Hilfe Personen und Verzeichnis
Microsoft Entra ID verbinden
Auf dieser Seite
Zweck
Diese Anleitung beschreibt, wie Sie Bexxo erlauben, Ihre Benutzer und Gruppen in Microsoft Entra ID (vormals Azure AD) zu lesen, damit Ihre Zugänge zu PhishTrainer und Academy automatisch synchronisiert bleiben: Erstellung der Konten, Aktualisierung der Gruppen und Mitglieder, automatischer Versand der Zugangs-E-Mails an die Administratoren. Nach der Einrichtung müssen Sie keine manuellen Importe mehr durchführen.
Der Vorgang findet vollständig in Ihrer Microsoft-Entra-Umgebung statt. Am Ende übermitteln Sie Bexxo einige Informationen: Bexxo trägt diese Angaben in die Plattform ein und aktiviert die Synchronisierung.
Hinweis zu den Screenshots: Die Abbildungen zeigen das Portal auf Französisch, die englischen Bezeichnungen der Menüs und Schaltflächen sind im Text angegeben, und in Ihrem Portal erscheinen sie in der eingestellten Sprache.
Voraussetzung: ein Konto, das in Microsoft Entra ID über die Berechtigungen verfügt, eine Gruppe zu erstellen, eine App-Registrierung anzulegen und eine Administratorzustimmung zu erteilen (Rolle Globaler Administrator oder gleichwertige Rollen).
Nur Lesezugriff. Die unten angeforderten Berechtigungen erlauben ausschliesslich das Lesen Ihrer Benutzer und Gruppen. Bexxo kann in Ihrem Entra-ID-Verzeichnis niemals etwas ändern, erstellen oder löschen.
1Synchronisierungsgruppe erstellen
Über eine Gruppe legen Sie genau fest, wer mit Bexxo synchronisiert wird: nur die Mitglieder dieser Gruppe werden synchronisiert, der Rest Ihres Verzeichnisses wird ignoriert. Sie können eine einzige Gruppe oder mehrere erstellen (zum Beispiel je eine Gruppe pro Dienst).
- Öffnen Sie im Microsoft-Entra-Admincenter (entra.microsoft.com) Entra ID › Groups (Gruppen) › All groups (Alle Gruppen) und klicken Sie auf New group (Neue Gruppe).
- Group type (Gruppentyp): Security (Sicherheit).
- Group name (Gruppenname): ein wiedererkennbarer Name, zum Beispiel
Bexxo - Sync(oderPhishTrainer - Sync,Academy - Sync, falls Sie die Dienste unterscheiden). - Membership type (Mitgliedschaftstyp): Assigned (Zugewiesen), Sie fügen die Mitglieder manuell hinzu.
- Fügen Sie unter Members (Mitglieder) die mit Bexxo zu synchronisierenden Personen hinzu und erstellen Sie die Gruppe.
Notieren Sie den genauen Namen der erstellten Gruppe(n): Sie teilen ihn Bexxo in Schritt 6 mit. Danach genügt das Hinzufügen oder Entfernen einer Person aus dieser Gruppe, um sie in die Synchronisierung aufzunehmen oder daraus zu entfernen.
2App-Registrierung erstellen
Die App-Registrierung ist das «technische Konto», mit dem Bexxo Ihr Verzeichnis liest, ohne je ein echtes Benutzerkonto zu verwenden.
- Öffnen Sie im Microsoft-Entra-Admincenter Entra ID › App registrations (App-Registrierungen) und klicken Sie auf New registration (Neue Registrierung).
- Name: zum Beispiel
Bexxo - Verzeichnissynchronisierung. - Supported account types (Unterstützte Kontotypen): wählen Sie die von Microsoft empfohlene Einzelmandanten-Option Single tenant only (Nur ein einzelner Mandant), in früheren Versionen des Portals Accounts in this organizational directory only (Nur Konten in diesem Organisationsverzeichnis).
- Lassen Sie das Feld Redirect URI (Umleitungs-URI) leer und klicken Sie auf Register (Registrieren).
3Anwendungs- und Mandanten-ID notieren
Direkt nach der Registrierung zeigt die Seite Overview (Übersicht) der Anwendung zwei Kennungen im GUID-Format an (zum Beispiel 3fa85f64-5717-4562-b3fc-2c963f66afa6). Notieren Sie sie mit der Kopierschaltfläche neben jedem Wert:
| Auf der Azure-Seite | Für Bexxo aufbewahren |
|---|---|
| Application (client) ID, Anwendungs-ID (Client) | Anwendungs-ID (Client ID) |
| Directory (tenant) ID, Verzeichnis-ID (Mandant) | Mandanten-ID (Tenant ID) |
4Lesezugriff auf Benutzer und Gruppen erteilen
Nun erteilen Sie der Anwendung über Microsoft Graph das Recht, das Verzeichnis zu lesen.
