Enterprise Applications Enterprise Applications

Referenz für Gallery-Apps, SSO, Provisioning, Zugriff und Betrieb von Enterprise Applications. Reference for gallery apps, SSO, provisioning, access, and operations of enterprise applications.

Enterprise Applications im Überblick Enterprise applications overview

Enterprise Applications repräsentieren die tenant-lokale Instanz einer Anwendung. Hier werden Zuweisungen, Single Sign-On, Provisioning, Conditional Access, Consent, Nutzungsberichte und Application Proxy konfiguriert. Enterprise applications represent the tenant-local instance of an application. This is where assignments, single sign-on, provisioning, Conditional Access, consent, usage reports, and Application Proxy are configured.

Gallery vs. Non-Gallery Gallery vs non-gallery

SSO-Methoden SSO methods

Enterprise Applications unterstützen mehrere SSO-Modelle. Die Auswahl hängt davon ab, ob die Ziel-App föderierbar ist, moderne Standards unterstützt oder nur ein gespeichertes Passwort kennt. Enterprise applications support several SSO models. The right choice depends on whether the target app can federate, supports modern standards, or only supports stored credentials.

SAML Deep Dive SAML deep dive

SAML-Konfiguration besteht aus Vertrauensdaten und Attributen. Entscheidend sind Entity ID/Identifier, Reply URL (ACS), ggf. Sign-on URL, Claim-Regeln und das Signaturzertifikat. SAML configuration consists of trust data and attributes. Key settings are the Entity ID/Identifier, Reply URL (ACS), optional sign-on URL, claim rules, and the signing certificate.

            
                # Claims Mapping Policy Beispiel für SAML-ähnliche Anpassungen
                $body = @{
                  definition = @(
                    '{"ClaimsMappingPolicy":{"Version":1,"IncludeBasicClaimSet":"true","ClaimsSchema":[{"Source":"user","ID":"userprincipalname","JwtClaimType":"name"}]}}'
                  )
                  displayName = "SampleClaimsPolicy"
                } | ConvertTo-Json -Depth 5
                
                Invoke-MgGraphRequest -Method POST `
                  -Uri "https://graph.microsoft.com/v1.0/policies/claimsMappingPolicies" `
                  -Body $body `
                  -ContentType "application/json"
                        
            
        

Benutzer- und Gruppenzuweisung User and group assignment

Mit der Option Assignment required steuerst du, ob nur explizit zugewiesene Benutzer und Gruppen die Anwendung starten dürfen. Das ist wichtig für sensible Anwendungen, Testphasen und saubere Lizenzsteuerung. The Assignment required option controls whether only explicitly assigned users and groups may launch the application. This is important for sensitive applications, pilot phases, and clean license control.

• Benutzerzuweisungen sind granular, Gruppen sind für Betrieb und Joiner/Mover/Leaver-Prozesse skalierbarer. User assignments are granular, while groups scale better for operations and joiner/mover/leaver processes.
• Nested-Gruppen werden je nach App und Provisioning-Szenario nicht immer aufgelöst. Nested groups are not always resolved, depending on the app and provisioning scenario.
• Blockiere Self-Service für hochkritische Apps und verlasse dich auf genehmigte Zuweisungen. Disable self-service for highly sensitive apps and rely on approved assignments.

            
                $sp = Get-MgServicePrincipal -Filter "displayName eq 'Contoso HR App'"
                $group = Get-MgGroup -Filter "displayName eq 'HR-App-Users'"
                
                New-MgGroupAppRoleAssignment `
                  -GroupId $group.Id `
                  -PrincipalId $group.Id `
                  -ResourceId $sp.Id `
                  -AppRoleId ([Guid]::Empty)
                        
            
        

SCIM Provisioning SCIM provisioning

SCIM koppelt den Lebenszyklus von Entra-Benutzern mit Konten im Zielsystem. Typisch sind Create, Update, Disable und Group Push. Vor dem Go-Live sollten Attribute, Matching-Regeln und Deprovisioning-Verhalten in einem Pilot validiert werden. SCIM links the lifecycle of Entra users with accounts in the target system. Typical operations are create, update, disable, and group push. Before go-live, validate attributes, matching rules, and deprovisioning behavior in a pilot.

            
                $sp = Get-MgServicePrincipal -Filter "displayName eq 'Contoso HR App'"
                
                Invoke-MgGraphRequest -Method GET `
                  -Uri "https://graph.microsoft.com/beta/servicePrincipals/$($sp.Id)/synchronization/jobs"
                        
            
        

Application Proxy Application Proxy

Application Proxy veröffentlicht interne Web-Anwendungen sicher über Entra ID. Der Connector baut ausgehend eine Verbindung zu Microsoft auf, sodass keine eingehenden Firewall-Öffnungen in der DMZ erforderlich sind. Application Proxy securely publishes internal web applications through Entra ID. The connector establishes an outbound connection to Microsoft, so no inbound firewall openings in the DMZ are required.

