Mit Microsoft Entra ID (früher Azure Active Directory) melden sich Ihre Mitarbeiter mit ihrem Microsoft-365-Konto bei Schulungstool an. Sie registrieren Schulungstool einmalig als Anwendung in Ihrem Entra-Verzeichnis und übertragen drei Angaben in Schulungstool – die Verbindung steht in etwa zehn Minuten. Wie Single Sign-on grundsätzlich funktioniert und was die einzelnen Felder bedeuten, erklärt der Artikel Single Sign-on einrichten.

Vorbereitung in Schulungstool

Öffnen Sie im Administrationsbereich Einstellungen > Erweiterte Einstellungen > Single Sign-on und kopieren Sie die Redirect-URI mit dem Button Kopieren. Sie hat die Form https://ihre-firma.schulungstool.de/accounts/sso/callback/ und wird gleich in Entra benötigt.

Schulungstool in Microsoft Entra registrieren

Für die Registrierung genügt in Entra die Rolle Anwendungsentwickler. Für die Administratorzustimmung (siehe Anmeldung testen) und die Einstellungen für „Meine Apps“ brauchen Sie mindestens die Rolle Cloudanwendungsadministrator.

  1. Öffnen Sie das Microsoft Entra Admin Center und wählen Sie Entra ID > App-Registrierungen > Neue Registrierung. Haben Sie Zugriff auf mehrere Verzeichnisse, wechseln Sie vorher in das Verzeichnis Ihrer Mitarbeiter.
  2. Vergeben Sie den Namen „Schulungstool“. Wählen Sie bei Unterstützte Kontotypen die Option Nur einzelner Mandant, gefolgt vom Namen Ihres Verzeichnisses (in älteren Ansichten: Nur Konten in diesem Organisationsverzeichnis). Klicken Sie auf Registrieren.
  3. Wählen Sie in der neuen Anwendung Authentifizierung > Umleitungs-URI hinzufügen und die Plattform Web. Fügen Sie die Redirect-URI aus Schulungstool ein – exakt wie kopiert, inklusive https:// und des abschließenden Schrägstrichs – und klicken Sie auf Konfigurieren. Zeigt Ihr Registrierungsformular bereits ein Feld Umleitungs-URI, können Sie die Adresse auch direkt dort mit der Plattform Web eintragen.
  4. Auf der Seite Übersicht der neuen Anwendung kopieren Sie die Anwendungs-ID (Client) – das ist die Client-ID für Schulungstool.
  5. Klicken Sie oben auf Endpunkte und kopieren Sie die Adresse des OpenID Connect-Metadatendokuments – das ist die Discovery-URL für Schulungstool. Sie enthält bereits die ID Ihres Verzeichnisses.
  6. Wählen Sie Zertifikate & Geheimnisse > Geheime Clientschlüssel > Neuer geheimer Clientschlüssel. Vergeben Sie eine Beschreibung, wählen Sie die Gültigkeitsdauer und klicken Sie auf Hinzufügen. Kopieren Sie anschließend den Wert des Schlüssels – er wird nur jetzt einmalig vollständig angezeigt. Die daneben stehende Geheimnis-ID brauchen Sie nicht.

Tipp: Ein geheimer Clientschlüssel gilt höchstens 24 Monate, Microsoft empfiehlt kürzere Laufzeiten. Notieren Sie sich das Ablaufdatum in Ihrem Kalender: Legen Sie rechtzeitig vorher einen zweiten Schlüssel an, tragen Sie ihn in Schulungstool ein und löschen Sie den alten. Nach Ablauf schlägt die Anmeldung sonst fehl, bis ein neuer Schlüssel eingetragen ist.

In Schulungstool eintragen

  1. Klicken Sie unter Einstellungen > Erweiterte Einstellungen > Single Sign-on auf Single Sign-on einrichten.
  2. Tragen Sie als Beschriftung des Buttons zum Beispiel „Microsoft“ ein – Ihre Login-Seite zeigt dann Mit Microsoft anmelden.
  3. Fügen Sie die Discovery-URL, die Client-ID (Anwendungs-ID) und das Client-Secret (Geheimer Clientschlüssel) ein.
  4. Wählen Sie unter Standardgruppen für automatisch angelegte Benutzer die gewünschten Gruppen, setzen Sie das Häkchen bei Single Sign-on aktivieren und klicken Sie auf Änderungen speichern.

