Microsoft 365

Version 2.6 von Sabrina V. am 2024/11/11 10:03

Vorbereitungen für die Microsoft Entra ID

Um Microsoft 365 nutzen zu können, müssen Sie zunächst in das Microsoft Entra Admin Center navigieren und dort eine Unternehmensanwendung registrieren und innerhalb dieser Anwendung die notwendigen Berechtigungen erteilen. Diese Schritte sind notwendig, damit ACMP auf die benötigten Microsoft 365 Daten zugreifen darf und diese importieren kann.

Unternehmensanwendung registrieren

Melden Sie sich zunächst in der Microsoft Entra ID an. Klicken Sie dort auf den Reiter Verwalten > Unternehmensanwendungen und legen Sie dort eine neue App-Registrierung an.

67_Microsoft 365_App-Registrierung in der Entra_2910.png — App-Registrierungen in Microsoft Entra ID

Geben Sie dort alle notwendigen Informationen an: Vergeben Sie einen App-Namen und wählen Sie die zu unterstützenden Konten aus. Schließen Sie den Vorgang ab, indem Sie auf Registrieren klicken.

67_Microsoft 365_Anwendung registrieren_2262.png — Anwendung registrieren

Wenn Sie nun die erstellte App öffnen, erhalten Sie eine Zusammenfassung der hinzugefügten Informationen. Hieraus benötigen Sie für den späteren Verlauf die Anwendungs- und die Verzeichnis-ID, wenn Sie ein neues Portal für Microsoft 365 anlegen.

67_Microsoft 365_Zusammenfassung der Anwendungsinformationen_3344.png — Zusammenfassung der Anwendungsinformationen

Berechtigungen verteilen

Erteilen Sie als nächstes der Unternehmensanwendung die notwendigen Berechtigungen, damit auf die Schnittstelle zugegriffen werden kann. Wechseln Sie dafür innerhalb der registrierten App in den Bereich Berechtigungen (Sicherheit > Berechtigungen).

67_Microsoft 365_Berechtigungen_2720.png — Berechtigungen

Klicken Sie dort auf Berechtigung hinzufügen. Es öffnet sich eine Seite, wo Sie die API-Berechtigungen anfordern können. In diesem Schritt müssen Sie den Microsoft Graph auswählen.

67_Microsoft 365_Microsoft Graph_1284.png — API-Berechtigungen: Microsoft Graph anfordern

Für die Nutzung von Microsoft 365 werden nur die Anwendungsberechtigungen benötigt. Fügen Sie nachfolgend die folgenden Werte einzeln ein und wiederholen Sie die Vorgehensweise, bis die beiden Listeneinträge hinzugefügt wurden:

User.Read.All
Organization.Read.All

67_Microsof 365_Anwendungen verteilen_3822.png — Anwendungsberechtigungen erteilen

Sobald Sie beide Berechtigungen selektiert haben, klicken Sie auf Berechtigungen hinzufügen. Die Einträge können Sie der Übersicht entnehmen.

67_Microsoft 365_Verteilte Berechtigungen (ohne Einwilligung)_2818.png — Verteilte Berechtigungen (ohne Einwilligung)

Sie müssen unter Umständen den Berechtigungen Ihre Einwilligung erteilen, sollte dies im Vorfeld noch nicht bereits passiert sein. Klicken Sie dafür auf das Feld Administratorzustimmung für „%Ihr Unternehmen%“ erteilen. Hierdurch verändert sich der Status und es wird die Benutzereinwilligung verteilt.

Geheimer Clientschlüssel oder Zertifikate hochladen

Es ist für die Ersteinrichtung von Microsoft 365 erforderlich, dass Sie Authentifizierungstypen angeben. Sie können dabei zwischen zwei Methoden entscheiden, die vom Microsoft Client Credentials Provider unterstützt werden: Zertifikat oder Geheimer Clientschlüssel.

Hinweis:

Je nach gewähltem Authentifizierungstyp ist die Vorgehensweise eine andere. Lesen Sie nachfolgend, was Sie bei der jeweiligen Methode zu beachten haben.

Zertifikat hochladen

Hinweis:

Aufgrund der höheren Sicherheitsstufe wird von Microsoft empfohlen, ein Zertifikat als Anmeldeinformation zu verwenden.

Zertifikate können als Authentifizierungsmethode genutzt werden, mit der Sie sich in der Microsoft Entra ID anmelden können. Ein Zertifikat besteht dabei immer aus einem öffentlichen und privaten Teil, wobei der öffentliche Schlüssel direkt in der Microsoft Entra ID geladen wird. Zum späteren Zeitpunkt, wo Sie das Zertifikat den Verbindungsinformationen für die Erstellung eines neuen Portals hinzufügen können, werden beide Teile benötigt. Dieses Zertifikatspaar muss bereits im Vorfeld erzeugt werden. Lesen Sie hier nach, wie Sie über Microsoft oder über Open SSL ein Zertifikat erstellen können.

