Quelltext der Seite Synchronisieren von Benutzern mit Microsoft 365 (Basic Authentication)

{{DISPLAYTITLE:Synchronisieren von Benutzern mit Microsoft 365 (Basic Authentication)}}
<p class=msnote>'''Wichtiger Hinweis:''' Am 20. September 2019 [https://developer.microsoft.com/de-de/office/blogs/end-of-support-for-basic-authentication-access-to-exchange-online-apis-for-office-365-customers/ hat Microsoft angekündigt], Basic Authentication als Authentifizierungsmethode für Exchange Online APIs in naher Zukunft nicht mehr zu unterstützen. Dies betrifft jede Version vor MailStore Server 13, welche daher nicht länger in der Lage sein werden, Benutzer beim Versuch, sich an MailStore Server anzumelden, gegen Microsoft 365 zu authentifizieren.
<br/>
<br/>
In MailStore Server 13 wurde die Unterstützung für moderne Authentifizierungsmethoden via OAuth 2.0 & OpenID Connect entsprechend Microsofts Empfehlung eingeführt. Obwohl MailStore Server 13 weiterhin Unterstützung einer Basic Auth-basierten Authentifizierung enthält, werden die Informationen in diesem Dokument nicht mehr gepflegt und sind möglicherweise nicht mehr aktuell. Des Weiteren behalten wir uns vor, diese Unterstützung in einem zukünftigen MailStore Update zu entfernen.</p>
{{Verzeichnisdienste_Einleitung|Office 365-Mandanten|Office 365}}

<p class=msnote>'''Wichtiger Hinweis:''' Damit Benutzer sich gegen Office 365 authentifizieren können, muss der Plan des sich zu authentifizierenden Benutzer das Exchange Online Feature ''EWS Application support'' unterstützen. Bitte vergewissern Sie sich im Vorfeld, ob Ihr Office 365 Plan diese Funktion enthält. Informationen hierüber finden Sie in diesem [https://technet.microsoft.com/de-de/library/exchange-online-service-description.aspx Technet Artikel].</p>

== Vorbereiten des Office 365 Mandanten ==
Um Benutzerinformationen aus Office 365 zu synchronisieren, benötigt MailStore Server einen Dienstprinzipal, welcher das Recht besitzt, auf Ihren Office 365-Mandanten zuzugreifen. Der Dienstprinzipal repräsentiert MailStore Server innerhalb des Office 365-Mandanten und ermöglicht die Authentifizierung gegenüber den Mandantendiensten und die Nutzung ihrer Ressourcen.

=== Installieren des Azure Active Directory Moduls ===
Office 365 nutzt das Azure Active Directory als Verzeichnisdienst. Jedem Office 365-Mandanten entspricht ein Azure AD-Mandant, in welchem seine Benutzerinformationen gespeichert werden. Um einen Dienstprinzipal zu erstellen, muss zunächst das dafür notwendige PowerShell Module ''Microsoft Azure Active Directory Module für Windows PowerShell'' installiert werden.

Dieses Modul erfordert PowerShell 5.1 oder höher auf einem 64-Bit Betriebssystem. PowerShell 5.1 ist in  aktuellen Versionen von Windows 10 und Windows Server 2016 enthalten. Für andere Windows Versionen kann sie als Teil des Windows Management Frameworks installiert werden.

Diese notwendigen Komponenten stehen zusammen mit Hinweisen zu ihrer Installation direkt bei Microsoft zur Verfügung.

'''Folgen Sie den Anweisungen zu den Befehlen die ''Msol'' beinhalten''' und NICHT denen mit ''AzureAD'':

[https://docs.microsoft.com/de-de/powershell/scripting/wmf/setup/install-configure?view=powershell-5.1 Windows Management Framework]<br/>
[https://docs.microsoft.com/en-us/office365/enterprise/powershell/connect-to-office-365-powershell Connect to Office 365 PowerShell]

=== Einen Dienstprinzipal erstellen ===

Nachdem das PowerShell Modul installiert wurde, können Sie einen Dienstprinzipal im Azure AD wie folgt erstellen:

