MS Entra Integration

Diese Anleitung verbindet Kibi Connect mit Microsoft Entra ID: für die Anmeldung mit „Mit Microsoft anmelden“ und für den automatischen Abgleich von Konten, Abteilungen und Profilfeldern. Die Schritte 1 bis 4 erledigst du im Microsoft Entra Admin Center, Schritt 5 in Kibi Connect.

1. Unternehmensanwendung erstellen#

Schritt 1.1: Zu Unternehmens-Apps navigieren#

Im Microsoft Entra Admin Center suchst du in der linken Seitenleiste nach:

• Home (Haus-Symbol)

• Entra ID (erweiterter Bereich)

• Unternehmens-Apps- Klick auf diese Option

Schritt 1.2: "Neue Anwendung" klicken#

Suche auf der Unternehmens-Apps-Seite nach den Aktionsschaltflächen oben.

Schritt 1.3: "Eigene Anwendung erstellen" auswählen#

Ein Modal-Fenster öffnet sich mit mehreren Optionen. Suche nach:

• Eigene Anwendung erstellen- Klick auf diese Option

• Dies öffnet ein Seitenpanel für die Konfiguration

Schritt 1.4: Anwendungsdetails konfigurieren#

Im Seitenpanel, das sich öffnet, musst du:

• Name: Gib deinen Anwendungsname ein (z.B. Kibi demo app)

• Wichtig: Stell sicher, dass du „Integrieren Sie jede andere Anwendung, die Sie nicht in der Galerie finden (Nicht-Galerie)“ auswählst.

Schritt 1.5: Anwendungserstellung bestätigen#

Nach dem Klicken auf Erstellen wirst du zur Anwendungsübersichtsseite weitergeleitet. Bestätige, dass:

• Dein Anwendungsname im Titel erscheint

• du die Anwendungs-ID (Client-ID) sehen kannst

• Die Anwendung in deiner Unternehmens-Apps-Liste erscheint

2. App-Geheimnisschlüssel erstellen#

Schritt 2.1: Zu App-Registrierungen navigieren#

Suche in der linken Seitenleiste nach und klick auf App-Registrierungen.

• Wähle Alle Anwendungen

• Wähle deine Anwendung aus der Liste

Schritt 2.2: Auf Zertifikate und Geheimnisse zugreifen#

Suche in den Anwendungsdetails im linken Menü nach und klick auf Zertifikate und Geheimnisse.

Schritt 2.3: Neues Client-Geheimnis erstellen#

Auf der Zertifikate und Geheimnisse-Seite:

• Klick auf + Neues Client-Geheimnis

• Füge eine Beschreibung hinzu (z.B. Kibi Connect Integration)

• Wähle Ablauf (empfehlen 12 Monate oder länger)

• Klick auf Hinzufügen

Schritt 2.4: Den Geheimniswert kopieren#

WICHTIG: Nach der Erstellung des Geheimnisses siehst du den Geheimniswert nur einmal. Kopiere ihn sofort!

Warnung

Warnung: Der Geheimniswert wird versteckt, nachdem du diese Seite verlässt. Stell sicher, dass du ihn an einen sicheren Ort kopierst.

3. Anwendungsberechtigungen konfigurieren#

Schritt 3.1: Zu App-Registrierungen navigieren#

Suche in der linken Seitenleiste nach und klick auf App-Registrierungen.

• Wähle Alle Anwendungen

• Wähle deine Anwendung aus der Liste

Schritt 3.2: API-Berechtigungen#

Suche in den Anwendungsdetails im linken Menü nach und klick auf API-Berechtigungen.

Schritt 3.3: Microsoft Graph Berechtigungen hinzufügen#

Auf der API-Berechtigungen-Seite:

• Klick auf + Berechtigung hinzufügen

• Wähle Microsoft Graph

• Wähle Anwendungsberechtigungen

• Suche nach User.Read.All unter Benutzer

• Suche nach Directory.Read.All unter Verzeichnis

• Klick auf Berechtigungen hinzufügen

Schritt 3.4: Administrator-Einwilligung erteilen#

WICHTIG: Erteile der Anwendung die Administrator-Einwilligung, sonst funktioniert die Synchronisation nicht.

• Klick auf Administrator-Einwilligung erteilen

• Klick auf Ja

Schritt 3.5: Berechtigungen für Single Sign-On (Delegierte Berechtigungen)#

Falls du SSO ("Mit Microsoft anmelden") nutzen möchtest, benötigst du zusätzlich delegierte Berechtigungen:

• Klick erneut auf + Berechtigung hinzufügen

• Wähle Microsoft Graph

• Wähle diesmal Delegierte Berechtigungen (Delegated permissions)

• Suche und aktiviere folgende Berechtigungen:

• openid– OpenID Connect Anmeldung

• profile– Benutzerprofil lesen

• email– E-Mail-Adresse lesen

• User.Read– Angemeldetes Benutzerprofil lesen

Klick auf Berechtigungen hinzufügen. Erteile anschließend erneut die Administrator-Einwilligung.

3b. Redirect URI für SSO konfigurieren#

Dieser Schritt ist nur erforderlich, wenn du Single Sign-On (SSO) nutzen möchtest.

Schritt 3b.1: Umleitungs-URI eintragen#

In deiner App-Registrierung klickst du im linken Menü auf Authentifizierung (Authentication).

