Microsoft Exchange Online mit OAuth2-Authentifizierung

Der Cryptshare-Server kann E-Mails über Microsoft Exchange Online versenden. Da Microsoft die Basisauthentifizierung für die Verbindung mit der SMTP-Schnittstelle eingestellt hat, kann der Cryptshare-Server nun über die OAuth 2.0-Authentifizierung auf diese Schnittstelle zugreifen.

App-Registrierung in der Microsoft Entra-Plattform

Die genauen Vorgehensweisen können sich ändern: Microsoft kann den genauen Ablauf der Anwendungsregistrierung ohne Vorankündigung ändern. Es wird empfohlen, sich mit dem aktuellen Verfahren zur Registrierung einer Anwendung bei der Microsoft Identity Platform vertraut zu machen.
Ist Cryptshare for Outlook bereits konfiguriert? Separate Konfiguration erforderlich! Wenn Sie Cryptshare for Outlook bereits nutzen, ist es aufgrund unterschiedlicher Berechtigungen und Abläufe erforderlich, eine separate Konfiguration anzulegen.

  1. Melden Sie sich im Microsoft Entra Admin Center mit einem Konto an, das über die Rolle Cloud-Anwendungsadministrator oder höher verfügt.

  2. Wenn Sie Zugriff auf mehrere Tenants haben, wechseln Sie über das Symbol „Einstellungen“ im oberen Menü zu dem Tenant, in dem Sie Cryptshare for Outlook verwenden möchten.

    EntraSettings

    CurrentEntraDirectory

  3. Navigieren Sie über die Seitenleiste zu Entra ID > App-Registrierungen.

    EntraAppRegistrations

  4. Erstellen Sie eine neue Registrierung, indem Sie auf Neue Registrierung klicken.

    EntraNewRegistration

  5. Erstellen Sie Ihre neue Anwendung mit den folgenden Einstellungen:

    OAuthEntraRegistering

    • Der Anwendungsname kann frei gewählt werden.

    • Wählen Sie den Kontotyp Konten in diesem Organisationsverzeichnis nur (<Ihr Firmenname> nur – Single Tenant) aus.

    • Legen Sie keine Weiterleitungs-URI fest.

  6. Sobald die Anwendung registriert wurde, kopieren Sie bitte die Anwendungs- (Client-)ID und die Verzeichnis- (Tenant-) ID.

    Application and tenant ids

  7. Wählen Sie in der Seitenleiste der App-Registrierung den Menüpunkt Zertifikate & Geheimnisse aus, wechseln Sie zur Registerkarte Client-Geheimnisse und wählen Sie Neues Client-Geheimnis.

    • Die Beschreibung kann frei gewählt werden.

    • Wählen Sie den gewünschten Wert für Ablaufdatum aus. Die maximale Dauer, die ausgewählt werden kann, beträgt zwei Jahre. Bitte beachten Sie, dass Sie nach Ablauf dieses Zeitraums ein neues Client-Geheimnis erstellen und es im Cryptshare-Server Server speichern, damit der Cryptshare-Server auch nach dem Ablaufdatum weiterhin E-Mails versenden kann

  8. Wir empfehlen, einen Kalendereintrag oder eine andere Erinnerung einzurichten.

    • Klicken Sie auf Hinzufügen.

    • Auf der nächsten Seite sehen Sie den soeben erstellten geheimen Client-Schlüssel

  9. Kopieren Sie die Zeichenfolge, die in der Spalte Wert angezeigt wird (nicht die Secret ID).

    Der geheime Client-Schlüssel wird nur einmal angezeigt und kann nach dem Verlassen der Seite nicht mehr eingesehen werden.

    New client secret

  10. Wählen Sie anschließend den Menüpunkt API-Berechtigungen in der Seitenleiste der App-Registrierung aus.

  11. Klicken Sie auf Berechtigung hinzufügen und wählen Sie die Registerkarte APIs, die meine Organisation nutzt. Wählen Sie Office 365 Exchange Online, dann Anwendungsberechtigungen und fügen Sie SMTP.SendAsApp hinzu, damit diese in der Liste angezeigt werden.

    Add permission

    Application permissions

    Smtp sendasapp

  12. Klicken Sie auf Administratorzustimmung für <Name Ihres Unternehmens> erteilen und bestätigen Sie mit Ja.

    Grant admin consent

  13. Gehen Sie zum Abschnitt Unternehmens-Apps und kopieren Sie den Wert aus der Spalte Objekt-ID Ihrer neu hinzugefügten Anwendung.

