Comment configurer SMTP avec Microsoft OAuth2.0 ?

Ce guide explique comment configurer votre passerelle pour envoyer des e-mails à l'aide de SMTP avec l'authentification Microsoft OAuth 2.0 par le biais d'un compte Microsoft 365. OAuth 2.0 fournit une authentification sécurisée basée sur des jetons, remplaçant les méthodes d'authentification de base moins sécurisées. Vous pouvez suivre ces étapes pour enregistrer une application dans Microsoft Azure et configurer votre passerelle pour SMTP. Cette fonctionnalité est prise en charge dans la version 1.35 de uOS et les versions ultérieures. Remarque: SMTP avec Microsoft OAuth 2.0 est pris en charge par la série USG Flex H. Cet exemple a été testé avec USG FLEX 200HP (version du micrologiciel : uOS 1.35).

Conditions préalables

• Un compte Microsoft 365 avec une boîte aux lettres Exchange Online sous licence.
• Accès administratif au portail Microsoft Azure (https://portal.azure.com).
• SMTP AUTH est activé pour la boîte aux lettres (voir l'étape 3 ci-dessous).
• Votre dispositif de passerelle avec accès à la configuration SMTP (version du micrologiciel uOS1.35 ou supérieure).

Instructions pas à pas

Etape 1 : Enregistrer une application dans Azure Portal

1. connectez-vous au portail Azure:

• Allez sur https://portal.azure.com et connectez-vous avec un compte qui a des privilèges administratifs pour Microsoft Entra ID.

2. naviguer vers App Registrations (Enregistrements d'applications):

• Dans le menu de gauche, sélectionnez Microsoft Entra ID > App registrations > New registration.

3. configurez l'application:

• Nom: Entrez un nom descriptif (par exemple, "Gateway SMTP App").
• Types de comptes pris en charge: Sélectionnez Comptes dans ce répertoire organisationnel uniquement (locataire unique) pour la plupart des cas.
• Redirect URI: L'URI de redirection indique où le serveur d'autorisation doit renvoyer l'utilisateur après une authentification réussie pour renvoyer un jeton d'accès à son compte de messagerie.
• Type : Sélectionnez"Web".
• URI : Saisissez https://[devicefqdn or ip]/cgi-bin/msoauth2.cgi. Remplacez [Device FQDN or IP] par le nom de domaine pleinement qualifié ou l'adresse IP d'une interface interne à laquelle l'ordinateur de l'administrateur peut se connecter. (Remarque : l'URI de redirection doit commencer par le schéma https).
• Cliquez sur Enregistrer.

4. copier les identifiants d'application:

• Sur la page de présentation de l'application, copiez l'ID de l'application (client) et l'ID du répertoire (locataire). Ceux-ci sont nécessaires pour la configuration de votre passerelle.

5. créez un secret client:

• Allez dans Certificats & secrets > Secrets clients > Nouveau secret client.
• Ajoutez une description (par exemple, "Secret SMTP") et sélectionnez une période d'expiration (par exemple, 24 mois).
• Cliquez sur Ajouter, puis copiez immédiatement la valeur du secret client. Remarque: cette valeur n'est affichée qu'une seule fois et vous ne pourrez plus la récupérer après avoir quitté cette page. Si vous la perdez, vous devrez en générer une nouvelle. Il s'agit de votre "ClientSecret".
• Conservez-le en lieu sûr, car il vous permet d'accéder à votre application.

Étape 2 : Octroi des autorisations API

1. ajoutez des permissions:

• Dans la navigation de gauche de la page de présentation de votre application, cliquez sur API permissions > +Add a permission.
• Sélectionnez Microsoft Graph
• Choisissez Delegated permissions > Search for offline access (Autorisations déléguées > Recherche d'un accès hors ligne)
• Cliquez sur Ajouter des autorisations.
• Ajoutez les deuxièmes autorisations. Cliquez sur +Ajouterune autorisation
• Sélectionnez Microsoft Graph
• Choisissez Autorisations déléguées > sélectionnez SMTP.Send
• Cliquez sur Add permissions.

Étape 3 : Activer SMTP AUTH pour la boîte aux lettres

1. se connecter au centre d'administration Microsoft 365 - Naviguer vers Utilisateurs > Utilisateurs actifs > cliquer sur la boîte aux lettres de l'utilisateur > Sélectionner l'onglet Courrier.

2.assurez-vous que la case à cocher "SMTP authentifié" est sélectionnée.

Etape 4 : Configurer SMTP dans votre passerelle

1. accédez à l'interface graphique de la passerelle:

• Connectez-vous à l'interface de configuration de votre appareil depuis l'interface interne (côté LAN).
• Naviguez vers Système > Notification > Serveur de messagerie.

2. entrez les paramètres SMTP:

• Serveur de messagerie: smtp.office365.com
• Port: 587 (recommandé, supporte STARTTLS).
• Cryptage: Activer STARTTLS
• Méthode d'authentification: Sélectionner Microsoft OAuth2.0.
• Adresse électronique de l'expéditeur: Saisissez l'adresse électronique Microsoft 365 (par exemple, sender@yourdomain.com).
• Client ID: Collez l'ID de l'application (client) de l'étape 1-4.
• Secret du client: collez la valeur du secret du client de l'étape 1-5.
• Tenant ID: Collez l'ID du répertoire (locataire) de l'étape 1-4.

3.Appliquer la configuration :

• ! Vous devez cliquer sur Apply avant de demander un jeton.
• Cliquez sur Apply pour enregistrer la configuration sur votre passerelle.