• Klick auf + Plattform hinzufügen (Add a platform)

• Wähle Web

• Trag folgende Redirect URI ein:

Klick auf Konfigurieren.

4. Benutzer deiner Anwendung zuweisen (Optional)#

Schritt 4.1: Zu Unternehmens-Apps navigieren#

Suche in der linken Seitenleiste nach und klick auf Unternehmens-Apps.

• Wähle deine Anwendung aus der Liste

Schritt 4.2: Auf Benutzer und Gruppen zugreifen#

Suche in den Anwendungsdetails im linken Menü nach und klick auf Benutzer und Gruppen.

Schritt 4.3: Benutzer deiner Anwendung zuweisen#

Auf der Benutzer und Gruppen-Seite:

• Klick auf + Benutzer/Gruppe hinzufügen

Schritt 4.4: Zuweisung bestätigen#

Auf der Zuweisung hinzufügen-Seite:

• Klick auf Benutzer

• Wähle die Benutzer aus, die du deiner Anwendung zuweisen möchtest

• Klick auf Auswählen

5. Kibi Connect konfigurieren#

Schritt 5.1: Microsoft Entra ID als Identitätsquelle anlegen#

Schritt 5.2: Zugangsdaten im Reiter „Verbindung“ hinterlegen#

• MS Entra Mandanten-ID

  Die Verzeichnis-ID (Tenant-ID) im Format xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx. Du findest sie im Entra Admin Center unter „Übersicht“. „common“, „organizations“ oder ein Domainname funktionieren nicht.

• Client-ID

  Die Anwendungs-ID aus deiner App-Registrierung.

• Client-Secret

  Der Geheimniswert aus Schritt 2.4.

Speichere mit Verbindungseinstellungen speichern und schalte MS Entra Integration aktivieren ein.

Schritt 5.3: Verbindung testen#

Klick auf Verbindung testen. Bei korrekten Angaben erscheint „Anmeldedaten gültig“.

Schritt 5.4: Anmeldung mit Microsoft einschalten (optional)#

Hast du die Weiterleitungs-URL aus Schritt 3b eingetragen, schalte Single Sign-On (SSO) aktivieren ein und prüfe die angezeigte Redirect URL. Auf der Anmeldeseite erscheint dann „Mit Microsoft anmelden“.

Schritt 5.5: Anmeldung und Benutzerabgleich einstellen#

• Reiter „Anmeldung“

  Wie Konten beim ersten Login zugeordnet werden – voreingestellt zuerst über die E-Mail-Adresse, dann über die Mitarbeiternummer (employeeId) für Mitarbeitende ohne Adresse. Hier bestätigst du auch, dass Entra bei jeder Anmeldung einen zweiten Faktor verlangt.

• Reiter „Benutzerabgleich“

  Der Verzeichnisabgleich wie bisher: Zeitplan, übernommene Felder, Verhalten bei deaktivierten Konten, Benachrichtigungen, „Jetzt synchronisieren“ und Benutzer ohne Entra-ID. Optional kannst du zusätzlich SCIM einrichten.

Übersicht: Was wo konfiguriert wird#

6. Automatische Gruppenzuweisung#

Kibi Connect kann Benutzer automatisch Gruppen zuweisen, basierend auf Informationen aus Microsoft Entra (Active Directory). So werden neue Mitarbeitende direkt der richtigen Abteilungs- oder Standortgruppe zugeordnet.

Schritt 6.1: Gruppen für die Zuordnung konfigurieren#

Für jede Gruppe, die automatisch befüllt werden soll, musst du das entsprechende Zuordnungsfeld setzen:

1. Navigiere zur Gruppenbearbeitung in Kibi Connect.

2. Im Bereich der Gruppeneinstellungen findest du zwei optionale Felder:

• MS Entra Abteilung: Trag hier den exakten Abteilungsnamen ein, wie er in Microsoft Entra hinterlegt ist (z.B. "Kundenservice", "Marketing").

• MS Entra Standort: Trag hier den exakten Standort ein, wie er in Microsoft Entra hinterlegt ist (z.B. "Berlin", "A13").

Schritt 6.2: Funktionsweise der automatischen Zuordnung#

Bei jeder Synchronisation mit Microsoft Entra passiert Folgendes:

• Kibi Connect liest die Abteilung und den Standort jedes Benutzers aus Microsoft Entra.

• Wenn eine Gruppe ein passendes MS Entra Abteilung oder Office Location Feld hat, wird der Benutzer automatisch dieser Gruppe zugewiesen.

• Neue Gruppen werden automatisch erstellt, wenn mindestens 2 Benutzer mit derselben Abteilung oder demselben Standort existieren.

• Bestehende Gruppenmitgliedschaften bleiben erhalten.

Schritt 6.3: Beispiel#

Angenommen, du hast folgende Struktur in Microsoft Entra:

Und in Kibi Connect erstellst du:

• Gruppe "Vertrieb" mit MS Entra Abteilung = "Vertrieb"

• Gruppe "Standort Berlin" mit MS Entra Standort = "Berlin"

Nach der Synchronisation wird Max Mustermann automatisch den Gruppen "Vertrieb" und "Standort Berlin" zugewiesen, Erika Musterfrau der Gruppe "Vertrieb" und Hans Beispiel den Gruppen "Marketing" (falls vorhanden) und "Standort Berlin".