> For the complete documentation index, see [llms.txt](https://docs.realmjoin.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.realmjoin.com/fr/automatisation/runbooks/runbook-references/org/security/sync-mfa-secure-users-to-group_scheduled.md).
# Synchronisation planifiée des utilisateurs MFA sécurisés vers un groupe
Maintenir un groupe rempli d'utilisateurs qui ont enregistré une méthode MFA sécurisée
{% hint style="info" %}
Il s'agit d'un runbook planifié. Il est conçu pour s'exécuter selon une planification récurrente plutôt que d'être déclenché pour un seul objet. Voir [Planification](/fr/automatisation/runbooks/scheduling.md) pour plus de détails sur la configuration des planifications de runbook.
{% endhint %}
### Description
Conserve un groupe Entra ID synchronisé avec les utilisateurs qui ont enregistré au moins une méthode d’authentification sécurisée, comme une clé d’accès ou l’application Microsoft Authenticator. Les utilisateurs qui perdent leur méthode sécurisée sont supprimés. Les administrateurs, un groupe d’exclusion et des utilisateurs individuels peuvent être exclus, par exemple lorsque le groupe contrôle la réinitialisation de mot de passe en libre-service. Un test à blanc n’affiche que les changements, et le rapport peut être envoyé par e-mail ou fourni sous forme de lien de téléchargement. Les détails sur les options se trouvent dans la documentation du runbook (docs.realmjoin.com).
### Fonctionnement
Le runbook lit le rapport de registre des méthodes d’authentification de Entra ID [des méthodes d’authentification](https://learn.microsoft.com/en-us/graph/api/authenticationmethodsroot-list-userregistrationdetails) (`userRegistrationDetails`) et réplique le groupe cible par rapport à tous les **utilisateurs membres** qui sont éligibles :
* Un utilisateur est éligible lorsqu’au moins une de ses méthodes enregistrées figure dans l’ensemble **sécurisé** configuré.
* En **mode strict** (`SecureOnly`), un utilisateur ne doit en outre posséder aucune méthode de l’ensemble **non sécurisée** enregistrée — un utilisateur utilisant une clé d’accès qui conserve aussi un facteur SMS n’est pas éligible.
* Les utilisateurs éligibles qui ne sont pas encore membres du groupe sont ajoutés ; les membres qui ne sont plus éligibles sont supprimés (synchronisation miroir).
* Les utilisateurs invités ne sont jamais ajoutés ni supprimés. Les membres de groupe qui ne sont pas des utilisateurs (appareils, Service Principals, groupes imbriqués) ne sont jamais touchés.
Le groupe cible doit être géré exclusivement par ce runbook.
### Groupes de méthodes sécurisées
Chaque interrupteur contrôle quelles `methodsRegistered` valeurs sont considérées comme sécurisées :
| Interrupteur | Par défaut | Valeurs couvertes |
| ------------------------------------- | ---------- | ------------------------------------------------------------------------------------ |
| Clés d’accès / FIDO2 Security Key | activé | `fido2SecurityKey`, `passKeyDeviceBound`, `passKeyDeviceBoundAuthenticator` |
| Identifiants de plateforme | activé | `windowsHelloForBusiness`, `passKeyDeviceBoundWindowsHello`, `macOsSecureEnclaveKey` |
| Application Microsoft Authenticator | activé | `microsoftAuthenticatorPush`, `microsoftAuthenticatorPasswordless` |
| OTP logiciel | désactivé | `softwareOneTimePasscode` |
| OTP matériel | désactivé | `hardwareOneTimePasscode` |
| Authentification basée sur certificat | activé | `certificateBasedAuthentication` |
### Mode strict (SecureOnly)
Avec le mode strict activé, les utilisateurs ayant l’une des méthodes non sécurisées intégrées suivantes ne sont jamais éligibles :
`mobilePhone`, `alternateMobilePhone`, `officePhone`, `email`, `securityQuestion`
Si une méthode se retrouve à la fois dans l’ensemble sécurisé et dans l’ensemble non sécurisé (possible uniquement via les paramètres de remplacement), la méthode non sécurisée l’emporte — ces utilisateurs ne sont jamais éligibles en mode strict. Le runbook le signale au démarrage.
