Konfiguration einer App-Registrierung in Azure

Die folgenden Schritte müssen abgeschlossen werden, um eine App-Registrierung in Document Central zu erstellen. Eine App-Registrierung wird von Document Central benötigt, um alle verfügbaren Funktionen von Document Central nutzen zu können.

Info

Um diese Einrichtung durchzuführen, ist es notwendig, dass das Administrator-Konto sowohl in Business Central als auch im Azure-Portal vorhanden ist, da nur Administratoren die notwendigen Berechtigungen haben.

Business Central (SaaS)

Ein App-Registrierungsassistent ist in Document Central verfügbar, um eine App-Registrierung in Document Central zu konfigurieren. Der App-Registrierungsassistent führt Sie durch die Erstellung einer neuen App-Registrierung für Document Central oder die Verwendung einer bestehenden App-Registrierung. Die folgenden Schritte beschreiben die Konfiguration der App-Registrierung in Document Central für Business Central in der SaaS-Umgebung.

Navigieren Sie zu Document Central - Modul Einrichtung.
Klicken Sie in der Document Central - Modul Einrichtung auf die Aktion App-Registrierung konfigurieren, um fortzufahren.
Klicken Sie auf Beginnen, um die Konfiguration der App-Registrierung zu starten.
Wählen Sie entweder Neue App-Registrierung erstellen oder Vorhandene App-Registrierung verwenden.

Neue App-Registrierung erstellen

Die folgenden Schritte leiten Sie an, wie Sie eine neue App-Registrierung für Document Central über den App-Registrierungsassistenten erstellen.

Wenn ein Anmelde-Popup erscheint, stellen Sie sicher, dass Sie sich mit einem Administrator-Konto sowohl in Document Central als auch in Azure anmelden, um mit der Erstellung der App-Registrierung fortzufahren.
Geben Sie einen Namen für die App-Registrierung im Feld App-Registrierungsname ein.
Ein Klick auf Weiter startet den Erstellungsprozess der App-Registrierung in Azure. Dieser Prozess erstellt alle notwendigen Berechtigungen und Anmeldeinformationen, die von Document Central verwendet werden.
Ein Popup erscheint, um einen neuen Benutzer in der Azure Active Directory-Anwendung zu erstellen. Klicken Sie auf Ja, um mit der Erstellung der App-Registrierung fortzufahren.
Sie werden zur Seite Azure Active Directory-Anwendung weitergeleitet, wo Sie auf die Aktionsschaltfläche Zustimmung erteilen klicken können, um die Administratorzustimmung und Berechtigungen in Azure zu erteilen. Wenn ein Popup erscheint, stellen Sie sicher, dass Sie sich mit einem Administrator-Konto sowohl in Document Central als auch in Azure anmelden.
Schließen Sie die Seite Azure Active Directory-Anwendung, und der App-Registrierungsassistent wird automatisch zum nächsten Schritt navigieren.
Das Client Secret der App-Registrierung wird nur einmal angezeigt. Bitte notieren Sie sich das Client Secret. Sie können nicht zu diesem Schritt zurückkehren, sobald Sie auf Weiter klicken.
Klicken Sie auf Weiter, um fortzufahren.
Die Konfiguration der App-Registrierung ist nun abgeschlossen. Klicken Sie auf Fertigstellen, um den App-Registrierungsassistenten zu schließen.

Vorhandene App-Registrierung verwenden

Die folgenden Schritte leiten Sie an, wie Sie eine vorhandene App-Registrierung für Document Central über den App-Registrierungsassistenten verwenden.

Wenn ein Anmelde-Popup erscheint, stellen Sie sicher, dass Sie sich mit einem Administrator-Konto sowohl in Document Central als auch in Azure anmelden, um mit der Erstellung der App-Registrierung fortzufahren.
Geben Sie den App-Registrierungsnamen der App-Registrierung, die Sie verwenden möchten, im Feld App-Registrierungsname ein oder verwenden Sie die Suchfunktion, um nach allen vorhandenen App-Registrierungen in Ihrem Azure-Mandanten zu suchen.

