CoreView ajoute des applications d’entreprise à votre Entra ID pour un fonctionnement correct.
Vous pouvez les trouver dans la section des applications d’entreprise du centre d’administration Microsoft Entra.
Certaines sont ajoutées lors de l’onboarding et sont obligatoires, tandis que d’autres sont facultatives et peuvent être ajoutées ou supprimées directement depuis CoreView. Pour utiliser ces applications, des autorisations doivent être accordées.
Voici la liste des applications, leur but et les liens vers des listes complètes et détaillées des autorisations à fournir :
Onboarding
CoreView utilise les applications suivantes pour onboarder et importer des données depuis votre tenant Microsoft 365. L’octroi du consentement à ces applications est obligatoire.
CoreView Portal
Ces autorisations sont demandées lors du lien d’activation et de la connexion Microsoft 365 de l’onboarding.
L’application CoreView Portal est créée dès que le premier utilisateur se connecte au portail. Elle est nécessaire pour permettre à l’utilisateur d’accéder à l’interface web CoreView.
Liste des autorisations
L’application CoreView Portal demande les autorisations suivantes :
- Delegated - [Azure Active Directory Graph] Sign in and read user profile : permet aux utilisateurs de se connecter à l’application avec leurs comptes professionnels ou scolaires et permet à l’application de voir les informations de base du profil utilisateur.
- Delegated - [Microsoft Graph] Sign in and read user profile : permet aux utilisateurs de se connecter à l’application avec leurs comptes professionnels ou scolaires et permet à l’application de voir les informations de base du profil utilisateur.
CoreView API Integration (Integration App)
Ces autorisations sont demandées lors de l’étape d’octroi du consentement durant l’onboarding, nécessaire pour achever le processus et garantir le bon fonctionnement de CoreView.
L’Integration App CoreView utilise les Graph API et Office 365 Management API pour collecter des données de rapport de votre tenant. En utilisant cette application, vous consentez à un ensemble d’autorisations nécessaires à l’accès à ces API.
- Voir l’article Grant consent dans la documentation d’onboarding pour obtenir des instructions concernant l’octroi des autorisations à l’Integration App.
Liste des autorisations
L’Integration App demande les autorisations suivantes :
Microsoft Graph :
- Application - Read all groups : permet à l’application de lire les propriétés des groupes et les appartenances, ainsi que le calendrier et les conversations de tous les groupes, sans utilisateur connecté.
- Application - Read all directory RBAC settings : permet à l’application de lire les paramètres de contrôle d'accès basé sur les rôles (RBAC) du répertoire de votre entreprise, sans utilisateur connecté. Cela inclut la lecture des modèles de rôle de répertoire, des rôles de répertoire et des appartenances.
- Application - Read organization information : permet à l’application de lire l’organisation et les ressources associées, sans utilisateur connecté. Les ressources associées incluent des éléments tels que les SKU souscrits et les informations de l’image de marque du tenant.
- Application - Read all hidden memberships : permet à l’application de lire les membres de groupes cachés et d’unités administratives sans utilisateur connecté.
- Application - Read Microsoft Intune device configuration and policies : permet à l’application de lire les propriétés des stratégies de configuration des appareils gérés par Microsoft Intune et leurs affectations aux groupes, sans utilisateur connecté.
- Application - Read Microsoft Intune apps : permet à l’application de lire les propriétés, les affectations de groupes et le statut des applications, des configurations d’application et des politiques de protection des applications gérées par Microsoft Intune, sans utilisateur connecté.
- Application - Read Microsoft Intune devices : permet à l’application de lire les propriétés des appareils gérés par Microsoft Intune, sans utilisateur connecté.
- Application - Read Microsoft Intune RBAC settings : permet à l’application de lire les propriétés liées aux paramètres RBAC de Microsoft Intune, sans utilisateur connecté.
- Application - Read Microsoft Intune configuration : permet à l’application de lire les propriétés du service Intune incluant l’inscription des appareils et la configuration de connexions à des services tiers, sans utilisateur connecté.
- Application - Read all administrative units : permet à l’application de lire les unités administratives et les appartenances sans utilisateur connecté.
