Zum Hauptinhalt springen
Version: 4.2 (2027 H1)

Authentifizierung

primedocs führt keine eigene Benutzerverwaltung mit Kennwörtern. Jede Anmeldung läuft über den mitgelieferten Identity Server (IdS), der an das Verzeichnis des Unternehmens (Entra ID oder Active Directory) angebunden ist. Diese Seite beschreibt, wer sich wie anmeldet und was die Anmeldung an primedocs übergibt. Die zugehörige Konfiguration steht im Kapitel Installation.

Abgrenzung zur Provisionierung

Die Authentifizierung stellt nur fest, wer sich anmeldet. Welche Daten diese Person in primedocs besitzt (Benutzerfelder, Profil, Organisationseinheit), entsteht anschliessend durch die Provisionierung.

Zwei Arten von Anmeldung​

ArtWerVerfahren
PersonenAnwender in primedocs Web, Desktop und den Office-Add-InsOpenID Connect gegen den IdS, der die Anmeldung an das Verzeichnis weiterreicht
SystemeDrittsysteme, die Connect, die Web API oder die Admin API aufrufenOAuth 2.0 gegen den IdS, in der Regel über client_credentials. Die Clients sind in der primedocs.config registriert. Siehe API-Authentifizierung
Externe AdministratorenOperations- und Support-Zugänge für die Verwaltung einer DatasourceEigene Entra-ID-App (<dataSourceAdminAppAuth>), parallel zur Anmeldung der Anwender. Diese Konten werden bewusst nicht als Benutzer in der Datasource angelegt. Siehe Entra ID Apps

In allen Fällen stellt der IdS das Zugriffstoken aus, und die primedocs-Dienste lassen es beim IdS prüfen.

Authentifizierungsarten für Personen​

Für die Anmeldung der Anwender wird eine primedocs-Instanz in einer der beiden Arten betrieben. Massgebend ist, ob in der primedocs.config ein Knoten <office365Auth> konfiguriert ist:

ArtVerzeichnisEinsatzKonfiguration
Entra IDMicrosoft Entra ID (ehemals Azure Active Directory)Cloud- und Hybrid-Betrieb. Voraussetzung für die Office- und Teams-Add-Ins<office365Auth> in der primedocs.config und eine Entra-ID-App
Windows-AuthentifizierungActive DirectoryReiner On-Premises-Betrieb ohne Microsoft 365Kein <office365Auth>. Kerberos/Negotiate direkt oder über den Windows-Host des IdS. Voraussetzungen: Active Directory Anforderungen

Was die Anmeldung liefert und was nicht​

Aus der Anmeldung selbst übernimmt primedocs nur die Identität:

AngabeBedeutung
PrimarySidEindeutiger Schlüssel der Person. Bei Active Directory die objectSid (Form S-1-5-…), bei Entra ID die objectId (eine GUID). primedocs ordnet darüber den Benutzerdatensatz zu, siehe Benutzer, Profile und Organisationen
KontonameDer Anmeldename aus dem Token (UPN bzw. preferred_username)

Anzeigename und Gruppenmitgliedschaften stehen nicht im Token. primedocs liest sie nach der Anmeldung selbst aus dem Verzeichnis nach (ein eigener Zugriff mit den Berechtigungen des Servers, nicht Teil des Anmeldevorgangs). Aus den Gruppen-SIDs leitet primedocs anschliessend die Berechtigungen ab.

Woher die Gruppen kommen​

Die gewählte Authentifizierungsart bestimmt, aus welcher Quelle primedocs Anzeigename und Gruppenmitgliedschaften nachlädt. Das ist der Punkt, an dem Authentifizierung und Datenbeschaffung tatsächlich zusammenhängen:

AuthentifizierungsartQuelle für Anzeigename und Gruppen
Windows-AuthentifizierungActive Directory über LDAP
Entra IDMicrosoft Graph
Entra ID mit SCIMDie über SCIM bereitgestellten Daten (sinnvoll, wenn für Microsoft Graph keine Application Permission erteilt werden darf)

Welche Verzeichniseigenschaft als Anzeigename dient, ist je Quelle einstellbar. SCIM lässt sich nur mit Entra ID kombinieren, nicht mit der Windows-Authentifizierung.

