Partager via

FAQ sur l’authentification des applications imbriquées et la dépréciation des jetons hérités Outlook

  • Article

Les jetons d’identité utilisateur Exchange et les jetons de rappel sont déconseillés et seront désactivés à partir de février 2025. Nous vous recommandons de déplacer les compléments Outlook qui utilisent des jetons Exchange hérités vers l’authentification d’application imbriquée.

Questions fréquentes (FAQ)

Qu’est-ce que l’authentification d’application imbriquée (NAA) ?

L’authentification d’application imbriquée permet l’authentification unique (SSO) pour les applications imbriquées dans les applications Microsoft prises en charge telles qu’Outlook. Par rapport aux modèles d’authentification de confiance totale existants et au flux on-behalf-of, NAA offre une meilleure sécurité et une plus grande flexibilité dans l’architecture des applications, ce qui permet la création d’applications riches et pilotées par le client. Pour plus d’informations, voir Activer l’authentification unique dans un complément Office à l’aide de l’authentification d’application imbriquée.

Quelle est la chronologie pour arrêter les jetons Exchange online hérités ?

Microsoft commence à désactiver les jetons exchange en ligne hérités en février 2025. D’ici février 2025, les locataires existants et nouveaux ne seront pas affectés. Nous fournirons des outils permettant aux administrateurs de réactiver les jetons Exchange pour les locataires et les compléments si ces compléments ne sont pas encore migrés vers NAA. Pour plus d’informations, consultez Puis-je réactiver les jetons hérités ?

Date Jetons hérités status
Fév 2025 Jetons hérités désactivés pour tous les locataires. Les administrateurs peuvent réactiver les jetons hérités via PowerShell.
Juin 2025 Jetons hérités désactivés pour tous les locataires. Les administrateurs ne peuvent plus réactiver les jetons hérités via PowerShell et doivent contacter Microsoft pour toute exception.
Octobre 2025 Jetons hérités désactivés pour tous les locataires. Les exceptions ne sont plus autorisées.

Quand NAA est-il en disponibilité générale pour mon canal ?

La date de disponibilité générale (GA) pour NAA dépend du canal que vous utilisez.

Date Disponibilité générale naa (GA)
Octobre 2024 NAA est en disponibilité générale dans le canal actuel.
Nov 2024 NAA est en disponibilité générale dans le canal Entreprise mensuel.
Jan 2025 NAA sera en disponibilité générale dans Semi-Annual Canal.
Juin 2025 NAA sera en disponibilité générale dans Semi-Annual canal étendu.

Les compléments COM sont-ils affectés par la dépréciation des jetons de Exchange Online hérités ?

Il est très peu probable que les compléments COM soient affectés par la dépréciation des jetons de Exchange Online hérités. Les compléments web Outlook sont principalement affectés, car ils peuvent utiliser des API Office.js qui s’appuient sur des jetons Exchange. Pour plus d’informations, consultez Comment savoir si mon complément Outlook s’appuie sur des jetons hérités. Les jetons Exchange sont utilisés pour accéder aux SERVICES Web Exchange (EWS) ou aux API REST Outlook, qui sont également déconseillées. Si vous pensez qu’un complément COM est affecté, vous pouvez le tester en l’utilisant sur un locataire avec des jetons Exchange désactivés. Pour plus d’informations, consultez Activer ou désactiver les jetons Exchange Online hérités.

Questions de l’administrateur Microsoft 365

Puis-je réactiver Exchange Online jetons hérités ?

Oui, il existe des commandes PowerShell que vous pouvez utiliser pour activer ou désactiver les jetons hérités dans n’importe quel locataire. Pour plus d’informations sur l’activation ou la désactivation des jetons hérités, consultez Activer ou désactiver les jetons de Exchange Online hérités. Si vous utilisez les commandes pour activer les jetons Exchange Online hérités, ils ne seront pas désactivés en février 2025. Ils resteront activés jusqu’en juin 2025, ou jusqu’à ce que vous utilisiez les outils pour les désactiver.

