Appterix
Menü
Skip to main content
Wie können wir helfen?
Inhaltsverzeichnis
< Alle Themen
Drucken

Microsoft Entra ID-Integration

Durch die Integration des EM Platform Servers mit Microsoft Entra ID können Benutzer, Organisationseinheiten und Computer aus dem Microsoft Entra ID-Verzeichnis mit dem EM Platform Server synchronisiert sowie Passkeys (FIDO2) zentral verwaltet werden. Darüber hinaus können sich synchronisierte Benutzer über Single Sign-On (SSO) sicher mit ihren Microsoft-Konten am EM Platform Server anmelden.

Dieser Artikel enthält detaillierte Anweisungen zur Konfiguration und Verwaltung der Microsoft Entra ID-Integration..

EM Platform Server mit Microsoft Entra ID integrieren

Vorgehensweise

Schritt 1: Registrieren einer Anwendung im Microsoft Entra-Mandanten.

Schritt 2: Erteilen von API-Berechtigungen für die Microsoft Entra-Anwendung.

Schritt 3: Generieren eines geheimen Clientschlüssels (Client Secret) für die Microsoft Entra-Anwendung.

Schritt 4: Verbinden des EM Platform Servers mit Microsoft Entra ID.

Optional: Passkey-Einstellungen (FIDO2) und Self-Service-Setup in Microsoft Entra ID prüfen.

Schritt 1: Eine Anwendung im Microsoft Entra-Mandanten registrieren

Registrieren Sie eine Microsoft Entra-Anwendung, die für die Verbindung zwischen dem EM Platform Server und Microsoft Entra ID verwendet wird.

So registrieren Sie eine Anwendung:

Öffnen Sie das Microsoft Entra Admin Center (oder das Microsoft Azure Portal).

Navigieren Sie zu Entra ID > App-Registrierungen (App registrations).

Klicken Sie auf Neue Registrierung (New registration).

Geben Sie die erforderlichen Registrierungsinformationen für Ihre Anwendung ein und schließen Sie die Erstellung ab.

Die Anwendungs-ID (Client) und die Verzeichnis-ID (Mandant) werden auf der Seite Übersicht angezeigt. Kopieren Sie diese Werte, da sie in Schritt 4 benötigt werden.


Öffnen Sie das Microsoft Entra Admin Center (oder das Microsoft Azure Portal).

Navigieren Sie zu Entra ID > App-Registrierungen (App registrations).

Klicken Sie auf Neue Registrierung (New registration).

Schritt 2: Erteilen von Berechtigungen für die Microsoft Entra-Anwendung

Erteilen Sie der Microsoft Entra-Anwendung die erforderlichen API-Berechtigungen (Anwendungsberechtigungen / Application permissions), damit sie auf die definierten Daten in Microsoft Entra ID zugreifen und Passkeys verwalten kann.

So erteilen Sie Berechtigungen:

  • Wählen Sie Ihre Anwendung in Microsoft Entra ID aus.
  • Navigieren Sie im linken Menü der Anwendung zu API-Berechtigungen (API permissions).
  • Klicken Sie auf Berechtigung hinzufügen (Add a permission) und wählen Sie Microsoft Graph > Anwendungsberechtigungen (Application permissions).
  • Fügen Sie die folgenden API-Berechtigungen hinzu:
    • Directory.Read.All
    • Group.Read.All
    • User.Read.All
    • UserAuthMethod-Passkey.ReadWrite.All

Hinweis zur Berechtigung für die Passkey-Verwaltung (Least-Privilege-Prinzip): Mit der Aktualisierung der Microsoft Graph API für die FIDO2-Registrierung von der Beta-Version auf das offizielle Release v1.0 wird aus Sicherheitsgründen und gemäß dem Prinzip der geringsten Rechte (Principle of Least Privilege) die Verwendung der Berechtigung UserAuthMethod-Passkey.ReadWrite.All empfohlen. Diese gewährt ausschließlich die Berechtigungen, die für die Verwaltung von Passkeys erforderlich sind.

Abwärtskompatibilität: Die Funktionalität arbeitet weiterhin auch mit der umfassenderen Berechtigung UserAuthenticationMethod.ReadWrite.All. Für Neuinstallationen und zur Erhöhung der Sicherheit empfehlen wir jedoch den Wechsel auf UserAuthMethod-Passkey.ReadWrite.All.

Klicken Sie anschließend auf Administratorzustimmung für [Ihr Mandant] erteilen (Grant admin consent for…), um die Berechtigungen für die Anwendung zu aktivieren.

Schritt 3: Generieren eines geheimen Clientschlüssels für die Microsoft Entra-Anwendung

Generieren Sie einen geheimen Clientschlüssel (Client Secret), um die Anwendung während der Integration zu authentifizieren.

