App-Registrierung in Microsoft Entra ID

Mehrere Funktionen des invoiceR greifen auf euren Microsoft-365-Mandanten zu: Postfach für den E-Mail-Import, E-Mail-Versand, SharePoint als Ablage, Benutzer-Import und Anmeldung mit Microsoft. Dafür braucht es eine App-Registrierung in Microsoft Entra ID (früher Azure Active Directory). Sie legt eure IT an; der App werden nur die Rechte erteilt, die die jeweilige Funktion braucht.

Ihr könnt eine App für alle Funktionen verwenden oder pro Funktion eine eigene. Aus Sicherheitsgründen sind getrennte Apps mit minimalen Rechten vorzuziehen.

App anlegen

1. Melde dich unter https://portal.azure.com an und öffne Microsoft Entra ID.
2. Notiere auf der Übersicht die Tenant ID.
3. Klicke auf App registrations > New registration.
4. Gib einen sprechenden Name ein, zum Beispiel invoiceR Postfach oder invoiceR SharePoint, und klicke auf Register.
5. Notiere die Application (client) ID.
6. Klicke unter Certificates & secrets auf New client secret, gib eine Bezeichnung ein und wähle die Gültigkeitsdauer.
7. Notiere sofort den Value des neuen Secrets. Er wird nur einmal angezeigt.

Übersicht einer App-Registrierung in Microsoft Entra ID mit markierter Application (client) ID und Directory (tenant) ID

Berechtigungen erteilen

Unter API permissions > Add a permission fügst du die Rechte hinzu, die die jeweilige Funktion braucht. Viele Rechte verlangen danach eine Administrator-Zustimmung: Ein Benutzer mit Administrator-Rechten im Mandanten klickt auf Grant admin consent for ….

Funktion	Berechtigungen	Anleitung
E-Mail-Import aus Microsoft 365	Office 365 Exchange Online: IMAP.AccessAsApp (Anwendung)	Postfach-Anbindung
E-Mail-Versand über Microsoft Graph	Microsoft Graph: Mail.Send (Anwendung)	E-Mail-Versand und -Import
SharePoint als Ablage	SharePoint: Sites.Selected (Anwendung), dazu ein Zertifikat	Dokumentablage und Archiv
Benutzer-Import	Microsoft Graph: User.Read.All, Group.Read.All, GroupMember.Read.All (Anwendung)	Benutzer und Anmeldung
Anmeldung mit Microsoft	Redirect URI, ID tokens, Claim email	Benutzer und Anmeldung

Werte an enio übergeben

Für die Einrichtung im invoiceR braucht enio:

• Tenant ID
• Application (client) ID
• Client Secret (Value), sofern die Funktion eines braucht
• je nach Funktion weitere Angaben, zum Beispiel die Object ID einer Gruppe oder das Zertifikat

Achtung

Das Client Secret ist ein Passwort. Übermittle es nur auf einem sicheren Weg, nie per normaler E-Mail. Notiere das Ablaufdatum: Läuft das Secret ab, funktionieren die angebundenen Funktionen nicht mehr, bis ein neues Secret hinterlegt ist.