Microsoft Entra ID verbinden (SSO und SCIM)

Was Sie brauchen

• Die Rolle Application Administrator oder höher im Microsoft Entra admin center (https://entra.microsoft.com).
• SSO (OpenID Connect) ist im kostenlosen Umfang von Entra ID enthalten.
• SCIM (automatische Bereitstellung) erfordert für eine App, die nicht in der Gallery steht, Entra ID P1 oder höher (enthalten etwa in Microsoft 365 E3 und E5 sowie Business Premium).
• Die Administratorin oder der Administrator der Organisation in Aiyori muss in der Ansicht für Trainer „Einstellungen“ → „Identitätsanbieter des Unternehmens verbinden“ öffnen können.

SSO und SCIM richten Sie in einer einzigen App ein. Beim Anlegen einer Enterprise application entsteht auch eine App registration mit demselben Namen. SSO richten Sie in der App registration ein, SCIM in der Enterprise application.

1. App anlegen

1. Entra admin center → Entra ID → Enterprise applications → + New application → + Create your own application.
2. Geben Sie als Namen Aiyori ein, wählen Sie Integrate any other application you don’t find in the gallery (Non-gallery) und dann Create.
3. Setzen Sie in den Properties der App Assignment required? auf Yes (nur zugewiesene Personen können sich anmelden). Für eine Kachel in My Apps tragen Sie als Home page URL https://app.aiyori.app/api/web/sso/start?code=(Organisationscode) ein. Dann Save.

2. SSO (OpenID Connect)

1. Entra ID → App registrations → All applications → öffnen Sie die in Abschnitt 1 angelegte App Aiyori.
2. Notieren Sie unter Overview die Directory (tenant) ID und die Application (client) ID.
3. Authentication → + Add a platform → Web → als Redirect-URI https://app.aiyori.app/api/web/sso/callback eintragen → Configure. Die beiden Häkchen für implicit grant setzen Sie nicht (Aiyori nutzt den Authorization Code Flow mit PKCE).
4. Certificates & secrets → Client secrets → + New client secret → Beschreibung Aiyori, Ablauf am besten 12 Monate (höchstens 24 Monate) → Add → notieren Sie den Value (er ist nur in dieser Ansicht sichtbar).
5. Token configuration → + Add optional claim → ID → email aktivieren → Add. Werden Sie gefragt, ob die Berechtigung email von Microsoft Graph eingeschaltet werden soll, aktivieren Sie sie und fügen sie hinzu.
6. API permissions können auf dem Standard User.Read bleiben (Aiyori fragt nur openid email profile an, daher ist keine Administratorzustimmung nötig).
7. Gehen Sie in der Ansicht für Trainer von Aiyori zu „Einstellungen“ → „Identitätsanbieter des Unternehmens verbinden“ → „SSO“, tragen Sie die Werte aus der Tabelle unten ein und drücken Sie „Speichern“.
8. Enterprise applications → Aiyori → Users and groups → + Add user/group: Weisen Sie eine Testperson zu.
9. Kommt diese Person von der Anmeldeseite von Aiyori → „Mit Firmenkonto anmelden“ → Organisationscode → Anmeldung bei Microsoft → zurück zu Aiyori, steht die Verbindung. Ist SCIM noch nicht verbunden, registrieren Sie die Person zuerst als Teilnehmende (mit ihrer Firmen-E-Mail-Adresse) oder schalten Sie „Noch nicht registrierte Personen bei der Anmeldung als Teilnehmende registrieren“ ein.
10. Wenn Sie bestätigt haben, dass alle hineinkommen, schalten Sie bei Bedarf „PIN-Anmeldung ausschalten und nur Firmenkonten zulassen“ ein.

Aussteller-URL (Issuer)

https://login.microsoftonline.com/(Directory (tenant) ID)/v2.0

Client-ID

Application (client) ID

Client-Secret

Der in Schritt 4 notierte Value (nicht die Secret ID)

Zulässige E-Mail-Domains

Die E-Mail-Domains Ihres Unternehmens (z. B. example.com). Sollen auch Personen mit Adressen auf onmicrosoft.com hineinkommen, tragen Sie diese Domain in eine eigene Zeile ein. Personen ohne email im Token werden über die Domain ihres UPN geprüft. Weicht Ihre UPN-Domain von der E-Mail-Domain ab, tragen Sie sie ebenfalls ein.

Läuft das Secret ab, kommt niemand mehr mit dem Firmenkonto hinein. Erstellen Sie vor dem Ablauf ein neues Secret und tauschen Sie es in Aiyori aus. Am besten tragen Sie das Datum in den Kalender Ihrer IT-Abteilung ein.

Die Aussteller common, organizations und consumers sowie Aussteller ohne abschließendes /v2.0 werden beim Speichern mit Begründung abgelehnt (sie würden Personen aus jedem Mandanten hereinlassen). Geben Sie statt der Mandanten-ID einen Mandantennamen wie contoso.onmicrosoft.com ein, wird er beim Speichern in die Form der Mandanten-ID umgewandelt.

