Configurare la connessione per la sincronizzazione delle deleghe Microsoft

Questa guida spiega come un amministratore Microsoft 365 può autorizzare Signitic a leggere i diritti Invia come e Invia per conto di delle cassette postali condivise.

Signitic dispone solo di accesso in lettura. La soluzione non crea, non modifica e non revoca alcun diritto di delega in Microsoft 365.

Autorizzazioni utilizzate da Signitic

Al momento dell'accesso, l'applicazione aziendale Signitic - Delegation Synchronization richiede le seguenti autorizzazioni dell'applicazione Office 365 Exchange Online:

• Exchange.ManageAsApp, utilizzata dalla sincronizzazione attuale;

• Exchange.ManageAsAppV2, inclusa per preparare i futuri sviluppi dell'integrazione Exchange Online.

Queste autorizzazioni consentono a Signitic di autenticarsi presso Exchange Online. Da sole, non forniscono accesso ai dati Exchange: è necessaria anche un'assegnazione di ruolo di sola lettura.

Il connettore Microsoft 365 Signitic esistente utilizza la sua autorizzazione dell'applicazione Microsoft Graph Domain.Read.All per identificare il dominio onmicrosoft.com del vostro tenant. L'applicazione dedicata alle deleghe non ha bisogno di un'autorizzazione Microsoft Graph aggiuntiva per questa operazione.

Prima di iniziare

Dovete disporre di:

• di un account amministratore appartenente allo stesso tenant Microsoft del connettore Signitic;

• del diritto di concedere un consenso amministratore a livello organizzativo;

• del diritto di assegnare il ruolo Microsoft Entra Lettore globale (Global Reader) a un'applicazione aziendale.

Un Amministratore di ruoli con privilegi (Privileged Role Administrator) o un Amministratore globale (Global Administrator) può eseguire questa assegnazione.

Questi privilegi sono necessari solo alla persona che esegue la configurazione. Non assegnare i ruoli Amministratore globale o Amministratore Exchange all'applicazione aziendale Signitic.

Passaggio 1 — Autorizzare la sincronizzazione in Signitic

1. In Signitic, accedi a Impostazioni > Connettori.

2. Modifica il connettore Microsoft 365.

3. Nella sezione Sincronizza deleghe, seleziona Sincronizza.

4. Accedi con un account amministratore dello stesso tenant Microsoft del connettore.

5. Verifica le autorizzazioni dell'applicazione Office 365 Exchange Online richieste.

Concedi il consenso amministratore per l'intera organizzazione.

Passaggio 2 — Verificare il consenso amministratore

1. Apri il centro di amministrazione Microsoft Entra.

2. Vai a Applicazioni aziendali > Signitic - Delegation Synchronization > Autorizzazioni.

3. Verifica che il consenso dell'amministratore sia concesso per:

   • Exchange.ManageAsApp ;

   • Exchange.ManageAsAppV2.

Entrambe le autorizzazioni devono essere concesse nello stesso tenant Microsoft utilizzato dal connettore Signitic.

Passaggio 3 — Assegnare le autorizzazioni di lettura Exchange

Devi scegliere una sola delle due configurazioni seguenti:

• Passaggio 3.1 — Lettore generale: configurazione semplice e veloce.

• Passaggio 3.2 — RBAC Exchange: configurazione consigliata che applica il principio del privilegio minimo.

Queste due configurazioni sono alternative: non è necessario cumularle.

Passaggio 3.1 — Assegnare il ruolo Lettore globale

Il ruolo Lettore globale (Global Reader) fornisce accesso in lettura alle informazioni di amministrazione Microsoft 365 necessarie per la sincronizzazione. Non consente a Signitic di modificare i diritti di delega.

Nel centro di amministrazione Microsoft Entra :

1. Accedere a Ruoli e amministratori > Tutti i ruoli.

2. Cercare e aprire Lettore globale (Global Reader).

3. Selezionare Aggiungi assegnazioni.

4. Cercare Signitic - Delegation Synchronization.

5. Selezionare l'applicazione aziendale e confermare l'assegnazione.

6. Verificare che l'assegnazione sia destinata all'applicazione aziendale e non all'amministratore che esegue la configurazione.

Il ruolo Lettore globale fornisce accesso in lettura alle informazioni di amministrazione in più servizi Microsoft 365. Non è limitato a Exchange Online.

Passaggio 3.2 — Configurare un accesso RBAC Exchange limitato

Questa configurazione è consigliata per applicare il principio del minimo privilegio. Limita le autorizzazioni dell'applicazione Signitic alle informazioni dei destinatari Exchange necessarie per la sincronizzazione.

