Intégration Office 365

Intégrations · Authentification · 1.2

L’intégration entre Gfacility et Office 365 repose sur une approche 2-legged avec une inscription d’application dans Microsoft Entra ID (anciennement Azure Active Directory). Gfacility se connecte avec l’identité propre de cette application, sans fenêtre contextuelle ni consentement par utilisateur. C’est plus stable et plus sûr.

Comment ça fonctionne ?

L’intégration comporte quatre volets. Vous activez chacun d’eux séparément dans Gfacility, sous Intégrations & Connexion → Office 365. Tous passent par une seule inscription d’application de votre organisation.

Synchronisation des utilisateurs · chaque nuit

Importe vos employés dans Gfacility.

Synchronisation des départements · avec celle des utilisateurs

Rattache chaque employé à son département.

Synchronisation des emplacements · chaque nuit

Importe les salles de réunion dans Gfacility, avec leur bâtiment et leur étage.

Synchronisation des calendriers · instantanée

Garde les réservations identiques dans Gfacility et dans Outlook.

Synchronisation des utilisateurs

Chaque nuit, Gfacility récupère vos employés depuis Microsoft.

Nouvel employé ? Il est créé.
Informations modifiées ? Le nom, l’adresse e-mail et le numéro de téléphone sont mis à jour.
Parti de l’entreprise ? Toute personne qui ne figure plus dans Microsoft passe en inactif dans Gfacility.

Quels champs sont repris ?

Champ dans Microsoft	Champ dans Gfacility
Nom de connexion (`userPrincipalName`)	Adresse e-mail
Prénom (`givenName`)	Prénom
Nom (`surname`)	Nom
Téléphone mobile (`mobilePhone`)	Numéro de téléphone
Département (`department`)	Organisation primaire, uniquement si la synchronisation des départements est activée
Licence	Actif ou inactif

Attention : l’adresse e-mail dans Gfacility correspond au nom de connexion Microsoft, et non au champ E-mail. En général, les deux sont identiques.

Non repris : l’intitulé de poste, le bureau, le téléphone professionnel et la photo de profil. Un nouvel employé reçoit l’organisation par défaut et l’emplacement par défaut de votre espace de travail ; vous pouvez les modifier ensuite dans Gfacility.

Bon à savoir :

Seuls les employés disposant d’une licence Microsoft 365 sont inclus. Les salles et les boîtes aux lettres partagées ne le sont pas.
La synchronisation des utilisateurs ne gère pas la connexion. Elle sert uniquement à ce que Gfacility connaisse vos employés. Pour la connexion, choisissez Se connecter avec Microsoft ou le SSO.

Importer seulement une partie de vos employés ?

Gfacility récupère toujours tous les employés. Il est impossible de restreindre cela dans Microsoft, ni avec RBAC, ni en attribuant des utilisateurs à l'application. C'est donc Gfacility qui configure le filtre pour vous.

Envoyez-nous pour cela une requête : la règle qui définit qui est inclus. Par exemple :

Par domaine de messagerie : endswith(mail,'@votreentreprise.fr')
Par département : department eq 'Services généraux'
Par pays : usageLocation eq 'FR'
Combinez avec and, or et not.

Vous ne connaissez pas la requête ? Décrivez simplement qui doit être inclus et qui ne doit pas l'être. Nous la rédigeons pour vous. Le filtrage par groupe n'est pas encore possible. Attention : toute personne qui ne correspond plus au filtre passe en inactif lors de la synchronisation suivante.

Synchronisation des départements

La synchronisation des départements est une option supplémentaire de la synchronisation des utilisateurs. Vous l’activez sous Intégrations & Connexion → Office 365, juste en dessous de la synchronisation des utilisateurs. Le bouton n’apparaît qu’une fois la synchronisation des utilisateurs activée. Aucune autorisation supplémentaire n’est nécessaire : User.Read.All suffit.

À chaque synchronisation des utilisateurs, Gfacility lit le champ Department (Service) de chaque utilisateur dans Microsoft Entra ID et le rattache, comme organisation primaire, à l’organisation qui porte ce nom.

Situation	Ce que fait Gfacility
Une organisation portant ce nom existe	L'utilisateur est rattaché à cette organisation. Gfacility la recherche d'abord par nom, puis par code, sans tenir compte des majuscules et minuscules.
Aucune organisation n'existe encore	Gfacility crée une nouvelle organisation au premier niveau, avec le nom du département comme nom et comme code, et le type d'organisation Département (ou le type par défaut s'il n'existe pas).
Le département est vide dans Entra	L'utilisateur conserve son organisation actuelle. Un nouvel utilisateur reçoit l'organisation par défaut.
Le département d'un utilisateur change	Lors de la synchronisation suivante, il est rattaché à la nouvelle organisation.