Vom Login zum Benutzer​

Nach der Anmeldung prüft primedocs, ob zur PrimarySid bereits ein Benutzer in der Datasource existiert. Ist das nicht der Fall, werden Benutzer und Standardprofil automatisch angelegt. Den Ablauf beschreibt Provisionierung. Die Einzelheiten stehen unter On- und Offboarding.

Anmeldung in primedocs Web und den Web-Add-Ins​

primedocs Web meldet sich nach dem Verfahren Authorization Code mit PKCE (OAuth 2.0 und OpenID Connect) direkt beim IdS an und erhält dafür Tokens. Jeden Aufruf an den Server sendet primedocs Web mit dem Zugriffstoken als Bearer-Token. Eine Cookie-Sitzung zwischen Browser und primedocs Web gibt es nicht. Die Office- und Teams-Add-Ins erhalten dieselben Tokens, entweder über die Anmeldeseite oder still über Nested App Authentication.

TokenGültigkeit
Zugriffstoken8 Stunden. primedocs Web erneuert es vor dem Ablauf im Hintergrund.
Aktualisierungstoken (Refresh Token)Wird bei jeder Erneuerung durch ein neues ersetzt (Rotation). Gilt höchstens 30 Tage ab der ursprünglichen Anmeldung, unabhängig davon, wie aktiv primedocs genutzt wird.
  • Maximale Anmeldedauer: Spätestens 30 Tage nach der Anmeldung ist eine neue Anmeldung nötig.
  • Eine Sitzung je Anmeldung: Jede Anmeldung, etwa im Browser oder in einem Office-Add-In, bildet beim IdS eine eigene Sitzung.
  • Abmelden: Widerruft beim IdS alle Tokens dieser Sitzung, auch bereits ersetzte Aktualisierungstokens und Tokens aus einer gleichzeitig laufenden Erneuerung. Im selben Browser meldet das Abmelden auch die übrigen Tabs von primedocs Web ab. Sitzungen derselben Person auf anderen Geräten bleiben bestehen. Die Anmeldung beim IdS und bei Entra ID bleibt ebenfalls bestehen. Damit primedocs nicht sofort wieder automatisch anmeldet, verlangt die nächste Anmeldung kurz nach dem Abmelden eine Interaktion (siehe SSO).
  • Vorübergehende Störungen: Ist der IdS bei einer Erneuerung nicht erreichbar, bleibt die Anmeldung erhalten, und primedocs Web wiederholt die Erneuerung später. Nach einem Ruhezustand des Geräts erneuert primedocs Web ein abgelaufenes Zugriffstoken vor dem nächsten Aufruf. Eine neue Anmeldung ist erst nötig, wenn der IdS das Aktualisierungstoken ablehnt, etwa nach Ablauf der 30 Tage oder nach dem Abmelden.
Kontostatus wird bei der Erneuerung nicht geprüft

Bei der Erneuerung prüft der IdS nicht erneut, ob das Konto im Verzeichnis (Entra ID oder Active Directory) noch aktiv ist. Eine Sperre im Verzeichnis beendet eine bestehende Anmeldung in primedocs Web deshalb nicht sofort. Sie bleibt bis zu 30 Tage nach der Anmeldung nutzbar.

Automatische Anmeldung (SSO)​

Besteht am Arbeitsplatz bereits eine gültige Entra-ID-Sitzung, meldet primedocs die Anwender ohne Login-Dialog an. Das gilt für Desktop, Web und die Office- und Teams-Add-Ins. Funktionsweise, Voraussetzungen und die nötige App-Registration beschreibt Single Sign-On (SSO).