Verwendung der Suche, um die App-Registrierungsdaten automatisch einzugeben

Wählen Sie über die Suche eine App-Registrierung aus, der Assistent füllt automatisch alle notwendigen Felder im App-Registrierungsassistenten aus, mit Ausnahme des Client Secret.
Geben Sie das Client Secret der ausgewählten App-Registrierung im Feld Client Secret ein. Wenn das Client Secret korrekt ist, wird die Schaltfläche Weiter aktiviert, um mit der Konfiguration der App-Registrierung fortzufahren.

Manuelle Eingabe der App-Registrierungsdaten

Geben Sie den App-Registrierungsnamen der App-Registrierung, die Sie verwenden möchten, im Feld App-Registrierungsname ein.
Geben Sie die Anwendungs- (Client-) ID der App-Registrierung, die Sie verwenden möchten, im Feld Client ID ein.
Geben Sie das Client Secret der App-Registrierung, die Sie verwenden möchten, im Feld Client Secret ein.
Geben Sie die Verzeichnis- (Mandanten-) ID der App-Registrierung, die Sie verwenden möchten, im Feld Tenant ID ein.
Geben Sie die Weiterleitungs-URL der App-Registrierung, die Sie verwenden möchten, im Feld Redirect URL ein. In der SaaS-Umgebung sollte die Weiterleitungs-URL https://businesscentral.dynamics.com/OAuthLanding.htm sein.
Geben Sie die Service-Principal-ID der App-Registrierung, die Sie verwenden möchten, im Feld Service Principal ID ein.
Klicken Sie auf Weiter, um mit der Konfiguration fortzufahren. Wenn die Schaltfläche Weiter deaktiviert ist, stellen Sie sicher, dass alle Felder korrekt ausgefüllt sind.

Info

Um die Service-Principal-ID zu erhalten, können die folgenden Schritte durchgeführt werden:

Im Azure-Portal navigieren Sie zu Unternehmensanwendungen.
Ändern Sie den Filter auf Anwendungstyp == Alle Anwendungen.
Suchen Sie nach der App-Registrierung, die Sie verwenden möchten.
Klicken Sie auf die App-Registrierung, um die Seite der App-Registrierung zu öffnen.
Kopieren Sie die Objekt-ID von der Übersichtsseite. Die Objekt-ID ist die Service-Principal-ID.

Manuelle App-Registrierung ohne Zustimmung

Sie können eine App-Registrierung in Document Central konfigurieren, ohne eine Administratorzustimmung zu erteilen. Diese Option ist für Kunden gedacht, die keine Zustimmung zu unserer Anwendung geben möchten.

Navigieren Sie zu Document Central – Moduleinrichtung.
Klicken Sie auf App-Registrierung konfigurieren und wählen Sie Manuelle App-Registrierung.
Geben Sie die folgenden Informationen ein:
App-Registrierungsname
Anwendungs-(Client-)ID
Client Secret
Verzeichnis-(Mandanten-)ID
Umleitungs-URL (In SaaS-Umgebungen: https://businesscentral.dynamics.com/OAuthLanding.htm)
Dienstprinzipal-ID
Klicken Sie auf Weiter, um fortzufahren.

Info

Um die Dienstprinzipal-ID zu erhalten, folgen Sie den Schritten aus dem Abschnitt Vorhandene App-Registrierung verwenden → App-Registrierungsdaten manuell eingeben. Da keine Administratorzustimmung erteilt wird, stellen Sie sicher, dass Sie die konfigurierten Berechtigungen der App-Registrierung in Azure manuell überprüfen, um sicherzustellen, dass alle erforderlichen Berechtigungen korrekt gesetzt sind.

(Optional) Im nächsten Schritt können Sie ein Zertifikat für die Authentifizierung bei SharePoint hochladen, anstatt die Benutzeridentitätsnachahmung zu verwenden. Dieser Schritt ist optional und kann übersprungen werden.

Zertifikat

Document Central bietet die Möglichkeit, sich mit einem Zertifikat bei SharePoint zu authentifizieren, indem die App-Registrierung ein Zertifikat zur Authentifizierung bei SharePoint verwenden darf. Wenn die ausgewählte App-Registrierung kein Zertifikat in Azure konfiguriert hat, wird eine Seite angezeigt, die fragt, ob Sie ein Zertifikat für die ausgewählte App-Registrierung erstellen möchten. Dies ist ein optionaler Schritt und kann durch Klicken auf Weiter übersprungen werden. Ohne Zertifikat kann sich Document Central jedoch nicht mit einem App-Kontext bei SharePoint authentifizieren.

