re:ADM macht sich bereits nach einem Jahr bezahlt. Bestellen Sie bis zum 18. Dezember und erhalten Sie 20 % Rabatt www.identum.no/re-adm
Navigationspfad

So konfigurieren Sie Entra ID für die Integration

In dieser Anleitung wird beschrieben, wie Sie Microsoft Entra ID für die Integration mit eAdm oder eFeide vorbereiten. Dazu müssen Sie eine Anwendungsregistrierung erstellen und anschließend die erforderlichen Berechtigungen zuweisen.

Sie können den Abschnitt zur erweiterten Konfiguration getrost ignorieren, sofern Identum Ihnen nichts anderes mitgeteilt hat.


Teil 1: Registrierung einer Entra-ID-Anwendung erstellen

  1. Melden Sie sich mit einem Administratorkonto beim Azure-Portal an.

  2. Rufen Sie Entra ID auf.

  3. Wählen Sie im Menü auf der linken Seite „App-Registrierungen “ aus und klicken Sie anschließend auf „+ Neue Registrierung“.

  4. Nehmen Sie auf der Seite „Anwendung registrieren“ die folgenden Einstellungen vor:

    • Name: Geben Sie einen aussagekräftigen Namen für die Anwendung ein. Beispiel: Identum eFeide-eAdm User and Group Management.

    • Unterstützte Kontotypen: Wählen Sie nur Konten aus diesem Organisationsverzeichnis aus (Single-Tenant).

    • Weiterleitungs-URI: Lassen Sie dieses Feld leer.

  5. Klicken Sie auf „Registrieren“, um den Antrag zu erstellen.

  6. Nachdem die Anwendung erstellt wurde, kopieren Sie die Anwendungs-ID (Client-ID) und die Verzeichnis-ID (Tenant-ID) von der Seite „Übersicht“ der Anwendung. Speichern Sie diese Werte für die spätere Verwendung.


Warnung: Verwenden Sie im Anwendungsnamen keinen Schrägstrich (/), da dies zu Problemen in Entra ID führen kann.


Teil 2: API-Berechtigungen zuweisen

Als Nächstes müssen Sie der Anwendung die erforderlichen API-Berechtigungen zur Verwaltung von Benutzern und Gruppen erteilen.

  1. Navigieren Sie bei der Registrierung Ihrer neuen Anwendung im Menü auf der linken Seite zu den API-Berechtigungen.

  2. Klicken Sie auf „+ Berechtigung hinzufügen“.

  3. Wählen Sie „Microsoft Graph“ aus.

  4. Wählen Sie „App-Berechtigungen“ aus.

  5. Fügen Sie die folgenden Berechtigungen hinzu:

    • Directory.Read.All

    • Directory.ReadWrite.All

    • Group.Create

    • Group.Read.All

    • Group.ReadWrite.All

    • GroupMember.ReadWrite.All

    • User.Read.All

    • User.ReadWrite.All

    • User.EnableDisableAccount.All

  6. Fügen Sie außerdem die folgenden Berechtigungen hinzu, sofern diese für Ihre spezifischen Anforderungen relevant sind:

    • AuditLog.Read.All: Erforderlich, wenn Sie die lastLogonTimeStamp eAdm zuweisen oder den MFA-Registrierungsstatus synchronisieren.

    • UserAuthenticationMethod.ReadWrite.All: Erforderlich, wenn eAdm die MFA-Verfahren der Benutzer verwalten soll.

    • Reports.Read.All: Erforderlich, wenn eAdm die Größe des Postfachs mit eAdm synchronisieren soll.

    • LicenseAssignment.Read.All: Erforderlich, wenn eAdm die zugewiesenen Lizenznamen/-IDs mit eAdm synchronisieren soll.

  7. Nachdem Sie die Berechtigungen hinzugefügt haben, klicken Sie auf „Berechtigungen hinzufügen“.

  8. Klicken Sie auf dem Bildschirm „API-Berechtigungen“ auf „Administratorzustimmung für [Name Ihres Mandanten] erteilen“ und bestätigen Sie die Aufforderung.


Hinweis: Die fettgedruckten Berechtigungen sind für die grundlegende Integration zwingend erforderlich. Die übrigen Berechtigungen werden für bestimmte, häufig vorkommende Szenarien benötigt.


Teil 3: Ein Client-Secret erstellen

Ein Client-Secret ist ein Passwort, mit dem sich die Anwendung authentifiziert.

