Configurer l’authentification unique avec Microsoft Entra ID

Créer des inscriptions d’applications pour votre site web personnalisé

Pour configurer SSO, créez deux enregistrements d’application distincts :

• Un enregistrement d’application d’authentification pour l’authentification des utilisateurs Microsoft Entra ID dans votre agent.
• Une inscription de l’application canevas pour votre page web personnalisée.

Pour des raisons de sécurité, ne réutilisez pas la même inscription d’application pour votre agent et votre site web personnalisé.

1. Pour créer une inscription d’application d’authentification, suivez les instructions de configuration de l’authentification utilisateur avec l’ID Microsoft Entra.

2. Créez une deuxième inscription d’application qui servira d’inscription pour votre application canevas.

Ajouter une URL d’échange de jetons

Utilisez l’URI d’étendue complet exposé par l’inscription de l’application d’authentification en tant qu’URL d’échange de jetons. Si vous n'avez pas créé de portée personnalisée, suivez d’abord les instructions de Configurer l'authentification utilisateur avec Microsoft Entra ID en premier.

1. Dans le portail Azure sur la page d’inscription de votre application d’authentification, accédez à Exposer une API.

2. Sous Étendues, sélectionnez l’icône Copier dans le Presse-papier.

3. Dans Copilot Studio, dans le menu de navigation sous Settings, sélectionnez Security, puis sélectionnez la vignette Authentication.

4. Pour URL d’échange de jeton (obligatoire pour l’authentification SSO), collez le périmètre que vous avez copié précédemment.

5. Sélectionnez Enregistrer, puis publiez votre agent.

Autoriser l’application canevas à utiliser l’étendue de l’application d’authentification

1. Dans le portail Azure, ouvrez l’inscription de votre application canevas, puis accédez à Vue d’ensemble.

2. Copiez la valeur de l’ID d’application (client) sous Essentials.

3. Ouvrez l’inscription de votre application d’authentification, puis sélectionnez Gérer>Exposer une API.

4. Sous Applications clientes autorisées, sélectionnez Ajouter une application cliente.

5. Dans ID client, collez l’ID client de l’application canevas.

6. Dans la section Champs d’application autorisés, sélectionnez le scope que vous avez créé pour l’échange de jetons, puis sélectionnez Ajouter une application.

Configurez l’enregistrement de votre application canevas

1. Ouvrez l’inscription de votre application canevas et accédez à Authentification.

2. Sous Configurations de plateforme, sélectionnez Ajouter une plateforme, puis sélectionnez SPA.

3. Sous URI de redirection, entrez l’URL de votre page web. Par exemple : https://www.contoso.com/index.html.

4. Sous la section Octroi implicite et flux hybrides, activez les deux Jetons d’accès (utilisés pour les flux implicites) et Jetons d’ID (utilisés pour les flux implicites et hybrides).

5. Cliquez sur Configurer.

Configurer SSO dans votre page Web

Utilisez l’exemple complet de SSO de Microsoft Entra ID, y compris ses bibliothèques et le middleware Chat Web. Suivez le README de l’exemple et mettez à jour les placeholders de configuration dans index.html.

1. Dans le portail Azure, ouvrez l’inscription d’application de votre application canevas.

2. Dans Vue d’ensemble, copiez l’ID Application (client) et l’ID de l’annuaire (locataire).

   

3. Remplacez les espaces réservés de l’ID client et de l’ID de locataire de l’exemple par les valeurs de l’inscription de l’application canevas. N’utilisez pas l’identifiant client de l’application d’authentification ici.

4. Remplacez l’espace réservé du point de terminaison du jeton par l’URL du point de terminaison du jeton de l’agent.

5. Si vous personnalisez l’ID utilisateur, veillez à respecter la limite de 64 caractères définie dans l’exemple.

6. Enregistrez vos modifications.

7. Hébergez la page à l’URL de redirection que vous avez enregistrée. Connectez-vous en utilisant le bouton de connexion de l’exemple, puis lancez une conversation nécessitant une authentification.

