Inhaltsverzeichnis
1. Einleitung und Zielsetzung
Zielsetzung
Dieses Dokument beschreibt die administrativen Aufgaben bei der Verwaltung von Entra External ID (ehemals Azure AD B2C)[1] für die Integration mit Microsoft Power Pages. Es unterscheidet klar zwischen einmaligen Setup-Aufgaben und laufenden Wartungsarbeiten.
Zielgruppe
IT-Administratoren und Identity-Verantwortliche mit grundlegenden Kenntnissen in Azure/Entra ID. Technisches Verständnis von OAuth2/OpenID Connect[2] ist von Vorteil, aber nicht zwingend erforderlich.
Initiales Setup
Monitoring
Voraussetzungen
| Kategorie | Voraussetzung | Erforderlich |
|---|---|---|
| Azure-Zugang | Azure-Abonnement mit aktiver Subscription | Ja |
| Berechtigungen | Global Administrator oder Identity Administrator[4] | Ja |
| Lizenzierung | Entra External ID Lizenz (MAU-basiert)[5] | Ja |
| Power Pages | Power Pages Environment mit Admin-Zugang[6] | Ja |
| Domain | Eigene Domain für Custom Branding (optional) | Nein |
2. Übersicht: Einmalige vs. Regelmäßige Aufgaben
Einmalige Setup-Aufgaben
Diese Aufgaben werden einmalig bei der Ersteinrichtung durchgeführt:
Regelmäßige Wartungsaufgaben
Diese Aufgaben fallen während des laufenden Betriebs an:
Wichtig
Nach erfolgreichem Setup ist der administrative Aufwand minimal. Die meisten Tätigkeiten beschränken sich auf Monitoring und gelegentliche Updates. Portal-Benutzer verwalten ihre Accounts selbstständig (Passwort-Reset, Profil-Updates).
3. Einmalige Setup-Aufgaben
Erstellen Sie einen dedizierten External ID Tenant für die Portal-Authentifizierung.[7]
- Im Azure Portal navigieren zu: Microsoft Entra ID > External Identities
- Klick auf "Create a new tenant"
- Tenant-Typ auswählen: "External"
- Tenant-Name vergeben (z.B.
portalauth) - Region auswählen (empfohlen: EU-Region für DSGVO-Compliance)[15]
- Subscription zuweisen und erstellen
- Tenant Name: Sollte den Zweck widerspiegeln (z.B. "PortalAuth")
- Initiale Domain:
[name].onmicrosoft.comwird automatisch erstellt - Pricing Tier: MAU-basiert (Monthly Active Users)[5]
Wichtig:
Der Tenant-Name kann nach der Erstellung nicht mehr geändert werden. Wählen Sie einen aussagekräftigen Namen.
Registrieren Sie eine Anwendung für die OAuth2/OIDC Integration mit Power Pages.[8]
- Im Entra External ID Tenant navigieren zu: App registrations > New registration
- Name vergeben:
PowerPages-Portal - Supported account types: "Accounts in this organizational directory only"
- Redirect URI hinzufügen:
https://[portalname].powerappsportals.com/signin-[provider]
- Registrierung abschließen
- In der App-Registrierung: Certificates & secrets > New client secret
- Beschreibung vergeben:
PowerPages-Integration - Gültigkeitsdauer: 12 Monate (empfohlen)[14]
- Secret Value sofort notieren! (wird nur einmal angezeigt)
- Navigieren zu: API permissions > Add a permission
- Microsoft Graph auswählen
- Delegated permissions hinzufügen:[16]
openidprofileemailUser.Read
- Admin Consent erteilen
Sicherheit:
Client Secret niemals in Code oder öffentlichen Repositories speichern. Verwenden Sie Azure Key Vault[17] oder Power Pages Secure Settings.
