Anmeldung mit Microsoft

Mit «Anmeldung mit Microsoft» melden sich die Mitarbeitenden einer Organisation mit ihrem Microsoft-Konto an, ohne ein weiteres Passwort. Ihre Rolle in Regalzeile folgt den Gruppen in Microsoft Entra ID, dem Verzeichnis der Organisation. Die Anmeldung ist Teil des Angebots für Organisationen; den Block unter Einstellungen sieht nur der Inhaber. Die Einrichtung hat zwei Teile: Die IT der Organisation legt einmal im Microsoft-Entra-Portal eine App an und gibt dem Inhaber die Werte; der Inhaber trägt sie in Regalzeile ein.

Für die IT deiner Organisation

1. Im Microsoft-Entra-Portal «Entra ID» → «App-Registrierungen» → «Neue Registrierung» öffnen. Name zum Beispiel «Regalzeile», Kontotyp «Nur Konten in diesem Organisationsverzeichnis». Als Redirect-URI den Typ «Web» und die Adresse https://regalzeile.ch/api/auth/entra/callback eintragen (Regalzeile zeigt sie im Block unter «Redirect-URI» zum Kopieren).
2. Auf der Übersicht der App die «Anwendungs-ID» (das ist die Client-ID) und die «Verzeichnis-ID» (das ist die Mandanten-ID) notieren.
3. Unter «Zertifikate & Geheimnisse» einen «Neuen geheimen Clientschlüssel» anlegen und eine Laufzeit wählen (höchstens 24 Monate). Den Wert sofort kopieren, später zeigt Microsoft ihn nicht mehr. Das Ablaufdatum notieren.
4. Unter «API-Berechtigungen» müssen für «Microsoft Graph» die delegierten Berechtigungen openid, profile und email stehen (meist sind sie schon da). Dann «Administratorzustimmung erteilen».
5. Unter «Tokenkonfiguration» einen Gruppenanspruch hinzufügen: «Der Anwendung zugewiesene Gruppen», für das ID-Token als Gruppen-ID.
6. Unter «Entra ID» → «Gruppen» drei Sicherheitsgruppen anlegen oder vorhandene wählen: eine für Inhaber, eine für Mitglieder, eine für Leser. Von jeder die Objekt-ID notieren.
7. Unter «Unternehmensanwendungen» die App «Regalzeile» öffnen. Bei «Eigenschaften» «Zuweisung erforderlich» auf «Ja» stellen. Unter «Benutzer und Gruppen» die drei Gruppen der App zuweisen.
8. Dem Inhaber von Regalzeile übergeben: Mandanten-ID, Client-ID, Client-Secret (den Wert aus Schritt 3), Ablaufdatum und die drei Gruppen-IDs.

Für den Inhaber

1. Öffne die Einstellungen und suche den Block «Anmeldung mit Microsoft». Er erscheint nur in der Kontoart für Organisationen und nur für den Inhaber.
2. Trage «Mandanten-ID», «Client-ID» und «Client-Secret» ein, bei «Secret gültig bis» das Ablaufdatum (damit Regalzeile dich rechtzeitig erinnert) und unter «E-Mail-Domänen» die Domänen deiner Organisation, eine pro Zeile, zum Beispiel gericht.ch. Eintragen lassen sich nur Domänen, die im Microsoft-Mandanten deiner Organisation verifiziert sind; Regalzeile fragt das beim Speichern bei Microsoft nach.
3. Trage die Gruppen-IDs ein: «Gruppen-ID Leser» ist Pflicht, «Gruppen-ID Inhaber» und «Gruppen-ID Mitglied» sind freiwillig. Wer in keiner der eingetragenen Gruppen ist, kommt nicht hinein.
4. Speichere. Das Secret zeigt Regalzeile danach nie wieder an; leer lassen heisst «unverändert».
5. Drücke «Verbindung prüfen» und melde dich bei Microsoft an. Regalzeile zeigt dir eine Prüfung mit deiner Adresse, ob der Mandant stimmt, ob die Domäne eingetragen ist, welche Gruppen im Token stehen und welche Rolle daraus folgt. Die Prüfung ändert nichts: Es entsteht kein Konto, keine Mitgliedschaft und keine neue Sitzung.
6. Gib den «Link für dein Intranet» weiter. Er sieht so aus, mit deiner Domäne am Ende: https://regalzeile.ch/login/microsoft/gericht.ch. Er öffnet eine Seite mit dem Knopf «Mit Microsoft anmelden», der direkt zu Microsoft führt.

