Configurer les plateformes

Ce guide de configuration montre étape par étape comment connecter avec succès Relution à Microsoft Entra/Intune afin de configurer l’accès conditionnel pour les appareils gérés. S’assurer que les prérequis → sont remplis avant de commencer.

Configuration de l’accès conditionnel avec Relution et Entra ID #

Les étapes de configuration suivantes permettent de connecter Relution à Microsoft Entra ID et Microsoft Intune pour activer l’accès conditionnel :

1. D’abord créer une application Entra ID qui valide l’accès du serveur via le microservice Relution.
2. Accorder le consentement à l'application multi-tenant Relution, dont Relution a besoin pour signaler le statut de conformité des appareils à Entra ID.
3. Ajouter Relution comme partenaire de conformité dans Intune.
4. Vérifier que la configuration est correcte.

Chaque étape est déterminante pour la suivante. Effectuer toutes les étapes soigneusement l’une après l’autre et, lorsqu’une vérification est demandée, s’assurer que le message Validation réussie (lors de la synchronisation Synchronisation réussie) est affiché.

Naviguer vers Accès conditionnel #

Une fois Entra ID → correctement configuré et les utilisateurs synchronisés avec succès, il est possible de naviguer vers Accès conditionnel dans les paramètres.

Activer les plateformes : Android Enterprise, iOS et macOS #

L’assistant d’activation des plateformes souhaitées est lancé dans la section Général via Ajouter à côté de Ajouter une connexion.

Assistant (1) : créer une application Entra ID #

Il est également possible d’ignorer cette étape et de réutiliser l’application utilisée lors de la configuration d’Entra ID. Relution recommande toutefois d’utiliser deux applications distinctes afin de séparer les autorisations et les usages.

Créer une nouvelle application Entra ID afin que le microservice Relution puisse vérifier l’accès au locataire. Une simple inscription d’application suffit - une application MDM complète n’est pas nécessaire. L’application doit se trouver dans le même locataire que l’Entra ID configuré. Le bouton Ouvrir Entra ID de l’assistant mène aux inscriptions d’applications Entra ID →. Après la création de l’application, Suivant mène à l’étape suivante, dans laquelle l’ID de l’application (client) est saisi.

Assistant (2) : enregistrer les ID d’application et la clé secrète client #

L’application a également besoin d’une clé secrète client. Créer une telle clé et insérer l’ID de l’application (client) et le Secret du client dans les champs de saisie. Après une vérification réussie via Vérifier, poursuivre avec l’étape suivante.

Assistant (3) : exposer l’API #

En raison de limitations techniques de Microsoft pour la validation des jetons, une API doit être exposée et une portée personnalisée ajoutée. Le bouton Ouvrir l’API Expose de l’assistant ouvre directement la page de paramètres correspondante de l’application Entra. Effectuer les étapes suivantes sur la page de paramètres Exposer une API de l’application Entra :

1. Cliquer sur Ajouter une portée.
2. Saisir les informations requises :
   • Nom de la portée : Relution.Auth
   • Visibilité : activer l’option Administrateurs uniquement
   • Nom d’affichage et description : indications libres possibles, par exemple : Utilisé par Relution pour identifier l'appartenance du locataire.
3. Cliquer sur Ajouter une portée.
4. La portée devrait maintenant être affichée sous Portées définies par cette API.

En haut de la vue Exposer une API dans Entra, une URI d’ID d’application est affichée. La valeur correspondante est sélectionnée dans l’assistant sous Type de champ d’application : api://<ID d'application> pour une application nouvellement créée (étape 1), ou l’URL du serveur Relution (https://<hôte Relution>) si l’application réutilisée provient de la configuration Entra ID. Si l’URI d’ID d’application diffère des deux, l’option Personnalisé est sélectionnée et l’URI d’ID d’application est saisie dans le champ Portée personnalisée.

Assistant (4) : ajouter Relution comme partenaire de conformité dans Intune #

Dans le paramètre Gestion des partenaires de conformité Intune →, Relution doit être ajouté comme partenaire pour chaque plateforme devant être synchronisée. Le bouton Paramètres du partenaire ouvert de l’assistant ouvre directement cette page.

