gentesty | Single Sign-On mit Microsoft Entra ID

Was wohin gehört

Die Einrichtung ist ein kurzes Hin und Her zwischen zwei Admin-Oberflächen. Öffnen Sie gentesty und Entra nebeneinander und übertragen Sie diese Werte.

Wert	Kopieren aus	Einfügen in
Redirect URI	gentesty: Single Sign-On, unten in der Provider-Karte	Entra: App-Registrierung, Authentifizierung
Abmelde-URI	Die Redirect URI mit angehängtem `/logout_response`	Entra: App-Registrierung, Authentifizierung
Directory (tenant) ID (Verzeichnis-ID)	Entra: App-Registrierung, Übersicht	gentesty: Tenant-ID
Application (client) ID (Anwendungs-ID)	Entra: App-Registrierung, Übersicht	gentesty: Client ID
Wert des Client Secrets	Entra: Zertifikate & Geheimnisse	gentesty: Client Secret
Object ID der Gruppe (Objekt-ID)	Entra: Gruppen, Ihre Gruppe, Übersicht	gentesty: Rollenzuordnung, Externe Gruppe

Die Screenshots zeigen das Azure-Portal auf Englisch, mit der Beispielorganisation Contoso und Platzhalter-IDs. Die deutschen Bezeichnungen stehen jeweils in Klammern.

Bevor Sie beginnen

Ihr gentesty-Workspace nutzt das Enterprise-Abo.
Sie haben in gentesty die Rolle Eigentümer oder Workspace Administrator.
Sie dürfen in Microsoft Entra Anwendungen registrieren und die Administratorzustimmung erteilen, zum Beispiel als Anwendungsadministrator oder Cloudanwendungsadministrator.
Für jede Personengruppe, die dieselbe gentesty-Rolle erhalten soll, gibt es in Entra eine Sicherheitsgruppe.
Ihre Entra-Benutzer haben eine E-Mail-Adresse im Profil. gentesty erkennt Personen daran.

01 Redirect URI kopieren

gentesty Account › User Management › Single Sign-On

Feld	Wert
SSO aktivieren	Ein
Provider-Vorlage	Microsoft Entra ID
Provider-Alias	`entra`, von der Vorlage vorbelegt. Kleinbuchstaben, keine Leerzeichen. Der Alias ist Teil der Redirect URI, eine spätere Änderung muss auch in Entra nachgeführt werden. Mit `entra` zeigt die Anmeldeseite das Microsoft-Logo.
Anzeigename	Beschriftung der Anmeldeschaltfläche, vorbelegt mit Mit Microsoft anmelden.

Kopieren Sie die Redirect URI unten in der Karte. Sie erscheint, sobald ein Provider-Alias eingetragen ist, und sieht so aus:

https://keycloak.gentesty.com/realms/<workspace>/broker/entra/endpoint

Lassen Sie die Felder unter Synchronisation & Claims so, wie die Vorlage sie ausgefüllt hat. Lassen Sie diesen Tab offen, Sie schließen das Formular in Schritt 9 ab.

gentesty-Felder Synchronisation und Claims mit hervorgehobener Redirect URI — Vorgabewerte für Microsoft Entra ID und die Redirect URI, die Sie kopieren.

02 gentesty als Anwendung registrieren

Microsoft Entra Microsoft Entra ID › App registrations (App-Registrierungen) › New registration (Neue Registrierung)

Feld	Wert
Name	`Gentesty SSO` oder ein Name, den Ihre Benutzer wiedererkennen.
Supported account types (Unterstützte Kontotypen)	Single tenant only (Nur ein Mandant)
Redirect URI (Umleitungs-URI)	Plattform Web, dann die Redirect URI aus Schritt 1 einfügen.

Klicken Sie auf Register (Registrieren). Wählen Sie Web, nicht Single-page application, sonst schlägt die Anmeldung fehl.

Formular Register an application mit Single tenant und hervorgehobener Web-Umleitungs-URI — Azure-Portal. Dieselbe Maske gibt es im Entra Admin Center unter entra.microsoft.com.