So melden sich Mitarbeitende an

Auf der Anmeldeseite tippt die Person ihre Adresse ein. Gehört die Domäne zu einer Einrichtung, erscheint unter den anderen Anmeldearten der Knopf «Mit Microsoft anmelden». Wer den Intranet-Link benutzt, sieht eine Seite mit genau diesem Knopf. Ist das Gerät schon bei Microsoft angemeldet, geht es ohne Passwort weiter (Single Sign-on). Beim ersten Mal legt Regalzeile das Konto an, eine Einladung ist nicht nötig. Mit dem Klick auf «Mit Microsoft anmelden» akzeptiert die Person die Nutzungsbedingungen und die Datenschutzerklärung, die unter dem Knopf verlinkt sind, wie bei Google. Passwort, Google und Apple bleiben daneben möglich, und Einladungen funktionieren weiter, etwa für externe Personen.

Rolle und «aus Microsoft»

Die Rolle kommt aus den Gruppen: Wer in der Gruppe Inhaber ist, wird Inhaber, sonst gilt die Gruppe Mitglied, sonst die Gruppe Leser. Bei mehreren Gruppen zählt die höchste Rolle. Bei jeder Anmeldung gleicht Regalzeile die Rolle ab: Wechselt jemand in Entra die Gruppe, wechselt die Rolle bei der nächsten Anmeldung. In der Mitgliederliste unter Einstellungen steht bei diesen Personen der Vermerk «aus Microsoft» statt der Rollenauswahl; die Rolle änderst du dann in Entra, nicht in Regalzeile. Entfernst du eine Person aus der Liste, entsteht ihre Mitgliedschaft bei der nächsten Anmeldung neu, solange sie in einer Gruppe ist. Der Zugriff auf einzelne Sammlungen bleibt in Regalzeile: Den legst du weiterhin pro Mitglied fest, die Anmeldung berührt ihn nie. Mehr dazu unter Bestände, Rollen, Einladungen.

Der letzte Inhaber bleibt Inhaber: Würde eine Anmeldung ihn zurückstufen, behält er die Rolle, und ein Hinweis erklärt, dass der Bestand sonst keinen Inhaber hätte.

Beim Austritt einer Person genügt Entra allein nicht: Wer aus allen Regalzeile-Gruppen fällt, kann sich zwar nicht mehr mit Microsoft anmelden, behält aber Mitgliedschaft, laufende Sitzung und einen allfälligen Zugang mit Passwort, Google oder Apple. Entferne die Person deshalb zusätzlich in der Mitgliederliste unter Einstellungen.

Wenn die Anmeldung scheitert

Die Anmeldeseite nennt den Grund; hier die sieben Fälle mit der Ursache.

• «Für diese E-Mail-Domäne ist keine Anmeldung mit Microsoft eingerichtet.» Die Domäne steht in keiner Einrichtung, oder die Einrichtung wurde gelöscht. Prüfe «E-Mail-Domänen».
• «Die Anmeldung mit Microsoft ist für diese Organisation nicht mehr verfügbar.» Die Einrichtung besteht, aber die Kontoart des Bestands umfasst die Anmeldung mit Microsoft nicht mehr.
• «… gehört zu einem anderen Microsoft-Verzeichnis …» Das Konto stammt aus einem anderen Mandanten als dem unter «Mandanten-ID» eingetragenen.
• «Microsoft hat keine E-Mail-Adresse … übermittelt.» Das Konto hat in Entra keine E-Mail-Adresse. Die IT muss sie ergänzen.
• «Die E-Mail-Adresse … gehört nicht zu den Domänen …» Die Domäne der Adresse fehlt unter «E-Mail-Domänen».
• «… gehört keiner Regalzeile-Gruppe an.» Die Person ist in keiner der eingetragenen Gruppen, oder die Gruppen fehlen im Token. Prüfe die Gruppen-IDs, die Zuweisung der Gruppen zur App und den Gruppenanspruch «Der Anwendung zugewiesene Gruppen».
• «Die Anmeldung mit Microsoft ist fehlgeschlagen.» Microsoft hat abgelehnt oder abgebrochen, oder der Ablauf war zu langsam (er dauert höchstens zehn Minuten). Häufigste Ursache: ein falsches oder abgelaufenes Client-Secret. «Verbindung prüfen» zeigt es.

Das Secret läuft ab

Hast du bei «Secret gültig bis» ein Datum eingetragen, schickt Regalzeile 30 Tage vorher eine Mail an alle Inhaber. Erzeuge dann in Entra unter «Zertifikate & Geheimnisse» ein neues Secret, trage den Wert bei «Client-Secret» und das neue Datum ein und speichere. Das alte Secret kannst du danach in Entra löschen. Läuft das Secret ab, bevor du es ersetzt hast, scheitert die Anmeldung mit «Die Anmeldung mit Microsoft ist fehlgeschlagen».

Datenschutz

Bei der Anmeldung erhält Regalzeile Name und E-Mail-Adresse sowie die Kennungen des Mandanten, der Person und ihrer Gruppen. Ein Microsoft-Passwort sieht Regalzeile nie. Verantwortlich für den Mandanten ist die Organisation.