Configurer l'authentification Microsoft avec Entra ID

Configurez correctement Microsoft Entra ID et Devolutions Server pour utiliser l'authentification Microsoft en suivant les instructions ci-dessous.

Devolutions Server prend en charge deux modes d'authentification pour la connexion Microsoft : Autorisations d'application (valeur par défaut recommandée) et Autorisations déléguées (pour les locataires où les autorisations d'application sont bloquées par une stratégie). Il est important de choisir le bon mode selon la stratégie de votre locataire avant de commencer la procédure, car les URI de redirection et les autorisations Microsoft Graph diffèrent selon votre choix.

Fonctionnalité	Application	Délégué
Agit en tant que	L'application	Un utilisateur de compte de service
Consentement de l'administrateur	Requis	Requis pour les portées *.All
Authentification de connexion	Oui	Oui
PAM	Oui	Non, utiliser Application
Courriel Microsoft 365	Oui	Non, utiliser le mode Application
Création automatique d'utilisateurs	Oui	Oui

Exigences

• Le planificateur Devolutions Server installé et en cours d'exécution
• Un abonnement Microsoft Entra ID
• Une application web Entra ID pour l'application web Devolutions Server et le cache

Inscription d'application dans le portail Azure

1. Connectez-vous à votre portail Microsoft Azure à l'aide d'identifiants administrateur.
2. Une fois connecté, sélectionnez Microsoft Entra ID dans la section des services Azure. Si vous ne le voyez pas, cliquez sur Plus de services pour faire apparaître d'autres services ou recherchez-le dans la barre de recherche.
3. Dans le volet de navigation de gauche, cliquez sur le menu déroulant, puis sélectionnez App registrations.
4. Cliquez sur + Nouvelle inscription.
5. Saisissez un nom pour l'application. Ce nom ne sera pas utilisé en dehors du portail Azure.
6. Définissez quels Types de comptes pris en charge sont autorisés à se connecter. Habituellement, sélectionner Locataire unique seulement est amplement suffisant pour votre authentification Entra ID.
7. Définissez l'URI de redirection à Web et saisissez les URI correspondant au mode d'authentification choisi. Tous les URI doivent pointer vers l'URL publique de votre instance Devolutions Server, y compris tout chemin virtuel (par exemple https://dvls.contoso.com/dvls/api/...) :

   1. Mode autorisations d'application :

      1. Rappel de connexion utilisateur : https:///api/external-provider-response.
      2. Allez à Authentification (aperçu) – Paramètres, cochez la case Jetons d'ID (utilisés pour les flux implicites et hybrides), puis cliquez sur Enregistrer.
   2. Mode autorisations déléguées :

      1. Rappel de connexion utilisateur : https:///api/external-provider-response
      2. Liaison du compte de service, démarrage : https:///api/configuration/authentication/azure/connect
      3. Liaison du compte de service, rappel : https:///api/configuration/authentication/azure/connect-callback
8. Une fois toutes les informations requises pour le mode choisi saisies, cliquez sur Register.
9. Sélectionnez l'inscription d'application que vous venez de créer, cliquez sur Add a certificate or secret, puis sur New client secret.

Lorsque le secret client expire, personne ne peut se connecter à l'instance Devolutions Server associée. Vous devez alors créer un nouveau secret client. Nous vous recommandons de vous fixer un rappel avant la date d'expiration.

1. Saisissez une description et définissez une date d'expiration, puis cliquez sur Add. La date d'expiration est obligatoire; le secret client ne peut pas être créé sans celle-ci.
2. Copiez la Value. Assurez-vous de l'enregistrer dans une note sécurisée avant de passer à une autre page du Azure Portal, car le bouton de copie ne sera plus disponible.
3. Dans la section Autorisations d'API, cliquez sur + Ajouter une autorisation.
4. Sélectionnez Microsoft Graph.
5. Choisissez le type d'autorisation d'API et ajoutez les autorisations selon votre mode d'authentification :

Mode	Autorisations d'API
Autorisations d'application	User.Read.All, Group.Read.All (type Application) — consentement de l'administrateur requis.
Autorisations déléguées	User.Read (type Délégué, consentement possible par l'utilisateur) ainsi que User.Read.All, Group.Read.All (type Délégué) pour les lectures du répertoire — consentement de l'administrateur requis pour *.All.

Bien que le consentement de l'administrateur ne soit pas requis par défaut, votre organisation peut forcer le consentement pour openid, profile et offline_access lors de la première connexion de l'utilisateur. Vous pouvez ajouter ces autorisations ici afin de supprimer cette invite.

