Créer une inscription d'application M365

SMART Migration se connecte à Microsoft 365 en tant qu'inscription d'application dans Microsoft Entra ID, avec un certificat au lieu d'un mot de passe. Vous créez le certificat, l'inscription d'application et ses autorisations, puis vous saisissez les identifiants dans la connexion M365.

La procédure comporte quatre étapes :

1. Créer un certificat auto-signé : il prouve l'identité de l'application auprès de Microsoft 365.
2. Créer l'inscription d'application : l'identité sous laquelle SMART Migration s'exécute.
3. Accorder les autorisations : ce que l'inscription d'application peut lire et écrire.
4. Saisir les informations dans SMART Migration : la connexion M365.

Étape 1 — Créer un certificat auto-signé

Le script crée deux fichiers : un fichier .pfx contenant la clé privée, qui reste auprès de SMART Migration et doit rester secret, et un fichier .cer contenant la clé publique, que vous chargez dans Azure.

1. Ouvrez PowerShell ISE ou Visual Studio Code en tant qu'administrateur.
2. Collez le script ci-dessous.
3. Remplacez c:\dev\MyCert.pfx et c:\dev\MyCert.cer par les chemins de votre choix, et MyPassword par votre propre mot de passe.
4. Exécutez le script.

# Create the certificate
$mycert = New-SelfSignedCertificate -DnsName "MyDomain.com" -CertStoreLocation "cert:\LocalMachine\My" -NotAfter (Get-Date).AddYears(5) -KeySpec KeyExchange -KeyFriendlyName MyKeyName -FriendlyName MyFriendlyName
# Export private key to .pfx (keep this secret)
$mycert | Export-PfxCertificate -FilePath c:\dev\MyCert.pfx -Password $(ConvertTo-SecureString -String "MyPassword" -AsPlainText -Force)
# Export public key to .cer (this gets uploaded to Azure)
$mycert | Export-Certificate -FilePath c:\dev\MyCert.cer

Le certificat est valable cinq ans (-NotAfter).

Les noms du script sont de simples libellés

MyDomain.com peut être n'importe quel identifiant ; il ne doit pas nécessairement s'agir d'un domaine réel. MyKeyName et MyFriendlyName nomment le certificat dans le magasin de certificats Windows. Vous pouvez les modifier ou les laisser tels quels.

L'installation du certificat sur l'ordinateur est facultative et n'est pas nécessaire pour la connexion : Installer le certificat sur l'ordinateur

Étape 2 — Créer l'inscription d'application

1. Dans le portail Azure, ouvrez Microsoft Entra ID (anciennement Azure Active Directory).
2. Copiez l'ID de locataire depuis la page de vue d'ensemble et conservez-le : la connexion en a besoin.
3. Cliquez sur Inscriptions d'applications, puis sur Nouvelle inscription. Les paramètres par défaut conviennent.
4. Dans la nouvelle inscription d'application, ouvrez Certificats & secrets, cliquez sur Charger le certificat, choisissez le fichier .cer et cliquez sur Ajouter.
5. Copiez l'ID d'application (client) et conservez-le également.

Étape 3 — Accorder les autorisations

Les autorisations déterminent ce que l'inscription d'application peut lire et écrire. Un administrateur donne ensuite son consentement pour l'ensemble de l'organisation.

1. Cliquez sur Autorisations de l'API, puis sur Ajouter une autorisation.
2. Ajoutez les autorisations SharePoint et Microsoft Graph des tableaux ci-dessous, chacune en tant qu'Autorisation d'application.
3. Cliquez sur Accorder un consentement d'administrateur pour (suivi du nom de votre organisation). Ce n'est qu'à ce moment que les autorisations prennent effet.

