OAuth 2.0 auf Microsoft 365 konfigurieren

Sie können Microsoft 365 so konfigurieren, dass OAuth 2.0 für E-Mail-Benachrichtigungen verwendet wird. Dazu müssen Sie Microsoft 365 über das Microsoft Entra Admin Center konfigurieren und die Client-ID, das Clientgeheimnis und das Aktualisierungstoken einrichten. Diese Anmeldeinformationen benötigen Sie für die Einrichtung von OAuth 2.0 für Benachrichtigungs-E-Mails. Verwaltung > Benachrichtigungseinstellungen in der Sophos Firewall.

Die wichtigsten Schritte sind folgende:

1. Sophos Firewall als Anwendung registrieren.
2. Füge delegierte Berechtigungen hinzu.
3. SMTP-Authentifizierung aktivieren.
4. Erstellen Sie ein Client-Geheimnis.
5. Generieren Sie das Aktualisierungstoken.

Sophos Firewall als Anwendung registrieren

Um die Sophos Firewall als Anwendung zu registrieren, gehen Sie wie folgt vor:

1. Im Microsoft Enterprise Admin Center, gehe zu Identität > Anwendungen > App-Registrierungen und auswählen Neuregistrierung.
2. Geben Sie einen Namen für die Anwendung ein.
3. Unter Unterstützte Kontotypen, für Wer kann diese Anwendung nutzen oder auf diese API zugreifen?, wählen Konten in einem beliebigen Organisationsverzeichnis (Beliebiger Microsoft Entra ID-Mandant - Multitenant).
4. Unter Umleitungs-URI (optional), im Wählen Sie eine Plattform aus Liste, Auswahl Web.

5. Geben Sie im URL-Feld Folgendes ein: https://outlook.office365.com/ oder http://localhost/.

   Beide URLs funktionieren. Achten Sie beim Generieren des Aktualisierungstokens darauf, dieselbe URL zu verwenden, die Sie in diesem Feld eingeben.

6. Klicken Registrieren.

   Im Admin-Center werden die Details der von Ihnen erstellten Anwendung angezeigt.

7. Kopie Anwendungs-ID (Client-ID).

   Wenn Sie OAuth 2.0 für E-Mail-Benachrichtigungen in der Firewall konfigurieren, müssen Sie diesen Wert einfügen in Client-ID.

Delegierte Berechtigungen hinzufügen

Um delegierte Berechtigungen hinzuzufügen, gehen Sie wie folgt vor:

1. Öffnen Sie die Anwendung, die Sie für die Firewall erstellt haben.
2. Gehe zu API-Berechtigungen und klicken Berechtigung hinzufügen.
3. Im API-Berechtigungen anfordern Bereich, klicken Microsoft Graph.
4. Wählen Delegierte Berechtigungen.
5. Unter Berechtigungen auswählen, wählen Sie die SMTP.Senden Und Offline-Zugriff Berechtigungen.
6. Klicken Berechtigungen hinzufügen.
7. Erteilen Sie die Administratorzustimmung für die ausgewählten Berechtigungen und klicken Sie auf Ja auf Aufforderung.

SMTP-Authentifizierung aktivieren

Sie müssen die SMTP-Authentifizierung für den Benutzer aktivieren, der die E-Mail-Benachrichtigungen sendet.

Um die SMTP-Authentifizierung für einen Benutzer zu aktivieren, gehen Sie wie folgt vor:

1. Im Microsoft Enterprise Admin Center, gehe zu Benutzer und auswählen Aktive Nutzer.
2. Wählen Sie den Benutzer aus, von dem Sie die E-Mail-Benachrichtigungen senden möchten.
3. Klicken Sie im Popup-Fenster Post: Dann gehe zu E-Mail-Apps und klicken E-Mail-Apps verwalten.
4. Drehen Authentifiziertes SMTP An.