  1. Navigieren Sie im Menü auf der linken Seite zu „Zertifikate und Geheimnisse “.

  2. Klicken Sie auf „+ Neues Client-Secret“.

  3. Geben Sie eine Beschreibung für das Geheimnis ein und legen Sie die Gültigkeitsdauer auf 24 Monate fest.

  4. Klicken Sie auf „Hinzufügen“.

  5. Kopieren Sie sofort den Wert des neuen Client-Secrets aus dem Feld „Wert “.


Warnung: Der Wert des Client-Geheimnisses wird nur unmittelbar nach der Erstellung vollständig angezeigt. Wenn Sie ihn jetzt nicht kopieren, müssen Sie einen neuen erstellen. Bewahren Sie diesen Wert sicher auf.

Hinweis: Wenn „Privileged Identity Management“ (PIM) in Ihrer Umgebung aktiviert ist, können Sie möglicherweise kein festes Ablaufdatum festlegen.


Teil 4: Eine Administratorrolle zuweisen

Um sensible Vorgänge wie das Ändern von Passwörtern oder das Aktualisieren von Telefonnummern der Benutzer durchzuführen, benötigt die Anwendung eine Administratorrolle.

  1. Navigieren Sie im Azure-Portal zu „Entra ID“.

  2. Wählen Sie „Rollen und Administratoren“ aus.

  3. Suchen Sie die Rolle „Benutzeradministrator“ und wählen Sie sie aus.

  4. Klicken Sie auf „Aufgaben hinzufügen“.

  5. Suchen Sie die zuvor erstellte Anwendung und wählen Sie sie aus (z. B. Identum eFeide-eAdm User and Group Management).

  6. Stellen Sie auf dem nächsten Bildschirm den Zuordnungstyp auf „Aktiv“ ein und geben Sie eine Begründung an, beispielsweise „Erforderlich für eFeide zur Verwaltung von Benutzerkennwörtern“.

  7. Klicken Sie auf „Zuweisen“, um die Rollenzuweisung abzuschließen.


Hinweis: Wenn Sie für von eFeide oder eAdm verwaltete Benutzer Gruppen verwenden, denen Rollen zugewiesen werden können, benötigt die Anwendung stattdessen die Rolle „Privileged Authentication Administrator “. Siehe dazu: https://learn.microsoft.com/en-us/entra/identity/role-based-access-control/privileged-roles-permissions?tabs=admin-center#who-can-perform-sensitive-actions


Teil 5: Informationen an Identum senden

Sobald die Konfiguration abgeschlossen ist, müssen Sie die folgenden Informationen an Identum senden, um die Einrichtung abzuschließen:

  • Name des Mieters (z. B. yourcompany.onmicrosoft.com)

  • Verzeichnis-ID (Mieter)

  • Anwendungs-ID (Client)

  • Client-Geheimnis


Warnung: Aus Sicherheitsgründen sollten Sie den Client-Secret getrennt von den anderen Informationen übermitteln (z. B. per SMS oder über einen anderen sicheren Kanal).


Erweiterte Konfiguration


Warnung: Führen Sie die folgenden Schritte nur durch, wenn Sie ausdrücklich von Identum dazu aufgefordert wurden oder wenn Sie ein erfahrener Benutzer sind.


Berechtigungen in Exchange Online zuweisen

Diese Berechtigungen sind nur erforderlich, wenn eAdm oder eFeide Exchange Online-Funktionen wie Verteilergruppen oder E-Mail-fähige Sicherheitsgruppen direkt verwalten.

  1. Gehen Sie in Ihrer Anwendungsregistrierung zu „API-Berechtigungen “ und klicken Sie auf „+ Berechtigung hinzufügen“.

  2. Wechseln Sie zur Registerkarte „Von meiner Organisation verwendete APIs “.

  3. Suchen Sie nach „Office“ und wählen Sie „Office 365 Exchange Online“ aus.

  4. Wählen Sie „Anwendungsberechtigungen“ aus.

  5. Wählen Sie die Exchange.ManageAsApp Berechtigung und klicken Sie auf Berechtigungen hinzufügen.

  6. Erteilen Sie die Zustimmung der Verwaltung für die neue Berechtigung.

  7. Weisen Sie der Anwendung über den Bereich „Rollen und Administratoren“ in Entra ID die Rolle „Exchange-Empfängeradministrator“ zu. Dadurch kann die Anwendung Exchange-Objekte verwalten.


E-Mail-fähige Sicherheitsgruppen:

Für die Verwaltung von E-Mail-fähigen Sicherheitsgruppen ist eine zusätzliche Rolle erforderlich („Erstellung und Mitgliedschaft in Sicherheitsgruppen“ in Exchange Online). Die Einrichtung kann etwas knifflig sein. Im Folgenden beschreiben wir jedoch, wie Sie diese einzelne Rolle hinzufügen können (auf Wunsch können Sie auch benutzerdefinierte Rollengruppen verwenden). Hintergrundinformationen und weitere Anweisungen finden Sie unter https://learn.microsoft.com/en-us/exchange/permissions-exo/application-rbac:

1. Erstellen Sie den Dienstprinzipal in Exchange Online

Suchen Sie zunächst die Objekt-ID Ihrer Anwendung in Entra ID und verwenden Sie diese, um den Dienstprinzipal in Exchange Online zu registrieren. Dies muss nur einmal pro Anwendung erfolgen.

