CSSCurrent de:Microsoft Exchange Online mit OAuth2 Authentifizierung: Unterschied zwischen den Versionen

Aktuelle Version vom 29. Januar 2026, 15:57 Uhr

Einführung

Der Cryptshare Server kann E-Mails über Microsoft Exchange Online verschicken. Da Microsoft die Basic Authentifizierung für die Verbindung zur SMTP-Schnittstelle aufgekündigt hat, ist der Cryptshare Server nun in der Lage, diese Schnittstelle über eine OAuth 2.0 Authentifizierung anzusprechen.

App-Registrierung in der Microsoft Entra-Plattform

Die Einrichtungsschritte können sich jederzeit verändern

Microsoft kann den genauen Ablauf der Registrierung von Anwendungen ohne Vorankündigung ändern. Es wird empfohlen, sich mit dem aktuellen Prozess der Registrierung einer Anwendung bei der Microsoft Identity Platform vertraut zu machen.

Cryptshare for OWA bereits konfiguriert? Separate Konfiguration erforderlich!

Falls Sie bereits Cryptshare for OWA verwenden, so ist es aufgrund unterschiedlicher Berechtigungen und Prozessabläufe erforderlich, eine separate Konfiguration anzulegen.

Melden Sie sich im Microsoft Entra Admin Center an. Benutzen Sie bitte hierfür mindestens einen Account mit der Zugangsberechtigung eines Cloudanwendungsadministrators.
Wenn Sie Zugriff auf mehrere Mandanten/"Tenants"/Verzeichnisse haben, stellen Sie sicher, dass Sie den Mandanten ausgewählt haben, mit dem Sie den Cryptshare Server verwenden möchten, indem Sie auf das obere Einstellungs-Zahnrad klicken.
Benutzen Sie die Seitenleiste, um Entra ID -> App-Registrierungen zu öffnen.
Registrieren Sie eine neue Applikation über die Schaltfläche "Neue Registrierung".
Erstellen Sie Ihre neue Applikation mit den folgenden Einstellungen:
- Der Name der Applikation kann frei gewählt werden.
- Wählen Sie den Kontotypen "Nur Konten in diesem Organisationsverzeichnis (nur <Ihr Firmenname> - einzelner Mandant)"
- Setzen Sie keine Umleitungs-URI.
Sobald die Applikation registriert wurde, kopieren Sie bitte die "Anwendungs-ID (Client)" und die Verzeichnis-ID (Mandant).
Wählen Sie in der Seitenleiste der App-Registrierung den Menüpunkt "Zertifikate & Geheimnisse" aus, danach den Reiter "Geheime Clientschlüssel" und dann der Button "Neuer geheimer Clientschlüssel".
- Die Beschreibung kann frei gewählt werden.
- Wählen Sie den gewünschten Gültig Bis-Wert aus. Die maximale auswählbare Dauer beträgt zwei Jahre. Bitte beachten Sie, dass Sie nach Ablauf dieser Dauer ein neuen geheimen Clientschlüssel anlegen und im Cryptshare Server hinterlegen müssen, damit der Cryptshare Server nach Ablauf weiterhin in der Lage sein wird, E-Mails zu versenden. Wir empfehlen, einen Kalendereintrag oder eine anderweitige Erinnerung einzurichten.
- Klicken Sie dann auf den Button "Hinzufügen".
- Auf der nächsten Seite sehen Sie den erstellten geheimen Clientschlüssel. Kopieren Sie hier die Zeichenkette, die in der Spalte Wert angezeigt wird (nicht die Geheime ID). Der geheime Clientschlüssel wird nur einmalig angezeigt und ist nach dem Verlassen der Seite nicht wieder anzeigbar.
Wählen Sie als nächstes in der Seitenleiste der App-Registrierung den Menüpunkt "API-Berechtigungen" aus.
Benutzen Sie den "Berechtigung hinzufügen"-Knopf, wählen dann den Reiter "Von meiner Organisation verwendete APIs" aus und fügen Sie im Bereich Office 365 Exchange Online die Anwendungsberechtigungen SMTP.SendAsApp hinzu, sodass diese in der Liste angezeigt wird.
Klicken Sie dann auf Administratorzustimmung für <Ihr Firmenname> erteilen und bestätigen Sie mit Ja.
Wechseln Sie zum Bereich "Unternehmens-Apps" und kopieren Sie den Wert aus der Spalte Objekt-ID Ihrer neu hinzugefügten Anwendung. (Achtung! Diese Objekt-ID unterscheidet sich von der Objekt-ID, die im Menüpunkt App-Registrierungen. Die Objekt-ID aus dem Menüpunkt Unternehmens-App wird für einen der Folgeschritte benötigt.)
Fahren Sie nun mit der Konfiguration in der Exchange Online PowerShell fort.

