Office-365-Integration

Integrationen · Authentifizierung · 1.2

Die Integration zwischen Gfacility und Office 365 nutzt einen 2-legged-Ansatz mit einer App-Registrierung in Microsoft Entra ID (früher Azure Active Directory). Gfacility meldet sich mit der eigenen Identität dieser App an, ohne Pop-up und ohne Zustimmung pro Benutzer. Das ist stabiler und sicherer.

Wie funktioniert es?

Die Integration besteht aus vier Teilen. Jeden Teil aktivieren Sie in Gfacility separat unter Integrationen & Anmeldung → Office 365. Alle laufen über eine App-Registrierung Ihrer Organisation.

Benutzersynchronisation · jede Nacht

Legt Ihre Mitarbeitenden in Gfacility an.

Abteilungssynchronisation · mit der Benutzersynchronisation

Ordnet alle Mitarbeitenden ihrer Abteilung zu.

Standortsynchronisation · jede Nacht

Legt die Besprechungsräume in Gfacility an, mit Gebäude und Etage.

Kalendersynchronisation · sofort

Hält Buchungen in Gfacility und Outlook auf demselben Stand.

Benutzersynchronisation

Jede Nacht holt Gfacility Ihre Mitarbeitenden aus Microsoft.

Neue Person? Sie wird angelegt.
Angaben geändert? Name, E-Mail-Adresse und Telefonnummer werden aktualisiert.
Aus dem Unternehmen ausgeschieden? Wer nicht mehr in Microsoft steht, wird in Gfacility auf inaktiv gesetzt.

Welche Felder werden übernommen?

Feld in Microsoft	Feld in Gfacility
Anmeldename (`userPrincipalName`)	E-Mail-Adresse
Vorname (`givenName`)	Vorname
Nachname (`surname`)	Nachname
Mobiltelefon (`mobilePhone`)	Telefonnummer
Abteilung (`department`)	Primäre Organisation, nur bei aktiver Abteilungssynchronisation
Lizenz	Aktiv oder inaktiv

Hinweis: Die E-Mail-Adresse in Gfacility ist der Microsoft-Anmeldename, nicht das Feld E-Mail. In der Regel sind beide identisch.

Nicht übernommen: Position, Bürostandort, geschäftliche Telefonnummer und Profilfoto. Eine neue Person erhält die Standardorganisation und den Standardstandort Ihres Arbeitsbereichs; beides können Sie anschließend in Gfacility ändern.

Gut zu wissen:

Berücksichtigt werden nur Mitarbeitende mit einer Microsoft-365-Lizenz. Räume und freigegebene Postfächer gehören nicht dazu.
Die Benutzersynchronisation regelt nicht die Anmeldung. Sie sorgt nur dafür, dass Gfacility Ihre Mitarbeitenden kennt. Für die Anmeldung wählen Sie Mit Microsoft anmelden oder SSO.

Nur einen Teil Ihrer Mitarbeitenden importieren?

Gfacility holt immer alle Mitarbeitenden. In Microsoft lässt sich das nicht einschränken, weder mit RBAC noch durch das Zuweisen von Benutzern zur App. Deshalb richtet Gfacility den Filter für Sie ein.

Senden Sie uns dafür eine Abfrage: die Regel, die festlegt, wer dazugehört. Zum Beispiel:

Nach E-Mail-Domain: endswith(mail,'@ihrunternehmen.de')
Nach Abteilung: department eq 'Facilities'
Nach Land: usageLocation eq 'DE'
Kombinieren Sie mit and, or und not.

Sie kennen die Abfrage nicht? Beschreiben Sie in eigenen Worten, wer dazugehören soll und wer nicht. Wir machen daraus eine Abfrage. Filtern nach Gruppe ist noch nicht möglich. Hinweis: Wer nicht mehr zum Filter passt, wird bei der nächsten Synchronisation auf inaktiv gesetzt.

