​

Microsoft Entra ID (SSO)-Integration

​

Voraussetzungen

• Eine Microsoft Entra-Rolle, die App-Registrierungen erstellen darf (zum Beispiel Anwendungsentwickler oder Anwendungsadministrator). Für die Administratorzustimmung (Schritt 4) ist Cloudanwendungsadministrator, Anwendungsadministrator oder Globaler Administrator erforderlich.
• Administratorzugriff auf SecureAI mit der Berechtigung Administrator für den Bereich Integrationen.

​

So funktioniert es

1. Sie erstellen in Ihrem Entra ID-Mandanten eine App-Registrierung. SecureAI verwendet OpenID Connect (Autorisierungscodefluss) mit einem geheimen Clientschlüssel (Client Secret).
2. In SecureAI tragen Sie die Verzeichnis-ID (Mandant), die Anwendungs-ID (Client) und den Wert des geheimen Clientschlüssels ein. Der Schlüssel wird verschlüsselt gespeichert und nie wieder angezeigt.
3. Wenn ein Benutzer auf Continue with Microsoft klickt, authentifiziert Microsoft ihn (unter Anwendung Ihrer MFA- und Richtlinien für bedingten Zugriff), und SecureAI lässt ihn herein, wenn seine E-Mail-Adresse zu einem aktiven SecureAI-Konto passt.

​

Schritt 1: Umleitungs-URI aus SecureAI kopieren

1. Melden Sie sich als Administrator bei SecureAI an.
2. Gehen Sie zu Admin → Integrationen und filtern Sie nach der Kategorie IAM.
3. Klicken Sie auf der Karte Microsoft Entra ID (SSO) auf Integration verbinden (oder auf Neu konfigurieren, wenn die Karte Configured by Hiper AI anzeigt).
4. Klicken Sie im Abschnitt 1. Register SecureAI in Microsoft Entra ID neben der Redirect URI (Umleitungs-URI) auf Copy.

https://<your-company>.hiperai.ai/api/auth/azure/callback

​

Schritt 2: Anwendung in Microsoft Entra ID registrieren

1. Öffnen Sie das Microsoft Entra Admin Center (oder das Azure-Portal → Microsoft Entra ID).

2. Gehen Sie zu Anwendungen → App-Registrierungen (Applications → App registrations).

3. Klicken Sie auf + Neue Registrierung (+ New registration).

4. Füllen Sie das Formular aus:
   • Name: ein aussagekräftiger Name, zum Beispiel SecureAI SSO. Benutzer sehen ihn auf dem Zustimmungsbildschirm.
   • Unterstützte Kontotypen (Supported account types): Nur Konten in diesem Organisationsverzeichnis (einzelner Mandant) (Accounts in this organizational directory only (Single tenant)).
   • Umleitungs-URI (Redirect URI): Plattform Web (nicht „Single-Page-Webanwendung“), und fügen Sie die URI ein, die Sie in Schritt 1 kopiert haben.
5. Klicken Sie auf Registrieren (Register).

6. Kopieren Sie auf der Seite Übersicht (Overview) der Anwendung:
   • Anwendungs-ID (Client) (Application (client) ID) – eine GUID wie b96ee19f-5a15-4a85-b936-xxxxxxxxxxxx.
   • Verzeichnis-ID (Mandant) (Directory (tenant) ID) – eine weitere GUID, etwa 155812d2-1112-46c8-bf52-xxxxxxxxxxxx.

​

Schritt 3: Geheimen Clientschlüssel erstellen

1. Öffnen Sie im Menü der Anwendung Zertifikate & Geheimnisse (Certificates & secrets).

2. Klicken Sie unter Geheime Clientschlüssel (Client secrets) auf + Neuer geheimer Clientschlüssel (+ New client secret).
3. Geben Sie eine Beschreibung ein (zum Beispiel SecureAI SSO) und wählen Sie eine Gültigkeitsdauer (Microsoft empfiehlt weniger als 12 Monate; das Maximum sind 24).
4. Klicken Sie auf Hinzufügen (Add).

5. Kopieren Sie sofort die Spalte Wert (Value) (sie sieht etwa so aus: plm8Q~xxxxxxxx…). Sie wird nur ein einziges Mal angezeigt.

​

Schritt 4: API-Berechtigungen prüfen

1. Öffnen Sie im Menü der Anwendung API-Berechtigungen (API permissions).
2. Prüfen Sie, dass Microsoft Graph → Delegierte Berechtigungen User.Read enthält und, falls Sie sie explizit aufführen möchten, openid, profile und email (über + Berechtigung hinzufügen → Microsoft Graph → Delegierte Berechtigungen).

3. Klicken Sie auf Administratorzustimmung für [Ihre Organisation] erteilen (Grant admin consent for [your organization]) und bestätigen Sie.

