> For the complete documentation index, see [llms.txt](https://docs.realmjoin.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.realmjoin.com/fr/automatisation/runbooks/runbook-references/user/mail/delegate-full-access.md). # Déléguer l'accès complet Accorder ou supprimer l'accès complet à la boîte aux lettres de cet utilisateur ### Description Accorde à une ou plusieurs personnes un accès complet à la boîte aux lettres de cet utilisateur, ou retire à nouveau cet accès. En option, la boîte aux lettres s’ouvre automatiquement dans Outlook des délégués. Les autorisations sont affichées avant et après la modification, et l’échec pour un délégué n’arrête pas les autres. ### Fonctionnement À chaque exécution, le runbook : 1. Se connecte à Exchange Online avec l’identité gérée du compte Automation. 2. Vérifie que le propriétaire de la boîte aux lettres sélectionné (`Nom d'utilisateur`) a bien une boîte aux lettres - sinon, l’exécution s’arrête avant toute modification. 3. Résout chaque délégué sélectionné vers son adresse SMTP principale et supprime les doublons ainsi que le propriétaire de la boîte aux lettres lui-même. 4. Lit et affiche l’état actuel **FullAccess** des délégations sur la boîte aux lettres (l’ *état actuel*). 5. Accorde ou retire FullAccess pour chaque délégué restant, un par un. 6. Relit les autorisations de la boîte aux lettres et affiche l’état résultant ainsi qu’un résumé par exécution. Le runbook ne touche jamais que le **FullAccess** droit sur la seule boîte aux lettres sélectionnée. Les autorisations Send As, Send on Behalf et au niveau des dossiers ne sont pas affectées. #### Sélection des délégués Le **Delegate access to** champ est un **sélecteur multiple** d’utilisateurs. Sélectionnez autant de délégués que nécessaire - tous recevront la même action (*Accorder l'accès* ou *Retirer l'accès*) et le même paramètre AutoMapping du formulaire en une seule exécution. Le sélecteur est limité aux comptes membres (`userType eq 'Member'`), donc les comptes invités ne sont pas proposés. Il transmet chaque délégué sélectionné en tant que **nom principal d'utilisateur**; la toute première ligne de journal ressemble donc déjà à une liste de UPN au lieu d’identifiants d’objet bruts. Chaque valeur est ensuite résolue auprès d’Exchange Online, et à partir de l’étape de vérification préalable toute la sortie affiche l’adresse SMTP principale du délégué. Deux entrées du sélecteur qui résolvent la même boîte aux lettres sont dédupliquées, et un délégué qui se résout sur le propriétaire de la boîte aux lettres est ignoré avec un avertissement - une boîte aux lettres ne peut pas être déléguée à elle-même. #### Ce qui est modifié * **Accorder l'accès (`Supprimer` = false) :** `Add-MailboxPermission` avec `-AccessRights FullAccess` pour chaque délégué. * **Retirer l'accès (`Supprimer` = true) :** `Remove-MailboxPermission` avec `-AccessRights FullAccess -InheritanceType All` pour chaque délégué. #### AutoMapping **`AutoMapping`** n’est évalué que lors de l’octroi de l’accès ; le portail masque le champ lorsque *Retirer l'accès* est sélectionné. Avec AutoMapping activé, Outlook ajoute automatiquement la boîte aux lettres déléguée au profil du délégué - mais seulement après que le client a recréé le mappage, ce qui peut prendre un certain temps. Les attributions existantes ne sont pas réécrites pour modifier leur valeur AutoMapping ; supprimez la délégation et accordez-la à nouveau si le comportement de mappage doit changer. #### Conçu pour être idempotent Rien n’est fait deux fois et rien n’échoue simplement parce que c’était déjà vrai : * L’octroi de l’accès à un délégué qui possède déjà FullAccess est signalé comme *inchangé*, et non comme une erreur. * La suppression de l’accès à un délégué qui n’a aucune entrée FullAccess est signalée comme *inchangé*, et non comme une erreur. * Lorsque l’instantané avant modification ne peut pas classer une entrée d’autorisation existante, le runbook ne **pas** prend pas de raccourci - il appelle Exchange Online et laisse sa réponse décider, de sorte qu’une délégation supprimable n’est jamais ignorée silencieusement. #### Résultats partiels Les délégués sont traités indépendamment : * Un délégué **sans boîte aux lettres** est ignoré pendant la vérification préalable et compté comme *ignoré*; les autres délégués sont quand même traités. Si aucun des délégués sélectionnés n’a de boîte aux lettres, l’exécution