App-Konfiguration in der Exchange Online PowerShell

Die Einrichtungsschritte können sich jederzeit verändern

Microsoft kann den genauen Ablauf der Registrierung von Anwendungen ohne Vorankündigung ändern. Es wird empfohlen, sich mit dem aktuellen Prozess der Registrierung einer Anwendung bei der Microsoft Identity Platform vertraut zu machen.

Öffnen Sie eine Powershell-Konsole auf Ihrem lokalen Windows-PC.
Installieren und verbinden Sie sich mit der Exchange Online PowerShell:
1. Die Exchange Online PowerShell Skripte sind nicht digital von Microsoft signiert worden. Daher ist es notwendig, die Ausführung von unsignierten Skripten zu erlauben: Set-ExecutionPolicy -ExecutionPolicy Bypass -Scope Process .
2. Installieren Sie die ExchangeOnlineManagement-Module: Install-Module -Name ExchangeOnlineManagement
3. Machen Sie die installierten Module in der aktuellen PowerShell-Session verfügbar: Import-module ExchangeOnlineManagement
4. Verbinden Sie sich mit Exchange Online unter Angabe Ihrer Verzeichnis-ID (Mandant) aus dem vorherigen Schritt 6: Connect-ExchangeOnline -Organization <Verzeichnis-ID>
5. Im sich öffnenden Fenster loggen Sie sich bitte bei Microsoft Entra ein.
Legen Sie einen neuen Service Principal für die Applikation an, indem Sie die Anwendungs-ID (Client) aus Schritt 6 und die Objekt-ID aus Schritt 11 verwenden: New-ServicePrincipal -AppId <Anwendungs-ID> -ObjectId <Objekt-ID>
Listen Sie dann alle existierenden Service Principals auf mit Get-ServicePrincipal | fl und suchen Sie dann den Eintrag raus, dessen AppId (Anwendungs-ID) und ObjectId (Objekt-ID) identisch zu denen sind, die im vorherigen Schritt verwendet wurden. Von diesem Eintrag benötigen Sie dann den Wert der Service-Principal-Id, der unter Sid angegeben ist.
Vergeben Sie nun die benötigten Rechte derjenigen E-Mail-Adresse, die für den Versand der Cryptshare-E-Mails verwendet werden sollen: Add-MailboxPermission -Identity "<Absender-E-Mail-Adresse>" -User <Service-Principal-ID> -AccessRights FullAccess.
Fahren Sie nun mit der Konfiguration auf dem Cryptshare Server fort.