# Öffnen Sie eine PowerShell-Sitzung.
#;<br/>
# Der Befehl zur Verbindung mit dem Office 365-Azure AD-Mandanten ist abhängig von dessen Azure Cloud:
#;<br/>
#; ''Globale Azure Cloud''
#; Geben Sie folgenden Befehl ein, wenn Ihr Office 365-Azure AD-Mandant in der globalen Azure Cloud liegt.
#; <source lang="powershell" smart-tabs="true" toolbar="false" gutter="false">Connect-MsolService -AzureEnvironment AzureCloud</source>
#;<br/>
#; ''Azure Deutschland Cloud''
#; Geben Sie folgenden Befehl ein, wenn Ihr Office 365-Azure AD-Mandant in der Azure Deutschland Cloud liegt.
#; <source lang="powershell" smart-tabs="true" toolbar="false" gutter="false">Connect-MsolService -AzureEnvironment AzureGermanyCloud</source>
#;<br/>
#; ''Azure China Cloud''
#; Geben Sie folgenden Befehl ein, wenn Ihr Office 365-Azure AD-Mandant in der Azure China Cloud liegt.
#; <source lang="powershell" smart-tabs="true" toolbar="false" gutter="false">Connect-MsolService -AzureEnvironment AzureChinaCloud</source>
#;<br/>
# Ein Anmeldedialog öffnet sich. Geben Sie hier administrative Zugangsdaten für Ihren Office 365-Plan ein.
#;<br/>
# Erstellen Sie einen neuen Dienstprinzipal mit folgendem Befehl:
#; <source lang="powershell" smart-tabs="true" toolbar="false" gutter="false">$principal = New-MsolServicePrincipal -DisplayName 'MailStoreSP' -ServicePrincipalNames @("MailStoreSP") -Type Password -Value 'Geben_Sie_hier_ein_Passwort_Ihrer_Wahl_ein' -StartDate (Get-Date) -EndDate (Get-Date).AddYears(1)</source>
#;<br/>
#;<p class="msnote">'''Bitte beachten:''' Das Passwort des Dienstprinzipals ist standardmäßig für ein Jahr gültig, weitere Informationen finden Sie [https://docs.microsoft.com/de-de/powershell/module/msonline/new-msolserviceprincipal im MSDN].</p>
# Damit der Dienstprinzipal Informationen aus dem Azure AD-Mandanten lesen kann, weisen Sie ihm die ''Directory Readers'' Rolle mit folgendem Befehl zu:
#; <source lang="powershell" smart-tabs="true" toolbar="false" gutter="false">Add-MsolRoleMember -RoleName "Directory Readers" -RoleMemberType ServicePrincipal -RoleMemberObjectId $principal.ObjectId</source>
#;<br/>
# ''Optional:'' Um eine Liste aller ServicePrincipalCredential-Objekte (z.B. Passwörter) abzurufen die an Dienstprinzipalobjekt, die den Namen ''MailStore'' enthalten, gebunden sind, geben Sie den folgenden Befehl ein:
#; <source lang="powershell" smart-tabs="true" toolbar="false" gutter="false">Get-MsolServicePrincipal -SearchString "MailStore" | % { Write-Host "DisplayName:" $_.DisplayName;Write-Host "ServicePrincipalNames:" $_.ServicePrincipalNames;Write-Host "ObjectId:" $_.ObjectId;Get-MsolServicePrincipalCredential -ObjectId $_.ObjectId -ReturnKeyValues $true }</source>

== Aufruf der Verzeichnisdienste-Integration ==
{{Verzeichnisdienste_Aufrufen|Office 365|office365_sync_01.png}}

== Verbindung zu Office 365 ==
Für die Synchronisierung benötigt MailStore Server Informationen darüber, wie der Office 365-Mandant angesprochen werden kann.
*'''Dienstprinzipal'''<br/>Der ''Dienstprinzipalname'' des Dienstprinzipals (z.B. ''MailStoreSP'').
*'''Passwort'''<br/>Das ''Passwort'' des Dienstprinzipals.
*'''Domäne'''<br/>Eine E-Mail-Domäne innerhalb des Office 365-Mandanten.

=== Synchronisierung der Benutzerdatenbank ===
Nachdem Sie die Verbindungseinstellungen wie oben beschrieben angegeben haben, können Sie in diesem Abschnitt Filterkriterien für die Synchronisierung mit Office 365 festlegen.
* '''Nur Benutzer mit Microsoft Exchange Online Lizenz synchronisieren'''<br/>Hierdurch werden bei der Synchronisierung nur Office 365-Benutzerkonten mit zugewiesener Microsoft Exchange Online Lizenz berücksichtigt.
* '''Nur aktivierte Benutzer synchronisieren'''<br/>Hierdurch werden bei der Synchronisierung nur Office 365-Benutzerkonten berücksichtigt, deren Anmeldung an Office 365 nicht blockiert wurde.
* '''Nur diese Gruppen'''<br/>Wählen Sie eine oder mehrere Office 365-Gruppen aus, wenn Sie nur deren Mitglieder als MailStore Server-Benutzer anlegen wollen. Dadurch lässt sich verhindern, dass bestimmte Benutzer nach MailStore Server synchronisiert werden.
* '''Benutzernamen-Format'''<br/>Legen Sie fest, wie die MailStore-Benutzernamen gebildet werden sollen:
** ''User Principal Name (UPN)''<br/>Der vollständige Office 365-Anmeldename, z.B. ''max.mustermann@office365.example.com''
** ''User Principal Name (UPN) Local Part''<br/>Der Office 365-Anmeldename ohne Domäne, z.B. ''max.mustermann''

{{Verzeichnisdienste_Optionen|Office 365-Mandanten}}
{{Verzeichnisdienste_Standard-Berechtigungen_festlegen|Office 365-Mandanten}}
{{Verzeichnisdienste_Synchronisierung_durchfuehren|Office 365-Mandanten}}
[[Datei:Office365_sync_02.png|center|450px]]


{{Verzeichnisdienste Authentifizierung testen}}
{{Verzeichnisdienste_Anmeldung_mit_Verzeichnisdienst-Zugangsdaten|Office 365}}
[[de:Office_365-Integration]]
[[en:Office_365_Integration]]