Autorisations Microsoft

Un administrateur Entra ou un RSSI vérifie ce que RingSync peut faire dans son tenant Microsoft avant d'accorder le consentement, et comment retirer cet accès.

Ce que RingSync demande

RingSync lit les utilisateurs et les groupes de votre annuaire pour construire les contacts des téléphones et calculer qui a accès à l'app. Il ne crée, ne modifie ni ne supprime aucun utilisateur, groupe ou contact de votre annuaire. Les trois autorisations sont de type application et exigent le consentement administrateur : les serveurs de RingSync appellent Microsoft Graph avec le jeton de l'application, sans utilisateur connecté.

Autorisation	Ce qu'elle permet	Pourquoi RingSync en a besoin
`User.Read.All`	Lire les profils des utilisateurs du tenant.	Construire les contacts : prénom, nom, email, téléphones, poste, département, entreprise, état du compte et photo.
`GroupMember.Read.All`	Lister les groupes et lire leurs membres, y compris ceux des groupes imbriqués.	Calculer les sièges des groupes assignés à l'application, appliquer Périmètre de synchronisation et Groupes à exclure, et remplir les listes de groupes du tableau de bord.
`Application.Read.All`	Lire les applications et leurs principaux de service, dont la liste des personnes et groupes assignés.	Savoir qui est assigné à l'application d'entreprise RingSync, donc qui a un siège. En saisie manuelle, vérifier que l'inscription est multi-tenant et lire la date d'expiration de son secret client.

Ces autorisations portent sur l'ensemble du tenant, pas seulement sur les personnes assignées : le périmètre des contacts synchronisés se règle dans RingSync, voir Choisir et exclure des groupes. Les champs lus et écrits sur les téléphones sont listés dans Informations synchronisées.

Lecture de l'annuaire et connexion à l'app : deux applications

La connexion des collaborateurs à l'app mobile passe par une autre application, « RingSync Identity ». Elle demande seulement openid profile email et n'a aucun accès à Microsoft Graph.

Ce que RingSync ne demande pas

RingSync ne demande aucune autorisation d'écriture sur les utilisateurs ou les groupes, aucun accès aux emails, aux agendas ou aux fichiers, et aucune autorisation déléguée qui permettrait d'agir au nom d'un utilisateur. La synchronisation est à sens unique : de l'annuaire vers les téléphones.

Auditer les autorisations

Dans le centre d'administration Entra, ouvrez l'application d'entreprise RingSync : « RingSync Graph Access » avec Connexion à Microsoft, le nom que vous avez choisi avec Saisie manuelle.
Ouvrez la page de ses autorisations.
Vérifiez que la liste des autorisations d'application accordées correspond aux trois ci-dessus.
En saisie manuelle, vérifiez aussi les autorisations de l'API dans l'inscription d'application.

Réduire le périmètre

RingSync utilise chacune de ces trois autorisations. Sans GroupMember.Read.All, il ne peut plus lire les membres des groupes : l'attribution de sièges par groupe et le filtrage par groupe ne fonctionnent plus. Sans Application.Read.All, il ne peut plus lire les assignations, donc il ne sait plus qui a un siège. Sans User.Read.All, il ne peut plus lire les utilisateurs. Il n'existe pas de combinaison plus restreinte qui conserve toutes les fonctionnalités.

Révoquer l'accès

Procédez dans cet ordre pour que les contacts soient aussi retirés des téléphones.

Dans RingSync, ouvrez Paramètres → Zone de danger, cliquez sur Supprimer l'annuaire, puis confirmez avec Supprimer. Les sièges, les synchronisations, les paramètres et les identifiants chiffrés sont supprimés, et les téléphones purgent les contacts de l'annuaire.
Dans Entra, supprimez l'application d'entreprise RingSync, ou révoquez son consentement.
En saisie manuelle, supprimez aussi l'inscription d'application, ou au moins son secret client.

Si vous révoquez seulement dans Entra

RingSync ne peut plus lire l'annuaire : les synchronisations échouent et le retrait d'un siège ne peut plus être détecté. Les contacts déjà présents restent sur les téléphones. Pour les retirer, supprimez l'annuaire dans RingSync (étape 1). Chaque personne peut aussi toucher Retirer les contacts synchronisés dans les paramètres de l'app. La purge a lieu au plus tard à la prochaine ouverture de l'app, et plus tôt si l'app est au premier plan ou si une synchronisation tourne. Voir Sécurité et données.

Détails techniques

Lecture des utilisateurs : /v1.0/users/delta pour la synchronisation, /v1.0/users/{id} et /photo/$value pour un utilisateur et sa photo.
Lecture des groupes : /v1.0/groups pour les listes, /v1.0/groups/{id}/transitiveMembers pour les membres, y compris imbriqués.
Lecture des assignations : /v1.0/servicePrincipals/{id}/appRoleAssignedTo. En saisie manuelle, RingSync lit aussi l'inscription d'application (signInAudience et les dates d'expiration des secrets, jamais leur valeur).
Une tentative de réglage : RingSync tente de mettre appRoleAssignmentRequired à true sur le principal de service de l'application d'entreprise, pour qu'Entra refuse les utilisateurs non assignés. Si Microsoft refuse ce réglage avec ces autorisations, la connexion aboutit quand même et vous l'activez dans Entra. Voir Microsoft Entra ID.
Durée d'un appel : chaque appel à Graph a un délai maximal de 60 secondes côté serveur.

Cette page vous a-t-elle été utile ?