    Diese Objekt-ID unterscheidet sich von der Objekt-ID, die Sie im Menüpunkt App-Registrierungen finden

  14. Die Objekt-ID aus dem Menüpunkt Unternehmens-Apps wird für einen der nachfolgenden Schritte benötigt.)

    Object id

  15. Fahren Sie nun mit der Konfiguration in Exchange Online PowerShell fort.

App-Konfiguration in Exchange Online PowerShell

  1. Die Einrichtungsschritte können sich jederzeit ändern

Microsoft behält sich vor, den genauen Prozess der Anwendungsregistrierung ohne vorherige Ankündigung zu ändern. Wir empfehlen Ihnen, [https://learn.microsoft.com/en-us/exchange/client-developer/legacy-protocols/ how-to-authenticate-an-imap-pop-smtp-application-by-using-oauth#use-client-credentials-grant-flow-to-authenticate-smtp-imap-and-pop-connections , um sich mit dem aktuellen Verfahren zur Registrierung einer Anwendung bei der Microsoft Identity Platform vertraut zu machen.

  1. Öffnen Sie eine PowerShell-Konsole auf Ihrem lokalen Windows-PC.

  2. Installieren Sie die Exchange Online PowerShell und stellen Sie eine Verbindung her:

    1. Die Exchange Online PowerShell-Skripte wurden nicht digital von Microsoft signiert. Daher müssen Sie die Ausführung nicht signierter Skripte zulassen: Set-ExecutionPolicy -ExecutionPolicy Bypass -Scope Process .

    2. Installieren Sie die ExchangeOnlineManagement-Module: Install-Module -Name ExchangeOnlineManagement

    3. Machen Sie die installierten Module in der aktuellen PowerShell- Sitzung verfügbar: Import-Module ExchangeOnlineManagement

    4. Stellen Sie mithilfe Ihrer Verzeichnis- (Tenant-)ID aus Schritt 6 oben eine Verbindung zu Exchange Online her: Connect-ExchangeOnline -Organization <Verzeichnis- ID>

    5. Melden Sie sich im sich öffnenden Fenster bei Microsoft Entra an.

  3. Erstellen Sie einen neuen Dienstprinzipal für die Anwendung unter Verwendung der Anwendungs- (Client-)ID aus Schritt 6 und der Objekt-ID aus Schritt 11: New-ServicePrincipal -AppId <Anwendungs-ID> -ObjectId <Objekt- ID>

  4. Listen Sie anschließend alle vorhandenen Dienstprinzipale mit Get-ServicePrincipal | fl auf und suchen Sie den Eintrag, dessen AppId (Anwendungs-ID) und ObjectId (Objekt-ID) mit denen aus dem vorherigen Schritt identisch sind. Von diesem Eintrag benötigen Sie dann den Wert der unter „Sid“ angegebenen Dienstprinzipal-ID.

  5. Weisen Sie nun der E-Mail-Adresse, die zum Versenden von Cryptshare-E-Mails verwendet wird, die erforderlichen Berechtigungen zu: Add-MailboxPermission -Identity „<Absender-E-Mail-Adresse>“ -User <Service-Principal-ID> -AccessRights FullAccess.

  6. Fahren Sie nun mit der Konfiguration auf dem Cryptshare-Server fort.

Konfiguration auf dem Cryptshare-Server

Oauth2 setting

  1. Stellen Sie eine Verbindung zur Cryptshare-Administrationsoberfläche her.

  2. Navigieren Sie zum Menü Systemeinstellungen > Mailserver.

  3. Wählen Sie dort den Wert Microsoft Exchange Online mit OAuth2 -Authentifizierung als SMTP-Servertyp aus.

  4. Stellen Sie sicher, dass die E-Mail-Adresse, für die zuvor die Postfachberechtigung angelegt wurde, im Feld Absenderadresse eingetragen ist.

  5. Stellen Sie sicher, dass das Kontrollkästchen neben *Verwendung individueller Absenderadressen zulassen

    • deaktiviert ist.

  6. Geben Sie im Feld Verzeichnis- (Tenant-)ID den Wert der Verzeichnis- (Tenant-)ID ein.

  7. Geben Sie im Feld Anwendungs- (Client-)ID den Wert der Anwendungs- (Client-)ID ein.

  8. Geben Sie im Feld Client-Secret den Wert des Client-Secrets ein.

  9. Klicken Sie auf Änderungen speichern.

  10. Sie können sich eine Test-E-Mail senden, indem Sie eine beliebige E-Mail-Adresse in das Feld Mit Adresse testen eingeben und auf Testnachricht senden klicken.

  11. Stellen Sie anschließend sicher, dass dieselbe Absenderadresse auch in den Policy-Regeln definiert ist und dass das Kontrollkästchen Verwendung individueller Absenderadressen zulassen nicht aktiviert ist.