- Öffnen Sie im linken Menü der Anwendung unter Manage (Verwalten) den Punkt API permissions (API-Berechtigungen).
- Klicken Sie auf Add a permission (Berechtigung hinzufügen) und wählen Sie Microsoft Graph.
- Wählen Sie zwingend Application permissions (Anwendungsberechtigungen) und nicht «Delegated permissions» (Delegierte Berechtigungen).
- Suchen und ergänzen Sie die beiden folgenden Berechtigungen:
| Berechtigung | Wozu sie dient |
|---|---|
User.Read.All | Liste der Benutzer lesen (Name, E-Mail, Sprache, Kontostatus…). |
Group.Read.All | Gruppen und deren Zusammensetzung lesen. |
- Klicken Sie auf Grant admin consent for [Ihre Organisation] (Administratorzustimmung erteilen für) und bestätigen Sie. Klicken Sie bei Bedarf auf Refresh (Aktualisieren) und prüfen Sie, dass der Status «Granted» (Erteilt) anzeigt.
Unerlässlicher Schritt: Solange der Status der beiden Berechtigungen nicht «Granted» (Erteilt) anzeigt, schlägt die Synchronisierung mit einem Berechtigungsfehler fehl. Die Administratorzustimmung erfordert eine privilegierte Rolle (siehe Voraussetzungen).
5Geheimen Clientschlüssel erstellen
Der geheime Clientschlüssel ist das «Passwort» der Anwendung. Es ist der letzte technische Wert, den Sie Bexxo übermitteln.
- Öffnen Sie im linken Menü der Anwendung unter Manage (Verwalten) den Punkt Certificates & secrets (Zertifikate & Geheimnisse).
- Registerkarte Client secrets (Geheime Clientschlüssel) › New client secret (Neuer geheimer Clientschlüssel).
- Description (Beschreibung): zum Beispiel
Bexxo sync. - Expiration (Ablauf): wählen Sie eine Dauer gemäss Ihrer Richtlinie (Microsoft empfiehlt weniger als 12 Monate; maximal 24 Monate) und notieren Sie das Datum: der Schlüssel muss vor Ablauf erneuert werden.
- Klicken Sie auf Add (Hinzufügen) und kopieren Sie sofort den Value (Wert) des Schlüssels.
Sofort kopieren: Kopieren Sie die Spalte Value (Wert), nicht die Spalte «Secret ID». Der Wert wird nur ein einziges Mal im Klartext angezeigt; verlassen Sie die Seite, ohne ihn zu kopieren, müssen Sie einen neuen Schlüssel erstellen.
6Informationen an Bexxo übermitteln
Sie verfügen nun über alles Nötige. Übermitteln Sie Bexxo die untenstehenden Angaben über einen sicheren Kanal. Bexxo trägt sie in die Plattform ein, aktiviert die Synchronisierung und prüft die Verbindung.
| Zu übermittelnde Information | Wo Sie sie finden |
|---|---|
| Mandanten-ID (Tenant ID) | Schritt 3 |
| Anwendungs-ID (Client ID) | Schritt 3 |
| Geheimer Clientschlüssel (Wert) | Schritt 5 |
| Name der Synchronisierungsgruppe(n) | Schritt 1 |
Sicherheit: Übermitteln Sie den geheimen Clientschlüssel niemals per unverschlüsselter E-Mail. Nutzen Sie eine passwortgeschützte Freigabe oder den von Ihrem Bexxo-Kontakt angegebenen sicheren Kanal. Bei Bexxo wird der Schlüssel sofort nach Erhalt verschlüsselt und nie wieder angezeigt.
Nach der Inbetriebnahme
- Synchronisierte Personen verwalten: Es genügt, ein Mitglied der in Schritt 1 erstellten Gruppe hinzuzufügen oder zu entfernen. Die Änderung wird bei der nächsten Synchronisierung übernommen, ohne Ihr Zutun.
- Erneuerung des Schlüssels: Erstellen Sie vor dem notierten Ablaufdatum einen neuen Schlüssel (Schritt 5) und übermitteln Sie ihn Bexxo, um Unterbrechungen zu vermeiden.
- Geringstmögliche Rechte: Die Anwendung benötigt nur
User.Read.AllundGroup.Read.All. Fügen Sie keine weiteren Berechtigungen hinzu.
Vorgehen erstellt auf Grundlage der Microsoft-Dokumentation: Registrieren einer Anwendung bei der Microsoft Identity Platform.
Keine Antwort gefunden? Kontakt aufnehmen