Microsoft 365 und Entra ID¶
Dayprep kann Mail und Kalender direkt über Microsoft Graph lesen. Das ist ein Premium Konnektor und braucht eine App-Registrierung in Entra ID, die die IT der Firma anlegt. Ohne diese Freigabe liest Dayprep unter Windows lokal aus Outlook und Teams (Mail, Kalender und Chat). Unter Windows muss die IT deshalb nichts zwingend freigeben.
Getrennt davon gibt es die Anmeldung im Kontoportal mit Microsoft 365 (unten). Sie braucht keine Graph-Rechte.
App-Registrierung für Microsoft Graph¶
| Einstellung | Wert |
|---|---|
| Name | zum Beispiel «Dayprep» |
| Unterstützte Kontotypen | nur Konten in diesem Organisationsverzeichnis (Single Tenant) |
| Plattform | Mobile und Desktop |
| Umleitungs-URIs | http://localhost (Anmeldung im System-Browser mit PKCE; MSAL wählt einen freien Port) und https://login.microsoftonline.com/common/oauth2/nativeclient (Rückfall mit Gerätecode) |
| Optional für den Windows-Broker (WAM) | ms-appx-web://Microsoft.AAD.BrokerPlugin/ gefolgt von der Anwendungs-ID |
| Öffentliche Clientflows zulassen | Ja (Anmeldung per Gerätecode) |
| Client-Secret, Zertifikat | keine |
| Zuweisung erforderlich | empfohlen: Ja, zuerst für eine Pilotgruppe |
Rechte (nur delegiert)¶
Dayprep nutzt nur delegierte Rechte, keine Anwendungsberechtigungen. Es sieht damit nur die Daten der angemeldeten Person, nie fremde Postfächer.
| Recht | Wofür |
|---|---|
User.Read |
Anmeldung, eigener Name und Adresse |
Mail.Read |
eigene Mails lesen (Briefing, Kontext für Entwürfe) |
Calendars.Read |
eigene Termine lesen (Briefing, Meeting-Vorbereitung, Terminvorschläge) |
offline_access |
Anmeldung bleibt erhalten, ohne tägliches Neuanmelden |
Mail.ReadWrite |
ausschliesslich, um einen Antwortentwurf im eigenen Entwurfsordner anzulegen (createReply), erst nach Bestätigung durch die Person |
Ist die Benutzerzustimmung im Tenant eingeschränkt, braucht es eine Administratorzustimmung für diese delegierten Rechte, zum Beispiel begrenzt auf die Pilotgruppe.
Später, für Teams über Microsoft 365 (geplant): Chat.Read für die eigenen Chats.
Was über Graph läuft¶
- Leseanfragen für Mail und Kalender beim Abgleich.
POST …/createReplynur nach Bestätigung im Dashboard. Das legt einen Entwurf an. Senden, Löschen, Verschieben und Termine anlegen sind im Programm gesperrt und durch Tests abgesichert.- Jede Anfrage läuft durch eine Allowlist im Programm.
Anmeldung und Tokens¶
- Knopf «Mit Microsoft 365 anmelden» unter Konnektoren. Die Anmeldung läuft im System-Browser mit Autorisierungscode
und PKCE. Der Rücksprung geht an einen nur für diese Anmeldung geöffneten Empfänger auf
http://localhost. - Authority: die Verzeichnis-ID des Tenants, sonst
organizations(nur Arbeits- und Schulkonten). - Der Token-Cache liegt nur im Schlüsselbund (Windows Anmeldeinformationsverwaltung mit DPAPI, macOS Schlüsselbund), nie in Dateien, Antworten oder Logs. «Abmelden» löscht ihn.
- Ohne gültige Anmeldung liest Dayprep mit der Quelle
autostill lokal weiter und meldet im Systemstatus «Bitte neu anmelden».
In Dayprep eintragen¶
Die IT gibt zwei Werte weiter:
- Anwendungs-ID (Client-ID)
- Verzeichnis-ID (Tenant-ID)
Die Person trägt sie im Setup-Assistenten bzw. in den Einstellungen ein. In der Einstellungsdatei heissen sie
GRAPH_CLIENT_ID und GRAPH_TENANT_ID. Bei einer Verteilung lassen sie sich dort vorgeben.
Anmeldung im Kontoportal mit Microsoft 365¶
Das Kontoportal (portal.dayprep.app) bietet «Mit Microsoft 365 anmelden». Dafür nutzt es eine eigene
App-Registrierung von Dayprep für Organisationskonten. Es fragt keine Graph-Rechte an, nur openid und
profile. Gelesen werden Tenant-ID, Objekt-ID, Adresse, Name und die Verzeichnisrollen aus dem ID-Token.
Tenant einer Firma zuordnen¶
Einen Microsoft-365-Tenant bindet nur, wer im ID-Token eine dieser Rollen hat:
- Global Administrator
- Privileged Role Administrator
- Application Administrator
- Cloud Application Administrator
Ohne Adminrolle lässt sich eine Firma trotzdem anlegen; Mitarbeitende werden dann per Mail eingeladen. Private Microsoft-Konten werden nie einer Firma zugeordnet.
Mitarbeitende aufnehmen¶
- Standard: Beitrittsanfrage. Wer sich mit Microsoft aus dem zugeordneten Tenant anmeldet, stellt eine Anfrage. Admins nehmen sie im Portal an oder lehnen sie ab. Offene Anfragen werden nach 30 Tagen gelöscht.
- Automatische Aufnahme: nur, wenn der Admin den Schalter «Mitarbeitende mit Microsoft 365 automatisch aufnehmen» einschaltet (Standard aus). Dann werden sie bis zur Platzgrenze ohne Rückfrage Mitglied.
- Einladung per Mail geht immer, auch ohne Tenant.
Mehr zum Portal: Konfiguration und Richtlinien.