Entra-Onboarding für Login-Provider (OIDC)

Login-Provider (OIDC) Den Zugang zu Portal, Dokumentation und weiteren Ressourcen mit vorbereiten.

Der in registry-go integrierte Login-Provider vermittelt die Anmeldung sicher an den Entra-Tenant des Kunden. Die Entra-App wird deshalb direkt für den ConnectCloud Callback eingerichtet; ein separater Identitätsdienst ist nicht erforderlich.

Zum Prüfbereich Zur Anleitung

Zentrale Grundlage für den Zugriff

Der Login-Provider (OIDC) ist die Grundlage für den Zugriff auf Dokumentation, Portal und weitere geschützte MBCOM-Ressourcen und sollte bei der Gesamt-Einrichtung bewusst mit eingeplant werden.

Dokumentationsbasiertes Setup

Die Seite erzeugt die technischen Werte direkt im Browser und führt die Einrichtung in Microsoft Entra ID Schritt für Schritt durch.

Fester Callback vor dem Entra-Setup

Konfigurationsname und Redirect-URI werden hier zuerst erzeugt, damit die Entra-App direkt mit den finalen technischen Werten angelegt werden kann.

Verschlüsselte Übergabe an uns

Die finalen Werte können verschlüsselt heruntergeladen oder direkt an MBCOM übertragen werden.

Der Login-Provider (OIDC) ist ein wichtiger Teil der Gesamt-Einrichtung, weil darüber später der Zugriff auf Portal, Dokumentation und weitere MBCOM-Ressourcen läuft. Auch wenn andere Themen oft präsenter sind, sollte dieser Baustein in der Planung und Umsetzung früh mit berücksichtigt werden.

Wichtiger Hinweis zum Testergebnis

Das Onboarding erhöht die Wahrscheinlichkeit deutlich, dass Entra-App, Redirect-URI und Zugangsdaten korrekt vorbereitet sind. Es ist aber keine Garantie dafür, dass die spätere Anmeldung ohne weiteres Eingreifen funktioniert. Tenant-Richtlinien, Consent-Themen, nachträgliche Änderungen oder Besonderheiten in Ihrer Entra-Umgebung können zusätzliche Nacharbeit erforderlich machen.

Was mit Ihren Zugangsdaten passiert

Für den Smoketest wird serverseitig mit Tenant-ID, Client-ID und Client-Secret geprüft, ob Entra die App technisch akzeptiert und ein Token ausstellen kann. Beim verschlüsselten Download oder Upload werden Ihre Eingaben und Prüfergebnisse nicht im Klartext abgelegt, sondern auf dem Server per PBKDF2 und AES-256-GCM in eine verschlüsselte Datei verpackt. Gespeichert oder übertragen wird nur diese verschlüsselte Datei.

Einrichtung

So richten Sie Microsoft Entra ID für den Login-Provider ein

1. Technische Werte im Onboarding erzeugen

Starten Sie in diesem Onboarding mit dem Kunden- oder Firmennamen und erzeugen Sie daraus die festen technischen Werte für die Entra-App.

Schritt für Schritt

Kunden- oder Firmennamen im Prüfbereich eintragen.

Auf Technische Werte erzeugen klicken.

Den generierten Konfigurationsnamen und die Redirect-URI unverändert für die spätere Entra-Konfiguration übernehmen.

Hinweise

Neu generierte technische Werte ändern die Redirect-URI. Wenn die Entra-App bereits angelegt wurde, muss die Redirect-URI dort anschließend ebenfalls angepasst werden.

2. Neue App Registration anlegen

Die OIDC-Anbindung verwendet eine eigene App Registration in Microsoft Entra ID.

Pfad

Microsoft Entra ID -> App registrations -> New registration

Schritt für Schritt

Einen eindeutigen Namen eintragen.

Accounts in this organizational directory only (Single tenant) auswählen.

Unter Redirect URI die Plattform Web wählen.

Die in diesem Onboarding generierte Redirect-URI eintragen.

Die App anschließend mit Register anlegen.

3. Redirect-URI nach der Erstellung prüfen

Nach der Erstellung muss die hinterlegte Redirect-URI in der App noch einmal technisch gegen den generierten Wert geprüft werden.

Pfad

Authentication

Schritt für Schritt

Prüfen, dass genau die im Onboarding erzeugte Redirect-URI hinterlegt ist.

Auf https achten.

Auf den vollständigen Callback-Pfad achten.

Auf den abschließenden Slash achten.

Hinweise

Schon kleine Abweichungen in der URI führen typischerweise dazu, dass die Anmeldung am Login-Provider nicht funktioniert.

4. Client Secret erzeugen

Für die spätere technische Anbindung wird ein Client Secret benötigt.

Pfad

Certificates & secrets

Schritt für Schritt

New client secret öffnen.

Eine sprechende Beschreibung hinterlegen, z. B. connectcloud-musterfirma-secret.

Eine passende Laufzeit auswählen.

Den Secret-WERT aus der Spalte "Value" sofort an einem sicheren Ort speichern.

Hinweise

Wichtig: Entra zeigt zwei Spalten: "Value" und "Secret ID". Wir benötigen ausschließlich den Wert aus der Spalte "Value".

Der Secret-Wert wird nach dem Verlassen der Ansicht nicht erneut vollständig angezeigt.

5. Tenant-ID und Client-ID notieren

Die drei final benötigten Übergabewerte bestehen aus Client-ID, Tenant-ID und Client Secret.

Schritt für Schritt

Den generierten Source-Namen aus diesem Onboarding bereithalten.

Die generierte Redirect-URI aus diesem Onboarding bereithalten.

