Questa guida spiega come un amministratore Microsoft 365 può autorizzare Signitic a leggere i diritti Invia come e Invia per conto di delle cassette postali condivise.
Signitic dispone solo di accesso in lettura. La soluzione non crea, non modifica e non revoca alcun diritto di delega in Microsoft 365.
Al momento dell'accesso, l'applicazione aziendale Signitic - Delegation Synchronization richiede le seguenti autorizzazioni dell'applicazione Office 365 Exchange Online:
Exchange.ManageAsApp, utilizzata dalla sincronizzazione attuale;
Exchange.ManageAsAppV2, inclusa per preparare i futuri sviluppi dell'integrazione Exchange Online.
Queste autorizzazioni consentono a Signitic di autenticarsi presso Exchange Online. Da sole, non forniscono accesso ai dati Exchange: è necessaria anche un'assegnazione di ruolo di sola lettura.
Il connettore Microsoft 365 Signitic esistente utilizza la sua autorizzazione dell'applicazione Microsoft Graph Domain.Read.All per identificare il dominio onmicrosoft.com del vostro tenant. L'applicazione dedicata alle deleghe non ha bisogno di un'autorizzazione Microsoft Graph aggiuntiva per questa operazione.
Dovete disporre di:
di un account amministratore appartenente allo stesso tenant Microsoft del connettore Signitic;
del diritto di concedere un consenso amministratore a livello organizzativo;
del diritto di assegnare il ruolo Microsoft Entra Lettore globale (Global Reader) a un'applicazione aziendale.
Un Amministratore di ruoli con privilegi (Privileged Role Administrator) o un Amministratore globale (Global Administrator) può eseguire questa assegnazione.
Questi privilegi sono necessari solo alla persona che esegue la configurazione. Non assegnare i ruoli Amministratore globale o Amministratore Exchange all'applicazione aziendale Signitic.
In Signitic, accedi a Impostazioni > Connettori.
Modifica il connettore Microsoft 365.
Nella sezione Sincronizza deleghe, seleziona Sincronizza.
Accedi con un account amministratore dello stesso tenant Microsoft del connettore.
Verifica le autorizzazioni dell'applicazione Office 365 Exchange Online richieste.
Concedi il consenso amministratore per l'intera organizzazione.
Vai a Applicazioni aziendali > Signitic - Delegation Synchronization > Autorizzazioni.
Verifica che il consenso dell'amministratore sia concesso per:
Exchange.ManageAsApp ;
Exchange.ManageAsAppV2.
Entrambe le autorizzazioni devono essere concesse nello stesso tenant Microsoft utilizzato dal connettore Signitic.
Devi scegliere una sola delle due configurazioni seguenti:
Passaggio 3.1 — Lettore generale: configurazione semplice e veloce.
Passaggio 3.2 — RBAC Exchange: configurazione consigliata che applica il principio del privilegio minimo.
Queste due configurazioni sono alternative: non è necessario cumularle.
Il ruolo Lettore globale (Global Reader) fornisce accesso in lettura alle informazioni di amministrazione Microsoft 365 necessarie per la sincronizzazione. Non consente a Signitic di modificare i diritti di delega.
Nel centro di amministrazione Microsoft Entra :
Accedere a Ruoli e amministratori > Tutti i ruoli.
Cercare e aprire Lettore globale (Global Reader).
Selezionare Aggiungi assegnazioni.
Cercare Signitic - Delegation Synchronization.
Selezionare l'applicazione aziendale e confermare l'assegnazione.
Verificare che l'assegnazione sia destinata all'applicazione aziendale e non all'amministratore che esegue la configurazione.
Il ruolo Lettore globale fornisce accesso in lettura alle informazioni di amministrazione in più servizi Microsoft 365. Non è limitato a Exchange Online.
Questa configurazione è consigliata per applicare il principio del minimo privilegio. Limita le autorizzazioni dell'applicazione Signitic alle informazioni dei destinatari Exchange necessarie per la sincronizzazione.
L'applicazione riceve solo il ruolo Exchange:
View-Only Recipients (Visualizza solo destinatari).
