Microsoft Entra für Anmeldung und Verzeichnis verbinden

Voraussetzungen prüfen

Sie benötigen die Portal-Rolle Owner oder Admin, die freigeschaltete Funktion Anmeldung & Verzeichnis, eine mit AUTARQ ID verknüpfte Organisation und eine Microsoft-Administration, die die erforderliche Zustimmung erteilen und die Enterprise-Anwendung konfigurieren darf. Wählen Sie für Chat-Zugang eine vorhandene Chat-Vertragszeile mit Kapazität.

Die Unternehmensanmeldung ist von Outlook- oder SharePoint-Verbindungen innerhalb von Chat getrennt. Dafür verwenden Sie Apps und Verbindungen.

Organisation verbinden

Owner und Admins einer Organisation können das Microsoft Entra des Unternehmens unter Organisation → Anmeldung & Verzeichnis mit AUTARQ ID verbinden. Der Abschnitt erscheint nur, wenn die Funktion für Ihre Umgebung aktiviert ist. Danach werden Personen, die eine Adresse auf einer Ihrer verifizierten Domains eingeben und keine eigene AUTARQ-ID-Anmeldung haben, zu Ihrem Entra weitergeleitet.

1. Administratorzustimmung erteilen. Melden Sie sich mit einem Microsoft-Konto Ihres Unternehmens bei der Verbindungs-App von AUTARQ an und genehmigen Sie den Lesezugriff auf Ihre verifizierten Domains. Verwenden Sie eine Microsoft-Administration, die eine mandantenweite Zustimmung erteilen darf. AUTARQ übernimmt den Mandanten aus der signierten Bestätigung von Microsoft, nie aus einer Eingabe.
2. Verifizierte Domains lesen. Nur von Ihrem Mandanten verifizierte Domains können geleitet werden.
3. Unternehmensanwendung in Entra anlegen mit SAML-Single-Sign-On, mit Bezeichner (Entitäts-ID), Antwort-URL und Name-ID (user.objectid, persistent) aus dem Assistenten, und die Personen zuweisen, die sich anmelden dürfen.
4. App-Verbundmetadaten-URL einfügen. Sie muss zu dem Mandanten gehören, für den Sie zugestimmt haben; andernfalls wird nichts verbunden.
5. Routing-Domains. Jede verifizierte Domain wird als zugeordnet, wartet auf Operator oder Konflikt aufgeführt. Domains von AUTARQ-Mitarbeitenden warten auf die einmalige Freigabe durch einen AUTARQ-Administrator. Eine Domain, die bereits für eine andere Organisation geleitet wird, verschiebt AUTARQ nie automatisch; wenden Sie sich an den Support.
6. Standard-Vertragsposition für Autarq Chat wählen und Bereitstellungs-Token erstellen. Aus Entra bereitgestellte Personen erhalten auf dieser Position die einfache Rolle User; Ihr Verzeichnis vergibt nie Chat-Administration. Das Token wird genau einmal angezeigt, kopieren Sie es also sofort. Sie können jederzeit ein neues erstellen; das alte wird dadurch ungültig.

Das Trennen beendet die Anmeldung über Ihr Entra und deren Sitzungen, löst Ihre Routing-Domains und widerruft das Bereitstellungs-Token.

Wenn Sie dieselbe Organisation später wieder verbinden, bleiben alle bereitgestellten Personen erhalten. Verbinden Sie denselben Entra-Tenant mit einer anderen Organisation, ziehen die Personen nicht mit um: Wer von der ersten Organisation bereitgestellt wurde, behält dort seine AUTARQ ID und erscheint in der neuen als Konflikt. Wenden Sie sich in diesem Fall an den AUTARQ-Support.

Personen aus Entra bereitstellen

Öffnen Sie in der Unternehmensanwendung Bereitstellung, stellen Sie den Modus auf automatisch und tragen Sie die in Schritt 6 angezeigte Tenant-URL und das geheime Token ein. Ordnen Sie in den Attributzuordnungen das Entra-Attribut objectId dem Attribut externalId zu; ohne diese Zuordnung wird niemand bereitgestellt. Weisen Sie die Personen oder Gruppen zu, die Zugriff erhalten sollen. Klicken Sie anschließend auf Bereitstellung starten; vorher sendet Entra nichts. Entra sendet die zugewiesenen Personen in regelmäßigen Zyklen an AUTARQ, sofort mit Bereitstellung bei Bedarf.

