SSO mit Microsoft Entra ID (Azure AD)

Mit deskbird kannst du Single Sign-on (SSO) mit Microsoft Entra ID (früher Azure AD) integrieren. Das sorgt für eine sichere Authentifizierung und einen bequemen Zugriff in deiner Organisation.

1. SSO mit Entra ID einrichten
2. Manuelle OIDC-Einrichtung (keine Enterprise Application erforderlich)
3. Berechtigungen über Application Assignment einschränken
4. FAQs

1. SSO mit Entra ID einrichten

Um SSO zu aktivieren, muss ein IT-Administrator die Microsoft Entra ID Enterprise Application installieren und die erforderlichen Berechtigungen gewähren.

👉 Klicke hier, um zu installieren und Zugriff zu gewähren:
https://login.microsoftonline.com/common/adminConsent?client_id=60e10e49-86e8-4755-ac34-2804c82237c6&redirect_uri=https://www.deskbird.com/single-sign-on-via-azure-ad

⚠️ Hinweis zu Microsoft Conditional Access: Seit Juni 2026 setzt Microsoft Conditional Access für einige Anmeldungen strikter durch (Microsoft-Änderung MC1223829). Wenn eine deiner Richtlinien auf Alle Ressourcen abzielt und mindestens eine Ressourcenausnahme enthält, werden Anmeldungen, die nur grundlegende Berechtigungen anfordern (wie openid, profile, email oder User.Read), jetzt gegen diese Richtlinie geprüft. Die deskbird-Anmeldung fordert nur diese Berechtigungen an (openid, profile, email, User.Read), daher überspringt eine Ausnahme für deskbird diese Prüfung nicht mehr. User können daher beim Anmelden bei deskbird nach MFA oder einem konformen Gerät gefragt werden oder blockiert werden, auch wenn es vorher funktioniert hat. Microsoft beschreibt die Optionen für dein IT-Team unter Durchsetzung für Baseline-Berechtigungen in Conditional Access.

Wenn deine User betroffen sind und dein IT-Team die Richtlinie nicht anpassen kann, kannst du deskbird auf eine Anmeldung umstellen, die deine Organisation selbst konfiguriert: Manuelle OIDC-Einrichtung (unten) oder SSO mit SAML 2.0. Wie du einen Conditional Access-Block von einer fehlenden Admin-Genehmigung unterscheidest, erfährst du in den FAQs.

Die erforderlichen Berechtigungen sind:

• User.Read: Ermöglicht Usern die Anmeldung bei deskbird und deskbird das Auslesen der Profile angemeldeter User. Hinweis: deskbird hat keinen Zugriff auf Profildaten von Usern, die sich noch nie angemeldet haben.
• Group.Read.All: Ermöglicht deskbird das Auslesen aller User-Gruppen. Das wird z. B. genutzt, um User-Gruppen im Admin-Portal zu importieren oder Gruppen beim Anmelden zu synchronisieren.

Es gibt zusätzliche Standardberechtigungen, die automatisch hinzugefügt werden und keine Admin-Genehmigung erfordern.

• offline_access: Ermöglicht deskbird die Nutzung von Refresh Tokens, um Daten über die Microsoft Graph API abzurufen.
• email, openid und profile: Automatisch hinzugefügte Berechtigungen, die deskbird ähnliche Rechte wie User.Read geben, aber mit weniger Profildaten.

Der Berechtigungstyp ist delegiert, das heißt, deskbird greift als angemeldeter User auf die Graph API zu, aber nur mit den ausgewählten Berechtigungen.

💡 Hinweis: Profilbilder von Usern werden bei der ersten SSO-Authentifizierung automatisch synchronisiert, sofern vorhanden.

💡 Wenn SSO als einzige Anmeldemethode für deine Organisation konfiguriert ist, gilt diese Einschränkung nur für interne User. Externe Benutzer (z. B. Auftragnehmer) können weiterhin zu deskbird hinzugefügt werden und sich mit E-Mail und Passwort anmelden, da sie nicht unter den Geltungsbereich deines Identity Providers fallen.

