Authentifizierung
primedocs führt keine eigene Benutzerverwaltung mit Kennwörtern. Jede Anmeldung läuft über den mitgelieferten Identity Server (IdS), der an das Verzeichnis des Unternehmens (Entra ID oder Active Directory) angebunden ist. Diese Seite beschreibt, wer sich wie anmeldet und was die Anmeldung an primedocs übergibt. Die zugehörige Konfiguration steht im Kapitel Installation.
Die Authentifizierung stellt nur fest, wer sich anmeldet. Welche Daten diese Person in primedocs besitzt (Benutzerfelder, Profil, Organisationseinheit), entsteht anschliessend durch die Provisionierung.
Zwei Arten von Anmeldung
| Art | Wer | Verfahren |
|---|---|---|
| Personen | Anwender in primedocs Web, Desktop und den Office-Add-Ins | OpenID Connect gegen den IdS, der die Anmeldung an das Verzeichnis weiterreicht |
| Systeme | Drittsysteme, die Connect, die Web API oder die Admin API aufrufen | OAuth 2.0 gegen den IdS, in der Regel über client_credentials. Die Clients sind in der primedocs.config registriert. Siehe API-Authentifizierung |
| Externe Administratoren | Operations- und Support-Zugänge für die Verwaltung einer Datasource | Eigene Entra-ID-App (<dataSourceAdminAppAuth>), parallel zur Anmeldung der Anwender. Diese Konten werden bewusst nicht als Benutzer in der Datasource angelegt. Siehe Entra ID Apps |
In allen Fällen stellt der IdS das Zugriffstoken aus, und die primedocs-Dienste lassen es beim IdS prüfen.
Authentifizierungsarten für Personen
Für die Anmeldung der Anwender wird eine primedocs-Instanz in einer der beiden Arten betrieben. Massgebend ist, ob in der primedocs.config ein Knoten <office365Auth> konfiguriert ist:
| Art | Verzeichnis | Einsatz | Konfiguration |
|---|---|---|---|
| Entra ID | Microsoft Entra ID (ehemals Azure Active Directory) | Cloud- und Hybrid-Betrieb. Voraussetzung für die Office- und Teams-Add-Ins | <office365Auth> in der primedocs.config und eine Entra-ID-App |
| Windows-Authentifizierung | Active Directory | Reiner On-Premises-Betrieb ohne Microsoft 365 | Kein <office365Auth>. Kerberos/Negotiate direkt oder über den Windows-Host des IdS. Voraussetzungen: Active Directory Anforderungen |
Was die Anmeldung liefert und was nicht
Aus der Anmeldung selbst übernimmt primedocs nur die Identität:
| Angabe | Bedeutung |
|---|---|
| PrimarySid | Eindeutiger Schlüssel der Person. Bei Active Directory die objectSid (Form S-1-5-…), bei Entra ID die objectId (eine GUID). primedocs ordnet darüber den Benutzerdatensatz zu, siehe Benutzer, Profile und Organisationen |
| Kontoname | Der Anmeldename aus dem Token (UPN bzw. preferred_username) |
Anzeigename und Gruppenmitgliedschaften stehen nicht im Token. primedocs liest sie nach der Anmeldung selbst aus dem Verzeichnis nach (ein eigener Zugriff mit den Berechtigungen des Servers, nicht Teil des Anmeldevorgangs). Aus den Gruppen-SIDs leitet primedocs anschliessend die Berechtigungen ab.
Woher die Gruppen kommen
Die gewählte Authentifizierungsart bestimmt, aus welcher Quelle primedocs Anzeigename und Gruppenmitgliedschaften nachlädt. Das ist der Punkt, an dem Authentifizierung und Datenbeschaffung tatsächlich zusammenhängen:
| Authentifizierungsart | Quelle für Anzeigename und Gruppen |
|---|---|
| Windows-Authentifizierung | Active Directory über LDAP |
| Entra ID | Microsoft Graph |
| Entra ID mit SCIM | Die über SCIM bereitgestellten Daten (sinnvoll, wenn für Microsoft Graph keine Application Permission erteilt werden darf) |
Welche Verzeichniseigenschaft als Anzeigename dient, ist je Quelle einstellbar. SCIM lässt sich nur mit Entra ID kombinieren, nicht mit der Windows-Authentifizierung.
Vom Login zum Benutzer
Nach der Anmeldung prüft primedocs, ob zur PrimarySid bereits ein Benutzer in der Datasource existiert. Ist das nicht der Fall, werden Benutzer und Standardprofil automatisch angelegt. Den Ablauf beschreibt Provisionierung. Die Einzelheiten stehen unter On- und Offboarding.
Automatische Anmeldung (SSO)
Besteht am Arbeitsplatz bereits eine gültige Entra-ID-Sitzung, meldet primedocs die Anwender ohne Login-Dialog an. Das gilt für Desktop, Web und die Office- und Teams-Add-Ins. Funktionsweise, Voraussetzungen und die nötige App-Registration beschreibt Single Sign-On (SSO).
Weiterführende Links
- primedocs.config: Konfiguration der Authentifizierung und der API-Clients
- Single Sign-On (SSO): automatische Anmeldung in allen Clients
- API-Authentifizierung: Token-Bezug für Drittsysteme
- Provisionierung: wie Benutzer- und Organisationsdaten nach der Anmeldung entstehen
- Rollen: wie aus Gruppenmitgliedschaften Berechtigungen werden