Office 365 Integration

Integrationen · Authentifizierung · 1.2

Die Integration zwischen Gfacility und Office 365 erfolgt über einen 2-legged Approach mit einer App-Registrierung in Microsoft Entra ID (vormals Azure Active Directory). Die Gfacility-App authentifiziert sich mit ihrer eigenen Identität — kein separates Pop-up oder Consent für jeden Benutzer, also stabiler und sicherer.

1. App-Registrierung im Azure Portal erstellen

Erstellen Sie eine dedizierte App-Registrierung für Gfacility — unabhängig von anderen Anwendungen, mit besserer Kontrolle und Sicherheit.

Schritt	Was zu tun ist
1	Melden Sie sich beim Azure Portal an → App registrations.
2	Klicken Sie auf + New registration und geben Sie einen Namen ein.
3	Wählen Sie den passenden Kontotyp (z. B. Accounts in this organizational directory only).
4	Redirect URI kann leer bleiben.
5	Klicken Sie auf Register. Notieren Sie Application (client) ID und Directory (tenant) ID.
6	Gehen Sie zu Certificates & secrets.
7	Klicken Sie auf + New client secret, Beschreibung + Ablaufdatum.
8	Klicken Sie auf Add.

2. API-Berechtigungen zuweisen

Gehen Sie in der App-Registrierung zu API permissions → + Add a permission → Microsoft Graph. Fügen Sie je nach Use-Case hinzu:

Benutzerintegration

Für automatisches Anlegen und Anmelden von Benutzern.

Application: User.Read.All
Delegated: User.Read

Räume / Standorte

Automatische Synchronisation von Besprechungsräumen aus Outlook.

Application: Place.Read.All

Outlook Events

Für Planung, Analytics und Room Display.

Application: Calendars.Read
Application: Calendars.ReadWrite

Geteilte Kalender

Zugriff auf gemeinsam genutzte Postfächer.

Delegated: Calendars.Read.Shared
Delegated: Calendars.ReadWrite.Shared

Klicken Sie zum Schluss auf Grant admin consent for [Tenant] — andernfalls bleiben die Berechtigungen ausstehend.

Wie funktioniert die Places-Integration?

Einweg-Synchronisation von Outlook nach Gfacility. Bei jeder Änderung an einem reservierbaren Raum aktualisiert Gfacility: Name, Code, Kapazität, Link zum Outlook Room, übergeordneter Standort. Übergeordnete Standorte (Gebäude, Etage) werden automatisch angelegt, falls noch nicht vorhanden.

3. Zugriff über Exchange Online RBAC einschränken (optional)

Standardmäßig haben Application Permissions Zugriff auf alle Postfächer und Kalender innerhalb des Tenants. Für Multi-Tenant- oder strenge Sicherheitsanforderungen können Sie dies einschränken.

Schrittweise Implementierung (PowerShell)

A. Verbindung herstellen und Service Principal erstellen — verwenden Sie die Application ID und Object ID der Enterprise Application, nicht der App Registration:

Connect-ExchangeOnline

New-ServicePrincipal `
  -AppId "<Application ID>" `
  -ObjectId "<Enterprise App Object ID>" `
  -DisplayName "Gfacility Application RBAC"

B. Management Scope definieren — auf Domäne oder mail-enabled Gruppe (reguläre Sicherheitsgruppen funktionieren nicht):

# Option 1: Auf Basis der Domäne (neue Benutzer automatisch im Scope)
New-ManagementScope `
  -Name "Gfacility-DomainScope" `
  -RecipientRestrictionFilter "PrimarySmtpAddress -like '*@contoso.com'"

# Option 2: Auf Basis einer mail-enabled Gruppe (Multi-Tenant / volle Kontrolle)
$Group = Get-DistributionGroup "Gfacility Scope"
New-ManagementScope `
  -Name "Gfacility-GroupScope" `
  -RecipientRestrictionFilter "MemberOfGroup -eq '$($Group.DistinguishedName)'"

C. Role Assignment zuweisen und testen:

# 1. Scope der App zuweisen
New-ManagementRoleAssignment `
  -Name "Gfacility-Calendars-Scoped" `
  -Role "Application Calendars.Read" `
  -App "<Application ID>" `
  -CustomResourceScope "Gfacility-DomainScope"

# 2. Einstellungen prüfen
Get-ManagementRoleAssignment -App "<Application ID>" | Format-List Name,Role,CustomResourceScope

# 3. Zugriff auf bestimmtes Postfach testen
Test-ServicePrincipalAuthorization -Identity "<Service Principal ID>" -Resource "[email protected]"

Siehe auch die Microsoft-Anleitung zu Application RBAC in Exchange Online.

4. Übermitteln Sie die Details an Gfacility

Um die Installation abzuschließen, benötigen wir:

Application (client) ID
Directory (tenant) ID
Value des Client Secrets

Teilen Sie diese sensiblen Daten über eine sichere Methode (Passwort-Manager-Link), niemals direkt per E-Mail.

Synchronisationsfrequenz

Benutzer

Einmal pro Nacht — neue Konten werden automatisch angelegt.

Standorte (Places)

Einmal pro Nacht — Räume werden aktualisiert.

Outlook Events

Echtzeit — für Reservierungen und Displays.

← Zurück Weiter: Google Workspace→