Connecter Microsoft Entra

Cette page s'adresse à l'administrateur de votre organisation dans Docage et à celui de votre annuaire Microsoft Entra ID. Tout se règle dans l'onglet Connexion de la fiche de l'organisation : choisissez Microsoft Entra ID, puis suivez la liste de contrôle.

Choisir l'application

Application dit quelle application Microsoft Entra voit :

• Application de la plateforme : rien à inscrire chez Microsoft. Un administrateur de votre annuaire y consent une fois, pour toute l'organisation.
• Inscription de la marque : proposée quand la marque sous laquelle votre organisation est servie a inscrit la sienne. Même marche à suivre, au nom de la marque.
• Inscription propre de l'organisation : votre propre application, créée dans le centre d'administration Microsoft Entra.

Pour une inscription propre :

1. Inscriptions d'applications, Nouvelle inscription : les comptes de cet annuaire d'organisation seulement.
2. URI de redirection de type Web : l'Adresse de retour à déclarer chez le fournisseur que montre l'onglet, telle quelle.
3. Certificats et secrets : créez un secret client. Recopiez sa valeur dans Secret de l'application, et sa date de fin dans Échéance du secret : la cloche prévient vos administrateurs 30 jours avant.
4. Recopiez l'ID d'application (client) dans Identifiant de l'application (client), puis cliquez sur Enregistrer l'application.

Rattacher les domaines

Sous Domaines rattachés, l'onglet propose les domaines des adresses de vos utilisateurs, regroupés par annuaire Microsoft. Cochez ceux de votre annuaire. Un domaine se prouve par la découverte de Microsoft : il doit être vérifié dans votre annuaire, et tous les domaines cochés doivent mener au même annuaire. Seules les adresses de ces domaines passent par l'authentification unique.

Connecter l'annuaire

Avec l'application de la plateforme ou celle de la marque, Connecter l'annuaire ouvre une fenêtre chez Microsoft : un administrateur de votre annuaire y consent pour toute l'organisation. Avec une inscription propre, un premier essai réussi suffit.

Dans Applications d'entreprise, ouvrez ensuite l'application, et réglez Affectation requise sur Oui dans ses propriétés : seuls les utilisateurs et les groupes que vous lui affectez entrent dans Docage. Pour que la tuile de l'application dans « Mes applications » mène à la connexion, collez l'Adresse directe de connexion de l'onglet comme URL de la page d'accueil de l'application.

Le rôle d'administrateur et les équipes

Sous Rôle d'administrateur et équipes :

• Le rôle d'administrateur vient du fournisseur : un utilisateur est administrateur de l'organisation quand Microsoft Entra lui donne le rôle dont la valeur est la Valeur du rôle d'administrateur (Administrator par défaut). Avec une inscription propre, créez ce rôle dans Rôles d'application, puis affectez-le dans Applications d'entreprise.
• Les équipes viennent du fournisseur : les groupes de vos utilisateurs deviennent leurs équipes. Avec une inscription propre, ajoutez la revendication des groupes dans Configuration du jeton. Chaque groupe reçu se relie à une équipe dans la grille.

Le dernier administrateur actif n'est jamais retiré, et un compte de secours n'est jamais touché.

Tester, activer, exiger

Tester la connexion fait l'aller-retour complet chez Microsoft avec votre compte, sans ouvrir de session, et montre ce que le jeton a apporté. Sous Activer et exiger, Active propose Continuer avec … sur la page de connexion aux adresses de vos domaines ; Exigée ferme le mot de passe à ces adresses, sauf aux Comptes de secours. Pour exiger, réussissez vous-même un essai dans les dernières 24 heures, et choisissez au moins un compte de secours parmi vos administrateurs.

Approvisionner les comptes

Sous Approvisionnement SCIM, cliquez sur Créer le jeton et copiez-le aussitôt : il n'est montré qu'une fois. Dans Applications d'entreprise, ouvrez l'application, puis Approvisionnement en mode automatique : l'Adresse de base de l'onglet est l'URL du locataire, le jeton est le jeton secret. Microsoft Entra crée, modifie et désactive alors vos comptes sans attendre une connexion, et un départ y est coupé tout de suite. Selon votre licence Microsoft Entra, l'approvisionnement peut ne pas être proposé. Le détail des échanges est dans le guide de l'API.