Admin-Zustimmung für Microsoft-Integrationen

Bevor dein Team Microsoft-Integrationen in symbiofy nutzen kann, muss in den meisten Organisationen ein Microsoft- bzw. Entra-Administrator eine Zustimmung (Admin Consent) erteilen. In diesen Organisationen können Endnutzer Berechtigungen nicht selbst bestätigen — ein Entra-Administrator gibt sie für die gesamte Organisation frei.

Wichtig: Erklärt ist nicht gleich zugestimmt

Die symbiofy-App ist bei Microsoft als eine einzige Anwendung registriert. Sie deklariert die Vereinigungsmenge aller Berechtigungen sämtlicher Microsoft-Integrationen — also alles, was irgendeine Integration potenziell anfordern könnte.

Deine Organisation stimmt aber nur dem zu, was sie tatsächlich freigibt. Die Zustimmung erfolgt inkrementell pro Integration: Verbindet ein Administrator über symbiofy z. B. nur die Dataverse-Integration, stimmt deine Organisation auch nur deren Berechtigungen zu — nicht den Berechtigungen aller anderen Integrationen.

Eine Ausnahme bildet eine pauschale Zustimmung über das Microsoft Entra Admin Center: Dabei kann allen deklarierten Berechtigungen auf einmal zugestimmt werden — auch denen von Integrationen, die deine Organisation gar nicht nutzt. Wenn du die Zustimmung ohne symbiofy-Zugang erteilen möchtest, aber trotzdem nur bestimmte Berechtigungen freigeben willst, nutze die selektive Zustimmung per Link.

Warum ist die Admin-Zustimmung nötig?

Microsoft verlangt für bestimmte Berechtigungen (z. B. Zugriff auf SharePoint, Teams-Nachrichten oder Outlook-Kalender) eine organisationsweite Freigabe durch einen Administrator. Erst nach dieser Freigabe können einzelne Nutzer ihre Accounts verbinden.

Die symbiofy-App benötigt folgende Berechtigungen, je nach aktivierter Integration:

Detaillierte Berechtigungen (OAuth Scopes)

Die folgende Tabelle zeigt alle Berechtigungen, die symbiofy pro Microsoft-Integration anfordert. Alle Berechtigungen sind delegiert (Nutzerkontext) — symbiofy greift nur im Namen des angemeldeten Nutzers auf Daten zu.

Zusätzliche Berechtigungen werden nur bei Bedarf angefordert. Berechtigungen, die über das Basis-Lesen hinausgehen (z. B. bei Outlook Calendar das Finden von Meeting-Zeiten oder das Buchen von Meetings, bei Outlook Mail das Senden, Weiterleiten oder Verschieben von E-Mails oder bei Microsoft Teams das Senden von Nachrichten), werden erst dann angefordert, wenn ein Administrator deiner Organisation die entsprechende Aktion für die Integration freischaltet. In einer Einrichtung mit nur Basis-Lesen erscheinen diese Berechtigungen also gar nicht im Zustimmungsbildschirm. Wird eine zusätzliche Aktion später aktiviert, müssen verbundene Nutzer ihren Account einmalig neu verbinden, damit die zusätzliche Berechtigung wirksam wird.

Microsoft Planner fordert ausschließlich nutzerbezogene Berechtigungen für die eigenen Aufgaben an — keine verzeichnisweiten Rechte. Je nach Consent-Richtlinie deiner Organisation muss ein Administrator die Integration ggf. einmalig freigeben. Details siehe Microsoft Planner.

Zusätzliche Berechtigungen fordern nur Microsoft 365 Excel und Microsoft Planner sowie — jeweils optional und nur bei aktivierter Aktion — Outlook Calendar (Meeting-Zeiten finden, Meetings buchen), Outlook Mail (Senden, Weiterleiten und Verschieben von E-Mails) und Microsoft Teams (Senden von Nachrichten) an. Alle übrigen hier aufgeführten Berechtigungen sind ausschließlich lesend. Microsoft Dataverse nutzt zwar einen technisch lese- und schreibfähigen Microsoft-Scope (siehe **), wird in symbiofy aber strikt nur lesend eingesetzt — es werden keine Daten in Dataverse verändert, erstellt oder gelöscht.

* Die mit .Shared markierte Berechtigung wird benötigt, um auf gemeinsame Postfächer (Shared Mailboxes) oder freigegebene Kalender- und Verfügbarkeitsinformationen zuzugreifen.

** Microsoft bietet für Dataverse nur eine einzige delegierte Berechtigung an, die in der Zustimmung als „Access Dynamics 365 as organization users” (Dynamics CRM user_impersonation) erscheint. Sie ist auf Microsoft-Seite technisch lese- und schreibfähig; symbiofy nutzt sie ausschließlich für lesende Abfragen. Zusätzlich werden nur die von einem Administrator freigegebenen Dataverse-Umgebungen abgefragt, und es werden ausschließlich EU/EWR-Umgebungen unterstützt. Welche konkreten Daten ein Nutzer sieht, richtet sich weiterhin nach seiner Dataverse-Sicherheitsrolle. Details siehe Microsoft Dataverse.