Konfigurieren Sie die Benutzer-Flows für Registrierung, Anmeldung und Profilverwaltung.[9]
- Navigieren zu: User flows > New user flow
- Flow-Typ: "Sign up and sign in"
- Version: Recommended
- Name vergeben:
B2C_1_signupsignin - Identity providers aktivieren:
- ✓ Email signup (empfohlen)
- Optional: Social Identity Providers (Google, Microsoft, etc.)[18]
Definieren Sie, welche Daten bei der Registrierung erhoben werden:[19]
| Attribut | Collect | Return | Required |
|---|---|---|---|
| Email Address | ✓ | ✓ | Ja |
| Given Name | ✓ | ✓ | Ja |
| Surname | ✓ | ✓ | Ja |
| Display Name | ✓ | ✓ | Nein |
| Object ID | - | ✓ | - |
- Navigieren zu: User flows > New user flow
- Flow-Typ: "Password reset"
- Name:
B2C_1_passwordreset - Email verification aktivieren
- Return claims konfigurieren (email, objectId)
Tipp:
Testen Sie jeden User Flow unmittelbar nach der Erstellung über den "Run user flow" Button im Azure Portal.
Passen Sie das Erscheinungsbild der Authentifizierungsseiten an Ihr Corporate Design an.[10]
- Im User Flow navigieren zu: Page layouts > Customize
- Template auswählen oder Custom HTML hochladen
- Corporate Branding Elemente:
- Logo (empfohlen: 280x60 px, PNG/SVG)
- Background Image (optional)
- Brand Colors (Primary, Secondary)
- Custom CSS für erweiterte Anpassungen
- Sprachen konfigurieren (Deutsch, Englisch, etc.)[20]
- Änderungen speichern und testen
Accessibility:
Achten Sie bei Custom Branding auf ausreichende Kontraste und WCAG-Konformität[21] für barrierefreien Zugang.
Konfigurieren Sie MFA-Policies für erhöhte Sicherheit.[11]
- Im User Flow navigieren zu: Properties > Multifactor authentication
- MFA Type auswählen:
- Email OTP: Einfachste Methode
- SMS: Erfordert Phone Number Attribute
- Authenticator App: TOTP-basiert (höchste Sicherheit)
- MFA Enforcement:
- Off: MFA deaktiviert
- Always on: MFA für alle Benutzer (empfohlen)
- Conditional: MFA basierend auf Risiko (erfordert Premium)[22]
Empfehlung:
Aktivieren Sie MFA mindestens für administrative Accounts. Für Standard-Portal-Benutzer kann MFA optional bleiben, sollte aber in Erwägung gezogen werden.
Verknüpfen Sie Entra External ID als Identity Provider mit Ihrem Power Pages Portal.[12]
- Im Power Pages Admin Center: Security > Identity providers
- Klick auf "Add provider"
- Provider Type: "OpenID Connect"
- Konfiguration eingeben:
- Name:
Entra External ID - Authority: [siehe oben]
- Client ID: [siehe oben]
- Client Secret: [siehe oben]
- Redirect URI:
https://[portal].powerappsportals.com/signin-oidc
- Name:
- Mapping konfigurieren (Email → Email, Name → Full Name)
- Speichern und aktivieren
Tipp:
Deaktivieren Sie nach erfolgreicher Integration andere Identity Provider (Local Login, Microsoft) um ausschließlich Entra External ID zu nutzen.
Führen Sie umfassende Tests durch, bevor Sie das System produktiv schalten.
- Registrierung: Neuen Benutzer anlegen und Email-Verifizierung prüfen
- Login: Mit neu erstelltem Account anmelden
- Password Reset: Passwort-Reset-Flow durchlaufen
- MFA: Multi-Factor Authentication testen (falls aktiviert)
- Token Claims: Prüfen, ob alle benötigten Claims im Token enthalten sind[23]
- Logout: Abmeldung testen (Single Sign-Out)
- Error Handling: Falsche Credentials, abgelaufene Tokens, etc. testen
Go-Live Checklist:
Erst nach erfolgreichen Tests in allen Szenarien sollte das System für produktive Benutzer freigegeben werden.
