Partager via

FAQ sur l’authentification des applications imbriquées et la dépréciation des jetons hérités Outlook

  • Article

Les jetons d’identité utilisateur Exchange et les jetons de rappel sont déconseillés et seront désactivés à partir de février 2025. Nous vous recommandons de déplacer les compléments Outlook qui utilisent des jetons Exchange hérités vers l’authentification d’application imbriquée.

Questions fréquentes (FAQ)

Qu’est-ce que l’authentification d’application imbriquée (NAA) ?

L’authentification d’application imbriquée permet l’authentification unique (SSO) pour les applications imbriquées dans les applications Microsoft prises en charge telles qu’Outlook. Par rapport aux modèles d’authentification de confiance totale existants et au flux on-behalf-of, NAA offre une meilleure sécurité et une plus grande flexibilité dans l’architecture des applications, ce qui permet la création d’applications riches et pilotées par le client. Pour plus d’informations, voir Activer l’authentification unique dans un complément Office à l’aide de l’authentification d’application imbriquée.

Quelle est la chronologie pour arrêter les jetons Exchange online hérités ?

Microsoft commence à désactiver les jetons exchange en ligne hérités en février 2025. D’ici février 2025, les locataires existants et nouveaux ne seront pas affectés. Nous fournirons des outils permettant aux administrateurs de réactiver les jetons Exchange pour les locataires et les compléments si ces compléments ne sont pas encore migrés vers NAA. Pour plus d’informations, consultez Puis-je réactiver les jetons hérités ?

Date Jetons hérités status
Fév 2025 Jetons hérités désactivés pour tous les locataires. Les administrateurs peuvent réactiver les jetons hérités via PowerShell.
Juin 2025 Jetons hérités désactivés pour tous les locataires. Les administrateurs ne peuvent plus réactiver les jetons hérités via PowerShell et doivent contacter Microsoft pour toute exception.
Octobre 2025 Jetons hérités désactivés pour tous les locataires. Les exceptions ne sont plus autorisées.

Quand NAA est-il en disponibilité générale pour mon canal ?

La date de disponibilité générale (GA) pour NAA dépend du canal que vous utilisez.

Date Disponibilité générale naa (GA)
Octobre 2024 NAA est en disponibilité générale dans le canal actuel.
Nov 2024 NAA sera en disponibilité générale dans le canal Entreprise mensuel.
Jan 2025 NAA sera en disponibilité générale dans Semi-Annual Canal.
Juin 2025 NAA sera en disponibilité générale dans Semi-Annual canal étendu.

Questions de l’administrateur Microsoft 365

Puis-je réactiver les jetons hérités ?

À la mi-novembre 2024, nous déploierons de nouveaux outils via PowerShell pour les administrateurs Microsoft 365 afin d’activer ou de désactiver les jetons Exchange hérités dans votre locataire. Si vous avez besoin de réactiver les jetons Exchange hérités, vous pouvez utiliser les applets de commande PowerShell pour ce faire. Les outils indiquent également si des compléments utilisent des jetons hérités au cours des 28 derniers jours. En juin 2025, les jetons de Exchange Online hérités seront désactivés et vous ne pourrez pas les réactiver sans une exception spécifique accordée par Microsoft. En octobre 2025, il ne sera pas possible d’activer les jetons Exchange Online hérités et ils seront désactivés pour tous les locataires. Nous allons mettre à jour ce FAQ avec des informations supplémentaires une fois que l’outil sera disponible dans tous les locataires.

Les éditeurs de logiciels indépendants (ISV) mettent à jour leurs compléments pour utiliser des jetons d’ID Entra et des étendues Microsoft Graph. Lorsque le complément demande un jeton d’accès, il doit avoir le consentement de l’administrateur ou de l’utilisateur. Si l’administrateur donne son consentement, tous les utilisateurs du locataire peuvent utiliser le complément pour les étendues requises par le complément. Sinon, chaque utilisateur final sera invité à donner son consentement, si le consentement de l’utilisateur est activé. Le consentement de l’administrateur offre une meilleure expérience, car les utilisateurs ne sont pas invités.

L’une des options de consentement est que l’éditeur de logiciels indépendant vous fournit un URI de consentement administrateur.

  1. Le développeur du complément fournit un URI de consentement administrateur. Si ce n’est pas le cas dans la documentation qu’ils fournissent, vous devez les contacter pour plus d’informations.
  2. L’administrateur accède à l’URI de consentement de l’administrateur.
  3. L’administrateur est invité à se connecter et à donner son consentement à une liste d’étendues requises par le complément.
  4. Une fois l’opération terminée, le navigateur redirige vers une page web à partir de l’éditeur de logiciels indépendant, ce qui doit indiquer que le consentement a réussi.

En guise d’alternative, l’éditeur de logiciels indépendant peut fournir un manifeste d’application mis à jour qui demandera le consentement de l’administrateur dans le cadre du déploiement central. Dans ce scénario, lorsque vous déployez le manifeste d’application mis à jour, vous êtes invité à donner votre consentement avant que le déploiement puisse se terminer. Il n’est pas nécessaire d’utiliser un URI de consentement administrateur.

