Configurer mon tenant Entra

Vue d'ensemble

RingSync lit votre annuaire Microsoft Entra ID via Microsoft Graph avec une autorisation application (client_credentials) exécutée côté serveur. Vous connectez votre tenant selon l'un des deux modes :

Shared (recommandé, ~30 secondes) — consentement administrateur en un clic sur l'app multi-tenant RingSync. Rien à enregistrer de votre côté, aucun secret à manipuler.
Custom (~10 minutes) — vous enregistrez votre propre app Entra multi-tenant et collez son client ID et son secret dans le wizard RingSync. Recommandé pour les organisations à politique SecOps stricte qui veulent garder la maîtrise du client ID et du secret.

Quel mode choisir ?

Choisissez Shared sauf si votre politique de sécurité impose de posséder l'enregistrement d'app et son secret. Les deux modes utilisent exactement les mêmes permissions Graph et imposent tous deux que seuls les utilisateurs assignés puissent se connecter.

Prérequis

Un rôle Administrateur général sur le tenant Entra (requis pour accorder le consentement administrateur).
Un compte back office RingSync.
Pour le mode Custom : la capacité d'enregistrer une app et de créer un secret client dans le portail Entra.

Multi-tenant obligatoire en mode Custom

En mode Custom, l'app que vous enregistrez doit être multi-tenant (« Comptes dans n'importe quel annuaire d'organisation »). RingSync rejette les apps single-tenant à l'onboarding.

Permissions Graph utilisées (les deux modes)

RingSync demande ces permissions Application, qui nécessitent un consentement administrateur :

Permission	Type	Pourquoi
`User.Read.All`	Application	Lecture de l'annuaire complet
`GroupMember.Read.All`	Application	Résolution transitive des groupes Entra
`Application.Read.All`	Application	Lecture de `appRoleAssignedTo` (qui peut utiliser l'app) et des métadonnées d'app pour valider l'audience de connexion

Voir Permissions Graph pour la justification complète, l'audit et la révocation.

Mode A — Shared (recommandé)

1. Demander l'installation

Dans le dashboard RingSync, cliquez sur Installer RingSync sur mon tenant. Vous êtes redirigé vers l'écran de consentement administrateur Microsoft.

2. Vérifier et accepter le consentement

L'écran Microsoft liste les permissions demandées :

openid profile email (déléguées) — utilisées pour le login mobile.
User.Read.All, GroupMember.Read.All, Application.Read.All (application) — utilisées par RingSync pour synchroniser l'annuaire.

Cliquez Accept. Un Service Principal de l'app RingSync est créé dans votre tenant, et vous êtes redirigé vers RingSync, qui termine la configuration automatiquement — y compris en positionnant appRoleAssignmentRequired = true sur le service principal.

3. Compléter le nom du tenant

Dans le wizard de finalisation, renseignez le nom affiché aux utilisateurs côté mobile (par exemple le nom de votre entreprise). C'est tout.

Mode B — Custom

1. Enregistrer l'app RingSync dans votre tenant

Ouvrez le portail Azure → Microsoft Entra ID → App registrations → New registration.
Renseignez Name avec RingSync.
Réglez Supported account types sur Accounts in any organizational directory (Multi-tenant).
Laissez Redirect URI vide (l'app mobile utilise l'app d'identité propre à RingSync, pas celle-ci).
Cliquez Register.

Notez l'Application (client) ID et le Directory (tenant) ID.

Ne choisissez pas single-tenant

Si vous sélectionnez un type de compte single-tenant, l'onboarding sera refusé. L'app doit être multi-tenant.

2. Accorder les permissions Microsoft Graph

Dans l'app, allez dans API permissions → Add a permission → Microsoft Graph → Application permissions.
Ajoutez :
- User.Read.All
- GroupMember.Read.All
- Application.Read.All
Cliquez Grant admin consent for <votre tenant> et confirmez.

3. Créer un secret client

Allez dans Certificates & secrets → New client secret.
Renseignez une description (RingSync) et une expiration de 24 mois (le maximum).
Copiez immédiatement la Value du secret — elle n'est affichée qu'une seule fois.

Expiration du secret

Un secret client expire. Le cas échéant, les appels Graph échouent et la sync s'arrête. Notez la date d'expiration et faites tourner le secret avant cette date en en créant un nouveau et en le recollant dans le wizard. La rotation automatique des secrets custom n'est pas disponible en v1.

4. Saisir la configuration dans RingSync

Dans le dashboard RingSync, choisissez Configuration manuelle (Custom) et collez :

Directory (tenant) ID
Application (client) ID
Value du secret client

RingSync valide la configuration en appelant Graph, stocke le secret chiffré dans son vault, positionne appRoleAssignmentRequired = true sur le service principal, et exécute un premier pull de appRoleAssignedTo.

Autoriser les utilisateurs pouvant utiliser RingSync (les deux modes)

Seuls les utilisateurs assignés à l'application d'entreprise RingSync peuvent se connecter — Entra ne délivre de token qu'aux utilisateurs assignés grâce à appRoleAssignmentRequired = true.

Dans le portail Azure, allez dans Enterprise applications → RingSync → Users and groups.
Cliquez Add user/group et sélectionnez des utilisateurs individuels, ou un groupe Entra (Microsoft 365 ou Security).
Cliquez Assign.

RingSync découvre ces assignations via un pull en arrière-plan toutes les 15 minutes. Pour forcer immédiatement, cliquez Refresh sur la page Utilisateurs du dashboard RingSync.

Assignation par groupe vs filtrage par groupe

Assigner un groupe ici contrôle qui peut utiliser l'app. Choisir quels membres de quels groupes sont réellement synchronisés vers les téléphones (ou exclus) est une fonctionnalité distincte, réservée aux plans Pro et supérieurs — voir Sélection et exclusion de groupes.

Vérifier la connexion

Dans Enterprise applications → RingSync → Properties, vérifiez que Assignment required? est sur Yes.
Dans la page Utilisateurs de RingSync, vérifiez que vos utilisateurs assignés apparaissent dans la liste des autorisations après un refresh.
Depuis un téléphone avec un compte assigné, ouvrez l'app mobile, tapez Continuer avec Microsoft, et vérifiez que l'annuaire apparaît et qu'une première sync réussit.

Dépannage

Un utilisateur ne peut pas se connecter / ne voit aucun annuaire — il n'est pas assigné à l'app d'entreprise RingSync, ou le pull des assignations n'a pas encore tourné. Assignez-le et cliquez Refresh.
Onboarding refusé en mode Custom — l'app enregistrée est single-tenant. Réenregistrez-la en multi-tenant.
La sync cesse de fonctionner après plusieurs mois — le secret client custom a probablement expiré. Créez un nouveau secret et resaisissez-le dans le wizard.
Les permissions semblent insuffisantes — vérifiez que le consentement administrateur a bien été accordé pour les trois permissions application (pas seulement ajoutées). Voir Permissions Graph.

Cette page vous a-t-elle été utile ?