Microsoft Entra ID

Un administrateur Microsoft Entra ID connecte son annuaire à RingSync, avec le consentement administrateur ou avec sa propre application, puis assigne les personnes qui recevront l'annuaire.

Choisir la méthode

RingSync lit votre annuaire depuis ses serveurs, en lecture seule. Le formulaire Connecter un annuaire propose deux méthodes.

Les deux méthodes demandent les mêmes trois autorisations en lecture seule. Choisissez la saisie manuelle si votre politique de sécurité exige que l'inscription d'application et son secret vous appartiennent. Détail des autorisations : Autorisations Microsoft.

Prérequis

• Un compte RingSync avec le rôle Propriétaire ou Admin.
• Connexion à Microsoft : un compte du tenant qui peut accorder le consentement administrateur à une application. Ce compte doit être membre du tenant, pas invité.
• Saisie manuelle : le droit de créer une inscription d'application et un secret client, et celui d'accorder le consentement administrateur.
• Pour assigner des personnes ou des groupes : le droit d'assigner des utilisateurs à une application d'entreprise dans Entra.

Méthode 1 : Connexion à Microsoft (recommandée)

1. Dans le tableau de bord RingSync, cliquez sur Connecter un annuaire.
2. À l'étape Nom, saisissez le Nom de l'annuaire.
3. À l'étape Fournisseur d'annuaire, choisissez Microsoft Entra ID.
4. À l'étape Application Microsoft Entra ID, choisissez Connexion à Microsoft.
5. Cliquez sur Se connecter à Microsoft.
6. Sur la page Microsoft, connectez-vous avec un compte administrateur du tenant à connecter.
7. Vérifiez les trois autorisations en lecture seule affichées, puis acceptez. Microsoft ajoute l'application de RingSync aux applications d'entreprise de votre tenant.
8. Si RingSync vous le demande, connectez-vous avec Microsoft sur ce tenant avec un compte membre, pas invité.
9. Vous arrivez sur le Tableau de bord de l'annuaire. RingSync a déjà lu une première fois les assignations.

L'étape 8 n'apparaît que si l'adresse email confirmée de votre compte RingSync n'est pas celle d'un membre actif du tenant. Voir « Détails techniques » plus bas.

Avec cette méthode, l'application apparaît dans les applications d'entreprise de votre tenant sous le nom « RingSync Graph Access ».

Méthode 2 : Saisie manuelle

Créer l'inscription d'application

1. Ouvrez portal.azure.com, puis Microsoft Entra ID → App registrations → New registration.
2. Nommez l'application RingSync.
3. Dans Supported account types, choisissez Accounts in any organizational directory (Multi-tenant).
4. Laissez l'URI de redirection vide : elle n'est pas nécessaire.
5. Validez l'inscription.

Ajouter les autorisations

1. Ouvrez API permissions → Microsoft Graph → Application permissions.
2. Ajoutez User.Read.All, GroupMember.Read.All et Application.Read.All.
3. Cliquez sur Grant admin consent pour votre tenant.

Créer le secret client

1. Ouvrez Certificates & secrets → New client secret. La durée maximale est de 24 mois.
2. Copiez tout de suite la Value : elle ne sera plus affichée.

Relever les identifiants

Dans Overview, copiez l'Application (client) ID et le Directory (tenant) ID.

Connecter l'annuaire dans RingSync

1. Dans RingSync, cliquez sur Connecter un annuaire, saisissez le Nom de l'annuaire, choisissez Microsoft Entra ID, puis Saisie manuelle.
2. Dans Microsoft Tenant ID, collez le Directory (tenant) ID.
3. Dans Client ID, collez l'Application (client) ID.
4. Dans Client Secret, collez la Value du secret.
5. Cliquez sur Tester la connexion et attendez Connexion réussie. RingSync vérifie auprès de Microsoft Graph que ces identifiants fonctionnent, sans rien enregistrer.
6. Cliquez sur Connecter l'annuaire.

RingSync enregistre le secret chiffré, relève sa date d'expiration et lit une première fois les assignations, puis vous amène sur le tableau de bord de l'annuaire.

Exiger l'affectation dans Entra

À la connexion, RingSync tente de régler son application d'entreprise pour qu'Entra refuse les utilisateurs qui n'y sont pas assignés. Si Microsoft refuse ce réglage, la connexion aboutit quand même.

1. Dans Entra, ouvrez l'application d'entreprise RingSync : « RingSync Graph Access » avec Connexion à Microsoft, le nom que vous avez choisi avec Saisie manuelle.
2. Ouvrez ses propriétés.
3. Activez l'option qui exige l'affectation des utilisateurs, puis enregistrez.

Ce réglage ne décide pas qui utilise RingSync : l'accès à l'app mobile dépend du siège RingSync, calculé à partir des assignations.

