Office 365 integratie

Bijgewerkt op jan 15, 2026

Configuratie & Beheer

Office 365 Integratie

De integratie tussen Gfacility en Office 365 wordt tot stand gebracht via een 2-legged approach met behulp van een app-registratie in Microsoft Entra ID (voorheen Azure Active Directory). Zodra de app-registratie is aangemaakt, gebruiken we de Application ID en het Client Secret om de verbinding te configureren.

Hoe werkt de 2-legged approach?

In de 2-legged approach authenticeert de applicatie (Gfacility) zichzelf met zijn eigen identiteit om toegang te krijgen tot Office 365-bronnen. Er is geen afzonderlijke authenticatie of pop-up vereist voor de eindgebruiker. Dit is veiliger en stabieler, omdat het aantal betrokken partijen in het authenticatieproces tot een minimum wordt beperkt.

1. Maak een app-registratie aan in de Azure Portal

Het wordt ten zeerste aanbevolen om een specifieke app-registratie voor Gfacility aan te maken. Dit zorgt ervoor dat de integratie onafhankelijk is van andere applicaties en biedt optimale controle en beveiliging.

Log in op de Azure Portal en ga naar App registrations.
Klik op + New registration en voer een naam in.
Selecteer het juiste ondersteunde accounttype (bijv. Accounts in this organizational directory only).
U kunt de Redirect URI leeg laten.
Klik op Register. Noteer de Application (client) ID en de Directory (tenant) ID van de overzichtspagina.
Klik in het linkermenu onder Manage op Certificates & secrets.
Klik op + New client secret, voer een beschrijving in en kies een vervaldatum.
Klik op Add.

⚠️

Belangrijk met betrekking tot het Client Secret

Kopieer en bewaar de Value van het client secret onmiddellijk. Dit zal nooit meer volledig worden weergegeven.
Noteer de vervaldatum in uw eigen administratie, zodat u ons een nieuw geheim kunt verstrekken voordat de verbinding verloopt.

2. API-machtigingen toewijzen

Nu de app is geregistreerd, moeten we Microsoft Graph-machtigingen toewijzen. De vereiste machtigingen zijn afhankelijk van de modules die u gebruikt.

Ga naar uw nieuw aangemaakte App-registratie en klik op API permissions.

Klik op + Add a permission en kies Microsoft Graph.

Kies Application permissions (of Delegated, afhankelijk van de vereiste) en voeg de onderstaande machtigingen toe.

👥 Gebruikersintegratie

Voor het automatisch aanmaken en inloggen van gebruikers.

Application permission: User.Read.All
Delegated permission: User.Read

🏢 Plaatsen (Locaties)

Voor automatische synchronisatie van locaties/vergaderruimtes.

Application permission: Place.Read.All

📅 Outlook Events

Voor agendasyncronisatie (vereist voor planning, analytics of room display functies).

Application permission: Calendars.Read
Application permission: Calendars.ReadWrite

Klik ten slotte (belangrijk!) op de knop ✅ Grant admin consent for [Uw Tenant] om de machtigingen te activeren.

Hoe werkt de Places-integratie?

Deze integratie zorgt voor een naadloze eenrichtingssynchronisatie (van Outlook naar Gfacility). Telkens wanneer een reserveerbare ruimte in Outlook wordt aangemaakt of gewijzigd, werkt Gfacility dit automatisch bij.

Gesynchroniseerde gegevens: Naam, Code, Capaciteit, Link naar Outlook Room en Bovenliggende locatie.
Bovenliggende locaties (zoals Gebouw en Verdieping) worden volledig automatisch aangemaakt in Gfacility als deze nog niet bestaan.

3. Toegang beperken via Exchange Online RBAC (Optioneel)

Standaard hebben Application permissions toegang tot alle mailboxen en agenda’s binnen de tenant. Voor organisaties met meerdere entiteiten in een enkele tenant (multi-tenant) of strikte beveiligingseisen, kunt u deze scope beperken zodat Gfacility alleen de geselecteerde mailboxen kan lezen.

❌

Werkt NIET: Microsoft Entra ID-groepen

Een veelgemaakte fout is het proberen de toegang te beperken via “User assignment required” op de Enterprise App in Entra ID. Dit werkt ALLEEN voor gebruikersgebaseerde (delegated) toegang en niet voor application permissions (app-only). Bovendien, als u de Agenda-machtigingen in Entra ID heeft verleend (Stap 2), wordt deze scope volledig genegeerd. Om app-only toegang te beperken, moet u Exchange Online Application RBAC gebruiken zonder de machtiging in Entra ID te verlenen.

Stapsgewijze Implementatie (PowerShell)

A. Verbinding maken en Service Principal aanmaken

Belangrijk: Gebruik de Application ID en Object ID van de Enterprise Application, niet de App Registration!

Connect-ExchangeOnline

New-ServicePrincipal `
  -AppId "<Application ID>" `
  -ObjectId "<Enterprise App Object ID>" `
  -DisplayName "Gfacility Application RBAC"

B. Management Scope definiëren

Kies het gewenste filter: op basis van een domein (handig als de tenant ‘schoon’ is), of op basis van een mail-enabled groep (reguliere beveiligingsgroepen werken niet).

# Optie 1: Op basis van domein (Zet nieuwe gebruikers automatisch in scope)
New-ManagementScope `
  -Name "Gfacility-DomainScope" `
  -RecipientRestrictionFilter "PrimarySmtpAddress -like '*@contoso.com'"

# Optie 2: Op basis van een mail-enabled groep (Volledige controle / Multi-tenant)
$Group = Get-DistributionGroup "Gfacility Scope"
New-ManagementScope `
  -Name "Gfacility-GroupScope" `
  -RecipientRestrictionFilter "MemberOfGroup -eq '$($Group.DistinguishedName)'"

C. Role Assignment toewijzen en controleren

# 1. Wijs de scope toe aan de app
New-ManagementRoleAssignment `
  -Name "Gfacility-Calendars-Scoped" `
  -Role "Application Calendars.Read" `
  -App "<Application ID>" `
  -CustomResourceScope "Gfacility-DomainScope"

# 2. Controleer de instellingen
Get-ManagementRoleAssignment -App "<Application ID>" | Format-List Name,Role,CustomResourceScope

# 3. Test toegang tot een specifiek postvak
Test-ServicePrincipalAuthorization -Identity "<Service Principal ID>" -Resource "[email protected]"

📚

Officiële Documentatie: Lees de volledige Microsoft-handleiding over Application RBAC in Exchange Online.

4. Geef de details door aan jouw Gfacility-beheerder

Om de installatie in Gfacility te voltooien, hebben we de volgende informatie uit uw Azure-portal nodig:

De Application (client) ID
De Directory (tenant) ID
De Value van het gegenereerde client secret

Opmerking: Deel deze gevoelige details altijd via een veilige, afgesproken methode (zoals een link van een wachtwoordbeheerder) en nooit alleen via e-mail.

Integratiefrequentie

👥

Gebruikers

Synchroniseert één keer per nacht om nieuwe accounts aan te maken.

🏢

Locaties (Places)

Synchroniseert één keer per nacht om ruimtes bij te werken.

📅

Outlook Events

Wordt real-time bijgewerkt, ideaal voor kamerreserveringen en displays.