Azure-Anwendungen
Einführung
Lucy bietet die Möglichkeit, sich mit Azure zum Import von Benutzern zu integrieren, Awareness-Schulungen über SMTP zu verteilen und das XML-Reporting-Plugin der Microsoft Graph API zu implementieren. Administratoren können mehrere Azure-Anwendungen, nach Mandant organisiert, synchronisieren, um sicherzustellen, dass Anwendungen ausschließlich für administrative Benutzer des jeweiligen Mandanten zugänglich sind.
Erstellen einer Anwendung in Azure
Siehe hier für eine Anleitung zum Einrichten einer Anwendung in Entra ID: https://learn.microsoft.com/en-us/entra/identity-platform/quickstart-register-app
Umleitungs-URIs
Lucy kann aus mehreren Gründen mit Entra ID synchronisieren. Abhängig von Ihrem Anwendungsfall müssen Sie die richtigen URIs konfigurieren:
https://example.com/oauth
https://example.com/oauth/admin
https://example.com/oauth/user
https://example.com/oauth
https://example.com/login/login.html
https://example.com/new-o365/dist/index.html
https://example.com/oauth
https://login.microsoftonline.com/common/oauth2/nativeclient
https://login.live.com/oauth20_desktop.srf
msal<application_id>://auth
Eine Anwendung zu Lucy hinzufügen
Auf dieser Seite können Sie Azure-Anwendungen in Lucy anzeigen, hinzufügen und löschen.
Um eine Anwendung hinzuzufügen, wählen Sie + Anwendung hinzufügen. Auf der folgenden Seite füllen Sie die Anwendungsdetails aus:
Dies ist der Lucy-Mandant, der mit der Azure-App-Registrierung verknüpft ist. Lucy sorgt für die Datenisolation auf Mandantenebene, was bedeutet, dass alle Daten innerhalb des jeweiligen Mandanten containerisiert sind. Dieses Setup stellt sicher, dass die App-Integration ausschließlich für administrative Benutzer des angegebenen Mandanten zugänglich bleibt. Darüber hinaus ermöglicht es Managed Security Service Providern (MSSPs) und Partnern, mehrere Azure-Tenants für ihre jeweiligen Mandanten zu integrieren und so Sicherheit und Anpassbarkeit weiter zu verbessern.
Geben Sie Ihrer App-Registrierung einen aussagekräftigen Namen, damit Sie sie an anderer Stelle in Lucy wiedererkennen können.
Sobald Ihre App registriert ist, kopieren Sie die Client-ID, das Secret und die Mandanten-ID in die entsprechenden Felder.
Nachdem Sie alle oben genannten Parameter konfiguriert haben, fahren Sie fort, indem Sie auf „Speichern“ klicken. Nach dem Speichern der Anwendung wird eine neue Schaltfläche mit der Bezeichnung „Autorisieren“ angezeigt. Klicken Sie auf diese Schaltfläche, um Ihrer Azure-Anwendung die erforderlichen Berechtigungen zu erteilen.
Diese Aktion leitet Sie zur Microsoft-Authentifizierungsseite weiter, wo Sie aufgefordert werden, im Namen Ihrer Organisation Ihre Zustimmung zu erteilen. Diese Zustimmung ist erforderlich, um die Verbindung zwischen Lucy und Azure herzustellen.
Admin-Zustimmungsfluss in Azure einrichten
Zweck
Die Integration von Drittanbieteranwendungen wie Lucy mit Azure erfordert eine sorgfältige Konfiguration, um sicherzustellen, dass die API-Berechtigungen korrekt festgelegt sind. Dies ist für Anwendungen wie Lucy von entscheidender Bedeutung, die Zugriff über den Azure-Berechtigungssatz der Lucy-Administratoren hinaus benötigen. Eine häufige Herausforderung während der Integration ist eine Berechtigungsabweichung, die zu Integrationsfehlern führt. Diese Anleitung soll Administratoren durch das Zustimmungsframework in Azure führen, damit Lucy die erforderlichen Berechtigungen erhält und gleichzeitig die Sicherheit und Integrität der Azure-Umgebung gewahrt bleibt.
Wer sollte diese Anleitung verwenden?
Diese Anleitung richtet sich an Lucy-Administratoren, denen Azure-Administratorrechte fehlen, um die organisationsweite Zustimmung zu erteilen, sowie an Situationen, in denen Lucy-Server ohne Azure-Administrator betrieben werden, um das Speichern von Azure-Anwendungskonfigurationen innerhalb von Lucy zu ermöglichen.
Das Fehlen der administrativen Zustimmung ist daran erkennbar, wenn nach dem Speichern Ihrer Anwendung in Lucy die folgende Meldung angezeigt wird:
Konfiguration
Auf Azure zugreifen
Melden Sie sich im Azure-Portal an: Besuchen Sie zunächst portal.azure.com und melden Sie sich mit Ihren Zugangsdaten an.
