OIDC mit Entra

OpenID Connect OIDC ist ein Identitätsprotokoll, das auf OAuth 2.0 aufbaut und eine sichere Authentifizierung sowie Autorisierung für Web- und Mobile-Anwendungen ermöglicht. Es erlaubt Nutzer, sich sicher bei verschiedenen Diensten anzumelden, während Dienstanbieter gleichzeitig auf verifizierte Identitätsinformationen zugreifen können. In diesem Artikel wird die Konfiguration von OIDC in Relution Schritt für Schritt am Beispiel von Microsoft Azure erklärt.

Einstellungen in Relution #

OpenID Connect OIDC kann im Relution-Portal unter Einstellungen → OpenID Connect konfiguriert werden. Die folgenden Screenshots zeigen eine funktionierende Konfiguration mit Microsoft Azure.

Details zur Konfiguration #

Name des Anbieters: Wird auf dem Login Button im Relution-Portal angezeigt. Unbekannte Benutzer in Relution anlegen: Aktiviert die automatische Erstellung neuer, unbekannter Benutzer beim ersten Login in Relution.

Erfolgt ein Login mit einem unbekannten Benutzer auf der Store Organisation mit aktivierter OIDC-Konfiguration, wird dieser automatisch in der Store Organisation angelegt. Bei mehreren Mandanten mit OIDC Konfiguration muss der Login über die Organisations-URL erfolgen, damit der unbekannte Benutzer in der entsprechenden Organisation angelegt wird. Diese URL wird im Portal bei den OIDC Verbindungen angezeigt.

Client-Details #

ClientID Entspricht in Azure der Anwendungs-ID Client Secret Entspricht in Azure dem geheimen Clientschlüssel zur Anwendungs-ID.

Server URIs #

Discovery-Endpunkt verwenden Wenn vom Provider unterstützt, erfolgt eine automatische Konfiguration der benötigten URIs Manuelle Konfiguration der Endpunkte Notwendig, sobald das automatische Discovery nicht funktioniert.

Bei Verwendung von Microsoft Azure müssen die Endpunkte manuell eingetragen werden.

• Authorization URI
  https://login.microsoftonline.com/$-Ihre-Mandanten-ID/oauth2/v2.0/authorize

• JWK Set URI
  https://login.microsoftonline.com/$-Ihre-Mandanten-ID/discovery/v2.0/keys

• Token URI
  https://login.microsoftonline.com/$-Ihre-Mandanten-ID/oauth2/v2.0/token

• User Info URI
  https://graph.microsoft.com/oidc/userinfo

Erweiterte Konfiguration #

Username attribute from OIDC Provider Das Username Attribute vom OIDC Provider enthält den eindeutigen Benutzernamen des authentifizierten Nutzers.

Username attribute from Relution Das Username Attribute in Relution enthält den eindeutigen Benutzernamen des authentifizierten Nutzers.

Authorization Grant Type: Legt fest, über welchen OAuth-Mechanismus die Anwendung Zugriff erhält.

Scope: Bestimmt, welche Informationen oder Ressourcen von Relution über OIDC angefordert werden dürfen.

Einstellungen in Azure #

Neue App-Registrierung anlegen #

1. Anmeldung im Azure Portal, weiter auf Microsoft Entra ID

   

2. Neue App-Registrierung → Neue Registrierung für OIDC anlegen

   

3. Anwendung benennen, Kontotyp Nur Konten in diesem Organisationsverzeichnis wählen und registrieren

   

Geheimen Clientschlüssel (Client Secret) unter Zertifikate & Geheimnisse hinzufügen #

1. Das benötigte Client Secret wird unter Ein Zertifikat oder Geheimnis hinzufügen erstellt

   

2. Über Neuer geheimer Clientschlüssel kann die Beschreibung und Gültigkeitsdauer Gültig bis festgelegt werden

   

3. Der Client Schlüssel kann direkt kopiert werden

   

API-Berechtigungen konfigurieren #

1. Unter API-Berechtigungen → Konfigurierte Berechtigungen auf Berechtigung hinzufügen klicken

2. Unter Microsoft-APIs den Microsoft Graph unter im Dialogfenster API-Berechtigungen anfordern auswählen

   

3. Anwendungsberechtigungen auswählen

4. Berechtigung User.Read.All für User aktivieren

Bei den neu hinzugefügten API-Berechtigungen wird als Status initial ein Ausrufezeichen angezeigt. Administratoren müssen hier einmal zustimmen, damit Microsoft Graph die Berechtigungen erhält. Anschließend wird der Status mit grünem Häkchen für Gewährt dargestellt und die Berechtigungen sind erteilt.

Umleitungs-URI hinzufügen #

Die Umleitungs-URI wird im Relution-Portal angezeigt sobald die Verbindung konfiguriert und gespeichert wurde.

Wo sie zu finden sind: Die exakten Redirect-URIs für die jeweilige Instanz werden im Relution-Portal unter Einstellungen → OpenID Connect angezeigt, sobald die Verbindung gespeichert wurde. Sie sollten von dort kopiert werden, anstatt sie manuell zusammenzubauen.

Vor 26.4 (Legacy — eine Redirect-URI):

https://<host>/login/oauth2/code/<registrationId>

Ab 26.4 (scoped — alle zutreffenden registrieren):

https://<host>/api/management/login/oauth2/code/<registrationId>
https://<host>/api/device/login/oauth2/code/<registrationId>
https://<host>/api/teacher/login/oauth2/code/<registrationId>          # nur Education-Lizenz
https://<host>/api/management/logout/connect/back-channel/<registrationId>   # Back-Channel-Logout

Beim Upgrade sollten die scoped URIs zur bestehenden Entra App-Registrierung hinzugefügt werden. Die Legacy-URI funktioniert weiterhin, ist aber veraltet und wird in einer zukünftigen Version entfernt. Die <registrationId> ist die OIDC-Konfigurations-UUID, die in Relution angezeigt wird.

Hinweise #

Backchannel Logout #

Relution unterstützt den Backchannel Logout ab Server Version 5.32.0

Beispiel-Szenario: Ein Benutzer ist gleichzeitig über SSO bei mehreren Anwendungen angemeldet. Beim Logout vom SSO-Dienst sorgt der Backchannel Logout dafür, dass die Sitzungen in allen anderen Anwendungen ebenfalls beendet werden, auch wenn diese im Hintergrund laufen.

Voraussetzungen für Entra Benutzer für OIDC #

Logout-Verifizierung #

Beide Logout-Pfade vor der Inbetriebnahme überprüfen:

• Front-Channel-Logout: Der Benutzer klickt auf Abmelden in Relution — die Sitzung wird widerrufen und der Browser wird zum IdP-Logout-Endpunkt weitergeleitet.
• Back-Channel-Logout: Der IdP sendet eine Logout-Benachrichtigung an Relution — die Sitzung wird ohne Benutzerinteraktion widerrufen.

Beide Pfade testen, um sicherzustellen, dass eine vom IdP initiierte Sitzungsbeendigung (z. B. über die IdP-Administrationskonsole) korrekt an Relution weitergegeben wird.