Modification mot de passe 365

Bonjour,

Nous avons depuis la dernière mise à jour une erreur lors que nous souhaitons mettre à jour le mot passe 365 pour un utilisateur. Dans les logs nous avons une erreur indiquant des privilèges insuffisants. Le compte utilisé à le rôle administrateur Général dans MS 365. Tous les outils ont été mis à jour sans succès.

Auriez vous une piste ?

Merci d'avance

Bonjour,

Voici les logs de la même erreur:
[
[OFFICE365] [29/08/2025 01:34:21] {Changement de mot de passe} Utilisateur : Marc TEST (mtest) Adresse email : marc.test@lyceeXXXXX.fr
[OFFICE365] [29/08/2025 01:34:21] {Changement de mot de passe} Script="C:\Program Files\KoXo Dev\KoXoAdm\AdminScripts\UserPasswordO365.ps1"
[POWERSHELL] [08/29/2025 01:34:23]: [OK] Powershell module "ExchangeOnlineManagement" V3.8.0 loaded
[POWERSHELL] [08/29/2025 01:34:28]: [OK] Connection to Microsoft Graph was successful !
[POWERSHELL] [08/29/2025 01:34:28]: [INFO] (Application.Read.All,Application.ReadWrite.All,ChannelMember.ReadWrite.All,Directory.Read.All,Directory.ReadWrite.All,Domain.Read.All,Group.Read.All,Group.ReadWrite.All,GroupMember.ReadWrite.All,openid,Organization.Read.All,Organization.ReadWrite.All,profile,RoleManagement.ReadWrite.Directory,TeamMember.ReadWrite.All,TeamsApp.ReadWrite.All,TeamsAppInstallation.ReadWriteForTeam,TeamsAppInstallation.ReadWriteSelfForTeam,TeamSettings.ReadWrite.All,TeamsTab.ReadWrite.All,User.Read,User.Read.All,User.ReadWrite.All,email)
[POWERSHELL] [08/29/2025 01:34:28]: [INFO] (Authentication type: Delegated)
[POWERSHELL] [08/29/2025 01:34:28]: [INFO] (Credential type    : InteractiveBrowser)
[POWERSHELL] [08/29/2025 01:34:37]: [OK] Connection was successful to Microsoft Exchange Online Management
[POWERSHELL] [08/29/2025 01:34:37]: [OFFICE365] Marc TEST (marc.test@lyceeXXXXXX.fr)
[POWERSHELL] [08/29/2025 01:34:40]: [OK] Successfully configure password policies "DisableStrongPassword,DisablePasswordExpiration" for "Marc TEST" (marc.test@lyceeXXXXX.fr)
[POWERSHELL] [08/29/2025 01:34:40]: [ERROR] Unable to change user password for "Marc TEST" "marc.test@lyceeXXXXX.fr" || Error = Insufficient privileges to complete the operation.
[POWERSHELL] 
[POWERSHELL] Status: 403 (Forbidden)
[POWERSHELL] ErrorCode: Authorization_RequestDenied
[POWERSHELL] Date: 2025-08-28T23:34:40
[POWERSHELL] 
[POWERSHELL] Headers:
[POWERSHELL] Transfer-Encoding             : chunked
[POWERSHELL] Vary                          : Accept-Encoding
[POWERSHELL] Strict-Transport-Security     : max-age=31536000
[POWERSHELL] request-id                    : cd1c4700-a6bc-49c9-8ea9-a516ab6a775e
[POWERSHELL] client-request-id             : 8bf78c60-164f-4785-8323-5aca12512156
[POWERSHELL] x-ms-ags-diagnostic           : {"ServerInfo":{"DataCenter":"France Central","Slice":"E","Ring":"5","ScaleUnit":"000","RoleInstance":"PA1PEPF00103B92"}}
[POWERSHELL] x-ms-resource-unit            : 1
[POWERSHELL] Cache-Control                 : no-cache
[POWERSHELL] Date                          : Thu, 28 Aug 2025 23:34:39 GMT
[POWERSHELL] 
[POWERSHELL] 
[POWERSHELL] ErrorsCount[marc.test@lyceeXXXXXXX.fr]=1
[POWERSHELL] WarningsCount[marc.test@lyceeXXXXX.fr]=0
[POWERSHELL] [08/29/2025 01:34:40]: [OK] Disconnection from Microsoft Graph was successful
[POWERSHELL] TotalErrorsCount=1
[POWERSHELL] TotalWarningsCount=0

Le compte utilisé est l'admin global avec les droits de Password Administrator et de HelpDesk Administrator en plus depuis Entra.
De plus L'application "Gestion des scripts Koxo" depuis Entra a toutes les autorisations API de M$ Graph (UserAuthenticationMethod.ReadWrite.All inclus) avec autorisation de l'admin global qui est en MFA.

