Zum Hauptinhalt springen

Single Sign-On mit Microsoft Entra ID via OIDC

Ziel​

Diese Anleitung beschreibt die vollständige Einrichtung von Microsoft Entra ID als OIDC Identity Provider für intraOnline.

Nach Abschluss der Konfiguration ist Folgendes möglich:

  • Anmeldung über Microsoft Entra ID
  • Übergabe funktionaler Gruppenzuweisungen (z. B. Standort, Organisationseinheit)
  • Zuordnung der Gruppen anhand von Group Object IDs

Voraussetzungen​

  • Zugriff auf das Microsoft Entra Admin Center
  • Ein bestehender Entra ID Tenant (login.microsoftonline.com)
  • Eine App Registration in Microsoft Entra
  • Verwendung des OIDC Authorization Code Flow mit Client Secret

Hinweis: Für Entra External ID (CIAM) oder Azure AD B2C nutzen Sie bitte die manuelle OIDC-Konfiguration.

Berechtigungen​

RolleErlaubtBemerkung
User❌
Editor❌
Admin✅

Benötigte Werte für intraOnline​

Feld in intraOnlineQuelle in Microsoft Entra
Directory (Tenant) IDApp → Overview
Application (Client) IDApp → Overview
Client Secret (Value)App → Certificates & secrets
Redirect URLApp → Authentication
Gruppen (Group IDs)Enterprise Application

Schritt 1: App Registration erstellen​

  1. Öffnen Sie das Microsoft Entra Admin Center
  2. Navigieren Sie zu Microsoft Entra ID → App registrations
  3. Klicken Sie auf New registration
  4. Vergeben Sie einen Namen, z. B. intraOnline SSO
  5. Wählen Sie Supported account types: Single tenant
  6. Lassen Sie die Redirect URI zunächst leer
  7. Klicken Sie auf Register

Notieren Sie anschließend:

  • Application (client) ID
  • Directory (tenant) ID

Hinweis: Zu jeder App Registration wird automatisch eine zugehörige Enterprise Application (Service Principal) im Tenant erstellt. Diese wird später für Gruppen-Zuweisungen verwendet.

Schritt 2: Client Secret erstellen​

  1. Öffnen Sie die App Registration
  2. Navigieren Sie zu Certificates & secrets
  3. Klicken Sie auf New client secret
  4. Vergeben Sie eine Beschreibung
  5. Wählen Sie ein Ablaufdatum
  6. Kopieren Sie den Value unmittelbar nach dem Erstellen

Wichtig: In intraOnline wird ausschließlich der Value verwendet, nicht die Secret ID.

Schritt 3: Redirect URL konfigurieren​

Navigieren Sie zu Authentication innerhalb der App Registration.

Fügen Sie unter Web folgende Redirect URI hinzu:

https://auth.intraonline.de/oauth2/idpresponse

Stellen Sie sicher:

  • Plattform: Web
  • Implicit Grant ist deaktiviert
  • Authorization Code Flow wird verwendet

Schritt 4: Claims konfigurieren​

Für die korrekte Benutzeranlage und -anzeige in intraOnline müssen neben den Gruppen auch personenbezogene Basisinformationen im ID-Token enthalten sein.

Navigieren Sie zu Token configuration.

Optionale Claims für Benutzerinformationen​

  1. Klicken Sie auf Add optional claim
  2. Wählen Sie ID token
  3. Aktivieren Sie folgende Claims:
ClaimZweck
emailE-Mail-Adresse des Benutzers
given_nameVorname
family_nameNachname

Diese Claims werden von intraOnline für die Benutzeranzeige und -zuordnung verwendet.

Gruppen-Claims konfigurieren​

Navigieren Sie zu Token configuration.

Gruppen-Claim aktivieren​

  1. Klicken Sie auf Add group claims
  2. Wählen Sie ID token
  3. Empfohlene Einstellung: Groups assigned to the application

Diese Einstellung stellt sicher, dass nur explizit zugewiesene Gruppen im Token enthalten sind und das Token möglichst klein bleibt.

intraOnline verarbeitet Group Object IDs (GUIDs), nicht die Anzeigenamen der Gruppen.

Schritt 5: Gruppen in der Enterprise Application zuweisen​

Damit Gruppen im ID-Token enthalten sind:

  1. Öffnen Sie Enterprise Applications
  2. Wählen Sie die zugehörige intraOnline-App
  3. Navigieren Sie zu Users and groups
  4. Weisen Sie die relevanten funktionalen Gruppen zu (z. B. Standort, Organisationseinheit)

Nur zugewiesene Gruppen werden im groups-Claim des Tokens ausgegeben.

Hinweis zur Gruppen-Zuordnung​

Wie Gruppen aus Entra in intraOnline übernommen, aktualisiert oder entfernt werden, ist in der separaten Anleitung beschrieben: Gruppen-Synchronisation.

Schritt 6: Konfiguration in intraOnline​

Öffnen Sie in intraOnline:

Einstellungen → Single Sign-On (SSO)

Tragen Sie die folgenden Werte ein:

  • Provider: Microsoft Entra
  • Directory (Tenant) ID
  • Application (Client) ID
  • Client Secret (Value)

Setzen Sie anschließend den Status auf Aktiv und speichern Sie die Konfiguration.

Optional: Automatische Gruppen-Zuordnung in intraOnline​

Wenn Benutzer beim Login automatisch in IntraOnline‑Gruppen aufgenommen werden sollen:

  1. Öffnen Sie Einstellungen → Single Sign-On (SSO) → Automatische Gruppen-Zuordnung
  2. Klicken Sie auf Zuordnung hinzufügen
  3. Wählen Sie die gewünschte IntraOnline‑Gruppe
  4. Tragen Sie die externen Gruppen‑IDs ein (Entra Group Object IDs)
  5. Wählen Sie den gewünschten Zugriff (Lesend oder Bearbeitend)
  6. Speichern Sie die Zuordnungen

Die Zuordnungen werden beim nächsten SSO‑Login des Benutzers ausgewertet.

Token-Limits (Overage) – Wichtiger Hinweis​

Microsoft Entra begrenzt die Anzahl der Gruppen, die direkt im ID-Token ausgegeben werden können.

  • Bei einer hohen Anzahl von Gruppen kann statt der Gruppenliste ein sogenannter Overage Claim ausgegeben werden
  • In diesem Fall enthält das Token keine Gruppen-IDs mehr

Wichtig: intraOnline lädt Gruppen nicht zusätzlich über Microsoft Graph nach. Wenn ein Overage-Claim auftritt, stehen in intraOnline keine Gruppenzuweisungen zur Verfügung.

Empfehlung:

  • Verwenden Sie „Groups assigned to the application“
  • Weisen Sie ausschließlich die benötigten funktionalen Gruppen zu
  • Vermeiden Sie eine sehr hohe Anzahl paralleler Gruppenzugehörigkeiten pro Benutzer

Beispiel: ID-Token (Auszug)​

{
  "groups": [
    "8f3a1c9e-1a2b-4c5d-9e7f-123456789abc",
    "3c2b1a9e-7f6d-4c5b-8a9e-abcdef123456"
  ]
}

Hinweis​

Änderungen an Client Secret, Redirect URL oder Gruppenzuweisungen erfordern in der Regel ein erneutes Speichern oder Aktivieren der SSO-Konfiguration in intraOnline.