03 Abmelde-URI hinzufügen

Microsoft Entra Ihre App › Authentication (Authentifizierung) › Add Redirect URI

Fügen Sie eine zweite Web-Umleitungs-URI hinzu: dieselbe Adresse mit /logout_response am Ende. In der neuen Ansicht Authentication (Preview) fragt Entra nach Add Redirect URI zuerst nach der Plattform: Wählen Sie bei Web die Option Select, fügen Sie die URI ein und klicken Sie auf Configure.

https://keycloak.gentesty.com/realms/<workspace>/broker/entra/endpoint/logout_response

Wenn sich jemand bei gentesty abmeldet, schickt Microsoft die Person über diese Adresse zurück. Fehlt sie, kommt die Person nicht zurück und die gentesty-Sitzung bleibt offen.

Seite Authentication mit beiden Web-Umleitungs-URIs — Beide URIs müssen vom Typ Web sein.

04 Tenant-ID und Client-ID notieren

Microsoft Entra Ihre App › Overview (Übersicht)

Notieren Sie die Application (client) ID (Anwendungs-ID (Client)) und die Directory (tenant) ID (Verzeichnis-ID (Mandant)). Die Object ID brauchen Sie hier nicht.

App-Übersicht mit hervorgehobener Application client ID und Directory tenant ID — Fahren Sie mit der Maus über einen Wert, um die Kopierschaltfläche zu sehen.

05 Client Secret erstellen

Microsoft Entra Ihre App › Certificates & secrets (Zertifikate & Geheimnisse) › Client secrets

Klicken Sie auf New client secret (Neuer geheimer Clientschlüssel).
Geben Sie eine Beschreibung wie Gentesty SSO ein und wählen Sie eine Laufzeit gemäß Ihrer Sicherheitsrichtlinie.
Klicken Sie auf Add (Hinzufügen) und kopieren Sie sofort den Value (Wert).

Panel Add a client secret mit Beschreibung und Laufzeit — Beschreibung und Laufzeit.

Liste der Client Secrets mit hervorgehobener Spalte Value — Aus der Spalte Value kopieren. Nach dem Verlassen der Seite ist der Wert maskiert.

06 Name, E-Mail und Gruppen an gentesty senden

Microsoft Entra Ihre App › Token configuration (Tokenkonfiguration)

Optionale Ansprüche. Klicken Sie auf Add optional claim (Optionalen Anspruch hinzufügen), wählen Sie den Tokentyp ID, markieren Sie email, family_name und given_name und klicken Sie auf Add. Wenn Entra nachfragt, markieren Sie Turn on the Microsoft Graph email, profile permission und klicken erneut auf Add.

Gruppenanspruch. Klicken Sie auf Add groups claim (Gruppenanspruch hinzufügen), markieren Sie Security groups (Sicherheitsgruppen) und wählen Sie unter ID die Option Group ID (Gruppen-ID). Klicken Sie auf Add.

Panel Add optional claim mit Tokentyp ID und markierten Ansprüchen email, family_name und given_name — Optionale Ansprüche für das ID-Token.

Panel für den Gruppenanspruch mit Security groups und Group ID — Sicherheitsgruppen, gesendet als Group ID.

Tokenkonfiguration mit email, family_name, given_name und groups — Die fertige Tokenkonfiguration.

07 Administratorzustimmung erteilen

Microsoft Entra Enterprise applications (Unternehmensanwendungen) › Gentesty SSO › Security › Permissions (Berechtigungen)

Klicken Sie auf Grant admin consent for (Administratorzustimmung erteilen für) Ihre Organisation. Microsoft öffnet dafür ein eigenes Anmeldefenster, in dem Sie mit Accept (Akzeptieren) bestätigen. Danach sind die Microsoft-Graph-Berechtigungen email und profile erteilt, je nach Weg zusätzlich openid oder User.Read.

So muss niemand bei der ersten Anmeldung selbst zustimmen. Blockiert Ihr Mandant die Benutzerzustimmung, ist dieser Schritt Pflicht. Die Zustimmung lässt sich auch unter App registrations › Gentesty SSO › API permissions erteilen. Dort bestätigen Sie direkt im Portal mit Yes, ohne separates Fenster.

