Mit Microsoft Entra ID bei InfraNest anmelden

Verbinde die Microsoft-Entra-ID-Konten (früher Azure Active Directory) deines Unternehmens, damit sich dein Team mit den bereits vorhandenen Zugangsdaten bei InfraNest anmelden kann. Dies richtet sich an InfraNest-Administratoren, die die Anmeldung für ihre Organisation einrichten.

Überblick

• Ermöglicht es deinem Team, sich bei InfraNest mit den vorhandenen Microsoft-365- oder Azure-Konten anzumelden.
• Entra ID steuert den Zugriff: Sobald du eine Zuweisung verlangst, können nur die von dir ausgewählten Personen und Gruppen sich anmelden, und das Entfernen einer Person in Entra ID beendet deren Anmeldung bei InfraNest.
• Verfügbar in Enterprise-Tarifen. Die Einrichtung dauert etwa fünfzehn Minuten, aufgeteilt zwischen dem Microsoft-Entra-Admin-Center und InfraNest.
• In Entra ID benötigst du eine Rolle, die Anwendungen registrieren und Benutzer zuweisen kann, etwa Cloud Application Administrator. In InfraNest musst du Administrator sein.

NoteInfraNest verwendet die E-Mail-Adresse (bzw. den Anmeldenamen) aus dem jeweiligen Entra-Konto. Diese Adresse muss zur E-Mail-Domain gehören, die du bei der Einrichtung verifizierst. Adressen, die auf onmicrosoft.com enden, können für Single Sign-On nicht verwendet werden, da diese Domain Microsoft gehört und nicht verifiziert werden kann.

Mit einem Klick verbinden (wenn du Apps mandantenweit genehmigen kannst)

Wenn dein Konto Apps für deinen gesamten Mandanten genehmigen kann (zum Beispiel Global Administrator, Privileged Role Administrator oder Cloud Application Administrator), kannst du die App-Registrierung überspringen:

1. Gehe zu Einstellungen → Anmeldung und wähle Set up single sign-on, dann Microsoft Entra ID.
2. Wähle im Schritt zur App-Erstellung Connect Microsoft Entra ID.
3. Microsoft bittet dich, InfraNest für deine Organisation zu genehmigen — es wird nur um die Erlaubnis gebeten, Personen anzumelden (Name und E-Mail-Adresse), sonst nichts. Wähle Accept.
4. Du kehrst bei InfraNest zum Testschritt zurück. Fahre fort bei Ausprobieren.

Nach der Genehmigung erscheint InfraNest unter Enterprise applications im Entra-Admin-Center, wo du festlegst, wer sich anmelden darf (siehe Festlegen, wer sich anmelden darf). Bei dieser Methode gibt es kein Client-Geheimnis, das erneuert werden muss.

Wenn dein Mandant die Genehmigung fremder Apps nicht zulässt oder du Rollen aus Entra-Gruppen zuweisen möchtest, registriere stattdessen eine eigene App — die folgenden Schritte erklären das.

In InfraNest beginnen

1. Gehe zu Einstellungen → Anmeldung und wähle Set up single sign-on.
2. Wähle Microsoft Entra ID.
3. Prüfe die vorgeschlagene E-Mail-Domain. Sie zu verifizieren wird empfohlen, damit Personen ihre geschäftliche Adresse auf der Anmeldeseite eingeben können und neue Personen automatisch beitreten können; du kannst dies überspringen, dann nutzt dein Team den Anmeldelink deiner Organisation und tritt per Einladung bei. Ist sie nicht verifiziert, zeigt InfraNest den hinzuzufügenden DNS-Eintrag an — wähle Add it for me, wenn InfraNest diese DNS-Zone verwaltet, oder füge den Eintrag selbst hinzu und wähle Check now.
4. Kopiere im Schritt zur App-Erstellung oben die Redirect URL. Lass diesen Tab geöffnet — du kehrst gleich dorthin zurück.

Die App in Entra ID registrieren

Melde dich in einem zweiten Tab beim Microsoft-Entra-Admin-Center an.

1. Gehe zu Entra ID → App registrations und wähle New registration.
2. Fülle das Formular aus:
   • Name: InfraNest. Deine Mitarbeiter sehen diesen Namen möglicherweise bei der Anmeldung.
   • Supported account types: wähle die Einzelmandanten-Option mit dem Namen deiner eigenen Organisation.
3. Wähle Register. Die Overview-Seite der App öffnet sich.
4. Halte die Application (client) ID bereit. Die Directory (tenant) ID auf derselben Seite ist deine Mandanten-ID.

Die Redirect-URL hinzufügen

1. Öffne in der App Authentication.
2. Wähle Add Redirect URI.
3. Wähle die Kachel Web — nicht Single-page application, da InfraNest die Anmeldung über seinen Server abschließt und Microsoft dies bei einer Single-Page-Application-Redirect-URL ablehnt.
4. Füge die aus InfraNest kopierte Redirect URL ein und wähle Configure.