4. Regelmäßige Wartungsaufgaben
Überwachen Sie die Authentifizierungsaktivitäten auf Anomalien und Fehler.[13]
- Im Entra Portal: Monitoring > Sign-in logs
- Filter setzen:
- Zeitraum: Letzte 24 Stunden
- Status: Fehlgeschlagen
- Application: PowerPages-Portal
- Auffälligkeiten prüfen (z.B. multiple Failed Logins von gleicher IP)
- Failed Sign-ins: Sollte < 5% sein
- MAU (Monthly Active Users): Für Kosten-Tracking[5]
- Sign-in Duration: Performance-Indikator
- MFA Success Rate: Falls MFA aktiviert
Alert einrichten:
Konfigurieren Sie Azure Monitor Alerts[24] für ungewöhnlich hohe Fehlerraten oder Anmelde-Aktivitäten.
Identifizieren und deaktivieren Sie Benutzer-Accounts, die länger nicht verwendet wurden.
- Im Entra Portal: Users > All users
- Filter: Last sign-in > 90 Tage[25]
- Liste exportieren und mit Fachbereich abstimmen
- Accounts deaktivieren (nicht löschen!):
- User auswählen
- Properties > Account enabled: No
- Dokumentation aktualisieren
Hinweis:
Deaktivierte Accounts können jederzeit reaktiviert werden. Permanentes Löschen sollte nur nach ausdrücklicher Genehmigung erfolgen (DSGVO-Anfragen)[15].
Erneuern Sie Client Secrets regelmäßig zur Einhaltung von Security Best Practices.[14]
- Neues Client Secret erstellen (siehe 3.2)
- Beide Secrets parallel aktiv lassen
- Power Pages Konfiguration auf neues Secret umstellen
- Testen (Sign-in, Sign-up)
- Altes Secret nach 48h löschen
- Vorgang dokumentieren
Wichtig:
Koordinieren Sie Secret-Rotation mit dem Power Pages Team. Ungeplante Secret-Änderungen führen zu Authentifizierungsausfällen.
Überwachen Sie die monatlichen Active Users (MAU) und die damit verbundenen Kosten.[5]
- Pricing Model: Entra External ID wird nach MAU abgerechnet
- Free Tier: Erste 50.000 MAU/Monat kostenlos[5]
- Paid Tier: Ca. 0,00325€ pro MAU darüber hinaus[5]
- Im Azure Portal: Cost Management > Cost analysis[26]
- Filter auf Entra External ID Resource
- Trend-Analyse: MAU-Entwicklung der letzten 3 Monate
- Budget Alerts konfigurieren (optional)
Überprüfen Sie regelmäßig auf verfügbare Updates und Sicherheits-Patches.
Automatische Updates:
Die meisten Updates werden von Microsoft automatisch durchgeführt. Manuelle Anpassungen sind nur bei Breaking Changes erforderlich.
5. Monitoring und Troubleshooting
5.1 Dashboard-Metriken
| Metrik | Normalwert | Alarmwert | Aktion |
|---|---|---|---|
| Failed Sign-ins | < 5% | > 10% | Sign-in Logs prüfen, User Flow testen |
| Sign-in Duration | < 3s | > 10s | Performance-Analyse, Azure Support |
| Token Errors | < 1% | > 5% | Token-Konfiguration prüfen, Claims validieren |
| MAU Wachstum | Steady | Sudden Spike | Bot-Aktivität prüfen, Kosten-Alarm |
5.2 Häufige Fehler und Lösungen
AADB2C90118: User forgot password[31]
Ursache: User hat "Forgot password?" geklickt
Lösung: Dies ist normales Verhalten. Stellen Sie sicher, dass der Password Reset Flow korrekt konfiguriert ist.