Seite Permissions mit hervorgehobener Schaltfläche Grant admin consent — Nach der Zustimmung sind die drei Microsoft-Graph-Berechtigungen erteilt.

08 Object ID jeder Gruppe nachschlagen

Microsoft Entra Microsoft Entra ID › Groups (Gruppen) › All groups (Alle Gruppen)

Öffnen Sie jede Sicherheitsgruppe, die Sie zuordnen möchten, und kopieren Sie ihre Object ID (Objekt-ID). Entra sendet Gruppen-IDs, keine Namen. Die Zuordnung in gentesty muss daher die Object ID verwenden.

Gruppenübersicht mit hervorgehobener Object ID — Eine Object ID pro Gruppe.

09 In gentesty abschließen

gentesty Account › User Management › Single Sign-On

Feld	Wert
Tenant-ID	Directory (tenant) ID aus Schritt 4. gentesty ergänzt daraus die Discovery-URL.
Client ID	Application (client) ID aus Schritt 4.
Client Secret	Der Wert des Client Secrets aus Schritt 5.

Klicken Sie auf Verbindung testen und warten Sie auf Verbindung erfolgreich. Der Test prüft Tenant-ID, Client ID und Secret. Eine Benutzeranmeldung testet er nicht.

gentesty-Provider-Karte mit hervorgehobener Tenant-ID, Client ID, Client Secret und erfolgreichem Verbindungstest — Ein erfolgreicher Verbindungstest.

Klicken Sie unter Rollenzuordnung für jede Gruppe auf Zuordnung hinzufügen. Fügen Sie die Object ID der Gruppe bei Externe Gruppe ein und wählen Sie die Gentesty-Rolle. Klicken Sie anschließend auf Speichern.

Rollenzuordnung einer Gruppen-Object-ID zur Rolle Owner — Mitglieder dieser Gruppe werden Eigentümer. Siehe gentesty-Rollen.

10 Anmeldung testen

gentesty Anmeldeseite

Öffnen Sie gentesty in einem privaten Browserfenster.
Klicken Sie auf die Schaltfläche mit Ihrem Anzeigenamen, zum Beispiel Mit Microsoft anmelden.
Melden Sie sich mit einem Microsoft-Konto an, das Mitglied einer zugeordneten Gruppe ist. Fragt Microsoft, welches Konto Sie verwenden möchten, wählen Sie Work or school account (Geschäfts-, Schul- oder Unikonto), nicht Personal account (Persönliches Konto).
Öffnen Sie in gentesty Account › User Management › Benutzer und prüfen Sie, ob die Person die erwartete Rolle hat.

Gut zu wissen

Ein bestehendes gentesty-Konto mit derselben E-Mail-Adresse wird automatisch verknüpft und behält seine Daten.
Wer sich zum ersten Mal anmeldet, erhält ein neues gentesty-Konto.
Die Rollen werden bei jeder Anmeldung aus den Gruppenmitgliedschaften aktualisiert. Entfernen Sie jemanden aus einer Gruppe, verliert die Person die Rolle bei der nächsten Anmeldung, spätestens nach einer Stunde.
Personen ohne zugeordnete Gruppe können sich anmelden, erhalten aber keine Rolle und sehen keine Workspace-Daten.
Die Anmeldung mit Passwort bleibt für bestehende gentesty-Konten möglich.

Optional: Anmeldung einschränken

Standardmäßig kann sich jede Person in Ihrem Mandanten bei gentesty anmelden. So erlauben Sie es nur ausgewählten Personen:

Öffnen Sie Enterprise applications › Gentesty SSO › Properties (Eigenschaften).
Setzen Sie Assignment required? (Zuweisung erforderlich?) auf Yes und klicken Sie auf Save.
Öffnen Sie Users and groups (Benutzer und Gruppen) und fügen Sie die Benutzer oder Gruppen hinzu, die sich anmelden dürfen. Gruppen hinzuzufügen erfordert Microsoft Entra ID P1 oder P2.