En juin 2025, les jetons hérités seront désactivés et vous ne pourrez pas les réactiver sans une exception spécifique accordée par Microsoft. En octobre 2025, il ne sera pas possible d’activer les jetons hérités et ils seront désactivés pour tous les locataires. Nous allons mettre à jour ce FAQ avec des informations supplémentaires une fois l’outil disponible.

Les éditeurs de logiciels indépendants (ISV) mettent à jour leurs compléments pour utiliser des jetons d’ID Entra et des étendues Microsoft Graph. Lorsque le complément demande un jeton d’accès, il doit avoir le consentement de l’administrateur ou de l’utilisateur. Si l’administrateur donne son consentement, tous les utilisateurs du locataire peuvent utiliser le complément pour les étendues requises par le complément. Sinon, chaque utilisateur final sera invité à donner son consentement, si le consentement de l’utilisateur est activé. Le consentement de l’administrateur offre une meilleure expérience, car les utilisateurs ne sont pas invités.

L’une des options de consentement est que l’éditeur de logiciels indépendant vous fournit un URI de consentement administrateur.

  1. Le développeur du complément fournit un URI de consentement administrateur. Si ce n’est pas le cas dans la documentation qu’ils fournissent, vous devez les contacter pour plus d’informations.
  2. L’administrateur accède à l’URI de consentement de l’administrateur.
  3. L’administrateur est invité à se connecter et à donner son consentement à une liste d’étendues requises par le complément.
  4. Une fois l’opération terminée, le navigateur redirige vers une page web à partir de l’éditeur de logiciels indépendant, ce qui doit indiquer que le consentement a réussi.

En guise d’alternative, l’éditeur de logiciels indépendant peut fournir un manifeste d’application mis à jour qui demandera le consentement de l’administrateur dans le cadre du déploiement central. Dans ce scénario, lorsque vous déployez le manifeste d’application mis à jour, vous êtes invité à donner votre consentement avant que le déploiement puisse se terminer. Il n’est pas nécessaire d’utiliser un URI de consentement administrateur.

Enfin, si le complément est publié dans le magasin Microsoft 365, la mise à jour est déployée automatiquement et l’administrateur est invité à donner son consentement pour les étendues. Si l’administrateur ne donne pas son consentement, les utilisateurs ne pourront pas utiliser le complément mis à jour.

Veillez à ne pas désactiver les fonctionnalités ou à révoquer les autorisations requises par le complément. Pour obtenir un exemple, consultez Modification des propriétés de stratégie de boîte aux lettres. Le complément utilise des autorisations déléguées et a donc accès aux mêmes ressources que l’utilisateur connecté. Toutefois, si une stratégie ou un paramètre bloque l’utilisateur d’une ressource ou d’une action particulière, le complément est également bloqué.

Comment faire déployer des mises à jour de complément à partir d’un éditeur de logiciels indépendants ?

Si vous avez un complément qui utilise des jetons Exchange hérités, vous devez contacter votre éditeur de logiciels indépendant pour obtenir des informations sur ses chronologie de migrer son complément pour utiliser NAA. Une fois que l’éditeur de logiciels indépendant a migré son complément, il fournit probablement une URL de consentement administrateur. Pour plus d’informations, consultez Comment fonctionne le flux de consentement administrateur ? .

L’éditeur de logiciels indépendant peut également vous fournir un manifeste d’application mis à jour à déployer via un déploiement centralisé. Pendant le déploiement centralisé, cela peut vous inviter à donner votre consentement aux étendues Microsoft Graph requises par le complément. Dans ce scénario, vous n’avez pas besoin d’utiliser un URI de consentement administrateur.