L'amministratore che esegue la configurazione deve essere in grado di gestire i gruppi di ruoli Exchange. In particolare, deve disporre del ruolo Role Management (Gestione dei ruoli).
Se l'organizzazione utilizza Microsoft Entra Privileged Identity Management (PIM), attivare temporaneamente il ruolo Amministratore Exchange prima di iniziare.
Questi diritti sono necessari solo per l'amministratore che esegue la configurazione. Non devono essere assegnati all'applicazione Signitic.
Nel centro di amministrazione Microsoft Entra :
Accedere a Applicazioni aziendali.
Aprire Signitic - Delegation Synchronization.
In Panoramica, copiare :
l'ID applicazione ;
l'ID oggetto.
Utilizzare l'ID oggetto dell'applicazione aziendale presente nell'ambiente Microsoft 365.
Nel centro di amministrazione Exchange :
Accedere a Ruoli > Ruoli amministratore.
Selezionare Aggiungi gruppo di ruoli.
Immettere:
nome: Signitic Delegation Readers ;
descrizione: Read-only access used by Signitic delegation synchronization.
Mantenere l'ambito di scrittura proposto per impostazione predefinita.
Selezionare solo il ruolo View-Only Recipients.
Verificare la configurazione, quindi creare il gruppo.
Aprire PowerShell con l'account amministratore di Exchange, quindi connettersi a Exchange Online:
Install-Module ExchangeOnlineManagement -Scope CurrentUser
Connect-ExchangeOnline -DeviceCreare il riferimento dell'entità servizio di Exchange sostituendo i valori tra parentesi angolari:
$signiticServicePrincipal = New-ServicePrincipal `
-AppId "<ID_APPLICATION_SIGNITIC>" `
-ObjectId "<ID_OBJET_APPLICATION_ENTREPRISE_SIGNITIC>" `
-DisplayName "Signitic delegation"Se il riferimento esiste già, recuperatelo con:
$signiticServicePrincipal = Get-ServicePrincipal `
-Identity "<ID_OBJET_APPLICATION_ENTREPRISE_SIGNITIC>"Aggiungete quindi l'applicazione al gruppo di ruoli:
Add-RoleGroupMember `
-Identity "Signitic Delegation Readers" `
-Member $signiticServicePrincipal.IdentityVerificate che l'applicazione appartenga al gruppo, quindi chiudete la connessione:
Get-RoleGroupMember -Identity "Signitic Delegation Readers"
Disconnect-ExchangeOnline -Confirm:$falseIl risultato di Get-RoleGroupMember deve contenere il riferimento dell'applicazione Signitic.
Attendete alcuni minuti (fino a 30 minuti) affinché le autorizzazioni Microsoft Entra e Exchange Online si propaghino.
Tornate al connettore Microsoft 365 in Signitic.
Selezionate Convalida autorizzazioni.
Una volta convalidato con successo, la sincronizzazione delle deleghe è attivata. Viene eseguita dopo ogni importazione riuscita degli utenti Microsoft.
Se la convalida non riesce, verificate i seguenti punti:
il consenso amministratore per Exchange.ManageAsApp e Exchange.ManageAsAppV2 è stato concesso;
le autorizzazioni sono state concesse nello stesso tenant Microsoft del connettore Signitic;
il connettore Microsoft 365 è stato autorizzato in questo tenant;
il ruolo Lettore globale (Global Reader) è assegnato all'applicazione aziendale Signitic - Delegation Synchronization, e non a un utente amministratore;
è stato concesso un tempo sufficiente per la propagazione delle autorizzazioni e del ruolo;
i criteri di accesso condizionale o di identità del carico di lavoro consentono all'applicazione Signitic di accedere a Exchange Online.
Non tentare di risolvere un errore di convalida assegnando i ruoli Amministratore globale o Amministratore Exchange all'applicazione Signitic.
Se la convalida continua a non riuscire, contattare il supporto Signitic indicando il nome del connettore e l'ora approssimativa della convalida. Non trasmettere mai un token di accesso.