Gemeinsame Microsoft-Anmeldung

Kleine Teams ohne eigene Azure-Administration können die Microsoft-Anmeldung auch ohne eigene Anwendungsregistrierung nutzen. Statt Ihrer eigenen Anwendung kommt dann die des Herstellers zum Einsatz.

Der Preis: eine einmalige Zustimmung Ihrer IT und etwas weniger Kontrolle.

Welchen Weg soll ich nehmen?

Frage	Eigene Registrierung	Gemeinsame Anmeldung
Ihre IT sperrt die Zustimmung für Anwendungen Dritter	erforderlich	funktioniert nicht
Sie wollen eine eigene Regel für den Wechsel von Zugangsdaten	erforderlich	–
Sie wollen nachvollziehen, welche Anwendung auf Ihre Konten zugreift	bevorzugt	eingeschränkt
Sie haben niemanden mit Azure-Rechten im Team	aufwendig	geeignet
Sie wollen in wenigen Minuten fertig sein	–	geeignet
Sie haben mehr als etwa 50 Personen	bevorzugt	eingeschränkt

Im Zweifel: erst die gemeinsame Anmeldung ausprobieren, bei Bedarf später auf die eigene Registrierung umstellen. Der Umstieg ist unkompliziert, und beide Wege dürfen nebeneinander bestehen — die eigene Registrierung hat immer Vorrang.

Voraussetzungen

• Sie sind Eigentümer oder Administrator.
• Mindestens eine Domain ist verifiziert.
• Ihre IT duldet die einmalige Zustimmung für die Anwendung des Herstellers.

Einschalten

1. Administration → Enterprise SSO öffnen und zur Karte Gemeinsame Microsoft-Anmeldung gehen.
2. Sicherstellen, dass oben mindestens eine Domain verifiziert ist — sonst ist der Schalter gesperrt.
3. Den Schalter umlegen. Die Einstellung wird sofort gespeichert.

Ab jetzt wird jede Person aus einer verifizierten Domain, für die kein eigener Identitätsanbieter hinterlegt ist, zu Microsoft geleitet und nach erfolgreicher Anmeldung aufgenommen.

Die Einschränkung auf ein Verzeichnis

In der Karte gibt es zusätzlich ein Feld, mit dem sich die Anmeldung auf ein bestimmtes Microsoft-Verzeichnis begrenzen lässt.

Lassen Sie dieses Feld im Regelfall leer. Die Domain-Verifizierung ist bereits der Besitznachweis. Die zusätzliche Einschränkung nützt nur, wenn Ihr Verzeichnis mehrere Domains beherbergt und Sie hier nur eine davon verifiziert haben.

Und sie erfordert eine zusätzliche Einrichtung am Identitätsdienst, die standardmäßig nicht vorhanden ist. Ohne diese schlägt danach jede Anmeldung über diesen Weg stumm fehl — die Betroffenen landen wortlos auf der Einstiegsseite. Sprechen Sie vorher mit dem Habicht-Support.

Wie sich die Anmeldung für Ihre Leute anfühlt

Es gibt keine Auswahlliste von Anbietern. Stattdessen:

1. E-Mail-Adresse eingeben und Weiter.
2. Im Hintergrund wird entschieden:
   • eigener Anbieter für diese Domain → dorthin,
   • gemeinsame Anmeldung erlaubt → zu Microsoft,
   • keines von beidem → Anmeldung mit Passwort.

Beim ersten Menschen aus Ihrem Verzeichnis erscheint der Zustimmungsbildschirm von Microsoft. Danach nicht mehr.

Für Konten ohne Firmen-Domain gibt es weiterhin den Weg über die Anmeldung mit Passwort.

Was dieser Weg nicht kann

• Die Zustimmung umgehen. Sperrt Ihre IT-Richtlinie sie, funktioniert der Weg nicht. Dann brauchen Sie die eigene Registrierung.
• Ihr eigenes Erscheinungsbild auf dem Zustimmungsbildschirm. Dort steht der Name der Hersteller-Anwendung, nicht Ihrer. Wem das wichtig ist, nimmt die eigene Registrierung.
• Rollen oder Gruppen übernehmen. Wie beim anderen Weg gilt die Standardrolle.
• Offboarding. Deaktivierungen in Ihrem Verzeichnis werden nicht erkannt.

Wenn es hakt

Symptom	Ursache und Abhilfe
Der Schalter ist grau	Keine verifizierte Domain.
Microsoft verlangt eine Genehmigung	Ihr Verzeichnis erlaubt keine Zustimmung durch Einzelne — eine berechtigte Person muss sie einmalig erteilen.
Nach der Anmeldung landet die Person auf der Einstiegsseite	Domain nicht verifiziert, Schalter aus, oder die oben beschriebene Einschränkung ist gesetzt, ohne dass die nötige Einrichtung besteht.
Eine andere Organisation beansprucht Ihre Domain	Es gilt, wer zuerst verifiziert. Wenden Sie sich an den Habicht-Support.
Eigener Anbieter und gemeinsame Anmeldung sind beide aktiv	Zulässig und unkritisch — der eigene Anbieter gewinnt.

Sicherheit und Datenschutz

• Verarbeitet werden nur Identitätsdaten: Adresse, Name und die Kennung Ihres Verzeichnisses aus einem signierten Token. Keine Postfach-Inhalte, keine Kalender, keine weitergehenden Berechtigungen.
• Die Zustimmung beim ersten Anmelden umfasst ausschließlich die Standard-Identitätsbereiche.
• Sie erhalten kein Client-Secret und müssen keines pflegen — es liegt beim Hersteller und wird dort regelmäßig gewechselt.
• Die Domain-Verifizierung bleibt trotzdem Pflicht. Sie verhindert, dass jemand anderes Ihre Domain beansprucht.
• Jede automatische Aufnahme wird protokolliert und ist für Sie einsehbar.