Définir qui a accès

Une personne peut se connecter à l'app et recevoir l'annuaire si elle est assignée à l'application d'entreprise RingSync, directement ou par un groupe. Chaque personne assignée occupe un siège.

1. Dans RingSync, ouvrez Paramètres → Qui a accès, puis cliquez sur Ouvrir dans Entra ID.
2. Dans Entra, assignez à l'application les utilisateurs ou les groupes qui doivent utiliser RingSync.
3. Pour appliquer les assignations tout de suite, revenez dans RingSync et cliquez sur Actualiser maintenant. Vous pouvez aussi cliquer sur Synchroniser depuis l'annuaire, sur la page Utilisateurs.

RingSync relit les assignations toutes les 15 minutes.

• Groupes imbriqués : RingSync compte comme sièges tous les membres d'un groupe assigné, y compris ceux des groupes imbriqués.
• Limite du plan : au-delà du nombre de sièges de votre offre, les personnes en trop n'obtiennent pas de siège et le bandeau « Limite de plan atteinte » s'affiche. Voir Sièges et limites.
• Retirer quelqu'un : retirez son assignation dans Entra, car le tableau de bord ne permet pas de retirer un siège qui vient de l'annuaire. Au passage suivant, 15 minutes au plus tard, le siège est révoqué et les téléphones de la personne purgent les contacts de l'annuaire. Voir Sécurité et données.

Remplacer le secret client

Cette section concerne la Saisie manuelle. Avec Connexion à Microsoft, vous n'avez aucun secret à gérer.

Quand le secret client expire, RingSync ne peut plus lire l'annuaire et les synchronisations échouent. RingSync ne renouvelle pas le secret à votre place.

• La date d'expiration s'affiche dans Paramètres, sur la carte de configuration de l'annuaire.
• La carte Connexion à l'annuaire du tableau de bord affiche « Le secret client expire dans … » dans les 30 jours qui précèdent l'échéance.
• 30 jours avant l'expiration, les propriétaires et administrateurs reçoivent un email, sauf ceux qui ont désactivé Recevoir les alertes opérationnelles dans leur profil.

Pour remplacer le secret :

1. Dans votre inscription d'application, ouvrez Certificates & secrets → New client secret et copiez la Value.
2. Dans RingSync, ouvrez Paramètres → Remplacer le secret client. Le bouton Remplacer le secret de la carte Connexion à l'annuaire mène au même endroit.
3. Collez la valeur dans le champ Nouveau secret client, puis cliquez sur Remplacer.
4. Attendez le message « Secret remplacé. Les prochaines synchronisations l'utiliseront. »

RingSync valide le secret auprès de Microsoft avant de l'enregistrer. S'il est refusé, l'ancien reste en place. La connexion, les sièges et l'historique sont conservés.

Vérifier la connexion

1. Dans Tableau de bord → Connexion à l'annuaire, l'état est Opérationnelle et le message est « RingSync lit votre annuaire normalement. ».
2. La page Utilisateurs liste les personnes assignées.
3. Dans Entra, l'exigence d'affectation de l'application d'entreprise est activée.
4. Sur le téléphone d'une personne assignée, elle touche Se connecter avec Microsoft, l'annuaire apparaît, puis la première synchronisation réussit.

Dépannage

Détails techniques

• Deux applications Microsoft distinctes. L'application qui lit l'annuaire est « RingSync Graph Access » avec Connexion à Microsoft, ou votre propre inscription avec Saisie manuelle. La connexion des collaborateurs dans l'app mobile passe par une autre application, « RingSync Identity », qui demande seulement openid profile email et n'a aucun accès à Microsoft Graph.
• Autorisations d'application. User.Read.All, GroupMember.Read.All et Application.Read.All, qui exigent le consentement administrateur. RingSync appelle Graph avec son propre jeton d'application, sans utilisateur connecté.
• Preuve d'appartenance. Le tenant renvoyé par le consentement administrateur n'est pas signé, et l'application partagée peut rester installée chez un ancien client. Avant toute écriture, RingSync vérifie donc que l'installateur fait partie du tenant : soit son adresse email RingSync confirmée est le mail ou le nom d'utilisateur principal d'un membre actif du tenant, soit il se connecte avec Microsoft sur ce tenant et le jeton d'identité doit désigner un membre, pas un invité. Un alias de messagerie ne correspond pas à la première vérification : la seconde s'applique alors.
• Exigence d'affectation. RingSync tente de mettre appRoleAssignmentRequired à true sur le principal de service, dans les deux méthodes. Un échec n'interrompt pas la connexion.
• Sièges. Ils viennent des assignations (appRoleAssignedTo) de l'application d'entreprise ; les groupes assignés sont développés avec leurs membres transitifs.