Einrichtung des Zustimmungsflusses
Navigieren Sie zu Microsoft Entra ID: Suchen und wählen Sie die Option „Microsoft Entra ID“, um fortzufahren.
Unternehmensanwendungen: Suchen Sie im Abschnitt Microsoft Entra ID nach „Unternehmensanwendungen“ und klicken Sie darauf.
Zustimmung und Berechtigungen: Wählen Sie in den Einstellungen für Unternehmensanwendungen „Zustimmung und Berechtigungen“ aus.
Admin-Zustimmungseinstellungen: Suchen Sie nach „Admin-Zustimmungseinstellungen“ und klicken Sie darauf, um die Einstellungen des Zustimmungsflusses zu ändern.
Zustimmungsanfragen aktivieren: Aktivieren Sie die Option „Benutzer können die Admin-Zustimmung für Apps anfordern, für die sie keine Zustimmung erteilen können“, indem Sie sie auf „Ja“ setzen. Dadurch können Nicht-Administratoren die Admin-Zustimmung für Anwendungen anfordern.
Prüfer festlegen: Legen Sie Azure-Administratoren für den Zustimmungsprüfprozess fest und wählen Sie unter Prüftyp Ihren Azure-Admin als „Benutzer“ aus.
Speichern Sie Ihre Einstellungen: Klicken Sie auf „Speichern“, um die Änderungen zu übernehmen.
Konfiguration in Lucy abschließen
Anpassungen in Lucy: Weisen Sie den Lucy-Admin an, erneut zu versuchen, die Anwendungskonfiguration zu speichern, vorzugsweise in einem Inkognito-Fenster, um Caching-Probleme zu vermeiden.
Einleitung der Zustimmungsanfrage: Der Lucy-Admin sieht einen Dialog zur Zustimmungsanfrage, mit dem er eine Zustimmungsanfrage an den Azure-Admin senden kann.
Zustimmungsfreigabeprozess
Genehmigung einleiten: Der Lucy-Admin klickt auf „Genehmigung anfordern“, um den Zustimmungsprozess zu starten.
Benachrichtigung an den Administrator: Eine Genehmigungsanfrage wird an die E-Mail des Azure-Administrators gesendet, und die Anfrage erscheint im Azure-Portal unter Unternehmensanwendungen -> Admin-Zustimmungsanfragen.
Überprüfung durch den Admin und Erteilung der Zustimmung: Der Azure-Administrator prüft die Anfrage im Portal und erteilt die Zustimmung im Namen der Organisation.
Bestätigung an den Lucy-Admin: Der Azure-Administrator sollte den Lucy-Admin über die erteilte Zustimmung informieren.
Integration abschließen
Abschließen in den Lucy-Einstellungen: Der Lucy-Admin geht in Lucy zu Allgemeine Systemeinstellungen -> Azure-Anwendungen, wählt die Anwendung aus und klickt auf „Speichern“, um mit der Integration fortzufahren.
Microsoft-Anmeldung und Token-Zuweisung: Dadurch wird der Lucy-Admin aufgefordert, sich erneut mit Microsoft-Anmeldedaten anzumelden, um ein Aktualisierungstoken für die Integration zu erzeugen.
Bindung an den Lucy-Server: Das erfolgreiche Abrufen des Aktualisierungstokens schließt die Integration ab und bindet die Azure-App-Registrierung effektiv an den Lucy-Server.
Welche API-Berechtigungen sind für diese Integration erforderlich?
API-Berechtigungen erklärt
OpenID
Delegiert
Benutzer anmelden
Nein
offline_access
Delegiert
Zugriff auf Daten aufrechterhalten
Nein
Delegiert
E-Mail-Adresse des Benutzers anzeigen
Nein
User.Read.All
Delegiert
Die vollständigen Profile aller Benutzer lesen
Ja
GroupMember.Read.All
Delegiert
Gruppenmitgliedschaften lesen
Ja
Mail.ReadWrite
Delegiert
E-Mails in Benutzerpostfächern erstellen, lesen, aktualisieren und löschen.
Nein
User.Read
Delegiert
Das Profil angemeldeter Benutzer lesen. Grundlegende Unternehmensinformationen der angemeldeten Benutzer lesen
Nein
Mail.Send
Delegiert
E-Mails im Namen von Benutzern in der Organisation senden.
Nein
OpenID
Delegiert
Benutzer anmelden
Nein
offline_access
Delegiert
Zugriff auf Daten nach der Zugriffserteilung aufrechterhalten
Nein
Delegiert
E-Mail-Adresse des Benutzers anzeigen
Nein
User.Read.All
Delegiert
Die vollständigen Profile aller Benutzer lesen
Ja
GroupMember.Read.All
Delegiert
Gruppenmitgliedschaften lesen
Ja
OpenID
Delegiert
Benutzer anmelden
Nein
Mail.Send
Delegiert
E-Mails im Namen von Benutzern in der Organisation senden.
Nein
Zuletzt aktualisiert
War das hilfreich?