Les contrôles à l'échelle de l'entreprise mettent chaque membre dans le périmètre : le coût suit l'effectif, pas le nombre d'applications à risque.
2. Une longue traîne d'applications sans SCIM. Chaque application dépourvue de SCIM dans l'offre réellement achetée tombe dans les lignes trois et quatre de la matrice, où le travail reste manuel.
3. Aucune vision des dépenses de licences. Entra sait qui est affecté à une application d'entreprise. Il ne sait pas quelles licences payantes dorment dans cette application, ni quel contrat se renouvelle le mois prochain.
4. Des preuves d'audit avec 30 jours de mémoire. Microsoft Entra conserve les événements d'audit jusqu'à 30 jours, et Microsoft recommande de les router vers Azure Monitor pour garder l'historique (Microsoft Learn). En France, la recommandation de la CNIL sur la journalisation préconise une traçabilité des accès conservée entre six mois et un an : c'est une brique Azure de plus à configurer et à payer avant un audit ISO 27001 ou une mise en conformité NIS2, comme le rappelle notre checklist de conformité NIS2 pour les équipes IT.
5. Conception et maintenance. Catalogues, packages d'accès, workflows de cycle de vie et extensions Logic Apps sont puissants, mais quelqu'un doit les concevoir puis les tenir à jour à mesure que l'entreprise évolue.

Héloïse Rozès, cofondatrice et CEO de Corma, décrivait ce schéma lors de l'annonce de la levée d'amorçage de l'entreprise, le 8 décembre 2025 :

« Nous voyons partout des équipes submergées par le nombre d'applications qu'elles doivent gérer chaque jour. Elles perdent de l'argent de tous côtés et passent leurs journées sur des tâches opérationnelles au lieu des projets stratégiques. »Héloïse Rozès, cofondatrice et CEO de Corma (PR Newswire, décembre 2025, traduit de l'anglais)

Que remontent les équipes IT qui l'ont essayé ?

Les discussions publiques font ressortir trois frictions récurrentes : la confusion sur les licences, l'effort de mise en œuvre et la couverture au-delà de Microsoft. Ce sont des témoignages individuels, pas une enquête, mais ils recoupent les questions que les PME et ETI apportent à un projet de gouvernance.

• Quelle référence acheter ? « Could you clarify whether we need to purchase P2 licenses, Microsoft Entra ID Governance, or Microsoft Entra Suite? » demande un administrateur sur r/AZURE.
• L'effort. « Currently implementing Entra ID Governance and it's a nightmare » (le déploiement est un cauchemar), écrit un praticien qui compare des outils IGA sur r/IdentityManagement.
• La couverture. Des fils comme « CMV: Why do I need Microsoft Entra AND Sailpoint? » montrent que certaines équipes associent encore Entra à un second outil de gouvernance pour atteindre les applications hors Microsoft.

Add-on Entra ID Governance ou couche de gouvernance au-dessus d'Entra ID ?

Le choix n'oppose pas Entra à autre chose : Entra ID reste votre fournisseur d'identité dans les deux cas. La question est de savoir si la gouvernance vit dans Entra, licenciée par utilisateur membre du périmètre, ou dans une couche qui lit Entra et couvre aussi ce qu'Entra ne voit pas.

Quand l'add-on Microsoft est-il le bon choix ? Quand l'essentiel de vos accès critiques vit dans Microsoft 365, Azure et des applications intégrées à Entra, quand vous avez besoin de rôles d'administration juste-à-temps ou de rôles métier SAP dans les packages d'accès (en préversion), et quand quelqu'un dans l'équipe peut porter catalogues et workflows. Certaines équipes font les deux : PIM et packages d'accès côté Microsoft dans Entra, et une couche transverse pour tout le reste.

Comment Corma comble l'écart au-dessus d'Entra ID

Corma se connecte à Entra ID comme source des identités et étend la gouvernance à toutes les applications utilisées par vos équipes, y compris celles qu'Entra ne voit jamais. La plateforme réunit gestion SaaS et gouvernance des identités, si bien que le même inventaire alimente les revues d'accès, les départs et les décisions de licences.

