Microsoft Entra ID

Mit Entra ID (früher Azure Active Directory) melden sich Ihre Leute mit dem Microsoft-Konto an, das sie für Outlook und Teams nutzen – samt Mehrfaktor-Authentifizierung und bedingtem Zugriff Ihrer Firma.

Sie registrieren DDM in Ihrem eigenen Entra-Mandanten und tragen das Ergebnis in DDM unter Einstellungen › Single Sign-on ein. Niemand sonst ist beteiligt, und kein Mandant einer anderen Firma kann sich in Ihre Organisation anmelden.

Sie brauchen ein Konto, das in Entra ID Anwendungen registrieren darf – z. B. Anwendungsentwickler oder Cloudanwendungsadministrator – und für die Zustimmung in Schritt 3 einen Administrator.

1. DDM registrieren

https://cms.documentdistributionmanager.com/api/auth/sso/callback

2. Geheimen Clientschlüssel anlegen

1. Öffnen Sie Zertifikate & Geheimnisse › Geheime Clientschlüssel › Neuer geheimer Clientschlüssel.
2. Geben Sie eine Beschreibung ein (z. B. DDM) und wählen Sie die Gültigkeit – höchstens 24 Monate.
3. Kopieren Sie sofort den Wert. Er wird nur einmal angezeigt.

3. Berechtigungen und der E-Mail-Anspruch

API-Berechtigungen – die App braucht die delegierten Microsoft-Graph-Berechtigungen openid, email und profile (User.Read ist schon da und darf bleiben). Klicken Sie auf Berechtigung hinzufügen › Microsoft Graph › Delegierte Berechtigungen, haken Sie die drei an und dann Administratorzustimmung für … erteilen – damit Ihre Leute nicht selbst gefragt werden.

Tokenkonfiguration – klicken Sie auf Optionalen Anspruch hinzufügen, Tokentyp ID, und haken Sie email an. Dann schickt Entra ID die E-Mail-Adresse Ihrer Leute mit, die DDM mit Ihren Domains abgleicht.

4. In DDM eintragen

Unter Einstellungen › Single Sign-on › Identitätsanbieter:

Klicken Sie auf Speichern, dann auf Verbindung testen, und schalten Sie Single Sign-on aktiv ein – siehe Single Sign-on.

5. Optional: nur bestimmte Personen

Standardmäßig darf jede Person Ihres Mandanten die App nutzen. Um sie auf bestimmte Personen oder Gruppen zu beschränken, gehen Sie zu Entra ID › Unternehmensanwendungen › DDM › Eigenschaften, setzen Zuweisung erforderlich? auf Ja und fügen die Personen oder Gruppen unter Benutzer und Gruppen hinzu.

Das ist eine zweite Tür vor der von DDM: Ob jemand überhaupt hineinkommt, entscheiden weiterhin Ihre bestätigten Domains und Konten beim ersten Login anlegen.

6. Gruppen zuordnen

Damit DDM Ihre Leute anhand ihrer Entra-ID-Gruppen Gruppen zuordnet:

1. Öffnen Sie in der App-Registrierung Tokenkonfiguration › Gruppenanspruch hinzufügen.
2. Haken Sie Sicherheitsgruppen an (oder Der Anwendung zugewiesene Gruppen, wenn Sie Gruppen unter Unternehmensanwendungen › Benutzer und Gruppen zuweisen – empfohlen, das hält das Token klein). Lassen Sie das Format für das ID-Token auf Gruppen-ID.
3. Tragen Sie in DDM unter Gruppen groups als Gruppen-Anspruch (Claim) ein und fügen Sie für jede Gruppe eine Zuordnung hinzu: die Objekt-ID der Gruppe – in Entra ID unter Gruppen › die Gruppe › Übersicht – und die DDM-Gruppe.

7. Optional: den Kalender gleich mitbringen

Mit Kalender bei der Anmeldung verbinden (nur OpenID Connect) fragt die Anmeldung auch den Kalender an, und der Outlook-Kalender ist in DDM verbunden, sobald sich jemand anmeldet:

1. In Entra ID unter API-Berechtigungen › Microsoft Graph › Delegierte Berechtigungen Calendars.ReadWrite und offline_access hinzufügen und Administratorzustimmung erteilen – sonst fragt Microsoft jede Person einmal.
2. In DDM bei der Microsoft-Anmeldung Kalender bei der Anmeldung verbinden einschalten.

Wer schon angemeldet ist, bekommt den Kalender bei der nächsten Anmeldung. Eine Kalender-Freigabe geht vor: Verbindet sie den Kalender schon, bleibt es dabei. Mit SAML geht das nicht – SAML bringt keine Tokens mit.

Stattdessen mit SAML

Entra ID kann DDM auch per SAML anbinden – etwa wenn Ihre IT-Sicherheit es verlangt.

1. Fügen Sie unter Einstellungen › Single Sign-on einen Anbieter mit Microsoft Entra ID und SAML 2.0 hinzu. DDM zeigt drei Werte dafür.
2. Gehen Sie im Microsoft Entra Admin Center zu Entra ID › Unternehmensanwendungen › Neue Anwendung › Eigene Anwendung erstellen, nennen Sie sie DDM und wählen Sie Beliebige andere, nicht im Katalog enthaltene Anwendung integrieren (nicht im Katalog).
3. Öffnen Sie Einmaliges Anmelden › SAML. Tragen Sie unter SAML-Basiskonfiguration den Bezeichner (Entity ID) und die Antwort-URL (ACS-URL) aus DDM ein.
4. Unter Attribute & Ansprüche wird die E-Mail-Adresse von sich aus als http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress geschickt – genau das, was DDM als E-Mail-Attribut vorschlägt. Für Gruppen klicken Sie auf Gruppenanspruch hinzufügen; sie kommen als http://schemas.microsoft.com/ws/2008/06/identity/claims/groups – tragen Sie das in DDM als Gruppen-Anspruch (Claim) ein.
5. Kopieren Sie unter SAML-Zertifikate die App-Verbundmetadaten-URL und tragen Sie sie in DDM unter Metadaten Ihres Anbieters › Metadaten-URL ein. Speichern.
6. Weisen Sie unter Benutzer und Gruppen die Personen oder Gruppen zu, die DDM nutzen dürfen.

Läuft das Zertifikat bald ab, legt Entra ID ein neues an; aktivieren Sie es dort und klicken Sie dann in DDM auf Metadaten neu laden.

Häufige Fehler

Microsoft-Anmeldung für die ganze Installation

Unabhängig davon kann der Betrieb einer DDM-Installation Mit Entra ID anmelden für alle Organisationen darauf anbieten – mit einer App-Registrierung für alle, eingerichtet auf dem Server (MICROSOFT_CLIENT_ID, MICROSOFT_CLIENT_SECRET, NUXT_PUBLIC_SSO_PROVIDERS="microsoft", Umleitungs-URI <BETTER_AUTH_URL>/api/auth/callback/microsoft, eine mehrinstanzenfähige Registrierung). Sie legt keine Konten an und ist für alle gleich; eine Organisation, die ihren eigenen Mandanten, eigene Regeln oder Okta will, nutzt Single Sign-on wie oben beschrieben.