Zum Hauptinhalt springen
Die organisationsweite Microsoft-365-Integration holt die Zustimmung einmalig für deinen Tenant. In Entra ID gilt diese Zustimmung damit zunächst für die ganze Organisation. Den tatsächlichen Zugriff auf Kalender und Postfacheinstellungen begrenzst du danach in Exchange Online (powershell). Dieser Artikel richtet sich an Exchange-Admins, die anny nur mit ausgewählten Outlook-Raum- und Ressourcenpostfächern verbinden wollen.
Die Einrichtung passiert in Entra ID und Exchange Online, nicht in anny. In anny koppelst du danach wie gewohnt einzelne Kalender unter Account → Apps & Integrationen → Microsoft 365.

​
Wie der Zugriff begrenzt wird

Es gibt nicht einen Schalter. Die Zustimmung in Entra ID bleibt tenant-weit. Für Calendars.ReadWrite und MailboxSettings.ReadWrite legst du in Exchange Online einen Management Scope an: eine mail-aktivierte Gruppe plus RBAC for Applications. Die App erhält Kalenderzugriff dann ausschließlich auf Postfächer, die Mitglieder dieser Gruppe sind. Die Berechtigungen in Exchange addieren sich zu denen in Entra ID. Solange die tenant-weiten Graph-Berechtigungen in Entra ID stehen, wirkt der Scope nicht. Image

​
Voraussetzungen

  • Exchange-Administrator-Rolle bzw. Mitgliedschaft in Organization Management
  • Exchange Online (Cloud). On-Premise-Postfächer unterstützt die Integration nicht.
  • Eine mail-aktivierte Sicherheitsgruppe, Microsoft-365-Gruppe oder Verteilerliste. Nur direkte Mitglieder zählen, verschachtelte Gruppen nicht.
  • Die Anwendungs-ID und die Objekt-ID der Unternehmensanwendung. Nimm die Werte aus Unternehmensanwendungen, nicht aus App-Registrierungen.

​
Zugriff auf einzelne Postfächer begrenzen

1

Gruppe anlegen

Lege eine mail-aktivierte Gruppe an, zum Beispiel anny-scope. Nimm die Raum- und Ressourcenpostfächer auf, deren Kalender anny nutzen darf.
2

Mit Exchange Online verbinden

Öffne PowerShell und verbinde dich mit Exchange Online.
3

Service Principal anlegen

Erzeuge den Verweis auf die Unternehmensanwendung. Die IDs kommen aus Unternehmensanwendungen, nicht aus App-Registrierungen.
4

Scope definieren

Begrenze den Zugriff auf die Mitglieder der Gruppe. Der Filter braucht den Distinguished Name.
5

Rollen mit Scope zuweisen

Weise Kalender- und Postfacheinstellungen nur für diesen Scope zu.
6

Prüfen

Teste, ob ein konkretes Postfach im Scope liegt. Der Test umgeht den Berechtigungs-Cache und berücksichtigt nur Exchange-RBAC, nicht die Berechtigungen in Entra ID.
7

Tenant-weite Entra-Berechtigungen entfernen

Entferne in Entra ID unter Unternehmensanwendungen → deine anny-App → Berechtigungen die organisationsweiten Anwendungsberechtigungen Calendars.ReadWrite und MailboxSettings.ReadWrite. Ohne diesen Schritt bleibt der Zugriff tenant-weit, weil Entra ID und Exchange die Rechte addieren.
Sobald der Scope aktiv ist und die tenant-weiten Entra-Berechtigungen entfernt sind, kann anny nur noch die Postfächer in der Gruppe als Kalender nutzen. Die Microsoft-Dokumentation zu RBAC for Applications steht bei Microsoft Learn.
Änderungen an App-Berechtigungen können 30 Minuten bis zwei Stunden brauchen. Der Test mit Test-ServicePrincipalAuthorization umgeht diesen Cache. Ein grünes Testergebnis bedeutet deshalb nicht, dass Graph den Scope schon durchsetzt, und es prüft nicht, ob in Entra ID noch tenant-weite Berechtigungen stehen.

​
Einschränkungen

  • Du begrenzst nur Kalenderzugriff und Postfacheinstellungen. Die Kontenliste in Microsoft Kalender kann weiterhin mehr Adressen zeigen, weil sie aus dem Verzeichnis kommt.
  • Verschachtelte Gruppenmitglieder liegen außerhalb des Scopes.

​
FAQ

Die Auswahl Microsoft Kalender listet Konten aus dem Verzeichnis. Der Exchange-Scope begrenzt den Kalenderzugriff, nicht diese Liste. Synchronisieren lässt sich nur ein Postfach, das direktes Mitglied der Gruppe ist. Andere Postfächer schlagen fehl.
Die tenant-weiten Graph-Berechtigungen in Entra ID sind dann noch aktiv. Exchange-RBAC addiert sich dazu und schränkt nicht ein, solange Entra ID denselben Zugriff organisationweit gibt. Entferne Calendars.ReadWrite und MailboxSettings.ReadWrite in der Unternehmensanwendung.
Ja. Jedes Raum- oder Ressourcenpostfach, das anny synchronisieren soll, muss direktes Mitglied der mail-aktivierten Gruppe sein.

​
Troubleshooting

Das Postfach ist oft kein direktes Mitglied der Gruppe, oder der Berechtigungs-Cache ist noch aktiv. Prüfe die Mitgliedschaft und warte bis zu zwei Stunden, oder teste mit Test-ServicePrincipalAuthorization.
Test-ServicePrincipalAuthorization ignoriert Entra-Berechtigungen. Entferne die tenant-weiten Anwendungsberechtigungen in Entra ID und warte, bis der Cache abläuft.