Se connecter à InfraNest avec Microsoft Entra ID

Connectez les comptes Microsoft Entra ID (anciennement Azure Active Directory) de votre entreprise afin que votre équipe puisse se connecter à InfraNest avec les identifiants qu’elle utilise déjà. Ceci s’adresse aux administrateurs InfraNest qui configurent la connexion pour leur organisation.

Vue d’ensemble

• Permet à votre équipe de se connecter à InfraNest avec ses comptes Microsoft 365 ou Azure existants.
• Entra ID contrôle l’accès : une fois l’attribution exigée, seules les personnes et groupes que vous choisissez peuvent entrer, et supprimer quelqu’un dans Entra ID l’empêche de se connecter à InfraNest.
• Disponible sur les forfaits Enterprise. La configuration prend environ quinze minutes, répartie entre le centre d’administration Microsoft Entra et InfraNest.
• Dans Entra ID, vous avez besoin d’un rôle capable d’enregistrer des applications et d’attribuer des utilisateurs, comme Cloud Application Administrator. Dans InfraNest, vous devez être administrateur.

NoteInfraNest utilise l’adresse e-mail (ou le nom de connexion) présent dans le compte Entra de chaque personne. Cette adresse doit appartenir au domaine e-mail que vous vérifiez lors de la configuration. Les adresses se terminant par onmicrosoft.com ne peuvent pas être utilisées pour l’authentification unique, car ce domaine appartient à Microsoft et ne peut pas être vérifié.

Connexion en un clic (si vous pouvez approuver des applications pour tout le tenant)

Si votre compte peut approuver des applications pour l’ensemble de votre tenant (par exemple Global Administrator, Privileged Role Administrator ou Cloud Application Administrator), vous pouvez éviter d’enregistrer une application :

1. Allez dans Settings → Sign-in et choisissez Set up single sign-on, puis Microsoft Entra ID.
2. À l’étape de création de l’application, choisissez Connect Microsoft Entra ID.
3. Microsoft vous demande d’approuver InfraNest pour votre organisation — la demande concerne uniquement la connexion des personnes (nom et e-mail), rien d’autre. Choisissez Accept.
4. Vous revenez dans InfraNest à l’étape de test. Continuez à partir de Essayez-le.

Après approbation, InfraNest apparaît sous Enterprise applications dans le centre d’administration Entra, où vous choisissez qui peut se connecter (voir Choisir qui peut se connecter). Il n’y a pas de secret client à renouveler de cette manière.

Si votre tenant n’autorise pas l’approbation d’applications externes, ou si vous souhaitez attribuer des rôles à partir de groupes Entra, enregistrez plutôt votre propre application — les étapes ci-dessous l’expliquent.

Commencer dans InfraNest

1. Allez dans Settings → Sign-in et choisissez Set up single sign-on.
2. Choisissez Microsoft Entra ID.
3. Vérifiez le Email domain suggéré. Il est recommandé de le vérifier, afin que les personnes puissent saisir leur adresse professionnelle sur la page de connexion et que les nouvelles personnes puissent rejoindre automatiquement ; vous pouvez l’ignorer, auquel cas votre équipe utilise le lien de connexion de votre organisation et rejoint sur invitation. S’il n’est pas vérifié, InfraNest affiche l’enregistrement DNS à ajouter — choisissez Add it for me si InfraNest gère cette zone DNS, ou ajoutez l’enregistrement vous-même et choisissez Check now.
4. À l’étape de création de l’application, copiez l’Redirect URL en haut. Gardez cet onglet ouvert — vous y reviendrez bientôt.

Enregistrer l’application dans Entra ID

Dans un second onglet, connectez-vous au centre d’administration Microsoft Entra.

1. Allez dans Entra ID → App registrations et choisissez New registration.
2. Remplissez le formulaire :
   • Name : InfraNest. Vos collaborateurs peuvent voir ce nom lors de la connexion.
   • Supported account types : choisissez l’option mono-tenant avec le nom de votre propre organisation.
3. Choisissez Register. La page Overview de l’application s’ouvre.
4. Gardez à portée de main l’Application (client) ID. Le Directory (tenant) ID sur la même page est votre identifiant de tenant.

Ajouter l’URL de redirection

1. Dans l’application, ouvrez Authentication.
2. Choisissez Add Redirect URI.
3. Choisissez la vignette Web — pas Single-page application, car InfraNest termine la connexion depuis son serveur et Microsoft refuse cela pour une URL de redirection de type application monopage.
4. Collez l’Redirect URL que vous avez copiée depuis InfraNest, et choisissez Configure.

