Aller au contenu

Configurer OAuth2 Microsoft (Entra)

Cette page décrit le processus complet permettant à Newapp d'accéder aux boîtes email Microsoft (Exchange Online / Outlook) via OAuth2 : l'inscription et le consentement dans Microsoft Entra (ancien Azure Active Directory), puis la création du compte de messagerie dans l'extranet Logilibres.

Une fois cette configuration terminée, activez OAuth2 dans Newapp en cochant Xoauth lors de la création du compte mail entrant.

Prérequis de la configuration OAuth2 Microsoft

Inscrire l'application dans Microsoft Entra

Cette phase se déroule dans le menu Inscriptions d'applications de Microsoft Entra.

1. Enregistrer l'application

  1. Une fois connecté à Microsoft Entra, ouvrez le menu Entra ID dans la barre latérale, puis Inscriptions d'applications. Cliquez sur Nouvelle inscription pour accéder au formulaire d'enregistrement.

    Barre latérale Microsoft Entra avec le menu Entra ID, Inscriptions d'applications et le bouton Nouvelle inscription mis en évidence

  2. Donnez un nom à l'application (par exemple Newapp), dans Types de comptes pris en charge sélectionnez Plusieurs locataires Entra ID puis Afficher tous les locataires, dans URI de redirection (facultatif) choisissez la plateforme Web et saisissez l'URI principale, puis cliquez sur S'inscrire :

    https://app.logilibres.fr/xoauth-redirecturi

    Formulaire Inscrire une application rempli avec le nom, le type de compte Multilocataire et l'URI de redirection principale

    Pourquoi Multilocataire ?

    Cette option est requise même si votre collectivité utilise un annuaire Azure AD unique. Elle permet à l'application Logilibres de recevoir les autorisations de votre tenant.

    URI Gironde

    Pour les déploiements hébergés sur l'infrastructure Gironde Numérique, remplacez l'URI principale par :

    https://newapp.girondenumerique.fr/xoauth-redirecturi

2. Ajouter les URI de redirection supplémentaires

Rendez-vous dans Authentication (Preview), puis sur la ligne Web, cliquez sur Modifier. Ajoutez les URI suivantes selon votre déploiement, puis cliquez sur Configurer :

https://newapp.logilibres.fr/xoauth-redirecturi

https://beta.logilibres.fr/xoauth-redirecturi

Panneau Modifier l'URI de redirection dans Authentication (Preview), avec le menu, le lien Modifier et le bouton Configurer mis en évidence

URI Gironde

Pour les déploiements hébergés sur l'infrastructure Gironde Numérique, n'ajoutez pas l'URI newapp.logilibres.fr : remplacez uniquement l'URI beta.logilibres.fr par :

https://beta.girondenumerique.fr/xoauth-redirecturi

3. Configurer les autorisations API

  1. Cliquez sur API autorisées > Ajouter une autorisation, puis sélectionnez la carte Microsoft Graph.

    Panneau API autorisées avec les 4 permissions déjà configurées en arrière-plan, et le panneau Demander des autorisations d'API avec la carte Microsoft Graph mise en évidence

  2. Sélectionnez Autorisations déléguées, puis recherchez et activez une à une les autorisations suivantes :

    • IMAP.AccessAsUser.All
    • offline_access
    • SMTP.Send
    • User.Read

    Panneau Autorisations déléguées de Microsoft Graph, avec le type d'autorisation et le champ de recherche mis en évidence, et l'autorisation offline_access cochée

  3. De retour sur API autorisées, cliquez sur Accorder un consentement d'administrateur pour {nom de votre locataire}, puis confirmez par Oui. La colonne État affiche alors Accordé pour {nom de votre locataire} en face de chaque autorisation.

4. Générer le secret client

Dans Certificats et secrets > Secrets client, cliquez sur Nouveau secret client, renseignez une description et une durée d'expiration, puis cliquez sur Ajouter.

Panneau Certificats et secrets avec l'onglet Secrets client, le bouton Nouveau secret client et le formulaire Description/Date d'expiration mis en évidence, valeur et ID du secret caviardés

Attention

Notez immédiatement la valeur du secret client après sa génération. Elle n'est plus accessible après avoir quitté la page.

Configurer le consentement de l'application d'entreprise

L'inscription créée à l'étape précédente génère automatiquement une application d'entreprise du même nom dans Microsoft Entra. L'attribution des utilisateurs se fait dans cette application ; le consentement se configure au niveau du tenant, depuis la racine du menu Applications d'entreprise.

1. Attribuer les utilisateurs et groupes

Dans Applications d'entreprise, ouvrez l'application créée, accédez à Utilisateurs et groupes, puis cliquez sur Ajouter un utilisateur/groupe pour attribuer les utilisateurs et groupes autorisés à utiliser cette connexion OAuth2.

Écran Utilisateurs et groupes de l'application d'entreprise, avec le menu Applications d'entreprise, Utilisateurs et groupes et le bouton Ajouter un utilisateur/groupe mis en évidence

2. Gérer le consentement

  1. Depuis Applications d'entreprise (sans entrer dans une application spécifique), accédez à Consentement et autorisations dans le menu de gauche.

    Menu Applications d'entreprise avec l'entrée Consentement et autorisations mise en évidence

  2. Dans Paramètres de consentement de l'utilisateur, sélectionnez le niveau Faible.

    Activation du consentement de niveau Faible pour l'application d'entreprise

    Pourquoi ce niveau de consentement ?

    Le consentement de niveau faible est requis pour permettre l'accès IMAP aux boîtes email sans que chaque utilisateur doive valider une demande de consentement individuelle.

  3. Dans Classifications d'autorisation, ajoutez les autorisations Microsoft Graph nécessaires au niveau Faible : IMAP.AccessAsUser.All, offline_access, SMTP.Send et User.Read.

    Classifications d'autorisation avec les permissions Microsoft Graph classées en niveau Faible, dont IMAP.AccessAsUser.All, offline_access, SMTP.Send et User.Read

Attention

Si cette étape est omise, Newapp ne pourra pas accéder aux boîtes email en lecture via IMAP, même si les permissions Graph sont correctement configurées.

Créer le compte de messagerie dans Newapp

L'application étant inscrite et le consentement configuré, rendez-vous sur Ajouter un compte mail entrant pour créer le compte, cocher Xoauth et saisir l'ID de l'application (client) et le secret client notés lors de l'enregistrement Entra.

Si votre collectivité utilise Gmail ou Google Workspace, consultez Configurer OAuth2 Google pour la procédure équivalente.