Wechseln zu:Navigation, Suche
Wiki






























Konfiguration im Azure AD, um mit dem UMA auf dessen Benutzer zugreifen zu können

Neu:

  • Neue Funktion Neu ab UMA NG 3.1


Letzte Anpassung zur Version: 3.1 (04.2021)




Voraussetzungen

  • Benutzer im Azure AD mit zu Archivierenden Mail-Adressen

Konfiguration Azure AD

Folgende Schritte sind notwendig:

  • Im Azure AD muss das Securepoint UMA NG als neue App registriert werden
  • Folgende Berechtigungen sind erforderlich:

    • MS-Graph / Delegierte Berechtigung:
      • User.Read (sollte als Default-Berechtigung bereits existieren)
    • MS-Graph / Anwendungsberechtigungen:
      • Group.Read.All
      • MailboxSettings.Read
      • User.Read.All
      • Application.Read.All
  • Der App muss ein Geheimer Clientschlüssel hinzugefügt werden
  • Um neben der originären Microsoft Azure E-Mail Adresse weitere Mailadressen zu archivieren, müssen diese im Benutzer-Profil im Azure Active Directory im Abschnitt Kontaktinformationenen als Alternative E-Mail-Adresse hinterlegt werden.

    Die Anmeldung des Benutzers bzw. der Benutzerin im Securepoint UMA NG erfolgt dann mit dem Benutzerprinzipalnamen (user pricipal name) und dem dazugehörigen Kennwort aus dem Azure AD.
UMA v3.3.1 Azure Dashboard.png
UMA v3.3.1 Azure Dashboard.png
UMA v3.3.1 Azure AD App-Registrierungen.png
Menü App-Registrierungen
UMA v3.3.1 Azure AD Neue Registrierung.png
Schaltfläche + Neue Registrierung
UMA v3.3.1 Azure AD Anwendung registrieren.png
  • Aussagekräftigen Namen vergeben
  • Option Nur Konten in diesem Organisationsverzeichnis (einzelner Mandant)
  • Eine Umleitungs-URI ist nicht erforderlich
  • Schaltfläche Registrieren
UMA v3.3.1 Azure AD API Berechtigungen.png
  • Folgende Werte werden im Securepoint UMA später benötigt:
    • Anwendungs-ID (Client-ID)
    • Verzeichnis-ID (Mandant)
    • Client-Secret-ID
  • Auswahl Menü API-Berechtigungen
UMA v3.3.1 Azure AD API Berechtigungen hinzufügen.png
  • Schaltfläche + Berechtigung hinzufügen
  • Die Berechtigung User.Read vom Typ Delegierte Berechtigung sollte als Default-Berechtigung bereits eingetragen sein
UMA v3.3.1 Azure AD API Berechtigungen MS Graph.png
  • Schaltfläche Microsoft Graph
UMA v3.3.1 Azure AD API Anwendungsberechtigungen.png
  • Schaltfläche Anwendungsberechtigungen
UMA v3.3.1 Azure AD API Anwendungsberechtigung GroupReadAll.png
  • API-Berechtigung Group.Read.All markieren
  • In der Suchleiste kann die Anzeige der Berechtigungungen eingegrenzt werden.
    So lässt sich schneller die benötigte Berechtigung finden.
  • UMA v3.3.1 Azure AD API Anwendungsberechtigung MailboxSettingsRead.png
    • API-Berechtigung MailboxSettings.Read markieren
  • Die zuvor markierte Berechtigung bleibt auch dann markiert, wenn sie durch einen anderen Begriff in der Suchleiste nicht mehr angezeigt wird
  • UMA v3.3.1 Azure AD API Anwendungsberechtigung UserReadAll.png
    • API-Berechtigung User.Read.All markieren
    • Schaltfläche Berechtigungen hinzufügen
    UMA v3.3.1 Azure AD API Anwendungsberechtigung Administratorzustimmung.png
  • Wurde bisher ohne Globale Adminstratorberechtigung gearbeitet, ist nun die Zustimmung eines Solchen erforderlich
  • UMA v3.3.1 Azure AD API Anwendungsberechtigung Administratorzustimmung Ja.png
    • Administratorberechtigung erteilen
    UMA v3.3.1 Azure AD API Anwendungsberechtigungen konfiguriert.png
    • Konfigurierte API-Berechtigungen
    UMA v3.3.1 Azure AD Zertifikate.png
    • Menü Zertifikate & Geheimnisse
    UMA v3.3.1 Azure AD Neuer Geheimer Clientschlüssel.png
    • Schaltfläche + Neuer geheimer Clientschlüssel
    UMA v3.3.1 Azure AD Geheimen Clientschlüssel hinzufügen.png
    • Aussagekräftigen Namen vergeben
    • Gewünschte Gültigkeitsdauer auswählen
      Der Geheime Clientschlüssel muss rechtzeitig erneuert werden. Nach Ablauf des Gültigkeitszeitraumes werden keine E-Mails mehr an das UMA zugestellt und Benutzer des UMA DMS können nicht mehr durch das Azure AD authentisiert werden.
    • Schaltfläche Hinzufügen
    UMA v3.3.1 Azure AD Geheimer Clientschlüssel.png
    • Es wird in der Spalte Wert der Client Secret angezeigt
    • Es wird in der Spalte Geheime ID die Client ID angezeigt
  • Der Wert Client Secret wird später nicht wieder angezeigt und muss daher an anderer Stelle gesichert werden.
    Neu ab 3.1.3 Beide Werte werden für die Konfiguration im Securepoint UMA benötigt.
  • UMA v3.3.1 Azure Benutzer Prinzipal AltMail.png
    • Um neben der originären Microsoft Azure E-Mail Adresse weitere Mailadressen zu archivieren, müssen diese im Benutzer-Profil im Azure Active Directory im Abschnitt Kontaktinformationenen als Alternative E-Mail-Adresse hinterlegt werden.

