SSO avec Microsoft Entra ID (Azure AD)

Avec deskbird, tu peux intégrer le Single Sign-on (SSO) en utilisant Microsoft Entra ID (anciennement Azure AD). Cela garantit une authentification sécurisée et un accès pratique dans toute ton organisation.

1. Configurer le SSO avec Entra ID
2. Configuration manuelle OIDC (aucune application d’entreprise requise)
3. Restreindre les autorisations via Application Assignment
4. FAQ

1. Configurer le SSO avec Entra ID

Pour activer le SSO, un administrateur IT doit installer l’Enterprise Application Microsoft Entra ID et accorder les autorisations requises.

👉 Clique ici pour installer et accorder l’accès :
https://login.microsoftonline.com/common/adminConsent?client_id=60e10e49-86e8-4755-ac34-2804c82237c6&redirect_uri=https://www.deskbird.com/single-sign-on-via-azure-ad

⚠️ Remarque sur Microsoft Conditional Access : Depuis juin 2026, Microsoft applique le Conditional Access de façon plus stricte pour certaines connexions (changement Microsoft MC1223829). Si l’une de tes politiques cible Toutes les ressources et exclut au moins une ressource, les connexions qui ne demandent que des scopes de base (comme openid, profile, email ou User.Read) sont désormais évaluées selon cette politique. La connexion à deskbird ne demande que ces scopes (openid, profile, email, User.Read), donc exclure deskbird d’une telle politique ne permet plus de contourner ces contrôles. Les utilisateurs peuvent donc être invités à effectuer une MFA, à utiliser un appareil conforme, ou être bloqués lors de la connexion à deskbird, même si cela fonctionnait auparavant. Microsoft décrit les options pour ton équipe IT dans Application des scopes de base dans le Conditional Access.

Si tes utilisateurs sont concernés et que ton équipe IT ne peut pas modifier la politique, tu peux basculer deskbird sur une connexion que ton organisation configure elle-même : Configuration manuelle OIDC (ci-dessous) ou SSO avec SAML 2.0. Pour distinguer un blocage Conditional Access d’un manque d’approbation admin, consulte la FAQ.

Les autorisations requises sont :

• User.Read : Permet aux utilisateurs de se connecter à deskbird et à deskbird de lire les profils des utilisateurs connectés. Remarque : deskbird n’a pas accès aux données de profil des utilisateurs qui ne se sont jamais connectés.
• Group.Read.All : Permet à deskbird de lire tous les groupes d’utilisateurs. Ceci est utilisé, par exemple, pour importer les groupes d’utilisateurs dans le Tableau de bord admin ou pour synchroniser les groupes lors de la connexion des utilisateurs.

D’autres autorisations standard sont ajoutées automatiquement et ne nécessitent pas d’approbation admin.

• offline_access : Permet à deskbird d’utiliser des tokens de rafraîchissement pour récupérer des données via l’API Microsoft Graph.
• email, openid et profile : Autorisations ajoutées automatiquement qui donnent à deskbird des droits similaires à User.Read mais avec moins d’informations de profil.

Le type d’autorisation est délégué, ce qui signifie que deskbird accède à l’API Graph en tant qu’utilisateur connecté, mais avec un accès limité par l’autorisation sélectionnée.

💡 Remarque : Les photos de profil des utilisateurs sont automatiquement synchronisées lors de la première authentification SSO, si elles sont disponibles.

💡 Si le SSO est configuré comme unique méthode de connexion pour ton organisation, cette restriction s’applique uniquement aux utilisateurs internes. Les utilisateurs externes (par exemple, les prestataires) peuvent toujours être ajoutés à deskbird et utiliser l’email et le mot de passe pour se connecter, car ils ne dépendent pas de ton fournisseur d’identité.

2. Configuration manuelle OIDC (aucune application d’entreprise requise)

Si ton organisation ne peut pas installer l’Enterprise Application deskbird depuis la galerie d’applications Microsoft, ou préfère un enregistrement d’application qu’elle possède et contrôle, tu peux configurer le SSO en créant ton propre App Registration dans Entra ID et en partageant les identifiants avec deskbird. L’intégration sera alors configurée par l’équipe support deskbird.

Étape 1 : Créer l’App Registration

1. Va dans Azure Portal > Microsoft Entra ID > App registrations > New registration.
2. Entre un nom, par exemple deskbird SSO.
3. Sous Supported account types, sélectionne Accounts in this organizational directory only (single tenant).
4. Sous Redirect URI, choisis la plateforme Web et saisis : https://api.deskbird.app/v2/auth/oAuthRedirectHandler.
5. Clique sur Register.

⚠️ Remarque : Assure-toi que l’URL de redirection correspond exactement à celle ci-dessus. Une différence (ou une entrée manquante) provoquera une erreur AADSTS50011 lors de la connexion d’un utilisateur.

Étape 2 : Noter les identifiants

1. Depuis la page Overview de l’application, copie l’Application (client) ID et le Directory (tenant) ID.

Étape 3 : Créer un Client Secret

1. Va dans Certificates & secrets > Client secrets > New client secret.
2. Entre une description, par exemple deskbird production, et choisis une durée d’expiration.
3. Clique sur Add et copie la Value immédiatement — elle ne sera plus affichée ensuite.

Étape 4 : Configurer les autorisations API

1. Va dans API permissions > Add a permission > Microsoft Graph > Delegated permissions.
2. Ajoute les autorisations suivantes : openid, profile, email, User.Read.
3. Clique sur Grant admin consent for [Organization].

Étape 5 : Partager les identifiants avec deskbird

Contacte le support deskbird et fournis les trois valeurs suivantes :

• Directory (tenant) ID
• Application (client) ID
• Client Secret value

Merci de partager les trois valeurs dans un seul message pour que la configuration puisse être finalisée sans aller-retour : Directory (tenant) ID, Application (client) ID et Client Secret value.

L’équipe support deskbird finalisera la configuration pour toi.

⚠️ Remarque : Le Client Secret value est sensible. Partage-le de façon sécurisée et évite de l’envoyer via des canaux non chiffrés.

3. Restreindre les autorisations via Application Assignment

Tu peux restreindre quels utilisateurs ou groupes sont autorisés à accéder à deskbird via le SSO.

• Dans le centre d’administration Entra, ouvre l’Enterprise App deskbird.
• Sous Properties, règle Assignment required sur "Yes".
• Ajoute des utilisateurs ou groupes spécifiques sous Users and groups.

💡 Application Assignment n’est pas la même chose que le ciblage d’une politique Conditional Access. Application Assignment contrôle qui peut se connecter. Conditional Access contrôle dans quelles conditions ils peuvent se connecter (conformité de l’appareil, localisation, MFA). Pour Conditional Access, vois la remarque dans Configurer le SSO avec Entra ID et la FAQ.

⚠️ Application Assignment restreint l’accès à la connexion, mais ne provisionne pas les utilisateurs. Pour un provisioning automatisé, une configuration SCIM séparée est nécessaire.

⚠️ Erreur AADSTS50105 : Cette erreur apparaît lorsqu’une personne tente de se connecter sans être assignée à un groupe autorisé à accéder. Demande à ton équipe IT d’ajouter l’utilisateur au bon groupe d’accès (ou de mettre à jour ses autorisations), puis réessaie.

4. FAQ