Konfiguration auf dem Cryptshare Server

Verbinden Sie sich mit der Cryptshare Administrationsoberfläche.
Navigieren Sie in das Menü System-Einstellungen -> Mailserver.
Wählen Sie dort als SMTP-Server-Typ den Wert "Microsoft Exchange Online mit OAuth2-Authentifizierung".
Stellen Sie sicher, dass im Feld Absender E-Mail-Adresse die E-Mail-Adresse eingetragen ist, für die zuvor die Mailbox-Permission angelegt wurde.
Stellen Sie sicher, dass das Häkchen bei Verwendung individueller Absenderadressen erlauben. deaktiviert ist.
Geben Sie im Feld Directory (tenant) ID den Wert der Verzeichnis-ID (Mandant) aus dem Schritt 6 an.
Geben Sie im Feld Application (client) ID den Wert der Anwendungs-ID (Client) aus dem Schritt 6 an.
Geben Sie im Feld Client Secret den Wert des geheimen Clientschlüssels aus dem Schritt 7 an.
Klicken Sie auf Änderungen speichern.
Sie können sich eine Test-E-Mail zusenden lassen, indem Sie eine beliebige E-Mail-Adresse im Feld Testen mit E-Mail-Adresse eingeben und auf Testnachricht senden klicken.
Stellen Sie danach sicher, dass in den Policyregeln ebenfalls die gleiche Absender E-Mail-Adresse definiert ist und kein Häkchen bei Verwendung individueller Absenderadressen erlauben. gesetzt ist.