Microsoft Graph

Autorisation	Type	Utilisée pour	Raison
Files.ReadWrite.All	Application	OneDrive	Lire et écrire des fichiers dans toutes les collections de sites
Group.ReadWrite.All	Application	OneDrive et Teams	Lire et écrire tous les groupes : provisionnement de Teams
Sites.ReadWrite.All	Application	Teams	Lire et écrire des éléments dans toutes les collections de sites
User.Read.All	Application	Les deux	Lire les profils utilisateur complets : analyse des utilisateurs et de OneDrive

SharePoint

Autorisation	Type	Raison
Sites.FullControl.All	Application	Contrôle total de toutes les collections de sites : nécessaire pour la migration
TermStore.Read.All	Application	Lire les métadonnées gérées : conserve les métadonnées pendant la migration
TermStore.ReadWrite.All	Application	Lire et écrire les métadonnées gérées : lorsque des métadonnées sont migrées ou transformées

Moins d'autorisations sans Content Governance

Si vous n'utilisez pas Content Governance (l'application SMART Migration pour MS Teams), les autorisations Microsoft Graph peuvent être réduites à Files.Read.All uniquement. Cela suffit pour l'accès aux fichiers, y compris ceux de plus de 2 Go. Les autorisations SharePoint restent les mêmes.

Étape 4 — Saisir les informations dans SMART Migration

1. Ouvrez votre connexion M365 dans SMART Migration.
2. Saisissez l'ID d'application (client) et l'ID de locataire de l'étape 2.
3. Saisissez le chemin du fichier .pfx et son mot de passe.

Plusieurs tenants

Une licence commerciale est installée sur un seul serveur, mais n'est liée ni à un tenant ni à un client : cette installation unique peut fonctionner avec autant de tenants Microsoft 365 que nécessaire (Où une licence peut s'exécuter). Une licence partenaire ne fonctionne qu'avec le tenant et les domaines propres au partenaire. Attribuez à chaque tenant sa propre inscription d'application (étapes 1 à 3 dans ce tenant) et sa propre connexion M365 dans SMART Migration (étape 4).

• Avec l'application Nextcloud, une tâche lit les données de chaque tenant via la connexion de ce tenant ; la destination est toujours Nextcloud.
• Dans l'IDE, au sein d'un même tenant, une tâche lit et écrit via la même connexion.
• Dans l'IDE, entre deux tenants, une tâche lit via la connexion du tenant source et écrit via celle du tenant cible.

En savoir plus : FAQ : Pouvons-nous installer SMART Migration sur nos propres serveurs et nous connecter au SharePoint d'un client ?

Limiter l'accès à certains sites

Par défaut, les autorisations ci-dessus donnent accès à tous les sites SharePoint. Pour limiter l'inscription d'application aux sites auxquels vous l'affectez, par exemple dans un environnement de production, utilisez Sites.Selected au lieu de Sites.FullControl.All et Sites.ReadWrite.All.

En savoir plus : Autorisations Sites.Selected : de quoi s'agit-il et comment les utiliser

Autorisations Microsoft Graph par tâche

N'ajoutez que ce dont vous avez besoin :

Autorisation	Quand vous en avez besoin
Files.Read.All	Accès aux fichiers de plus de 2 Go
Sites.Read.All	Analyse des sites SharePoint
User.Read.All	Analyse des utilisateurs et des emplacements OneDrive
Group.ReadWrite.All	Provisionnement de Teams pour Content Governance
Sites.Selected	Accès à certains sites uniquement

Lire les informations utilisateur depuis Microsoft Entra ID

SMART Migration lit les données utilisateur de Microsoft 365, telles que le nom d'affichage, le service et l'URL OneDrive, via la liste virtuelle Tenant users. Elle nécessite l'une de ces autorisations Microsoft Graph, selon les champs que vous utilisez :

• User.Read.All : le profil utilisateur complet.
• User.ReadBasic.All : les champs de base uniquement (nom, e-mail, photo).

La manière dont vous filtrez la liste détermine la vitesse :

• = et IN filtrent sur le serveur : rapide, et le choix à privilégier pour les locataires de plus de 3 000 utilisateurs.
• BeginsWith et Contains filtrent dans SMART Migration après la lecture : plus lent sur les locataires volumineux.

L'accès en mode application uniquement doit être autorisé

Avec l'authentification en mode application uniquement, SharePoint Online doit autoriser l'accès en mode application uniquement à Microsoft Graph. Ce paramètre se définit dans le Centre d'administration SharePoint.

Erreur de consentement : The user or administrator has not consented to use the application with ID …