Relution Signet Customer Hub

Lier Microsoft Entra ID

En liant Microsoft Entra ID à Relution, la base des intégrations basées sur Microsoft au sein de l’organisation est mise en place. Cela comprend, par exemple, la connexion d’appareils Windows ainsi que l’utilisation d’autres services Microsoft en association avec Relution.

Les utilisateurs et groupes de Microsoft Entra ID peuvent ainsi être synchronisés avec Relution. Cela permet de gérer les comptes utilisateurs de manière centralisée dans Microsoft et de les provisionner automatiquement dans Relution.

Pour que les utilisateurs synchronisés puissent ensuite se connecter via Relution, il faut également configurer l’authentification OIDC →. Si les accès doivent être sécurisés via l’accès conditionnel →, la liaison de Microsoft Entra ID et la configuration d’OIDC → sont toutes deux nécessaires.

Les paramètres nécessaires à cet effet sont configurés en partie dans Relution et en partie dans le centre d’administration Microsoft Entra.

Prérequis

Pour lier Microsoft Entra ID avec Relution, les conditions suivantes doivent être remplies si seuls des utilisateurs de Microsoft Entra ID doivent être synchronisés avec Relution :

  • un environnement Microsoft Entra ID existant
  • des autorisations suffisantes dans Microsoft Entra, en général le rôle Administrateur général
  • un serveur Relution accessible
  • une inscription d’application dans Microsoft Entra

Si Windows Autopilot ou Entra Join doit également être utilisé, les conditions supplémentaires suivantes sont requises :

  • l’URL du serveur Relution, qui sera enregistrée ultérieurement dans Microsoft Entra
  • une application MDM créée

Ouvrir la configuration de la liaison dans Relution

Dans le portail Relution, la zone de configuration se trouve sous Paramètres → Gestion des utilisateurs → Entra ID.

Un assistant accompagne la configuration et la liaison avec Microsoft Entra. Il comprend les étapes Créer une application, ID des applications, Permissions, URI de redirection et Services.

Tuile Entra ID sous Gestion des utilisateurs dans les paramètres Relution

Créer l’application

La première étape, Créer une application, indique que la connexion nécessite une application dans le portail Entra. Le bouton Ouvrir Entra ID ouvre la zone Mobilité (MDM et MAM) dans Microsoft Entra. En dessous, l’assistant Relution affiche les valeurs à saisir dans l’application MDM :

Étape Créer l’application dans l’assistant Relution pour Entra ID

  • Portée de l’utilisateur MDM : requise uniquement pour Windows Autopilot ou l’accès conditionnel. Aucun ignore la portée, Tous inclut tous les utilisateurs du locataire, Certains cible uniquement des utilisateurs sélectionnés. Si plusieurs solutions MDM partagent le même locataire avec Autopilot ou l’accès conditionnel, chaque utilisateur doit être assigné à une seule solution MDM.
  • URL des conditions d’utilisation MDM : https://<host>/api/device/v1/windows/termsOfUse
  • URL de découverte MDM : https://<host>/api/device/v1/windows/discover

L’application MDM est nécessaire pour Windows Autopilot et Entra Join et, selon la remarque du portail, également pour l’accès conditionnel. Sa création et sa configuration (application MDM locale, domaine personnalisé, URL) sont décrites dans l’article Windows Autopilot →.

Pour synchroniser uniquement des utilisateurs et des groupes de Microsoft Entra avec Relution, une inscription d’application standard suffit et cette étape est ignorée avec Suivant. L’inscription d’application peut être créée via le lien suivant : Nouvelle inscription d’application dans Entra →

Configurer les paramètres de l’application

À l’étape ID des applications, les informations suivantes de Microsoft Entra sont transférées dans l’assistant Relution. Elles s’appliquent aussi bien à l’application MDM qu’à une inscription d’application standard :

  1. ID de l’application (client)
  2. ID d’annuaire (locataire)
  3. la valeur de la Clé secrète client (dans Relution, champ Secret du client)

Étape ID d’application de l’assistant Relution avec ID d’application, ID d’annuaire et secret client

Vérifier dans la ligne Vérifier la configuration permet de tester immédiatement si Relution peut se connecter à Microsoft Entra avec ces informations.