L'applicazione riceve solo il ruolo Exchange:

• View-Only Recipients (Visualizza solo destinatari).

Prerequisiti

L'amministratore che esegue la configurazione deve essere in grado di gestire i gruppi di ruoli Exchange. In particolare, deve disporre del ruolo Role Management (Gestione dei ruoli).

Se l'organizzazione utilizza Microsoft Entra Privileged Identity Management (PIM), attivare temporaneamente il ruolo Amministratore Exchange prima di iniziare.

Questi diritti sono necessari solo per l'amministratore che esegue la configurazione. Non devono essere assegnati all'applicazione Signitic.

Recuperare gli identificatori dell'applicazione

Nel centro di amministrazione Microsoft Entra :

1. Accedere a Applicazioni aziendali.

2. Aprire Signitic - Delegation Synchronization.

3. In Panoramica, copiare :

   • l'ID applicazione ;

   • l'ID oggetto.

Utilizzare l'ID oggetto dell'applicazione aziendale presente nell'ambiente Microsoft 365.

Creare il gruppo di ruoli Exchange

Nel centro di amministrazione Exchange :

1. Accedere a Ruoli > Ruoli amministratore.

2. Selezionare Aggiungi gruppo di ruoli.

3. Immettere:

   • nome: Signitic Delegation Readers ;

   • descrizione: Read-only access used by Signitic delegation synchronization.

4. Mantenere l'ambito di scrittura proposto per impostazione predefinita.

5. Selezionare solo il ruolo View-Only Recipients.

6. Verificare la configurazione, quindi creare il gruppo.

Aggiungere l'applicazione al gruppo di ruoli

Aprire PowerShell con l'account amministratore di Exchange, quindi connettersi a Exchange Online:

Install-Module ExchangeOnlineManagement -Scope CurrentUser
Connect-ExchangeOnline -Device

Creare il riferimento dell'entità servizio di Exchange sostituendo i valori tra parentesi angolari:

$signiticServicePrincipal = New-ServicePrincipal `
    -AppId "<ID_APPLICATION_SIGNITIC>" `
    -ObjectId "<ID_OBJET_APPLICATION_ENTREPRISE_SIGNITIC>" `
    -DisplayName "Signitic delegation"

Se il riferimento esiste già, recuperatelo con:

$signiticServicePrincipal = Get-ServicePrincipal `
    -Identity "<ID_OBJET_APPLICATION_ENTREPRISE_SIGNITIC>"

Aggiungete quindi l'applicazione al gruppo di ruoli:

Add-RoleGroupMember `
    -Identity "Signitic Delegation Readers" `
    -Member $signiticServicePrincipal.Identity

Verificate che l'applicazione appartenga al gruppo, quindi chiudete la connessione:

Get-RoleGroupMember -Identity "Signitic Delegation Readers"

Disconnect-ExchangeOnline -Confirm:$false

Il risultato di Get-RoleGroupMember deve contenere il riferimento dell'applicazione Signitic.

Passaggio 4 — Convalidare la configurazione

1. Attendete alcuni minuti (fino a 30 minuti) affinché le autorizzazioni Microsoft Entra e Exchange Online si propaghino.

2. Tornate al connettore Microsoft 365 in Signitic.

3. Selezionate Convalida autorizzazioni.

Una volta convalidato con successo, la sincronizzazione delle deleghe è attivata. Viene eseguita dopo ogni importazione riuscita degli utenti Microsoft.

Risoluzione dei problemi

Se la convalida non riesce, verificate i seguenti punti:

• il consenso amministratore per Exchange.ManageAsApp e Exchange.ManageAsAppV2 è stato concesso;

• le autorizzazioni sono state concesse nello stesso tenant Microsoft del connettore Signitic;

• il connettore Microsoft 365 è stato autorizzato in questo tenant;

• il ruolo Lettore globale (Global Reader) è assegnato all'applicazione aziendale Signitic - Delegation Synchronization, e non a un utente amministratore;

• è stato concesso un tempo sufficiente per la propagazione delle autorizzazioni e del ruolo;

• i criteri di accesso condizionale o di identità del carico di lavoro consentono all'applicazione Signitic di accedere a Exchange Online.

Non tentare di risolvere un errore di convalida assegnando i ruoli Amministratore globale o Amministratore Exchange all'applicazione Signitic.

Se la convalida continua a non riuscire, contattare il supporto Signitic indicando il nome del connettore e l'ora approssimativa della convalida. Non trasmettere mai un token di accesso.