- Application - Read your organization's security actions : permet à l’application de lire les actions de sécurité, sans utilisateur connecté.
- Application - Read your organization’s security events : permet à l’application de lire les événements de sécurité de votre organisation sans utilisateur connecté.
- Application - Read all identity risk event information : permet à l’application de lire les informations des événements de risque d'identité pour votre organisation sans utilisateur connecté.
- Application - Read all identity risky user information : permet à l’application de lire les informations utilisateur à risque d'identité pour votre organisation sans utilisateur connecté.
- Application - Read all users' full profiles : permet à l’application de lire les profils utilisateur sans utilisateur connecté.
- Application - Read all audit log data : permet à l’application de lire et d’interroger toutes vos activités d’audit, sans utilisateur connecté.
- Application - Read all access reviews : permet à l’application de lire les access reviews pour le compte de l’utilisateur connecté.
- Application - Read all usage reports : permet à une application de lire tous les rapports d’utilisation du service sans utilisateur connecté. Les services qui fournissent des rapports d’utilisation incluent Office 365 et Azure Active Directory.
- Application - Read all user mailbox settings : permet à l’application de lire les paramètres des boîtes aux lettres utilisateur sans utilisateur connecté. N’inclut pas les autorisations pour envoyer des mails.
- Application - Read directory data : permet à l’application de lire les données du répertoire de votre organisation, comme les utilisateurs, groupes et applications, sans utilisateur connecté.
- Application - Read all identity user flows : permet à l’application de lire les flux utilisateur de votre organisation sans utilisateur connecté.
- Application - Read all users' teamwork activity feed : permet à l’application de lire le flux d’activités Teamwork de tous les utilisateurs, sans utilisateur connecté.
- Application - Read all applications : permet à l’application de lire toutes les applications et principes de service pour le compte de l’utilisateur connecté.
- Application - Read all group memberships : permet à l’application de lire les appartenances et les propriétés de base des groupes pour tous les groupes sans utilisateur connecté.
- Application - Read all call records : permet à l’application de lire les enregistrements d’appels pour tous les appels et réunions en ligne sans utilisateur connecté.
- Application - Read all users' authentication methods:
- Application - Get a list of all teams: obtenir la liste de toutes les teams, sans utilisateur connecté.
- Application - Read the names and descriptions of all channels : permet de lire tous les noms et descriptions de canal, sans utilisateur connecté.
- Application - Read the members of all teams : permet de lire les membres de toutes les teams, sans utilisateur connecté.
- Application - Read the members of all channels : permet de lire les membres de tous les canaux, sans utilisateur connecté.
- Application - Read service health : permet à l’application de lire les informations de santé du service de votre tenant, sans utilisateur connecté. Les informations de santé peuvent inclure des problèmes de service ou des aperçus de santé.
- Application - Read service messages : permet à l’application de lire les messages d’annonce de service de votre tenant, sans utilisateur connecté. Les messages peuvent inclure des informations sur de nouvelles fonctionnalités ou celles ayant évolué.
- Application - Sign in and read user profile : Permet de se connecter à l’application avec un compte organisationnel et de lire le profil. Permet aussi à l’application de lire des informations de base sur la société.
Office 365 Management APIs :
- Application - Read activity data for your organization : permet à l’application de lire les données des activités de votre organisation.
- Application - Read DLP policy events including detected sensitive data : permet à l’application de lire les événements DLP, y compris les données sensibles détectées, pour votre organisation.
CoreView Registration (Registration App)
Ces autorisations sont demandées lors de l’étape d’octroi du consentement du processus d’onboarding.
L’application CoreView Registration est une application temporaire utilisée pour créer des comptes de service, qui peut être supprimée des tenants immédiatement après l’inscription.
- Si vous avez complété l’onboarding après août 2024, Registration App sera supprimée automatiquement une fois le processus terminé.
- Si toutefois vous avez complété l’onboarding avant août 2024, vous pouvez supprimer manuellement l’application directement depuis Azure une fois l’onboarding terminé.
