Anmelden Als Pilotkunde anfragenPilotkunde werden
DEEN

So richtet Ihre IT Fairhours in Microsoft 365 ein

Fairhours ist eine Multi-Tenant-App für Microsoft 365. Ein Administrator stimmt einmal für die Firma zu, danach melden sich alle Mitarbeitenden mit ihrem Microsoft-365-Geschäftskonto an. Für die ganze Firma braucht Fairhours nur Leserechte; Kalender und Abwesenheitsnotiz geben Sie nur für eine Gruppe frei, den Mailversand nur für ein Absender-Postfach.

Als Pilotkunde anfragen Einrichtungsanleitung Schritt für Schritt

  1. Zustimmung bei Microsoft

    Ein Globaler Administrator oder ein Administrator für privilegierte Rollen klickt auf „Mit Microsoft starten“ und stimmt einmal für die ganze Firma zu.

  2. Outlook freischalten

    Ein Exchange-Administrator führt unser Skript aus. Das Skript gibt Kalender und Abwesenheitsnotiz nur für die Postfächer einer Gruppe frei und den Mailversand nur für ein Absender-Postfach.

  3. Mitarbeitende melden sich an

    Alle melden sich mit ihrem gewohnten Microsoft-365-Geschäftskonto an. Keine neuen Kennwörter.

Berechtigungen für die ganze Firma

Diese Rechte fragt Microsoft bei der Zustimmung ab. Alle sind reine Leserechte. Dazu kommen die üblichen Anmeldeangaben openid, profile und email.

BerechtigungArtWozu?
Profil lesenUser.ReadDelegiertFür die Anmeldung.
Mitarbeiterliste lesenUser.Read.AllAnwendungFür den täglichen Abgleich am Morgen: Neue kommen dazu, Ausgeschiedene werden deaktiviert.
Gruppenmitglieder lesenGroupMember.Read.AllAnwendungNur wenn Sie eine Mitarbeitergruppe wählen: damit Fairhours weiß, wer zur Gruppe gehört.

Kalender, Abwesenheitsnotiz und Mailversand nur, wo Sie es freigeben

Diese Rechte vergeben Sie nicht für die ganze Firma, sondern über die Exchange-Funktion „RBAC for Applications“: Kalender und Abwesenheitsnotiz nur für die Postfächer einer Gruppe, den Mailversand nur für ein Absender-Postfach. Fairhours liefert dafür ein Skript, und ein Prüf-Knopf in Fairhours zeigt, ob alles richtig eingerichtet ist.

  • Kalender lesen und schreibenFür „Abwesend“-Termine und die Tagesübersicht.Postfächer der GruppeApplication Calendars.ReadWrite
  • Abwesenheitsnotiz setzen und zurückstellenBei Urlaub und Krankheit an, danach wieder aus.Postfächer der GruppeApplication MailboxSettings.ReadWrite
  • E-Mails sendenBenachrichtigungen, zum Beispiel bei neuen Anträgen.Nur das Absender-Postfach (optional)Application Mail.Send

Das Skript

Unser PowerShell-Skript richtet die Freigabe in Exchange Online ein. Es darf beliebig oft laufen, vergibt nie „Application Exchange Full Access“ und zeigt mit -WhatIf nur, was es tun würde. In Fairhours erhalten Admins das Skript mit vorbelegter Objekt-ID und Gruppe.

  1. Verbindung zu Exchange OnlineConnect-ExchangeOnline
  2. Die Unternehmensanwendung „Fairhours“ in Exchange bekannt machenNew-ServicePrincipal
  3. Die Gruppe prüfen (E-Mail-aktivierte Sicherheitsgruppe, nur direkte Mitglieder)Get-Group
  4. Verwaltungsbereich „Fairhours-Postfaecher“ = Postfächer der GruppeNew-ManagementScope
  5. Kalender- und Postfach-Rolle nur für diesen Bereich, Mailversand nur für das Absender-PostfachNew-ManagementRoleAssignment
  6. Kontrolle: ein Mitglied erlaubt, eine Person außerhalb nichtTest-ServicePrincipalAuthorization
Skript herunterladen (fairhours-outlook-freigabe.ps1)
Exchange Online PowerShell
# Einmalig: Modul installieren
Install-Module ExchangeOnlineManagement -Scope CurrentUser