1. Cliquez sur Ajouter des autorisations.
2. Sur la page Vue d'ensemble de l'inscription d'application, repérez l'ID d'application (client) dans la section Essentiels et l'ID de locataire dans la section Informations de base. Gardez cette page ouverte ou enregistrez ces valeurs dans une note sécurisée. Elles seront nécessaires plus tard pour la configuration de Devolutions Server, alors gardez la page ouverte.

Configuration du mode d'authentification dans Devolutions Server

1. Connectez-vous à votre Devolutions Server et naviguez vers Administration – Paramètres du serveur – Authentification.
2. Sous Modes d'authentification, assurez-vous que S'authentifier avec un utilisateur Microsoft est activé.
3. Sous Configuration, cliquez sur Authentification Microsoft.
4. Dans le menu déroulant Mode d'authentification, sélectionnez le mode d'authentification qui correspond à l'inscription d'application que vous venez de configurer, c.-à-d. Autorisations d'application ou Autorisations déléguées.
5. Collez l'ID de locataire de l'application dans le champ Tenant ID de la page de configuration Microsoft Authentication (voir l'étape 16 de la section App registration in Azure portal).
6. Collez l'Application (client) ID dans le champ Client ID (voir l'étape 16 de la section App registration in Azure portal).

L'option Use specific client ID for users and user groups cache ne doit être cochée que lors d'une migration depuis une version de Devolutions Server antérieure à 2024.1. L'activer sur une installation propre peut désactiver le cache des utilisateurs.

1. Collez la Valeur dans le champ Valeur du secret.
2. Dans le menu déroulant Type d'interaction de l'utilisateur à la connexion, définissez le comportement de l'invite de connexion Entra ID :

   • Sélectionner un compte (select_account) : affiche toujours le sélecteur de compte, même si l'utilisateur a déjà une session active.
   • Laissez la valeur par défaut pour une connexion silencieuse lorsqu'une session valide existe déjà.
3. Pour le mode Autorisations déléguées seulement :

   • Saisissez l'UPN du compte utilisateur dont Devolutions Server empruntera l'identité pour les appels Microsoft Graph (p. ex. [e-mail]).
   • Cliquez sur Se connecter à Microsoft. Une fenêtre de connexion OAuth s'ouvre. Connectez-vous avec le compte de service pour le lier à Devolutions Server. Une fois le flux OAuth terminé avec succès, l'état Connecté affiche l'UPN du compte de service lié.
   • Cliquez sur Tester la connexion pour exécuter un appel délégué à l'API Graph et vérifier que le jeton du compte de service fonctionne correctement.

Pour révoquer le jeton mis en cache et effacer la liaison du compte de service à tout moment, cliquez sur Déconnecter. Faites-le avant de changer le compte de service ou d'effectuer une rotation des identifiants.

La rotation du secret client ou la modification de la configuration du locataire invalide automatiquement le jeton délégué mis en cache. Lors d'un changement de mot de passe du compte de service ou d'une révocation de session, un administrateur doit se reconnecter depuis Administration – Paramètres du serveur – Authentification – Authentification Microsoft; le reste de la configuration est préservé.

1. Une fois tous les champs et options requis ci-dessus configurés, cliquez sur Save.

Vous devriez maintenant pouvoir utiliser le bouton Microsoft dans l'interface web de Devolutions Server.

Après avoir activé l'authentification Microsoft, le chargement du cache peut prendre un certain temps avant que vous puissiez importer des utilisateurs et des groupes d'utilisateurs.

Flux de consentement

Selon la configuration de votre locataire, l'un des résultats suivants se produira après le traitement du consentement :

Scénario	Résultat
L'administrateur accorde le consentement à l'échelle du locataire dans le portail	Silencieux — tous les utilisateurs sont couverts, aucune fenêtre contextuelle.
L'administrateur ne consent pas + le compte de service détient les rôles Administrateur d'utilisateurs et Administrateur de groupes	La première connexion affiche une fenêtre contextuelle de consentement; le compte de service peut consentir lui-même.
L'administrateur ne consent pas + le compte de service ne peut pas consentir lui-même	Connexion bloquée avec AADSTS65001.

Pour les locataires restreints : les utilisateurs qui ne peuvent pas obtenir le consentement de l'administrateur à l'échelle du locataire peuvent tout de même utiliser le mode Délégué s'ils accordent au compte de service les deux rôles intégrés Entra mentionnés ci-dessus.

