Einrichtung der Microsoft Graph API für den E-Mail-Versand

Diese Anleitung erklärt, wie Sie die Administratoreinwilligung Ihrer Organisation für unsere mandantenübergreifende App zum E-Mail-Versand erteilen und deren Zugriff so einschränken, dass sie E-Mails nur über ein festgelegtes Postfach senden kann (z. B. noreply@yourdomain.com). Auch wenn Sie nur über begrenzte IT-Erfahrung verfügen, helfen Ihnen die hier bereitgestellten Schritt-für-Schritt-Anweisungen und Voraussetzungen dabei, die Einrichtung mit den auf Ihrem PC installierten Tools abzuschließen.

Hinweis:
Wenn Sie Unterstützung benötigen, erstellen Sie bitte ein Support-Ticket unter eniris.io/support.

Inhaltsverzeichnis

• Übersicht
• Voraussetzungen
• Schritt 1: Administratoreinwilligung erteilen
• Schritt 2: Ihre Mandantendetails erfassen
• Schritt 3: Zugriffsbeschränkungen konfigurieren
• Zusätzliche Informationen und Ressourcen
• Wählen Sie

Übersicht

Unsere App zum E-Mail-Versand verwendet die Microsoft Graph API mit Anwendungsberechtigungen, um E-Mails über ein festgelegtes Postfach zu senden. Um diese Funktion zu aktivieren, muss Ihr Administrator:

1. Der App eine mandantenweite Einwilligung erteilen.
2. Uns Ihren Domänennamen, Ihre Mandanten-ID und die E-Mail-Adresse mitteilen, die Sie verwenden möchten (z. B. noreply@yourdomain.com).

Diese Angaben finden Sie in der Mandantenübersicht unter Microsoft Entra.

Voraussetzungen

Stellen Sie vor Beginn sicher, dass Ihnen Folgendes zur Verfügung steht:

• Administratoranmeldedaten: Sie müssen über die Rolle „Globaler Administrator“ für Ihren Microsoft 365-Mandanten verfügen.
• Zugriff auf Microsoft Entra: Sie müssen Ihre Mandantendetails unter Microsoft Entra.
• PowerShell auf Ihrem PC:
  • Windows PowerShell oder PowerShell Core.
  • Klicken Sie auf "Beanspruchen"ExchangeOnlineManagement-Modul durch Ausführen von:

    Install-Module -Name ExchangeOnlineManagement -Scope CurrentUser
    

• Grundkenntnisse: Erfahrung mit dem Kopieren und Einfügen von Befehlen in PowerShell. Keine Sorge, wenn Sie Anfänger sind – die folgenden Schritte sind ausführlich und leicht verständlich.

Schritt 1: Administratoreinwilligung erteilen

1. URL für die Administratoreinwilligung erstellen:
   Verwenden Sie das folgende URL-Format. Ersetzen Sie <YOUR-DOMAIN-NAME> durch Ihren tatsächlichen Domänennamen (wenn Ihre Domäne beispielsweise „contoso.com“ lautet, verwenden Sie diesen):

   https://login.microsoftonline.com/<YOUR-DOMAIN-NAME>/adminconsent?client_id=03126c25-5828-4b2e-aa6d-d97380cb1cb5&redirect_uri=https://eniris.io
   

2. URL aufrufen:
   Lassen Sie Ihren globalen Microsoft 365-Administrator sich in seinem Browser anmelden und die URL aufrufen. Es wird ein Einwilligungsdialog angezeigt, in dem die von unserer App angeforderten Berechtigungen aufgeführt sind (z. B. Mail.Send).

3. Einwilligung erteilen:
   Der Administrator sollte auf „Accept“ klicken, um die Einwilligung zu erteilen. Dadurch wird ein Dienstprinzipal für unsere App in Ihrem Mandanten erstellt und ihr das Senden von E-Mails ermöglicht.

4. Uns benachrichtigen:
   Erstellen Sie nach Erteilung der Einwilligung bitte ein Ticket unter eniris.io/support mit den folgenden Angaben:

• Ihr Domänenname.
• Ihre Mandanten-ID (zu finden in der Microsoft Entra-Mandantenübersicht).
• Die E-Mail-Adresse, die Sie zum Senden von E-Mails verwenden möchten (z. B. noreply@yourdomain.com).

