Microsoft Entra ID
Costfluent in Microsoft Entra ID als Single-Tenant-Anwendung registrieren, die Claims email und groups senden und sie für Single Sign-on verbinden.
Costfluent meldet deine Leute über Microsoft Entra ID per OpenID Connect an. Du registrierst eine Anwendung in deinem eigenen Mandanten, und Costfluent vertraut den Adressen der Domains, die du bestätigst.
Bevor du beginnst
- Du brauchst in Costfluent die Organisationsrolle Eigentümer und in deinem Entra-ID-Mandanten das Recht, Anwendungen zu registrieren.
- Die Adressen deiner Leute liegen in einer Domain, für die du einen DNS-TXT-Eintrag veröffentlichen kannst.
- Gruppen einer Anwendung zuzuweisen erfordert Microsoft Entra ID P1, das in Microsoft 365 Business Premium enthalten ist.
Verfügbar im Core-, Optimize- und Scale-Tarif. Tarife vergleichen
Anwendung registrieren
- Öffne im Microsoft Entra Admin Center die App-Registrierungen und registriere eine neue Anwendung.
- Wähle als Kontotyp nur Konten deines Organisationsverzeichnisses (ein Mandant). Costfluent legt den Aussteller deines Mandanten fest, deshalb funktioniert eine mehrinstanzenfähige Registrierung hier nicht.
- Füge einen Umleitungs-URI der Plattform Web hinzu:
https://app.costfluent.com/api/auth/sso/callback. - Erstelle unter Zertifikate & Geheimnisse einen geheimen Clientschlüssel und kopiere seinen Wert. Merke dir sein Ablaufdatum: Ist er abgelaufen, kann Costfluent niemanden mehr anmelden.
- Kopiere in der Übersicht die Anwendungs-ID (Client) und die Verzeichnis-ID (Mandant).
Deine Discovery-URL ist https://login.microsoftonline.com/<tenant-id>/v2.0/.well-known/openid-configuration, mit deiner Verzeichnis-ID (Mandant) anstelle von <tenant-id>.
Gruppen senden
- Füge unter Tokenkonfiguration dem ID-Token den optionalen Claim
emailhinzu. Sonst sendet Entra ID keine Adresse. - Füge einen Gruppen-Claim für das ID-Token hinzu, beschränkt auf die der Anwendung zugewiesenen Gruppen, und behalte das Format der Gruppen-ID.
- Öffne unter Unternehmensanwendungen dieselbe Anwendung und weise ihr die Gruppen zu, deren Mitglieder sich anmelden und Teams zugeordnet werden sollen.
Entra ID sendet jede Gruppe mit ihrer Objekt-ID. Die Gruppe beim Identitätsanbieter, die du in Costfluent zuordnest, ist deshalb diese ID und nicht der Anzeigename der Gruppe.
Entra ID lässt den Gruppen-Claim bei einer Person in mehr als 200 Gruppen weg. Costfluent fügt bei dieser Anmeldung dann kein Team hinzu und entfernt nur ein Team, dessen Zuordnung du gelöscht oder geändert hast. Beschränkst du den Claim auf die der Anwendung zugewiesenen Gruppen, bleibt er unter der Grenze.
In Costfluent verbinden
- Öffne Einstellungen, dann Single Sign-on, und verbinde deinen Anbieter mit der Discovery-URL, der Client-ID und dem Client-Secret.
- Füge der Verbindung deine E-Mail-Domains hinzu und bestätige jede mit ihrem DNS-TXT-Eintrag.
- Ordne die Objekt-IDs der Gruppen Teams zu und aktiviere dann die Verbindung.
Anmeldung und Sicherheit beschreibt jeden dieser Schritte, das Erzwingen und die Notfall-Eigentümer.
So verhält es sich
Costfluent liest diese Claims aus dem ID-Token und, wo das ID-Token einen auslässt, vom Userinfo-Endpunkt:
iss, der dem Aussteller gleichen muss, den dein Discovery-Dokument beim Verbinden nannte,https://login.microsoftonline.com/<tenant-id>/v2.0. Ein Token aus einem anderen Mandanten wird abgelehnt.oid, die Objekt-ID der Person, als die Identität, die Costfluent speichert. Sie bleibt gleich, wenn du die Anwendung neu registrierst;subnicht.email, die in einer der bestätigten Domains der Verbindung liegen muss. Entra ID sendet keinen Claimemail_verified, und es braucht auch keinen: Die bestätigte Domain ist der Nachweis. Eine Adresse außerhalb aller bestätigten Domains wird abgelehnt, ebenso eine Anmeldung ohne Adresse.name, für den Namen eines Kontos, das Costfluent anlegt.groups, die Objekt-IDs der Gruppen, oder ein anderer Claim-Name, den du an der Verbindung einstellst.
Costfluent lehnt außerdem ein Token ab, dessen Signatur, Zielgruppe, Nonce oder Gültigkeit nicht stimmt, und ein Discovery-Dokument, das plötzlich einen anderen Aussteller nennt.