[M7-0] Configurer l'authentification Entra ID

[bensellamwalid]

Objectif

Sécuriser l'accès au frontend pour que seuls les utilisateurs de l'organisation puissent y accéder.

⚠️ Priorité : À faire AVANT les autres issues M7

---

Approche : Easy Auth sur Container Apps

Configuration sans code - Azure gère l'authentification automatiquement.

[Utilisateur] → [Container Apps + Easy Auth] → [Entra ID]
                      ↓
              Vérifie le tenant ID
                      ↓
              ✅ Autorisé / ❌ Refusé

---

Prérequis

• App Registration dans Entra ID
• Redirect URI configuré
• Client Secret (optionnel, recommandé)

---

Étapes d'implémentation

Étape 1 : Créer l'App Registration

az ad app create \
  --display-name "IT Docs Assistant" \
  --sign-in-audience AzureADMyOrg \
  --web-redirect-uris "https://ca-it-docs-backend.politeglacier-b907682b.canadaeast.azurecontainerapps.io/.auth/login/aad/callback"

Étape 2 : Créer le Service Principal

az ad sp create --id <APP_ID>

Étape 3 : Configurer Easy Auth sur Container Apps

az containerapp auth microsoft update \
  --name ca-it-docs-backend \
  --resource-group VDGtestIA_Walid \
  --client-id <APP_ID> \
  --tenant-id 0ae84964-a292-44e8-8210-e001dc7e9bbd \
  --allowed-tenant-ids 0ae84964-a292-44e8-8210-e001dc7e9bbd \
  --yes

Étape 4 : Activer l'authentification requise

az containerapp auth update \
  --name ca-it-docs-backend \
  --resource-group VDGtestIA_Walid \
  --unauthenticated-client-action RedirectToLoginPage

---

Validation

Test	Résultat attendu
Accès sans login	Redirigé vers Microsoft login
Login utilisateur organisation	✅ Accès autorisé
Login utilisateur externe	❌ Accès refusé

---

Coût

0$/mois - Easy Auth est gratuit sur Container Apps.

---

Références

• Container Apps Authentication
• Entra ID App Registration

[bensellamwalid]

✅ Implémentation terminée

Configuration Entra ID

Propriété	Valeur
App Registration	IT Docs Assistant
App ID (Client ID)	f6d27ef5-d19d-4080-a380-b6873d6db41f
Tenant ID	0ae84964-a292-44e8-8210-e001dc7e9bbd
Issuer	https://login.microsoftonline.com/0ae84964-a292-44e8-8210-e001dc7e9bbd/v2.0

Easy Auth Container Apps

Propriété	Valeur
Enabled	true
Unauthenticated Action	RedirectToLoginPage
Provider	Azure Active Directory

Validation

Test	Résultat
Accès sans login	✅ 401 Unauthorized
Header authorization_uri	✅ Pointe vers le bon tenant
Seuls les utilisateurs de l'organisation	✅ Garanti par l'issuer

Commandes exécutées

# Créer App Registration
az ad app create --display-name "IT Docs Assistant" --sign-in-audience AzureADMyOrg \
  --web-redirect-uris "https://ca-it-docs-backend.../.auth/login/aad/callback"

# Créer Service Principal
az ad sp create --id f6d27ef5-d19d-4080-a380-b6873d6db41f

# Configurer Easy Auth
az containerapp auth microsoft update --name ca-it-docs-backend \
  --resource-group VDGtestIA_Walid \
  --client-id f6d27ef5-d19d-4080-a380-b6873d6db41f \
  --issuer "https://login.microsoftonline.com/0ae84964-a292-44e8-8210-e001dc7e9bbd/v2.0"

# Activer l'authentification
az containerapp auth update --name ca-it-docs-backend \
  --resource-group VDGtestIA_Walid \
  --unauthenticated-client-action RedirectToLoginPage \
  --enabled true

Accès

L'application est maintenant accessible uniquement aux utilisateurs authentifiés de l'organisation :

• https://ca-it-docs-backend.politeglacier-b907682b.canadaeast.azurecontainerapps.io

Coût

0$/mois - Easy Auth est gratuit.

[bensellamwalid]

⏳ En attente d'approbation administrateur

Configuration terminée

L'authentification Entra ID est entièrement configurée :

Étape	Status
App Registration créée	✅
Service Principal créé	✅
Client Secret configuré	✅
Easy Auth activé	✅
ID Token issuance activé	✅
Permissions OAuth configurées	✅

Bloqué par

L'organisation (Ville de Gatineau) requiert une approbation administrateur pour les nouvelles applications Azure AD.

Permissions en attente d'approbation :

• View users' basic profile (nom, email)
• Maintain access (garder la session active)

Action requise

Un administrateur Azure AD doit approuver l'application via ce lien :

https://login.microsoftonline.com/0ae84964-a292-44e8-8210-e001dc7e9bbd/adminconsent?client_id=f6d27ef5-d19d-4080-a380-b6873d6db41f

Ou via le portail Azure :

1. Entra ID → Enterprise Applications
2. Chercher "IT Docs Assistant"
3. Permissions → Grant admin consent

État actuel de l'accès

Type d'utilisateur	Accès
Anonyme	❌ Bloqué
Organisation (sans approbation)	❌ Bloqué
Organisation (après approbation)	✅ Autorisé

Prochaine étape

Une fois l'approbation accordée, l'application sera accessible à tous les utilisateurs de l'organisation :
https://ca-it-docs-backend.politeglacier-b907682b.canadaeast.azurecontainerapps.io