Abteilungssynchronisation

Die Abteilungssynchronisation ist eine Zusatzoption der Benutzersynchronisation. Sie aktivieren sie unter Integrationen & Anmeldung → Office 365, direkt unter der Benutzersynchronisation. Der Schalter erscheint erst, wenn die Benutzersynchronisation aktiv ist. Eine zusätzliche Berechtigung ist nicht nötig: User.Read.All reicht aus.

Bei jeder Benutzersynchronisation liest Gfacility für jede Person das Feld Abteilung aus Microsoft Entra ID und verknüpft sie mit der Organisation dieses Namens als primärer Organisation.

Situation	Was Gfacility tut
Eine Organisation mit diesem Namen existiert	Die Person wird mit dieser Organisation verknüpft. Gfacility sucht sie zuerst nach Name, dann nach Code, ohne Unterscheidung von Groß- und Kleinschreibung.
Es gibt noch keine Organisation	Gfacility legt eine neue Organisation auf der obersten Ebene an, mit dem Abteilungsnamen als Name und Code und dem Organisationstyp Abteilung (oder dem Standardtyp, falls dieser nicht existiert).
Die Abteilung in Entra ist leer	Die Person behält ihre aktuelle Organisation. Eine neue Person erhält die Standardorganisation.
Die Abteilung einer Person ändert sich	Bei der nächsten Synchronisation wird sie mit der neuen Organisation verknüpft.

Gut zu wissen

Entra ist führend. Eine primäre Organisation, die Sie in Gfacility von Hand ändern, wird bei der nächsten Synchronisation wieder auf die Abteilung aus Entra zurückgesetzt.
Bestehende Organisationen werden nie geändert oder gelöscht. Verschwindet eine Abteilung aus Entra, bleibt die Organisation in Gfacility bestehen.
Sie haben die Organisationen bereits? Sorgen Sie dafür, dass Name oder Code exakt mit der Abteilung in Entra übereinstimmt, bevor Sie die Synchronisation aktivieren. Sonst legt Gfacility eine zweite Organisation an. Soll der Name in Gfacility anders lauten? Dann tragen Sie den Abteilungsnamen aus Entra als Code ein.
Neu angelegte Organisationen stehen auf der obersten Ebene. Sie dürfen sie danach im Baum verschieben; die Verknüpfung funktioniert weiter, weil sie über Name oder Code läuft.
Aktivieren Sie die Abteilungssynchronisation bei laufender Benutzersynchronisation, startet sofort eine Synchronisation.

Standortsynchronisation (Places)

Jede Nacht holt Gfacility die Besprechungsräume aus Microsoft. Für jeden Raum werden Name, Kapazität, Gebäude und Etage aktualisiert. Ein Gebäude oder eine Etage, die noch nicht existiert, legt Gfacility an.

Welche Felder werden übernommen?

Feld in Microsoft	Feld in Gfacility
Anzeigename (`DisplayName`)	Name
E-Mail-Adresse des Raums	E-Mail-Adresse (die Verknüpfung zum Raumkalender)
Kapazität (`Capacity`)	Kapazität
Gebäude (`Building`)	Gebäude (übergeordneter Standort)
Etagennummer (`Floor`)	Etage (Name und Code)
Raum-ID	Code

Nicht übernommen: der Etagenname (FloorLabel), Adresse und Ort, Ausstattung (Display, Audio, Video), Barrierefreiheit für Rollstuhlfahrer und Tags.

Hinweis: Bei jeder Synchronisation setzt Gfacility den Raum außerdem wieder auf buchbar und füllt die Beschreibung mit einem festen Text. Ändern Sie eines davon in Gfacility, setzt die nächste Synchronisation es zurück. Soll ein Raum unverändert bleiben, deaktivieren Sie für diesen Raum in Gfacility die externe Synchronisation.

Wie Sie das in Microsoft einrichten, lesen Sie in Raumverwaltung in Microsoft.