So generieren Sie einen geheimen Clientschlüssel:

Navigieren Sie im linken Menü der Microsoft Entra-Anwendung zu Zertifikate & Geheimnisse > Geheime Clientschlüssel (Certificates & secrets > Client secrets).

Klicken Sie auf Neuer geheimer Clientschlüssel (New client secret).

Kopieren Sie nach der Erstellung sofort den Wert (Value) des geheimen Clientschlüssels, da dieser im nächsten Schritt benötigt wird.

Schritt 4: Verbinden des EM Platform Servers mit Microsoft Entra ID

Nachdem alle Konfigurationsschritte in Microsoft Entra ID abgeschlossen sind, konfigurieren Sie den Connector im EM Platform Server.

So verbinden Sie den EM Platform Server mit Microsoft Entra ID:

Wählen Sie Microsoft Entra ID aus der Liste der verfügbaren Connectoren aus und klicken Sie auf Weiter (Next).

Wählen Sie in der EM Platform-Benutzeroberfläche Ihre Organisation aus (falls Sie mehrere Organisationen verwalten).

Navigieren Sie zu Einstellungen > Integrationen (Settings > Integrations).

Klicken Sie auf Connector hinzufügen (Add connector).


Wählen Sie Microsoft Entra ID aus der Liste der verfügbaren Connectoren aus und klicken Sie auf Weiter (Next).

Geben Sie unter Connector-Details den Namen und (optional) eine Beschreibung ein und klicken Sie auf Weiter.

Geben Sie unter Verbindungseinstellungen (Connection settings) die Werte ein, die Sie aus Microsoft Entra ID erhalten haben:

  • Anwendungs-ID (Client) (Application (client) ID)
  • Verzeichnis-ID (Mandant) (Directory (tenant) ID)
  • Geheimer Schlüssel (Secret Key)

Klicken Sie auf Speichern (Save).



Die Authentifizierungseinstellungen werden automatisch generiert und sind unter Authentifizierung zu finden. Diese werden später für die Aktivierung von SSO mit Entra ID benötigt.

Nächste Schritte

– Synchronisierungsregeln konfigurieren, um Benutzer, Organisationseinheiten und Computer mit EM Platform Server zu synchronisieren.

– SSO aktivieren, damit synchronisierte Benutzer sich mit ihren Entra ID-Anmeldeinformationen bei EM Platform Server anmelden können.

Synchronisieren von Microsoft Entra ID-Benutzern mit dem EM Platform Server

Voraussetzungen

  • Stellen Sie vor dem Konfigurieren der Synchronisierungsregeln sicher, dass Sie den EM Platform Server erfolgreich mit Microsoft Entra ID integriert haben.

So konfigurieren Sie Synchronisierungsregeln:

  • Navigieren Sie zu Einstellungen > Integrationen.
  • Wählen Sie den Microsoft Entra ID-Connector aus.
  • Wählen Sie Konfigurationseinstellungen > Synchronisierungskonfiguration (Configuration settings > Synchronization configuration).
  • Aktivieren Sie die Synchronisierungskonfiguration und legen Sie die folgenden Optionen fest:
    • (Optional) Aktivieren Sie Filter und klicken Sie dann auf Verbinden, um verfügbare Filter abzurufen. Wählen Sie die gewünschten Verwaltungseinheiten und Gruppen aus.
    • Wählen Sie unter Benutzer-ID (User ID) aus, wie Benutzer identifiziert werden sollen.
    • (Optional) Aktivieren Sie Neue Benutzer automatisch aktivieren, um neu synchronisierte Benutzer automatisch auf den Status Aktiv zu setzen. Wenn diese Option deaktiviert ist, erhalten importierte Benutzer den Status Importiert und müssen manuell eingeladen werden.
    • (Optional) Aktivieren Sie Zeitplan (Schedule), um eine automatische Synchronisierung zu planen, und legen Sie die Synchronisierungshäufigkeit fest.
  • Klicken Sie auf Speichern.


Nach erfolgreicher Synchronisierung werden die importierten Benutzer im Bereich Benutzer mit dem Label Microsoft Entra ID und dem Synchronisierungsstatus Synchronisiert angezeigt.

Nächster Schritt

– Wenn Sie den synchronisierten Benutzern ermöglichen möchten, sich mit ihren Microsoft-Konten bei EM Platform Server anzumelden, müssen Sie die SSO-Option konfigurieren.

