Le module Synchronisation Microsoft 365 de Portail ZAPP crée les comptes des membres de groupes Microsoft 365 (Microsoft Entra ID) et tient à jour l'appartenance de ces comptes aux groupes de l'application. La synchronisation va dans un seul sens : de Microsoft 365 vers Portail ZAPP. Elle ne modifie jamais Microsoft 365.
L'écran est réservé aux administrateurs. On y accède par Administration › Connecteurs et automatisation › Sync M365 (/m365-sync).
Configurer la connexion
Le bloc Configuration Microsoft Entra ID contient les identifiants d'une inscription d'application Microsoft Entra ID (le nouveau nom d'Azure AD), qui doit avoir le droit de lire les utilisateurs, les groupes et leurs membres :
- ID du tenant et ID du client : identifiants de votre locataire et de l'application, par exemple
00000000-0000-0000-0000-000000000000; - Secret du client : il n'est jamais réaffiché. Une fois un secret enregistré, le champ devient facultatif : laissez-le vide pour conserver le secret enregistré, saisissez-en un nouveau pour le remplacer ;
- Comportement des orphelins : Désactiver ou Signaler (voir plus bas). Le champ affiche le réglage enregistré : réenregistrer la configuration ne le change pas.
L'ID du tenant et l'ID du client sont obligatoires. Si l'enregistrement échoue, le message « Erreur lors de l'enregistrement de la configuration. » s'affiche ; les valeurs étant enregistrées l'une après l'autre, une partie a pu l'être : vérifiez les valeurs affichées avant de recommencer.
Ces réglages sont distincts de ceux de la connexion des utilisateurs avec leur compte Microsoft 365, qui se règle dans l'Authentification.
Tester la connexion essaie les valeurs saisies dans le formulaire, sans les enregistrer. Un champ laissé vide reprend la valeur enregistrée ; le secret enregistré n'est réutilisé que pour le tenant et le client enregistrés : pour tester un autre tenant ou une autre application, saisissez aussi le secret. Le résultat s'affiche dans un message : connexion réussie, configuration incomplète, ou échec (le détail est alors dans les journaux du serveur).
Sources et mappings
Synchronisation des utilisateurs : les sources, c'est-à-dire les groupes Microsoft 365 dont les membres doivent avoir un compte. Choisissez le type (Groupe, Équipe ou Groupe de sécurité), recherchez le groupe par le début de son nom, puis Ajouter une source. Un même groupe ne peut pas être ajouté deux fois.
Synchronisation de l'appartenance aux groupes : les mappings, qui relient un groupe Microsoft 365 à un groupe de Portail ZAPP. À chaque synchronisation, les membres du groupe Microsoft 365 qui ont dans Portail ZAPP un compte de source Microsoft 365 — créé par la synchronisation ou par une connexion avec un compte Microsoft 365 — sont ajoutés au groupe correspondant ; un membre qui n'a pas encore de compte est ignoré (il n'est pas créé à cette étape). Les retraits suivent la même règle : seul un compte de source Microsoft 365 est retiré d'un groupe quand il ne fait plus partie du groupe Microsoft 365 ; un compte local placé dans le groupe à la main n'en est jamais retiré. Un compte local ou d'une autre source qui a le même identifiant de connexion ou la même adresse qu'un membre Microsoft 365 n'est jamais ajouté au groupe : il en recevrait les droits sans que personne l'ait décidé. Un groupe déjà synchronisé par une autre source (par exemple les organisations) n'est pas modifié.
Tous les membres d'un groupe sont lus, quelle que soit sa taille. Si Microsoft 365 limite le débit des appels, la lecture est reprise quelques fois avant d'être abandonnée. Une lecture en échec ne retire jamais personne.