Eine Front-Channel-Logout-URL wird nicht benötigt.

Ein Client-Geheimnis erstellen

1. Öffne in der App Certificates & secrets, dann den Tab Client secrets, und wähle New client secret.
2. Gib eine Beschreibung ein, etwa InfraNest, und wähle den Ablaufzeitpunkt (Microsoft erlaubt höchstens 24 Monate und empfiehlt weniger als 12).
3. Wähle Add und kopiere sofort den Value des Geheimnisses — nicht die Secret ID, die nur eine Beschriftung ist. Microsoft zeigt den Wert nur einmal an.

WarningTrage das Ablaufdatum in deinen Kalender ein. Läuft das Geheimnis ab, kann sich niemand mehr über Entra ID bei InfraNest anmelden, bis du ein neues erstellst und es in InfraNest aktualisierst.

Die Anmeldeberechtigungen zulassen

1. Öffne in der App API permissions und wähle Add a permission → Microsoft Graph → Delegated permissions.
2. Wähle openid, email und profile aus und wähle Add permissions.
3. Wähle Grant admin consent for deine Organisation und bestätige.

Die Anmeldezeit senden

Wenn deine Organisation Personen bittet, sensible Aktionen durch erneutes Anmelden zu bestätigen, füge diesen Claim hinzu, damit InfraNest die Anmeldezeit prüfen kann:

1. Öffne in der App Token configuration und wähle Add optional claim.
2. Wähle den Token-Typ ID, wähle auth_time aus und wähle Add.

Ohne diesen Claim können sich Personen weiterhin anmelden, aber das Bestätigen einer sensiblen Aktion über Microsoft wird mit einem Hinweis auf diesen fehlenden Claim abgelehnt.

Die Verbindung in InfraNest abschließen

Wechsle zurück zum InfraNest-Tab, im Schritt zur App-Erstellung:

1. Füge unter Your tenant die Directory (tenant) ID ein oder gib eine Domain deines Mandanten ein.
2. Füge unter Client ID die Application (client) ID ein.
3. Füge unter Client secret den Value des Geheimnisses ein.

InfraNest liest alles Weitere direkt von Microsoft. Kann es deinen Mandanten nicht finden, wird nichts gespeichert, und die Meldung erklärt, was schiefgelaufen ist.

Festlegen, wer sich anmelden darf

Standardmäßig kann sich jedes Konto in deinem Mandanten bei einer von dir registrierten App anmelden. So beschränkst du InfraNest auf die richtigen Personen:

1. Gehe im Entra-Admin-Center zu Entra ID → Enterprise apps und öffne InfraNest.
2. Öffne Properties, setze Assignment required? auf Yes und wähle Save.
3. Öffne Users and groups, wähle Add user/group, wähle die Personen oder Gruppen aus und wähle Assign.

Weise auch dich selbst zu, sonst scheitert der Test im nächsten Schritt bereits bei Microsoft. Das Zuweisen einer ganzen Gruppe erfordert eine Microsoft-Entra-ID-P1- oder -P2-Lizenz; ohne diese weist du Personen einzeln zu. Mitglieder einer Gruppe innerhalb einer zugewiesenen Gruppe sind nicht eingeschlossen. Global Administrators können sich unabhängig von dieser Einstellung immer anmelden.

Ausprobieren

1. Wähle im Testschritt Sign in with Microsoft Entra ID to test.
2. Ein neuer Tab öffnet sich bei Microsoft — melde dich mit deinem eigenen geschäftlichen Konto an.
3. Funktioniert es, wird der Schritt grün angezeigt.

Ein Test ist erforderlich, bevor du die Verbindung einschalten kannst. Schlägt er fehl, siehe Wenn es nicht funktioniert.

Festlegen, wer hereinkommt, und einschalten

1. Wähle im Schritt Who gets in, was passieren soll, wenn sich jemand Neues anmeldet:
   • Add them straight away — vorausgewählt und sicher, sobald Assignment required? auf Yes steht. Neue Personen treten mit der Rolle unter Role for new members bei, beginnend mit Member (nur lesend).
   • Ask an admin — macht die Anmeldung jeder neuen Person zu einer Beitrittsanfrage, die ein Administrator genehmigt.
   • Do nothing — Personen benötigen weiterhin eine Einladung.
2. Wähle Switch on.

Der Status der Verbindung sollte nun lauten: Connected to Microsoft Entra ID · Email domain verified · Test sign-in passed · Switched on.

Dein Team meldet sich über die normale InfraNest-Anmeldeseite an, indem es die geschäftliche Adresse eingibt und Continue with … wählt.

