Entra ID einrichten
Aktualisiert am 2026-08-13
Das Relay authentifiziert sich als Anwendung, nicht als Benutzer. Es gibt keinen interaktiven Login und kein Refresh-Token. Diese Schritte gehen Sie im Microsoft-365-Tenant Ihres Kunden durch, einmal je Kundentenant.
- Anwendung registrieren. Entra Admin Center → App-Registrierungen → Neue Registrierung. Single Tenant. Es wird keine Redirect-URI benötigt.
- Client-Secret erstellen. Zertifikate & Geheimnisse → Neues Client-Secret. Kopieren Sie den Wert sofort, er wird nur einmal angezeigt. Notieren Sie sich das Ablaufdatum - die Zustellung stoppt, wenn es abläuft.
- Anwendungsberechtigungen hinzufügen unter API-Berechtigungen → Microsoft Graph →
Anwendungsberechtigungen:
Mail.SendMail.ReadWrite
- Administratorzustimmung erteilen. Anwendungsberechtigungen bewirken nichts, solange kein Administrator zugestimmt hat.
Warum Mail.ReadWrite benötigt wird, und wie Sie es eng fassen
Mail.Send allein reicht nicht aus. Jeder Anhang, der groß genug für eine Upload-Session ist,
wird als Entwurf angelegt, und einen Entwurf anzulegen erfordert Mail.ReadWrite. In der
Praxis ist das bei den meisten Scans der Fall. Der Verbindungstest verwendet denselben
Mechanismus.
Mail.ReadWrite tenantweit erteilt bedeutet Lese- und Schreibzugriff auf jedes Postfach
dieses Kunden, und das ist nicht, was Sie wollen. Beschränken Sie die Anwendung auf genau die
Postfächer, die sie berühren darf:
- RBAC for Applications (aktueller Ansatz): Erstellen Sie einen Verwaltungsbereich (Management Scope), der nur das Postfach umfasst, aus dem gesendet werden soll, und weisen Sie der Anwendung eine Rolle darin zu.
- Application Access Policy (älter, weiterhin unterstützt): Erstellen Sie eine mailaktivierte Sicherheitsgruppe, die nur dieses Postfach enthält, und wenden Sie eine Richtlinie an, die die Anwendung darauf beschränkt.
Tun Sie dies, wenn möglich, bevor Sie die Zustimmung erteilen. Ein unbeschränktes
Mail.ReadWrite ist der größte Konfigurationsfehler, den Sie mit diesem Produkt machen
können.