PowerShell
# Make sure you are connected to both services
# Connect-MgGraph -Scopes "Application.Read.All"
# Connect-ExchangeOnline

# --- Enter your Application (Client) ID here ---
$appId = "00000000-0000-0000-0000-000000000000"

# Find the application's details in Entra ID
$sp = Get-MgServicePrincipal -Filter "appId eq '$appId'"

# Create the service principal object within Exchange Online
# The -ErrorAction flag prevents an error if it already exists
New-ServicePrincipal -AppId $sp.AppId -ObjectId $sp.Id -DisplayName $sp.DisplayName -ErrorAction SilentlyContinue
2. Weisen Sie der Anwendung die Einzelrolle zu


Verwenden Sie nun die New-ManagementRoleAssignment Cmdlet mit dem -App Parameter, um die Rolle direkt dem soeben erstellten Dienstprinzipal zuzuweisen.

PowerShell
# Assign the role directly to the application
# Provide a unique name for the role assignment
New-ManagementRoleAssignment -App $appId -Role "Security Group Creation and Membership" -Name "App_SG_Creation_Membership_Direct_Assignment"

Ihre Anwendung verfügt nun über die erforderlichen Exchange Online-Berechtigungen zur Verwaltung von E-Mail-fähigen Sicherheitsgruppen.


Zertifikatsbasierte Authentifizierung

Dieser Schritt ist nur erforderlich, wenn Identum benutzerdefinierte Skripte in Ihrer Exchange Online- oder Entra ID-Umgebung ausführen muss. Dies wird in der Regel für erweiterte Integrationen genutzt und direkt mit Ihnen abgestimmt.

  1. Es wird ein selbstsigniertes Zertifikat erstellt. Sie erhalten eine Anleitung dazu.

  2. Navigieren Sie in der Anwendungsregistrierung zu „Zertifikate und Geheimnisse“.

  3. Wählen Sie die Registerkarte „Zertifikate “ aus und klicken Sie auf „Zertifikat hochladen“.

  4. Laden Sie die Datei mit dem öffentlichen Schlüssel hoch (.cer, .pem, oder .crt), die Ihnen zur Verfügung gestellt wurden.


Anhang: Übersicht über die erforderlichen Berechtigungen

In der folgenden Tabelle sind die Berechtigungen der Microsoft Graph-API sowie die Gründe für deren Notwendigkeit aufgeführt.

Genehmigung

Wofür es verwendet wird

Wenn es erforderlich ist

User.Read.All

Benutzerprofile auslesen, um Entra-ID-Konten mit eADM-Datensätzen abzugleichen und bereits vorhandene Konten zu erkennen.

Immer. Jeder Entra-ID-Synchronisierungslauf benötigt dies, selbst bei einer Konfiguration, die ausschließlich Benutzer umfasst.

User.ReadWrite.All

Benutzerkonten anlegen, aktualisieren und löschen.

Immer, es sei denn, der Synchronisierungsschritt ist schreibgeschützt (nur Import, keine Bereitstellung).

Group.Read.All

Gruppen und Gruppeneigenschaften lesen.

Immer erforderlich, in jedem Szenario – auch bei einem Import, der ausschließlich Benutzer umfasst und keine Gruppenbereitstellung beinhaltet. Die Synchronisierungs-Engine liest bei jedem Durchlauf die vollständige Gruppenliste ein; dies ist eine technische Voraussetzung, unabhängig davon, ob Gruppen tatsächlich importiert oder exportiert werden.

Group.ReadWrite.All

Gruppen erstellen, aktualisieren und löschen; wird auch verwendet, um Microsoft Teams für eine Gruppe zu aktivieren.

Erforderlich, wenn die Gruppenbereitstellung oder „Teams-on-Group“ aktiviert ist. Nicht erforderlich bei einer reinen Benutzerkonfiguration – aber Group.Read.All Das oben Genannte ist in jedem Fall erforderlich.

GroupMember.ReadWrite.All

Gruppenmitglieder hinzufügen/entfernen, ohne über volle Schreibrechte für die Gruppe zu verfügen.

Optionale Alternative zu Group.ReadWrite.All falls eADM lediglich die Mitgliedschaft verwalten soll, nicht jedoch Gruppeneigenschaften oder Inhaberschaft.

User.EnableDisableAccount.All

Ein Benutzerkonto aktivieren/deaktivieren (z. B. bei Beurlaubung/Rückkehr oder Kündigung).

Nur erforderlich, wenn die Reaktivierung/Deaktivierung des Kontos Teil des Lebenszyklusablaufs des Kunden ist. Für einfache Erstellungs- und Aktualisierungsvorgänge nicht erforderlich.

