Tisuiss: Created page with "{{DISPLAYTITLE:{{SUBPAGENAME}}}} 1. Classement initial à partir de Graph (GraphService.cs:2149-2157) Les règles s'appliquent dans cet ordre, et la première qui correspond l'emporte : Ordre Condition Catégorie 1 IsAdmin = l'utilisateur détient au moins un rôle Entra Admin 2 userType == "Guest" Guest 3 accountEnabled == false Shared (provisoire) 4 sinon Member IsAdmin vient de /roleManagement/directory/roleAssignments (GraphService.cs:2084-2101). Tout principalId..."

2026-10-13T19:38:13Z

Created page with "{{DISPLAYTITLE:{{SUBPAGENAME}}}} 1. Classement initial à partir de Graph (GraphService.cs:2149-2157) Les règles s'appliquent dans cet ordre, et la première qui correspond l'emporte : Ordre Condition Catégorie 1 IsAdmin = l'utilisateur détient au moins un rôle Entra Admin 2 userType == "Guest" Guest 3 accountEnabled == false Shared (provisoire) 4 sinon Member IsAdmin vient de /roleManagement/directory/roleAssignments (GraphService.cs:2084-2101). Tout principalId..."

New page

{{DISPLAYTITLE:{{SUBPAGENAME}}}}

1. Classement initial à partir de Graph (GraphService.cs:2149-2157)
Les règles s'appliquent dans cet ordre, et la première qui correspond l'emporte :

Ordre Condition Catégorie
1 IsAdmin = l'utilisateur détient au moins un rôle Entra Admin
2 userType == "Guest" Guest
3 accountEnabled == false Shared (provisoire)
4 sinon Member
IsAdmin vient de /roleManagement/directory/roleAssignments (GraphService.cs:2084-2101). Tout principalId qui a un rôle compte, pas seulement les Global Admins. Si cet appel échoue (permission RoleManagement.Read.Directory manquante), le code se rabat sur les seuls Global Admins, lus via /directoryRoles (GraphService.cs:2136-2142).

2. Affinage des comptes « Shared » avec Exchange (GraphService.cs:3293-3362)
Ce sont les comptes désactivés, puisqu'une boîte partagée, de salle ou d'équipement a un compte Entra désactivé.

Étape a : le code croise avec le rapport d'usage des boîtes aux lettres.
Si l'UPN a une boîte → Resource Account
Sinon → Disabled, c'est-à-dire un vrai compte désactivé sans boîte.
Étape b : si un token EXO est disponible, le code appelle Get-Mailbox -RecipientTypeDetails RoomMailbox,EquipmentMailbox,SharedMailbox et précise le type :
RoomMailbox → Room
EquipmentMailbox → Equipment
SharedMailbox → Shared Mailbox
Quand une étape n'a pas pu s'exécuter, la catégorie reste au niveau précédent :

Shared : les données Exchange n'ont pas été chargées du tout.
Resource Account : Exchange a été chargé, mais il n'y avait pas de token EXO.
L'ordre d'affichage est défini dans UserCategoryOrder (GraphService.cs:2720-2732) : Admin → Member → Guest → Shared Mailbox → Room → Equipment → Resource Account → Disabled → Shared.

Points à connaître
Les catégories ne se cumulent pas. Un admin désactivé reste « Admin » et un invité désactivé reste « Guest ». Seuls les comptes non-admin et non-guest passent par la branche « désactivé ».
Un membre désactivé qui a encore une boîte utilisateur (par exemple un départ dont on garde la boîte) devient « Resource Account ». L'étape b ne requête pas les UserMailbox, donc il n'est jamais reclassé.
Si les rapports M365 sont anonymisés (option « Display concealed names »), les UPN du rapport d'usage ne correspondent plus. Tous les comptes désactivés tombent alors en « Disabled ».
La définition d'« invité » n'est pas la même partout. Les checks MFA (TenantIdentityReport.razor.cs:250-251) excluent les invités par #EXT# dans l'UPN, et non par userType comme la catégorisation.
Dans le résumé (TenantIdentityReport.razor.cs:196-201), « Shared » regroupe Shared Mailbox, Resource Account et Shared, et « Room & Equipment » regroupe Room et Equipment.

TenantTool/Report - Revision history