Durch die Verwendung eines Zertifikats kann Document Central mit SharePoint arbeiten, ohne den Benutzer zu imitieren. Dies vermeidet auch das Problem des Ablaufens des Tokens, das auftreten kann, wenn mit einem Benutzerkontext gearbeitet wird.

Um ein Zertifikat für die ausgewählte App-Registrierung zu erstellen, können die folgenden Schritte durchgeführt werden:

Aktivieren Sie die Option Neues Zertifikat erstellen, um ein Zertifikat für die ausgewählte App-Registrierung zu erstellen. Durch Aktivieren dieser Option wird am Ende der Konfiguration ein Zertifikat für Document Central in dieser App-Registrierung erstellt.
Klicken Sie auf Weiter, um mit der Konfiguration fortzufahren.

Warnung

Vorhandene App-Registrierungen werden beim Abschluss des App-Registrierungsassistenten überschrieben.

Erneuern der App-Registrierungsanmeldeinformationen

Das Client Secret und die Zertifikatsanmeldeinformationen haben ein Ablaufdatum. Die Anmeldeinformationen können ohne den Gang des Administrators ins Azure-Portal über die Aktion Secret/Zertifikat erneuern aktualisiert werden. Die folgenden Schritte beschreiben, wie die Anmeldeinformationen einer App-Registrierung erneuert werden:

Navigieren Sie zu Document Central - Modul Setup.
Klicken Sie auf Secret/Zertifikat erneuern, um den Erneuerungsprozess zu starten.
Wählen Sie zwischen:
Automatische Erneuerung – erstellt und wendet ein neues Client Secret automatisch über API-Aufrufe an.
Manuelle Erneuerung – öffnet ein Feld, in das der Administrator ein zuvor im Azure-Portal erstelltes neues Client Secret eingeben kann. Diese Option ist für App-Registrierungen gedacht, die manuell hinzugefügt wurden und keine automatische Erneuerung unterstützen.
Wenn die manuelle Erneuerung ausgewählt wird, geben Sie das neu erstellte Client Secret ein und bestätigen Sie. Geben Sie zusätzlich das Ablaufdatum des Secrets im Feld Enddatum ein, da das System diese Informationen für manuell eingegebene Secrets nicht automatisch abrufen kann. Der Wert wird anschließend direkt im System gesetzt und gespeichert.
Sobald der Erneuerungsprozess abgeschlossen ist, wird eine Meldung angezeigt, die den erfolgreichen Abschluss bestätigt, und das neue Client Secret wird einmalig angezeigt. Ein Administrator kann sich das neue Client Secret für die zukünftige Verwendung notieren.
Klicken Sie auf OK, um die Meldung zu schließen. Das aktualisierte Client Secret und Zertifikat werden automatisch von Document Central verwendet.

Info

Das neue Client Secret und Zertifikat werden automatisch in den anderen Mandanten von Business Central übernommen, sofern diese denselben App-Registrierungsdatensatz verwenden.

Hinzufügen einer Rolle zu einem Abonnement

Das Zuweisen einer Rolle für die Document Central-App in einem Abonnement ist notwendig, um die Erstellung und Konfiguration eines Speicherkontos für Azure Blob Storage zu ermöglichen. Wenn Azure Blob Storage jedoch nicht in Document Central im Abonnement genutzt wird, kann dieser Schritt übersprungen werden.

Info

Die Rollenzuweisung kann nur von einem Administrator-Konto durchgeführt werden.

