Configurer un serveur SMTP

Aller sur Administration > SMTP.

Configuration de base

  • Adresse : Adresse du serveur SMTP
  • Port : Port utilisé pour communiquer avec le serveur SMTP
  • Chiffrement : Chiffrement de la connexion au serveur SMTP (STARTTLS, TLS ou Clair)
  • Domaine : Domaine du serveur SMTP
  • Authentification : Méthode d’authentification auprès du serveur SMTP (PLAIN, LOGIN, CRAM-MD5 ou OAuth 2.0 (Microsoft 365))
  • Identifiant : Identifiant utilisé pour établir la connexion au serveur SMTP
  • Mot de passe : Mot de passe de l’identifiant renseigné précédemment
  • Identifiant Azure : Identifiant enregistré qui fournit le jeton d’accès, à la place du mot de passe, avec l’authentification OAuth 2.0 (Microsoft 365)
  • Expéditeur : Adresse email que l’instance Cyberwatch utilisera

Configuration d’un serveur sans authentification

Dans le but de configurer un serveur SMTP sans authentification, il suffit de laisser les champs Identifiant et Mot de passe vides.

En cas de problème, il est possible de supprimer la configuration actuelle à l’aide du bouton Supprimer, puis de recréer la configuration souhaitée.

Authentification OAuth 2.0 avec Microsoft 365

Microsoft retire l’authentification SMTP par mot de passe sur Exchange Online (calendrier). Avec l’authentification OAuth 2.0 (Microsoft 365), Cyberwatch obtient un jeton d’accès auprès de Microsoft Entra ID pour une application inscrite dans votre locataire, puis s’authentifie avec ce jeton auprès du serveur SMTP.

La configuration se fait en trois étapes : l’application dans Microsoft Entra ID, son accès à la boîte aux lettres dans Exchange Online, puis le formulaire SMTP de Cyberwatch.

Créer l’application dans Microsoft Entra ID

  1. Depuis le centre d’administration Microsoft Entra, menu Inscriptions d’applications, créer une nouvelle inscription d’application, avec le type de compte Comptes dans cet annuaire organisationnel uniquement
  2. Noter l’ID d’application (client) et l’ID de l’annuaire (locataire), affichés sur la page Vue d’ensemble de l’application
  3. Depuis Certificats & secrets, créer un secret client. Il est aussi possible de s’authentifier avec un certificat généré par Cyberwatch, comme décrit dans Configurer les accès API
  4. Depuis API autorisées, cliquer sur Ajouter une autorisation, puis dans l’onglet API utilisées par mon organisation, rechercher Office 365 Exchange Online
  5. Cliquer sur Autorisations d’application, cocher SMTP.SendAsApp, puis cliquer sur Ajouter des autorisations
  6. Accorder le consentement administrateur à cette autorisation, depuis la même page

Autoriser l’accès à la boîte aux lettres dans Exchange Online

Le principal de service de l’application doit ensuite être enregistré dans Exchange Online, puis recevoir l’accès à la boîte aux lettres d’envoi. Ces opérations se font avec le module PowerShell ExchangeOnlineManagement :

Install-Module -Name ExchangeOnlineManagement
Connect-ExchangeOnline -Organization <TENANT_ID>
New-ServicePrincipal -AppId <APPLICATION_ID> -ObjectId <OBJECT_ID> -DisplayName "Cyberwatch SMTP"
Get-ServicePrincipal -Identity "Cyberwatch SMTP" | Format-List
Add-MailboxPermission -Identity "cyberwatch@contoso.com" -User <SERVICE_PRINCIPAL_ID> -AccessRights FullAccess

Avec :

  • <TENANT_ID> : l’ID de l’annuaire (locataire)
  • <APPLICATION_ID> : l’ID d’application (client)
  • <OBJECT_ID> : l’ID d’objet affiché dans le menu Applications d’entreprise, sur la page Vue d’ensemble de l’application
  • <SERVICE_PRINCIPAL_ID> : la valeur du champ Identity renvoyée par Get-ServicePrincipal
  • cyberwatch@contoso.com : l’adresse de la boîte aux lettres d’envoi

L’ID d’objet à utiliser est celui de l’application d’entreprise, et non celui de l’inscription d’application. Avec le mauvais ID d’objet, l’authentification échoue.

Si l’adresse renseignée dans le champ Expéditeur de Cyberwatch diffère de la boîte aux lettres d’envoi, autoriser aussi l’application à envoyer en tant que cet expéditeur :

Add-RecipientPermission -Identity <EXPEDITEUR> -Trustee <SERVICE_PRINCIPAL_ID> -AccessRights SendAs

Si l’authentification SMTP (SMTP AUTH) est désactivée au niveau du locataire, l’activer pour la boîte aux lettres d’envoi :

Set-CASMailbox -Identity "cyberwatch@contoso.com" -SmtpClientAuthenticationDisabled $false

Configurer Cyberwatch

  1. Créer depuis Réglages > Identifiants enregistrés un identifiant de type Microsoft Entra ID (Azure ou Microsoft 365), avec l’ID de locataire, l’ID d’application (client) et le secret client, comme décrit dans Configurer les accès API. Sur une instance déployée sur AKS, l’identifiant peut aussi s’authentifier avec Azure Workload Identity

  2. Aller sur Administration > SMTP et renseigner les champs suivants :

    ChampValeur
    Adressesmtp.office365.com
    Port587
    ChiffrementSTARTTLS
    AuthentificationOAuth 2.0 (Microsoft 365)
    IdentifiantL’adresse de la boîte aux lettres d’envoi
    Identifiant AzureL’identifiant créé à l’étape précédente
  3. Cliquer sur Sauvegarder
  4. Envoyer un e-mail de test depuis la section Envoyer un e-mail de test

La demande de jeton d’accès passe par le proxy configuré dans Administration > Proxy, sauf si l’identifiant a l’option de contournement du proxy. La connexion au serveur SMTP, elle, ne passe pas par le proxy.

Un identifiant utilisé par la configuration SMTP ne peut pas être supprimé.

Erreurs fréquentes

En cas d’échec, l’e-mail de test affiche le message renvoyé par Microsoft :

  • HTTP 401: AADSTS7000215: Invalid client secret… : le secret client de l’identifiant est invalide ou a expiré
  • 535 5.7.3 Authentication unsuccessful : le principal de service n’est pas enregistré dans Exchange Online, a été enregistré avec le mauvais ID d’objet, ou n’a pas accès à la boîte aux lettres d’envoi