### Exclusions
Les utilisateurs exclus ne sont jamais éligibles, quelles que soient leurs méthodes enregistrées : ils ne sont jamais ajoutés au groupe cible et sont supprimés s’ils en sont déjà membres. Le rapport par utilisateur indique la raison dans la colonne `ExclusionReason` .
#### Exclure les utilisateurs administrateurs (`ExcludeAdmins`, activé par défaut)
Les utilisateurs détenant un rôle de répertoire Entra ID sont exclus. Cela couvre :
* **Attributions de rôle actives** (`roleManagement/directory/roleAssignments`)
* **Attributions éligibles à PIM** (`roleManagement/directory/roleEligibilitySchedules`, nécessite Entra ID P2 — sans P2, le runbook revient aux attributions actives et journalise un avertissement)
* **Groupes attribuables à des rôles**: les groupes détenant un rôle sont développés jusqu’à leurs membres utilisateurs transitifs
Contexte : lorsque le groupe cible pilote **SSPR** et que la stratégie d’administrateur SSPR est désactivée, les administrateurs du groupe devraient quand même être forcés d’enregistrer un deuxième facteur une fois que deux méthodes SSPR sont requises. Les exclure du groupe évite cela.
Cette option nécessite l’autorisation Microsoft Graph supplémentaire `RoleManagement.Read.Directory` pour l’identité managée.
#### Groupe d’exclusion (`ExcludeGroupId`, facultatif)
Les membres utilisateurs transitifs du groupe configuré sont exclus — prévu pour les comptes qui ne doivent jamais être gérés par cette synchronisation, comme les **comptes break glass** ou **comptes de service**. Les groupes imbriqués sont pris en compte. Le groupe d’exclusion ne doit pas être le groupe cible lui-même.
#### Utilisateurs exclus individuellement (`ExcludeUserIds`, facultatif)
Des utilisateurs individuels peuvent être exclus directement via le sélecteur multi-utilisateur — pour des exclusions ponctuelles lorsqu’il ne vaut pas la peine de maintenir un groupe d’exclusion dédié. La liste accepte les **IDs d’objet** et **noms principaux d’utilisateur** (UPN). Les entrées non résolubles (p. ex. un compte supprimé) génèrent un avertissement et sont ignorées, de sorte qu’une entrée obsolète ne casse jamais une synchronisation planifiée.
#### Gérer les exclusions via la personnalisation du runbook (sans les sélecteurs)
Les deux paramètres d’exclusion peuvent être prédéfinis de manière centralisée via la [Personnalisation du runbook basée sur JSON](https://docs.realmjoin.com/automation/runbooks/runbook-customization#json-based-customizing) (portail RealmJoin : **Paramètres** → **Personnalisations du runbook**) — utile lorsque les exclusions sont fixes pour le Tenant et ne doivent pas être sélectionnées manuellement à chaque démarrage ou planification du runbook :
```json
{
"Runbooks": {
"rjgit-org_security_sync-mfa-secure-users-to-group_scheduled": {
"Parameters": {
"ExcludeGroupId": {
"DefaultValue": "00000000-0000-0000-0000-000000000000",
"Hide": true
},
"ExcludeUserIds": {
"DefaultValue": [
"11111111-1111-1111-1111-111111111111",
"breakglass@contoso.com"
],
"Hide": true
}
}
}
}
}
```
* **ExcludeGroupId** prend un seul **ID d’objet** (GUID) sous forme de chaîne simple — copiez-le depuis la page de vue d’ensemble du groupe dans le centre d’administration Entra ou le portail RealmJoin.
* **ExcludeUserIds** prend un **tableau JSON de chaînes**; chaque entrée peut être un **ID d’objet** ou un **UPN**. Les entrées sont nettoyées et dédupliquées ; le runbook les résout au démarrage.
