Microsoft Entra verbinden

Diese Seite führt Sie durch die einmalige Einrichtung — Klick für Klick. Danach pflegt Mango Inventory Ihre Benutzerliste selbst: Wer in den gewählten Microsoft-Gruppen steht, kommt automatisch dazu; wer die Gruppen verlässt, wird deaktiviert. Sie brauchen dafür keine IT-Kenntnisse, nur ein Microsoft-Konto mit Administratorrechten. Rechnen Sie mit 10 bis 15 Minuten.

Voraussetzungen

• Paket Premium in Mango Inventory — die Verzeichnis-Synchronisation gehört dazu. Details auf der Preisseite.
• Admin-Rolle in Mango Inventory — nur Admins sehen die Seite Einstellungen → Single Sign-on.
• Ein Microsoft-Konto mit der Rolle «Globaler Administrator» in Ihrer Organisation. Das ist das Konto, mit dem bei Ihnen Benutzer und Lizenzen in Microsoft 365 verwaltet werden. Sie selbst müssen das nicht sein — Sie können Schritt 2 bis 5 an Ihre IT weitergeben.
• Microsoft Entra ist der Verzeichnisdienst hinter Microsoft 365. Wenn Ihre Mitarbeiter sich mit einer Adresse Ihrer Organisation bei Outlook oder Teams anmelden, haben Sie Entra — auch wenn Sie den Namen noch nie gehört haben.

Hinweis

Was Mango Inventory sehen darf: nur Namen, E-Mail-Adressen und Profilbilder Ihrer Benutzer sowie die Zusammensetzung Ihrer Gruppen — und das nur lesend. Mango Inventory kann in Ihrem Verzeichnis nichts anlegen, ändern oder löschen und hat keinen Zugriff auf E-Mails, Dateien, Chats oder Kalender.

Einrichten

Microsoft zeigt seine Seiten in der Sprache Ihres Kontos. Die englischen Beschriftungen stehen in Klammern.

1. Öffnen Sie in Mango Inventory die Einrichtungsseite. Melden Sie sich unter app.mangoinventory.com an und gehen Sie zu Einstellungen → Single Sign-on. Oben auf der Karte «Verzeichnis verbinden» steht eine Reiterleiste mit den Anbietern — klicken Sie auf «Microsoft Entra».

   

2. Öffnen Sie den Zustimmungslink. Klicken Sie unter Schritt 1 auf «Zustimmungsseite für Administratoren öffnen». Sind Sie selbst kein Microsoft-Administrator, klicken Sie auf «Kopieren» und schicken Sie den Link Ihrer IT:

   https://login.microsoftonline.com/organizations/v2.0/adminconsent?client_id=0c3379d1-8021-43ae-8cdd-1b24a4fb9a38&scope=https%3A%2F%2Fgraph.microsoft.com%2F.default&redirect_uri=https%3A%2F%2Fapp.mangoinventory.com%2Fsettings%2Fsso

3. Melden Sie sich mit dem Administratorkonto an. Microsoft fragt nach der E-Mail-Adresse und dem Passwort — nehmen Sie das Konto mit der Rolle «Globaler Administrator», nicht Ihr persönliches. Ein normales Benutzerkonto wird an dieser Stelle abgewiesen.

   

4. Bestätigen Sie die Berechtigungen. Microsoft zeigt vier Zeilen mit dem, was Mango Inventory erhält — ausschliesslich Leserechte: Gruppenmitgliedschaften lesen, Basisprofile der Benutzer lesen (Name und E-Mail-Adresse), Profilbilder lesen und die Anmeldung selbst. Bestätigen Sie unten rechts mit «Akzeptieren» («Accept»).

   

   Danach landen Sie wieder auf app.mangoinventory.com. Erscheint stattdessen eine Fehlermeldung, war das Konto kein globaler Administrator — dann übernimmt diesen Schritt Ihre IT.

