Registrar o app no Entra ID

O Timbre365 lê usuários, grupos e fotos do Entra ID por um aplicativo registrado no Microsoft 365 da sua empresa. O app é da empresa: nenhuma credencial da Tekton entra no produto. O registro é feito uma vez; o segredo vence em 24 meses e é renovado rodando o script de novo.

Dois caminhos, o mesmo fim

O cartão App do Entra ID, em Integração › Microsoft 365, tem duas abas. Com o script: um comando colado no Azure Cloud Shell faz o registro inteiro e imprime os quatro valores. Pelo portal: os mesmos nove passos feitos à mão em entra.microsoft.com. Os dois terminam no botão Salvar e testar, e o consentimento sai sempre do botão Conectar Microsoft 365.

Você vai precisar de

• Para registrar: uma conta do tenant com o papel Global Administrator, Application Administrator ou Cloud Application Administrator.
• Para o consentimento: uma conta Global Administrator. Se quem registra não tem esse papel, um Global Admin faz só o último passo.
• No painel: um usuário com o perfil Administrador ou TI, com o e-mail confirmado. Sem a confirmação, gravar o app e conectar são recusados.

1. Abrir o Cloud ShellNo cartão App do Entra ID, aba Com o script, clique no link Azure Cloud Shell (shell.azure.com/bash) e entre com a conta administradora do tenant. Se perguntar, escolha Bash.
2. Copiar e colar o comandoClique em Copiar comando e cole no Cloud Shell. Ele grava o arquivo registrar-app.sh e o executa. Ler o script mostra o texto inteiro antes.
3. Colar os quatro valoresNo fim ele imprime os quatro valores (próxima página). Cole cada um no campo de mesmo nome e clique em Salvar e testar.

O segredo aparece só nessa hora. Se fechar a janela antes de copiar, rode o script de novo: ele cria outro. Na primeira vez, o Cloud Shell pode pedir para criar um armazenamento: aceite.

Rodar de novo

É seguro. O script acha o app pelo nome, atualiza o registro e cria mais um segredo, sem apagar os anteriores. É também o jeito de renovar o segredo: rode, clique em Editar no cartão, cole o segredo e a data novos e salve.

O nome do app leva o nome da empresa cadastrado no painel. Se ele mudar entre uma execução e outra, o script cria um segundo app; apague o que sobrou em App registrations.

Simular antes

No Cloud Shell, bash registrar-app.sh --simular mostra cada comando que seria executado e termina com valores de exemplo. Nada é criado no tenant.

1. Lê os ids das permissõesDo Microsoft Graph do próprio tenant, para não depender de tabela copiada.
2. Cria ou acha o appNome Timbre365 - Assinaturas de e-mail (nome da empresa), tipo de conta "apenas neste diretório".
3. URLs de retorno e permissõesTrês URLs Web na API e uma Single-page application no add-in. Quatro permissões de aplicação, só de leitura, e quatro delegadas de login. Token na versão 2.
4. Expõe a API para o add-inApplication ID URI api://addin.timbre365.com.br/{client ID}, escopo access_as_user e os cinco aplicativos do Office pré-autorizados. O URI vai depois do token v2: alguns tenants recusam na ordem inversa.
5. Cria um segredo de 24 mesesE imprime os quatro valores.

1. Registrar o appEm entra.microsoft.com, App registrations › New registration. Name e Redirect URI (plataforma Web) copiados do painel; tipo de conta Accounts in this organizational directory only.
2. Copiar os identificadoresDa Overview: Application (client) ID e Directory (tenant) ID.
3. As outras URLs de retornoEm Authentication, na plataforma Web, acrescente https://api.timbre365.com.br/auth/microsoft/callback e https://api.timbre365.com.br/me/auth/callback. Crie a plataforma Single-page application com https://addin.timbre365.com.br/auth/callback.
4. Permissões do Microsoft GraphEm API permissions › Add a permission: Application User.Read.All, Group.Read.All, GroupMember.Read.All, Organization.Read.All; Delegated openid, profile, email, User.Read.

1. SegredoEm Certificates & secrets › New client secret, validade de 24 meses. Copie o Value (não o Secret ID) e a data Expires.
2. Token na versão 2Em Manifest, requestedAccessTokenVersion (ou accessTokenAcceptedVersion) igual a 2. Antes do passo 7: tenants com a política nonDefaultUriAddition só aceitam o URI do add-in em app que já pede token v2.
3. Expose an APIApplication ID URI api://addin.timbre365.com.br/{client ID} (o painel mostra completo assim que o Client ID está digitado). Escopo access_as_user, "Admins and users", com os quatro textos que o painel mostra. Depois, Add a client application para cada um dos cinco abaixo, com o escopo marcado.
4. Gravar e consentirPreencha os campos do cartão, Salvar e testar, e depois Conectar Microsoft 365 com um Global Administrator (passos 8 e 9 da aba).

1. Salvar e testarNo cartão, Application (client) ID, Directory (tenant) ID, Segredo (client secret) e Segredo vence em. Salvar e testar confere o tenant e obtém um token antes de gravar; se algo estiver errado, a mensagem começa com "Nada foi gravado" e diz o campo. O segredo fica cifrado e nunca é mostrado de volta.
2. Conectar Microsoft 365O botão aparece abaixo do cartão. Entre com um Global Administrator, confira as permissões (todas de leitura, nenhuma de e-mail) e clique em Accept. O mesmo consentimento cobre as permissões de login: ninguém precisa clicar em "Grant admin consent" no portal.

Como saber que deu certo

• O cartão mostra configurado e testado; a conexão, conectado, com as quatro permissões concedida.
• Em Histórico, a primeira sincronização completa aparece em até um minuto e termina com ok.
• Diretório › Usuários sincronizados lista as pessoas do tenant.
• No Dashboard, em Primeiros passos, "Registrar o app no Entra ID e gravar os valores aqui" e "Conectar o Microsoft 365" ficam marcados.

Gravar o app e conectar pedem também o e-mail de quem faz confirmado. Os papéis do Microsoft 365 (Global Administrator e os de aplicativo) são outra coisa: são do tenant da empresa, não do painel.