Single Sign-On konfigurieren mit Auftrag annehmen #

In diesem Leitfaden wird erläutert, wie der IT-Administrator einer Organisation Single Sign-On (SSO) für Auftrag annehmen unter Verwendung von Microsoft Entra ID, früher bekannt als Azure Active Directory oder Azure AD.

Durch die Konfiguration wird eine Vertrauensbeziehung zwischen Auftrag annehmen und der Microsoft-Identitätsplattform Ihrer Organisation. Benutzer können sich dann bei der Auftrag annehmen Umgebung über den Identitätsanbieter der Organisation.

Dieser Leitfaden richtet sich an IT-Administratoren, die App-Registrierungen und Berechtigungen in Microsoft Entra ID verwalten können.

Was Sie von Auftrag annehmen #

Bevor Sie anfangen, fragen Sie Ihren Auftrag annehmen Ansprechpartner für:

• Deine Auftrag annehmen Anwendungs-Subdomain
• Die genaue Weiterleitungs-URI
• Die genaue URL zum Abmelden
• Etwaige kundenspezifische Konfigurationsanweisungen

Die Weiterleitungs-URI und die Abmelde-URL sind spezifisch für Ihre Auftrag annehmen Umfeld. Verwenden Sie keine Werte einer anderen Organisation.

Erforderliche Microsoft Entra-Berechtigungen #

Sie benötigen eine Berechtigung, um Unternehmensanwendungen oder App-Registrierungen in Microsoft Entra ID zu verwalten. Je nach Konfiguration Ihrer Organisation ist möglicherweise eine der folgenden Rollen erforderlich:

• Anwendungsadministrator
• Anwendungsentwickler
• Cloud-Anwendungsadministrator

Möglicherweise benötigen Sie außerdem die Berechtigung, die Zustimmung des Administrators für delegierte Berechtigungen in Microsoft Graph zu erteilen.

Schritt 1: Registrieren Sie die Auftrag annehmen Anmeldung #

1. Melden Sie sich bei der Microsoft Entra-Verwaltungscenter.
2. Wenn Sie mehr als einen Mandanten verwalten, wählen Sie das richtige Verzeichnis aus.
3. Gehe zu Entra ID → App-Registrierungen → Neue Registrierung.
4. Geben Sie einen aussagekräftigen Anzeigenamen ein, zum Beispiel Auftrag annehmen SSO.
5. Wählen Sie die von Ihrer Organisation benötigte Anmeldezielgruppe aus und Auftrag annehmen’Anweisungen von ….
6. Gehen Weiterleitungs-URI Bei dieser Erstanmeldung ist das Feld leer. Es wird im nächsten Schritt ergänzt.
7. Wählen Registrieren.
8. Kopiere die Anwendungs-ID (Client-ID) und Verzeichnis-ID (Mieter). Diese Werte werden benötigt von Auftrag annehmen.

Der Anzeigename kann später geändert werden. Die Anwendungs-ID (Client-ID) dient als eindeutige Kennung der Registrierung.

Schritt 2: Konfigurieren Sie die Webplattform und die Umleitungs-URI #

1. Öffnen Sie die Registrierung für die neue App.
2. Unter Verwalten, wählen Authentifizierung.
3. Wählen Plattform hinzufügen.
4. Wählen Sie Web.
5. Geben Sie die genaue Weiterleitungs-URI ein, die von Auftrag annehmen.
6. Geben Sie die genaue Logout-URL für den Front-Channel ein, die von Auftrag annehmen.
7. Speichern Sie die Konfiguration.

Die Weiterleitungs-URI ist die Adresse, an die Microsoft Entra ID den Benutzer nach der Authentifizierung weiterleitet. Über die Abmelde-URL wird der Benutzer aus dem Auftrag annehmen Umwelt.

Eine Weiterleitungs-URI hat in der Regel folgendes Format:

https://<your-subdomain>.acceptmission.com/auth/azure_oauth2/callback

Eine Abmelde-URL hat in der Regel folgendes Format:

https://<your-subdomain>.acceptmission.com/logout

Verwenden Sie die für Ihre Umgebung angegebenen genauen Werte.

Schritt 3: Erstellen Sie ein Client-Geheimnis #

1. Gehen Sie bei der App-Registrierung zu Zertifikate und Geheimnisse.
2. Unter Kundengeheimnisse, wählen Neues Client-Geheimnis.
3. Geben Sie eine aussagekräftige Beschreibung ein, zum Beispiel Auftrag annehmen SSO.
4. Wählen Sie eine Gültigkeitsdauer aus. Microsoft Entra-Client-Geheimnisse können bis zu 24 Monate gültig sein. Auftrag annehmen empfiehlt, folgende Auswahl zu treffen 730 Tage (24 Monate) es sei denn, Ihre Organisation schreibt eine kürzere Frist vor.
5. Wählen hinzufügen.
6. Kopieren Sie sofort den Schlüssel Wert.

Das ist wichtig: Auftrag annehmen benötigt das Client-Geheimnis Wert, nicht das Geheime ID. Der vollständige Wert wird erst bei der Erstellung des Geheimnisses angezeigt.

Geben Sie das Passwort niemals in einer gewöhnlichen E-Mail, einem Screenshot, einem Ticket oder diesem Dokument preis. Nutzen Sie Ihre genehmigte sichere Übermittlungsmethode.