5. Kopieren Sie die Mandanten-ID. Die Mandanten-ID ist die Kennnummer Ihrer Organisation bei Microsoft, vergleichbar mit einer Kundennummer. Öffnen Sie entra.microsoft.com, melden Sie sich an und bleiben Sie auf der Startseite «Übersicht» («Overview»): Unter «Basisinformationen» («Basic information») steht «Mandanten-ID» («Tenant ID») mit einer Zeichenfolge der Form 00000000-0000-0000-0000-000000000000. Klicken Sie auf das Kopiersymbol daneben.

   

6. Tragen Sie die Mandanten-ID in Mango Inventory ein. Zurück auf der Karte «Verzeichnis verbinden»: Fügen Sie den kopierten Wert in das Feld «Entra-Mandanten-ID» ein und klicken Sie auf «Microsoft Entra verbinden». Beim Verbinden wird noch niemand synchronisiert — Sie wählen zuerst die Gruppen aus.

   

7. Wählen Sie die Gruppen. Die Seite zeigt jetzt zwei Karten. Unter «Synchronisations-Einstellungen» öffnen Sie «Zu synchronisierende Gruppen» und wählen die Gruppen aus Ihrem Verzeichnis aus, deren Personen Mango Inventory nutzen sollen — z. B. «Betrieb» und «Technik». Prüfen Sie darunter «Synchronisierte Benutzer treten bei als»: Diese Rolle erhalten alle, die künftig dazukommen (Standard: Benutzer).

   

8. Schauen Sie sich die Vorschau an — dann synchronisieren Sie. Klicken Sie auf «Änderungen prüfen». Die Vorschau listet auf, wer dazukäme, aktualisiert oder deaktiviert würde; geändert wird noch nichts. Passt die Liste, klicken Sie unten auf «Jetzt synchronisieren».

Fertig

Die synchronisierten Personen stehen sofort in der Benutzerliste und melden sich mit «Mit Microsoft fortfahren» an. Ab jetzt gleicht Mango die Gruppen jede Nacht ab. Was das genau bedeutet, steht unter Verzeichnis-Synchronisation.

Wenn etwas nicht klappt

• Die erste Synchronisation meldet einen Fehler («403» oder «Authorization_RequestDenied»). Das ist direkt nach der Zustimmung normal: Microsoft braucht ein paar Minuten, bis die Genehmigung überall bekannt ist. Warten Sie fünf Minuten und klicken Sie erneut auf «Jetzt synchronisieren».
• Die Karte zeigt «Neuverbindung nötig». Die Zustimmung wurde in Entra widerrufen oder ist nicht mehr gültig. Öffnen Sie den Zustimmungslink auf der Karte noch einmal, bestätigen Sie erneut und synchronisieren Sie danach.
• Die Gruppenliste bleibt leer. Dann stimmt die Mandanten-ID nicht oder die Zustimmung fehlt. Prüfen Sie die ID auf der Übersichtsseite im Entra Admin Center und gehen Sie die Schritte 2 bis 4 noch einmal durch.
• Einzelne Personen bleiben auf «Noch nicht angemeldet» stehen. Meist fehlt im Verzeichnis die E-Mail-Adresse — siehe den Hinweis unten.
• Mehr als 500 Personen kann eine Verbindung nicht synchronisieren. Wählen Sie in diesem Fall gezieltere Gruppen oder melden Sie sich bei uns.

Hinweis

E-Mail-Adresse im Verzeichnis: Entra-Konten ohne gesetztes E-Mail-Attribut («mail») werden zwar synchronisiert (mit dem Anmeldenamen als Adresse) und erscheinen in der Benutzerliste, können sich aber nicht mit «Mit Microsoft fortfahren» anmelden — Microsoft liefert bei solchen Konten keine E-Mail-Adresse mit. Betroffene Personen bleiben deshalb auf «Noch nicht angemeldet» stehen; Sie können ihnen alternativ eine Einladung an eine Adresse schicken, mit der sie sich anmelden können. Am einfachsten stellt Ihre IT sicher, dass alle synchronisierten Konten eine E-Mail-Adresse im Attribut «mail» tragen — bei Konten mit Exchange-Postfach ist das automatisch der Fall.