Microsoft-SSO, Benutzer-Sync und Branding sicher ausrollen
Ein praxistauglicher Betriebsweg von der Tenant-Zuordnung über Entra-ID-Härtung bis zum barrierearmen Markenauftritt.
Was du in diesem Tutorial tust
Du richtest Microsoft-SSO kontrolliert ein, trennst Anmeldung und Benutzer-Provisionierung sauber voneinander und gestaltest die Organisation mit belastbaren Farbwerten. Am Ende besitzt du einen Rollout- und Rückfallplan.
Quellen und Stand
Geprüft gegen das AuxData-Administrator-Handbuch und das Microsoft-365-Berechtigungskonzept, Stand Juni 2026. Produktdetails können sich ändern; Tenant-ID, Berechtigungen und Abmeldeweg gehören deshalb in die Betriebsdokumentation.
SSO-Architektur verstehen
Ein gemeinsamer Microsoft-Login, aber eine eindeutige Zuordnung zur AuxData-Organisation.
1Zentraler Identity Provider
AuxData nutzt einen zentral konfigurierten Microsoft-Identity-Provider. Die Anmeldung läuft über den Microsoft-Endpunkt für mehrere Mandanten; die Tenant-ID aus dem Token ordnet die Person der richtigen AuxData-Organisation zu.
2Was SSO nicht erledigt
SSO bestätigt die Identität. Es erstellt nicht automatisch Benutzerkonten, verteilt keine AuxData-Rollen und synchronisiert keine Gruppen. Diese Aufgaben bleiben getrennte Administrationsschritte.
✓ Das hast du jetzt erledigt
Organisation vorbereiten
Vor dem ersten Login müssen Tenant und Benutzer sauber angelegt sein.
1Tenant-ID hinterlegen
Trage die Microsoft-Tenant-ID in der Organisation ein und prüfe sie Zeichen für Zeichen. Pro Organisation ist genau eine eindeutige Tenant-ID vorgesehen; eine falsche Zuordnung führt zu abgewiesenen oder fehlgeleiteten Anmeldungen.
2Benutzer vorab anlegen
Lege die Person in AuxData mit derselben E-Mail-Adresse an, die Microsoft liefert, und vergib die erforderlichen Rollen oder Gruppen. Für SSO selbst braucht die Kundenorganisation keine eigene Client-ID und kein eigenes Client-Secret.
✓ Das hast du jetzt erledigt
Consent und Zugriff härten
Minimale Berechtigungen plus vertraute Entra-ID-Schutzmechanismen.
1Einmalige Einwilligung
Beim ersten Login oder über eine Admin-Consent-URL wird die Unternehmensanwendung im Tenant autorisiert. Für die Anmeldung genügen die Identitätsbereiche openid, profile, email und User.Read.
2Enterprise App absichern
Aktiviere bei Bedarf die Zuweisungspflicht und weise nur freigegebene Benutzer oder Gruppen zu. Conditional Access kann MFA, verwaltete Geräte, Standorte oder Risikosignale erzwingen. Die Sichtbarkeit der App lässt sich ausblenden.
✓ Das hast du jetzt erledigt
Anmeldung testen
Fehler zuerst der richtigen Schicht zuordnen.
1Positiver Testpfad
Teste mit einem eigens angelegten Pilotkonto: Microsoft-Anmeldung, Consent, Rückleitung zu AuxData, Zuordnung zur Organisation und Zugriff auf die erlaubten Bereiche. Prüfe zusätzlich Abmeldung und erneute Anmeldung.
2Typische Fehlerbilder
Unbekannter Tenant weist auf die Organisationszuordnung. Benutzer nicht gefunden spricht für ein fehlendes Konto oder eine abweichende E-Mail. Eine Microsoft-Zugriffsblockade gehört zu Consent, App-Zuweisung oder Conditional Access.
✓ Das hast du jetzt erledigt
SSO und Benutzer-Sync trennen
Anmelden ist nicht dasselbe wie Konten verwalten.
1Zwei getrennte Prozesse
SSO authentifiziert vorhandene Benutzer. Eine Microsoft-Graph-Synchronisierung kann dagegen Konten erstellen, deaktivieren oder reaktivieren. Sie benötigt eigene technische Berechtigungen und sollte auf definierte Gruppen begrenzt werden.
2Offboarding
Ein belastbarer Austrittsprozess entzieht zuerst den Identitätszugriff und anschließend lokale Rollen, Gruppen und Inhalte gemäß Aufbewahrungskonzept. Prüfe dabei auch geteilte Agenten, Projekte und Wissen.
✓ Das hast du jetzt erledigt
Organisations-Branding konfigurieren
Dunkles und helles Theme mit kontrollierbaren Design-Tokens.
124 Farbwerte
Je Theme stehen zwölf Werte bereit: Primärakzent, Button-Hintergrund, AI-Violett, Such-Cyan, App-Hintergrund, Karten, Hover, Rahmen, Text, Sekundärtext, Fehler und Erfolg. Zusammen ergeben dunkles und helles Theme 24 Werte.
2Vorschau und Kontrast
Nutze die Live-Vorschau, speichere gültige sechsstellige Hexwerte mit Raute und teste beide Themes. Einzelne Tokens oder alle Werte lassen sich zurücksetzen; deaktivierte Branding-Werte bleiben gespeichert.
✓ Das hast du jetzt erledigt
Rollout und Rückfall planen
Erst Pilot, dann Breite — mit dokumentierter Rückkehr.
1Stufenweiser Rollout
Beginne mit Admins und einer kleinen Pilotgruppe. Nimm Anmeldung, Rollen, Gruppenfilter, Offboarding, beide Themes und eingebettete Widgets ab. Rolle danach gruppenweise aus und beobachte Fehlermeldungen sowie Supportfälle.
2Runbook
Halte Tenant-ID, Verantwortliche, Consent-Datum, App-Zuweisungen, Conditional-Access-Regeln, Sync-Gruppen, Branding-Freigabe und Rückfallentscheidung fest. Der Widerruf der Enterprise App beendet den Microsoft-Consent.
✓ Das hast du jetzt erledigt
SSO und Branding sind roll-out-fähig!
Du kannst Microsoft-Anmeldung, Benutzer-Lifecycle und Markenauftritt getrennt planen und kontrolliert in Betrieb nehmen. Damit ist Track D fachlich vollständig.
Sitzt der sichere Rollout?
7 Fragen aus den Stufen 1–7. Zur Selbstkontrolle und beliebig oft wiederholbar.