Welcher Weg ist der richtige?

Stell dir zuerst eine Frage:

Sind die Person, die symbiofy konfiguriert (symbiofy-Administrator), und der Microsoft-/Entra-Administrator dieselbe Person?

In vielen Organisationen ist das nicht der Fall: Häufig betreut ein IT-Dienstleister symbiofy (symbiofy-Administrator), während die organisationsweite Microsoft-Zustimmung nur ein interner Entra-Administrator erteilen darf. Je nach Situation passt ein anderer Weg:

• Dieselbe Person -> Verbinden direkt in symbiofy: direkt in symbiofy verbinden und dabei für die Organisation zustimmen. Geringste Berechtigungen.
• Getrennte Rollen, IT soll gezielt zustimmen -> Selektive Zustimmung per Link. Empfehlung bei getrennten Rollen: Der symbiofy-Administrator wählt die benötigten Scope-Pakete, die IT stimmt genau diesen Berechtigungen zu.
• Getrennte Rollen, Entra-Genehmigungsworkflow ist etabliert -> Genehmigungs-Workflow in Entra. Sehr restriktiv, aber nur sinnvoll, wenn dieser Workflow in Entra aktiv ist und von deiner IT genutzt wird.
• Bewusst breite Freigabe gewünscht -> Pauschale Zustimmung im Entra Admin Center. Einfach, aber nur passend, wenn deine Organisation alle deklarierten Microsoft-Berechtigungen der symbiofy-App freigeben möchte.

Selektive Zustimmung per Link

Empfohlen bei getrennten Rollen, wenn der Entra-Administrator keinen symbiofy-Zugang hat. Der symbiofy-Administrator wählt die benötigten Scope-Pakete aus, erstellt einen Link und sendet ihn an die IT. Microsoft zeigt dem Entra-Administrator dann nur die Berechtigungen, die im Link enthalten sind.

Wichtig zur Transparenz: Die Zustimmung per Link ersetzt nicht die Aktivierung in symbiofy. Ein Administrator deiner Organisation muss die jeweilige Integration weiterhin unter Administration > Integrationen aktivieren und bei Bedarf einzelne Aktionen freigeben. Wenn später zusätzliche Scope-Pakete ergänzt werden, muss zuerst ein Entra-Administrator diesen zusätzlichen Berechtigungen zustimmen; danach müssen betroffene Nutzer ihren Microsoft-Account einmalig neu verbinden.

Der Link enthält die Client-ID und Redirect-URI der symbiofy Microsoft-App automatisch. Du wählst nur den Microsoft-Tenant und die Scope-Pakete aus.

Weitere Wege

Weg A — Verbinden direkt in symbiofy

Empfohlen, wenn dieselbe Person symbiofy konfiguriert und Microsoft-/Entra-Administrator ist. Geringste Berechtigungen.

So stimmst du genau einer Integration zu — und nur dieser:

1. Aktiviere die gewünschte Integration in symbiofy unter Administration > Integrationen (siehe Integrationen).
2. Klicke bei der Integration auf Verbinden und melde dich mit deinem Microsoft-Administrator-Konto an.
3. Weil symbiofy nur die Berechtigungen dieser Integration anfordert, zeigt der Microsoft-Zustimmungsbildschirm auch nur diese Berechtigungen an — zusammen mit dem Kontrollkästchen „Im Namen Ihrer Organisation zustimmen”.
4. Setze dieses Häkchen und bestätige. Damit gilt die Zustimmung für diese Integration organisationsweit.

Danach können alle weiteren Nutzer ihren Microsoft-Account ohne erneute Berechtigungsabfrage verbinden. Deine Organisation stimmt auf diesem Weg immer nur dem zu, was sie tatsächlich aktiviert — aktivierst du später eine weitere Integration, durchläufst du den Schritt einmalig erneut.

Weg B — Genehmigungs-Workflow in Entra

Geeignet bei getrennten Rollen, wenn deine IT den Entra-Genehmigungsworkflow aktiv nutzt.

Hier stellt die symbiofy-Seite die Anfrage, der Entra-Administrator genehmigt sie separat — ohne selbst einen symbiofy-Zugang zu benötigen:

1. Der symbiofy-Administrator aktiviert die Integration und klickt auf Verbinden.
2. Microsoft zeigt die Meldung „Genehmigung durch Administrator erforderlich” an. Der symbiofy-Administrator kann hier eine Begründung eingeben und die Anfrage absenden.
3. Die Anfrage landet im Microsoft Entra Admin Center unter Administratorzustimmungsanforderungen (Admin consent requests).
4. Ein Entra-Administrator öffnet die Anfrage und genehmigt genau die angeforderten Berechtigungen — also nur die dieser Integration.