Si le complément est déployé à partir de Microsoft AppSource, vous serez probablement invité à donner votre consentement aux étendues Microsoft Graph lorsque l’éditeur de logiciels indépendant déploiera les mises à jour du complément. Tant que vous n’avez pas donné votre consentement, les utilisateurs du locataire ne pourront pas utiliser la nouvelle version du complément avec NAA.

Quels sont les compléments de mon organization concernés ?

Nous avons publié une liste de tous les compléments Outlook publiés dans le Microsoft Store qui utilisent des jetons hérités à compter d’octobre 2024. Pour plus d’informations sur l’utilisation de la liste et la création d’un rapport sur les compléments Outlook qui utilisent potentiellement des jetons hérités, voir Rechercher des compléments Outlook qui utilisent des jetons de Exchange Online hérités. Nous travaillons également sur des outils de rapport pour faciliter le suivi des compléments à l’aide de jetons hérités. Nous espérons que les outils de rapport seront disponibles au début de 2025.

Les compléments peuvent utiliser les jetons hérités pour obtenir des ressources à partir d’Exchange via les API REST EWS ou Outlook. Parfois, un complément nécessite des ressources Exchange pour certains cas d’usage et non pour d’autres, ce qui rend difficile de déterminer si le complément nécessite une mise à jour. Nous vous recommandons de contacter les développeurs et les propriétaires de compléments pour leur demander si leur code de complément fait référence aux API suivantes.

  • makeEwsRequestAsync
  • getUserIdentityTokenAsync
  • getCallbackTokenAsync

Si vous vous appuyez sur un éditeur de logiciels indépendant pour votre complément, nous vous recommandons de le contacter dès que possible pour confirmer qu’il dispose d’un plan et d’un chronologie pour le déplacement des jetons Exchange hérités. Les développeurs d’éditeurs de logiciels indépendants doivent contacter directement leurs contacts Microsoft pour s’assurer qu’ils sont prêts pour la fin des jetons exchange hérités. Si vous vous fiez à un développeur au sein de votre organization, il doit consulter ce FAQ et l’article Activer l’authentification unique dans un complément Office à l’aide de l’authentification d’application imbriquée. Toutes les questions doivent être posées sur le site des problèmes GitHub OfficeDev/office-js.

Une fois que l’administrateur ou un utilisateur a donné son consentement, il est répertorié dans la centre d’administration Microsoft Entra. Vous pouvez trouver des inscriptions d’applications en procédant comme suit.

  1. Accédez à https://entra.microsoft.com/#home.
  2. Dans le volet de navigation gauche, sélectionnez Applications>inscriptions d'applications.
  3. Dans la page inscriptions d'applications, sélectionnez Toutes les applications.
  4. Vous pouvez désormais rechercher n’importe quelle inscription d’application par nom ou ID.

Existe-t-il une liste des éditeurs qui ont mis à jour leurs compléments ?

Certains éditeurs de compléments Outlook largement utilisés ont déjà mis à jour leurs compléments, comme indiqué ci-dessous.

Si l’éditeur a mis à jour son manifeste et que le complément est déployé via le Microsoft Store, vous êtes invité en tant qu’administrateur à mettre à niveau et à déployer les mises à jour. Si l’éditeur a mis à jour son manifeste et que le complément est déployé via un déploiement central, vous devez déployer le nouveau manifeste en tant qu’administrateur. Dans certains cas, l’éditeur peut avoir un URI de consentement administrateur que vous devez utiliser pour donner son consentement à de nouvelles étendues pour le complément. Contactez les éditeurs si vous avez besoin d’informations supplémentaires sur la mise à jour d’un complément.

FAQ sur la migration des compléments Outlook

Pourquoi Microsoft effectue-t-il la migration des compléments Outlook ?