Schritt 2: Ihre Mandantendetails erfassen

Unser Onboarding-Prozess erfasst Ihre Mandanten-ID automatisch, wenn der Administrator die Einwilligung erteilt. Wenn Sie diese jedoch manuell überprüfen müssen, können Sie:

• Sich bei Microsoft Entra.
• anmelden und Ihre Mandanten-ID von der Seite „Mandantenübersicht“ kopieren.

Schritt 3: Zugriffsbeschränkungen konfigurieren

Aus Sicherheitsgründen erstellen wir eine dedizierte Sicherheitsgruppe und verwenden sie, um den Zugriff der App ausschließlich auf Ihr festgelegtes Postfach zu beschränken. Damit wird das Prinzip der geringsten Berechtigung umgesetzt und sichergestellt, dass die App nur auf das absolut Notwendige zugreifen kann.

Erforderliche E-Mail-Sicherheitsgruppe erstellen

1. Beim Microsoft 365 Admin Center anmelden:
   Gehen Sie zu admin.microsoft.com aufrufen und sich mit Ihrem Administratorkonto anmelden.

2. Sicherheitsgruppe erstellen:

• Navigieren Sie zu „Groups“ > „Active groups“
• Klicken Sie auf „Add a group“
• 'Options'„Security“ als Gruppentyp auswählen und auf „Next“
• klicken. Geben Sie einen Namen (z. B. „Noreply Access Only“) und eine Beschreibung ein.
• Fügen Sie das Konto noreply@yourdomain.com als Mitglied hinzu.
• Klicken Sie auf **„Next“**Klicken Sie auf „Create group“

Zugriffsbeschränkungen anwenden

1. PowerShell öffnen:
   Führen Sie PowerShell auf Ihrem PC als Administrator aus.

2. Mit Exchange Online verbinden:
   Installieren Sie das ExchangeOnlineManagement-Modul (falls noch nicht installiert) und stellen Sie anschließend eine Verbindung her:

   Install-Module -Name ExchangeOnlineManagement -Scope CurrentUser
   Connect-ExchangeOnline -UserPrincipalName "<YOUR-ADMIN-EMAIL>"  # For example: admin@yourdomain.com
   

3. Anwendungszugriffsrichtlinie erstellen:
   Führen Sie den folgenden Befehl aus. Ersetzen Sie <YOUR-SECURITY-GROUP-EMAIL> durch die tatsächliche E-Mail-Adresse oder Objekt-ID Ihrer Sicherheitsgruppe:

   New-ApplicationAccessPolicy -AccessRight RestrictAccess -AppId "03126c25-5828-4b2e-aa6d-d97380cb1cb5" -PolicyScopeGroupId "<YOUR-SECURITY-GROUP-EMAIL>" -Description "Restrict app access to the noreply mailbox only"
   

4. Richtlinie überprüfen:
   Testen Sie die Funktion der Richtlinie, indem Sie den folgenden Befehl ausführen (ersetzen Sie den Platzhalter durch Ihre tatsächliche Noreply-E-Mail-Adresse):

   Test-ApplicationAccessPolicy -Identity "<YOUR-NOREPLY-EMAIL>" -AppId "03126c25-5828-4b2e-aa6d-d97380cb1cb5"
   

Sicherheitsaspekte

• Datentrennung: Der in Ihrem Mandanten erstellte Dienstprinzipal stellt sicher, dass die App nur im Rahmen der Richtlinie Zugriff erhält.
• Geringste Berechtigung: Die App fordert nur die Berechtigung Mail.Send an und wird zusätzlich auf ein einzelnes Postfach beschränkt.
• Überwachung: Wir empfehlen, Ihren Dienstprinzipal und die Anwendungszugriffsrichtlinie regelmäßig zu überprüfen.

Zusätzliche Informationen und Ressourcen

Häufige Probleme:

Fehler bei der Einwilligung:

• Überprüfen Sie die Berechtigungen des Administratorkontos unter Microsoft Entra-Rollen
• Überprüfen Sie die Anleitung zur Fehlerbehebung bei Einwilligungen
• Stellen Sie sicher, dass die URL korrekt erstellt wurde.

PowerShell-Fehler:

• Überprüfen Sie, ob das ExchangeOnlineManagement-Modul installiert und auf dem neuesten Stand ist.
• Stellen Sie sicher, dass Ihre Administratoranmeldedaten über ausreichende Berechtigungen verfügen.

Richtlinienüberprüfung:

• Verwenden Sie Test-ApplicationAccessPolicy zur Überprüfung der Zugriffsbeschränkungen
• Lesen Sie die Dokumentation zur Anwendungszugriffsrichtlinie