Empêcher les utilisateurs de donner aux applications tierces l'accès à leurs boîtes aux lettres en utilisant OAuth ou l'authentification de base

Ma solution a été de souscrire à l'abonnement Azure AD Premium P1 (environ 6$ par mois)
Cela vous donnera accès à Conditional Access où vous pourrez créer des politiques pour bloquer/autoriser des applications et autoriser/refuser des utilisateurs/groupes.

Plutôt intuitif, même s'il semble possible d'utiliser Powershell, New-AzureADMSConditionalAccessPolicy (lien) à partir du module AzureAD.

Lorsque vous sélectionnez quelles applications autoriser/bloquer, vous obtenez une liste d'applications connues parmi lesquelles choisir et cette application CRM tierce était en fait sur la liste, à ma grande surprise. Apparemment, AD enregistre et se souvient des applications auxquelles vos utilisateurs se connectent!

Dans ce cas, il n'était pas vraiment possible d'utiliser des règles d'accès client si votre application s'authentifie en utilisant l'authentification MS moderne, car cela n'utilise aucun des protocoles que vous pouvez autoriser/bloquer.
Et il semble que l'authentification réelle soit effectuée à partir DE VOTRE adresse IP et DE VOTRE navigateur, et non du serveur d'application distant!. Je suppose que cela crée un jeton qui est remis au serveur d'application distant qui le sauvegarde afin de pouvoir l'utiliser pour des connexions/synchronisations futures.

J'ai créé un utilisateur O365 fictif auquel ont été attribuées des autorisations d'éditeur pour les dossiers de calendrier des utilisateurs de l'organisation qui ont besoin de synchroniser leur calendrier avec ce système CRM. C'est le seul utilisateur O365 qui a accès pour s'authentifier avec cette application. Maintenant, le système CRM n'a accès qu'aux dossiers de calendrier, ce qui est déjà assez mauvais, mais pas aussi grave que l'accès aux dossiers de messagerie, beurk!