AADB2C90091: User cancelled flow[31]
Ursache: User hat den Registrierungs- oder Login-Prozess abgebrochen
Lösung: Überprüfen Sie das User Flow Design auf Usability-Probleme. Hohe Abbruchrate kann auf UX-Probleme hindeuten.
Invalid Client Secret
Ursache: Client Secret ist abgelaufen oder falsch konfiguriert
Lösung: Neues Client Secret erstellen und in Power Pages aktualisieren (siehe 4.3).
Redirect URI mismatch
Ursache: Redirect URI in App Registration stimmt nicht mit Power Pages überein
Lösung: URIs abgleichen und exakt übereinstimmen lassen (inkl. Trailing Slash).
6. Best Practices und Sicherheit
6.1 Sicherheits-Best-Practices
1. Principle of Least Privilege[32]
Vergeben Sie nur die minimal notwendigen Berechtigungen für Service Accounts und Administratoren. Verwenden Sie dedizierte Admin-Accounts, nicht persönliche Accounts.
2. Conditional Access Policies[22]
Nutzen Sie Conditional Access (Premium-Feature) für risikobasierte MFA und Location-Based Access Control. Blockieren Sie Anmeldungen aus High-Risk Ländern.
3. Client Secret Management[14]
Speichern Sie Secrets niemals in Code oder Konfigurationsdateien. Nutzen Sie Azure Key Vault.[17] Rotieren Sie Secrets alle 6-12 Monate. Dokumentieren Sie alle Secret-Änderungen.
4. Audit Logging[13]
Aktivieren Sie umfassendes Audit Logging und bewahren Sie Logs mindestens 90 Tage auf.[33] Exportieren Sie Logs regelmäßig zu SIEM-Systemen für langfristige Aufbewahrung.
5. Regelmäßige Security Reviews
Führen Sie quartalsweise Security Reviews durch. Prüfen Sie: Aktive Berechtigungen, MFA-Adoption-Rate, Failed Sign-in Patterns, Inaktive Accounts.
6.2 Performance-Optimierung
Token Caching aktivieren
Konfigurieren Sie Token Caching in Power Pages für reduzierte Latenz und weniger Roundtrips zu Entra ID.[34]
Claims minimieren
Reduzieren Sie Token-Größe durch Minimierung der Claims. Fordern Sie nur tatsächlich benötigte User Attributes an.[23]
CDN für Custom Pages
Hosten Sie Custom Branding Assets (Logo, CSS) auf einem CDN für schnellere Ladezeiten global.
6.3 Compliance und Datenschutz
DSGVO-Compliance[15]
Stellen Sie sicher, dass Entra External ID Tenant in EU-Region gehostet wird. Implementieren Sie Prozesse für DSGVO-Anfragen (Auskunft, Löschung, Berichtigung). Dokumentieren Sie alle Datenverarbeitungsvorgänge.
Data Residency[35]
Wählen Sie Azure-Region basierend auf Compliance-Anforderungen. EU-Daten sollten in EU-Regionen verbleiben (West Europe, North Europe).
User Consent Management
Implementieren Sie klare Consent-Flows für Datenerhebung. Dokumentieren Sie alle erhobenen Daten und deren Verwendungszweck. Ermöglichen Sie einfaches Opt-out.
7. Häufig gestellte Fragen (FAQ)
8. Checklisten
8.1 Initial Setup Checklist
8.2 Monthly Maintenance Checklist
8.3 Quarterly Security Review Checklist
Zusammenfassung
Nach erfolgreichem Initial Setup ist der administrative Aufwand für Entra External ID minimal. Die meisten Wartungsaufgaben können in wenigen Stunden pro Monat erledigt werden. Automatisierung (Alerts, Monitoring) reduziert den manuellen Aufwand weiter.
Benötigen Sie Unterstützung bei der Einrichtung?
In einem kostenlosen 30-Minuten-Gespräch analysieren wir Ihre Anforderungen und entwickeln einen maßgeschneiderten Implementierungsplan für Entra External ID mit Power Pages.
Jetzt Erstgespräch buchen