Le passage à Microsoft Graph à l’aide de jetons d’ID Entra est une grande amélioration de la sécurité pour les clients Outlook et Exchange. Entra ID (anciennement Azure Active Directory) est un service cloud de premier plan de gestion des identités et des accès. Les clients peuvent tirer parti des fonctionnalités de confiance zéro, telles que l’accès conditionnel, les exigences MFA, la surveillance continue des jetons, l’heuristique de sécurité en temps réel, etc. qui ne sont pas disponibles avec les jetons Exchange hérités. Les clients stockent des données professionnelles importantes stockées dans Exchange. Il est donc essentiel de veiller à ce que ces données soient protégées. La migration de l’ensemble de l’écosystème Outlook pour utiliser des jetons d’ID Entra avec Microsoft Graph améliore considérablement la sécurité des données client.

Mon complément Outlook doit-il migrer vers NAA ?

Non. Les compléments Outlook n’ont pas besoin d’utiliser NAA, bien que NAA offre la meilleure expérience d’authentification pour les utilisateurs et la meilleure posture de sécurité pour les organisations. Si les compléments n’utilisent pas de jetons Exchange hérités, ils ne seront pas affectés par la dépréciation des jetons Exchange. Les compléments utilisant MSAL.js ou d’autres méthodes d’authentification unique qui s’appuient sur l’ID Entra continueront de fonctionner.

Comment faire savoir si mon complément Outlook s’appuie sur des jetons hérités ?

Pour savoir si votre complément utilise des jetons d’identité utilisateur Exchange hérités et des jetons de rappel, recherchez dans votre code les appels aux API suivantes.

  • makeEwsRequestAsync
  • getUserIdentityTokenAsync
  • getCallbackTokenAsync

Si votre complément appelle l’une de ces API, vous devez adopter NAA et migrer vers l’utilisation de jetons d’ID Entra pour accéder à Microsoft Graph à la place.

Quels sont les compléments Outlook dans l’étendue ?

De nombreux compléments principaux sont dans l’étendue. Si votre complément utilise EWS ou Outlook REST pour accéder à Exchange Online ressources, il doit certainement migrer des jetons Outlook hérités vers NAA. Si votre complément est destiné à Exchange en local uniquement (par exemple, Exchange 2019), il n’est pas affecté par cette modification.

Qu’adviendra-t-il de mes compléments Outlook si je ne migre pas vers NAA ?

Si vous ne migrez pas vos compléments Outlook vers NAA, ils cesseront de fonctionner comme prévu dans Exchange Online. Lorsque les jetons Exchange sont désactivés, Exchange Online bloque l’émission de jetons hérités. Tout complément qui utilise des jetons hérités ne pourra pas accéder aux ressources Exchange Online.

Si votre complément fonctionne uniquement en local ou si votre complément se trouve sur un chemin d’accès déconseillé, vous n’aurez peut-être pas besoin de le mettre à jour. Toutefois, la plupart des compléments qui accèdent aux ressources Exchange via EWS ou Outlook REST doivent migrer pour continuer à fonctionner comme prévu.

Comment faire migrer mes compléments Outlook vers NAA ?

Pour prendre en charge NAA dans votre complément Outlook, reportez-vous à la documentation et à l’exemple suivants.

Comment faire suivre les dernières recommandations ?

Nous allons mettre à jour ce FAQ dès que de nouvelles informations seront disponibles. Nous allons partager des conseils supplémentaires à l’avenir sur l’appel de la communauté des compléments Office et le blog du développeur M365. Enfin, vous pouvez poser des questions sur NAA et la dépréciation des jetons de Exchange Online hérités sur le site des problèmes GitHub OfficeDev/office-js. Veuillez placer « NAA » dans le titre afin que nous puissions regrouper et hiérarchiser les problèmes.

Si vous soumettez un problème, veuillez inclure les informations suivantes.

  • Version du client Outlook.
  • Audience du canal de mise en production Outlook (pour le client).
  • Capture d’écran du problème.
  • Plateforme où le problème se produit (Windows, Outlook (nouveau), Mac, iOS, Android).
  • ID de session où le problème est rencontré.
  • Type de compte utilisé.
  • Version de msal-browser.
  • Journaux à partir de msal-browser.

