Connexion avec Microsoft

Avec «Connexion avec Microsoft», le personnel d’une organisation se connecte avec son compte Microsoft, sans mot de passe supplémentaire. Son rôle dans Regalzeile suit ses groupes dans Microsoft Entra ID, l’annuaire de l’organisation. La connexion fait partie de l’offre pour les organisations ; seul le propriétaire voit le bloc dans les Paramètres. La mise en place comporte deux parties : l’informatique de l’organisation crée une fois une application dans le centre d’administration Microsoft Entra et remet les valeurs au propriétaire ; le propriétaire les saisit dans Regalzeile.

Pour l’informatique de votre organisation

1. Dans le centre d’administration Microsoft Entra, ouvrir «Entra ID» → «Inscriptions d’applications» → «Nouvelle inscription». Nom, par exemple «Regalzeile», type de compte «Comptes dans cet annuaire d’organisation uniquement». Comme URI de redirection, choisir le type «Web» et saisir https://regalzeile.ch/api/auth/entra/callback (Regalzeile l’affiche dans le bloc sous «URI de redirection», à copier).
2. Sur la page de présentation de l’application, noter l’«ID d’application (client)» (c’est l’ID client) et l’«ID de l’annuaire (locataire)» (c’est l’ID du locataire).
3. Sous «Certificats et secrets», créer un «Nouveau secret client» et choisir une durée (24 mois au maximum). Copier tout de suite la valeur ; Microsoft ne l’affiche plus ensuite. Noter la date d’expiration.
4. Sous «Autorisations d’API», les autorisations déléguées openid, profile et email de «Microsoft Graph» doivent figurer (c’est en général déjà le cas). Puis «Accorder le consentement administrateur».
5. Sous «Configuration des jetons», ajouter une revendication de groupes : «Groupes affectés à l’application», pour le jeton d’ID sous forme d’ID de groupe.
6. Sous «Entra ID» → «Groupes», créer trois groupes de sécurité ou choisir des groupes existants : un pour les propriétaires, un pour les membres, un pour les lecteurs. Noter l’ID d’objet de chacun.
7. Sous «Applications d’entreprise», ouvrir l’application «Regalzeile». Sous «Propriétés», régler «Affectation requise ?» sur «Oui». Sous «Utilisateurs et groupes», affecter les trois groupes à l’application.
8. Remettre au propriétaire de Regalzeile : l’ID du locataire, l’ID client, le secret client (la valeur de l’étape 3), la date d’expiration et les trois ID de groupe.

Pour le propriétaire

1. Ouvrez les Paramètres et cherchez le bloc «Connexion avec Microsoft». Il n’apparaît que dans la formule pour les organisations et seulement pour le propriétaire.
2. Saisissez «ID du locataire», «ID client» et «Secret client», sous «Secret valable jusqu’au» la date d’expiration (pour que Regalzeile vous le rappelle à temps) et sous «Domaines e-mail» les domaines de votre organisation, un par ligne, par exemple tribunal.ch. Seuls les domaines vérifiés dans le locataire Microsoft de votre organisation peuvent être saisis ; Regalzeile le vérifie auprès de Microsoft à l’enregistrement.
3. Saisissez les ID de groupe : «ID du groupe lecteur» est obligatoire, «ID du groupe propriétaire» et «ID du groupe membre» sont facultatifs. Qui ne figure dans aucun des groupes saisis ne peut pas entrer.
4. Enregistrez. Regalzeile n’affiche plus jamais le secret ensuite ; laisser le champ vide signifie «inchangé».
5. Cliquez sur «Vérifier la connexion» et connectez-vous chez Microsoft. Regalzeile vous montre une vérification avec votre adresse, indique si le locataire correspond, si le domaine est saisi, quels groupes figurent dans le jeton et quel rôle en découle. La vérification ne modifie rien : aucun compte, aucune adhésion et aucune nouvelle session ne sont créés.
6. Transmettez le «Lien pour votre intranet». Il ressemble à ceci, avec votre domaine à la fin : https://regalzeile.ch/login/microsoft/tribunal.ch. Il ouvre une page avec le bouton «Se connecter avec Microsoft», qui mène directement chez Microsoft.

