Report

1. Classement initial à partir de Graph (GraphService.cs:2149-2157) Les règles s'appliquent dans cet ordre, et la première qui correspond l'emporte :

Ordre Condition Catégorie 1 IsAdmin = l'utilisateur détient au moins un rôle Entra Admin 2 userType == "Guest" Guest 3 accountEnabled == false Shared (provisoire) 4 sinon Member IsAdmin vient de /roleManagement/directory/roleAssignments (GraphService.cs:2084-2101). Tout principalId qui a un rôle compte, pas seulement les Global Admins. Si cet appel échoue (permission RoleManagement.Read.Directory manquante), le code se rabat sur les seuls Global Admins, lus via /directoryRoles (GraphService.cs:2136-2142).

2. Affinage des comptes « Shared » avec Exchange (GraphService.cs:3293-3362) Ce sont les comptes désactivés, puisqu'une boîte partagée, de salle ou d'équipement a un compte Entra désactivé.

Étape a : le code croise avec le rapport d'usage des boîtes aux lettres. Si l'UPN a une boîte → Resource Account Sinon → Disabled, c'est-à-dire un vrai compte désactivé sans boîte. Étape b : si un token EXO est disponible, le code appelle Get-Mailbox -RecipientTypeDetails RoomMailbox,EquipmentMailbox,SharedMailbox et précise le type : RoomMailbox → Room EquipmentMailbox → Equipment SharedMailbox → Shared Mailbox Quand une étape n'a pas pu s'exécuter, la catégorie reste au niveau précédent :

Shared : les données Exchange n'ont pas été chargées du tout. Resource Account : Exchange a été chargé, mais il n'y avait pas de token EXO. L'ordre d'affichage est défini dans UserCategoryOrder (GraphService.cs:2720-2732) : Admin → Member → Guest → Shared Mailbox → Room → Equipment → Resource Account → Disabled → Shared.

Points à connaître Les catégories ne se cumulent pas. Un admin désactivé reste « Admin » et un invité désactivé reste « Guest ». Seuls les comptes non-admin et non-guest passent par la branche « désactivé ». Un membre désactivé qui a encore une boîte utilisateur (par exemple un départ dont on garde la boîte) devient « Resource Account ». L'étape b ne requête pas les UserMailbox, donc il n'est jamais reclassé. Si les rapports M365 sont anonymisés (option « Display concealed names »), les UPN du rapport d'usage ne correspondent plus. Tous les comptes désactivés tombent alors en « Disabled ». La définition d'« invité » n'est pas la même partout. Les checks MFA (TenantIdentityReport.razor.cs:250-251) excluent les invités par #EXT# dans l'UPN, et non par userType comme la catégorisation. Dans le résumé (TenantIdentityReport.razor.cs:196-201), « Shared » regroupe Shared Mailbox, Resource Account et Shared, et « Room & Equipment » regroupe Room et Equipment.