1. Cliquer sur Ajouter un partenaire de conformité.
2. Sélectionner la plateforme à synchroniser (ces étapes peuvent être répétées pour chaque plateforme) : Android, iOS ou macOS. Windows n’est pas configuré ici, mais activé séparément dans Relution (voir la section Prendre en charge la plateforme Windows →).
3. Assigner un groupe d’utilisateurs devant être synchronisé. Il est également possible de sélectionner Ajouter tous les utilisateurs, mais il convient alors de veiller à ne pas s’exclure soi-même par la suite.
   • Remarque : l’option Exclure des groupes n’a actuellement aucun effet.
4. Après avoir vérifié que tout a été correctement sélectionné, cliquer sur Créer.
5. Relution devrait apparaître avec le statut 🔄 Activation en attente pour cette plateforme. Le statut peut différer si ce n’est pas la première configuration.

Pour Android Enterprise et iOS, Relution distribue lui-même l’application Broker Microsoft Authenticator. Pour macOS, la Company Portal App doit être distribuée séparément sur les appareils, par exemple via le Relution Store et une règle, voir Prérequis →.

Assistant (5) : accorder le consentement de l’administrateur #

Accorder à l’application multi-tenant Relution le consentement administrateur requis. Cela permet à Relution de gérer le statut de conformité des appareils Entra ID. Un clic sur le bouton d’ouverture du consentement (libellé Consentement libre dans le portail) enregistre les données saisies jusqu’ici dans l’assistant et ouvre la page de consentement dans un nouvel onglet (celui-ci peut éventuellement être bloqué par le navigateur en tant que fenêtre pop-up). Après un consentement réussi, une page de confirmation affiche le message Success! You can now close this tab. Cet onglet supplémentaire peut alors être fermé. Dans l’assistant, le consentement peut être contrôlé via Vérifier avant de continuer. Si le consentement a déjà été accordé, le bouton Consentement libre est désactivé.

Assistant (6) : synchroniser les groupes Entra ID #

Comme dernière étape, il faut synchroniser les groupes Entra ID. Dans l’étape Synchroniser de l’assistant, la configuration est d’abord vérifiée via Vérifier. Ce n’est qu’après une vérification réussie que Synchroniser les groupes Entra ID devient cliquable ; jusque-là, le bouton est verrouillé et un message signale la vérification manquante. Lors de la synchronisation, Relution s’assure d’une configuration correcte et synchronise les groupes assignés dans Intune à l’étape 4. Pour terminer, l’assistant est fermé via Enregistrer.

Dans les paramètres de Gestion des partenaires de conformité Intune →, Relution devrait maintenant être affiché comme ✅ Actif.

Prendre en charge la plateforme Windows #

Les appareils Windows ne nécessitent ni l’assistant ni de partenaire de conformité dans Intune. Sur la page de paramètres Accès conditionnel, dans la section Windows, un clic sur Activer à côté de Activer l’accès conditionnel pour Windows suffit. La modification est appliquée immédiatement.

Les appareils Windows devraient maintenant synchroniser leur statut avec succès.

Gérer la connexion #

Après la configuration, la page de paramètres Accès conditionnel affiche les zones suivantes :

• Général : Modifier la connexion ouvre à nouveau l’assistant, Supprimer la connexion supprime la connexion. Désactiver l’accès conditionnel empêche l’envoi des mises à jour de conformité à Microsoft, Activer l’accès conditionnel les réactive. Vérifier permet de contrôler la configuration à tout moment.
• Coordonnées du partenaire : Synchroniser les groupes Entra ID lance la synchronisation manuellement, par exemple après des modifications de groupes ou de plateformes dans Intune. Sont également affichés le dernier contact (Dernier battement de cœur), la Dernière synchronisation et les plateformes (Android, iOS, macOS) dont les groupes ont été synchronisés.
• Appareils ayant rencontré des problèmes lors de la dernière synchronisation : liste des appareils concernés avec utilisateur, statut (par ex. La licence intune est manquante) et Dernier message d’erreur. Une fois la cause éliminée, par exemple après l’attribution d’une licence Intune, le transfert est relancé via Synchronisation.

Si la connexion est défectueuse, par exemple en raison d’un consentement administrateur manquant, d’informations d’identification non valides (secret du client expiré), d’une portée Relution.Auth manquante ou d’aucune plateforme liée dans Intune, la page affiche un avertissement. Une fois le problème résolu, les informations du partenaire doivent être à nouveau synchronisées via Synchroniser les groupes Entra ID.

Sujets connexes #

• Présentation de l’accès conditionnel → — prérequis et principes de l’accès conditionnel.
• Lier Microsoft Entra ID → — liaison d’Entra ID et synchronisation des utilisateurs, prérequis de l’accès conditionnel.
• OIDC avec Entra → — connexion des utilisateurs Entra à Relution via OpenID Connect.