Guide de configuration Microsoft Entra ID — Synchronisation Calendrier

Ce document guide l'administrateur Microsoft Entra ID dans la création, le paramétrage et la maintenance de l'application nécessaire à la synchronisation des calendriers Office 365 avec la plateforme Agendize.

1. Inscription de l'application

1. Connectez-vous au portail Microsoft Entra ID.
2. Allez dans Identité > Applications > Inscriptions d'applications (App registrations).
3. Cliquez sur Nouvelle inscription (New registration).
4. Saisissez le nom de l'application (ex. « Synchronisation Prise de RDV Agendize »).
5. Laissez le type de compte sur Comptes dans ce répertoire d'organisation uniquement.
6. Dans la section URI de redirection : Plateforme = Web ; URI = l'URI fournie au préalable par notre équipe.
7. Cliquez sur S'inscrire.

2. Configuration des autorisations API (Microsoft Graph)

1. Dans le menu de l'application, rendez-vous dans Autorisations d'API (API permissions).
2. Cliquez sur Ajouter une autorisation > Microsoft Graph > Autorisations déléguées (Delegated permissions).
3. Recherchez et cochez les autorisations suivantes :
   • Calendars.ReadWrite : accès en lecture et écriture sur les calendriers.
   • User.Read : accès en lecture au profil de l'utilisateur.
   • offline_access : maintien de l'accès aux données autorisées en arrière-plan.
4. Cliquez sur Ajouter des autorisations.
5. Cliquez impérativement sur Accorder le consentement de l'administrateur pour [Nom du Tenant] (Grant admin consent), puis confirmez.

3. Génération du secret client

1. Dans le menu latéral, sélectionnez Certificats & secrets.
2. Dans l'onglet Secrets client, cliquez sur Nouveau secret client.
3. Saisissez une description et définissez la durée de validité.
4. Cliquez sur Ajouter et copiez immédiatement la valeur du secret (Value). Elle ne sera plus affichée par la suite.

4. Informations à nous transmettre

Transmettez-nous les trois identifiants suivants via un canal de communication sécurisé :

• ID de l'annuaire (Tenant ID) : disponible sur la page Vue d'ensemble.
• ID d'application (Client ID) : disponible sur la page Vue d'ensemble.
• Secret client (Client Secret) : la Valeur transmise à l'étape 3.

Important — Gestion du secret : l'administrateur du tenant est responsable de la gestion et du renouvellement du secret client. Un nouveau secret doit nous être transmis avant la date d'expiration du précédent. À défaut, la synchronisation avec Office 365 sera interrompue.

5. Causes principales de perte de synchronisation

Plusieurs événements liés à la gestion des comptes ou aux politiques du tenant peuvent invalider les jetons d'accès et rompre la synchronisation :

• Changement ou réinitialisation du mot de passe utilisateur : modifier le mot de passe d'un utilisateur invalide immédiatement l'ensemble de ses jetons de rafraîchissement (refresh tokens) en cours, ce qui interrompt la synchronisation jusqu'à sa prochaine connexion.
• Expiration par inactivité (Refresh Token Lifetime) : un refresh token délégué a une durée de vie glissante de 90 jours maximum sans utilisation. Si la synchronisation est interrompue ou si un compte n'est pas synchronisé pendant plus de 90 jours consécutifs, le jeton devient définitivement caduc.
• Politiques d'accès conditionnel (Conditional Access) — Fréquence de connexion (Sign-in frequency) : si une règle d'accès conditionnel impose une réauthentification périodique obligatoire sur Microsoft Graph ou sur l'ensemble des applications, le jeton expire prématurément et exige une reconnexion interactive de l'utilisateur.

Note : une notification pourra être envoyée par Agendize au collaborateur en cas d'échec de synchronisation pour l'inviter à rétablir sa connexion.

Action volontaire d'un administrateur Entra ID :

• Révocation explicite des sessions : lorsqu'un administrateur clique sur « Révoquer les sessions » depuis la fiche d'un utilisateur (ou via PowerShell / Graph API), tous les jetons délégués de cet utilisateur sont invalidés.
• Désactivation du compte ou changement d'UPN : la désactivation du compte ou la modification de l'identifiant principal suspend l'accès aux API Graph.
• Actions sur le tenant : si un administrateur désactive l'application ou supprime le consentement accordé aux autorisations déléguées (Calendars.ReadWrite, User.Read), les appels API échouent instantanément et les synchronisations existantes sont rompues.

Foire aux questions (FAQ)

Les utilisateurs à synchroniser doivent-ils appartenir au tenant ?

Oui, tous les utilisateurs dont le calendrier doit être synchronisé doivent être associés au tenant Entra ID configuré.

La création de l'inscription d'application suffit-elle ?

Oui. La création de l'inscription d'application (App Registration) instancie automatiquement une application d'entreprise (Enterprise Application / Service Principal) dans votre tenant. Il s'agit du mécanisme standard de déploiement Microsoft.

Pourquoi le scope offline_access est-il indispensable ?

La synchronisation s'appuie sur des autorisations déléguées (Calendars.ReadWrite). Le scope offline_access permet à notre système d'obtenir un jeton de rafraîchissement (refresh token) afin d'exécuter la synchronisation des calendriers en arrière-plan, sans imposer une session active permanente à l'utilisateur.

Le tenant configuré peut-il être utilisé pour se connecter à la plateforme via SSO Microsoft ?

Oui, cela est totalement possible. L'authentification via le SSO Microsoft présente l'avantage d'établir automatiquement la synchronisation du calendrier de l'utilisateur dès sa connexion à la plateforme Agendize, ou de la rétablir si elle avait été interrompue.

Son utilisation n'est toutefois pas obligatoire pour que la synchronisation fonctionne : les utilisateurs peuvent tout à fait continuer à s'authentifier avec leur identifiant et mot de passe. L'activation d'une authentification multifacteur (MFA) par code temporaire envoyé par e-mail est également supportée.