Anmelden mit Microsoft: ein Weg je Konto

Wer in einer Firma mit Microsoft 365 arbeitet, meldet sich morgens einmal an und hat dann Zugriff auf Mail, Kalender und Dateien. Ein eigenes Passwort für GODAV Pro wäre da ein Fremdkörper: noch eines, das man sich merken muss, und eines, das die IT nicht im Griff hat. Deshalb gibt es jetzt die Anmeldung über Microsoft Entra ID, das Benutzerverzeichnis von Microsoft. Auf der Anmeldemaske erscheint dann der Knopf „Mit Microsoft anmelden“.

Die Grundregel ist schnell erzählt: je Konto genau ein Weg, Passwort oder Microsoft, nie beide gleichzeitig. Spannender ist, was dahinter steckt: wie ein Konto mit dem Verzeichnis verknüpft wird, was beim Wechsel passiert und wie die Einrichtung abläuft.

Die Mailadresse zählt genau einmal

Beim allerersten Anmelden über Microsoft muss GODAV Pro herausfinden, welches Konto gemeint ist. Dafür nimmt es die Mailadresse, die Microsoft mitschickt, und sucht das passende Konto. Findet es keines, ist die Anmeldung zu Ende. Neue Konten entstehen dabei nie.

Ab diesem Moment spielt die Adresse aber keine Rolle mehr. GODAV Pro merkt sich stattdessen die feste Kennung, die Microsoft jedem Menschen im Verzeichnis gibt, und erkennt das Konto künftig nur noch daran. Ich hätte die Adresse dauerhaft als Schlüssel nehmen können. Adressen ändern sich aber, bei einer Heirat, bei einer Umfirmierung, und manchmal bekommt ein Nachfolger die Adresse seines Vorgängers. Mit der Adresse als Schlüssel würde sich dieser Nachfolger irgendwann am Konto des Vorgängers anmelden, samt dessen Rechten und Projekten. Mit der festen Kennung kann das nicht passieren.

Das Feld „Anmeldung“ am Konto: E-Mail und Passwort oder Single Sign-On.

Der Wechsel ist ein Einschnitt

Umgestellt wird in der Benutzerverwaltung, an einem einzigen Auswahlfeld. Dahinter passiert aber mehr, als man dem Feld ansieht:

• Alle Sitzungen des Kontos enden. Wer gerade angemeldet ist, muss sich neu anmelden, und zwar auf dem neuen Weg.
• Das Passwort verschwindet, wenn ein Konto auf Single Sign-On umgestellt wird. Es bleibt nicht als stille Hintertür liegen.
• Zurück auf Passwort geht nur mit einem neuen Passwort im selben Schritt. Sonst stünde danach ein Konto da, mit dem sich niemand anmelden kann.
• Die alte Verknüpfung wird gelöscht. Eine Kennung aus einer früheren Umstellung gehört womöglich gar nicht mehr zu diesem Menschen.

Die wichtigste Regel ist aber ein Schutz vor dem eigenen Klick: Ein aktiver Administrator lässt sich nicht auf Single Sign-On umstellen, solange dieser Weg noch nicht eingeschaltet ist. Sonst könnte man sich mit einem einzigen Auswahlfeld aus der eigenen Installation aussperren, und herausführen würde nur noch ein Eingriff direkt in die Datenbank. Das ist dieselbe Sorte Unfall, gegen die GODAV Pro auch sicherstellt, dass es immer mindestens einen aktiven Administrator gibt.

Die Einrichtung

Damit GODAV Pro mit Microsoft sprechen darf, wird die Anwendung einmal im Entra Admin Center registriert. Die Seite Einstellungen › Anmeldung führt Schritt für Schritt durch: Was ist bei Microsoft anzulegen, welche Angaben gehören in welches Feld. Für die Anmeldung selbst braucht die Registrierung keine einzige zusätzliche Berechtigung im Verzeichnis. GODAV Pro liest nur, wer sich gerade angemeldet hat, und sonst nichts.

Verzeichnis, Anwendungs-ID, Geheimnis und Rücksprungadresse. Eingeschaltet werden kann der Weg erst, wenn alles vollständig ist.

Drei Entscheidungen stecken in dieser Maske:

• Die Rücksprungadresse wird eingetragen, nicht erraten. Das ist die Adresse, auf die Microsoft nach der Anmeldung zurückschickt. Hinter einem vorgeschalteten Webserver kennt die Anwendung ihre eigene öffentliche Adresse oft gar nicht, und Microsoft prüft zeichengenau. Die Maske schlägt deshalb einen Wert vor, übernehmen muss ihn aber ein Mensch.
• Nur ein bestimmtes Verzeichnis ist erlaubt. Microsoft kennt auch Sammeleinträge, über die sich jedes beliebige Microsoft-Konto der Welt anmelden könnte. Die lehnt GODAV Pro ab.
• Es gibt einen Prüfknopf. Er testet, ob sich die Anwendung mit den eingetragenen Daten bei Microsoft ausweisen kann. Kommt von Microsoft eine Fehlermeldung zurück, zeigt GODAV Pro sie so an, wie sie ist, denn nur sie sagt, was dort nicht stimmt.

Das Geheimnis der Registrierung liegt verschlüsselt in der Datenbank. Wichtig ist ein Hinweis aus der Anleitung: Das Geheimnis hat bei Microsoft ein Ablaufdatum, und an diesem Tag steht die Anmeldung. Man sollte es sich notieren.

Außerdem

• Die Rolle eines Kontos bleibt eine Sache von GODAV Pro. Wie jemand hereinkommt, ändert nichts daran, was er darf.
• Das Microsoft-Symbol auf dem Anmeldeknopf trägt seine festen Farben. Neben dem eigenen Logo ist das die einzige Stelle mit festen Farbwerten, weil es eine fremde Marke ist.

Wie es weitergeht

Noch nicht gebaut ist das Abmelden auch bei Microsoft: Wer sich in GODAV Pro abmeldet, bleibt bei Microsoft angemeldet. Auf einem gemeinsam genutzten Rechner ist das ein Punkt, über den ich noch nachdenke. Und dieselbe Registrierung hat später eine zweite Aufgabe bekommen, nämlich Benachrichtigungen in Microsoft Teams.