Nous avons changé tous les mots de passe de tous les utilisateurs (~2000 comptes) avec une combinaison de 9 caractères mais nous ne pouvons pas le propager à Office365. 
Merci de revoir le script UserPasswordO365.ps1 s'il n'y a pas eu un changement de Microsoft non documenté (comme d'habitude...)

Cordialement

Marc

 

Après plusieurs essais, nous venons de trouver la solution:


Avec Powershell, en privilège élevé, il faut taper la commande :

Connect-MgGraph -Scopes "User.ManageIdentities.All","User.EnableDisableAccount.All","Directory.ReadWrite.All","Directory.AccessAsUser.All","User.ReadWrite.All"

après la connexion (avec le même compte d'Administrateur inscrit dans Koxo), faut accepter les privilèges renvoyées par Microsoft et le script de changement de mot de passe refonctionne.

Peut-être les développeurs peuvent inclure ces privilèges dans le script "UserPasswordO365.ps1"......

Merci

Marc


####################################################################################################
[LOG_STARTED] [29/08/2025 09:46:16] Utilisateur="PEDA\administrateur" Ordinateur="SRV-PEDA"
####################################################################################################
#
[OFFICE365] [29/08/2025 09:52:03] {Changement de mot de passe} Utilisateur : Marc TEST (mtest) Adresse email : marc.test@lyceeXXXX.fr
[OFFICE365] [29/08/2025 09:52:03] {Changement de mot de passe} Script="C:\Program Files\KoXo Dev\KoXoAdm\AdminScripts\UserPasswordO365.ps1"
[POWERSHELL] [08/29/2025 09:52:05]: [OK] Powershell module "ExchangeOnlineManagement" V3.8.0 loaded
[POWERSHELL] [08/29/2025 09:52:10]: [OK] Connection to Microsoft Graph was successful !
[POWERSHELL] [08/29/2025 09:52:11]: [INFO] (Application.Read.All,Application.ReadWrite.All,ChannelMember.ReadWrite.All,Directory.AccessAsUser.All,Directory.Read.All,Directory.ReadWrite.All,Domain.Read.All,Group.Read.All,Group.ReadWrite.All,GroupMember.ReadWrite.All,openid,Organization.Read.All,Organization.ReadWrite.All,profile,RoleManagement.ReadWrite.Directory,TeamMember.ReadWrite.All,TeamsApp.ReadWrite.All,TeamsAppInstallation.ReadWriteForTeam,TeamsAppInstallation.ReadWriteSelfForTeam,TeamSettings.ReadWrite.All,TeamsTab.ReadWrite.All,User.EnableDisableAccount.All,User.ManageIdentities.All,User.Read,User.Read.All,User.ReadWrite.All,email)
[POWERSHELL] [08/29/2025 09:52:11]: [INFO] (Authentication type: Delegated)
[POWERSHELL] [08/29/2025 09:52:11]: [INFO] (Credential type    : InteractiveBrowser)
[POWERSHELL] [08/29/2025 09:52:20]: [OK] Connection was successful to Microsoft Exchange Online Management
[POWERSHELL] [08/29/2025 09:52:20]: [OFFICE365] Marc TEST (marc.test@lyceeXXXXXXXXXX.fr)
[POWERSHELL] [08/29/2025 09:52:23]: [OK] Successfully configure password policies "DisableStrongPassword,DisablePasswordExpiration" for "Marc TEST" (marc.test@lyceeXXXXXXXXXXXX.fr)
[POWERSHELL] [08/29/2025 09:52:23]: [OK] Successfully change user password for "Marc TEST" "marc.test@lyceeXXXXXXXXXX.fr"
[POWERSHELL] ErrorsCount[marc.test@lyceeXXXXXXX.fr]=0
[POWERSHELL] WarningsCount[marc.test@lyceeXXXXX.fr]=0
[POWERSHELL] [08/29/2025 09:52:23]: [OK] Disconnection from Microsoft Graph was successful
[POWERSHELL] TotalErrorsCount=0
[POWERSHELL] TotalWarningsCount=0