      Die Anmeldung des Benutzers bzw. der Benutzerin im Securepoint UMA NG erfolgt dann mit dem Benutzerprinzipalnamen (user pricipal name) und dem dazugehörigen Kennwort aus dem Azure AD.





    Die vorbereitende Konfiguration des Azure AD ist damit abgeschlossen



    Konfiguration im UMA

    Im Einrichtungsassistenten

    Beschriftung Wert Beschreibung UMA v3.3.1 Einrichtungsassistent Schritt3 Azure AD.png
    Azure AD Zugangsdaten im Schritt 3 des Einrichtungsassistenten
    Repository Type Azure AD Azure Active Directory als Authentifizierungs-Quelle auswählen
    ••••••• Verzeichnis-ID (Mandant) aus der App-Registrierung im Azure ADUMA v3.1 Azure AD App-IDs.png
    Anwendungs-ID (Client-ID): ••••••• Anwendungs-ID (Client-ID) aus der App-Registrierung im Azure AD
    Geheimer Wert: ••••• Wert des geheimen Clientschlüssels aus dem Abschnitt Zertifikate & Geheimnisse des Azure ADs
    Azure Cloud: Azure Cloud Global

    Azure Cloud USA

    Azure Cloud Deutschland

    Azure Cloud China
    Auswahl der Azure Cloud, die das AD hostet
    Weiter Überprüft die Zugangsdaten und ruft den nächsten Schritt auf


    Im Menu E-Mail Konten

    Menu System-Einstellungen / E-Mail Konten
    Beschriftung Wert Beschreibung UMA v3.3.1 System-Einstellungen E-Mail-Konten.png
    Konfiguration im Admin Interface
    Benutzer Repository Azure AD Azure Active Directory als Authentifizierungs-Quelle auswählen
    ••••••• Verzeichnis-ID (Mandant) aus der App-Registrierung im Azure ADUMA v3.1 Azure AD App-IDs.png
    Anwendungs-ID (Client-ID): ••••••• Anwendungs-ID (Client-ID) aus der App-Registrierung im Azure AD
    Geheimer Wert: ••••• Wert des geheimen Clientschlüssels aus dem Abschnitt Zertifikate & Geheimnisse des Azure ADs
    Azure Cloud: Azure Cloud Global

    Azure Cloud USA

    Azure Cloud Deutschland

    Azure Cloud China
    Auswahl der Azure Cloud, die das AD hostet
    Azure AD Einstellungen Testen Überprüft die Zugangsdaten und öffnet ein Fenster, in dem alle verfügbaren Benutzerkonten auf dem Server angezeigt werden. Die Listen (Public und Private) lassen sich durchsuchen. UMA v3.1 System-Einstellungen E-Mail Konten AzureAD Testen.png
    Benutzerkonten auf dem Server


    Troubleshooting

    Fehlermeldungen bei Testen der Azure AD Einstellungen:


    Fehlermeldung Beschreibung
    Unzureichende Berechtigungen, um den Vorgang abzuschließen. In dem Fall unbedingt prüfen, ob alle Berechtigungen korrekt gesetzt wurden
    Der angeforderte Benutzer ist ungültig. Selbsterklärend. Benutzernamen müssen vorhanden und zulässig sein.
    Nicht zulässig ist z.B.: '@ttt-point.onmicrosoft.com
    Es wurden zu viele Anfragen gestellt. Bitte versuchen Sie es später noch einmal. Throttling. Passiert nur selten bis niemals. Die Microsoft Graph-API verkraftet sehr viele Requests in kurzer Zeit. Wenn nicht, hilft es, etwas zu warten.
    Nicht lizenzierter Benutzer. E-Mails werden erst zugestellt, wenn Sie eine gültige Lizenz zugewiesen haben. Tritt auf, wenn der abgefragte Account keine gültige Lizenz hat. Das führt dazu, dass das Attribut mailboxSettings nicht abgefragt werden kann. Dies ist erforderlich, um zu prüfen, ob es sich bei dem Account um eine Shared-Mailbox handelt. Kann das Attribut nicht abgefragt werden, ist ungewiss ob der Account nach public oder private archiviert werden muss.
    Ein unbekannter Fehler ist aufgetreten. Dies ist das Fallback, wenn der Fehler nicht identifiziert werden konnte. Das kann in ganz seltenen Fällen passieren. Die Microsoft Graph-API schickt in unglaublich seltenen Situationen kein valides json. Bitte erneut probieren.