Connecteurs
Microsoft 365.

À quoi sert ce connecteur

Le connecteur Graph permet à Luxapps de récupérer la liste des utilisateurs autorisés directement depuis votre annuaire Entra ID, plutôt que de les saisir manuellement dans Luxapps. Quand vous créez, modifiez ou désactivez un compte côté Microsoft 365, Luxapps reflète l'opération à la prochaine synchronisation.

Concrètement, Luxapps lit :

• Un groupe Entra ID que vous désignez — seuls ses membres ont accès à Luxapps.
• Les attributs essentiels de ces membres : e-mail, nom, prénom.

La lecture est en application permissions (lecture en mode service, sans qu'un utilisateur soit connecté), restreinte aux scopes User.Read.All et Group.Read.All. Aucun droit en écriture côté Microsoft 365.

Ce que nous attendons de vous

Quatre éléments à nous transmettre à la fin de la procédure, par e-mail à votre interlocuteur Luxapps :

1. ①
   Tenant ID

   Identifiant de votre tenant Entra ID (format GUID).

2. ②
   Application ID

   Identifiant de l'App registration que vous aurez créée pour Luxapps.

3. ③
   Client Secret Value

   Secret applicatif généré dans Azure. Affiché une seule fois, à copier au moment de la création.

4. ④
   Group ID

   Identifiant du groupe Entra ID qui contient les utilisateurs autorisés.

Étape 1 — Récupérer le Tenant ID

1. Connectez-vous au portail Azure : https://portal.azure.com.
2. Dans la barre de recherche, tapez Tenant properties et ouvrez l'entrée correspondante.
3. Copiez la valeur du champ Tenant ID. C'est votre premier livrable.

Si vous avez déjà configuré le connecteur SSO (onglet précédent), vous avez déjà cette valeur — vous pouvez la réutiliser.

Étape 2 — Créer l'App registration

Contrairement au SSO qui utilise une Enterprise Application, le connecteur Graph utilise une App registration. Ce sont deux objets Azure distincts.

1. Dans la barre de recherche, tapez App registrations.
2. Cliquez sur New registration.
3. Remplissez le nom (par exemple Luxapps Graph Sync).
4. Pour le champ Supported account types, choisissez « Accounts in this organizational directory only (Single tenant) ». Laissez la Redirect URI vide.
5. Cliquez sur Register.
6. Une fois l'application enregistrée, copiez l'Application (client) ID affichée dans Overview. C'est votre deuxième livrable.

Étape 3 — Générer un Client Secret

1. Dans le menu de gauche de l'App registration, ouvrez Certificates & secrets.
2. Sous l'onglet Client secrets, cliquez sur New client secret.
3. Donnez une description (par exemple Luxapps Graph Sync) et choisissez une expiration de 24 mois.
4. Cliquez sur Add.
5. Copiez immédiatement la valeur du champ Value — elle ne sera plus jamais affichée après que vous aurez quitté l'écran. C'est votre troisième livrable.

Étape 4 — Accorder les permissions Microsoft Graph

1. Dans le menu de gauche, ouvrez API permissions.
2. Cliquez sur Add a permission, sélectionnez Microsoft Graph, puis Application permissions (et non Delegated permissions).
3. Recherchez et cochez les deux permissions ci-dessous, puis validez avec Add permissions :

4. De retour sur l'écran API permissions, cliquez sur Grant admin consent for <votre tenant>. Les deux permissions doivent afficher le statut Granted.

Étape 5 — Créer le groupe d'utilisateurs autorisés

Luxapps ne lit pas tout votre annuaire — uniquement les membres d'un groupe que vous désignez. Cela vous laisse le contrôle fin de qui peut accéder à la plateforme.

1. Dans la barre de recherche, tapez Groups.
2. Cliquez sur New group.
3. Type de groupe : Security. Nom : au choix (par exemple Luxapps Users).
4. Créez le groupe, puis copiez son Object ID depuis l'écran Overview. C'est votre quatrième livrable.
5. Ajoutez au groupe tous les utilisateurs qui doivent avoir accès à Luxapps.

Avant de nous envoyer le tout — vérification

Pour chaque utilisateur membre du groupe, assurez-vous que ces trois attributs Entra ID sont renseignés et non vides :

• E-mail (champ mail ou userPrincipalName).
• Nom (champ surname).
• Prénom (champ givenName).

Un utilisateur sans e-mail, sans nom ou sans prénom sera ignoré par la synchronisation jusqu'à ce que l'attribut manquant soit complété.

Cycle de vie & bonnes pratiques

• Rotation du secret. Renouvelez le Client Secret avant son expiration (24 mois). Créez le nouveau secret, transmettez-le-nous, puis supprimez l'ancien après bascule.
• Fréquence de synchronisation. Par défaut, Luxapps relit le groupe et les profils toutes les heures. Une cadence personnalisée peut être mise en place sur demande.
• Audit. Chaque opération de synchronisation est journalisée côté Luxapps — vous pouvez consulter le journal et exporter l'historique sur demande.
• Désactivation immédiate. Retirer un utilisateur du groupe Entra ID désactive son accès Luxapps à la prochaine synchronisation. Pour une révocation immédiate, désactivez aussi le compte côté Microsoft 365 (le SSO refusera la connexion instantanément).

En cas de difficulté

Si une étape ne se déroule pas comme décrit (Grant admin consent indisponible faute de droits, libellés Azure différents, erreur 401/403 dans les journaux Luxapps), contactez votre interlocuteur Luxapps avec une capture d'écran de l'erreur. Nous prenons le relais en visio si nécessaire.