Kalendersynchronisation

Die Kalendersynchronisation funktioniert in beide Richtungen:

Von Gfacility nach Outlook. Legen Sie in Gfacility eine Buchung an, erscheint sie auch im Outlook-Kalender des Organisators, einschließlich des Raums. Ändern oder stornieren Sie sie, geschieht das auch in Outlook.
Von Outlook nach Gfacility. Verschieben, ändern oder stornieren Sie diese Besprechung in Outlook, aktualisiert Gfacility die Buchung sofort.
Raumkalender. Gfacility liest auch die Kalender der Besprechungsräume. So zeigen die Raumplanung und die Raumdisplays auch Besprechungen, die nur in Outlook gebucht wurden.

Was wird synchronisiert?

Daten	Richtung
Titel	In beide Richtungen
Beginn und Ende, ganztägig	In beide Richtungen
Beschreibung	In beide Richtungen (der Teams-Text wird entfernt)
Teilnehmende (Kollegen und Besucher)	In beide Richtungen
Räume	In beide Richtungen. In Outlook erscheinen sie als Teilnehmer und unter Ort
Teams-Besprechung und ihr Link	In beide Richtungen
Stornierung	In beide Richtungen
Organisator	Von Outlook nach Gfacility
Catering und Services	Bleiben in Gfacility. Ändern sich Uhrzeit oder Raum in Outlook, werden sie zur Prüfung markiert

Aus den Raumkalendern liest Gfacility pro Besprechung: Titel, Beginn und Ende, Organisator, Anzahl der Teilnehmenden und ob der Raum zugesagt hat. Eine in Outlook als privat markierte Besprechung erscheint in Gfacility als „Privat“.

Gut zu wissen:

Eine Besprechung, die nur in Outlook gebucht wurde, wird in Gfacility nicht zur Buchung. Der Raum wird aber als belegt angezeigt.
Jede Nacht prüft Gfacility auf verpasste Änderungen und übernimmt sie.

Wie richten Sie es ein?

Es sind vier Schritte:

Legen Sie in Microsoft eine App-Registrierung an.
Weisen Sie die Berechtigungen zu.
Wählen Sie, wie Gfacility auf Kalender zugreifen darf.
Tragen Sie die Angaben in Gfacility ein.

Aktivieren Sie anschließend in Gfacility die Teile, die Sie nutzen möchten.

1. Eine App-Registrierung im Azure-Portal anlegen

Legen Sie für Gfacility eine eigene App-Registrierung an, getrennt von anderen Anwendungen. So behalten Sie Kontrolle und Sicherheit selbst in der Hand.

Schritt	Was zu tun ist
1	Melden Sie sich im Azure-Portal an → App-Registrierungen.
2	Klicken Sie auf + Neue Registrierung und geben Sie einen Namen ein.
3	Wählen Sie den passenden Kontotyp (z. B. Nur Konten in diesem Organisationsverzeichnis).
4	Die Umleitungs-URI können Sie leer lassen.
5	Klicken Sie auf Registrieren. Notieren Sie die Anwendungs-ID (Client) und die Verzeichnis-ID (Mandant).
6	Gehen Sie zu Zertifikate & Geheimnisse.
7	Klicken Sie auf + Neuer geheimer Clientschlüssel und geben Sie eine Beschreibung und ein Ablaufdatum an.
8	Klicken Sie auf Hinzufügen.

2. API-Berechtigungen zuweisen

Gehen Sie in der App-Registrierung zu API-Berechtigungen → + Berechtigung hinzufügen → Microsoft Graph. Fügen Sie je nach Anwendungsfall hinzu:

Benutzerintegration

Damit Gfacility Ihre Mitarbeitenden kennt. Für die Anmeldung selbst siehe Mit Microsoft anmelden oder SSO.

Anwendung: User.Read.All
Delegiert: User.Read

Places / Standorte

Automatische Synchronisation der Besprechungsräume aus Outlook.

Anwendung: Place.Read.All

Kalender (Outlook-Termine)

Für Buchungen, Planung, Auswertungen und Raumdisplays. Dafür wählen Sie in Schritt 3 einen von zwei Wegen, fügen Sie hier also noch nichts hinzu.

Freigegebene Kalender

Zugriff auf freigegebene Postfächer.

