Microsoft Entra ID

Microsoft Entra ID ist der verfügbare Identitätsanbieter für Besucher.

Erstellen Sie die Entra-Anwendung

1. Registrieren Sie eine vertrauliche Webanwendung in Microsoft Entra ID.
2. Fügen Sie die im Anbieterformular angezeigte Ciele-Callback-URL hinzu.
3. Erstellen Sie einen geheimen Clientschlüssel.
4. Notieren Sie die Mandanten-ID und die Client-ID.

Verwenden Sie die genaue Callback-URL. Ein anderes Schema, ein anderer Host, ein anderer Pfad oder ein anderer Port verhindert die Autorisierungsantwort.

Ciele konfigurieren

1. Öffnen Sie Settings.
2. Öffnen Sie die Konfiguration für die Besucherauthentifizierung.
3. Wählen Sie Microsoft Entra ID.
4. Geben Sie die Mandanten-ID ein.
5. Geben Sie die Client-ID ein.
6. Geben Sie das Client-Geheimnis ein.
7. Wählen Sie einen Identity claim, wenn Funktionen pro Besucher einen erfordern.
8. Speichern Sie die Verbindung.

Ciele verwendet den Autorisierungscode-Flow mit Proof Key for Code Exchange (PKCE).

Wählen Sie einen Identitätsanspruch aus

Der Standardwert ist Off, subject only. Ciele speichert dann das undurchsichtige OIDC-Subjekt ohne eine für Menschen lesbare Kennung.

Wählen Sie Email address oder Username (preferred_username claim), wenn ein Assistent angemeldete Besucher mit benutzerbezogenen Datensätzen abgleichen muss.

Ciele verifiziert den ausgewählten Anspruch innerhalb des signierten ID-Tokens. Der Server überträgt ihn in die Konversations- und Laufzeitphase.

Ein Anforderungstext oder eine Eingabe des Modellierungstools können den verifizierten Wert nicht ersetzen. Ein fehlender konfigurierter Anspruch deaktiviert Funktionen, die ihn für diesen Besucher erfordern.

Stellen Sie die Entra-Verbindung erneut her, um den Anspruch zu ändern. Ciele fordert die Bereiche „Profile“ und „E-Mail“ an, wenn ein Anspruch aktiviert ist.

Erforderliche Servereinstellung

Legen Sie APP_ENCRYPTION_KEY für die Ciele-Bereitstellung fest. Ciele verwendet diesen Schlüssel, um das Authentication-Gate-Cookie und gespeicherte Geheimnisse zu schützen.

Testen Sie die Verbindung

1. Authentifizierung für einen Entwurfs-Assistenten anfordern.
2. Öffnen Sie die Vorschau in einer Browser-Sitzung, in der Sie abgemeldet sind.
3. Schließen Sie die Microsoft-Anmeldung ab.
4. Vergewissern Sie sich, dass der Chat verfügbar wird.
5. Vergewissern Sie sich, dass eine andere Organisation das Gate-Cookie nicht wiederverwenden kann.
6. Starten Sie eine Konversation und vergewissern Sie sich, dass im Posteingang der angemeldete Benutzer angezeigt wird.

Testen Sie eine auf Benutzerebene beschränkte Entität, wenn ein Identitätsanspruch aktiviert ist. Vergewissern Sie sich, dass ein anderer angemeldeter Besucher die Datensätze des ersten Besuchers nicht abrufen kann.