En plus de l’onboarding, certains processus nécessitent des autorisations de Registration App. Dans tous les cas, l’application sera automatiquement supprimée à la fin du processus.
Cette application est nécessaire pour finaliser le processus d’onboarding et garantir le bon fonctionnement de CoreView. En utilisant cette application, des comptes spécifiques en lecture seule et non interactifs sont créés pour se connecter à votre tenant et collecter des données de rapport.
Veuillez noter que les comptes de service ne peuvent pas être supprimés ; cela empêcherait le bon fonctionnement de l’application. Vous pouvez sinon entrer manuellement les comptes de service précédemment créés dans le Centre d’administration Microsoft 365 sans accorder d’autorisations supplémentaires à CoreView.
- Pour plus d’informations sur la nature de ces comptes, leur but, leurs caractéristiques et la façon de les identifier dans Entra ID, consultez l’article Grant consent dans la documentation d’onboarding.
- Les instructions pour créer des comptes de service automatiquement et manuellement sont fournies dans l’article Grant consent de la documentation d’onboarding.
Liste des autorisations
Registration App demande les autorisations suivantes :
- Application - [Microsoft Graph] Read and write all applications : utilisé pour créer l’application Graph Management single tenant
- Application - [Microsoft Graph] Read and write all directory RBAC settings : utilisé pour attribuer le rôle Global Reader à nos comptes de service
- Application - [Microsoft Graph] Read and write all users' full profiles : utilisé pour créer des comptes de service sur Azure AD
- Delegated - [Microsoft Graph] Sign in and read user profile : utilisé pour effectuer un SSO d’Azure AD vers la plateforme CoreView
Accès
CoreView SSO
Cette application permet l’accès de tous les opérateurs via SSO. L’application est ajoutée à Entra ID lors de la première connexion après onboarding. Chaque opérateur, à sa première connexion à CoreView, devra accorder des autorisations.
Liste des autorisations
CoreView SSO demande les autorisations suivantes :
- Delegated - [Microsoft Graph] openid: connecter les utilisateurs
- Delegated - [Microsoft Graph] profile : voir le profil de base des utilisateurs
- Delegated - [Microsoft Graph] User.Read : se connecter et lire le profil utilisateur
- Delegated - [Microsoft Graph] email : voir l’adresse e-mail des utilisateurs
Partner Portal Web
Partner Portal Web est une application orientée utilisateur qui permet aux opérateurs de s’authentifier et s'enregistrer par une interface web, donnant un accès direct aux fonctionnalités du portail partenaire.
Partner Portal API
Cette application sert de service backend permettant l’authentification et l’inscription sécurisées pour les systèmes externes, les autorisant à se connecter et s’intégrer de façon programmatique avec le Partner Portal.
Note sur Partner Portal Web et Partner Portal API
Ces deux applications sont complémentaires, formant ensemble un système cohérent :
- L’application Partner Portal Web offre des fonctionnalités orientées utilisateur, permettant aux utilisateurs d'interagir directement avec le système.
- Partner Portal API fournit une fonctionnalité programmatique, permettant l’intégration d’autres systèmes et leur communication.
- Les deux applications se font confiance mutuellement, assurant une communication sécurisée et la cohérence de l’authentification et de l’inscription des utilisateurs sur plusieurs plateformes.
Consents supplémentaires
Pour que CoreView fonctionne correctement avec des applications telles qu’Endpoint, BitLocker et SharePoint, il est crucial d’octroyer les autorisations requises à l’application CoreView côté Microsoft.
Ces applications sont facultatives, mais doivent être activées pour utiliser toutes les fonctionnalités. Vous pouvez accorder ou révoquer ces autorisations à tout moment directement via CoreView. Pour ce faire, consultez l’article Consent management du manuel produit CoreView.
CoreView Management Integration
Si les autorisations Endpoint manager ne sont pas accordées à CoreView côté Microsoft, CoreView ne pourra pas effectuer d’actions via le module Endpoint manager. Ce jeu d’autorisations est requis, car les actions Endpoint manager n’utilisent pas de cmdlets PowerShell mais reposent sur des API Graph, nécessitant un jeu d’autorisations différent.