Eigenschaften der Unternehmensanwendung mit hervorgehobenem Assignment required und Menüpunkt Users and groups — Zustand vor der Änderung. Setzen Sie Assignment required auf Yes.

Client Secret erneuern

Erstellen Sie vor dem Ablauf ein neues Secret wie in Schritt 5.
Fügen Sie in gentesty den neuen Wert bei Client Secret ein, klicken Sie auf Verbindung testen und dann auf Speichern.
Löschen Sie das alte Secret in Entra.

Ändern Sie in gentesty die Tenant-ID, die Client ID oder den Alias, geben Sie das Client Secret vor dem Speichern erneut ein.

gentesty-Rollen

Ordnen Sie jede Entra-Gruppe einer dieser Rollen zu. Wer in mehreren zugeordneten Gruppen ist, erhält alle entsprechenden Rollen.

Rolle	Berechtigung
Eigentümer	Voller Zugriff auf alle Workspace-Funktionen, einschließlich Abrechnung und Benutzerverwaltung.
Workspace Administrator	Verwaltet Workspace-Einstellungen, Mitglieder und operative Konfigurationen, inklusive SSO.
Buchhaltung	Verwaltet ausschließlich Abrechnung und Zahlungen.
Leser	Nur Lesezugriff auf Workspace-Daten und Konfigurationen.
Bot Administrator	Erstellt und betreibt Chat-, Voice- und Workflow-Automationen.
Bot Editor	Bearbeitet nicht-technische Bot-Inhalte und führt Runs aus.
Bot Runner	Führt Bot-Runs aus, ohne Konfigurationen zu ändern.
Case Administrator	Verwaltet alle technischen Case-Konfigurationen.
Case Editor	Bearbeitet nicht-technische Case-Inhalte.

Fehlerbehebung

Was Sie sehen	Ursache	Lösung
`AADSTS50011` Redirect URI stimmt nicht überein	Die Redirect URI in Entra weicht von der in gentesty ab, oft nach einer Änderung des Alias.	Redirect URI erneut kopieren und in Entra anpassen. Siehe Schritte 1 bis 3.
`AADSTS7000215` Ungültiges Client Secret	Die Secret ID statt des Werts wurde kopiert, oder das Secret ist abgelaufen.	Neues Secret erstellen und dessen Wert einfügen. Siehe Schritt 5.
`AADSTS700016` Anwendung nicht gefunden	Tenant-ID oder Client ID ist falsch.	Beide mit der Übersicht der App vergleichen. Siehe Schritt 4.
`AADSTS65001` Administratorgenehmigung erforderlich	Die Administratorzustimmung fehlt.	Administratorzustimmung erteilen. Siehe Schritt 7.
`AADSTS50020` Benutzerkonto von `live.com` existiert nicht im Mandanten	Zur E-Mail-Adresse gibt es auch ein privates Microsoft-Konto, und bei der Anmeldung wurde dieses gewählt.	Erneut anmelden und bei der Kontoauswahl Work or school account wählen. Siehe Schritt 10.
`AADSTS50105` Benutzer nicht zugewiesen	Eine Zuweisung ist erforderlich und die Person ist nicht zugewiesen.	Person oder Gruppe unter Users and groups hinzufügen.
Verbindungstest: Discovery document could not be fetched	Die Tenant-ID ist falsch.	Directory (tenant) ID aus Schritt 4 verwenden.
Verbindungstest: invalid_client	Client ID oder Secret ist falsch.	Schritte 4 und 5 prüfen.
Angemeldet, aber keine Rolle oder leerer Workspace	Die Person ist in keiner zugeordneten Gruppe, die Zuordnung nutzt einen Gruppennamen, oder Gruppen kommen nicht als Group ID.	Gruppenmitgliedschaft prüfen, dann Schritte 6, 8 und 9.
Nach der Microsoft-Anmeldung wird eine E-Mail verlangt	Der Entra-Benutzer hat keine E-Mail-Adresse.	E-Mail in den Eigenschaften der Person in Entra ergänzen und erneut anmelden.

Kommen Sie nicht weiter? Kontaktieren Sie uns mit dem Fehlercode und dem Zeitpunkt des Versuchs.