* **Recommandé :** lorsque les exclusions sont gérées via la personnalisation du runbook, définissez également `"Hide": true` sur le paramètre (comme dans l’exemple ci-dessus). Cela le supprime entièrement du formulaire de démarrage, de sorte que les exclusions configurées de manière centralisée ne peuvent pas être remplacées dans l’interface lors du démarrage ou de la planification du runbook. Sans `Hide`, les valeurs configurées apparaissent seulement préremplies et peuvent toujours y être modifiées.
### Référence de classification des méthodes
Utilisez les valeurs Graph exactes de ce tableau lors de la création des chaînes de remplacement séparées par des virgules :
| `methodsRegistered` valeur | Nom convivial | Classification | Couvert par l’interrupteur (par défaut) |
| ------------------------------------ | ------------------------------------------------------------------- | -------------- | ---------------------------------------------- |
| `fido2SecurityKey` | FIDO2 Security Key | Sécurisé | Clés d’accès / FIDO2 (activé) |
| `passKeyDeviceBound` | Clé d’accès (liée à l’appareil) | Sécurisé | Clés d’accès / FIDO2 (activé) |
| `passKeyDeviceBoundAuthenticator` | Clé d’accès dans Microsoft Authenticator | Sécurisé | Clés d’accès / FIDO2 (activé) |
| `windowsHelloForBusiness` | Windows Hello for Business | Sécurisé | Identifiants de plateforme (activé) |
| `passKeyDeviceBoundWindowsHello` | Clé d’accès dans Windows Hello | Sécurisé | Identifiants de plateforme (activé) |
| `macOsSecureEnclaveKey` | Identifiant de plateforme pour macOS | Sécurisé | Identifiants de plateforme (activé) |
| `microsoftAuthenticatorPush` | Microsoft Authenticator (notification push) | Sécurisé | Application Microsoft Authenticator (activé) |
| `microsoftAuthenticatorPasswordless` | Microsoft Authenticator (connexion sans mot de passe sur téléphone) | Sécurisé | Application Microsoft Authenticator (activé) |
| `softwareOneTimePasscode` | Jeton OATH logiciel (application TOTP) | Sécurisé | OTP logiciel (désactivé) |
| `hardwareOneTimePasscode` | Jeton OATH matériel | Sécurisé | OTP matériel (désactivé) |
| `certificateBasedAuthentication` | Authentification basée sur certificat | Sécurisé | Authentification basée sur certificat (activé) |
| `mobilePhone` | Téléphone (SMS / appel vocal) | Non sécurisé | liste non sécurisée intégrée |
| `alternateMobilePhone` | Téléphone alternatif (appel vocal) | Non sécurisé | liste non sécurisée intégrée |
| `officePhone` | Téléphone Office (appel vocal) | Non sécurisé | liste non sécurisée intégrée |
| `email` | E-mail (SSPR uniquement) | Non sécurisé | liste non sécurisée intégrée |
| `securityQuestion` | Questions de sécurité (SSPR uniquement) | Non sécurisé | liste non sécurisée intégrée |
| `temporaryAccessPass` | Temporary Access Pass | Neutre | n’est jamais éligible, ne disqualifie jamais |
Les valeurs Graph inconnues ou futures sont traitées comme neutres, sauf si elles sont explicitement listées dans un paramètre de remplacement.
### Paramètres de remplacement
Les deux paramètres de remplacement sont masqués par défaut et destinés à la personnalisation du runbook RealmJoin :
* **SecureMethodsOverride** — liste de `methodsRegistered` valeurs séparées par des virgules qui définit l’ensemble sécurisé. Lorsqu’elle est définie, **tous les** interrupteurs des groupes de méthodes sont ignorés. Exemple : `fido2SecurityKey,passKeyDeviceBound,passKeyDeviceBoundAuthenticator,windowsHelloForBusiness`
* **UnsecureMethodsOverride** — liste séparée par des virgules qui remplace la liste non sécurisée intégrée. Évaluée uniquement en mode strict. Exemple : `mobilePhone,alternateMobilePhone,officePhone,email,securityQuestion,softwareOneTimePasscode`
Les valeurs inconnues génèrent un avertissement mais sont quand même évaluées, de sorte que les futures valeurs Graph peuvent être utilisées avant que cette documentation ne soit mise à jour.
