[M7-0] Configurer l'authentification Entra ID

## Objectif

Sécuriser l'accès au frontend pour que **seuls les utilisateurs de l'organisation** puissent y accéder.

> ⚠️ **Priorité : À faire AVANT les autres issues M7**

---

## Approche : Easy Auth sur Container Apps

Configuration sans code - Azure gère l'authentification automatiquement.

```
[Utilisateur] → [Container Apps + Easy Auth] → [Entra ID]
↓
Vérifie le tenant ID
↓
✅ Autorisé / ❌ Refusé
```

---

## Prérequis

- [ ] App Registration dans Entra ID
- [ ] Redirect URI configuré
- [ ] Client Secret (optionnel, recommandé)

---

## Étapes d'implémentation

### Étape 1 : Créer l'App Registration

```powershell
az ad app create \
--display-name "IT Docs Assistant" \
--sign-in-audience AzureADMyOrg \
--web-redirect-uris "https://ca-it-docs-backend.politeglacier-b907682b.canadaeast.azurecontainerapps.io/.auth/login/aad/callback"
```

### Étape 2 : Créer le Service Principal

```powershell
az ad sp create --id
```

### Étape 3 : Configurer Easy Auth sur Container Apps

```powershell
az containerapp auth microsoft update \
--name ca-it-docs-backend \
--resource-group VDGtestIA_Walid \
--client-id \
--tenant-id 0ae84964-a292-44e8-8210-e001dc7e9bbd \
--allowed-tenant-ids 0ae84964-a292-44e8-8210-e001dc7e9bbd \
--yes
```

### Étape 4 : Activer l'authentification requise

```powershell
az containerapp auth update \
--name ca-it-docs-backend \
--resource-group VDGtestIA_Walid \
--unauthenticated-client-action RedirectToLoginPage
```

---

## Validation

| Test | Résultat attendu |
|------|------------------|
| Accès sans login | Redirigé vers Microsoft login |
| Login utilisateur organisation | ✅ Accès autorisé |
| Login utilisateur externe | ❌ Accès refusé |

---

## Coût

**0$/mois** - Easy Auth est gratuit sur Container Apps.

---

## Références

- [Container Apps Authentication](https://learn.microsoft.com/en-us/azure/container-apps/authentication)
- [Entra ID App Registration](https://learn.microsoft.com/en-us/entra/identity-platform/quickstart-register-app)