Connecter un tenant
Ce que fait la connexion d'un tenant
La connexion donne à BaaStide le droit de lire les données du tenant chez Microsoft. Elle se fait une seule fois par tenant.
Vous créez d'abord l'endpoint Tenant Microsoft 365 dans le portail. Le portail répond avec un lien à usage unique. Un administrateur global du tenant ouvre ce lien, se connecte chez Microsoft et accepte les permissions de BaaStide. BaaStide crée alors une application dédiée dans le tenant et garde son certificat. Le mot de passe de l'administrateur ne passe jamais par BaaStide.
Quand la connexion est finie, l'inventaire et les sauvegardes quotidiennes démarrent seuls.
Prérequis
- Le module Microsoft 365 activé sur l'instance.
- Le rôle Technicien ou Administrateur dans le MSP. Le rôle Administrateur plateforme ne connecte pas un tenant.
- Le client déjà créé dans le portail. Voir Clients.
- Le domaine principal du tenant (par exemple
contoso.onmicrosoft.com) ou l'ID du tenant. - Un compte administrateur global du tenant, tenu par vous ou par le client.
Créer le tenant et son lien
- Ouvrez la fiche du client, ou la page Endpoints.
- Cliquez sur Ajouter un endpoint.
- Choisissez le type Tenant Microsoft 365.
- Depuis la page Endpoints, choisissez le client dans la liste. Depuis la fiche d'un client, le portail garde ce client.
- Dans le champ Tenant, saisissez le domaine principal du tenant ou son ID.
- Cliquez sur Créer le lien.
- Depuis la page Endpoints, le portail demande de confirmer le client. Lisez le nom du client, puis cliquez sur Confirmer.
Le portail affiche le lien à usage unique et sa date de validité. Le lien est valable 24 heures.
Le lien n'existe que tant que ce dialogue reste ouvert. Le portail ne le montre pas une deuxième fois. Copiez la procédure avant de fermer le dialogue.
Deux chemins mènent ensuite à l'accord de l'administrateur. Choisissez celui qui convient.
Chemin 1 : se connecter maintenant
Prenez ce chemin quand vous tenez vous-même le compte administrateur global du tenant.
- Cliquez sur Se connecter maintenant. Microsoft s'ouvre dans un nouvel onglet.
- Connectez-vous chez Microsoft avec le compte administrateur global du tenant.
- Lisez les permissions demandées pour la sauvegarde BaaStide, puis acceptez.
- Revenez à l'onglet du portail. Le dialogue suit l'avancement.
Saisissez les identifiants uniquement chez Microsoft, jamais dans un écran BaaStide.
Chemin 2 : remettre la procédure à l'administrateur
Prenez ce chemin quand l'administrateur du client tient le compte. Vous ne demandez jamais son mot de passe.
- Cliquez sur Remettre la procédure à l'administrateur. Le portail affiche la procédure complète, avec le lien et sa date de validité.
- Cliquez sur Copier la procédure complète.
- Envoyez la procédure à l'administrateur du client, par votre propre moyen.
- Laissez le dialogue ouvert. Il suit l'avancement.
BaaStide n'envoie aucun email à l'administrateur. L'envoi est à votre charge.
La procédure dit à l'administrateur de :
- Ouvrir le lien avant son expiration.
- Se connecter chez Microsoft avec un compte administrateur du tenant concerné, et de ne jamais partager ses identifiants avec le MSP.
- Vérifier et accepter les permissions pour la sauvegarde BaaStide.
- Attendre le résultat de la connexion.
Quand l'administrateur ouvre le lien, une page BaaStide lui demande de confirmer. Il clique sur Continuer vers Microsoft. Cette page ne consomme pas le lien : un antivirus ou un analyseur de liens qui ouvre le lien ne le gâche pas.
Suivre la connexion
Le bloc Progression de la connexion du dialogue donne l'étape en cours. Il se met à jour tout seul jusqu'à la fin.
Les étapes arrivent dans cet ordre :
| # | Étape |
|---|---|
| 1 | En attente de l'administrateur du tenant |
| 2 | Création de l'application |
| 3 | Création du certificat |
| 4 | Création du principal de service |
| 5 | Attribution de la propriété |
| 6 | Attribution des permissions |
| 7 | Attente de la prise en compte par Microsoft |
| 8 | Découverte des boîtes mail et OneDrive |
| 9 | Connecté |
À l'étape Connecté, le dialogue écrit « Le tenant est connecté. La découverte et les sauvegardes quotidiennes démarrent seules. » Un bouton ouvre la page du tenant.