Directory.ReadWrite.All

Umfassendere Lese- und Schreibrechte für Benutzer und Gruppen; umfasst auch die Wiederherstellung eines zuvor gelöschten Benutzers.

Optional. Wird nur benötigt, wenn die Wiederherstellung vorübergehend gelöschter Konten vorgesehen ist, und nur als Alternative zu User.ReadWrite.All für diese bestimmte Aktion.

AuditLog.Read.All

Anmeldeaktivitäten (letzte Anmeldung) und den Status der MFA-Registrierung abrufen.

Nur erforderlich, wenn die Synchronisierung der letzten Anmeldung oder des MFA-Status konfiguriert ist.

UserAuthenticationMethod.ReadWrite.All

Die Authentifizierungsmethoden eines Benutzers verwalten (z. B. eine Telefonnummer für die MFA registrieren, einen temporären Zugangsausweis ausstellen).

Erforderlich nur, wenn eADM MFA-Verfahren verwaltet oder temporäre Zugangsausweise ausstellt. Gewährt umfassende Kontrolle über die Anmeldesicherheit eines Benutzers – bitte vor der Erteilung sorgfältig prüfen.

Reports.Read.All

Berichte zur Größe und Auslastung der Postfächer lesen.

Nur erforderlich, wenn die Synchronisierung der Postfachgröße konfiguriert ist.

LicenseAssignment.Read.All (oder Directory.Read.All / Directory.ReadWrite.All)

Die zugewiesenen Lizenz-/SKU-Informationen lesen.

Nur erforderlich, wenn die Synchronisierung von Lizenznamen oder Lizenz-IDs konfiguriert ist.

Exchange.ManageAsApp (Exchange Online, nicht Graph)

Verwalten Sie Verteilerlisten und E-Mail-fähige Sicherheitsgruppen.

Nur erforderlich, wenn eADM Exchange-seitige E-Mail-Gruppen verwaltet. Erfordert eine separate Zuweisung einer Exchange Online-Rolle – siehe „Erweiterte Konfiguration“.

Die Bereitstellung von Microsoft Teams erfolgt über eine Eigenschaft einer Gruppe (Teams wird für eine Gruppe aktiviert, die eADM bereits erstellt hat) und nicht als eigenständige Team-Ressource. Group.ReadWrite.All Das allein reicht schon aus – es ist keine separate Teams-Berechtigung erforderlich (Team.Create, Team.ReadBasic.All, TeamTemplates.ReadAll) wird benötigt.

Anwendungsfall

Zu erteilende Berechtigungen

Nur vorhandene Benutzer importieren (kein Anlegen/Aktualisieren/Löschen)

User.Read.All und Group.Read.All. Group.Read.All ist selbst in diesem schreibgeschützten Fall erforderlich – die Synchronisierungs-Engine liest bei jedem Durchlauf die Gruppenliste, unabhängig vom Geltungsbereich.

Benutzer bereitstellen, keine Gruppen, keine Reaktivierung

User.Read.All, User.ReadWrite.All, Group.Read.All (immer erforderlich, auch ohne Gruppensynchronisierung)

Gesamter Benutzerlebenszyklus (Anlegen, Aktualisieren, Deaktivieren/Reaktivieren)

Hinzufügen User.EnableDisableAccount.All

+ Gruppen-Provisionierung (einschließlich „Teams-on-Group“)

Hinzufügen Group.ReadWrite.All (oder GroupMember.ReadWrite.All (nur für Mitglieder)

+ Berichterstattung zur letzten Anmeldung oder zum MFA-Status

Hinzufügen AuditLog.Read.All

+ MFA-Methodenmanagement

Hinzufügen UserAuthenticationMethod.ReadWrite.All (vertraulich – bitte mit dem Sicherheitsteam besprechen)

+ Bericht zur Größe der Postfächer

Hinzufügen Reports.Read.All

+ Lizenzberichterstattung

Hinzufügen LicenseAssignment.Read.All

+ E-Mail-fähige Sicherheitsgruppen / Verteilerlisten

Hinzufügen Exchange.ManageAsApp + Exchange Online-Rolle (siehe „Erweiterte Konfiguration“)

Group.Read.All ist in jedem der oben genannten Anwendungsfälle – einschließlich des schreibgeschützten Imports – stets erforderlich, da die Synchronisierungs-Engine aus technischen Gründen bei jedem Durchlauf die vollständige Gruppenliste liest, unabhängig davon, ob die Gruppenbereitstellung oder der Import im Umfang enthalten ist. Eine Integration, die ausschließlich auf Benutzer beschränkt ist und keinerlei Zugriff auf Gruppen ermöglicht, ist derzeit nicht möglich.

Zuletzt aktualisiert: