Microsoft OAuth 2.0, – Ich kann über mein Microsoft 365 Postfach keine Mails mehr über meine Zusatzsoftware versenden oder empfangen.

Am 1.10.2022 stellt(e) Microsoft bei seinen M365 Produkten die Authentifizierung für IMAP und SMTP ab, und jede 3. Anbieter-Software muss über das Microsoft OAuth 2.0 Protokoll authentifiziert werden.
Dafür muss die Authentifizierung der Anwendung, die über M365 Mails empfängt oder versendet, auf Microsoft OAuth angepasst werden. Dazu sind in Ihrer „M365 Azure-Cloud“ oder/und „Azure Active Directory“ Anpassungen erforderlich. Es sollten dann im Besonderen die Vergabe der entsprechenden API-Berechtigungen berücksichtigt werden.

Bevor ich in das „wie geht das denn“ eintauche, möchten ich Ihnen vorschlagen, dass wir diese Änderungen für Sie vornehmen.

• denn es kann sich etwas komplexer „anfühlen“
• WICHTIG: Sie arbeiten an Ihrem PRODUKTIVSYSTEM, kleine Fehler können GROSSE Folgen haben!
• Anpassungen an Ihren Systemen Bitte NIE NIE NIE ohne vorheriges Backup…
  …Sie wissen warum

Microsoft OAuth Anpassung

Die Vorbereitung der Konfigurationsänderung, damit die Microsoft OAuth Authentifizierung auch funktioniert, sollte von einem Office 365 User mit globaler Admin Berechtigung ausgeführt werden.
Wir gehen in unserer Beschreibung davon aus, dass Sie sich mit einem solchen Konto an Ihrem Tenant angemeldet haben mit einem User, der über globale Admin rechte verfügt. Nur so können wir alle notwendigen Umstellungen auf Microsoft OAuth 2.0 auch vornehmen.
Als erstes muss für die betroffenen Benutzer die globale Berechtigung eingestellt werden. Dazu gehen Sie bitte in das Admincenter Ihres Tenant https://admin.microsoft.com/

• Öffnen der Benutzerverwaltung zur Microsoft OAuth Anpassung

• Wählen Sie das betroffene Postfach aus, das die Microsoft OAuth Authentifizierung können soll.
  Oft sind es alle Konten, da z. B. alle Benutzer mit dem ERP System arbeiten.

• Gehen Sie auf E-Mail / E-Mail-Apps verwalten.

• Dort bitte die notwendigen Authentifizierungen aktivieren. In den normalen Fällen sollte IMAP und SMTP für Mailversand und -Empfang ausreichend sein. Sie können alle Apps aktivieren und die Änderungen speichern.
  Damit ist der erste Schritt zu einem funktionierenden Microsoft OAuth erledigt.

Office 365 oder Microsoft OAuth 2.0 Authentifikation mit IMAP einrichten

• Öffnen Sie dazu in Ihrem Tenant das Azure-Portal unter Azure-Portal
• Wechseln Sie zur Azure Active Directory.

• Wechseln Sie zum Menüpunkt App-Registrierungen

• Fügen Sie eine „Neue Registrierung“ mit einer klaren Benennung, die auch später eindeutig zugeordnet werden kann, hinzu.

• In unserem Fall wäre das unser Ticketsystem. Da es sich um die Authentifizierung handelt, benennen wir den Eintrag dann „Tanss-Office365-OAuth“. So wissen wir, dass es sich um die Authentifizierung der Apps handelt.
  Ein eindeutiger Name macht es später erheblich einfacher, die App „wiederzufinden“.
• Eingetragen werden muss der Name, unterstützte Kontotypen (in der Regel der erste Punkt)
  und eine Umleitungs-URI (das ist optional), die das Ziel der Authentifizierungsantwort festlegt.
• Dann auf „Registrieren“ klicken.

Damit ist der nächste Schritt zur Microsoft OAuth Authentifizierung erledigt.