Questions du développeur

Comment faire obtenir plus d’informations de débogage auprès de MSAL et NAA ?

Utilisez le code suivant pour activer les informations de débogage dans msalConfig lorsque vous initialisez l’application cliente publique imbriquée. Cela permet d’enregistrer des détails supplémentaires dans la console.

const msalConfig = {
  auth: {...},
  system: {
    loggerOptions: {
      logLevel: LogLevel.Verbose,
      loggerCallback: (level, message, containsPii) => {
        switch (level) {
          case LogLevel.Error:
            console.error(message);
            return;
          case LogLevel.Info:
            console.info(message);
            return;
          case LogLevel.Verbose:
            console.debug(message);
            return;
          case LogLevel.Warning:
            console.warn(message);
            return;
        }
      },
    }
  }
};

Comment faire valider le jeton d’ID ou authentifier l’utilisateur ?

À l’aide de jetons Exchange, vous pouvez valider le jeton d’ID et l’utiliser pour autoriser l’utilisateur à accéder à vos propres ressources. Pour plus d’informations, consultez Authentifier un utilisateur avec un jeton d’identité pour Exchange. Toutefois, MSAL avec des jetons d’ID Entra n’utilise pas cette approche.

Lorsque vous demandez un jeton via MSAL, il retourne toujours trois jetons.

Jeton Objectif Étendues
Jeton d’ID Fournit des informations sur l’utilisateur au client (volet Office). profile et openid
Jeton d’actualisation Actualise l’ID et les jetons d’accès lorsqu’ils expirent. offline_access
Access token (Jeton d’accès) Authentifie l’utilisateur pour des étendues spécifiques auprès d’une ressource, telle que Microsoft Graph. Toutes les étendues de ressources, telles que user.read.

MSAL retourne toujours ces trois jetons. Il demande les profilevaleurs , openidet offline_access comme étendues par défaut, même si votre demande de jeton ne les inclut pas. Cela garantit que l’ID et les jetons d’actualisation sont demandés. Toutefois, vous devez inclure au moins une étendue de ressource, par exemple user.read pour obtenir un jeton d’accès. Si ce n’est pas le cas, la demande peut échouer.

Le passage du jeton d’ID via un appel réseau pour activer ou autoriser l’accès à un service est un anti-modèle de sécurité. Le jeton est destiné uniquement au client (volet Office) et il n’existe aucun moyen pour le service d’utiliser de manière fiable le jeton pour s’assurer que l’utilisateur dispose d’un accès autorisé. Pour plus d’informations sur les revendications de jeton d’ID, consultez https://learn.microsoft.com/en-us/entra/identity-platform/id-token-claims-reference.

Il est très important de toujours demander un jeton d’accès à vos propres services. Le jeton d’accès inclut également les mêmes revendications d’ID. Vous n’avez donc pas besoin de transmettre le jeton d’ID. Créez plutôt une étendue personnalisée pour votre service. Pour plus d’informations sur les paramètres d’inscription d’application pour vos propres services, consultez API web protégée : Inscription d’applications. Lorsque votre service reçoit le jeton d’accès, il peut le valider et utiliser des revendications d’ID à partir du jeton d’accès.

Comment faire déterminer si l’utilisateur est un compte en ligne ou local ?

Vous pouvez déterminer si l’utilisateur connecté dispose d’un compte Exchange Online ou d’un compte Exchange local à l’aide de la propriété Office.UserProfile.accountType. Si la valeur de la propriété de type de compte est enterprise, la boîte aux lettres se trouve sur un serveur Exchange local. Notez que la Outlook 2016 perpétuelle sous licence en volume ne prend pas en charge la propriété accountType. Pour contourner ce problème, appelez l’opération ResolveNames dans le service Web Exchange (EWS) sur le serveur local Exchange pour obtenir les types de destinataires.

Contenu connexe