   Lorsque l’échange de jetons réussit, l’agent ne vous demande pas de vous reconnecter ni de copier un code de validation dans le chat. Si c’est le cas, vérifiez les identifiants de l’application Canvas, le périmètre autorisé, l’URL d’échange de jetons et la publication de l’agent.

   Note

   Le bouton de connexion de l’exemple établit la session initiale de l’utilisateur connecté. En production, votre application doit gérer cette connexion initiale. Conservez la carte de connexion de secours accessible en cas d’échec de l’échange de jetons.

Les procédures suivantes configurent un canevas de site web personnalisé pour un agent créé dans le plan Teams. Elles ne constituent pas la procédure de configuration du canal Microsoft Teams.

Présentation technique

SSO dans un canvas personnalisé utilise le flux d’échange de jetons suivant :

1. L’utilisateur de l’agent entre une phrase qui déclenche une rubrique de connexion. La rubrique de connexion est conçue pour connecter l’utilisateur et utiliser son jeton authentifié(variable User.AccessToken).

2. Copilot Studio envoie une invite de connexion pour permettre à l’utilisateur de se connecter à l’aide de son fournisseur d’identité configuré.

3. Le canevas personnalisé de l’assistant intercepte la requête de connexion et demande un jeton On-Behalf-Of (OBO) à Microsoft Entra ID. Le canevas envoie le jeton à l’assistant.

4. L’agent échange le jeton OBO contre un jeton d’accès et le stocke dans User.AccessToken. La variable User.IsLoggedIn est également définie à ce moment-là.

Créer une inscription d’application dans Microsoft Entra ID pour votre canevas personnalisé

Pour configurer l’authentification unique (SSO), il faut deux enregistrements d’application distincts :

• Un pour l'authentification utilisateur de votre agent avec Microsoft Entra ID.
• Un pour l’authentification unique (SSO) dans votre canevas personnalisé.

Créer une inscription d’application pour le canevas de l’assistant

1. Connectez-vous au portail Azure.

2. Accédez à inscriptions d'applications, en sélectionnant l’icône ou en recherchant dans la barre de recherche supérieure.

3. Cliquez sur Nouvelle inscription.

4. Entrez un nom pour l’inscription. Utilisez le nom de l’assistant dont vous inscrivez le canevas et incluez « canevas » pour le distinguer de l’inscription de l’application d’authentification.

   Par exemple, si votre agent s’appelle « Aide aux ventes Contoso », vous pouvez nommer l’inscription de l’application « ContosoSalesCanvas » ou quelque chose de similaire.

5. Dans la section Types de comptes pris en charge, sélectionnez Comptes dans n’importe quel locataire organisationnel (n’importe quel répertoire Microsoft Entra ID - Multitenant) et les comptes Microsoft personnels (par exemple, Skype, XBOX).

6. Laissez la section URI de redirection vide pour l’instant, car vous entrez ces informations dans les étapes suivantes. Cliquez sur Inscrire.

7. Une fois l’inscription terminée, elle ouverte dans la page Aperçu. Aller à Manifeste. Confirmez que accessTokenAcceptedVersion est réglé sur 2. Si ce n’est pas le cas, remplacez-le par 2, puis sélectionnez Enregistrer.

Ajouter l’URL de redirection

1. Les inscriptions étant ouvertes, rendez-vous sur Authentification, puis sélectionnez Ajouter une plateforme.

2. Dans le panneau Configurer les plateformes , sélectionnez Web.

3. Sous URI de redirections, ajoutez l’URL complète de la page où votre canevas de chat est hébergé. Sous la section Octroi implicite, cochez les cases Jetons d’identification et Jetons d’accès.

4. Sélectionnez Configurer pour confirmer vos modifications.

5. Accédez à Autorisations de l’API. Sélectionnez Accorder le consentement de l’administrateur pour <votre nom de locataire>, puis Oui.