Si l’accès conditionnel est déjà configuré pour l’organisation, Relution signale lors de la modification de l’ID d’annuaire (locataire) que le nouveau locataire s’applique également au paramètre d’accès conditionnel. L’ID d’application et le secret de ce paramètre doivent ensuite être vérifiés.

Uniquement pour une application MDM (Windows Autopilot, Entra Join) : l’URI de l’ID d’application est ensuite sélectionné dans les paramètres locaux de l’application MDM pour être modifié. Pour une inscription d’application standard, cette étape et la suivante sont supprimées.

Modifier l’URI de l’ID d’application de l’application MDM Microsoft Entra

Dans la vue suivante, l’URL du serveur correspondante est saisie comme URI de l'ID d'application.

Renseigner l’URL du serveur comme URI de l’ID d’application dans l’application MDM Microsoft Entra

Ensuite, une Clé secrète client est ajoutée sous Certificats et secrets :

  1. Dans l’onglet Clés secrètes client, cliquer sur Nouvelle clé secrète client.
  2. Dans la fenêtre de dialogue Ajouter une clé secrète client, indiquer une description et la durée de validité.
  3. Cliquer sur Ajouter.

Ajouter une clé secrète client sous Certificats et secrets dans Microsoft Entra

La nouvelle entrée est ensuite affichée dans l’aperçu sous l’onglet Clés secrètes client.

Configurer les autorisations API

À l’étape suivante, Permissions, les autorisations API sont configurées. Un bouton de l’assistant ouvre directement les autorisations API de l’application dans Microsoft Entra :

Étape Autorisations de l’assistant Relution avec les autorisations Microsoft Graph requises

Selon les fonctionnalités Microsoft utilisées ultérieurement, il peut être nécessaire d’ajouter d’autres autorisations plus tard.

Les paramètres suivants doivent être effectués dans Microsoft Entra :

  1. Cliquer sous Autorisations API → Autorisations configurées sur Ajouter une autorisation.

  2. Dans la fenêtre de dialogue Demander des autorisations API, sélectionner Microsoft Graph sous API Microsoft.

    Sélectionner Microsoft Graph sous API Microsoft pour les autorisations API dans Microsoft Entra

  3. À l’étape suivante, sélectionner la vignette Autorisations d’application.

    Sélectionner les autorisations d’application pour Microsoft Graph dans Microsoft Entra

  4. Sélectionner l’autorisation User.Read.All pour User.

    Activer l’autorisation User.Read.All pour Microsoft Graph dans Microsoft Entra

  5. Sélectionner l’autorisation Group.Read.All pour Group.

    Activer l’autorisation Group.Read.All pour Microsoft Graph dans Microsoft Entra

  6. Sélectionner l’autorisation Device.ReadWrite.All pour Device et confirmer la sélection avec Ajouter des autorisations.

    Ajouter l’autorisation Device.ReadWrite.All pour Microsoft Graph dans Microsoft Entra

Pour les autorisations API nouvellement ajoutées, un point d’exclamation est d’abord affiché comme statut. Pour que l’application reçoive les autorisations, les administrateurs doivent les confirmer une fois via Accorder un consentement d’administrateur pour « ». Le statut est ensuite affiché avec une coche verte pour Accordé.

Afficher les autorisations API dans Microsoft Entra comme accordées après le consentement de l’administrateur

Vérifier dans la ligne Vérifier les autorisations contrôle si les autorisations ont été accordées. Sans consentement, la vérification signale Permission non accordée.

