Configuration de l’API Microsoft Graph pour l’envoi d’e-mails

Ce guide explique comment accorder le consentement administrateur de votre organisation à notre application d’envoi d’e-mails multi-locataire et restreindre son accès afin qu’elle puisse uniquement envoyer des e-mails depuis une boîte aux lettres désignée (par exemple, noreply@yourdomain.com). Même si vous avez une expérience limitée en informatique, les instructions détaillées et les prérequis fournis ici vous aideront à terminer la configuration à l’aide des outils installés sur votre PC.

Remarque :
Si vous avez besoin d’aide, veuillez créer un ticket d’assistance sur eniris.io/support.

Table des matières

• Aperçu
• Prérequis
• Étape 1 : Accorder le consentement administrateur
• Étape 2 : Récupérer les informations de votre locataire
• Étape 3 : Configurer les restrictions d’accès
• Informations et ressources supplémentaires
• Dépannage

Aperçu

Notre application d’envoi d’e-mails utilise l’API Microsoft Graph avec des autorisations d’application pour envoyer des e-mails depuis une boîte aux lettres désignée. Pour activer cette fonctionnalité, votre administrateur doit :

1. Accorder un consentement à l’échelle du locataire pour l’application.
2. Nous fournir votre nom de domaine, votre ID de locataire et l’adresse e-mail que vous souhaitez utiliser (par ex. noreply@yourdomain.com).

Ces informations sont disponibles dans la vue d’ensemble de votre locataire sur Microsoft Entra.

Prérequis

Avant de commencer, veuillez vous assurer que vous disposez des éléments suivants :

• Identifiants administrateur : Vous devez disposer des droits d’administrateur général pour votre locataire Microsoft 365.
• Accès à Microsoft Entra : Vous devrez consulter les informations de votre locataire sur Microsoft Entra.
• PowerShell sur votre PC :
  • Windows PowerShell ou PowerShell Core.
  • Cliquez sur "Réclamer"module ExchangeOnlineManagement en exécutant :

    Install-Module -Name ExchangeOnlineManagement -Scope CurrentUser
    

• Connaissances de base : Familiarité avec le copier-coller de commandes dans PowerShell. Si vous êtes débutant, ne vous inquiétez pas : les étapes ci-dessous sont détaillées et simples à suivre.

Étape 1 : Accorder le consentement administrateur

1. Construire l’URL de consentement administrateur :
   Utilisez le format d’URL suivant. Remplacez <YOUR-DOMAIN-NAME> par votre nom de domaine réel (par exemple, si votre domaine est « contoso.com », utilisez cette valeur) :

   https://login.microsoftonline.com/<YOUR-DOMAIN-NAME>/adminconsent?client_id=03126c25-5828-4b2e-aa6d-d97380cb1cb5&redirect_uri=https://eniris.io
   

2. Accéder à l’URL :
   Demandez à votre administrateur général Microsoft 365 de se connecter à son navigateur et d’accéder à l’URL. Une boîte de dialogue de consentement répertoriant les autorisations demandées par notre application s’affichera (par exemple, Mail.Send).

3. Accorder le consentement :
   L’administrateur doit cliquer sur « Accept » pour accorder le consentement. Cette action crée un principal de service pour notre application dans votre locataire et lui permet d’envoyer des e-mails.

4. Nous informer :
   Après avoir accordé le consentement, veuillez créer un ticket sur eniris.io/support avec les informations suivantes :

• Votre nom de domaine.
• Votre ID de locataire (disponible dans la vue d’ensemble du locataire Microsoft Entra).
• L’adresse e-mail que vous souhaitez utiliser pour l’envoi d’e-mails (par ex. noreply@yourdomain.com).

Étape 2 : Récupérer les informations de votre locataire

Notre processus d’intégration récupérera automatiquement votre ID de locataire lorsque l’administrateur accordera son consentement. Toutefois, si vous devez le vérifier manuellement, vous pouvez :

• Vous connecter à Microsoft Entra.
• Copier votre ID de locataire depuis la page de vue d’ensemble du locataire.

Étape 3 : Configurer les restrictions d’accès

Conformément aux bonnes pratiques de sécurité, nous allons créer un groupe de sécurité dédié et l’utiliser pour limiter l’accès de l’application à votre seule boîte aux lettres désignée. Cela applique le principe du moindre privilège, en veillant à ce que l’application puisse uniquement accéder à ce qui est absolument nécessaire.

Créer le groupe de sécurité de messagerie requis

1. Se connecter au Centre d’administration Microsoft 365 :
   Accédez à admin.microsoft.com et connectez-vous avec votre compte administrateur.

2. Créer un groupe de sécurité :

• Réglez une « Groups » > « Active groups »
• Cliquez sur « Add a group »
• Sélectionnez « Security » comme type de groupe, puis cliquez sur « Next »
• Saisissez un nom (par ex. « Noreply Access Only ») et une description.
• Ajoutez le compte noreply@yourdomain.com en tant que membre.
• Cliquez sur « Next » puis sur « Create group »

Appliquer les restrictions d’accès

1. Ouvrir PowerShell :
   Exécutez PowerShell en tant qu’administrateur sur votre PC.

2. Se connecter à Exchange Online :
   Installez le module ExchangeOnlineManagement (s’il ne l’est pas déjà), puis connectez-vous :

   Install-Module -Name ExchangeOnlineManagement -Scope CurrentUser
   Connect-ExchangeOnline -UserPrincipalName "<YOUR-ADMIN-EMAIL>"  # For example: admin@yourdomain.com
   

3. Créer la stratégie d’accès aux applications :
   Exécutez la commande suivante. Remplacez <YOUR-SECURITY-GROUP-EMAIL> par l’adresse e-mail réelle ou l’ID d’objet de votre groupe de sécurité :

   New-ApplicationAccessPolicy -AccessRight RestrictAccess -AppId "03126c25-5828-4b2e-aa6d-d97380cb1cb5" -PolicyScopeGroupId "<YOUR-SECURITY-GROUP-EMAIL>" -Description "Restrict app access to the noreply mailbox only"
   

4. Vérifier la stratégie :
   Vérifiez que la stratégie fonctionne en exécutant la commande suivante (remplacez cette valeur par votre adresse e-mail noreply réelle) :

   Test-ApplicationAccessPolicy -Identity "<YOUR-NOREPLY-EMAIL>" -AppId "03126c25-5828-4b2e-aa6d-d97380cb1cb5"
   

Considérations relatives à la sécurité

• Isolation des données : Le principal de service créé dans votre locataire garantit que l’application dispose uniquement de l’accès autorisé par la stratégie.
• Moindre privilège : L’application demande uniquement l’autorisation Mail.Send et son accès est en outre limité à une seule boîte aux lettres.
• Audit : Nous recommandons de vérifier régulièrement votre principal de service et votre stratégie d’accès aux applications.

Informations et ressources supplémentaires

Problèmes courants :

Erreurs de consentement :

• Vérifiez les autorisations du compte administrateur dans les rôles Microsoft Entra
• Consultez le guide de dépannage du consentement
• Assurez-vous que l’URL est correctement construite.

Erreurs PowerShell :

• Vérifiez que le module ExchangeOnlineManagement est installé et à jour.
• Vérifiez que vos identifiants administrateur disposent des autorisations suffisantes.

Vérification de la stratégie :

• Utilisez Test-ApplicationAccessPolicy pour vérifier les restrictions d’accès
• Consultez la documentation relative à la stratégie d’accès aux applications