   Important

   Pour éviter aux utilisateurs d’avoir à accorder leur consentement à chaque application, une personne à laquelle au moins le rôle Administrateur d’application ou Administrateur d’application cloud est affectée peut accorder son consentement à l’échelle du locataire à vos inscriptions d’applications.

Définir une étendue personnalisée pour votre agent

Définissez un scope personnalisé pour l’enregistrement de l’application d’authentification, et autorisez l’application Canvas à l’utiliser. Pour en savoir plus sur les étendues, consultez le glossaire des développeurs de la plateforme d’identités Microsoft.

Cette étape crée une relation de confiance entre l’inscription de l’application d’authentification pour l’authentification et l’inscription d’application pour votre canevas personnalisé.

1. Ouvrez l’inscription d’application que vous avez créée lorsque vous avez configuré l’authentification.

2. Allez dans les permissions API et assurez-vous d’ajouter les bonnes permissions pour votre agent. Sélectionnez Accorder le consentement de l’administrateur pour <votre nom de locataire>, puis Oui.

   Important

   Pour éviter aux utilisateurs d’avoir à accorder leur consentement à chaque application, une personne à laquelle au moins le rôle Administrateur d’application ou Administrateur d’application cloud est affectée peut accorder son consentement à l’échelle du locataire à vos inscriptions d’applications.

3. Accédez à Exposer une API et sélectionnez Ajouter une étendue.

4. Entrez un nom pour l’étendue, ainsi que les informations d’affichage présentées aux utilisateurs lorsqu’ils affichent l’écran SSO. Sélectionnez Ajouter une étendue.

5. Sélectionnez Ajouter une application cliente.

6. Entrez l’ID d’application (client) issu de la page Aperçu de l’inscription de l’application canevas dans le champ ID client. Cochez la case correspondant à l’étendue répertoriée que vous avez créée.

7. Sélectionnez Ajouter une application.

Configurez l’authentification dans Copilot Studio pour SSO

Utilisez l’URL d’échange de jetons dans la configuration d’authentification de Copilot Studio pour échanger le jeton OBO contre le jeton d’accès demandé via Bot Framework.

Copilot Studio appelle Microsoft Entra ID pour effectuer l’échange réel.

1. Connectez-vous à Copilot Studio.

2. Ouvrez l’agent que vous souhaitez configurer.

3. Dans le menu de navigation, sous Paramètres, sélectionnez Sécurité. Ensuite, sélectionnez la carte Authentification.

4. Dans l’URL d’échange de jeton, saisissez l’URI d’étendue complète depuis la page Expose an API de l’enregistrement de l’application d’authentification. Le format est api://<AuthenticationAppClientId>/<ScopeName>.

5. Sélectionnez Enregistrer, puis publiez le contenu de l’agent.

Configurez votre HTML personnalisé Canvas pour SSO

Utilisez l’exemple complet de SSO de Microsoft Entra ID au lieu de combiner des fragments partiels de script. L’exemple comprend la configuration de la Microsoft Authentication Library (MSAL), le middleware Chat Web et la gestion des échanges de jetons.

1. Suivez le README de l’exemple pour configurer l’ID Application (client) et l’ID du répertoire (locataire) de l’application Canvas.

2. Configurez l’URL du point de terminaison de jeton pour votre agent. Ne construis pas d’endpoint de jeton à partir de l’identifiant de l’agent.

3. Conservez la carte de connexion de secours en cas d’échec de l’acquisition silencieuse de jetons ou de l’échange de jetons.

4. Hébergez la page à l’URL de redirection que vous avez enregistrée. Connectez-vous à l’aide du bouton de l’exemple, puis déclenchez une rubrique de l’assistant qui nécessite une authentification. Confirmez que l’échange de jetons réussi évite une seconde invite de connexion ou un code de validation.

Exemple de code complet

Pour en savoir plus, consultez l’exemple SSO du Microsoft Entra ID. Utilisez les instructions d’enregistrement et de configuration de l’application qui correspondent à la version de l’exemple que vous déployez.