@@ Zeile 5: / Zeile 5: @@
 #Melden Sie sich im [https://entra.microsoft.com/ Microsoft Entra Admin Center] an. Benutzen Sie bitte hierfür mindestens einen Account mit der Zugangsberechtigung eines [https://learn.microsoft.com/de-de/entra/identity/role-based-access-control/permissions-reference#cloud-application-administrator Cloudanwendungsadministrators].
 #Wenn Sie Zugriff auf mehrere Mandanten/"Tenants"/Verzeichnisse haben, stellen Sie sicher, dass Sie den Mandanten ausgewählt haben, mit dem Sie den Cryptshare Server verwenden möchten, indem Sie auf das obere Einstellungs-Zahnrad klicken.[[File:EntraSettings.png|border|none]][[File:CurrentEntraDirectory.png|border|none|500px]]
-#Benutzen Sie die Seitenleiste, um '''Identität -> Anwendungen -> App-Registrierungen''' zu öffnen.[[File:EntraAppRegistrations.png|border|none]]
+#Benutzen Sie die Seitenleiste, um '''Entra ID -> App-Registrierungen''' zu öffnen.[[File:EntraAppRegistrations.png|border|none]]
 #Registrieren Sie eine neue Applikation über die Schaltfläche "Neue Registrierung".[[File:EntraNewRegistration.png|border|none|500px]]
 #Erstellen Sie Ihre neue Applikation mit den folgenden Einstellungen:[[File:OAuthEntraRegistering.png|border|none|500px]]
 #*Der Name der Applikation kann frei gewählt werden.
-#*Wählen Sie die unterstützten Kontotypen passend zu Ihrem Anwendungsfall. Je nach gewähltem Kontotyp werden Sie für das Konfigurieren des Cryptshare-Servers weitere Informationen benötigen, die nach der Registrierung der Applikation angezeigt werden.
+#*Wählen Sie den Kontotypen "Nur Konten in diesem Organisationsverzeichnis (nur <Ihr Firmenname> - einzelner Mandant)"
-#*Setzen sie eine Umleitungs-URI im Modus "Single-Page-Anwendung (SPA)". Verwenden Sie die URI, die auf der Übersichtsseite '''Zusatzprodukte -> Cryptshare for OWA''' im Cryptshare Server als '''Redirect-URI''' angezeigt wird. Diese URI kann nicht verändert werden.[[File:EntraFindRedirectUrl.png|border|none|500px]]
+#*Setzen Sie '''keine''' Umleitungs-URI.
-#Sobald die Applikation registriert wurde, kopieren Sie bitte die "Anwendungs-ID (Client)".[[File:EntraClientID.png|border|none|500px]]
+#Sobald die Applikation registriert wurde, kopieren Sie bitte die "Anwendungs-ID (Client)" und die Verzeichnis-ID (Mandant).[[Datei:Application and tenant ids.png|border|none]]
-{{InfoBox|title= |content=Für die Verwendung von MS Graph müssen dem Add-In zwei Berechtigungen erteilt werden: '''User.Read''' und '''Mail.ReadWrite'''.  Dies kann auf zwei Weisen geschehen.
+#Wählen Sie in der Seitenleiste der App-Registrierung den Menüpunkt "Zertifikate & Geheimnisse" aus, danach den Reiter "Geheime Clientschlüssel" und dann der Button "Neuer geheimer Clientschlüssel".
-* Add-In Nutzer können die Berechtigungen beim Add-In Start in einem Dialog bestätigen. In diesem Fall müssen in Azure Entra keine weiteren Einstellungen vorgenommen werden und man kann mit der Konfigurationen im Cryptshare Server fort fahren.
+#* Die Beschreibung kann frei gewählt werden.
-* Die erforderlichen Berechtigungen können vom Administrator für alle Nutzer erteilt werden. Folgende Schritte beschreiben, wie Berechtigungen vom Administrator erteilt werden können. }}
+#* Wählen Sie den gewünschten Gültig Bis-Wert aus. Die maximale auswählbare Dauer beträgt zwei Jahre. Bitte beachten Sie, dass Sie nach Ablauf dieser Dauer ein neuen geheimen Clientschlüssel anlegen und im Cryptshare Server hinterlegen müssen, damit der Cryptshare Server nach Ablauf weiterhin in der Lage sein wird, E-Mails zu versenden. Wir empfehlen, einen Kalendereintrag oder eine anderweitige Erinnerung einzurichten.
-#Wählen Sie in der Seitenleiste der App-Registrierung den Menüpunkt "API-Berechtigungen" aus.
+#* Klicken Sie dann auf den Button "Hinzufügen".
-#Benutzen Sie den "Berechtigung hinzufügen"-Knopf und fügen Sie im Bereich '''Microsoft Graph''' die delegierten Berechtigungen '''User.Read''' und '''Mail.ReadWrite''' hinzu, sodass beide in der Liste angezeigt werden.[[File:EntraAddingPermissions.png|border|none|500px]]