2. Manuelle OIDC-Einrichtung (keine Enterprise Application erforderlich)

Wenn deine Organisation die deskbird Enterprise Application aus der Microsoft App Gallery nicht installieren kann oder eine eigene App-Registrierung bevorzugt, kannst du SSO einrichten, indem du eine eigene App-Registrierung in Entra ID erstellst und die Zugangsdaten an deskbird weitergibst. Die Integration wird dann vom deskbird Support-Team eingerichtet.

Schritt 1: App-Registrierung erstellen

1. Gehe zu Azure Portal > Microsoft Entra ID > App-Registrierungen > Neue Registrierung.
2. Gib einen Namen ein, zum Beispiel deskbird SSO.
3. Wähle unter Unterstützte Kontotypen die Option Konten nur in diesem Organisationsverzeichnis (Single Tenant).
4. Wähle unter Umleitungs-URI die Plattform Web und gib ein: https://api.deskbird.app/v2/auth/oAuthRedirectHandler.
5. Klicke auf Registrieren.

⚠️ Hinweis: Die Umleitungs-URI muss exakt wie oben angegeben eingetragen werden. Ein Fehler (oder ein fehlender Eintrag) führt zu einem AADSTS50011-Fehler, wenn sich ein User anmelden möchte.

Schritt 2: IDs notieren

1. Kopiere auf der Übersichtsseite der App die Anwendungs-(Client-)ID und die Verzeichnis-(Mandanten-)ID.

Schritt 3: Client Secret erstellen

1. Gehe zu Zertifikate & Geheimnisse > Clientgeheimnisse > Neues Clientgeheimnis.
2. Gib eine Beschreibung ein, zum Beispiel deskbird production, und wähle eine Ablaufdauer.
3. Klicke auf Hinzufügen und kopiere den Wert sofort – er wird später nicht mehr angezeigt.

Schritt 4: API-Berechtigungen konfigurieren

1. Gehe zu API-Berechtigungen > Berechtigung hinzufügen > Microsoft Graph > Delegierte Berechtigungen.
2. Füge folgende Berechtigungen hinzu: openid, profile, email, User.Read.
3. Klicke auf Admin-Genehmigung für [Organisation] erteilen.

Schritt 5: Zugangsdaten an deskbird weitergeben

Kontaktiere den deskbird Support und gib folgende drei Werte an:

• Verzeichnis-(Mandanten-)ID
• Anwendungs-(Client-)ID
• Client Secret Wert

Bitte teile alle drei Werte in einer Nachricht mit, damit die Einrichtung ohne Rückfragen abgeschlossen werden kann: Verzeichnis-(Mandanten-)ID, Anwendungs-(Client-)ID und Client Secret Wert.

Das deskbird Support-Team übernimmt die Konfiguration für dich.

⚠️ Hinweis: Der Client Secret Wert ist sensibel. Teile ihn sicher und vermeide unverschlüsselte Kanäle.

3. Berechtigungen über Application Assignment einschränken

Du kannst einschränken, welche User oder Gruppen deskbird per SSO nutzen dürfen.

• Öffne im Entra Admin Center die deskbird Enterprise App.
• Setze unter Eigenschaften die Option Assignment required auf "Ja".
• Füge unter Users and groups gezielt User oder Gruppen hinzu.

💡 Application Assignment ist nicht dasselbe wie das Scoping einer Conditional Access-Richtlinie. Application Assignment steuert, wer sich anmelden darf. Conditional Access steuert, unter welchen Bedingungen die Anmeldung möglich ist (Gerätekonformität, Standort, MFA). Zu Conditional Access siehe den Hinweis unter SSO mit Entra ID einrichten und die FAQs.

⚠️ Application Assignment beschränkt den Anmeldezugriff, provisioniert aber keine User. Für eine automatische Provisionierung ist eine separate SCIM-Konfiguration nötig.

⚠️ AADSTS50105-Fehler: Dieser Fehler tritt auf, wenn sich jemand anmelden möchte, aber keiner Gruppe mit Zugriffsberechtigung zugewiesen ist. Bitte dein internes IT-Team, den User zur richtigen Zugriffsgruppe hinzuzufügen (oder die Berechtigungen zu aktualisieren) und versuche es erneut.

4. FAQs