### Rapport par e-mail et liens de téléchargement
En option, un rapport détaillé peut être fourni - particulièrement utile pour examiner la toute première exécution (idéalement combinée avec le mode de simulation) :
* **Envoyer le rapport par e-mail** (`SendEmail`, désactivé par défaut) : envoie le rapport aux destinataires configurés. Le champ des destinataires n’apparaît que lorsque l’e-mail est activé. Nécessite le `RJReport.EmailSender` paramètre du Tenant (voir le [documentation des paramètres de rapport RealmJoin](https://docs.realmjoin.com/automation/runbooks/runbook-report-settings)).
* **Créer des liens de téléchargement de fichiers** (`Créer un lien de téléchargement`, désactivé par défaut) : téléverse les fichiers du rapport vers un Storage Account Azure et renvoie des liens de téléchargement à durée limitée (utilise les `RJReport.StorageAccount.*` paramètres du Tenant).
Les fichiers du rapport ne sont générés que si au moins l’une des deux options est activée. Le rapport se compose de :
* **mfa-secure-users-group-sync-changes.csv** - tous les changements effectués (ou, en simulation, en attente) avec les détails des méthodes par utilisateur
* **mfa-secure-users-group-sync-all-users.csv** - l’évaluation de chaque utilisateur membre : méthodes enregistrées, classification sécurisée/non sécurisée, éligibilité, raison d’exclusion et appartenance au groupe
* **mfa-secure-users-group-sync-report.xlsx** - les mêmes données sous forme de classeur Excel mis en forme : une feuille de couverture "Info" avec les paramètres choisis et les comptes de résultats, une feuille "Changes" (les utilisateurs ajoutés sont surlignés en vert, les supprimés en rouge) et une feuille "All Users"
Dans les Tenant volumineux, les fichiers CSV bruts peuvent dépasser la limite de taille des pièces jointes des e-mails (Graph rejette les messages à environ 4 Mo au total). Lorsque les fichiers CSV dépassent un budget de 2,5 Mo, l’e-mail est envoyé avec uniquement le classeur Excel en pièce jointe (qui contient les données complètes sous forme compressée) et une note expliquant l’omission ; un envoi complet ayant échoué est également retenté automatiquement avec le classeur uniquement. Le téléversement du lien de téléchargement inclut toujours tous les fichiers, quelle que soit leur taille.
#### Branding des e-mails
L’e-mail du rapport prend en compte l’optionnel `RJReport.Branding.*` paramètres Tenant :
* **Image d’en-tête et de pied de page** – URL HTTPS publiques, PNG/JPEG/GIF, 200 Ko max. chacune
* **Lien de pied de page** – cible de l’image de pied de page
* **Couleur d’accent et de texte** – valeurs hexadécimales à 6 chiffres, par ex. `#0052cc`
Lorsque ces paramètres ne sont pas configurés, les graphismes et couleurs par défaut de RealmJoin sont utilisés. Une image qui ne peut pas être téléchargée ou validée, ou une valeur de couleur non valide, n’empêche jamais l’envoi de l’e-mail du rapport : le défaut correspondant est utilisé à la place.
Instructions de configuration et exigences relatives aux images : [Branding des e-mails](https://docs.realmjoin.com/automation/runbooks/runbook-report-settings#email-branding-optional).
### Notes et limites
* Le rapport d’inscription nécessite une **licence Entra ID P1 ou P2** .
* Les attributions de rôle éligibles à PIM (exclusion des administrateurs) nécessitent une **licence Entra ID P2** — sans elle, seules les attributions de rôle actives sont exclues.
* Le rapport n’inclut pas les utilisateurs **désactivés** ou supprimés définitivement — ces comptes sont retirés du groupe lors de la prochaine exécution.