Self-Service Access Self-service access

Self-Service erlaubt Benutzern das Anfordern von Zugriff aus dem MyApps-Portal. In Verbindung mit Genehmigern, Ablauf und Access Reviews eignet sich das für Standard-SaaS-Lösungen mit nachvollziehbarer Governance. Self-service lets users request access from the MyApps portal. Combined with approvers, expiration, and access reviews, it works well for standard SaaS solutions with traceable governance.

Consent und Properties Consent and properties

Unter Properties steuerst du Sichtbarkeit, Assignment requirement und Benutzerzugriff. Tenantweite Consent Settings entscheiden zusätzlich, ob Benutzer Drittanbieter-Apps oder nur verifizierten Publishern zustimmen dürfen. Under Properties, you control visibility, assignment requirement, and user access. Tenant-wide consent settings additionally determine whether users may consent to third-party apps or only to verified publishers.

Usage Reports und Monitoring Usage reports and monitoring

PowerShell + Graph PowerShell + Graph

            
                # Enterprise App finden
                $sp = Get-MgServicePrincipal -Filter "displayName eq 'Contoso HR App'"
                
                # Wichtige Eigenschaften anzeigen
                $sp | Select-Object Id, AppId, DisplayName, ServicePrincipalType, AccountEnabled
                
                # Anwendungszugriff temporär sperren
                Update-MgServicePrincipal -ServicePrincipalId $sp.Id -AccountEnabled:$false
                
                # Notes per Graph aktualisieren
                $body = @{ notes = "Owner: Identity Team; Review: quarterly" } | ConvertTo-Json
                Invoke-MgGraphRequest -Method PATCH `
                  -Uri "https://graph.microsoft.com/v1.0/servicePrincipals/$($sp.Id)" `
                  -Body $body `
                  -ContentType "application/json"
                        
            
        

SAML KomplettreferenzComplete SAML reference

SAML-basierte Enterprise Apps leben von präzisen Claims, konsistenten Zertifikaten und sauberem NameID-Design. Die folgende Referenz konzentriert sich auf Request-/Response-Struktur, Claim-Transformationen und Gruppenverhalten.SAML-based enterprise apps depend on precise claims, consistent certificates, and clean NameID design. The following reference focuses on request/response structure, claim transformations, and group behavior.

Browser -> Service Provider: unauthenticated request
Service Provider -> Browser: redirect or POST with SAMLRequest
Browser -> Entra ID: SAMLRequest, RelayState
Entra ID -> User: sign-in, MFA, Conditional Access
Entra ID -> Browser: SAMLResponse, RelayState, signature
Browser -> Service Provider: POST assertion to ACS endpoint
Service Provider -> Browser: application session established

NameID FormateNameID formats

Signaturzertifikate verwaltenManage signing certificates

SAML Claim-TransformationenSAML claim transformations

Benutzerattribute und ClaimsUser attributes and claims

Mehrwertige Gruppenclaims und FilterMulti-valued group claims and filtering

SCIM 2.0 Deep DiveSCIM 2.0 deep dive

SCIM Provisioning verbindet Entra ID mit Zielsystemen über standardisierte Ressourcen wie /Users und /Groups. Erfolgreiche Provisionierung hängt dabei weniger vom Protokoll als von sauberem Mapping, Scope und Monitoring ab.SCIM provisioning connects Entra ID with target systems through standardized resources such as /Users and /Groups. Successful provisioning depends less on the protocol itself than on clean mappings, scope, and monitoring.

Mapping-AusdrückeMapping expressions

Provisioning Scope und AusführungProvisioning scope and execution

Logs analysierenAnalyze logs

PATCH /scim/v2/Users/2819c223-7f76-453a-919d-413861904646
Content-Type: application/scim+json

{
  "schemas": ["urn:ietf:params:scim:api:messages:2.0:PatchOp"],
  "Operations": [
    {
      "op": "Replace",
      "path": "active",
      "value": true
    },
    {
      "op": "Replace",
      "path": "name.givenName",
      "value": "Alex"
    }
  ]
}

Application Proxy Deep DiveApplication Proxy deep dive

Application Proxy ermöglicht den sicheren externen Zugriff auf interne Webanwendungen, ohne eingehende Firewall-Freigaben für die Anwendung selbst. Entscheidend sind Connector-Platzierung, Pre-Authentication und Backend-SSO.Application Proxy enables secure external access to internal web applications without inbound firewall openings for the application itself. Connector placement, pre-authentication, and backend SSO are the key design points.

Pre-Authentication und Backend-SSOPre-authentication and backend SSO

setspn -Q HTTP/app.internal.contoso.com
setspn -Q HTTP/app.contoso.com

# Connector-Computerobjekt in AD für constrained delegation prüfen
# Check the connector computer object in AD for constrained delegation

Invoke-WebRequest https://app.contoso.com -UseBasicParsing