+#* Auf der nächsten Seite sehen Sie den erstellten geheimen Clientschlüssel. Kopieren Sie hier die Zeichenkette, die in der Spalte '''Wert''' angezeigt wird (nicht die Geheime ID). Der geheime Clientschlüssel wird nur einmalig angezeigt und ist nach dem Verlassen der Seite nicht wieder anzeigbar.[[Datei:New client secret.png|border|none|[[Datei:Client secret.png|border|none]]]]
-#Wechseln Sie zum Bereich "Unternehmensanwendungen" , wählen Sie Ihre Anwendung in der Liste, und gehen Sie zum Bereich "Sicherheit/Berechtigungen".
+# Wählen Sie als nächstes in der Seitenleiste der App-Registrierung den Menüpunkt "API-Berechtigungen" aus.
-#Benutzen Sie den "Administratorzustimmung für 'Pointsharp GmbH' erteilen" Knopf und bestätigen Sie die angefragten Berechtigungen im sich öffnenden Dialog. Somit sind die beiden Berechtigungen für alle Add-In Nutzer in Ihrem Tenant erteilt. [[Datei:EntraGrantingAdminConent.png|rand|500x500px]]
+# Benutzen Sie den "Berechtigung hinzufügen"-Knopf, wählen dann den Reiter "Von meiner Organisation verwendete APIs" aus und fügen Sie im Bereich '''Office 365 Exchange Online''' die '''Anwendungsberechtigungen''' '''SMTP.SendAsApp''' hinzu, sodass diese in der Liste angezeigt wird.[[Datei:Add permission.png|border|none|[[Datei:Office exchange 365.png|border|none]]]][[Datei:Application permissions.png|border|none]][[Datei:Smtp sendasapp.png|border|none]]
-#Fahren Sie nun mit der Konfiguration auf dem Cryptshare Server fort.
+# Klicken Sie dann auf '''Administratorzustimmung für <Ihr Firmenname> erteilen''' und bestätigen Sie mit '''Ja'''.[[Datei:Grant admin consent.png|border|none]]
-==App-Konfiguration auf dem Cryptshare Server==
+# Wechseln Sie zum Bereich "'''Unternehmens-Apps'''" und kopieren Sie den Wert aus der Spalte '''Objekt-ID''' Ihrer neu hinzugefügten Anwendung. (Achtung! Diese Objekt-ID unterscheidet sich von der Objekt-ID, die im Menüpunkt App-Registrierungen. Die Objekt-ID aus dem Menüpunkt Unternehmens-App wird für einen der Folgeschritte benötigt.)[[Datei:Object id.png|border|none]]
-Bereitgestellte OWA Add-Ins benutzen die vom Cryptshare Server bereitgestellten Informationen über die Microsoft Entra-Applikation, um Ihre Berechtigungen zu erhalten.
+# Fahren Sie nun mit der Konfiguration in der Exchange Online PowerShell fort.
-Öffnen Sie in der Administrationsoberfläche des Cryptshare Servers die Konfigurationsseite '''Zusatzprodukte -> Cryptshare for OWA'''.[[File:ServerAzureConfig.png|border|none|500px]]Tragen Sie bei Application (Client) ID die Applikations-ID ein, welche Sie vom Entra-Portal nach dem Abschluss der Registrierung ihrer Applikation erhalten haben.
+== App-Konfiguration in der Exchange Online PowerShell ==
+{{NoteBox|title=Die Einrichtungsschritte können sich jederzeit verändern|content=Microsoft kann den genauen Ablauf der Registrierung von Anwendungen ohne Vorankündigung ändern. Es wird empfohlen, [https://learn.microsoft.com/en-us/exchange/client-developer/legacy-protocols/how-to-authenticate-an-imap-pop-smtp-application-by-using-oauth#use-client-credentials-grant-flow-to-authenticate-smtp-imap-and-pop-connections sich mit dem aktuellen Prozess der Registrierung einer Anwendung bei der Microsoft Identity Platform vertraut zu machen.]}}
-Die "Authority"-Einstellung hängt von den unterstützten Kontotypen ab, die Sie bei der Registrierung Ihrer Applikation in Microsoft Entra ausgewählt haben.{{InfoBox|title=Microsoft Entra Autoritäten|content=Weitere Informationen zu Autoritäten finden Sie in der [https://learn.microsoft.com/de-de/entra/identity-platform/msal-client-application-configuration offiziellen Microsoft-Dokumentation.]}}
+# Öffnen Sie eine Powershell-Konsole auf Ihrem lokalen Windows-PC.
-*Sie haben "Nur Konten in diesem Organisationsverzeichnis (Einzelner Mandant)" ausgewählt: Wählen Sie "Tenant-spezifisch" aus, und fügen Sie Ihre Mandants-ID in das Textfeld ein. Sie können Ihre Mandants-ID auf der Übersichtsseite vom Microsoft Entra Identity Portal einsehen.[[Datei:EntraTenantId.png|border|none|500px]]