Optional: Personen Rollen aus Entra ID zuweisen

InfraNest kann die Rolle jeder Person anhand von App-Rollen festlegen, die du in Entra ID erstellst und die bei jeder Anmeldung mitgeliefert werden.

In Entra ID:

1. Gehe zu Entra ID → App registrations, öffne InfraNest, dann App roles, und wähle Create app role.
2. Fülle das Formular aus, einschließlich eines wiedererkennbaren Display name, Allowed member types auf Users/Groups gesetzt, eines kurzen Value ohne Leerzeichen (etwa infranest.admins) und einer Description. Lasse Do you want to enable this app role? aktiviert.
3. Wähle Apply. Wiederhole dies für jede benötigte Rolle.
4. Gehe zu Entra ID → Enterprise apps → InfraNest → Users and groups. Wähle Add user/group, wähle Personen oder Gruppen aus, lege die App-Rolle fest und wähle Assign.

In InfraNest: Öffne die Verbindung, dann Credentials and claim names. Setze Groups claim auf roles und füge für jede App-Rolle eine Zeile hinzu, die den genauen Value (nicht den Anzeigenamen) einer Rolle zuordnet. Rollen, die Dinge ändern oder löschen können, lassen sich nicht zuordnen — weise diese Personen manuell zu.

Tipps

TipDu kannst Single Sign-On für deine gesamte Organisation verlangen, sobald es funktioniert, unter Einstellungen → Anmeldung. InfraNest verlangt zuvor mindestens einen Owner mit einem Passkey, damit ein Microsoft-Ausfall dich niemals aussperren kann.

• Start über My Apps: Füge den Anmeldelink deiner Organisation in das Feld Home page URL der App-Registrierung unter Branding & properties ein und mache die App für Benutzer sichtbar, damit Personen InfraNest über das Microsoft-My-Apps-Portal starten können.
• Client-Geheimnisse laufen ab: Erstelle vor dem Ablaufdatum ein neues Geheimnis, füge es in die Verbindung ein, wähle Replace, und lösche danach das alte Geheimnis in Entra ID.
• Umzug zu einem anderen Mandanten erfordert eine neue Verbindung, da die bestehende an den Mandanten gebunden ist, mit dem sie eingerichtet wurde.

Fehlerbehebung

• Microsoft verlangt eine Admin-Genehmigung bei der Wahl von Connect Microsoft Entra ID: Dein Konto kann Apps nicht mandantenweit genehmigen. Frage einen Administrator oder verwende eine eigene App-Registrierung.
• AADSTS50011 (Redirect-URI stimmt nicht überein): Kopiere die Redirect URL erneut aus InfraNest und füge sie unter Authentication als Web-Redirect-URI hinzu.
• Anmeldung bei Microsoft gelingt, der Test schlägt aber weiterhin fehl: Prüfe, ob die Redirect-URL unter Web aufgeführt ist, nicht unter Single-page application.
• AADSTS90094 (Admin-Zustimmung erforderlich): Erteile die Admin-Zustimmung unter API permissions und versuche es erneut.
• AADSTS50105 (Benutzer nicht zugewiesen): Weise diese Person oder eine Gruppe, in der sie direkt Mitglied ist, unter Enterprise apps → InfraNest → Users and groups zu.
• AADSTS7000215 (ungültiges Client-Geheimnis): Stelle sicher, dass du den Value des Geheimnisses eingefügt hast, nicht dessen Secret ID. Erstelle bei Bedarf ein neues Geheimnis.
• AADSTS7000222 (Client-Geheimnis abgelaufen): Erstelle ein neues Geheimnis und aktualisiere es in InfraNest.
• AADSTS700016 (Anwendung nicht gefunden): Prüfe, ob Client-ID und Mandant auf der Overview-Seite der App zusammengehören.
• AADSTS90002 (Mandant nicht gefunden): Prüfe die Mandanten-ID oder Domain auf Tippfehler.
• Jemand meldet sich bei Microsoft an, InfraNest lässt die Person aber nicht hinein: Die E-Mail-Adresse (bzw. der Anmeldename) gehört nicht zu einer Domain, die du in InfraNest verifiziert hast.
• Ein bestehender InfraNest-Benutzer wird zuerst nach seinem Passwort gefragt: Dies passiert, wenn die Entra-E-Mail-Adresse vom Anmeldenamen abweicht. Die Person kann sich einmal mit ihrem Passwort anmelden und Microsoft Entra ID über ihr Profil verbinden; danach funktioniert die Anmeldung direkt.
• Alle landen trotz zugeordneter App-Rollen in der Standardrolle: Prüfe, ob Groups claim auf roles gesetzt ist, ob du den Value (nicht den Anzeigenamen) jeder Rolle zugeordnet hast und ob der Person die App-Rolle zugewiesen wurde, nicht nur die App.
• Administratoren sehen jeden fehlgeschlagenen Versuch mit Begründung unter Einstellungen → Audit-Log.