​

Schritt 5: Angaben in SecureAI eintragen und testen

1. Füllen Sie unter 2. Paste the app registration details Folgendes aus:
   • Directory (tenant) ID: die GUID aus Schritt 2 (eine verifizierte Domain Ihres Mandanten, etwa contoso.onmicrosoft.com, funktioniert ebenfalls).
   • Application (client) ID: die GUID aus Schritt 2.
   • Client secret value: der Wert aus Schritt 3.
   • Allowed email domains (zulässige E-Mail-Domains; optional, empfohlen): die E-Mail-Domains Ihrer Organisation, durch Kommas getrennt, zum Beispiel contoso.com, contoso.co.uk. Nur diese Adressen können sich mit Microsoft anmelden. Bleibt das Feld leer, wird jedes Konto Ihres Mandanten akzeptiert, das in SecureAI existiert.
2. Klicken Sie unter 3. Test the connection auf Test connection. SecureAI fragt bei Microsoft nach (ohne jemanden anzumelden) und prüft:

   Prüfung	Wenn sie fehlschlägt
   Directory (tenant) ID	Microsoft kennt diesen Mandanten nicht (AADSTS90002). Kopieren Sie die Verzeichnis-ID von der Seite „Übersicht“.
   Application (client) ID	Im Mandanten gibt es keine solche Anwendung (AADSTS700016). Prüfen Sie die Client-ID und ob die App im selben Mandanten liegt.
   Client secret	Der Schlüssel ist ungültig (AADSTS7000215) oder abgelaufen (AADSTS7000222). Fügen Sie den Wert ein oder erstellen Sie einen neuen Schlüssel.
   Redirect URI registered on the app	Die URI aus Schritt 1 ist nicht in der App-Registrierung eingetragen (der Fehler AADSTS50011, den ein Benutzer bei der Anmeldung erhalten würde). Öffnen Sie in der App Authentifizierung → Plattform hinzufügen → Web (Authentication → Add a platform → Web), fügen Sie sie exakt ein und speichern Sie.

   Der Test verwendet die Eingaben im Formular, Sie können also vor dem Speichern testen. Wenn Ihr Mandant eine Richtlinie für bedingten Zugriff hat, die reine App-Tokens blockiert, wird der Schlüssel möglicherweise als „could not be verified automatically“ (konnte nicht automatisch überprüft werden) angezeigt: Das ist kein Fehler – bestätigen Sie es mit einer echten Anmeldung.
   Der Test bestätigt, dass die URI registriert ist, aber nicht, ob sie unter der Plattform Web oder unter Single-Page-Webanwendung (SPA) registriert wurde. Als SPA registriert, besteht sie den Test, und die Anmeldung schlägt mit „Single sign-on could not be completed“ fehl. Prüfen Sie, dass die URI unter Authentifizierung bei Web aufgeführt ist.
3. Prüfen Sie, dass Show “Continue with Microsoft” on the login page („Continue with Microsoft“ auf der Anmeldeseite anzeigen) aktiviert ist (beim ersten Mal ist es bereits aktiviert).
4. Klicken Sie auf Save.

​

Schritt 6: Benutzer hinzufügen

• Bestehende Benutzer: Personen, die bereits ein SecureAI-Konto haben (auch mit Passwort), werden nicht neu angelegt. Sie können sich weiterhin mit ihrem Passwort anmelden und zusätzlich mit Microsoft.
• Neue reine SSO-Benutzer: Wählen Sie unter Admin → IAM Verwaltung → Benutzerverwaltung → Benutzer hinzufügen die Authentifizierungsmethode Geschäftskonto / SSO. Der Benutzer erhält keine E-Mail zum Erstellen eines Passworts und meldet sich direkt über Continue with Microsoft an.
• Viele Benutzer: Sie können sie mit SCIM automatisch aus Entra ID bereitstellen und deprovisionieren.

​

Anmeldung testen

1. Öffnen Sie die Anmeldeseite Ihrer Instanz in einem Inkognito-Fenster.
2. Klicken Sie auf Continue with Microsoft.
3. Wählen Sie Ihr Geschäftskonto aus und schließen Sie bei Aufforderung die MFA ab.
4. Microsoft leitet Sie angemeldet zu SecureAI zurück.

​

Integration deaktivieren oder entfernen

• Um die Schaltfläche auszublenden, die Konfiguration aber zu behalten, schalten Sie den Schalter aus und speichern Sie.
• Um sie zu löschen, verwenden Sie Remove configuration. Wenn für Ihre Instanz zuvor SSO von Hiper AI konfiguriert war, gilt diese Konfiguration wieder.

​

Geheimen Clientschlüssel rotieren

1. Erstellen Sie in Entra ID einen neuen geheimen Clientschlüssel (Schritt 3), ohne den alten zu löschen.
2. Öffnen Sie in SecureAI die Integration, fügen Sie den neuen Wert in Client secret value ein, klicken Sie auf Test connection und dann auf Save. Bleibt das Feld leer, wird der aktuelle Schlüssel beibehalten.
3. Sobald Sie bestätigt haben, dass die Anmeldung funktioniert, löschen Sie den alten Schlüssel in Entra ID.

​

Wenn für Ihre Instanz bereits SSO von Hiper AI konfiguriert wurde

​

Fehlerbehebung

• AADSTS50011 – Die Umleitungs-URI stimmt nicht überein: Die in Entra ID registrierte URI entspricht nicht exakt der, die SecureAI in Schritt 1 anzeigt (schon ein zusätzlicher Schrägstrich am Ende reicht, damit sie nicht übereinstimmt). Test connection erkennt das vor der ersten Anmeldung.
• AADSTS65001 / „Genehmigung durch Administrator erforderlich“ (Need admin approval): Erteilen Sie die Administratorzustimmung (Schritt 4).
• AADSTS50105 – Der angemeldete Benutzer ist keiner Rolle für die Anwendung zugewiesen: Bei der Unternehmensanwendung ist Zuweisung erforderlich? (Assignment required?) auf Ja gesetzt. Weisen Sie den Benutzer oder eine Gruppe unter Unternehmensanwendungen → SecureAI SSO → Benutzer und Gruppen (Enterprise applications → SecureAI SSO → Users and groups) zu.
• AADSTS7000215 / AADSTS7000222: ungültiger oder abgelaufener Schlüssel. Tragen Sie einen neuen ein.