+# Installieren und verbinden Sie sich mit der Exchange Online PowerShell:
-*Sie haben "Konten in einem beliebigen Organisationsverzeichnis (beliebiger Microsoft Entra ID-Mandant – mandantenfähig)" ausgewählt: Wählen Sie "Benutzerdefiniert" aus, und fügen anschließend ''<nowiki>https://login.microsoftonline.com/organizations/</nowiki>'' in das Textfeld ein.
+## Die Exchange Online PowerShell Skripte sind nicht digital von Microsoft signiert worden. Daher ist es notwendig, die Ausführung von unsignierten Skripten zu erlauben: <code>Set-ExecutionPolicy -ExecutionPolicy Bypass -Scope Process</code> .
-*Sie haben "Konten in einem beliebigen Organisationsverzeichnis (beliebiger Microsoft Entra ID-Mandant – mandantenfähig) und persönliche Microsoft-Konten (z. B. Skype, Xbox)" ausgewählt: Wählen Sie "<nowiki>https://login.microsoftonline.com/common</nowiki>" aus.
+## Installieren Sie die ExchangeOnlineManagement-Module: <code>Install-Module -Name ExchangeOnlineManagement</code>
-*Sie haben "Nur persönliche Microsoft-Konten" ausgewählt: Wählen Sie "Benutzerdefiniert" aus, und fügen anschließend ''<nowiki>https://login.microsoftonline.com/consumers/</nowiki>'' in das Textfeld ein.
+## Machen Sie die installierten Module in der aktuellen PowerShell-Session verfügbar: <code>Import-module ExchangeOnlineManagement</code>
-'''Stellen Sie sicher, dass Sie ihre Änderungen speichern, bevor Sie das Webinterface schließen.'''
+## Verbinden Sie sich mit Exchange Online unter Angabe Ihrer Verzeichnis-ID (Mandant) aus dem vorherigen Schritt 6: <code>Connect-ExchangeOnline -Organization <Verzeichnis-ID></code>
+## Im sich öffnenden Fenster loggen Sie sich bitte bei Microsoft Entra ein.
+# Legen Sie einen neuen Service Principal für die Applikation an, indem Sie die Anwendungs-ID (Client) aus Schritt 6 und die Objekt-ID aus Schritt 11 verwenden: <code>New-ServicePrincipal -AppId <Anwendungs-ID> -ObjectId <Objekt-ID></code>
+# Listen Sie dann alle existierenden Service Principals auf mit <code>Get-ServicePrincipal | fl</code> und suchen Sie dann den Eintrag raus, dessen AppId (Anwendungs-ID) und ObjectId (Objekt-ID) identisch zu denen sind, die im vorherigen Schritt verwendet wurden. Von diesem Eintrag benötigen Sie dann den Wert der Service-Principal-Id, der unter '''Sid''' angegeben ist.
+# Vergeben Sie nun die benötigten Rechte derjenigen E-Mail-Adresse, die für den Versand der Cryptshare-E-Mails verwendet werden sollen: <code>Add-MailboxPermission -Identity "<Absender-E-Mail-Adresse>" -User <Service-Principal-ID> -AccessRights FullAccess</code>.
+# Fahren Sie nun mit der Konfiguration auf dem Cryptshare Server fort.
+==Konfiguration auf dem Cryptshare Server==
+[[Datei:Oauth2 setting.png|mini]]
+#Verbinden Sie sich mit der Cryptshare Administrationsoberfläche.
+#Navigieren Sie in das Menü System-Einstellungen -> Mailserver.
+#Wählen Sie dort als '''SMTP-Server-Typ''' den Wert "'''Microsoft Exchange Online mit OAuth2-Authentifizierung'''".
+#Stellen Sie sicher, dass im Feld '''Absender E-Mail-Adresse''' die E-Mail-Adresse eingetragen ist, für die zuvor die Mailbox-Permission angelegt wurde.
+#Stellen Sie sicher, dass das Häkchen bei '''Verwendung individueller Absenderadressen erlauben.''' deaktiviert ist.
+#Geben Sie im Feld '''Directory (tenant) ID''' den Wert der '''Verzeichnis-ID (Mandant)''' aus dem Schritt 6 an.
+#Geben Sie im Feld '''Application (client) ID''' den Wert der '''Anwendungs-ID (Client)''' aus dem Schritt 6 an.
+#Geben Sie im Feld '''Client Secret''' den Wert des '''geheimen Clientschlüssels''' aus dem Schritt 7 an.
+#Klicken Sie auf '''Änderungen speichern'''.
+#Sie können sich eine Test-E-Mail zusenden lassen, indem Sie eine beliebige E-Mail-Adresse im Feld '''Testen mit E-Mail-Adresse''' eingeben und auf '''Testnachricht senden''' klicken.
+#Stellen Sie danach sicher, dass in den Policyregeln ebenfalls die gleiche '''Absender E-Mail-Adresse''' definiert ist und kein Häkchen bei '''Verwendung individueller Absenderadressen erlauben.''' gesetzt ist.