Einrichtungsanleitung für Microsoft 365

Diese Anleitung ist für die IT, die Fairhours in Microsoft 365 freigibt. Auf sie verweisen die AGB (§ 8). Das Ziel: Fairhours bekommt für die ganze Firma nur Leserechte. Kalender und Abwesenheitsnotiz gibt die IT nur für die Postfächer einer Gruppe frei, den Mailversand nur für ein Absender-Postfach.

1. Admin-Zustimmung

1. Wer darf zustimmen? Ein Globaler Administrator oder ein Administrator für privilegierte Rollen, mit einem Konto der Firma selbst, nicht mit einem Gastkonto. Die Zustimmung gilt für die ganze Firma.
2. Auf fairhours.de „Mit Microsoft starten“ wählen, auf der Seite der Einrichtung die Berechtigungen ansehen und „Weiter zu Microsoft“ wählen. Wer nicht Admin ist, schickt der IT dort den Link.
3. Microsoft zeigt die Berechtigungen noch einmal. Dort zustimmen.

Microsoft fragt nur diese Rechte ab, alle zum Lesen: User.Read (delegiert, für die Anmeldung), User.Read.All (Anwendung, für den täglichen Abgleich der Personen) und, nur mit Mitarbeitergruppe, GroupMember.Read.All (Anwendung, um die Mitglieder der Gruppe zu lesen). Dazu kommen die üblichen Anmeldeangaben openid, profile und email. Rechte für Kalender, Postfacheinstellungen oder Mailversand fragt Fairhours in Entra nicht ab.

2. Mitarbeitergruppe

• Wir empfehlen eine Mitarbeitergruppe: eine Sicherheitsgruppe oder Microsoft-365-Gruppe ohne externe Konten, die Sie vorher in Microsoft 365 anlegen. In der Einrichtung ist „Eine Gruppe aus Microsoft 365“ vorausgewählt; den vorgeschlagenen Namen „Mitarbeitende <Firmenname>“ können Sie ändern. Fairhours findet die Gruppe beim ersten Abgleich über den Namen und verwendet danach ihre ID. Übernommen werden aktive Mitglieder mit E-Mail-Adresse, auch aus Untergruppen, keine Gäste.
• Volle Admins ändern die Wahl später in Fairhours unter Einstellungen → Terminals & Microsoft 365 → Microsoft 365 → „Gruppe ändern“. Sie suchen eine Gruppe oder geben ihre ID ein, prüfen die Vorschau und speichern. Danach läuft sofort ein Abgleich.
• Wer nicht mehr in der gewählten Gruppe ist, wird am nächsten Morgen deaktiviert. Würden auf einmal mehr als die Hälfte der aktiven Personen mit Microsoft-Konto deaktiviert, hält Fairhours an. Auch wenn Microsoft weniger als die Hälfte der bisherigen Zahl liefert, hält der Abgleich an. Das gilt beim täglichen und manuellen Abgleich sowie beim Ändern der Gruppe. Ein voller Admin prüft unter Einstellungen → Microsoft 365 über „Vorschau ansehen und bestätigen“ die aktuelle Gruppe und bestätigt für genau einen Lauf. Die Bestätigung verfällt nach 15 Minuten und gilt nie für den täglichen Lauf. Personen ohne Microsoft-Konto deaktivieren Sie in Fairhours.
• Für die Freigabe in Exchange braucht es eine E-Mail-aktivierte Sicherheitsgruppe, am besten dieselbe Gruppe.
• Für die Outlook-Freigabe in Exchange zählen nur direkte Mitglieder. Postfächer in Untergruppen werden dort nicht freigegeben. Eine Änderung der Mitarbeitergruppe in Fairhours ändert die Outlook-Freigabe nicht; prüfen Sie diese getrennt.
• Gemeinsame Postfächer, die Fairhours nutzen soll (Messekalender, gemeinsamer Abwesenheitskalender), gehören ebenfalls direkt in die Gruppe.