Bon à savoir

Entra fait foi. Une organisation primaire modifiée à la main dans Gfacility reprend le département d'Entra lors de la synchronisation suivante.
Les organisations existantes ne sont jamais modifiées ni supprimées. Si un département disparaît d'Entra, l'organisation reste dans Gfacility.
Vos organisations existent déjà ? Vérifiez que le nom ou le code correspond exactement au département dans Entra avant d'activer la synchronisation. Sinon, Gfacility crée une seconde organisation. Vous voulez un autre nom dans Gfacility ? Indiquez le nom du département Entra dans le code.
Les organisations nouvellement créées se trouvent au premier niveau. Vous pouvez ensuite les déplacer dans l'arborescence ; le rattachement continue de fonctionner, car il passe par le nom ou le code.
Activer la synchronisation des départements alors que celle des utilisateurs est active lance immédiatement une synchronisation.

Synchronisation des emplacements (Places)

Chaque nuit, Gfacility récupère les salles de réunion depuis Microsoft. Pour chaque salle, le nom, la capacité, le bâtiment et l’étage sont mis à jour. Un bâtiment ou un étage qui n’existe pas encore est créé par Gfacility.

Quels champs sont repris ?

Champ dans Microsoft	Champ dans Gfacility
Nom d'affichage (`DisplayName`)	Nom
Adresse e-mail de la salle	Adresse e-mail (le lien avec le calendrier de la salle)
Capacité (`Capacity`)	Capacité
Bâtiment (`Building`)	Bâtiment (emplacement parent)
Numéro d'étage (`Floor`)	Étage (nom et code)
ID de la salle	Code

Non repris : le nom de l’étage (FloorLabel), l’adresse et la ville, les équipements (écran, audio, vidéo), l’accessibilité en fauteuil roulant et les étiquettes.

Attention : à chaque synchronisation, Gfacility remet aussi la salle en réservable et remplit la description avec un texte fixe. Si vous modifiez l’un ou l’autre dans Gfacility, la synchronisation suivante les rétablit. Pour qu’une salle ne soit plus modifiée, désactivez la synchronisation externe de cette salle dans Gfacility.

La configuration côté Microsoft est expliquée dans Gestion des salles dans Microsoft.

Synchronisation des calendriers

La synchronisation des calendriers fonctionne dans les deux sens :

De Gfacility vers Outlook. Créez une réservation dans Gfacility : elle apparaît aussi dans le calendrier Outlook de l’organisateur, salle comprise. Modifiez-la ou annulez-la, et la modification se répercute dans Outlook.
D’Outlook vers Gfacility. Déplacez, modifiez ou annulez cette réunion dans Outlook, et Gfacility met immédiatement la réservation à jour.
Calendriers des salles. Gfacility lit aussi les calendriers des salles de réunion. Le tableau de planification et les écrans de salle affichent donc également les réunions réservées uniquement dans Outlook.

Qu’est-ce qui est synchronisé ?

Donnée	Sens
Titre	Dans les deux sens
Heure de début et de fin, journée entière	Dans les deux sens
Description	Dans les deux sens (le texte Teams est supprimé)
Participants (collègues et visiteurs)	Dans les deux sens
Salles	Dans les deux sens. Dans Outlook, elles apparaissent comme participant et sous Lieu
Réunion Teams et son lien	Dans les deux sens
Annulation	Dans les deux sens
Organisateur	D'Outlook vers Gfacility
Restauration et services	Restent dans Gfacility. Si l'heure ou la salle change dans Outlook, ils sont signalés pour vérification

Depuis les calendriers des salles, Gfacility lit pour chaque réunion : le titre, l’heure de début et de fin, l’organisateur, le nombre de participants et le fait que la salle ait accepté ou non. Une réunion marquée comme privée dans Outlook s’affiche dans Gfacility comme « Privé ».

Bon à savoir :

Une réunion réservée uniquement dans Outlook ne devient pas une réservation dans Gfacility. La salle apparaît en revanche comme occupée.
Chaque nuit, Gfacility vérifie s’il a manqué des modifications et les rattrape.

Comment le mettre en place ?

Il faut quatre étapes :

Créer une inscription d’application dans Microsoft.
Attribuer les autorisations.
Choisir comment Gfacility peut accéder aux calendriers.
Saisir les informations dans Gfacility.

Activez ensuite dans Gfacility les volets que vous souhaitez utiliser.

1. Créer une inscription d’application dans le portail Azure

Créez une inscription d’application dédiée à Gfacility, distincte des autres applications. Vous gardez ainsi la maîtrise du contrôle et de la sécurité.

Étape	Que faire
1	Connectez-vous au portail Azure → Inscriptions d'applications.
2	Cliquez sur + Nouvelle inscription et saisissez un nom.
3	Choisissez le type de compte approprié (par ex. Comptes dans cet annuaire organisationnel uniquement).
4	L'URI de redirection peut rester vide.
5	Cliquez sur S'inscrire. Notez l'ID d'application (client) et l'ID de l'annuaire (locataire).
6	Allez dans Certificats et secrets.
7	Cliquez sur + Nouveau secret client, ajoutez une description et une date d'expiration.
8	Cliquez sur Ajouter.

