EntraID gestion des utilisateurs invités

[keny.M]

Bonjour,

Je cherche une solution de ticketing pour une association qui utilise Microsoft 365 avec différents partenaires. J’ai mis en place une instance de test de GestSup pour effectuer des essais avant une éventuelle mise en production.

L’un des prérequis est l’utilisation du SSO via Entra ID. Cela fonctionne très bien pour les utilisateurs "membres" du tenant Microsoft 365, mais les utilisateurs invités remontent avec un identifiant sous la forme "utilisateur_domaine.com#EXT#@MONDOMAINE.onmicrosoft.com", ce qui empêche leur connexion à l’application.

N’étant pas développeur, j’ai essayé plusieurs solutions proposées par des IA, mais je n’ai pas trouvé de solution pérenne.

Pistes explorées :
- Modifier l’application d’entreprise dans Entra ID pour envoyer l’email au lieu de l’UPN : je n’ai pas réussi à le faire.
- Modifier le fichier azure_ad_auth.php de GestSup pour utiliser l’email à la place de l’UPN : les modifications ne semblent pas fonctionner et mes connaissances limitées m’empêchent d’aller plus loin sans risque.

Ma question : Existe-t-il une solution simple permettant de récupérer l’email des utilisateurs invités à la place de l’UPN généré par Microsoft ? Y a-t-il une configuration spécifique à appliquer pour leur permettre de se connecter sans intervention manuelle ?

Informations complémentaires :
- La modification manuelle des comptes n’est pas une alternative viable en raison du grand nombre d’utilisateurs.
- Nous utilisons IIS sous Windows Server. Bien que non recommandé, je n’ai pas d’alternative immédiate (une solution Linux sera étudiée en dernier recours).
- Si une modification doit être appliquée après chaque mise à jour de GestSup, cela reste envisageable.

Merci par avance aux personnes pouvant m’apporter des éléments de réponse.

[keny.M]

Bonjour,

Je me permets de remettre une pièce dans la machine car je n'ai toujours pas trouvé comment configurer le SSO pour que les utilisateurs invités du Tenant Microsoft 365 puissent se connecter de la même manière que les utilisateurs membres. Est-ce un dysfonctionnement de mon côté ou un fonctionnement qui n'est pas prévu dans la configuration initiale?

Cordialement,

[keny.M]

Rebonjour,

J'ai trouvé le réglage à activer, si jamais il y en a d'autre dans ce cas :

Dans Microsoft EntraID => Inscriptions d'applications
Choisir l’application SSO => Authentification
sous "Types de comptes pris en charge" => Cocher "Compte dans un annuaire d'organisation (tout locateur Microsoft Entra ID - Multilocataire)"

[fabrice]

Bonjour,
j'ai le même souci que vous.
pourriez vous me donner vos paramètres de la page Entra iD dans gestsup car quand j'active le multitenant dans entra mes utililsateurs interne ne fonctionnent plus

merci

[keny.M]

Bonjour Fabrice,

Je mets en PJ la capture en masquant les données pouvant être sensible

Le paramétrage qui m'a débloqué est dans Microsoft AZURE, dans l’inscription d'applications j'ai activé dans les paramètres d'authentification l'option "Comptes dans un annuaire d'organisation (tout locataire Microsoft Entra ID - Multilocataire), je mets aussi en PJ.

J'invite ensuite les utilisateurs et les ajoutes au groupe de sécurité associé à l'app, j'ajoute aussi les utilisateurs membre dans le groupe de sécurité

J'ajoute en PJ les autorisations de l'app (API autorisées)

ça commence à dater pour moi donc je ne saurais être plus précis, mais j’essaie de garder un œil ici au cas ou!

[fabrice]

Bonjour,
merci pour la réponse
je ne comprends pas cette partie "J'invite ensuite les utilisateurs et les ajoutes au groupe de sécurité associé à l'app, j'ajoute aussi les utilisateurs membre dans le groupe de sécurité"
pourriez-vous me donner plus d'informations
merci

[keny.M]

J'ai créé dans mon EntraID un groupe de sécurité qui est associé à l'application SSO.

Les membres du groupes peuvent se connecter

Je mets dans le groupe les utilisateurs concernés, qu'ils soient interne ou externe.

J'ajoute les invités via un système d'invitation qui fonctionne en PowerShell mais pour inviter quelques personnes on peut utiliser, dans la gestion des utilisateurs de l'entraID, l'option "Inviter un utilisateur externe".

Désolé pour le temps de réponse.

[fabrice]

merci pour la réponse

quand je fais la même configuration que vous, j'ai ceci .

[fabrice]

si je mets la préauthentification sur transfert direct j'ai ce message : ERROR : incorrect value on $_GET[state]

[Flox]

Bonjour,

pouvez-vous transmettre l'URL de la page affichant ce message d'erreur ?

Cdt