Melden Sie sich beim Azure-Portal an unter Azure Portal.
Suchen Sie nach Abonnements mithilfe der Suchleiste.
Wenn Sie mehrere Abonnements haben, wählen Sie das für Azure Blob Storage vorgesehene aus, da ein Speicherkonto ein Abonnement haben muss.
Gehen Sie zum Tab Zugriffskontrolle (IAM) und klicken Sie auf den Tab Rollenzuweisung.
Klicken Sie auf die Schaltfläche Hinzufügen und wählen Sie Rollenzuweisung hinzufügen.
Wählen Sie unter dem Tab Rolle die Rolle Mitwirkender aus und klicken Sie auf Weiter.
Klicken Sie unter dem Tab Mitglieder auf die Schaltfläche Mitglieder auswählen und fügen Sie Document Central hinzu.
Klicken Sie auf Überprüfen + zuweisen, um den Prozess der Rollenzuweisung abzuschließen.

Eingabe der Azure App-Registrierungsinformationen in Business Central

Die folgenden Schritte leiten Sie an, wie Sie die App-Registrierung für Document Central über den App-Registrierungsassistenten konfigurieren.

Navigieren Sie zu Document Central - Modul Einrichtung.
Klicken Sie in der Document Central - Modul Einrichtung auf die Aktion App-Registrierung konfigurieren, um fortzufahren.
Ein App-Registrierungsassistent wird erscheinen. Klicken Sie auf Beginnen, um die Konfiguration zu starten.
Um diesen Schritt fortzusetzen, ist es notwendig, bereits eine App-Registrierung für Document Central vorbereitet zu haben. Wenn Sie noch keine App-Registrierung für Document Central erstellt haben, beziehen Sie sich bitte auf den Abschnitt Erstellen der Azure App-Registrierung im Azure-Portal.
Füllen Sie die Felder App-Registrierungsname, Client-ID, Client-Geheimnis, Mandanten-ID und Weiterleitungs-URL aus.
Sobald alle Felder korrekt ausgefüllt sind, klicken Sie auf Weiter, um mit der Konfiguration fortzufahren.
Die Konfigurationsseite für das Client-Zertifikat wird angezeigt. Dieser Schritt ist optional und kann durch Klicken auf Weiter übersprungen werden. Wenn Sie jedoch ein Client-Zertifikat zur Authentifizierung bei SharePoint verwenden möchten, muss ein Zertifikat vorbereitet werden.
Klicken Sie auf das Feld Zertifikatschlüssel, um ein Popup zu öffnen, das Ihnen erlaubt, die .pfx-Datei auszuwählen, die im Schritt Zertifikat erstellen erstellt wurde.
Geben Sie das Passwort der .pfx-Datei im Feld Zertifikatschlüssel-Passwort ein und klicken Sie auf Weiter, um mit der Konfiguration fortzufahren.
Nach dem Klicken auf Fertigstellen werden die Änderungen an den Einstellungen der App-Registrierung in Document Central angewendet.

Warnung

Wenn die App-Registrierung nicht korrekt konfiguriert ist, wird Document Central in einigen Bereichen nicht ordnungsgemäß funktionieren können.
Bestehende App-Registrierungen werden beim Abschluss des App-Registrierungsassistenten überschrieben.

Berechtigungen der App Registrierung

Um den vollständigen Funktionsumfang von Document Central nutzen zu können, werden bei der Einrichtung mehrere Berechtigungen in Azure bzw. Microsoft 365 zugewiesen. Diese Berechtigungen stellen die notwendigen Mindestberechtigungen dar, damit alle Funktionen von Document Central ordnungsgemäß genutzt werden können.

Achtung

Das Entfernen oder Deaktivieren einzelner Berechtigungen kann dazu führen, dass bestimmte Funktionen von Document Central nicht mehr korrekt arbeiten oder vollständig ausfallen.

Da einzelne Funktionen von unterschiedlichen Berechtigungen abhängig sind, empfehlen wir ausdrücklich, keine der bereitgestellten Berechtigungen zu entfernen. Andernfalls kann nicht sichergestellt werden, dass Document Central auch bei zukünftigen Updates oder der Nutzung weiterer Funktionen uneingeschränkt funktioniert.