Hinweis:

Häufig findet sich das Format PKCS#12 oder PFX/P12 für Zertifikate vor. Dieses wird von ACMP prinzipiell nicht unterstützt, da die Zertifikats- und Schlüsseldatei hier in einer Datei kombiniert sind. Sie haben aber die Möglichkeit, über die OpenSSL-Befehle openssl pkcs12 -in path.p12 -out newfile.crt -clcerts –nokeys für das Zertifikat und openssl pkcs12 -in path.p12 -out newfile.pem -nocerts –nodes für den privaten Schlüssel zwei Dateien aus der Datei zu generieren.
Sie finden weitere Informationen zu diesem Thema auch unter dem Abschnitt Zertifikate verwalten.

Navigieren Sie innerhalb der zuvor registrierten Anwendung zu dem Punkt Zertifikate & Geheimnisse. Klicken Sie dort in den Details auf den Reiter Zertifikate und laden Sie das zuvor erstellte Zertifikat hoch.

67_Microsoft 365_Zertifikat hochladen_3356.png — Zertifikat hochladen

Auf der rechten Seite öffnet sich ein Feld, in dem Sie das Zertifikat hochladen können. Durchsuchen Sie den entsprechenden Ordner und laden Sie die Datei hoch und geben Sie eine optionale Beschreibung für das Zertifikat ein. Klicken Sie dann auf Hinzufügen und das Zertifikat wird für die Anwendung hinterlegt.

Hinweis:

Beachten Sie, dass beim Hochladen eines Zertifikats nur die Dateitypen .cer, .pem und .crt unterstützt werden.

67_Microsoft 365_Hochgeladenes Zertifikat in Entra_3052.png — Hochgeladenes Zertifikat in Microsoft Entra

Geheimen Clientschlüssel hinzufügen

Der geheime Clientschlüssel ist eine Zeichenfolge, die bei der Unternehmensanwendung beim Anfordern des Tokens als Authentifizierungsschlüssel bzw. Identitätsnachweis verwendet wird. Wechseln Sie dafür innerhalb der registrierten Anwendung in den Bereich Zertifikate & Geheimnisse. Klicken Sie in den Details auf den Reiter Geheime Clientschlüssel und legen Sie einen neuen Schlüssel an.

67_Microsoft 365_Neuen Clientschlüssel hinterlegen_3052.png — Neuen Clientschlüssel hinterlegen

Beim Erstellen eines neuen geheimen Clientschlüssels haben Sie die Möglichkeit, die Gültigkeitsdauer zu konfigurieren. Beachten Sie hierbei, dass nach Ablauf der Gültigkeit ein Schlüssel neu erstellt und dieser neu hinterlegt werden muss.

67_Microsoft 365_Geheimen Clientschlüssel hinzufügen_3052.png — Geheimen Clientschlüssel hinzufügen

Hinweis:

Sie benötigen den erstellten geheimen Clientschlüssel bei der Einrichtung von Microsoft 365 für das neue Anlegen der Portale in der ACMP Console. Speichern Sie sich deswegen den geheimen Clientschlüssel zwischen, damit Sie später drauf zugreifen können.

Einstellungen für Microsoft 365

Über den Bereich Microsoft 365 haben Sie einen Überblick über die Portale, die Sie hinterlegt haben, aus denen die Informationen importiert werden sollen.

Microsoft 36 Portale verwalten

Navigieren Sie in der geöffneten ACMP Console zu System > Einstellungen > Lizenzmanagement > Microsoft 365, um die Portale zu verwalten. Die Ansicht ist zweigeteilt, auf der linken Seite sehen Sie die Aktionsfelder, wo Sie die Microsoft 365 Portale hinzufügen (), bearbeiten () oder löschen () können. Eine Liste aller bestehenden Portale, die Sie zuvor angelegt haben, finden Sie darunter. Auf der rechten Seite ist die Detailansicht zu dem ausgewählten Portal.

67_M365_Hinzugefügtes Portal_1361.png — Übersicht der Microsoft 365 Portale

Microsoft 365 Portal hinzufügen

Um ein neues Portal hinzuzufügen, klicken Sie in der Leiste auf den gleichnamigen Button hiHInHinzufügen (). Es öffnet sich ein Wizard, der Sie durch die nächsten Schritte führt. Fügen Sie zunächst unter Allgemein einen Namen für das Portal ein. Beachten Sie, dass der Name des Portals als Präfix bei den importierten Lizenzen und Produkten verwendet wird und nur einmalig vorkommen darf. Geben Sie optional noch eine Beschreibung ein, sollten Sie dort weitere Informationen hinterlegen wollen. Klicken Sie andernfalls auf Weiter >, um fortzufahren.