Vous n’avez pas besoin d’URL de déconnexion front-channel.

Créer un secret client

1. Dans l’application, ouvrez Certificates & secrets, puis l’onglet Client secrets, et choisissez New client secret.
2. Saisissez une description, comme InfraNest, et choisissez sa date d’expiration (Microsoft autorise au maximum 24 mois, et recommande moins de 12).
3. Choisissez Add, et copiez immédiatement la Value du secret — pas le Secret ID, qui n’est qu’une étiquette. Microsoft n’affiche la valeur qu’une seule fois.

WarningNotez la date d’expiration dans votre calendrier. Lorsque le secret expire, plus personne ne peut se connecter à InfraNest via Entra ID tant que vous n’en créez pas un nouveau et ne le mettez pas à jour dans InfraNest.

Autoriser les permissions de connexion

1. Dans l’application, ouvrez API permissions et choisissez Add a permission → Microsoft Graph → Delegated permissions.
2. Sélectionnez openid, email et profile, et choisissez Add permissions.
3. Choisissez Grant admin consent for votre organisation, et confirmez.

Envoyer l’heure de connexion

Si votre organisation demande aux personnes de confirmer des actions sensibles en se reconnectant, ajoutez cette revendication pour qu’InfraNest puisse vérifier l’heure de connexion :

1. Dans l’application, ouvrez Token configuration et choisissez Add optional claim.
2. Choisissez le type de jeton ID, sélectionnez auth_time, et choisissez Add.

Sans cela, les personnes peuvent toujours se connecter, mais la confirmation d’une action sensible via Microsoft sera refusée avec un message concernant cette revendication manquante.

Terminer la connexion dans InfraNest

De retour dans l’onglet InfraNest, à l’étape de création de l’application :

1. Sous Your tenant, collez le Directory (tenant) ID, ou saisissez un domaine de votre tenant.
2. Sous Client ID, collez l’Application (client) ID.
3. Sous Client secret, collez la Value du secret.

InfraNest lit tout le reste depuis Microsoft. S’il ne trouve pas votre tenant, rien n’est enregistré, et le message explique ce qui n’a pas fonctionné.

Choisir qui peut se connecter

Par défaut, tout compte de votre tenant peut se connecter à une application que vous enregistrez. Pour limiter InfraNest aux bonnes personnes :

1. Dans le centre d’administration Entra, allez dans Entra ID → Enterprise apps et ouvrez InfraNest.
2. Ouvrez Properties, réglez Assignment required? sur Yes, et choisissez Save.
3. Ouvrez Users and groups, choisissez Add user/group, sélectionnez les personnes ou groupes, et choisissez Assign.

Attribuez-vous également l’accès, sinon le test de l’étape suivante s’arrêtera chez Microsoft. Attribuer un groupe entier nécessite une licence Microsoft Entra ID P1 ou P2 ; sans cela, attribuez les personnes individuellement. Les membres d’un groupe imbriqué dans un groupe attribué ne sont pas inclus. Les Global Administrators peuvent toujours se connecter, indépendamment de ce réglage.

Essayez-le

1. À l’étape de test, choisissez Sign in with Microsoft Entra ID to test.
2. Un nouvel onglet s’ouvre chez Microsoft — connectez-vous avec votre propre compte professionnel.
3. Lorsque cela fonctionne, l’étape devient verte.

Un test est requis avant de pouvoir activer la connexion. En cas d’échec, voir Si cela ne fonctionne pas.

Décider qui entre, et activer

1. À l’étape Who gets in, choisissez ce qui se passe quand une nouvelle personne se connecte :
   • Add them straight away — présélectionné, et sûr une fois Assignment required? réglé sur Yes. Les nouvelles personnes rejoignent avec le rôle sous Role for new members, en commençant par Member (lecture seule).
   • Ask an admin — transforme la connexion de chaque nouvel arrivant en une demande d’adhésion qu’un administrateur approuve.
   • Do nothing — les personnes ont toujours besoin d’une invitation.
2. Choisissez Switch on.

Le statut de la connexion doit maintenant indiquer : Connected to Microsoft Entra ID · Email domain verified · Test sign-in passed · Switched on.

Votre équipe se connecte depuis la page de connexion InfraNest habituelle en saisissant son adresse professionnelle et en choisissant Continue with ….