Erstellen Sie ein Client-Geheimnis

Um ein Client-Geheimnis zu erstellen, gehen Sie wie folgt vor:

1. Öffnen Sie die Anwendung, die Sie für die Firewall erstellt haben.
2. In der Anwendung gehen Sie zu Zertifikate & Geheimnisse > Kundengeheimnisse und klicken Geheimnis des neuen Kunden.
3. Geben Sie eine Beschreibung ein, legen Sie die Ablaufzeit des Geheimnisses fest und klicken Sie auf Hinzufügen.

4. Kopiere das Geheimnis von Wert direkt neben dem Namen des Geheimnisses.

   Notiz

   Sie müssen das Geheimnis sofort kopieren, da das Admin-Center das Geheimnis nach dem Neuladen der Seite wieder ausblendet.

   Wenn Sie OAuth 2.0 für E-Mail-Benachrichtigungen in der Firewall konfigurieren, müssen Sie dieses Geheimnis einfügen in Kundengeheimnis.

Generieren Sie das Aktualisierungstoken.

Um das Aktualisierungstoken zu generieren, gehen Sie wie folgt vor:

1. Geben Sie in einem Webbrowser die folgende URL ein:

   https://login.microsoftonline.com/common/oauth2/v2.0/authorize?client_id={client-id}&response_type=code&redirect_uri={redirect-uri}&response_mode=query&scope=https://outlook.office365.com/.default+offline_access&state=12345 

   Ersetzen Sie in der obigen URL die folgenden Variablen wie folgt:

   • Ersetzen {client-id} mit der von Ihnen erstellten Client-ID.
   • Ersetzen {redirect-uri} mit der URL, die Sie in Schritt 5 eingegeben haben Sophos Firewall als Anwendung registrieren.

2. Melden Sie sich mit Ihrem Microsoft-Konto an.

   Sie erhalten einen Autorisierungscode.

   Hier ein Beispiel:

   https://outlook.office365.com/?code=AUTH_CODE_HERE&state=12345 

3. Verwenden Sie einen API-Client wie beispielsweise Postman, um eine POST-Anfrage wie folgt zu senden:

   Warnung

   Stellen Sie sicher, dass sich das System, auf dem der API-Client ausgeführt wird, in derselben Zeitzone wie die Firewall befindet. Wenn Sie die Zeitzone der Firewall ändern, müssen Sie die Firewall neu starten.

   1. POST-URL:

      https://login.microsoftonline.com/common/oauth2/v2.0/token 

   2. POST-Text:

      client_id=YOUR_CLIENT_ID &scope=https://outlook.office365.com/.default offline_access &code=AUTH_CODE_FROM_STEP_2 &redirect_uri=YOUR_REDIRECT_URI &grant_type=authorization_code &client_secret=YOUR_CLIENT_SECRET 

      Ersetzen Sie die folgenden Variablen wie folgt:

      • Ersetzen YOUR_CLIENT_ID mit der von Ihnen erstellten Client-ID.
      • Ersetzen AUTH_CODE_FROM_STEP_2 mit dem Autorisierungscode, den Sie erhalten haben.
      • Ersetzen YOUR_REDIRECT_URI mit der URL, die Sie in Schritt 5 eingegeben haben Sophos Firewall als Anwendung registrieren.
      • Ersetzen YOUR_CLIENT_SECRET mit dem von Ihnen erstellten Client-Geheimnis.

      Sie erhalten die Zugriffs- und Aktualisierungstoken.

      Zugriffstoken ermöglichen einen kurzlebigen, einmaligen Zugriff. Anwendungen verwenden Aktualisierungstoken, die länger gültig sind und sich automatisch über die Anwendung erneuern.

      Hier ein Beispiel:

      { "token_type": "Bearer", "scope": "https://outlook.office365.com/SMTP.Send https://outlook.office365.com/.default", "expires_in": 5366, "ext_expires_in": 5366, "access_token": "xxxxxxx", "refresh_token": "xxxxxxx" } 

      Wenn Sie OAuth 2.0 für E-Mail-Benachrichtigungen in der Firewall konfigurieren, müssen Sie dieses Token einfügen in Aktualisierungstoken.