Anmeldung am EM Platform Server mit Entra ID-Anmeldeinformationen aktivieren (SSO)

Dieser Artikel beschreibt, wie Sie die SSO-Funktion konfigurieren, damit Benutzer, die aus Microsoft Entra ID synchronisiert wurden, sich sicher mit ihren Microsoft-Konten bei EM Platform Server anmelden können.

Voraussetzungen

Bevor Sie die Authentifizierung mit Entra ID-Anmeldeinformationen konfigurieren, stellen Sie sicher, dass Sie:

– EM Platform Server mit Microsoft Entra ID integriert haben.

– Benutzer aus Microsoft Entra ID mit EM Platform Server synchronisiert haben.

Vorgehensweise

Schritt 1: SSO mit Microsoft Entra ID aktivieren

Schritt 2: Umleitungs-URIs zur Microsoft Entra-Anwendung hinzufügen

Anmeldung am EM Platform Server mit Entra ID-Anmeleinformationen aktivieren (SSO)

Voraussetzungen

Stellen Sie vor der Konfiguration der Authentifizierung sicher, dass:

  • der EM Platform Server mit Microsoft Entra ID integriert ist.
  • die Benutzer aus Microsoft Entra ID mit dem EM Platform Server synchronisiert wurden.

Schritt 1: SSO mit Microsoft Entra ID aktivieren

  • Navigieren Sie im EM Platform Server zu Einstellungen > Integrationen.
  • Wählen Sie den Microsoft Entra ID-Connector aus.
  • Wählen Sie Konfigurationseinstellungen > Authentifizierung (Configuration settings > Authentication).
  • Aktivieren Sie die Option Single Sign-On (SSO) mit Entra ID aktivieren.
  • (Optional) Wenn Sie die Authentifizierung für mehrere Mandanten (Multi-Tenant) unterstützen müssen, aktivieren Sie Anmeldeinformationen für SSO konfigurieren und geben Sie die Anwendungs-ID (Client) sowie die Verzeichnis-ID (Mandant) ein.
  • Klicken Sie auf Speichern.




Schritt 2: Umleitungs-URIs (Redirect URIs) zur Microsoft Entra-Anwendung hinzufügen

Um die SSO-Konfiguration abzuschließen, müssen Sie die erforderlichen Umleitungs-URIs in Microsoft Entra ID hinterlegen.

  • Öffnen Sie das Microsoft Entra Admin Center bzw. das Azure Portal und wählen Sie Ihre App-Registrierung aus.
  • Navigieren Sie im linken Menü der Anwendung zu Authentifizierung (Authentication).
  • Fügen Sie die Umleitungs-URIs hinzu (den Callback-Pfad sowie den Logout-Callback-Pfad / Front-Channel-Logout aus den Authentifizierungseinstellungen des EM Platform Servers).
  • Aktivieren Sie im Abschnitt Implizite Genehmigung und hybride Flows die Option ID-Tokens.
  • Klicken Sie auf Speichern.

Synchronisierte Benutzer können sich nun direkt mit ihren Entra ID-Anmeldeinformationen am EM Platform Server anmelden.

Passkey-Einstellungen (FIDO2) und Self-Service-Setup prüfen (Voraussetzung für FIDO2-Registrierung)

Damit die veröffentlichte Microsoft Graph API (v1.0) Passkeys für Benutzer bereitstellen und registrieren kann, muss in den Authentifizierungsrichtlinien von Microsoft Entra ID die Option Allow self-service set-up (Self-Service-Einrichtung zulassen) aktiviert sein. Standardmäßig ist diese Option bereits aktiviert.

So überprüfen und aktivieren Sie die Einstellung:

  • Navigieren Sie im Microsoft Entra Admin Center über das linke Menü zu Entra ID > Authentication methods (oder über den Pfad Home > Users | User settings > Authentication methods | Policies).
  • Wählen Sie in der Liste der Richtlinien Passkey (FIDO2) aus.
  • Stellen Sie im Reiter Enable and target sicher, dass die Methode aktiviert ist.
  • Wechseln Sie zum Reiter Configure.
  • Vergewissern Sie sich, dass das Kontrollkästchen bei Allow self-service set-up aktiviert ist.

Wichtiger Hinweis zur Microsoft Graph API (v1.0):

Für die Nutzung der offiziellen FIDO2-Provisioning-API setzt Microsoft voraus, dass Allow self-service set-up in der Richtlinie für FIDO2-Authentifizierungsmethoden aktiviert ist (dies erlaubt Endbenutzern gleichzeitig die Registrierung über My Sign-ins). Weitere technische Hintergründe finden Sie in der offiziellen Microsoft-Dokumentation unterKnown issues with Microsoft Graph APIs – FIDO2 provisioning API requires self-service setup to be enabled.

Veröffentlicht
Aktualisiert
VonEgoMind