Limitations du mode délégué

• Connexion seulement : la gestion des accès privilégiés (PAM) et l'intégration du courriel Microsoft 365 nécessitent les Autorisations d'application. Si vous utilisez ces fonctionnalités, conservez le mode Application ou utilisez une configuration hybride avec des inscriptions d'application distinctes.
• Lectures du répertoire à l'échelle du locataire : User.Read.All et Group.Read.All sont des portées à l'échelle du locataire. Entra ID n'offre aucune portée native de sous-ensemble pour OAuth. Pour restreindre les utilisateurs que Devolutions Server peut créer automatiquement, utilisez l'option de restriction de la création automatique par groupe dans Devolutions Server même.
• Dépendance au compte de service : le mode délégué lie Devolutions Server à l'identité d'un seul compte de service. Si le compte de service est désactivé, que son mot de passe fait l'objet d'une rotation ou que sa session est révoquée, un administrateur doit se reconnecter via Administration – Paramètres du serveur – Authentification – Authentification Microsoft.
• Connexion seulement : la gestion des accès privilégiés (PAM) et l'intégration du courriel Microsoft 365 nécessitent les autorisations d'application. Si vous utilisez ces fonctionnalités, conservez le mode Application ou maintenez une configuration hybride avec deux inscriptions d'application distinctes.
• Liaison à un seul compte : le mode délégué lie Devolutions Server à un seul compte de service. Si ce compte est désactivé ou que son mot de passe fait l'objet d'une rotation, un administrateur doit se reconnecter.

Notes de maintenance

Rotation du secret client

Avant l'expiration du secret client, créez-en un nouveau dans la page Certificats et secrets de l'inscription d'application, collez la nouvelle valeur dans le champ Valeur du secret de la page Authentification Microsoft de Devolutions Server, puis cliquez sur Enregistrer. Supprimez l'ancien secret dans l'inscription d'application seulement après avoir confirmé que la connexion fonctionne toujours.

Rotation du compte de service (mode délégué)

La rotation du mot de passe du compte de service, la révocation de sa session ou la rotation du secret client invalide le jeton d'actualisation délégué mis en cache. Un administrateur doit se reconnecter en cliquant sur Déconnecter puis sur Se connecter à Microsoft dans la page Authentification Microsoft en utilisant les identifiants mis à jour. Le reste de la configuration est préservé.

Première connexion sans consentement de l'administrateur à l'échelle du locataire (mode délégué)

Si le consentement de l'administrateur n'a pas été accordé à l'étape #14 de l'inscription d'application :

• Si le compte de service détient les rôles intégrés Entra Administrateur d'utilisateurs et Administrateur de groupes, la première connexion demande le consentement et le compte de service peut l'accepter lui-même.
• Sinon, la première connexion échoue jusqu'à ce qu'un administrateur Entra accorde le consentement pour les autorisations *.All.

Dépannage

Symptôme	Cause probable	Résolution
AADSTS50011: The redirect URI specified in the request does not match the redirect URIs configured for the application lors du clic sur Se connecter à Microsoft en mode délégué	Seul l'URI de redirection de connexion utilisateur a été enregistré dans l'inscription d'application.	Sous Microsoft Azure / Entra ID – App registrations – Authentication – Redirect URI configuration – Web, ajoutez les URI /api/configuration/authentication/azure/connect et /api/configuration/authentication/azure/connect-callback, puis enregistrez.
La connexion de l'utilisateur réussit, mais les recherches de répertoire ou de groupes échouent avec Insufficient privileges	Les autorisations Microsoft Graph *.All requises ont été ajoutées, mais n'ont pas fait l'objet d'un consentement de l'administrateur.	Dans la page Autorisations d'API de l'inscription d'application, cliquez sur Accorder le consentement de l'administrateur pour <tenant>.
La connexion retourne invalid_client ou unauthorized_client	Le secret client a expiré ou la valeur collée dans Devolutions Server ne correspond pas à celle de l'inscription d'application.	Créez un nouveau secret client, collez la nouvelle valeur dans la page Authentification Microsoft de Devolutions Server, puis enregistrez.
En mode Délégué, l'indicateur Connecté se réinitialise de façon inattendue	Le mot de passe du compte de service lié a été changé, ses sessions ont été révoquées ou le secret client a été modifié.	Reconnectez-vous à partir de la page Authentification Microsoft en cliquant sur Déconnecter, puis sur Se connecter à Microsoft avec les identifiants mis à jour.