4.Obtenir le jeton OAuth 2.0

• Après avoir appliqué la configuration, cliquez sur le bouton"Get New Token".
• Cela ouvrira un nouvel onglet de navigateur vers la page de connexion de Microsoft Azure.
• Connectez-vous avec le compte Microsoft 365 associé à l'adresse e-mail de l'expéditeur (par exemple, sender@yourdomain .com).
• Accordez les autorisations lorsque vous y êtes invité
• Le navigateur se ferme automatiquement en cas d'authentification réussie, et votre passerelle a obtenu en toute sécurité un jeton d'authentification de Microsoft.
• Le champ Token Status (État du jeton) est mis à jour. (par exemple, "Valide").
• Si le navigateur ne s'ouvre pas: Cliquez sur le bouton "Refresh Token Status" (Actualiser l'état dujeton) pour vérifier si le jeton a été obtenu avec succès ou pour réessayer le processus de récupération du jeton.

Vérifier la fonction SMTP avec Microsoft OAuth2.0

1. Assurez-vous que le jeton a été obtenu avec succès.

Renseignez l'adresse électronique du destinataire et envoyez un courriel de test.

Accédez à Log & Report>Log/Events>System et vérifiez que le message de journal relatif à la récupération du jeton a bien été enregistré.

2. Naviguez vers Log & Report > Email Daily Report > Send Report Now pour envoyer un courriel à travers votre pare-feu.

Assurez-vous que l'e-mail est bien reçu dans la boîte aux lettres.

Dépannage

Échec de l'authentification:

• Vérifiez à nouveau les informations d'identification : Assurez-vous que l'ID du client, l'ID du locataire et le secret du client sont copiés avec précision, sans espace supplémentaire.
• Assurez-vous que le consentement de l'administrateur a été accordé pour les autorisations API
• Vérifiez que l'adresse e-mail de l'expéditeur existe dans votre locataire Microsoft 365.

Permission refusée:

• Confirmez que l'autorisation API est accordée (étape 2-1).
• Vérifier que l'application a le consentement de l'administrateur
• Vérifier que le compte de messagerie de l'expéditeur est actif

Secret client expiré:

• Générer un nouveau secret client dans Azure Portal et le mettre à jour dans les paramètres de la passerelle.

Problèmes de connexion

• Vérifiez les paramètres du serveur SMTP (smtp.office365. com:587). Assurez-vous que le port 587 est débloqué.
• Assurez-vous que le cryptage STARTTLS est activé.
• Vérifier le pare-feu/la connectivité réseau

Problèmes de navigateur

• Le navigateur ne s'ouvre pas: Vérifier si les bloqueurs de fenêtres pop-up sont activés et autoriser les fenêtres pop-up pour la passerelle.
• Le navigateur s'ouvre mais affiche une erreur: Vérifiez la configuration de l'URI de redirection de l'application Azure. Assurez-vous que le PC de l'administrateur se trouve dans le réseau qui peut accéder à l'URI (il est recommandé de se trouver sur le côté LAN de la passerelle).
• Le token n'a pas été acquis après la connexion: Cliquez sur le bouton"Refresh Token Status" pour vérifier l'état du jeton.
• Plusieurs onglets du navigateur sont ouverts: Fermez les onglets supplémentaires et réessayez.
• Le navigateur ne se ferme pas automatiquement: Fermez manuellement l'onglet après vous être connecté avec succès.

Problèmes de tokens:

• Echec de l'acquisition du token: Vérifier la connectivité internet et réessayer de cliquer sur"Obtenir un nouveau token ".
• Le token expire rapidement: C'est normal - la passerelle rafraîchit automatiquement les tokens.
• Le bouton "Refresh Token Status" n'indique pas de token: Répétez la procédure"Get New Token".
• Le statut du token n'est pas mis à jour: Attendez 10 à 15 secondes, puis cliquez à nouveau surle bouton "Rafraîchir le statut du token".

Meilleures pratiques en matière de sécurité

Gestion des secrets

• Stocker les secrets des clients en toute sécurité
• Effectuer une rotation des secrets avant leur expiration
• Utiliser des applications différentes pour des objectifs différents

Contrôle d'accès

• N'accorder que les autorisations minimales requises
• Réviser régulièrement les autorisations d'accès aux applications
• Surveiller l'utilisation des applications à l'aide des journaux Azure

Contrôle

• Activer l'enregistrement des audits dans Microsoft Entra ID
• Surveiller les schémas d'authentification inhabituels
• Mettre en place des alertes en cas d'échec des tentatives d'authentification

Informations complémentaires

Cycle de vie des jetons

• Les jetons d'accès expirent au bout d'une heure.
• Votre passerelle gère automatiquement le rafraîchissement des jetons.
• Le jeton initial doit être acquis par l'intermédiaire d'une connexion par navigateur.
• Les renouvellements ultérieurs du jeton se font automatiquement en arrière-plan.
• Aucune interaction de l'utilisateur n'est nécessaire pour le renouvellement du jeton après la configuration initiale.

Types d'e-mails pris en charge

• Courriels en texte brut
• Courriels au format HTML
• Emails avec pièces jointes
• Envoi d'e-mails en masse (dans les limites fixées par Microsoft)

Limites de débit

• Microsoft impose des limites d'envoi :
• 30 messages par minute
• 10 000 messages par jour (par défaut)
• Des limites plus élevées sont disponibles auprès de l'assistance Microsoft

Assistance

Si vous rencontrez des problèmes :

1. Vérifiez que toutes les étapes ont été effectuées correctement
2. Vérifiez les journaux d'audit de Microsoft Entra ID pour les erreurs d'authentification.
3. Contactez votre administrateur système pour les problèmes d'accès à Azure
4. Référez-vous à la documentation officielle OAuth 2.0 de Microsoft.

Pour un support technique avec votre dispositif de passerelle, contactez notre équipe de support avec les détails de votre configuration (ne jamais partager les secrets du client).