Comment le personnel se connecte

Sur la page de connexion, la personne saisit son adresse. Si le domaine relève d’une configuration, le bouton «Se connecter avec Microsoft» apparaît sous les autres modes de connexion. Qui utilise le lien d’intranet voit une page avec exactement ce bouton. Si l’appareil est déjà connecté chez Microsoft, la suite se passe sans mot de passe (authentification unique). La première fois, Regalzeile crée le compte ; aucune invitation n’est nécessaire. En cliquant sur «Se connecter avec Microsoft», la personne accepte les conditions d’utilisation et la politique de confidentialité, liées sous le bouton, comme avec Google. Le mot de passe, Google et Apple restent possibles à côté, et les invitations fonctionnent toujours, par exemple pour des personnes extérieures.

Rôle et «via Microsoft»

Le rôle vient des groupes : qui est dans le groupe propriétaire devient propriétaire, sinon le groupe membre s’applique, sinon le groupe lecteur. Avec plusieurs groupes, le rôle le plus élevé compte. À chaque connexion, Regalzeile réconcilie le rôle : si quelqu’un change de groupe dans Entra, le rôle change à la connexion suivante. Dans la liste des membres, sous Paramètres, ces personnes portent la mention «via Microsoft» au lieu du choix du rôle ; le rôle se change dans Entra, pas dans Regalzeile. Si vous retirez une personne de la liste, son adhésion est recréée à la connexion suivante tant qu’elle appartient à un groupe. L’accès à chaque collection reste dans Regalzeile : vous continuez à le fixer par membre, et la connexion n’y touche jamais. Plus de détails sous Bibliothèques, rôles, invitations.

Le dernier propriétaire reste propriétaire : si une connexion devait le rétrograder, il garde le rôle, et une note explique que la bibliothèque n’aurait sinon plus de propriétaire.

Au départ d’une personne, Entra seul ne suffit pas : retirée de tous les groupes Regalzeile, elle ne peut plus se connecter avec Microsoft, mais garde son adhésion, sa session en cours et un éventuel accès par mot de passe, Google ou Apple. Retirez donc aussi la personne de la liste des membres dans les Paramètres.

Quand la connexion échoue

La page de connexion indique le motif ; voici les sept cas avec leur cause.

• «Aucune connexion avec Microsoft n’est configurée pour ce domaine de messagerie.» Le domaine ne figure dans aucune configuration, ou la configuration a été supprimée. Vérifiez «Domaines e-mail».
• «La connexion avec Microsoft n’est plus disponible pour cette organisation.» La configuration existe, mais la formule de la bibliothèque n’inclut plus la connexion avec Microsoft.
• «… appartient à un autre annuaire Microsoft …» Le compte vient d’un autre locataire que celui saisi sous «ID du locataire».
• «Microsoft n’a transmis aucune adresse e-mail …» Le compte n’a pas d’adresse e-mail dans Entra. L’informatique doit en ajouter une.
• «L’adresse e-mail … ne fait pas partie des domaines …» Le domaine de l’adresse manque sous «Domaines e-mail».
• «… n’appartient à aucun groupe Regalzeile.» La personne ne figure dans aucun des groupes saisis, ou les groupes manquent dans le jeton. Vérifiez les ID de groupe, l’affectation des groupes à l’application et la revendication de groupes «Groupes affectés à l’application».
• «La connexion avec Microsoft a échoué.» Microsoft a refusé ou interrompu, ou le déroulement a été trop lent (il dure dix minutes au plus). Cause la plus fréquente : un secret client erroné ou expiré. «Vérifier la connexion» le montre.

Le secret expire

Si vous avez saisi une date sous «Secret valable jusqu’au», Regalzeile envoie un e-mail à tous les propriétaires 30 jours avant. Créez alors dans Entra, sous «Certificats et secrets», un nouveau secret, saisissez la valeur sous «Secret client» ainsi que la nouvelle date, puis enregistrez. Vous pourrez ensuite supprimer l’ancien secret dans Entra. Si le secret expire avant que vous l’ayez remplacé, la connexion échoue avec «La connexion avec Microsoft a échoué.»

Protection des données

À la connexion, Regalzeile reçoit le nom et l’adresse e-mail ainsi que les identifiants du locataire, de la personne et de ses groupes. Regalzeile ne voit jamais de mot de passe Microsoft. L’organisation est responsable du locataire.