Was muss unsere IT in Microsoft 365 für die apodienste inbox einrichten?

Damit die apodienste inbox auf Ihr Microsoft-365-Postfach zugreifen darf, richtet Ihre IT einmalig eine App in Microsoft Entra ein und gibt ihr Zugriff auf das Postfach. Geben Sie diesen Artikel an Ihre IT weiter.

Voraussetzungen

Sie haben Administratorrechte für Microsoft Entra und Exchange Online. Gibt es bereits eine App für die apodienste inbox, nutzen Sie diese und überspringen Sie Schritt 1.

So geht's

1. Öffnen Sie im Microsoft Entra Admin Center den Bereich App-Registrierungen und klicken Sie auf Neue Registrierung. Vergeben Sie einen Namen, zum Beispiel „Posteingang“, und wählen Sie den Kontotyp „Nur Konten in diesem Organisationsverzeichnis“. Eine Umleitungs-URI ist nicht nötig. Notieren Sie die Verzeichnis-ID (Tenant-ID) und die Anwendungs-ID (Client-ID).

2. Öffnen Sie unter Unternehmensanwendungen dieselbe App und notieren Sie die Objekt-ID.

3. Klicken Sie in der App unter Zertifikate & Geheimnisse auf Neuer geheimer Clientschlüssel und wählen Sie eine Laufzeit, zum Beispiel 24 Monate. Kopieren Sie den Wert sofort. Er wird nur einmal angezeigt.

4. Wählen Sie unter API-Berechtigungen › Berechtigung hinzufügen › Von meiner Organisation verwendete APIs › Office 365 Exchange Online › Anwendungsberechtigungen die Berechtigung IMAP.AccessAsApp aus. Sie dient zum Empfangen.

5. Fügen Sie über Berechtigung hinzufügen › Microsoft Graph › Anwendungsberechtigungen die Berechtigung Mail.Send hinzu. Sie dient zum Senden. Wählen Sie „Anwendung“, nicht „Delegiert“.

6. Klicken Sie auf Administratorzustimmung für … erteilen. Beide Berechtigungen zeigen danach einen grünen Haken.

7. Geben Sie der App in Exchange Online PowerShell Zugriff auf das Postfach. Ersetzen Sie info@ihre-apotheke.de durch die Adresse Ihres Postfachs. New-ServicePrincipal ist nur einmal pro App nötig.

Connect-ExchangeOnline
New-ServicePrincipal -AppId <Client-ID> -ObjectId <Objekt-ID der Unternehmensanwendung> -DisplayName "Posteingang"
Add-MailboxPermission -Identity info@ihre-apotheke.de -User <Objekt-ID der Unternehmensanwendung> -AccessRights FullAccess -AutoMapping:$false

8. Beschränken Sie das Senden auf dieses Postfach (empfohlen). Ohne diesen Schritt darf die App aus jedem Postfach Ihrer Organisation senden. Der Test muss für dieses Postfach „Granted“ zeigen und für jedes andere Postfach „Denied“. Es kann bis zu 30 Minuten dauern, bis die Regel wirkt.

New-ApplicationAccessPolicy -AppId <Client-ID> -PolicyScopeGroupId info@ihre-apotheke.de -AccessRight RestrictAccess -Description "Posteingang darf nur aus diesem Postfach senden"
Test-ApplicationAccessPolicy -Identity info@ihre-apotheke.de -AppId <Client-ID>

Ergebnis

Die App darf E-Mails aus dem Postfach abrufen und darüber senden. Geben Sie Tenant-ID, Client-ID und Client-Secret an die Apotheke weiter. Die Apotheke trägt die Werte selbst in der apodienste inbox ein. Schicken Sie das Client-Secret bitte nicht per E-Mail.

Gut zu wissen

Tragen Sie das Ablaufdatum des Client-Secrets in Ihren Kalender ein. Ist es abgelaufen, funktionieren Empfangen und Senden nicht mehr.

Verwenden Sie für das Senden die Berechtigung Mail.Send in Microsoft Entra. Die Verbindungsprüfung der apodienste inbox erkennt die neuere Methode „RBAC for Applications“ ohne Entra-Berechtigung derzeit noch nicht.

Verwandte Artikel

Wie versende ich E-Mails aus der apodienste inbox über unser Microsoft-365-Postfach?

Wie trage ich unser Microsoft-365-Postfach in der apodienste inbox ein?

Was tue ich, wenn die Verbindungsprüfung für Microsoft 365 einen Fehler zeigt?