* Les données du rapport peuvent prendre du retard par rapport aux changements d’inscription récents ; une méthode nouvellement enregistrée peut nécessiter un cycle de synchronisation pour apparaître.
* Le runbook traite les Tenant volumineux (20k+ utilisateurs) via des lectures paginées du rapport et des écritures groupées des groupes avec des tentatives automatiques de réessai en cas de limitation du débit.
### Planification
La synchronisation est idempotente — une planification récurrente unique (par ex. quotidienne) maintient le groupe à jour, et les relances après des échecs partiels se rétablissent d’elles-mêmes. Recommandation : exécutez une fois avec **Simulation (WhatIf)** activée et examinez la sortie du job avant de planifier le runbook en mode réel.
### Emplacement
Organisation → Sécurité → Synchroniser les utilisateurs MFA sécurisés vers le groupe (planifié)
**Nom complet du runbook**
rjgit-org\_security\_sync-MFA-secure-users-to-group\_scheduled
### Détails
| Propriété | Valeur |
| -------------- | ------------------------------------------------------------------------------------------------------------------ |
| Version | 1.5.0 |
| Modules requis | RealmJoin.RunbookHelper (>= 0.8.10)
Microsoft.Graph.Authentication (>= 2.41.2)
Az.Accounts (>= 5.5.2)
|
| Planifiable | oui |
### Autorisations
#### Autorisations d’application
* **Type**: Microsoft Graph
* AuditLog.Read.All
* *Lit userRegistrationDetails pour évaluer les méthodes MFA enregistrées de chaque utilisateur*
* Group.Read.All
* *Lit le groupe cible et les groupes d’exclusion ainsi que leurs membres utilisateurs transitifs*
* RoleManagement.Read.Directory
* *Lit les attributions de rôle et les plans d’éligibilité pour exclure les utilisateurs administrateurs lorsque ExcludeAdmins est activé*
* GroupMember.ReadWrite.All
* *Ajoute et supprime des utilisateurs dans le groupe cible via des appels groupés /groups/{id}/members/$ref*
* User.Read.All
* *Résout les principaux de rôle administrateur et les entrées ExcludeUserIds en objets utilisateur*
* Organization.Read.All
* *Lit /organization pour récupérer le nom du Tenant sur la page de couverture du rapport et dans l’e-mail*
* Mail.Send *(facultatif — fonctionnalité : rapport par e-mail)*
* *Envoie l’e-mail du rapport via Send-RjReportEmail lorsque le rapport par e-mail est activé*
### Paramètres
#### TargetGroupId
Groupe dont les membres sont gérés par ce runbook. Les membres qui ne sont plus éligibles sont supprimés.
| Propriété | Valeur |
| -------------------------- | ------------ |
| Obligatoire | vrai |
| Valeur par défaut | |
| Type | Chaîne |
| Nom d’affichage du portail | Groupe cible |
#### IncludePasskeys
Les clés d’accès et les FIDO2 Security Key, qui résistent au phishing, sont considérées comme sécurisées.
| Propriété | Valeur |
| -------------------------- | ---------------------------------------------------------------------------- |
| Obligatoire | faux |
| Valeur par défaut | Vrai |
| Type | Booléen |
| Nom d’affichage du portail | Les clés d’accès et les clés FIDO2 sont-elles considérées comme sécurisées ? |
#### IncludePlatformCredentials
Windows Hello for Business et les identifiants de plateforme macOS sont considérés comme sécurisés.
| Propriété | Valeur |
| -------------------------- | -------------------------------------------------------------------- |
| Obligatoire | faux |
| Valeur par défaut | Vrai |
| Type | Booléen |
| Nom d’affichage du portail | Les identifiants de plateforme sont-ils considérés comme sécurisés ? |
#### IncludeMicrosoftAuthenticator
L’application Microsoft Authenticator, avec connexion push ou sans mot de passe, est considérée comme sécurisée.
