La connexion Microsoft permet aux administrateurs et contributeurs de votre groupe de se connecter au back-office Kitchen avec leur compte Microsoft professionnel, sans mot de passe Kitchen à gérer. Cet article s’adresse au service informatique qui administre votre annuaire Microsoft Entra ID, et à l’administrateur Kitchen de votre groupe.
Pour créer et retirer automatiquement les comptes depuis Microsoft Entra, configurez ensuite le provisionnement automatique (SCIM), décrit dans un article séparé. Il se configure dans une seconde application, hors galerie : Microsoft Entra n’active pas le provisionnement sur l’application « Kitchen », qui utilise OpenID Connect.
Protocole : OpenID Connect sur OAuth 2.0, flux code d’autorisation avec PKCE, point de terminaison v2.0 de la plateforme d’identité Microsoft.
Fournisseur d’identité : Microsoft Entra ID. Seuls les comptes professionnels sont acceptés : les comptes Microsoft personnels sont refusés.
Application : « Kitchen », application multilocataire publiée par Kitchen, éditeur vérifié par Microsoft. Vous n’avez aucune inscription d’application à créer : l’application d’entreprise Kitchen apparaît dans votre annuaire au premier consentement.
Périmètre : le back-office Kitchen (rôles Administrateur et Contributeur). Les collaborateurs continuent de se connecter à l’application mobile Kitchen par SMS : la connexion Microsoft ne les concerne pas.
Lancement de la connexion : depuis la page de connexion du back-office, bouton Se connecter avec Microsoft.
Création de compte à la première connexion : une personne de votre annuaire qui n’a pas encore de compte dans le groupe obtient un compte actif avec le rôle Contributeur à sa première connexion. Un administrateur Kitchen peut ensuite modifier son rôle.
Connexion exclusive : une fois l’annuaire connecté, l’accès au back-office de ce groupe passe uniquement par Microsoft. Un annuaire n’est relié qu’à un seul groupe Kitchen, et un groupe à un seul annuaire.
Identification : Kitchen identifie chaque personne par son annuaire Microsoft et ses identifiants de compte immuables, jamais par sa seule adresse e-mail.
Non pris en charge : SAML, et l’attribution des rôles Kitchen à partir des groupes Entra.
Rôles autorisés à connecter Microsoft :
Administrateur
Les contributeurs ne voient pas l’onglet Connexion Microsoft.
Côté Microsoft, la personne qui connecte l’annuaire doit détenir l’un des rôles intégrés suivants dans Microsoft Entra ID, ceux qui permettent d’accorder un consentement administrateur pour toute l’organisation : Global Administrator, Privileged Role Administrator, Cloud Application Administrator, Application Administrator ou AI Administrator. La même personne doit aussi avoir le rôle Administrateur dans Kitchen.
Licences. La connexion Microsoft est une option payante de l’abonnement Kitchen, activée par l’équipe Kitchen pour votre groupe. Elle n’est pas disponible pendant l’essai gratuit. Si la carte affiche Option payante, cliquez sur Contacter Kitchen pour l’activer. Côté Microsoft, l’utilisation de Microsoft Entra ID se fait selon les conditions de licence Microsoft.
Kitchen ne demande que des permissions déléguées, consenties par un administrateur pour toute l’organisation. Aucune permission d’application n’est demandée.
openid : connecter la personne avec OpenID Connect.
profile : lire son prénom et son nom pour créer son profil Kitchen.
email : lire son adresse e-mail, qui identifie son compte Kitchen. Un compte Microsoft sans adresse e-mail ne peut pas se connecter.
User.Read (Microsoft Graph) : lire le profil de la personne connectée. À la connexion de l’annuaire, Kitchen l’utilise une seule fois pour lire le nom et les domaines vérifiés de votre organisation, affichés dans l’onglet Connexion Microsoft.
Kitchen ne lit ni les boîtes aux lettres, ni les fichiers, ni les autres utilisateurs de votre annuaire.
Le jeton d’identité transmet aussi les revendications facultatives email et xms_edov, ainsi que les rôles d’annuaire de la personne (wids). Kitchen lit ces rôles uniquement pour vérifier que la personne qui connecte l’annuaire en est administrateur.
Étape 1 : Connectez-vous au back-office Kitchen avec un compte Administrateur, puis allez dans Paramètres → Connexion Microsoft. La carte Connexion avec Microsoft doit afficher le badge Option activée.
Étape 2 : Dans le champ « Domaine de votre annuaire Microsoft », saisissez un domaine vérifié de votre annuaire, par exemple « votre-entreprise.fr », puis cliquez sur Connecter Microsoft.
Étape 3 : Microsoft s’ouvre. Connectez-vous avec un compte de cet annuaire qui détient l’un des rôles listés dans les prérequis, vérifiez les permissions demandées, cochez Consent on behalf of your organization, puis cliquez sur Accept. Terminez dans les 10 minutes qui suivent votre connexion à Microsoft.
Étape 4 : Vous revenez dans l’onglet, qui affiche « Votre annuaire Microsoft est connecté. » avec le badge Connecté, l’Annuaire Microsoft, l’Identifiant d’annuaire et la date dans Connecté le. Kitchen vous reconnecte avec votre compte Microsoft.