Ce que fait une synchronisation
Pour chaque membre des sources actives :
- compte absent : il est créé avec son prénom, son nom et son adresse ; l'identifiant de connexion est l'adresse de messagerie (ou, à défaut, le nom d'utilisateur principal). Un membre sans adresse est ignoré ;
- compte existant : il n'est pas modifié (le prénom, le nom et l'adresse ne sont pas mis à jour). La colonne Mis à jour du journal compte ces comptes déjà présents. Un compte de source Microsoft 365 est suivi par son identifiant Microsoft Entra : un changement d'adresse côté Microsoft 365 ne crée pas de second compte ;
- compte local de même identifiant de connexion : il est compté dans Mis à jour, mais ne passe pas sous le contrôle de la synchronisation (ni suivi, ni ajouté aux groupes mappés, ni traité comme orphelin). N'étant pas suivi par son identifiant Microsoft Entra, il est retrouvé à chaque passage par son identifiant de connexion : si l'adresse de la personne change dans Microsoft 365, la synchronisation suivante crée un second compte ;
- adresse réattribuée : si l'adresse d'un compte déjà lié à une personne Microsoft 365 est maintenant celle d'une autre personne, ce compte n'est jamais repris par le nouveau titulaire (ni lié, ni réactivé, ni ajouté aux groupes). Le nouveau titulaire n'obtient aucun compte, et ce n'est pas compté comme une erreur : l'administrateur doit traiter le cas à la main. Il n'est signalé que dans le détail d'erreur de la synchronisation (voir « Suivre les synchronisations »), pas dans le message de Synchroniser maintenant.
La synchronisation crée les comptes sans mot de passe : la façon dont ces personnes se connectent se règle dans l'Authentification.
Manager hiérarchique
Le réglage M365Sync:SyncManagers de l'écran Configuration (catégorie M365Sync, désactivé par défaut), passé à true, fait aussi remplir le manager hiérarchique des comptes synchronisés, d'après le manager indiqué dans Microsoft Entra ID. Les règles sont celles de la synchronisation Google Workspace :
- un lien verrouillé (saisi à la main, par défaut) n'est jamais modifié ;
- le manager n'est cherché que parmi les comptes suivis par cette synchronisation : un manager inconnu, ou dont le compte a été créé à la main ou par un autre connecteur, ne change rien ;
- un utilisateur sans manager dans Entra ID voit son lien clos seulement si ce lien venait d'une synchronisation ;
- un nouveau manager clôt le lien en cours et en ouvre un autre : l'historique est gardé dans la page Managers et historique du compte, avec l'origine « Microsoft 365 ».
Si la lecture des managers échoue, aucun lien n'est changé et l'erreur est comptée dans l'historique de la synchronisation.
Les comptes orphelins
Un orphelin est un compte créé par la synchronisation Microsoft 365 qui n'apparaît plus dans aucune source active. Les comptes locaux ou issus d'une autre source ne sont jamais concernés.
- Désactiver (valeur par défaut) : le compte est désactivé dans Portail ZAPP. C'est réversible : si la personne réapparaît dans une source, le compte est réactivé automatiquement. Un compte que vous avez désactivé à la main n'est jamais réactivé.
- Signaler : la liste des orphelins est écrite dans le journal de la synchronisation ; rien n'est modifié.
Aucun orphelin n'est traité, et la raison est écrite au journal, si une source est en échec, si une source n'a renvoyé aucun membre, ou si un membre n'a pas pu être traité. Sans aucune source active, rien n'est fait. Retirer une source rend orphelins les comptes qu'elle seule apportait.
Lancer et planifier
Synchroniser maintenant lance la synchronisation tout de suite ; un message résume ensuite le nombre de comptes créés, mis à jour et d'erreurs.
La tâche planifiée « M365Sync » du Planificateur lance la synchronisation chaque nuit à 2 h 30. Elle est livrée désactivée : activez-la dans le Planificateur une fois la configuration faite.
Suivre les synchronisations
Le bloc Synchronisations récentes donne, pour chaque exécution, la date, le statut (Success, PartialSuccess en cas d'erreurs partielles, Error), le nombre de comptes créés et mis à jour, les erreurs et la durée. Quand le module Grilles de données est installé, la grille ajoute les comptes désactivés, les membres ajoutés et retirés des groupes et le détail des erreurs (double-cliquez sur une ligne pour le lire) : il indique pourquoi les orphelins n'ont pas été traités, liste les orphelins signalés et les adresses réattribuées. Sans ce module, ce détail n'est visible nulle part dans l'écran.