67_M365_Wizard Allgemein_965.png — Allgemeine Informationen beim Hinzufügen eines Microsoft 365 Portals

Tragen Sie nun die Anwendungs-ID (Client) und die Verzeichnis-ID (Mandant) in die dafür vorgesehenen Felder ein. Diese Angaben beziehen sich auf die Informationen, die in der Microsoft Entra ID angegeben wurden (siehe Anwendungseigenschaften).

Hinweis:

Die Anwendungs-ID (Client) steht dabei für die ID der registrierten Anwendung. Die Verzeichnis-ID (Mandant) gibt an, unter welchem Mandanten es ausgeführt wird

Wählen Sie danach den Authentifizierungstypen aus, den Sie für die Verbindungsinformationen nutzen wollen. Sie haben die Wahl zwischen dem Zertifikat und dem geheimen Clientschlüssel.

Zertifikat

Wählen Sie den Authentifizierungstypen Zertifikat aus und klicken Sie auf den Button Hinzufügen. Es öffnet sich ein neues Fenster, in dem Sie nun den öffentlichen und privaten Schlüssel einfügen müssen. Klicken Sie dafür auf den Button und fügen Sie jeweils den passenden Schlüssel ein, die Sie bereits im Vorfeld für die Vorbereitungen für die Microsoft Entra ID (Verlinkung) genutzt haben. Schließen Sie den Schritt ab, indem Sie auf OK klicken.

Sollten Sie das Zertifikat löschen wollen, müssen Sie auf Entfernen klicken.

Geheimer Clientschlüssel

Um einen geheimen Clientschlüssel hinzuzufügen, müssen Sie unterhalb der Auswahl auf den gleichnamigen Button klicken. Es öffnet sich ein neues Fenster, in dem Sie die geheime ID und den Wert des geheimen Clientschlüssels eingeben müssen. Geben Sie außerdem einen Gültigkeitszeitraum an. Beenden Sie den Schritt, indem Sie auf OK klicken und wieder zu dem Wizard zurückgelangen.

67_M365_Geheimen Clientschlüssel hinzufügen_508.png — Geheimen Clientschlüssel hinzufügen

67_M365_Microsoft 365 Portal hinzufügen Verbindungsinformationen_965.png — Verbindungsinformationen zum Microsoft 365 Portal

Je nachdem für welchen Authentifizierungstypen Sie sich entschieden haben, werden die entsprechenden Felder befüllt. In dieser Erklärung wurde der Authentifizierungstyp Zertifikat verwendet.

Überprüfen Sie Ihre Verbindung, indem Sie auf Verbindung testen klicken. Hierdurch können Sie sicherstellen, dass die bisher eingegebenen Angaben korrekt eingefügt wurden. Klicken Sie auf Weiter >, um mit den Ausschlüssen für den Import fortzusetzen.

Hier haben Sie die Möglichkeit nicht relevante Lizenzen vom Import auszuschließen. Die Seite des Wizards ist dabei zweigeteilt: Auf der linken Seite finden Sie eine Liste mit allen verfügbaren Lizenzen. Durch das Aktivieren der darunterliegenden Checkbox können Sie sich nur die im Portal abonnierten Lizenzen anzeigen lassen.

Ziehen Sie nun sämtliche Einträge auf die rechte Seite (), die Sie für den Import ausschließen wollen. Die Einträge werden für den kommenden Import explizit ausgenommen. Über den Button ()können Sie ausgeschlossene Lizenzen aus der Liste entfernen.

67_M365_Ausschlüsse für den Import_965.png — Ausschlüsse für den Import

Beenden Sie den Wizard, indem Sie auf Fertig klicken. Sie gelangen wieder zur Übersichtsseite innerhalb der ACMP Einstellungen, wo das neue Portal der Liste hinzugefügt wurde.

Microsoft 365 Portale bearbeiten oder löschen

Bestehende Microsoft 365 Portale können bearbeitet oder gelöscht werden. Möchten Sie ein bestehendes Portal bearbeiten, um beispielsweise den Authentifizierungstypen oder die vom Import ausgeschlossenen Lizenzen zu ändern, klicken Sie auf den Button Bearbeiten (). Es öffnet sich ein Fenster, in dem Sie die nun vorliegenden Informationen anpassen können. Hierbei sind die Angaben in drei Tabs unterteilt: Allgemein, Verbindungsinformationen und Ausschlüsse für den Import. Ändern Sie die gewünschten Informationen und klicken Sie anschließend dann auf Speichern.

Hinweis:

Berücksichtigen Sie für eventuelle Änderungen die Vorgehensweise aus dem Abschnitt Microsoft 365 Portale hinzufügen und beachten Sie dabei die angegebenen Hinweise.