Enfin, si le complément est publié dans le magasin Microsoft 365, la mise à jour est déployée automatiquement et l’administrateur est invité à donner son consentement pour les étendues. Si l’administrateur ne donne pas son consentement, les utilisateurs ne pourront pas utiliser le complément mis à jour.

Veillez à ne pas désactiver les fonctionnalités ou à révoquer les autorisations requises par le complément. Pour obtenir un exemple, consultez Modification des propriétés de stratégie de boîte aux lettres. Le complément utilise des autorisations déléguées et a donc accès aux mêmes ressources que l’utilisateur connecté. Toutefois, si une stratégie ou un paramètre bloque l’utilisateur d’une ressource ou d’une action particulière, le complément est également bloqué.

Comment faire déployer des mises à jour de complément à partir d’un éditeur de logiciels indépendants ?

Si vous avez un complément qui utilise des jetons Exchange hérités, vous devez contacter votre éditeur de logiciels indépendant pour obtenir des informations sur ses chronologie de migrer son complément pour utiliser NAA. Une fois que l’éditeur de logiciels indépendant a migré son complément, il fournit probablement une URL de consentement administrateur. Pour plus d’informations, consultez Comment fonctionne le flux de consentement administrateur ? .

L’éditeur de logiciels indépendant peut également vous fournir un manifeste d’application mis à jour à déployer via un déploiement centralisé. Pendant le déploiement centralisé, cela peut vous inviter à donner votre consentement aux étendues Microsoft Graph requises par le complément. Dans ce scénario, vous n’avez pas besoin d’utiliser un URI de consentement administrateur.

Si le complément est déployé à partir de Microsoft AppSource, vous serez probablement invité à donner votre consentement aux étendues Microsoft Graph lorsque l’éditeur de logiciels indépendant déploiera les mises à jour du complément. Tant que vous n’avez pas donné votre consentement, les utilisateurs du locataire ne pourront pas utiliser la nouvelle version du complément avec NAA.

Quels sont les compléments de mon organization concernés ?

Nous allons fournir des outils aux administrateurs qui signalent l’ID d’application de tout complément qui a utilisé des jetons Exchange online hérités au cours des 28 derniers jours. Nous fournirons plus d’informations dans ce FAQ lorsque les outils seront prêts. Pour plus d’informations, consultez Puis-je réactiver les jetons hérités ?.

Les compléments peuvent utiliser les jetons Exchange hérités pour obtenir des ressources d’Exchange via les API REST EWS ou Outlook. Parfois, un complément nécessite des ressources Exchange pour certains cas d’usage et non pour d’autres, ce qui rend difficile de déterminer si le complément nécessite une mise à jour. Nous vous recommandons de contacter les développeurs et les propriétaires de compléments pour leur demander si leur code de complément fait référence aux API suivantes.

  • makeEwsRequestAsync
  • getUserIdentityTokenAsync
  • getCallbackTokenAsync

Si vous vous appuyez sur un éditeur de logiciels indépendant pour votre complément, nous vous recommandons de le contacter dès que possible pour confirmer qu’il dispose d’un plan et d’un chronologie pour le déplacement des jetons Exchange hérités. Les développeurs d’éditeurs de logiciels indépendants doivent contacter directement leurs contacts Microsoft pour s’assurer qu’ils sont prêts pour la fin des jetons exchange hérités. Si vous vous fiez à un développeur au sein de votre organization, il doit consulter ce FAQ et l’article Activer l’authentification unique dans un complément Office à l’aide de l’authentification d’application imbriquée. Toutes les questions doivent être posées sur le site des problèmes GitHub OfficeDev/office-js.

Une fois que l’administrateur ou un utilisateur a donné son consentement, il est répertorié dans la centre d’administration Microsoft Entra. Vous pouvez trouver des inscriptions d’applications en procédant comme suit.

  1. Accédez à https://entra.microsoft.com/#home.
  2. Dans le volet de navigation gauche, sélectionnez Applications>inscriptions d'applications.
  3. Dans la page inscriptions d'applications, sélectionnez Toutes les applications.
  4. Vous pouvez désormais rechercher n’importe quelle inscription d’application par nom ou ID.

FAQ sur la migration des compléments Outlook

Pourquoi Microsoft effectue-t-il la migration des compléments Outlook ?

Le passage à Microsoft Graph à l’aide de jetons d’ID Entra est une grande amélioration de la sécurité pour les clients Outlook et Exchange. Entra ID (anciennement Azure Active Directory) est un service cloud de premier plan de gestion des identités et des accès. Les clients peuvent tirer parti des fonctionnalités de confiance zéro, telles que l’accès conditionnel, les exigences MFA, la surveillance continue des jetons, l’heuristique de sécurité en temps réel, etc. qui ne sont pas disponibles avec les jetons Exchange hérités. Les clients stockent des données professionnelles importantes stockées dans Exchange. Il est donc essentiel de veiller à ce que ces données soient protégées. La migration de l’ensemble de l’écosystème Outlook pour utiliser des jetons d’ID Entra avec Microsoft Graph améliore considérablement la sécurité des données client.