So bleibt die Zustimmung auf die tatsächlich genutzte Integration beschränkt, und der Entra-Administrator muss kein symbiofy-Konto haben.

Voraussetzung: Der Genehmigungs-Workflow muss in Entra aktiviert sein. Ist er deaktiviert, erscheint die Anfrage nicht im Admin Center — in diesem Fall eignet sich Weg A oder die selektive Zustimmung per Link. Den Workflow aktiviert ein Entra-Administrator im Microsoft Entra Admin Center unter Identität > Anwendungen > Unternehmensanwendungen > Administratorzustimmungseinstellungen.

Pauschale Zustimmung im Microsoft Entra Admin Center

Wenn deine Organisation bewusst alle deklarierten Microsoft-Berechtigungen der symbiofy-App freigeben möchte, kann ein Entra-Administrator die Zustimmung auch direkt im Microsoft Entra Admin Center erteilen:

1. Melde dich im Azure Portal  mit einem Administrator-Konto an
2. Navigiere zu Azure Active Directory (bzw. Microsoft Entra ID)
3. Wähle Unternehmensanwendungen (Enterprise Applications) in der linken Navigation
4. Suche nach der symbiofy-App in der Liste der Anwendungen
5. Klicke auf die symbiofy-App und navigiere zu Berechtigungen (Permissions)
6. Klicke auf Administratorzustimmung erteilen (Grant admin consent)
7. Bestätige die angeforderten Berechtigungen im Dialog

Nutze diese Alternative nur, wenn deine Organisation die breite Freigabe wirklich möchte. Die selektive Zustimmung per Link ist die bessere Wahl, wenn nur einzelne Integrationen oder Aktionen erlaubt werden sollen.

Nach der Admin-Zustimmung

Sobald die Admin-Zustimmung erteilt wurde:

1. Administrator aktiviert die Integration — Ein Administrator schaltet die gewünschten Microsoft-Integrationen in symbiofy unter Administration > Integrationen frei (siehe Integrationen) und legt bei Bedarf fest, welche Aktionen für wen erlaubt sind (siehe Integration-Berechtigungen)
2. Nutzer verbindet seinen Account — Jeder Nutzer kann nun seinen Microsoft-Account unter Einstellungen > Integrationen verbinden. Es wird nur noch die Kontoauswahl angezeigt — keine zusätzliche Berechtigungsabfrage.

Fehlerbehebung

”Genehmigung durch Administrator erforderlich”

Diese Meldung ist nicht zwingend ein Fehler: Bei getrennten Rollen ist sie der erwartete Einstieg in den Genehmigungs-Workflow (siehe Weg B). Soll die Berechtigung dagegen bereits organisationsweit zugestimmt sein und erscheint die Meldung trotzdem:

• Die Admin-Zustimmung wurde noch nicht erteilt oder nicht vollständig abgeschlossen
• Stelle sicher, dass die Zustimmung mit einem Konto erteilt wurde, das über die Rolle Globaler Administrator oder Cloudanwendungsadministrator verfügt
• Prüfe im Azure Portal unter Unternehmensanwendungen > symbiofy > Berechtigungen, ob die Zustimmung korrekt hinterlegt ist

Verbindung schlägt fehl

Falls die Verbindung trotz Admin-Zustimmung nicht funktioniert:

• Prüfe, ob die richtige Tenant-ID oder primäre Domain verwendet wurde
• Wenn Microsoft den selektiven Link wegen Client-ID oder Redirect-URI ablehnt, wende dich an den symbiofy-Support — diese Werte werden vom Link-Generator automatisch gesetzt
• Warte einige Minuten — die Zustimmung kann bis zu 5 Minuten für die Aktivierung benötigen
• Versuche die Verbindung erneut oder bitte den Nutzer, den Browser-Cache zu leeren

Berechtigungen wurden widerrufen

Falls ein Administrator die Zustimmung im Azure Portal widerrufen hat, müssen alle Nutzer ihre Microsoft-Integrationen in symbiofy neu verbinden. Der Administrator muss die Zustimmung erneut erteilen.

Tipps

• Vorab mit IT abstimmen — Kläre mit deinem IT-Team, ob organisationsweite Richtlinien die Admin-Zustimmung einschränken
• Minimale Berechtigungen — symbiofy fordert nur die Berechtigungen an, die für die jeweilige Integration notwendig sind. Alle Zugriffe sind lesend, sofern nicht anders angegeben
• Regelmäßig prüfen — Überprüfe im Azure Portal gelegentlich, ob die erteilten Berechtigungen noch aktuell und gewünscht sind