• Un inventaire applicatif complet. La découverte via Entra ID et l'extension navigateur fait remonter la shadow IT avant qu'un auditeur ou votre équipe sécurité ne pose la question.
• Des revues d'accès sur toutes les applications. Les campagnes de revue d'accès automatisées incluent les outils sans SCIM et produisent la piste d'audit attendue par ISO 27001, SOC 2 et NIS2.
• Arrivées, mobilités et départs au-delà de Microsoft. Quand les RH saisissent une date de départ, chaque compte est désactivé, y compris ceux qu'Entra ne sait pas désapprovisionner.
• Maîtrise des licences et des dépenses. Vous voyez quelles licences dorment, qui les détient et ce qui se renouvelle ensuite, puis vous les récupérez.
• Européen par conception. Données hébergées dans l'UE, certification ISO/IEC 27001:2022, et présence dans le Magic Quadrant Gartner 2025 des plateformes de SaaS Management.

« Sans ces informations, nous n'aurions pas pu avancer sur les certifications ISO 27001 et SOC 2. »Eriel Cruz, Technical Project Manager, Satelia (traduit de l'anglais)

« Corma m'aide énormément dans tous les aspects de la détection des applications et de la gestion automatique. »Jean-Marie Drucot, IT Manager et RSSI, APGAR

FAQ

Microsoft Entra ID est-il gratuit ?

Oui, dans sa version de base. Microsoft Entra ID Free est inclus dans les abonnements cloud Microsoft comme Microsoft 365 et Azure, et couvre le SSO, l'authentification multifacteur et la gestion des utilisateurs. Les revues d'accès de base commencent avec P2, et les workflows de cycle de vie ou les revues avancées exigent l'add-on Entra ID Governance.

Quels sont les différents types de licences Microsoft Entra ID ?

Microsoft Entra ID existe en Free, P1 (6,10 € HT par utilisateur et par mois) et P2 (8,70 €). La gouvernance se vend en plus, sous forme de Microsoft Entra ID Governance (6,10 €) ou au sein de Microsoft Entra Suite (10,40 €). P1 est inclus dans Microsoft 365 Business Premium et E3, P2 dans Microsoft 365 E5 (prix catalogue France, septembre 2026).

À quoi sert la licence Microsoft Entra ID P2 ?

Entra ID P2 ajoute la protection fondée sur le risque avec Microsoft Entra ID Protection, Privileged Identity Management, ainsi que les fonctions de base de revue d'accès et de gestion des droits. Elle n'inclut ni les workflows de cycle de vie ni les nouvelles fonctions de gouvernance, qui exigent Microsoft Entra ID Governance.

Quelles entreprises utilisent Entra ID ?

Toute organisation sur Microsoft 365 ou Azure utilise déjà Entra ID, puisque la version Free est fournie avec ces abonnements. Le besoin de l'add-on de gouvernance dépend moins de la taille de l'entreprise que de la part de ses accès qui vit en dehors de Microsoft.

Existe-t-il un essai gratuit de Microsoft Entra ID Governance ?

Oui. Un administrateur général peut lancer un essai depuis le centre d'administration Microsoft 365, dans Facturation puis Acheter des services, si le tenant possède déjà un prérequis comme Entra ID P1 et n'a jamais testé Entra ID Governance. Les tenants P2 lancent plutôt l'essai du produit Step Up.

En bref

Microsoft Entra ID Governance est le bon outil pour les accès qui vivent dans Microsoft. Pour une entreprise de 50 à 500 personnes, la décision tient à deux chiffres que vous pouvez vérifier cette semaine : combien d'utilisateurs membres une revue à l'échelle de l'entreprise ferait entrer dans le périmètre, et combien de vos applications Entra voit réellement. Si le second chiffre est très inférieur à votre nombre réel d'applications, la gouvernance doit commencer par la découverte.