Delegiert: Calendars.Read.Shared
Delegiert: Calendars.ReadWrite.Shared

Klicken Sie zum Schluss auf Administratorzustimmung für [Mandant] erteilen. Sonst bleiben die Berechtigungen ausstehend.

3. Wählen Sie, wie Gfacility auf Kalender zugreifen darf

Gfacility muss Termine in den Kalendern von Räumen und Benutzern lesen und schreiben. Wählen Sie einen dieser beiden Wege:

Option A · Alle Kalender

Am einfachsten. Gfacility erhält Zugriff auf alle Kalender in Ihrem Mandanten.

Anwendung: Calendars.ReadWrite

Fügen Sie sie in Entra ID neben den Berechtigungen aus Schritt 2 hinzu und erteilen Sie die Administratorzustimmung. Calendars.Read ist nicht nötig: ReadWrite umfasst das Lesen bereits.

Option B · Eingeschränkt über Exchange RBAC

Gfacility erhält nur Zugriff auf die Postfächer, die Sie auswählen, zum Beispiel die Räume und die Mitarbeitenden, die buchen.

Fügen Sie in Entra ID keine Kalenderberechtigung hinzu. Den Zugriff regeln Sie in Exchange Online, siehe die Schritte unten.

Option B Schritt für Schritt (Exchange Online PowerShell)

1. Verbinden und den Dienstprinzipal anlegen. Verwenden Sie die Anwendungs-ID und die Objekt-ID der Unternehmensanwendung, nicht die der App-Registrierung:

Connect-ExchangeOnline

New-ServicePrincipal `
  -AppId "<Application ID>" `
  -ObjectId "<Enterprise App Object ID>" `
  -DisplayName "Gfacility Application RBAC"

2. Einen Bereich anlegen. Auf Basis einer Domain oder einer E-Mail-aktivierten Gruppe (normale Sicherheitsgruppen funktionieren nicht):

# Variante 1: nach Domain (neue Benutzer fallen automatisch in den Bereich)
New-ManagementScope `
  -Name "Gfacility-DomainScope" `
  -RecipientRestrictionFilter "PrimarySmtpAddress -like '*@contoso.com'"

# Variante 2: nach E-Mail-aktivierter Gruppe (volle Kontrolle)
$Group = Get-DistributionGroup "Gfacility Scope"
New-ManagementScope `
  -Name "Gfacility-GroupScope" `
  -RecipientRestrictionFilter "MemberOfGroup -eq '$($Group.DistinguishedName)'"

3. Die Rolle zuweisen. Verwenden Sie Application Calendars.ReadWrite, weil Gfacility Buchungen in Kalender schreibt. Mit nur Application Calendars.Read kommen Buchungen nie in Outlook an.

New-ManagementRoleAssignment `
  -Name "Gfacility-Calendars-Scoped" `
  -Role "Application Calendars.ReadWrite" `
  -App "<Application ID>" `
  -CustomResourceScope "Gfacility-DomainScope"

Get-ManagementRoleAssignment -App "<Application ID>" | Format-List Name,Role,CustomResourceScope

4. Mit einem Raum und einer Person testen:

Test-ServicePrincipalAuthorization -Identity "<Application ID>" -Resource "meetingroom1@contoso.com"
Test-ServicePrincipalAuthorization -Identity "<Application ID>" -Resource "employee@contoso.com"

Beide müssen InScope True anzeigen, mit Calendars.ReadWrite.

Siehe auch die Microsoft-Anleitung zu Application RBAC in Exchange Online.

4. Die Angaben in Gfacility eintragen

Der Gfacility-Administrator trägt diese Angaben unter Integrationen & Anmeldung → Office 365 → Servicekonto (App-Registrierung) ein und klickt auf Verbindung testen. Oder Sie geben sie an uns weiter:

Anwendungs-ID (Client)
Verzeichnis-ID (Mandant)
Wert des geheimen Clientschlüssels

Geben Sie diese vertraulichen Angaben auf sicherem Weg weiter (über einen Link aus einem Passwortmanager), niemals lose in einer E-Mail.

← Zurück: Raumverwaltung in Microsoft Weiter: Mit Microsoft anmelden→