Liste des autorisations
CoreView Management Integration requiert les autorisations d’application Entra ID suivantes :
- Application - [Microsoft Graph] Device management managed devices privileged operations all : effectuer des actions d’impact utilisateur à distance sur des appareils Microsoft Intune
- Application - [Microsoft Graph] Device management managed devices read write all : lire et écrire sur les appareils Microsoft Intune
- Application - [Microsoft Graph] Device management service config read write all : lire et écrire la configuration de service sur les appareils Microsoft Intune
CoreView SharePoint Integration
Pour activer les actions de gestion SharePoint via CoreView et lancer le processus d’import, il est indispensable d’accorder un consentement supplémentaire.
Liste des autorisations
CoreView SharePoint Integration requiert les autorisations Entra ID suivantes :
- Delegated - [Azure Active Directory Graph] User read : activer la connexion et lire les profils des utilisateurs
- Application - [Microsoft Graph] Directory read all : lire les données du répertoire
- Application - [Microsoft Graph] Group read write all : lire et écrire tous les groupes
- Application - [SharePoint] Sites full control all : avoir le contrôle total de toutes les collections de sites
CoreView BitLocker API Integration
Pour s’assurer que les données soient affichées dans le rapport des clés BitLocker et pour pouvoir afficher et gérer les clés BitLocker, il est essentiel d’accorder un consentement supplémentaire. Cela permet la récupération des données pour le rapport des clés BitLocker.
Liste des autorisations
CoreView BitLocker API requiert les autorisations Entra ID suivantes :
- Delegated - [Microsoft Graph] BitLockerKey read all : lire les clés BitLocker
- Delegated - [Microsoft Graph] User read : se connecter et lire le profil utilisateur
CoreView Teams API Integration
Vous devez fournir un consentement supplémentaire pour importer les données Teams Voice (appels, usage PSNT) dans CoreView.
Liste des autorisations
CoreView Teams API Integration requiert les autorisations d’application Azure AD (désormais Entra ID) suivantes :
- Application - [Microsoft Graph] Call records read all : lire les enregistrements d’appels
- Application - [Microsoft Graph] Read basic all : obtenir la liste de toutes les teams
- Application - [Microsoft Graph] Teams activity read all : lire tous les flux d’activités teamwork des utilisateurs
- Application - [Microsoft Graph] Teams tab read all : lire les onglets dans Microsoft Teams
CoreView Exchange Integration
Accordez un consentement pour l’utilisation de plusieurs applications Exchange afin de contourner la limite de throttling d’Exchange Service de Microsoft.
Liste des autorisations
CoreView Exchange Integration requiert les autorisations suivantes pour l’application Entra ID :
- Delegated - [Office 365 Exchange Online Module] Access mailboxes as the signed-in user via Exchange Web Services: permet à l’application d’accéder aux boîtes aux lettres comme l’utilisateur connecté via Exchange Web Services.
- Delegated - [Office 365 Exchange Online Module] Manage Exchange configuration: permet à l’application de gérer l’environnement Exchange de l’organisation, comme les boîtes aux lettres, les groupes et autres objets de configuration. Pour permettre les actions de gestion, un administrateur doit attribuer les rôles appropriés à l’application utilisateur.
- Application - [Office 365 Exchange Online Module] Manage Exchange As Application : permet à l’application de gérer l’environnement Exchange de l’organisation sans aucune interaction de l’utilisateur. Cela inclut les boîtes aux lettres, les groupes et autres objets de configuration. Pour permettre les actions de gestion, un administrateur doit attribuer les rôles appropriés directement à l’application.
Graph Management
Cette application est nécessaire au bon fonctionnement de :
qui utilisent le module Graph PowerShell ou les endpoints Graph API.
En utilisant cette application, vous autorisez l’utilisation du module Microsoft Graph.
Cette application est facultative, mais doit être activée pour utiliser les fonctionnalités listées ci-dessus.
Vous pouvez accorder ou révoquer les autorisations pour cette application à tout moment, directement depuis CoreView.
- Voir l’article Graph management pour les instructions concernant l’octroi des autorisations et la consultation des listes d’autorisations.