Par défaut, toute personne de votre annuaire peut se connecter à Kitchen et obtenir un compte Contributeur. Pour réserver l’accès aux personnes autorisées :
Étape 1 : Dans le centre d’administration Microsoft Entra, ouvrez Enterprise applications → Kitchen → Properties, réglez Assignment required? sur Yes, puis cliquez sur Save.
Étape 2 : Dans Users and groups, cliquez sur Add user/group et affectez les utilisateurs ou groupes autorisés à utiliser le back-office Kitchen.
Étape 1 : Sur la page de connexion du back-office (admin.kitchen-app.io), cliquez sur Se connecter avec Microsoft, puis connectez-vous avec votre compte Microsoft professionnel.
Étape 1 : Affectez un ou deux utilisateurs pilotes à l’application Kitchen dans Microsoft Entra.
Étape 2 : Demandez à chacun de se connecter au back-office avec Se connecter avec Microsoft, de préférence dans une fenêtre de navigation privée.
Étape 3 : Dans Paramètres → Utilisateurs, vérifiez qu’ils apparaissent avec le rôle Contributeur, et modifiez leur rôle si besoin.
Étape 4 : Vérifiez qu’une personne non affectée à l’application est refusée par Microsoft, puis affectez les autres utilisateurs ou groupes.
Retirer l’accès : retirez l’affectation de la personne dans Microsoft Entra, puis révoquez son accès dans Paramètres → Utilisateurs. Avec le provisionnement automatique (SCIM), le retrait se fait automatiquement depuis Entra.
Inviter des utilisateurs : dans un groupe connecté à Microsoft, les personnes arrivent par leur première connexion Microsoft ou par le provisionnement automatique. Paramètres → Utilisateurs ne propose ni invitation ni réinitialisation de mot de passe.
Déconnecter Microsoft : dans l’onglet, cliquez sur Déconnecter Microsoft, puis sur Déconnecter. Plus personne ne se connecte avec Microsoft : chaque utilisateur choisit un mot de passe avec Mot de passe oublié ? sur la page de connexion.
« Votre annuaire Microsoft n’est relié à aucun groupe Kitchen. Demandez à un administrateur Kitchen de votre groupe de le connecter, ou connectez-vous avec votre e-mail et votre mot de passe. » L’annuaire de ce compte n’est connecté à aucun groupe : suivez la partie 1.
« Kitchen n’est pas encore approuvé dans votre organisation Microsoft. Demandez à votre service informatique d’approuver l’application Kitchen, puis réessayez. » Le consentement administrateur n’a pas été accordé (codes Microsoft AADSTS65001, AADSTS65004 ou AADSTS90094).
« Connexion avec Microsoft annulée. » La personne a annulé ou refusé la connexion chez Microsoft.
« Votre compte Microsoft n’a pas d’adresse e-mail. Demandez à votre service informatique d’en ajouter une, puis réessayez. » Renseignez l’adresse e-mail du compte dans Microsoft Entra.
« Ce compte Microsoft est déjà lié à un autre compte Kitchen. » Le compte Microsoft est déjà rattaché à un autre compte Kitchen. Contactez le support.
« Connexion avec Microsoft refusée. Si votre compte Kitchen utilise un mot de passe, connectez-vous avec votre e-mail et votre mot de passe. » Kitchen a refusé la connexion : compte avec mot de passe non encore lié (voir la partie 3), compte Microsoft d’un autre annuaire, ou adresse e-mail différente de celle du compte provisionné.
« La connexion avec Microsoft a échoué. Réessayez. » Erreur inattendue : réessayez, puis contactez le support.
Si Microsoft indique que l’utilisateur n’est pas affecté à l’application (code AADSTS50105), affectez-le à l’application Kitchen dans Users and groups.
« Microsoft ne connaît aucun annuaire pour ce domaine. » Saisissez un domaine vérifié de votre annuaire.
« Ce domaine est celui des comptes Microsoft personnels. Saisissez le domaine de votre entreprise. »
« Cet annuaire Microsoft est déjà connecté à un autre groupe. »
« Un annuaire Microsoft est déjà connecté à ce groupe. »
« L’option Connexion Microsoft n’est pas activée pour votre groupe. » Contactez Kitchen.
« Microsoft ne répond pas pour le moment. Réessayez dans un instant. »
« Seul un administrateur du groupe peut connecter Microsoft. »
« Microsoft n’a pas pu être lié. Connectez-vous avec un compte Microsoft de l’annuaire indiqué, puis réessayez. »
« La connexion à Microsoft a été annulée. »
« Le délai pour vous connecter à Microsoft est dépassé. Recommencez. »
« Votre compte Microsoft n’est pas administrateur de l’annuaire. Seul un administrateur Microsoft peut connecter le groupe : invitez-le comme administrateur dans Utilisateurs pour qu’il termine la connexion. »
« Votre connexion à Microsoft date de plus de 10 minutes. Recommencez. »
« Une erreur est survenue. Réessayez. »
Si la page affiche Accord non donné : « Microsoft n’a pas enregistré l’accord. Vérifiez que vous êtes administrateur de votre annuaire, puis rouvrez le lien. »
Écrivez à [email protected], ou cliquez sur Aide et support dans le back-office pour écrire à l’équipe Kitchen. Précisez le domaine de votre annuaire, l’heure de l’essai et le message affiché.