s’arrête. * Un délégué dont la modification **échoue** est signalé avec une raison ciblée (retard de réplication du répertoire, autorisations Exchange Online insuffisantes sur l’identité gérée, autorisation héritée d’un groupe, ou boîte aux lettres partagée/sans licence) et la boucle continue avec le reste. Chaque exécution se termine par une ligne de résumé sous la forme `Résumé : , , <échecs>, `, suivie des délégations FullAccess résultantes sur la boîte aux lettres. Si **un** délégué échoue, le runbook lui-même signale un échec. C’est volontaire : avec un sélecteur multi-sélection, un succès partiel présenté comme une exécution propre masquerait les délégués qui n’ont jamais reçu l’accès. #### Limitations * **Les autorisations héritées ne peuvent pas être supprimées.** Un droit FullAccess provenant d’un groupe de rôles ou de l’appartenance à un Security Group est affiché comme *hérité* mais ne peut pas être révoqué ici - ajustez plutôt l’appartenance au groupe ou l’attribution de rôle. * **Seuls les octrois explicites Allow sont gérés.** Une entrée explicite **Deny** sur la boîte aux lettres est affichée par souci de transparence, mais le runbook n’en ajoute ni n’en supprime jamais. #### Prérequis L’identité gérée du compte Automation se connecte à Exchange Online via `Connect-RjRbExchangeOnline` et a besoin de : * de la `Exchange.ManageAsApp` autorisation d’application sur *Office 365 Exchange Online*, et * de la **Administrateur Exchange** du rôle (ou d’un rôle RBAC équivalent d’Exchange Online qui inclut `Add-MailboxPermission` et `Remove-MailboxPermission`). Le runbook n’effectue aucun appel Microsoft Graph - le sélecteur d’utilisateurs n’est qu’une annotation côté portail, donc aucune autorisation d’application Graph n’est requise. ### Emplacement Utilisateur → Courrier → Délégation d’accès complet **Nom complet du runbook** rjgit-user\_mail\_delegate-full-access ### Détails | Propriété | Valeur | | -------------- | --------------------------------------------------------------------------------- | | Version | 1.1.3 | | Modules requis |

RealmJoin.RunbookHelper (>= 0.8.10)
ExchangeOnlineManagement (>= 3.9.2)

| | Planifiable | non | ### Autorisations #### Autorisations d’application * **Type**: Office 365 Exchange Online * Exchange.ManageAsApp * *Gère les délégations de boîte aux lettres FullAccess dans la session Exchange Online en mode application uniquement* #### rôles RBAC * Administrateur Exchange * *Requis pour la session Exchange Online en mode application uniquement qui gère les autorisations FullAccess* ### Paramètres #### Nom d'utilisateur Nom principal de l'utilisateur sur lequel le runbook agit. Défini par le portail à partir de l'utilisateur sélectionné. | Propriété | Valeur | | ---------------------- | -------------------------------------------------- | | Obligatoire | vrai | | Valeur par défaut | | | Type | Chaîne | | Masqué dans le portail | oui (prédéfini via la personnalisation du runbook) | #### delegateTo Les personnes qui obtiennent ou perdent l’accès complet. Vous pouvez en sélectionner plusieurs à la fois. | Propriété | Valeur | | -------------------------- | ------------------ | | Obligatoire | vrai | | Valeur par défaut | | | Type | String\[] | | Nom d’affichage du portail | Delegate access to | #### Supprimer Grant accorde l’accès complet aux personnes sélectionnées, Remove le retire. | Propriété | Valeur | | -------------------------- | ------- | | Obligatoire | faux | | Valeur par défaut | Faux | | Type | Booléen | | Nom d’affichage du portail | Action | **Options du portail** | Option du portail | Valeur | | ----------------- | ------ | | Accorder l'accès | faux | | Retirer l'accès | vrai | #### AutoMapping Fait apparaître automatiquement la boîte aux lettres dans Outlook des délégués. N’a aucun effet lorsque l’accès est retiré. | Propriété | Valeur | | -------------------------- | ---------------------------------------------------------- | | Obligatoire | faux | | Valeur par défaut | Faux | | Type | Booléen | | Nom d’affichage du portail | Mapper automatiquement la boîte aux lettres dans Outlook ? | [Retour à l’aperçu de la référence du runbook](/fr/automatisation/runbooks/runbook-references.md) --- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://docs.realmjoin.com/fr/automatisation/runbooks/runbook-references/user/mail/delegate-full-access.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.