Mon complément Outlook doit-il migrer vers NAA ?

Non. Les compléments Outlook n’ont pas besoin d’utiliser NAA, bien que NAA offre la meilleure expérience d’authentification pour les utilisateurs et la meilleure posture de sécurité pour les organisations. Si les compléments n’utilisent pas de jetons Exchange hérités, ils ne seront pas affectés par la dépréciation des jetons Exchange. Les compléments utilisant MSAL.js ou d’autres méthodes d’authentification unique qui s’appuient sur l’ID Entra continueront de fonctionner.

Comment faire savoir si mon complément Outlook s’appuie sur des jetons hérités ?

Nous allons fournir des outils aux administrateurs qui signalent l’ID d’application de tout complément qui a utilisé des jetons Exchange online hérités au cours des 28 derniers jours. Nous fournirons plus d’informations lorsque les outils seront prêts dans ce FAQ. Pour plus d’informations, consultez Puis-je réactiver les jetons hérités ?

Pour savoir si votre complément utilise des jetons d’identité utilisateur Exchange hérités et des jetons de rappel, recherchez dans votre code les appels aux API suivantes.

  • makeEwsRequestAsync
  • getUserIdentityTokenAsync
  • getCallbackTokenAsync

Si votre complément appelle l’une de ces API, vous devez adopter NAA et migrer vers l’utilisation de jetons d’ID Entra pour accéder à Microsoft Graph à la place.

Quels sont les compléments Outlook dans l’étendue ?

De nombreux compléments principaux sont dans l’étendue. Si votre complément utilise EWS ou Outlook REST pour accéder à Exchange Online ressources, il doit certainement migrer des jetons Outlook hérités vers NAA. Si votre complément est destiné à Exchange en local uniquement (par exemple, Exchange 2019), il n’est pas affecté par cette modification.

Qu’adviendra-t-il de mes compléments Outlook si je ne migre pas vers NAA ?

Si vous ne migrez pas vos compléments Outlook vers NAA, ils cesseront de fonctionner comme prévu dans Exchange Online. Lorsque les jetons Exchange sont désactivés, Exchange Online bloque l’émission de jetons hérités. Tout complément qui utilise des jetons hérités ne pourra pas accéder aux ressources Exchange Online.

Si votre complément fonctionne uniquement en local ou si votre complément se trouve sur un chemin d’accès déconseillé, vous n’aurez peut-être pas besoin de le mettre à jour. Toutefois, la plupart des compléments qui accèdent aux ressources Exchange via EWS ou Outlook REST doivent migrer pour continuer à fonctionner comme prévu.

Comment faire migrer mes compléments Outlook vers NAA ?

Pour prendre en charge NAA dans votre complément Outlook, reportez-vous à la documentation et à l’exemple suivants.

Comment faire suivre les dernières recommandations ?

Nous allons mettre à jour ce FAQ dès que de nouvelles informations seront disponibles. Nous allons partager des conseils supplémentaires à l’avenir sur l’appel de la communauté des compléments Office et le blog du développeur M365. Enfin, vous pouvez poser des questions sur NAA et la dépréciation des jetons de Exchange Online hérités sur le site des problèmes GitHub OfficeDev/office-js. Veuillez placer « NAA » dans le titre afin que nous puissions regrouper et hiérarchiser les problèmes.

Si vous soumettez un problème, veuillez inclure les informations suivantes.

  • Version du client Outlook.
  • Audience du canal de mise en production Outlook (pour le client).
  • Capture d’écran du problème.
  • Plateforme où le problème se produit (Windows, Outlook (nouveau), Mac, iOS, Android).
  • ID de session où le problème est rencontré.
  • Type de compte utilisé.
  • Version de msal-browser.
  • Journaux à partir de msal-browser.

Questions de résolution des problèmes pour les développeurs

NAA ne fournit pas d’authentification unique et invite les utilisateurs à se connecter

Cela peut se produire lorsque NAA n’est pas disponible dans le client Outlook. Si vous utilisez Windows, case activée que vous utilisez le canal bêta ou le canal actuel (préversion). Vous devez rejoindre le programme Microsoft 365 Insider pour basculer vers ces canaux. Un bon moyen de case activée si NAA est disponible consiste à case activée l’ensemble de conditions requises à l’aide de l’extrait de code suivant. Office.context.requirements.isSetSupported("NestedAppAuth")

Comment faire obtenir plus d’informations de débogage auprès de MSAL et NAA ?

Utilisez le code suivant pour activer les informations de débogage dans msalConfig lorsque vous initialisez l’application cliente publique imbriquée. Cela permet d’enregistrer des détails supplémentaires dans la console.

const msalConfig = {
  auth: {...},
  system: {
    loggerOptions: {
      logLevel: LogLevel.Verbose,
      loggerCallback: (level, message, containsPii) => {
        switch (level) {
          case LogLevel.Error:
            console.error(message);
            return;
          case LogLevel.Info:
            console.info(message);
            return;
          case LogLevel.Verbose:
            console.debug(message);
            return;
          case LogLevel.Warning:
            console.warn(message);
            return;
        }
      },
    }
  }
};

Contenu connexe