3. Kalender und Abwesenheitsnotiz nur für die Gruppe

Die Rechte für Kalender und Abwesenheitsnotiz vergibt ein Exchange-Administrator über die Exchange-Funktion „RBAC for Applications“, und zwar nur für die Postfächer der Gruppe. Dafür gibt es ein PowerShell-Skript:

1. Skript holen: in Fairhours unter Einstellungen → Outlook & Mails → Outlook-Freischaltung → „Skript für die IT herunterladen“ (Objekt-ID der Unternehmensanwendung und Gruppe sind dort schon eingetragen) oder hier: fairhours-outlook-freigabe.ps1.
2. Einmalig das Modul installieren, dann zuerst den Probelauf mit -WhatIf starten (ändert nichts) und danach das Skript wirklich ausführen, angemeldet als Exchange-Administrator. Die Befehle stehen unten.
3. Das Skript legt den Verwaltungsbereich Fairhours-Postfaecher an (alle Postfächer, die direkt in der Gruppe stehen) und gibt die Rollen Application Calendars.ReadWrite und Application MailboxSettings.ReadWrite nur für diesen Bereich frei. Application Exchange Full Access und andere firmenweite Rechte vergibt es nicht.
4. Das Skript darf beliebig oft laufen: Vorhandenes bleibt, Abweichungen (zum Beispiel eine andere Gruppe) werden korrigiert.

Was das Skript der Reihe nach tut:

1. Verbindung zu Exchange Online (Connect-ExchangeOnline)
2. Die Unternehmensanwendung „Fairhours“ in Exchange bekannt machen (New-ServicePrincipal)
3. Die Gruppe prüfen (E-Mail-aktivierte Sicherheitsgruppe, nur direkte Mitglieder) (Get-Group)
4. Verwaltungsbereich „Fairhours-Postfaecher“ = Postfächer der Gruppe (New-ManagementScope)
5. Kalender- und Postfach-Rolle nur für diesen Bereich, Mailversand nur für das Absender-Postfach (New-ManagementRoleAssignment)
6. Kontrolle: ein Mitglied erlaubt, eine Person außerhalb nicht (Test-ServicePrincipalAuthorization)

4. Mailversand nur für ein Absender-Postfach

Benachrichtigungen verschickt Fairhours über ein Absender-Postfach, zum Beispiel zeiterfassung@ihre-firma.de. Mit dem Parameter -Absender bekommt nur dieses Postfach die Rolle Application Mail.Send (Verwaltungsbereich Fairhours-Absender). Ohne -Absender bleiben die E-Mail-Benachrichtigungen aus.

5. Prüfen

• Exchange übernimmt die Änderung erst nach 30 Minuten bis zwei Stunden.
• Danach in Fairhours unter Einstellungen → Outlook & Mails → Outlook-Freischaltung auf „Jetzt prüfen“ klicken. Fairhours prüft, dass ein Mitglied der Gruppe erreichbar ist und eine Person außerhalb der Gruppe von Microsoft abgewiesen wird.
• Ergebnis „Freigeschaltet für die Gruppe“: alles richtig. „Noch nicht freigeschaltet“: warten oder das Skript prüfen. „Zu weit freigeschaltet“: Fairhours erreicht auch Postfächer außerhalb der Gruppe, siehe Punkt 6.
• Solange etwas pausiert, prüft Fairhours alle zwei Stunden selbst nach.

6. Keine firmenweiten Rechte in Entra stehen lassen

Rechte aus Entra und aus Exchange addieren sich. Hat die Unternehmensanwendung Fairhours in Entra zusätzlich firmenweite Rechte wie Calendars.ReadWrite, MailboxSettings.ReadWrite oder Mail.Send, gilt die Begrenzung auf die Gruppe nicht. Deshalb im Entra Admin Center unter Unternehmensanwendungen → Fairhours → Berechtigungen prüfen, dass dort keine solchen Rechte stehen, und sie gegebenenfalls entfernen.

7. Rückgängig machen

Ein Skript zum Entfernen der Freigabe gibt es in Fairhours unter Einstellungen → Outlook & Mails → Outlook-Freischaltung → „So richtet die IT die Freigabe ein“.

Befehle

# Einmalig: Modul installieren
Install-Module ExchangeOnlineManagement -Scope CurrentUser

# Probelauf: zeigt nur, was das Skript tun würde
.\fairhours-outlook-freigabe.ps1 -Gruppe "Fairhours-Benutzer" -Absender "zeiterfassung@ihre-firma.de" -WhatIf

# Freigabe einrichten
.\fairhours-outlook-freigabe.ps1 -Gruppe "Fairhours-Benutzer" -Absender "zeiterfassung@ihre-firma.de"