2. Attribuer les autorisations d’API

Dans l’inscription d’application, allez dans Autorisations d’API → + Ajouter une autorisation → Microsoft Graph. Ajoutez selon le cas d’usage :

Intégration des utilisateurs

Pour que Gfacility connaisse vos employés. Pour la connexion elle-même, consultez Connexion avec Microsoft ou SSO.

Application : User.Read.All
Déléguée : User.Read

Places / Emplacements

Synchronisation automatique des salles de réunion depuis Outlook.

Application : Place.Read.All

Calendriers (événements Outlook)

Pour les réservations, la planification, les analyses et les écrans de salle. Vous choisissez pour cela l'une de deux méthodes à l'étape 3 ; n'ajoutez donc rien ici pour l'instant.

Calendriers partagés

Accès aux boîtes aux lettres partagées.

Déléguée : Calendars.Read.Shared
Déléguée : Calendars.ReadWrite.Shared

Pour finir, cliquez sur Accorder un consentement d’administrateur pour [tenant]. Sans cela, les autorisations restent en attente.

3. Choisir comment Gfacility peut accéder aux calendriers

Gfacility doit lire et écrire des événements dans les calendriers des salles et des utilisateurs. Choisissez l’une de ces deux méthodes :

Option A · Tous les calendriers

La plus simple. Gfacility a accès à tous les calendriers de votre tenant.

Application : Calendars.ReadWrite

Ajoutez-la dans Entra ID à côté des autorisations de l'étape 2 et accordez le consentement administrateur. Calendars.Read n'est pas nécessaire : ReadWrite inclut déjà la lecture.

Option B · Accès restreint via Exchange RBAC

Gfacility n'a accès qu'aux boîtes aux lettres que vous choisissez, par exemple les salles et les employés qui réservent.

N'ajoutez aucune autorisation de calendrier dans Entra ID. Vous gérez l'accès dans Exchange Online, voir les étapes ci-dessous.

L’option B pas à pas (Exchange Online PowerShell)

1. Connectez-vous et créez le principal de service. Utilisez l’ID d’application et l’ID d’objet de l’application d’entreprise, et non ceux de l’inscription d’application :

Connect-ExchangeOnline

New-ServicePrincipal `
  -AppId "<Application ID>" `
  -ObjectId "<Enterprise App Object ID>" `
  -DisplayName "Gfacility Application RBAC"

2. Créez une étendue. À partir d’un domaine ou d’un groupe à extension messagerie (les groupes de sécurité classiques ne fonctionnent pas) :

# Option 1 : par domaine (les nouveaux utilisateurs entrent automatiquement dans l'étendue)
New-ManagementScope `
  -Name "Gfacility-DomainScope" `
  -RecipientRestrictionFilter "PrimarySmtpAddress -like '*@contoso.com'"

# Option 2 : par groupe à extension messagerie (contrôle total)
$Group = Get-DistributionGroup "Gfacility Scope"
New-ManagementScope `
  -Name "Gfacility-GroupScope" `
  -RecipientRestrictionFilter "MemberOfGroup -eq '$($Group.DistinguishedName)'"

3. Attribuez le rôle. Utilisez Application Calendars.ReadWrite, car Gfacility écrit les réservations dans les calendriers. Avec seulement Application Calendars.Read, les réservations n’arrivent jamais dans Outlook.

New-ManagementRoleAssignment `
  -Name "Gfacility-Calendars-Scoped" `
  -Role "Application Calendars.ReadWrite" `
  -App "<Application ID>" `
  -CustomResourceScope "Gfacility-DomainScope"

Get-ManagementRoleAssignment -App "<Application ID>" | Format-List Name,Role,CustomResourceScope

4. Testez avec une salle et un utilisateur :

Test-ServicePrincipalAuthorization -Identity "<Application ID>" -Resource "salle-reunion1@contoso.com"
Test-ServicePrincipalAuthorization -Identity "<Application ID>" -Resource "employe@contoso.com"

Les deux doivent afficher InScope True, avec Calendars.ReadWrite.

Consultez aussi le guide Microsoft sur le RBAC pour les applications dans Exchange Online.

4. Saisir les informations dans Gfacility

L’administrateur Gfacility saisit ces informations sous Intégrations & Connexion → Office 365 → Compte de service (inscription d’application) et clique sur Tester la connexion. Vous pouvez aussi nous les transmettre :

ID d’application (client)
ID de l’annuaire (locataire)
Valeur du secret client

Transmettez ces informations sensibles par un moyen sécurisé (un lien de gestionnaire de mots de passe), jamais en clair dans un e-mail.

← Précédent : Gestion des salles dans Microsoft Suivant : Connexion avec Microsoft→