Facultatif : attribuer des rôles depuis Entra ID

InfraNest peut définir le rôle de chaque personne à partir de rôles d’application que vous créez dans Entra ID, transmis à chaque connexion.

Dans Entra ID :

1. Allez dans Entra ID → App registrations, ouvrez InfraNest, puis App roles, et choisissez Create app role.
2. Remplissez le formulaire, y compris un Display name que vous reconnaissez, Allowed member types réglé sur Users/Groups, une courte Value sans espaces (comme infranest.admins), et une Description. Laissez Do you want to enable this app role? coché.
3. Choisissez Apply. Répétez pour chaque rôle dont vous avez besoin.
4. Allez dans Entra ID → Enterprise apps → InfraNest → Users and groups. Choisissez Add user/group, sélectionnez des personnes ou groupes, choisissez le rôle d’application, et choisissez Assign.

Dans InfraNest : ouvrez la connexion, puis Credentials and claim names. Réglez Groups claim sur roles, et ajoutez une ligne pour chaque rôle d’application, en faisant correspondre sa Value exacte (pas le nom d’affichage) à un rôle. Les rôles pouvant modifier ou supprimer des éléments ne peuvent pas être associés — attribuez ces personnes manuellement.

Astuces

TipVous pouvez exiger l’authentification unique pour toute votre organisation une fois que cela fonctionne, sous Settings → Sign-in. InfraNest demande d’abord au moins un propriétaire disposant d’une clé d’accès, afin qu’une panne Microsoft ne puisse jamais vous bloquer.

• Démarrer depuis My Apps : collez le lien de connexion de votre organisation dans le champ Home page URL de l’enregistrement d’application, sous Branding & properties, et rendez l’application visible aux utilisateurs, afin que les personnes puissent lancer InfraNest depuis le portail Microsoft My Apps.
• Les secrets clients expirent : avant la date d’expiration, créez un nouveau secret, collez-le dans la connexion, choisissez Replace, puis supprimez l’ancien secret dans Entra ID.
• Passer à un autre tenant nécessite une nouvelle connexion, car la connexion existante est liée au tenant avec lequel elle a été configurée.

Dépannage

• Microsoft indique qu’une approbation administrateur est nécessaire en choisissant Connect Microsoft Entra ID : votre compte ne peut pas approuver d’applications pour tout le tenant. Demandez à un administrateur, ou utilisez votre propre enregistrement d’application.
• AADSTS50011 (URI de redirection incorrecte) : copiez à nouveau l’Redirect URL depuis InfraNest et ajoutez-la sous Authentication comme URI de redirection Web.
• La connexion chez Microsoft réussit mais le test échoue toujours : vérifiez que l’URL de redirection est bien listée sous Web, et non Single-page application.
• AADSTS90094 (consentement administrateur requis) : accordez le consentement administrateur sous API permissions et réessayez.
• AADSTS50105 (utilisateur non attribué) : attribuez cette personne, ou un groupe dont elle est directement membre, sous Enterprise apps → InfraNest → Users and groups.
• AADSTS7000215 (secret client invalide) : assurez-vous d’avoir collé la Value du secret, et non son Secret ID. Créez un nouveau secret si nécessaire.
• AADSTS7000222 (secret client expiré) : créez un nouveau secret et mettez-le à jour dans InfraNest.
• AADSTS700016 (application introuvable) : vérifiez que l’identifiant client et le tenant correspondent sur la page Overview de l’application.
• AADSTS90002 (tenant introuvable) : vérifiez l’identifiant de tenant ou le domaine pour d’éventuelles fautes de frappe.
• Quelqu’un se connecte chez Microsoft mais InfraNest ne le laisse pas entrer : son adresse e-mail (ou nom de connexion) n’appartient pas à un domaine que vous avez vérifié dans InfraNest.
• Un utilisateur InfraNest existant doit d’abord saisir son mot de passe : cela se produit lorsque son e-mail Entra diffère de son nom de connexion. Il peut se connecter une fois avec son mot de passe puis connecter Microsoft Entra ID depuis son profil ; ensuite, la connexion fonctionne directement.
• Tout le monde se retrouve avec le rôle par défaut malgré des rôles d’application associés : vérifiez que Groups claim vaut bien roles, que vous avez associé la Value exacte de chaque rôle (pas le nom d’affichage), et que la personne a bien été attribuée au rôle d’application, pas seulement à l’application.
• Les administrateurs peuvent consulter toutes les tentatives échouées, avec la raison, dans Settings → Audit Log.