• Die App-Registrierung für Microsoft OAuth wurde erstellt und kann jetzt konfiguriert werden.
• Als erstes dokumentieren Sie bitte die Anwendungs-ID und die Verzeichnis-ID.
  Diese beiden IDs sind später zur Authentifizierung des Postfachzugriffs erforderlich.

• Jetzt muss ein Client-Schlüssel generiert werden.
• Um für die Microsoft OAuth den notwendigen Schlüssel zu generieren, wechseln Sie in der Konfiguration der neuen App in Zertifikate & Geheimnisse / neuen geheimen Clientschlüssel erstellen.

• Legen Sie bitte einen merkbaren Namen fest, der aussagt, wofür der Schlüssel ist, und legen eine Gültigkeitsdauer fest (per default wären das 6 Monate).
• Danach muss der Schlüssel neu erstellt und vergeben werden. Bitte entscheiden Sie gemeinsam mit Ihrem Datenschützer und der Geschäftsführung die Gültigkeitsdauer des Schlüssels. Es sind aktuell maximal 24 Monate möglich!
  Damit stellen Sie sicher, dass die Microsoft OAuth Authentifizierung auch dauerhaft funktioniert.
• Speichern diese ab und dokumentieren dies unbedingt.

• Es ist sehr sinnvoll, dass Sie in Ihrem Kalender, Ticketsystem oder anderem den Termin zur Erneuerung fest eintragen, damit Sie die Erneuerung des Zertifikats für Microsoft OAuth nicht vergessen.
• Alternative machen wir das gern für Sie. hierfür mit HonigNet Service Kontakt aufnehmen
• Jetzt müssen Sie noch „Öffentliche Clientflows zulassen“ auf Ja stellen. Dies muss nur einmal aktiviert werden.

• Und auf Speichern klicken.
• Im finalen Schritt zur Microsoft OAuth Authentifizierung müssen noch die Berechtigungen auf die REST-API „Microsoft Graph“ gesetzt werden. Damit kann z. B. die IMAP-Anwendung mit Lese- und Schreibberechtigung auf das M365 Postfach zugreifen.
• Also API-Berechtigung / Berechtigung hinzufügen

• Wenn Ihre Anwendung einen E-Mail-Austausch mit dem Office 365 Konto nutzen möchte, kann es notwendig sein, dass zum eben erstellten Authentifizierungs-Token auch ein Zugriffs-Token / Aktualisierungs-Token erstellt werden muss. Dies wird u. a. zur Erneuerung der Authentifizierungs-Token benötigt.
• Damit das ohne Benutzerinteraktion erfolgen kann, werden noch weitere Rechte benötigt = die „offline_access“ Rechte.
• Also Berechtigungen Hinzufügen / Microsoft Graph / Delegierte Berechtigungen / im Suchfeld „offline_access “ eingeben / Offline_access auswählen / Berechtigung hinzufügen.

• Jetzt können Sie die Postfacheinstellungen Ihrer Anwendung anpassen und umstellen. Ab sofort kann Ihre Dritt-Anbieter Software wieder über die Microsoft OAUth Anbindung über Ihr Office 365 Postfach Mails versenden und empfangen.
• Dies sollte nun auf Anhieb funktionieren.

Bei Fragen zum Thema Microsoft OAuth und Anderem helfen wir natürlich gern weiter.

Wichtig nochmal zu erwähnen: Wir können keine Verantwortung für das Misslingen übernehmen,
wenn Sie die Anpassungen selbst durchführen möchten.

Bei diesen Änderungen ist es wichtig zu wissen, dass Sie „tief im System“ systemrelevante Änderungen vornehmen und dies Auswirkungen auf Ihren gesamten Tenant und/oder Ihrer Azure AD haben kann.

Bei Unsicherheiten bitte den Profi fragen, der sich damit auskennt.

Bitte KEINE Änderungen OHNE gültiges Backup machen…

Jetzt wünschen wir Ihnen einen schönen Tag.
Ihr HonigNet Serviceteam,

Wir wissen wie’s geht!