| Propriété | Valeur |
| -------------------------- | --------------------------------------------------------- |
| Obligatoire | faux |
| Valeur par défaut | Vrai |
| Type | Booléen |
| Nom d’affichage du portail | Microsoft Authenticator est-il considéré comme sécurisé ? |
#### IncludeSoftwareOtp
Les codes à usage unique basés sur le temps provenant d’applications d’authentification sont considérés comme sécurisés.
| Propriété | Valeur |
| -------------------------- | ------------------------------------------------ |
| Obligatoire | faux |
| Valeur par défaut | Faux |
| Type | Booléen |
| Nom d’affichage du portail | L’OTP logiciel est-il considéré comme sécurisé ? |
#### IncludeHardwareOtp
Les jetons de mot de passe à usage unique matériels sont considérés comme sécurisés.
| Propriété | Valeur |
| -------------------------- | -------------------------------------------------------------- |
| Obligatoire | faux |
| Valeur par défaut | Faux |
| Type | Booléen |
| Nom d’affichage du portail | Les jetons OTP matériels sont-ils considérés comme sécurisés ? |
#### IncludeCertificateBasedAuth
La connexion avec un certificat, par exemple à partir d’une carte à puce, est considérée comme sécurisée.
| Propriété | Valeur |
| -------------------------- | ----------------------------------------------------------------------------- |
| Obligatoire | faux |
| Valeur par défaut | Vrai |
| Type | Booléen |
| Nom d’affichage du portail | L’authentification basée sur certificat est-elle considérée comme sécurisée ? |
#### SecureOnly
Mode strict : les utilisateurs qui ont également enregistré une méthode téléphone, e-mail ou question de sécurité ne sont jamais éligibles, même avec une méthode sécurisée.
| Propriété | Valeur |
| -------------------------- | ------------- |
| Obligatoire | faux |
| Valeur par défaut | Faux |
| Type | Booléen |
| Nom d’affichage du portail | Mode strict ? |
#### SecureMethodsOverride
Liste personnalisée de noms de méthodes considérées comme sécurisées, séparés par des virgules. Lorsqu’elle est définie, les interrupteurs de méthodes individuels sont ignorés. Préconfiguré dans la personnalisation du runbook ; les noms de méthodes sont listés dans la documentation du runbook.
| Propriété | Valeur |
| -------------------------- | -------------------------------------------------- |
| Obligatoire | faux |
| Valeur par défaut | |
| Type | Chaîne |
| Nom d’affichage du portail | Méthodes sécurisées personnalisées |
| Masqué dans le portail | oui (prédéfini via la personnalisation du runbook) |
#### UnsecureMethodsOverride
Liste personnalisée de noms de méthodes considérées comme non sécurisées en mode strict, séparés par des virgules. Préconfiguré dans la personnalisation du runbook.
| Propriété | Valeur |
| -------------------------- | -------------------------------------------------- |
| Obligatoire | faux |
| Valeur par défaut | |
| Type | Chaîne |
| Nom d’affichage du portail | Méthodes non sécurisées personnalisées |
| Masqué dans le portail | oui (prédéfini via la personnalisation du runbook) |
#### ExcludeAdmins
Les utilisateurs disposant d’un rôle de répertoire Entra ID, actif ou éligible, ne sont jamais éligibles et sont supprimés du groupe. Utile lorsque le groupe pilote la réinitialisation de mot de passe en libre-service.
| Propriété | Valeur |
| -------------------------- | ----------------------------- |
| Obligatoire | faux |
| Valeur par défaut | Vrai |
| Type | Booléen |
| Nom d’affichage du portail | Exclure les administrateurs ? |
#### ExcludeGroupId
Les membres de ce groupe, par exemple les comptes break glass ou les comptes de service, ne sont jamais éligibles et sont supprimés du groupe cible. Laisser vide pour aucun.
| Propriété | Valeur |
| -------------------------- | ------------------ |
| Obligatoire | faux |
| Valeur par défaut | |
| Type | Chaîne |
| Nom d’affichage du portail | Groupe d’exclusion |
#### ExcludeUserIds
Utilisateurs qui ne sont jamais éligibles et sont supprimés du groupe cible. Plusieurs peuvent être sélectionnés.