Schritt 4: Token-Claims konfigurieren #

1. Unter Verwalten, öffnen Token-Konfiguration.
2. Fügen Sie die folgenden ID-Token-Claims hinzu:

Der optionale „profile_picture“-Claim kann verwendet werden, um das Profilbild des Benutzers in Auftrag annehmen. Möglicherweise sind dafür zusätzliche interne Berechtigungen erforderlich.

Schritt 5: Microsoft Graph-Berechtigungen konfigurieren #

1. Unter Verwalten, öffnen API-Berechtigungen.
2. Wählen Berechtigung hinzufügen.
3. Wählen Microsoft Graph.
4. Wählen Delegierte Berechtigungen.
5. Fügen Sie folgende Berechtigungen hinzu:

• E-Mail
• Profil
• User.Read

1. Wählen Berechtigungen hinzufügen.
2. Wählen Zuschuss Verwaltung Zustimmung für Ihre Organisation.
3. Vergewissern Sie sich, dass die erforderlichen Berechtigungen als „gewährt“ angezeigt werden.

Durch die Erteilung der Administratorzustimmung wird verhindert, dass jeder Benutzer bei der Anmeldung einzeln um seine Zustimmung gebeten wird. Ohne die erforderliche Zustimmung wird das Konto eines Benutzers möglicherweise nicht korrekt erstellt in Auftrag annehmen.

Schritt 6: Senden Sie die Konfigurationsdaten sicher ab #

Nachdem die Konfiguration abgeschlossen ist, senden Sie Folgendes an Ihren Auftrag annehmen Kontaktieren Sie uns über eine zugelassene, sichere Überweisungsmethode:

• Bestätigung, dass die Konfiguration abgeschlossen ist
• Anwendungs-ID (Client-ID)
• Verzeichnis-ID (Mieter)
• Client-Geheimnis Wert

Senden Sie das Client-Geheimnis nicht per normaler E-Mail. Auftrag annehmen wird diese Angaben verwenden, um die Verbindung herzustellen und den Anmeldeablauf zu testen.

Schritt 7: Testen Sie die SSO-Verbindung #

1. Bitte bestätigen Sie, dass Auftrag annehmen hat die Konfiguration abgeschlossen.
2. Öffnen Sie die Auftrag annehmen Umgebung unter Verwendung der Kunden-URL.
3. Melden Sie sich mit einem bestehenden Organisationskonto an.
4. Vergewissern Sie sich, dass Sie über Microsoft Entra ID weitergeleitet werden.
5. Vergewissern Sie sich, dass Sie die richtige Auftrag annehmen Umwelt.
6. Stellen Sie sicher, dass das Benutzerprofil korrekt angelegt oder erkannt wird.

Sollte die Anmeldung fehlschlagen, überprüfen Sie bitte, ob die Umleitungs-URI, die Abmelde-URL, der Mandant, die Ansprüche, die Berechtigungen, die Einwilligung und der Wert des Client-Geheimnisses korrekt sind. Wenden Sie sich an Auftrag annehmen falls das Problem weiterhin besteht.

Ein abgelaufenes Client-Secret erneuern #

Dieser Verlängerungsprozess gilt für die bestehenden Auftrag annehmen Registrierung der Kunden-App. Dabei wird Ihre Organisation nicht auf eine neue Enterprise-SSO-Verbindung umgestellt.

Die Gültigkeitsdauer des Client-Geheimnisses kann nicht verlängert werden. Wenn das bestehende Geheimnis bald abläuft:

1. Öffnen Sie die vorhandene Auftrag annehmen App-Registrierung in Microsoft Entra ID.
2. Gehe zu Zertifikate und Geheimnisse → Client-Geheimnisse → Neues Client-Geheimnis.
3. Erstellen Sie ein Ersatzgeheimnis.
4. Kopiere den Schlüssel des neuen Geheimnisses Wert, nicht die geheime ID.
5. Teilen Sie den Wert sicher mit Ihren Auftrag annehmen Bitte senden Sie uns eine E-Mail mit dem Namen Ihrer Organisation, der Kunden-URL, der Anwendungs-ID (Client-ID) und dem neuen Ablaufdatum.
6. Fragen Sie Auftrag annehmen um die Verbindung zu aktualisieren.
7. Testen Sie die Anmeldung mit einem bestehenden Konto.
8. Entfernen Sie das alte Passwort erst dann, wenn der Ersatz getestet wurde und die Richtlinien Ihrer Organisation dies zulassen.
9. Notieren Sie sich das neue Ablaufdatum und planen Sie die nächste Verlängerung im Voraus.

Löschen Sie die App-Registrierung nicht. Behalten Sie die Client-ID, die Mandanten-ID, die Umleitungs-URI, die Abmelde-URL, die Ansprüche und die Berechtigungen unverändert bei, es sei denn, Auftrag annehmen sonstige Anweisungen enthält.

Wichtige Sicherheitshinweise #

• Verwenden Sie bei der Erneuerung eines Geheimnisses die bestehende Registrierung der Kunden-App.
• Geben Sie ein Client-Secret niemals in Screenshots oder gewöhnlichen E-Mails preis.
• Geben Sie Zugangsdaten ausschließlich über eine zugelassene, sichere Übertragungsmethode weiter.
• Geben Sie die geheime ID nicht weiter, wenn Auftrag annehmen benötigt den geheimen Wert.
• Testen Sie die Verbindung, bevor Sie ein altes Geheimnis außer Gebrauch nehmen.
• Kontakt Auftrag annehmen Falls Sie sich nicht sicher sind, welche App-Registrierung zu Ihrer Umgebung gehört.

Bei Fragen zur Sicherheit wenden Sie sich bitte an [email protected].