Entra ID App für SSL-VPN mit 2FA

Entra ID App mit OpenID Connect Berechtigung für SSL-VPN mit 2FA für die UTM konfigurieren

Last adaptation to the version: 14.1.2 (02.2026)

New:

2FA mit Entra ID über OpenID Connect (OIDC)

notempty

This article refers to a Beta version

-

Preliminary note

Note

This article includes descriptions of third-party software and is based on the status at the time this page was created.
Changes to the user interface on the part of the manufacturer are possible at any time and must be taken into account accordingly in the implementation.
All information without warranty.

To be able to use AD authentication with Entra I, the following information is required:

Application ID
Client ID
Secret client key

This guide shows an example of the preparations and setting required in Microsoft Entra ID
Login at Microsoft Entra Admin Center

Neue App-Registrierung erstellen
Umleitungs-URI (Typ Web) aus der UTM eintragen
Entweder: Zertifikat hochladen
Oder: Geheimen Clientschlüssel anlegen
Ggf. Clientschlüssel kopieren
Microsoft Graph API-Berechtigung hinzufügen
Delegierte Berechtigungen offline_access, openid und profile vergeben
Anwendungsberechtigungen User.Read.All und Group.Read.All hinzufügen (zum Auslesen der Benutzer und Gruppen)
This completes the configuration in Microsoft Azure.

notempty

The Microsoft servers may take up to 30 minutes before access works

Show step-by-step instructions

hide


1.	2.	3.


Abb.1	Abb.2	Abb.3


Abbildungen

Fig.1

Menü App-Registrierungen 1
Schaltfläche + Neue Registrierung 2

Fig.2

Namen für die Anwendung angeben (frei wählbar) 3

Umleitungs-URI: Web 4

…oauth2_redirect 5 Umleitungspfad aus dem UTM-Assistenten Schritt 4

Workaround:'für den UTM AD/LDAP Authentifizierungs-Assistenten:

In Schritt 3 benötigte Wert eingeben
Dummy-Wert für Anwendungs-ID eintragen
zu Schritt 4 gehen
Dort Umleitungs-URI kopieren und im Entra Admin Center eintragen
Anschließend zu Schritt 3 zurückkehren
nach Ausführen aller Schritte im Entra Admin Center
die korrekte Anwendungs-ID eintragen

Schaltfläche Registrieren 6 klicken

Fig.3

Entweder:

Menü Zertifikate & Geheimnisse 7

Reiter Zertifikate 8

Zertifikat auswählen 9

Es kann ein selbst erstelltes Zertifikat aus der UTM sein: Menü / öffentlichen Schlüssel herunterladen PEM. Dieses Zertifikat muss dann im UTM-Assistenten ebenfalls hinterlegt werden.

Mit diesem Zertifikat authentifiziert sich der Authentifizierungsprozess der UTM beim Entra ID.

Beschreibung angeben 10

Zertifikat mit der so beschrifteten Schaltfläche Hinzufügen 11

Fig.4

Oder:

Menü Zertifikate & Geheimnisse 7

Reiter Geheime Clientschlüssel 12

Schaltfläche Neuer geheimer Clientschlüssel 13 wählen

Beschreibung angeben 14 (frei wählbar)

Gültigkeitsdauer angeben 15

Schlüssel Hinzufügen 16

Fig.5

Ggf. Clientschlüssel kopieren 17
Wird als Geheimer Wert im Assistenten in Schritt 2 benötigt

Fig.6

Untermenü API-Berechtigungen 18

Schaltfläche Berechtigung hinzufügen 19

Microsoft Graph API wählen 20

Fig.7

Delegierte Berechtigungen wählen 21

OpenID-Berechtigungen auswählen 22
Diese Berechtigungen werden für die App (Anwendungs-ID) im AD/LDAP Authentifizierungs Assistenten der UTM in Schritt 3 benötigt

offline_access
openid
profile

Schaltfläche Berechtigungen hinzufügen 23 wählen

Nur falls keine separate App verwendet wird

Für die Einstellungen in Schritt 2 des Assistenten werden zusätzliche Anwendungsberechtigungen benötigt:

Untermenü API-Berechtigungen wählen (Wie in Abb.6. Nr.18)

Schaltfläche Berechtigung hinzufügen (Wie in Abb.6. Nr.19)

Microsoft Graph API wählen (Wie in Abb.6. Nr.20)

Anwendungsberechtigungen wählen 24

User.Read.All 25
Group.Read.All 26

Fig.9

Übersicht über die vergebenen Berechtigungen

Die Berechtigungen Group.Read.All und User.Read.All benötigen eine zusätzliche Administratorzustimmung. 27
Hierfür wird mindestens die Berechtigung Cloudanwendungsadministrator im Entra benötigt

Fig.10

Untermenü Übersicht wählen 28

Anwendungs-ID (Client) kopieren 29
(Wird im UTM-Assistenten in Schritt 2 und Schritt 3 jeweils als Anwendungs-ID (Client-ID) benötigt

Verzeichnis-ID (Mandant) kopieren 30
(Wird im UTM-Assistenten in Schritt 2 als Verzeichnis-ID (Mandanten-ID) benötigt