# Probelauf: zeigt nur, was das Skript tun würde
.\fairhours-outlook-freigabe.ps1 -Gruppe "Fairhours-Benutzer" -Absender "zeiterfassung@ihre-firma.de" -WhatIf

# Freigabe einrichten
.\fairhours-outlook-freigabe.ps1 -Gruppe "Fairhours-Benutzer" -Absender "zeiterfassung@ihre-firma.de"
Outlook-Freischaltung prüfenSo sieht die Prüfung in Fairhours aus (Beispiel)

Fragen aus der IT

Sicherheit und Datenschutz Outlook-Freischaltung in der Hilfe für Admins

Zustimmen muss ein Globaler Administrator oder ein Administrator für privilegierte Rollen, mit einem Konto der Firma selbst, nicht mit einem Gastkonto. Die Zustimmung gilt dann für die ganze Firma. Für das Skript in Exchange Online reicht ein Exchange-Administrator.

Link zu dieser Frage

Anwendungsrechte wie Calendars.ReadWrite gelten in Entra für alle Postfächer der Firma. Deshalb fragt Fairhours diese Rechte in Entra gar nicht erst ab. Ihre IT vergibt sie in Exchange nur für die Postfächer einer Gruppe. Hat Fairhours in Entra trotzdem firmenweite Postfach-Rechte, entfernen Sie diese, sonst wirkt die Begrenzung nicht.

Link zu dieser Frage

Um zu lesen, wer zur gewählten Mitarbeitergruppe gehört. Ohne Mitarbeitergruppe ist das Recht nicht nötig.

Link zu dieser Frage

Exchange übernimmt Änderungen erst nach 30 Minuten bis zwei Stunden. Danach in Fairhours unter Einstellungen → Outlook & Mails → Outlook-Freischaltung auf „Jetzt prüfen“ klicken.

Link zu dieser Frage

Keine Kennwörter Ihrer Mitarbeitenden: Die Anmeldung läuft nur über Microsoft 365. Stempelterminals haben ein eigenes Gerätekennwort, davon speichert Fairhours nur einen Prüfwert (Hash).

Link zu dieser Frage

Ja. Empfohlen ist eine vorher angelegte Sicherheitsgruppe oder Microsoft-365-Gruppe ohne externe Konten. Den vorgeschlagenen Gruppennamen können Sie bei der Einrichtung ändern. Später wählen volle Admins unter Einstellungen → Microsoft 365 mit Suche oder Gruppen-ID und Vorschau eine andere Gruppe oder alle Personen. Übernommen werden aktive Mitglieder mit E-Mail-Adresse, auch aus Untergruppen, keine Gäste. Wer nicht mehr in der Gruppe ist, wird am nächsten Morgen deaktiviert. Würden auf einmal mehr als die Hälfte der aktiven Personen mit Microsoft-Konto deaktiviert, hält Fairhours an. Auch wenn Microsoft weniger als die Hälfte der bisherigen Zahl liefert, hält der Abgleich an. Das gilt beim täglichen und manuellen Abgleich sowie beim Ändern der Gruppe. Ein voller Admin prüft unter Einstellungen → Microsoft 365 über „Vorschau ansehen und bestätigen“ die aktuelle Gruppe und bestätigt für genau einen Lauf. Die Bestätigung verfällt nach 15 Minuten und gilt nie für den täglichen Lauf. Bestätigte Kontosperren gelten weiterhin. Personen ohne Microsoft-Konto deaktivieren Sie in Fairhours. Die Outlook-Freigabe in Exchange bleibt davon unabhängig.

Link zu dieser Frage

Demo ansehen oder als Pilotkunde anfragen

Für den Start als Pilotkunde schreiben Sie uns. Die Demo können Sie sofort ansehen.

Als Pilotkunde anfragen Demo ansehen