Application (client) ID aus der Entra-Übersichtsseite notieren.

Directory (tenant) ID aus der Entra-Übersichtsseite notieren.

Den gespeicherten Client Secret WERT aus Entra bereithalten.

6. Delegated Permissions setzen

Für die Anmeldung über den ConnectCloud Login-Provider werden die grundlegenden delegierten Microsoft-Graph-Berechtigungen benötigt.

Pfad

API permissions -> Add a permission -> Microsoft Graph -> Delegated permissions

Schritt für Schritt

User.Read hinzufügen.

openid hinzufügen.

profile hinzufügen.

email hinzufügen.

GroupMember.Read.All hinzufügen.

Hinweise

Diese Berechtigungen sind für die Anmeldung, die grundlegenden Benutzerinformationen und den Zugriff auf Gruppenmitglieder erforderlich.

7. Admin Consent erteilen

Damit Benutzer beim ersten Login keine zusätzliche Freigabe bestätigen müssen, sollte der Tenant-weite Consent direkt erteilt werden.

Pfad

API permissions -> Grant admin consent

Schritt für Schritt

Grant admin consent ausführen.

Prüfen, dass die fünf Delegated Permissions als freigegeben angezeigt werden.

8. Ergebnis gegen die Checkliste prüfen

Vor der Übergabe an MBCOM sollte die App Registration noch einmal vollständig abgeglichen werden.

Schritt für Schritt

Die App Registration existiert und ist Single tenant.

Die Redirect-URI ist exakt korrekt hinterlegt.

Ein Client Secret (Value) wurde erstellt und sicher gespeichert.

Alle 5 Übergabewerte (2 generierte, 3 aus Entra) liegen vor.

User.Read, openid, profile, email und GroupMember.Read.All sind freigegeben.

Der verschlüsselte Transfer (unten) wird zur sicheren Übermittlung empfohlen.

Übergabe an MBCOM

Diese Daten sollten am Ende vorliegen

Allgemeine Informationen

Kunden- oder Firmenname

Ansprechpartner E-Mail

Technische Onboarding-Werte

Generierter Konfigurationsname

Generierte Redirect-URI

Azure Entra ID Werte

Application (client) ID

Directory (tenant) ID

Client Secret (Value)

Vor dem Prüfbereich

Diese Punkte sollten vorher erledigt sein

Die technischen Werte wurden im Onboarding erzeugt und unverändert in Entra übernommen.

Single tenant ist in der App Registration ausgewählt.

User.Read, openid, profile, email und GroupMember.Read.All sind als Delegated Permissions gesetzt.

Grant admin consent wurde bereits ausgeführt.

Lokale Prüfung

Formale Plausibilität der Eingaben

Ansprechpartner E-Mail

Noch nicht ausgefüllt.

Directory (tenant) ID

Noch nicht ausgefüllt.

Application (client) ID

Noch nicht ausgefüllt.

Client Secret (Value)

Noch nicht ausgefüllt.

Redirect-URI und Konfigurationsname

Noch nicht ausgefüllt.

Kundenname und Konfigurationsname

Noch nicht ausgefüllt.

Prüfbereich

Eingaben prüfen und finale Werte übergeben

Der Bereich ist in drei Teile gegliedert: Übergabedaten, lokale Plausibilitätsprüfung und technischer Entra-Smoketest.

1. Technische Werte und Übergabedaten

Erzeugen Sie zuerst die festen technischen Werte für die Entra-App und ergänzen Sie danach die finalen Zugangsdaten aus Microsoft Entra ID.

Kunden- oder Firmenname

Dient der Zuordnung des Onboardings und für Rückfragen.

Ansprechpartner E-Mail

Dient der Zuordnung des Onboardings und für Rückfragen.

Technische Werte für Entra (Pflicht-Übergabewerte)

Der Konfigurationsname und die Redirect-URI werden lokal im Browser erzeugt, bleiben nach einem Reload erhalten und sollten nach der Generierung unverändert in Entra übernommen werden.

Technischer Konfigurationsname

Redirect-URI

Directory (tenant) ID

Application (client) ID

Client Secret (Value)

Wichtig: Kopieren Sie den Wert aus der Spalte 'Value' – NICHT die 'Secret ID'.

Der Client Secret wird aus Sicherheitsgründen nicht in Ihrem Browser gespeichert und muss nach einem Reload erneut eingetragen werden.

2. Technischer Entra-Smoketest

Der Smoketest prüft Tenant-Erkennung, die Konsistenz von Redirect-URI und Konfigurationsname sowie serverseitig die App-Anmeldung so weit, wie Entra das für diese Art von Anwendung zulässt.

Verschlüsselte Übergabe vorbereiten

Die eingegebenen Werte werden serverseitig verschlüsselt und können anschließend heruntergeladen oder direkt an den sicheren Ablageort übertragen werden.

Hinweis: Sollte die verschlüsselte Übergabe technisch nicht möglich sein, senden Sie uns die 5 Werte bitte gesammelt auf einem anderen sicheren Weg zu.

Prüfergebnis

Ergebnis der Prüfung

Ansprechpartner E-Mail

Noch nicht ausgefüllt.

Directory (tenant) ID

Noch nicht ausgefüllt.

Application (client) ID

Noch nicht ausgefüllt.

Client Secret (Value)

Noch nicht ausgefüllt.

Redirect-URI und Konfigurationsname

Noch nicht ausgefüllt.

Kundenname und Konfigurationsname

Noch nicht ausgefüllt.

Füllen Sie die Felder aus und starten Sie den Smoketest, um hier die technischen Prüfergebnisse anzuzeigen.