Berechtigungsgruppe	API/Berechtigungsname	Typ	Beschreibung
Azure Service Management	user_impersonation	Delegiert	Erneuern des Secrets oder Zertifikats einer Azure-App-Registrierung.
Azure Service Management	user_impersonation	Delegiert	Löschen einer Azure-App-Registrierung direkt aus der Anwendung heraus.
Azure Service Management	user_impersonation	Delegiert	Abrufen und Auswählen von Subscriptions, Resource Groups und Storage Accounts sowie Zuweisen der erforderlichen Berechtigungen beim Einrichten eines Azure Blob Storage Repositorys.
Azure Service Management	user_impersonation	Delegiert	Auswählen bestehender Azure Cognitive Search Services oder Erstellen eines neuen Suchdienstes während der Einrichtung.
Microsoft Graph	offline_access	Delegiert	Ermöglicht die automatische Erneuerung von Anmeldetokens, damit Benutzer sich nicht erneut anmelden müssen. Wird für Funktionen wie Upload, Download, SharePoint-Zugriff, Benutzergruppenverwaltung und Assistenten benötigt.
Microsoft Graph	User.Read	Delegiert	Ermitteln des aktuell angemeldeten Benutzers und Überprüfen der Anmeldung bei der Einrichtung oder Prüfung einer App-Registrierung.
Microsoft Graph	User.Read	Delegiert	Verwenden des aktuellen Benutzerkontexts zur Überprüfung von Berechtigungen und Administratoreinwilligungen (Consent).
Microsoft Graph	User.Read.All	Delegiert	Suchen und Auswählen von Microsoft 365- bzw. Entra-ID-Benutzern bei der Einrichtung von Benutzergruppen.
Microsoft Graph	User.Read.All	Delegiert	Auflösen und Verwalten von Benutzern beim Hinzufügen oder Entfernen von Gruppenmitgliedern.
Microsoft Graph	User.Read.All	Delegiert	Ermitteln von Benutzern für die Vorschau und Erstellung von Standard- bzw. Basisberechtigungsgruppen.
Microsoft Graph	GroupMember.ReadWrite.All	Delegiert	Erstellen von Azure Security Groups und Hinzufügen von Benutzern während des User-Group-Assistenten.
Microsoft Graph	GroupMember.ReadWrite.All	Delegiert	Hinzufügen oder Entfernen von Benutzern in Azure Security Groups.
Microsoft Graph	GroupMember.ReadWrite.All	Delegiert	Erstellen und Verwalten der für Basisberechtigungen benötigten Sicherheitsgruppen.
Microsoft Graph	Sites.ReadWrite.All	Delegiert	Ermitteln von SharePoint-Sites und Site-Informationen während der Repository-Einrichtung.
SharePoint	AllSites.Read	Delegiert	Lesen von SharePoint-Sites, Dokumenten und Listen sowie Synchronisieren von Repository-Inhalten.
SharePoint	AllSites.FullControl	Delegiert	Ausführen administrativer SharePoint-Funktionen wie Berechtigungs-, Retention- oder Site-Verwaltungsaufgaben im Benutzerkontext.
SharePoint	Sites.ReadWrite.All	Delegiert	Hochladen, Herunterladen, Bearbeiten und Löschen von Dokumenten sowie Verwalten von Ordnern und Metadaten in SharePoint.
SharePoint	Sites.ReadWrite.All	Delegiert	Synchronisieren von Dokumenten und SharePoint-Inhalten mit Document Central.
SharePoint	Sites.FullControl.All	Delegiert	Erstellen neuer SharePoint-Sites direkt aus Business Central heraus.
SharePoint	Sites.FullControl.All	Delegiert	Einrichten von SharePoint-Gruppen, Berechtigungsstufen und Basisberechtigungen.
SharePoint	Sites.FullControl.All	Delegiert	Veröffentlichen und Verwalten von Berechtigungen auf SharePoint-Bibliotheken, einschließlich Vererbungssteuerung und Gruppenzuweisungen.
SharePoint	Sites.FullControl.All	Delegiert	Verwalten von Retention Labels sowie Ausführen von Record Lock- und Unlock-Aktionen auf SharePoint-Dokumenten.
SharePoint	AllSites.Manage	Delegiert	Verwalten von Berechtigungen auf SharePoint-Bibliotheken, einschließlich Zuweisen von Gruppen sowie Aktivieren oder Zurücksetzen der Berechtigungsvererbung.

Siehe auch

Modul-Einrichtung