Anmeldung testen

Öffnen Sie Ihre Login-Seite in einem privaten Browserfenster und klicken Sie auf Mit Microsoft anmelden. Je nach Zustimmungseinstellungen Ihres Verzeichnisses fragt Microsoft beim ersten Mal, ob Schulungstool Sie anmelden und Ihren Namen und Ihre E-Mail-Adresse lesen darf. Erlaubt Ihr Unternehmen Benutzern diese Zustimmung nicht, erteilen Sie sie einmalig für alle: Wählen Sie in der App-Registrierung API-Berechtigungen > Berechtigung hinzufügen > Microsoft Graph > Delegierte Berechtigungen, aktivieren Sie openid, email und profile und klicken Sie auf Berechtigungen hinzufügen. Wählen Sie anschließend Administratorzustimmung für … erteilen und bestätigen Sie mit Ja.

Schulungstool lehnt meine Discovery-URL ab – warum?

Adressen mit common oder organizations (zum Beispiel https://login.microsoftonline.com/common/v2.0/…) gehören zu keinem bestimmten Verzeichnis: organizations gilt für Geschäfts-, Schul- oder Unikonten aus beliebigen Entra-Verzeichnissen, common zusätzlich für persönliche Microsoft-Konten. Sie enthalten deshalb keine eindeutige Verzeichnis-ID. Schulungstool braucht die Adresse Ihres Verzeichnisses – genau die, die Entra unter Endpunkte als OpenID Connect-Metadatendokument anzeigt. Alternativ genügt https://login.microsoftonline.com/<Verzeichnis-ID>/v2.0, die Verzeichnis-ID (Mandant) finden Sie auf der Seite Übersicht.

Soll Schulungstool im Portal „Meine Apps“ erscheinen?

Tragen Sie in der App-Registrierung unter Branding und Eigenschaften als URL der Startseite die Login-URL aus Schulungstool ein (https://ihre-firma.schulungstool.de/accounts/sso/login/). Neue App-Registrierungen sind in „Meine Apps“ standardmäßig ausgeblendet: Öffnen Sie Entra ID > Unternehmensanwendungen > Schulungstool > Eigenschaften, setzen Sie Für Benutzer sichtbar? auf Ja und weisen Sie unter Benutzer und Gruppen die Benutzer oder Gruppen zu, die die Kachel sehen sollen. Ein Klick auf die Kachel startet dann direkt die Anmeldung. Die Zuweisung steuert nur, wer die Kachel sieht: Solange Zuweisung erforderlich? auf Nein steht, können sich weiterhin alle Benutzer Ihres Verzeichnisses anmelden.

Ein Benutzer kann sich nicht anmelden – was prüfen?

Zeigt bereits Microsoft eine Fehlermeldung an, liegt die Ursache in der App-Registrierung – meist eine Umleitungs-URI, die nicht exakt mit der Redirect-URI aus Schulungstool übereinstimmt, oder eine fehlende Zustimmung. Zeigt dagegen Schulungstool eine Meldung, sind die häufigsten Ursachen: Der Benutzer hat in Entra weder eine E-Mail-Adresse noch einen Benutzernamen in E-Mail-Form (Schulungstool braucht eine Adresse zum Abgleich), die Option Unbekannte Benutzer automatisch anlegen ist ausgeschaltet und der Benutzer existiert noch nicht in Schulungstool, oder das Benutzerlimit Ihres Tarifs ist erreicht. Die Meldung auf der Login-Seite nennt den Grund.

Sie möchten die Einrichtung lieber gemeinsam mit uns durchgehen? Unser Support hilft kostenfrei: Schreiben Sie an support@schulungstool.de oder nutzen Sie Einstellungen > Erweiterte Einstellungen > Nachricht an Support senden.