| Propriété | Valeur |
| -------------------------- | ------------------- |
| Obligatoire | faux |
| Valeur par défaut | @() |
| Type | String\[] |
| Nom d’affichage du portail | Utilisateurs exclus |
#### WhatIfMode
Journalise uniquement quels utilisateurs seraient ajoutés ou supprimés, sans modifier le groupe.
| Propriété | Valeur |
| -------------------------- | ------------ |
| Obligatoire | faux |
| Valeur par défaut | Faux |
| Type | Booléen |
| Nom d’affichage du portail | Simulation ? |
#### SendEmail
Envoyer le rapport par e-mail après l’exécution.
| Propriété | Valeur |
| -------------------------- | ------------------------------- |
| Obligatoire | faux |
| Valeur par défaut | Faux |
| Type | Booléen |
| Nom d’affichage du portail | Envoyer le rapport par e-mail ? |
**Options du portail**
| Option du portail | Valeur |
| ----------------------------------- | ------ |
| Oui - envoyer le rapport par e-mail | vrai |
| Non - ne pas envoyer d’e-mail | faux |
#### EmailTo
Envoyez le rapport à ces adresses. Séparez-en plusieurs par des virgules ; chaque destinataire reçoit un e-mail distinct.
| Propriété | Valeur |
| -------------------------- | --------------------------------- |
| Obligatoire | faux |
| Valeur par défaut | |
| Type | Chaîne |
| Nom d’affichage du portail | Adresse(s) e-mail du destinataire |
#### EmailFrom
Adresse de l’expéditeur de l’e-mail du rapport. Prise dans le paramètre Tenant RJReport.EmailSender.
| Propriété | Valeur |
| ---------------------- | -------------------------------------------------- |
| Obligatoire | faux |
| Valeur par défaut | |
| Type | Chaîne |
| Masqué dans le portail | oui (prédéfini via la personnalisation du runbook) |
#### BrandingHeaderImageUrl
Image d’en-tête de l’e-mail du rapport (URL HTTPS, PNG/JPEG/GIF, 200 Ko max.). Prise dans le paramètre Tenant RJReport.Branding.HeaderImageUrl ; l’en-tête RealmJoin par défaut est utilisé si vide.
| Propriété | Valeur |
| ---------------------- | -------------------------------------------------- |
| Obligatoire | faux |
| Valeur par défaut | |
| Type | Chaîne |
| Masqué dans le portail | oui (prédéfini via la personnalisation du runbook) |
#### BrandingFooterImageUrl
Image de pied de page de l’e-mail du rapport (URL HTTPS, PNG/JPEG/GIF, 200 Ko max.). Prise dans le paramètre Tenant RJReport.Branding.FooterImageUrl ; le pied de page RealmJoin par défaut est utilisé si vide.
| Propriété | Valeur |
| ---------------------- | -------------------------------------------------- |
| Obligatoire | faux |
| Valeur par défaut | |
| Type | Chaîne |
| Masqué dans le portail | oui (prédéfini via la personnalisation du runbook) |
#### BrandingFooterLink
Lien derrière l’image de pied de page de l’e-mail du rapport. Pris dans le paramètre Tenant RJReport.Branding.FooterLink ; realmjoin.com est utilisé si vide.
| Propriété | Valeur |
| ---------------------- | -------------------------------------------------- |
| Obligatoire | faux |
| Valeur par défaut | |
| Type | Chaîne |
| Masqué dans le portail | oui (prédéfini via la personnalisation du runbook) |
#### BrandingAccentColor
Couleur d’accent de l’e-mail du rapport sous forme de valeur hexadécimale à 6 chiffres. Prise dans le paramètre Tenant RJReport.Branding.AccentColor ; la valeur par défaut RealmJoin est utilisée si vide ou non valide.
