SSO mit Microsoft Entra ID einrichten

Richte SSO mit einem bestehenden Workforce-Tenant von Microsoft Entra ID ein. Wir haben den grundlegenden Ablauf im September 2026 von Hand mit Entra ID Free getestet. Wie Du einen Tenant anlegst, erklärt diese Anleitung nicht. Persönliche Einstellungen, Kontoverknüpfung und mehrere Organisationen erklärt die SSO-Hilfe.

Bevor Du beginnst

• SSO muss verfügbar sein: in jedem Plan von Kanroo Cloud oder bei selbst gehostetem Enterprise.
• Melde Dich bei Kanroo persönlich per E-Mail als Inhaber der Organisation an.
• Du brauchst in Entra die Rechte, Anwendungen zu registrieren, Benutzer zuzuweisen und Administratorzustimmung zu erteilen.
• Inhaber und Mitglieder brauchen für die erste E-Mail-Bestätigung Zugriff auf ihr Kanroo-Postfach.
• Der Kanroo-Server und der Browser müssen Microsoft über HTTPS erreichen. Betreiber einer selbst gehosteten Installation müssen den OIDC-Verschlüsselungs-Keyring einrichten, bevor sie ein Client Secret speichern.

1. Anwendung registrieren

Kopiere die Weiterleitungs-URL aus Organisationseinstellungen → SSO in Kanroo. Öffne in Entra Entra ID → App registrations → New registration:

Einstellung	Wert
Name	Kanroo
Supported account types	Accounts in this organizational directory only / Single tenant
Redirect URI platform	Web
Redirect URI	Die exakte Weiterleitungs-URL, kopiert aus Kanroo

Registriere die Anwendung. Kopiere unter Overview die Application (client) ID und die Directory (tenant) ID. Siehe Microsofts Anleitung zur Registrierung.

Öffne Certificates & secrets → Client secrets → New client secret. Wähle eine Beschreibung und eine Ablaufzeit und füge das Secret hinzu. Kopiere Value, nicht Secret ID, bevor Du die Seite verlässt. Halte den Wert geheim und ersetze das Secret in Kanroo, bevor es abläuft.

Kanroo nutzt derzeit die Authentifizierung per Client Secret. Microsoft empfiehlt für den Produktivbetrieb Zertifikate oder föderierte Anmeldedaten. Die OIDC-Einstellungen von Kanroo unterstützen diese Methoden derzeit nicht. Siehe Microsofts Hinweise zu Anmeldedaten.

2. Benutzer zuweisen und ihre E-Mail-Adresse mitsenden

Setze unter Entra ID → Enterprise applications → Kanroo → Properties die Option Assignment required? → Yes und speichere. Weise unter Users and groups → Add user/group den Inhaber und die vorgesehenen Mitglieder einzeln zu. Für die Nutzung von Kanroo braucht niemand eine administrative Rolle in Entra. Siehe Microsofts Hinweise zur Zuweisung.

Setze für jeden Benutzer Users → user → Properties → Contact information → Email auf die Kanroo-E-Mail-Adresse, unter der er erreichbar ist. Sein Microsoft-Anmeldename kann name@your-tenant.onmicrosoft.com bleiben. Dieser Name und die E-Mail-Adresse dienen unterschiedlichen Zwecken.

Kehre zu App registrations → Kanroo zurück:

1. Wähle unter Token configuration → Add optional claim den Token-Typ ID, markiere email und füge den Claim hinzu. Stimme zu, wenn Entra anbietet, die Berechtigung email hinzuzufügen.
2. Füge unter API permissions die Microsoft-Graph-Delegated permissions openid und email hinzu, falls sie fehlen. Für die Anmeldung bei Kanroo ist die Standardberechtigung User.Read nicht nötig.
3. Wähle Grant admin consent for … und bestätige. Ist die Zuweisung Pflicht, ist die Administratorzustimmung nötig. Benutzer können in dieser Konfiguration nicht selbst zustimmen.

Siehe Optional Claims und Zuweisung und Zustimmung.

3. Organisation verbinden

(vergrößern)

Prüfe in Kanroo unter Organisationseinstellungen → SSO, ob die Weiterleitungs-URL (Rahmen 1) mit der registrierten übereinstimmt. Gib dann diese Werte in die Felder des Identitätsanbieters ein (Rahmen 2):

Feld	Wert
Issuer-URL	https://login.microsoftonline.com/<tenant-id>/v2.0
Client-ID	Application (client) ID
Client-Secret	Der Wert aus Value des Secrets

Ersetze <tenant-id> durch die UUID aus Directory (tenant) ID. Nutze diesen Issuer Deines Tenants, nicht common, nicht organizations und keine /.well-known/…-URL. Siehe Microsofts Hinweise zur Prüfung des Issuers.

Wähle Entwurf speichern (Rahmen 3) und dann Testen und verbinden. Melde Dich mit dem zugewiesenen Microsoft-Benutzer des Inhabers an. Schließe eine geforderte Passwortänderung oder MFA-Einrichtung ab und gib dann den E-Mail-Code von Kanroo ein. Danach sollte der Identitätsanbieter Verbunden zeigen. Lass SSO erzwingen aus, bis der Zugriff für Mitglieder funktioniert.

Microsoft kann ein bestehendes Microsoft-Konto automatisch wiederverwenden. Nutze für diese Verbindung das vorgesehene Konto. Wählt Microsoft immer wieder das falsche Konto, hilft der Abschnitt Warum nutzt die SSO-Anmeldung das falsche Konto?

4. Zugriff der Mitglieder prüfen und SSO verlangen

Lade Mitglieder in Kanroo ein oder schalte den automatischen Beitritt (JIT) ein. Mit JIT treten zugewiesene Entra-Benutzer als Mitglied bei, im Rahmen der Limits der Organisation. Auf der Anmeldeseite von Kanroo wählen Mitglieder Mit SSO fortfahren und geben den Slug der Organisation ein. Oder sie öffnen den Link zur SSO-Anmeldung, den Du unter Organisationseinstellungen → SSO kopierst. Er wählt die Organisation schon vor.

Die erste Anmeldung verlangt eine E-Mail-Bestätigung durch Kanroo. Liefert Microsoft keinen E-Mail-Claim, fragt Kanroo nach einer Adresse und bestätigt sie. Spätere Anmeldungen mit derselben verknüpften Identität fragen nicht erneut nach dem Verknüpfungscode. Bestehende Rollen bleiben unverändert. Ein neues JIT-Mitglied erhält die Rolle „Mitglied“.

Erzeuge als Inhaber unter Organisationseinstellungen → SSO die Wiederherstellungscodes, bestätige den E-Mail-Code, speichere die Codes und bestätige, dass Du sie gespeichert hast. Schalte SSO erzwingen ein. Melde dann in einer separaten Sitzung ein Mitglied persönlich an: Für den Zugriff auf diese Organisation muss Kanroo jetzt eine Entra-Anmeldung verlangen.

Wiederherstellung, das Sitzungsverhalten des Identitätsanbieters und das Offboarding erklärt die SSO-Hilfe. Entferne ausscheidende Mitglieder auch in Kanroo. Werden sie nur in Entra deaktiviert, endet ihr bestehender SSO-Zugriff auf Kanroo nicht sofort.