Voici quelques suggestions qui peuvent orienter votre choix :
La direction me demande d'interdire l’accès au SI à certains users. effectivement ceux ci ne devront avoir accès qu'aux mails et de l'extérieurs
Vous pouvez passer une GPO qui deny le droit d'ouvrir une session interactive ou une session réseau avec les ordinateurs de votre domaine pour un groupe d'utilisateur, Vous trouverez ce paramètre de GPO dans Ordianteur / Policices / WIndows Settings
/ Local Policies / User Rights Assignement, les paramètres "Deny Log". Restreindre par contre l'accès aux emails via OWA à l'intérieur sera plus compliqué.
'Dautres parts, il me demande aussi d'interdire l’accès au webmail de l'extérieur par défaut et de l'autoriser que sur demande...
Il sera judicieux d'installer un reverse proxy entre internet et les serveurs CAS de type UAG, celui ci poura restreindre l'accès aux webservices via des stratégies qui peuvent prendre des groupes de sécurité AD.