Trois états arrêtent la progression : Échec, Lien expiré et Reconnexion nécessaire. Dans ces trois cas, créez un nouveau lien avec Reconnecter.
Causes d'un arrêt
| Message | Ce qu'il faut faire |
|---|---|
| Le lien n'est pas valide ou a déjà servi. | Créez un nouveau lien avec Reconnecter. |
| La réponse de connexion n'était pas valide. Recommencez avec un nouveau lien. | Créez un nouveau lien. |
| L'administrateur s'est connecté à un autre tenant que celui saisi. | Vérifiez le tenant saisi, puis recommencez avec le bon compte. |
| La réponse de connexion est revenue à une mauvaise adresse. | Créez un nouveau lien. Si la cause revient, contactez le support. |
| L'administrateur a refusé l'accord. | Expliquez les permissions à l'administrateur, puis créez un nouveau lien. |
| Le compte connecté n'est pas administrateur global du tenant. | Recommencez avec un compte administrateur global du tenant. |
| Une stratégie d'accès conditionnel du tenant a bloqué la connexion. | L'administrateur du tenant doit adapter sa stratégie, puis vous créez un nouveau lien. |
| Microsoft a mis trop de temps à appliquer les changements. | Créez un nouveau lien. |
| Microsoft limite les requêtes. BaaStide réessaie seul. | Attendez. Le bloc donne la date du prochain essai. |
| Microsoft est injoignable. BaaStide réessaie seul. | Attendez. Le bloc donne la date du prochain essai. |
| La connexion a été interrompue. | Créez un nouveau lien. |
Reconnecter un tenant
Reconnectez un tenant quand BaaStide ne peut plus lire ses données. Le tenant ne change pas, et ses sauvegardes déjà faites restent. La reconnexion répare l'application existante dans le tenant ; elle n'en crée pas une deuxième.
L'onglet Connexion du tenant écrit l'état et ce qu'il faut faire :
| État | Ce qu'il veut dire |
|---|---|
| Connecté | BaaStide lit le tenant. |
| Permission manquante | Une permission de BaaStide a été retirée dans le tenant. Reconnectez le tenant pour l'accorder de nouveau. |
| Reconnexion requise | BaaStide ne peut plus se connecter au tenant. Les sauvegardes sont arrêtées d'ici là. |
| Indisponible | L'état de la connexion ne peut pas être vérifié pour le moment. Attendez le prochain contrôle. |
Pour reconnecter :
- Ouvrez la page du tenant.
- En haut à droite, cliquez sur le bouton …, puis sur Reconnecter.
- Cliquez sur Créer le lien.
- Suivez ensuite le chemin 1 ou le chemin 2, comme pour une première connexion.
L'onglet Connexion donne aussi l'ID du tenant, la date de fin de validité du certificat et la date du dernier contrôle quotidien.
Limites et précautions
- Le lien à usage unique est valable 24 heures. Après ce délai, le dialogue écrit qu'il a expiré. Créez un nouveau lien avec Reconnecter.
- Le lien ne sert qu'une fois. Un lien déjà utilisé ne marche plus.
- Le lien et le suivi de la progression vivent dans le dialogue ouvert. Si vous fermez le dialogue, vous les perdez. Ouvrez la page du tenant pour lire son état, ou créez un nouveau lien avec Reconnecter.
- Ne demandez jamais le mot de passe de l'administrateur du client. Les identifiants se saisissent chez Microsoft seulement.
- Un tenant déjà connecté, ou en cours de connexion, est refusé : le portail écrit « Ce tenant est déjà connecté ou en cours de connexion. »
- Un domaine ou un ID que Microsoft ne connaît pas est refusé : le portail écrit « Aucun tenant Microsoft 365 n'a ce domaine ou cet ID. »
- Une deuxième reconnexion lancée pendant qu'une connexion tourne est refusée : le portail écrit « Une connexion de ce tenant est déjà en cours. »
- Le client d'un endpoint ne se change pas après la création. Vérifiez le client avant de confirmer.
- Le rôle Lecture seule ne voit pas l'action Reconnecter. Le rôle Administrateur plateforme non plus : seuls un administrateur ou un technicien du MSP reconnectent un tenant.
- Le certificat de l'application est valable 6 mois. BaaStide le renouvelle tout seul tous les 2 mois. Vous n'avez rien à faire tant que l'onglet Connexion écrit Connecté.
Référence
Les routes POST /m365/endpoints, POST /endpoints/{id}/m365/reconnect et
GET /endpoints/{id}/m365/connection sont dans la
référence de l'API.