| Propriété | Valeur |
| ---------------------- | -------------------------------------------------- |
| Obligatoire | faux |
| Valeur par défaut | |
| Type | Chaîne |
| Masqué dans le portail | oui (prédéfini via la personnalisation du runbook) |
#### BrandingTextColor
Couleur du texte de l’e-mail du rapport sous forme de valeur hexadécimale à 6 chiffres. Prise dans le paramètre Tenant RJReport.Branding.TextColor ; la valeur par défaut RealmJoin est utilisée si vide ou non valide.
| Propriété | Valeur |
| ---------------------- | -------------------------------------------------- |
| Obligatoire | faux |
| Valeur par défaut | |
| Type | Chaîne |
| Masqué dans le portail | oui (prédéfini via la personnalisation du runbook) |
#### ReportFileFormat
Distribuez le rapport en CSV, en classeur Excel ou dans les deux formats.
| Propriété | Valeur |
| -------------------------- | -------------------------------------------------- |
| Obligatoire | faux |
| Valeur par défaut | CSV et XLSX |
| Type | Chaîne |
| Nom d’affichage du portail | Format du fichier de rapport |
| Masqué dans le portail | oui (prédéfini via la personnalisation du runbook) |
**Options du portail**
| Option du portail | Valeur |
| ----------------- | --------------- |
| CSV et XLSX | CSV et XLSX |
| CSV uniquement | CSV uniquement |
| XLSX uniquement | XLSX uniquement |
#### Créer un lien de téléchargement
Télécharge également le rapport et renvoie un lien de téléchargement qui expire après quelques jours.
| Propriété | Valeur |
| -------------------------- | --------------------------------- |
| Obligatoire | faux |
| Valeur par défaut | Faux |
| Type | Booléen |
| Nom d’affichage du portail | Créer un lien de téléchargement ? |
**Options du portail**
| Option du portail | Valeur |
| ----------------------------------------------------------------- | ------ |
| Oui - téléverser le rapport et renvoyer un lien de téléchargement | vrai |
| Non - ne pas créer de lien de téléchargement | faux |
#### Nom du conteneur
Conteneur de stockage vers lequel les fichiers du rapport sont téléversés. À définir par runbook.
| Propriété | Valeur |
| ---------------------- | -------------------------------------------------- |
| Obligatoire | faux |
| Valeur par défaut | sync-mfa-secure-users-to-group |
| Type | Chaîne |
| Masqué dans le portail | oui (prédéfini via la personnalisation du runbook) |
#### Nom du groupe de ressources
Groupe de ressources du compte de stockage pour les téléversements du rapport. Pris à partir du paramètre du tenant RJReport.StorageAccount.ResourceGroup.
| Propriété | Valeur |
| ---------------------- | -------------------------------------------------- |
| Obligatoire | faux |
| Valeur par défaut | |
| Type | Chaîne |
| Masqué dans le portail | oui (prédéfini via la personnalisation du runbook) |
#### Nom du Storage Account
Compte de stockage pour les téléversements du rapport. Pris à partir du paramètre du tenant RJReport.StorageAccount.StorageAccountName.
| Propriété | Valeur |
| ---------------------- | -------------------------------------------------- |
| Obligatoire | faux |
| Valeur par défaut | |
| Type | Chaîne |
| Masqué dans le portail | oui (prédéfini via la personnalisation du runbook) |
#### LinkExpiryDays
Nombre de jours pendant lesquels un lien de téléchargement reste valide. Pris à partir du paramètre du tenant RJReport.StorageAccount.LinkExpiryDays.
| Propriété | Valeur |
| ---------------------- | -------------------------------------------------- |
| Obligatoire | faux |
| Valeur par défaut | 6 |
| Type | Int32 |
| Masqué dans le portail | oui (prédéfini via la personnalisation du runbook) |
[Retour à l’aperçu de la référence du runbook](/fr/automatisation/runbooks/runbook-references.md)
---
# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.
## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation by asking a question.
Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters:
```
GET https://docs.realmjoin.com/fr/automatisation/runbooks/runbook-references/org/security/sync-mfa-secure-users-to-group_scheduled.md?ask=&goal=
```
`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case.
The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.
Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.