Auch wenn Ihre UPNs von den E-Mail-Adressen abweichen, werden per SCIM hinzugefügte Personen auch über ihren UPN gefunden. email in Schritt 5 ist dann nicht zwingend nötig. Fügen Sie Personen statt per SCIM per Sammelregistrierung oder automatischer Registrierung hinzu, ergänzen Sie email in Schritt 5 (sonst werden sie unter ihrer UPN-Adresse als weitere Person registriert).

3. SCIM (automatische Bereitstellung)

1. Gehen Sie in Aiyori zu „Identitätsanbieter des Unternehmens verbinden“ → „SCIM“, geben Sie bei „Name des Schlüssels“ Entra ID ein und drücken Sie „Schlüssel erstellen“ → notieren Sie den angezeigten Schlüssel (er ist nur in dieser Ansicht sichtbar).
2. Enterprise applications → Aiyori → Provisioning → + New configuration (in der älteren Ansicht Get started → Provisioning Mode auf Automatic setzen).
3. Wählen Sie unter Admin Credentials Bearer authentication, tragen Sie als Tenant URL https://app.aiyori.app/api/scim/v2 und als Secret Token den Schlüssel aus Schritt 1 ein.
4. Test Connection → bei Erfolg Create (oder Save). Entra ID sucht dabei eine Person, die es nicht gibt, und prüft, ob eine leere Liste zurückkommt.
5. Mappings können auf dem Standard bleiben (was Sie prüfen, steht in der Tabelle unten).
6. Lassen Sie unter Settings den Scope auf Sync only assigned users and groups (Standard). Tragen Sie die Adresse Ihrer IT-Abteilung als Notification Email für den Fall ein, dass die Synchronisierung stoppt, und schalten Sie Prevent accidental deletion ein.
7. Weisen Sie unter Users and groups die Gruppen zu, die Aiyori nutzen sollen (Abteilungen, Eintrittsjahrgänge usw.).
8. Senden Sie mit Provision on demand eine Person und prüfen Sie, ob sie in der Liste der Teilnehmenden in Aiyori erscheint.
9. Start provisioning. Der erste Durchlauf dauert je nach Zahl der Personen eine Weile, danach wird etwa alle 40 Minuten synchronisiert. Die Ergebnisse stehen in den Provisioning logs.

4. Am Tag der Verbindung prüfen

• Eine zugewiesene Person kommt mit dem Firmenkonto hinein. Nicht zugewiesene Personen werden schon bei Microsoft abgewiesen (weil die Zuweisung erforderlich ist).
• Die per Provision on demand gesendete Person erscheint als Teilnehmende in Aiyori und ist in ihren Gruppen.
• Entfernen Sie die Zuweisung dieser Person und senden Sie sie erneut per Provision on demand, erscheint sie in Aiyori als „Durch das Unternehmen gesperrt“ und kann sich nicht anmelden. Stellen Sie sie wieder her, kommt sie wieder hinein.
• Das Ablaufdatum des Secrets steht im Kalender Ihrer IT-Abteilung.

So arbeitet Entra ID mit Aiyori

• Der Aussteller gilt pro Mandant. iss und tid (die Mandanten-ID) im ID-Token müssen beide zum registrierten Mandanten passen. Personen aus Mandanten anderer Unternehmen kommen daher nicht hinein.
• Entra ID sendet kein email_verified. Aiyori grenzt nach Aussteller, Mandant und zulässigen Domains ein und verwendet dann die empfangene email (oder den UPN, wenn sie fehlt).
• SCIM-PATCH-Anfragen mit "op": "Replace" (großgeschrieben, ebenso Add und Remove), dem String "False" und PATCH ohne path werden angenommen. Der Inhalt hat das Format application/scim+json.
• Personen lassen sich mit filter=userName eq (der UPN, ohne Unterscheidung von Groß- und Kleinschreibung) oder über externalId suchen. Das Hinzufügen und Entfernen von Gruppenmitgliedern (Add und Remove auf members) wird angenommen.
• Synchronisiert wird etwa alle 40 Minuten. Wenn es eilt, senden Sie Personen per Provision on demand.
• SCIM-Schlüssel laufen nicht ab. Erstellen Sie etwa einmal im Jahr einen neuen Schlüssel, tragen Sie ihn in Entra ID ein und widerrufen Sie den alten Schlüssel in Aiyori mit „Widerrufen“.
• Von den Prüfungen des Microsoft Entra SCIM Validator erfüllt Aiyori nur eine nicht: dass ein GET auf eine gelöschte Person 404 liefert. Denn Aiyori löscht beim Löschen keine Nachweise, sondern sperrt die Person. Die normale Synchronisierung sendet beim Entfernen einer Zuweisung active: false und ist davon nicht betroffen.