Konfiguration von Microsoft Entra ID (ehemals Azure AD)

Wenn eine SharePoint Online-Site so konfiguriert ist, dass eine Multi-Faktor-Authentifizierung erforderlich ist, führt SpaceObServer eine browserbasierte Authentifizierung durch (wie von anderen Entra-ID Anwendungen bekannt).

Damit SpaceObServer Authentifizierungs-Tokens von Ihrem Entra-ID (ehemals Azure AD) Tenant erhalten kann, müssen Sie ihn zunächst in Ihrem Microsoft Entra Admin Center registrieren und ihm die Berechtigung zum Zugriff auf Office 365 SharePoint Online erteilen:

SpaceObServer bei Ihrem Mandant registrieren

Bitte beachten Sie, dass die folgenden Schritte außerhalb des Rahmens von SpaceObServer durchgeführt werden müssen. Sie können sich mit der laufenden Entwicklung von Microsoft ändern.

  1. Melden Sie sich im Microsoft Entra Admin Center an.

  2. Wählen Sie Alle Dienste in der linken Navigation und wählen Sie App-Registrierungen (oder verwenden Sie das Suchfeld in der oberen Leiste)

  3. Wählen Sie Neue Anwendungsregistrierung und erstellen Sie eine Registrierung mit Werten wie:

_images/AzureADNewRegistration.png

  • Name: Ein Anwendungsname Ihrer Wahl, um die Registrierung in Entra-ID zu identifizieren. Wir würden die Verwendung von SpaceObServer vorschlagen.

  • Umleitungs-URI: Wird manchmal auch als Antwort-URL bezeichnet. Bitte wählen Sie hier ‚Public client/nativ‘ aus. Da SpaceObServer MSAL zur Authentifizierung verwendet, verwenden Sie bitte entweder die dafür vorgesehene Redirect-URI oder definieren Sie Ihre eigene nach dem Schema „My URI“://auth, z. B. SpaceObServer://auth

  1. Sobald die Registrierung abgeschlossen ist, weist Entra-ID der App eine eindeutige Anwendungs-ID zu. Kopieren Sie diesen Wert aus dem rechten Bereich, da er für die nächsten Schritte benötigt wird.

  2. Je nachdem, welche Authentifizierungsmethode Sie verwenden möchten, konfigurieren Sie bitte die erforderlichen API-Berechtigungen wie unter Zertifikatbasierte Authentifizierung oder Benutzerauthentifizierung beschrieben. Ohne die Konfiguration der erforderlichen Berechtigungen wird der Scan nicht funktionieren.

SpaceObServer mit den Konfigurationsinformationen versorgen

Um die oben vorgenommene App-Registrierung nutzen zu können, müssen die Informationen dem SpaceObServer zur Verfügung gestellt werden. Dazu fügen Sie bitte über den Optionsdialog unter „System > Service“ die Werte für die Application ID und die Redirection URI hinzu.

_images/AzureOptions.png

Wenn Sie ein Administrator sind und diese Einstellungen für eine Gruppe innerhalb Ihres Unternehmens konfigurieren möchten, können Sie alternativ ein Gruppenrichtlinienobjekt definieren, um sie zu verteilen. Andernfalls können die Einträge auch direkt zur Registrierung hinzugefügt werden:

  1. Öffnen Sie die Gruppenrichtlinien-Verwaltungskonsole, und navigieren Sie zu dem GPO, das die Konfiguration enthalten soll, oder erstellen Sie ein neues. Öffnen Sie User Configuration > Settings > Windows-Settings > Registry.

  2. Oder öffnen Sie den Registrierungseditor, indem Sie regedit in das Suchfeld auf der Taskleiste eingeben.

  3. Fügen Sie die beiden Einträge hinzu:

    1. Für die Anwendungs-ID:

      • Hive: Verwenden Sie HKEY_LOCAL_MACHINE

      • Pfad: Auf SOFTWAREJAM SoftwareSpaceObServer setzen

      • Name: Auf „AADApplicationID“ gesetzt

      • Wert-Typ: „REG_SZ

      • Wertangaben: Geben Sie die Application ID ein, die Sie von der AAD erhalten haben

    2. Für den Redirect-URI:

      • Hive: Verwenden Sie HKEY_LOCAL_MACHINE

      • Pfad: Auf SOFTWAREJAM SoftwareSpaceObServer setzen

      • Name: Auf „AADRedirectURI“ gesetzt

      • Wert-Typ: „REG_SZ

      • Wertangaben: Geben Sie die Redirect URI mit Entra-ID konfiguriert an

Explizite Angabe des Mieters

Standardmäßig fragt SpaceObServer den SharePoint-Host ab, zu welchem Mandanten er gehört, und greift nur dann auf die Ableitung des Mandanten aus dem Hostnamen zurück, wenn der Host nicht antwortet. Konfigurieren Sie den Mandanten explizit, wenn diese Abfrage in Ihrer Umgebung blockiert ist oder wenn der Hostname nicht mit dem Mandanten übereinstimmt – ein Host wie beispielsweise contoso.sharepoint.com kann durchaus zu einem anderen Mandanten als contoso.onmicrosoft.com gehören, was eine gültige Konfiguration darstellt.

Starten Sie dazu SpaceObServer einmal mit dem Parameter /AADTenantID, gefolgt entweder von der Mandanten-ID oder der Mandantendomäne, z. B. /AADTenantID contoso.com oder /AADTenantID 00000000-1111-2222-3333-444444444444. SpaceObServer merkt sich den Wert, sodass er nur einmal konfiguriert werden muss. Starten Sie SpaceObServer als Administrator, wenn der SpaceObServer-Agent ebenfalls diesen Mandanten verwenden soll.

Probleme mit der Authentifizierung

  • Sollten Sie Probleme mit der Authentifizierung über die Zertifikatsdatei haben, stellen Sie bitte sicher, dass sowohl der ausführende Benutzer von SpaceObServer als auch der SpaceObServer Agent Lesezugriff auf die Zertifikatsdatei haben.

  • Wenn die Authentifizierung fehlschlägt und die Meldung angezeigt wird, dass die Anwendung oder der Mandant nicht gefunden werden konnte, wurde das Token höchstwahrscheinlich vom falschen Mandanten angefordert. Aktivieren Sie die Debug-Protokollierung und überprüfen Sie, welcher Mandant verwendet wird. Passen Sie anschließend AADTenantID entsprechend an.