• Eine Person, deren E-Mail-Adresse auf einer Ihrer Routing-Domains liegt, erhält eine AUTARQ ID ohne Passwort und ohne E-Mail von AUTARQ, wird Mitglied Ihrer Organisation und bekommt auf der Standardposition einen Platz mit der Rolle User. Sie öffnet Autarq Chat mit der Firmenanmeldung beim ersten Klick.
• Pflegen Sie Vor- und Nachnamen der Personen in Entra. Wer keine hat, wird bei der ersten Anmeldung einmal nach dem Namen gefragt.
• Eine Adresse außerhalb Ihrer Routing-Domains wird abgelehnt, der Grund erscheint im Bereitstellungsprotokoll von Entra. Es wird nichts angelegt.
• Ist auf der Standardposition kein Platz frei, wird die Person trotzdem aufgenommen und wartet ohne Platz.
• Wer bereits eine AUTARQ ID hat und schon Mitglied Ihrer Organisation ist, behält dieses Konto, seine Rollen und seinen Platz und erhält zusätzlich die Anmeldung über Entra.
• Wer eine AUTARQ ID hat, aber kein Mitglied ist, wird nie stillschweigend verknüpft. Die Person wird als Konflikt vermerkt; sobald sie Ihrer Organisation über eine Einladung beitritt, verknüpft der nächste Bereitstellungsdurchlauf sie ohne weiteres Zutun.

Wenn Personen gehen oder zurückkehren

• In Entra entfernt oder deaktiviert. Die Person verlässt Ihre Organisation in AUTARQ ID, ihr Platz wird freigegeben; Autarq Chat weist sie bei der nächsten Anfrage ab. Eine von AUTARQ angelegte Person verliert in allen Sitzungen den Zugang zu ihrer AUTARQ ID, auch in Offline-Sitzungen. Wer bereits eine eigene AUTARQ ID hatte, behält sie samt Passwort für andere Organisationen; nur die Verknüpfung mit Ihrem Entra wird entfernt. Der frei gewordene Platz geht an die Person, die am längsten ohne Platz wartet.
• Portal-Mitglieder. Ein Mitglied, das nicht Inhaber ist, wird zusätzlich über die normale Mitgliederentfernung aus der Organisation entfernt. Ein Inhaber wird nie automatisch entfernt: Die Organisation wird mit „Inhaber hat das Verzeichnis verlassen” markiert, Ihre Inhaber und Administratoren erhalten eine Benachrichtigung, und die Inhaberschaft muss von einer Person übertragen werden.
• Erneut zugewiesen. Wird die Person in Entra wieder aktiviert, erhält sie die Mitgliedschaft in der AUTARQ-ID-Organisation und, falls einer frei ist, einen Platz zurück. Die Portal-Mitgliedschaft stellt das nie wieder her, und eine Deaktivierung durch einen Administrator in AUTARQ hebt es nie auf.
• In Entra gelöscht. Eine von AUTARQ angelegte Person wird über den geprüften Löschablauf gelöscht und abgewiesen, wenn Entra sie erneut bereitstellt: Im Bereitstellungsprotokoll von Entra erscheint ein Konflikt, bis ein AUTARQ-Administrator den Löscheintrag aufhebt. Wer eine eigene AUTARQ ID hatte, wird nur entkoppelt, nie gelöscht.

Anmeldepflicht

Der Schalter Anmeldung über Entra verlangen ist standardmäßig an. Solange er an ist, können Personen, deren Adresse auf einer Ihrer Routing-Domains liegt, in Ihrer Organisation und in deren Autarq Chat nur mit einer Sitzung arbeiten, die über Ihr Entra zustande kam. Wer sich stattdessen mit einem AUTARQ-ID-Passwort angemeldet hat, wird einmal zu Ihrem Entra geleitet und kann danach weiterarbeiten. Ihre anderen Organisationen sind davon nicht betroffen, ebenso wenig Mitglieder, deren Adresse nicht auf einer Routing-Domain liegt. Sitzungen, die über Ihr Entra zustande kamen, enden 12 Stunden nach der Anmeldung; wer in Entra entfernt wird, verliert den Zugang also noch am selben Tag.

Eine Adresse auf einer Routing-Domain kann mit Person hinzufügen nicht eingeladen werden: weisen Sie die Person in Entra zu. Die einzige Ausnahme ist Portal-Zugang geben bei einer von Entra bereitgestellten Person, siehe Personen. Das Ausschalten der Pflicht oder das Trennen hebt sie für die Organisation und für Autarq Chat auf.

Verbindung prüfen

Prüfen Sie den Verbindungszustand und die zugeordneten Domains. Provisionieren Sie eine autorisierte Testperson über die bedarfsgesteuerte Aktion in Entra. Prüfen Sie ihren Eintrag unter Personen, den Platz und die Unternehmensanmeldung. Ein Verbindungsstatus allein belegt weder Provisionierung noch Chat-Zugang.

Die Organisationsseite meldet gegebenenfalls eine ausbleibende Provisionierung oder eine Warnung zu Routing-Domains. Prüfen Sie die Entra-Provisionierungsprotokolle und kontaktieren Sie den Support mit Fehlermeldung und Zeitpunkt. Geben Sie den Provisionierungstoken nicht weiter.