Définir l’URI de redirection

À l’étape URI de redirection, l’assistant Relution affiche l’URI de redirection qui est ensuite saisie dans Microsoft Entra pour la plateforme Web. Un bouton de l’assistant ouvre la page correspondante de l’application dans Microsoft Entra :

Étape URI de redirection de l’assistant Relution avec l’URI à saisir

  1. Cliquer sous Authentification sur Ajouter une plateforme.

  2. Dans la fenêtre de dialogue Configurer les plateformes, sélectionner la vignette Web.

    Sélectionner Web comme type de plateforme pour l’URI de redirection dans l’inscription d’application Microsoft Entra

  3. Dans la section Web, saisir l’URL du serveur sous Ajouter une URI de redirection.

  4. Désactiver la case Jetons d’ID.

  5. Cliquer sur Enregistrer.

Enregistrer l’URL du serveur comme URI de redirection dans Microsoft Entra et désactiver les jetons d’ID

Vérifier dans la ligne Vérifier les URI de redirection contrôle si l’URL du serveur est enregistrée dans l’application. L’URI saisie doit correspondre exactement à l’URL du serveur affichée, sinon la vérification signale que l’URI de redirection n’est pas présente.

La configuration dans Microsoft Entra est ainsi terminée.

Choisir les options de service Relution et terminer la configuration

L’étape Services définit les services utilisés par Relution. Quatre commutateurs sont disponibles : l’activation de l’inscription Autopilot, la synchronisation des appareils Autopilot, Synchroniser les utilisateurs d’Entra ID et Synchroniser les groupes Entra ID. Pour une nouvelle connexion, les quatre commutateurs sont déjà activés. Si seuls les utilisateurs et les groupes doivent être synchronisés (sans Windows Autopilot ni Entra Join), les deux commutateurs Autopilot sont désactivés.

Étape Services de l’assistant Relution avec les quatre options de synchronisation et Autopilot

En cliquant sur Enregistrer, la configuration et la liaison de Microsoft Entra ID dans Relution sont terminées.

Gérer et synchroniser la connexion

Après l’enregistrement, Paramètres → Gestion des utilisateurs → Entra ID affiche l’aperçu de la Connexion Entra ID avec l’ID de l’application et l’ID d’annuaire. Les fonctions suivantes y sont disponibles :

  • Modifier la connexion : rouvre l’assistant, par exemple pour saisir une nouvelle valeur dans le champ Secret du client après l’expiration de la clé secrète client.
  • Vérifier la connexion : vérifie en une seule étape la connexion, les autorisations et l’URI de redirection.
  • Supprimer la connexion : supprime la liaison avec Microsoft Entra.
  • Section Services : les quatre commutateurs de la configuration peuvent être modifiés ici ultérieurement et appliqués avec Enregistrer.

La section Synchronisation affiche pour chaque synchronisation la Dernière synchronisation, les Nouvelles entrées, les éventuelles erreurs et la Synchronisation suivante. Par défaut, les utilisateurs et les groupes sont synchronisés une fois par jour et les appareils Autopilot toutes les 24 heures.

Une synchronisation peut également être lancée manuellement :

  • La synchronisation des appareils Autopilot récupère les appareils enregistrés dans Windows Autopilot.
  • Synchronisation des utilisateurs et des groupes (dans le menu de la barre d’actions) n’est disponible que si la synchronisation des utilisateurs et celle des groupes sont toutes deux activées. La boîte de dialogue propose un Mode de synchronisation : Modifications uniquement (Recommandé) ne récupère que les utilisateurs et groupes modifiés depuis la synchronisation précédente. Synchronisation complète réimporte tous les utilisateurs et groupes et peut durer très longtemps. Elle n’est utile que si la synchronisation des modifications ne donne pas le résultat attendu.

Dans l’organisation globale, la liaison s’applique à l’ensemble du système, dans une méta-organisation à l’ensemble de la méta-organisation. L’aperçu l’indique sous Étendue du compte. Le mappage d’organisation permet alors d’associer des groupes Entra ID à certaines organisations. Dans ce cas, les commutateurs de synchronisation des utilisateurs et des groupes sont couplés et sont toujours activés ou désactivés ensemble.

Résumé

Une fois ces étapes terminées, Microsoft Entra ID est lié à Relution. Les utilisateurs et groupes de Microsoft Entra ID peuvent ainsi être synchronisés avec Relution, et d’autres fonctionnalités liées à Microsoft peuvent être utilisées.

Pour la connexion des utilisateurs synchronisés à Relution, il faut également configurer l’authentification OIDC →. Cela s’applique également à l’utilisation de l’accès conditionnel.