Enterprise applications are often used as an interface between Microsoft Entra and internally used applications, for example to give employees access to Microsoft 365. To do this, you need to register one or more applications centrally. This chapter provides an introduction to how you can register enterprise applications and assign permissions to them. It applies to the following areas of application:

• Intune Management
• Microsoft 365
• Setting up OAuth2 on the ACMP Server
• ACMP Intune Connector

Preparing for the Microsoft Entra ID

In order to work in one of the above application areas, you must first open the Microsoft Entra Admin Centre and register a company application. You will then need to grant the necessary permissions within that application. These steps are necessary to enable ACMP to access and import the required data.

Register an Enterprise Application

First, log in to your Microsoft Entra ID. Click the Identity > Manage tab > Enterprise Applications and create a new application registration.

Enter all the necessary information there: Assign an app name and select the accounts to be supported. Complete the process by clicking Register.

When you open the application you have created, you will see a summary of the information you have added. This includes the display name, details of the supported account types and the various IDs (application, object and directory ID). You will need the latter details (the IDs) if, for example, you want to create a new portal for Microsoft 365.

Distribute permissions

Next, grant the company application the necessary permissions so that it can access the interface. To do this, switch to the Permissions area within the registered app (Manage > API permissions).

Add permissions Click on Add permission. A page will open where you can request API permissions. In this step, you must select Microsoft Graph.

Depending on the area for which you want to grant authorisations, a distinction is made between ‘Delegated authorisations’ and ‘Application authorisations’. The tables below show the authorisations that you must insert here for the respective area.

Microsoft 365

Only the application permissions are required to use Microsoft 365. Insert the following values individually and repeat the procedure until both list entries have been added:

Setting up OAuth 2 on the ACMP Server

ACMP Intune Connector

Once you have selected all permissions, click Add permissions. You can then see the items in the overview (the following example describes the application permissions added for Microsoft 365).

You may need to grant your consent to the permissions if you have not already done so. To do this, click on the field Grant administrator consent for ‘%Your company%’. This changes the status and the user consent is deployed.

Specify authentication types: Secret client key or upload certificates

Regardless of the application, you must specify authentication types for all areas. You can choose between two methods supported by the Microsoft Client Credentials Provider: Certificate or Secret Client Key.

Upload certificate

Certificates can be used as an authentication method to log in to Microsoft Entra ID. A certificate always consists of a public and a private part, with the public key being loaded directly into Microsoft Entra ID. Both parts are required at a later stage when you add the certificate to the connection information for creating a new portal. This certificate pair must be generated in advance. Read here how to create a certificate via Microsoft or Open SSL. Due to the higher security level, Microsoft recommends using a certificate as login information

Navigieren Sie innerhalb der zuvor registrierten Anwendung zu dem Punkt Zertifikate & Geheimnisse. Klicken Sie dort in den Details auf den Reiter Zertifikate und laden Sie das zuvor erstellte Zertifikat hoch.

Auf der rechten Seite öffnet sich ein Feld, in dem Sie das Zertifikat hochladen können. Durchsuchen Sie den entsprechenden Ordner und laden Sie die Datei hoch und geben Sie eine optionale Beschreibung für das Zertifikat ein. Klicken Sie dann auf Hinzufügen und das Zertifikat wird für die Anwendung hinterlegt.

Geheimen Clientschlüssel hinzufügen

Der geheime Clientschlüssel ist eine Zeichenfolge, die bei der Unternehmensanwendung beim Anfordern des Tokens als Authentifizierungsschlüssel bzw. Identitätsnachweis verwendet wird. Wechseln Sie dafür innerhalb der registrierten Anwendung in den Bereich Zertifikate & Geheimnisse. Klicken Sie in den Details auf den Reiter Geheime Clientschlüssel und legen Sie einen neuen Schlüssel an.

Beim Erstellen eines neuen geheimen Clientschlüssels haben Sie die Möglichkeit, die Gültigkeitsdauer zu konfigurieren. Beachten Sie hierbei, dass nach Ablauf der Gültigkeit ein Schlüssel neu erstellt und dieser neu hinterlegt werden muss.

Weiteres Vorgehen

Nachdem Sie nun die Unternehmensanwendung registriert und die notwendigen Berechtigungen erteilt haben, können Sie in den jeweiligen Anwendungsbereich wechseln und mit Ihren Arbeiten fortfahren:

• Intune Management
• Microsoft 365
• ACMP Intune Connector
• Einrichtung von OAuth2 am ACMP Server