JusTick mit Microsoft Entra ID einrichten

Anleitung für Administratorinnen und Administratoren: Nach der Einrichtung melden sich Ihre Mitarbeitenden mit ihrem Firmenkonto über „Mit Microsoft anmelden“ bei JusTick an – ohne eigenes JusTick-Passwort.

1 Überblick

Protokoll	OpenID Connect 1.0 auf OAuth 2.0, Authorization-Code-Flow mit PKCE
Endpunkt	Microsoft Identity Platform v2.0, Authority `organizations`
Anwendungstyp	mehrmandantenfähige Web-Anwendung (vertraulicher Client)
Unterstützte Konten	Geschäfts- und Schulkonten aus beliebigen Entra-ID-Mandanten. Private Microsoft-Konten (outlook.com, hotmail.com) werden nicht unterstützt.
Herausgeber	Justen iT GmbH, von Microsoft verifizierter Herausgeber
Anwendungs-ID	`f4a8e876-28b8-425a-8cae-0e5ba497a637`
Anmeldeadresse	https://app.justick.cloud/login
Benutzerbereitstellung	Just-in-Time bei der ersten Anmeldung. SCIM wird derzeit nicht unterstützt.
Abmeldung	Die Abmeldung in JusTick beendet die JusTick-Sitzung, nicht die Microsoft-Sitzung.

Sie legen in Ihrem Mandanten keine eigene App-Registrierung an, tauschen keine Zertifikate aus und pflegen keine Redirect-URIs. JusTick erscheint als Unternehmensanwendung in Ihrem Mandanten, sobald die Zustimmung erteilt ist.

2 Voraussetzungen

Ein Microsoft-Entra-ID-Mandant. Jede Lizenzstufe genügt, auch Entra ID Free. Für bedingten Zugriff auf JusTick ist Entra ID P1 nötig.
Eine JusTick-Organisation. Neue Kunden legen sie unter app.justick.cloud/start an; die Testphase läuft 30 Tage.
Die E-Mail-Domain Ihrer Mitarbeitenden ist in JusTick als Login-Domain hinterlegt und per DNS-Eintrag bestätigt. Alternativ verknüpft der JusTick-Support Ihre Organisation mit Ihrer Mandanten-ID.
In JusTick ist „Microsoft“ als Anmeldeweg Ihrer Organisation erlaubt (Standard).

3 Benötigte Rollen

Aufgabe	Rolle
Zustimmung für die gesamte Organisation erteilen	Entra ID: Cloudanwendungsadministrator, Anwendungsadministrator, Administrator für privilegierte Rollen oder Globaler Administrator
Zugriff auf bestimmte Benutzer oder Gruppen beschränken	Entra ID: Cloudanwendungsadministrator oder Anwendungsadministrator
Login-Domain bestätigen, Mitarbeitende und JusTick-Rollen verwalten	JusTick: Administrator der Organisation

JusTick-Rollen (Mitarbeiter, Administrator, Leser …) werden in JusTick vergeben, nicht über Entra-Gruppen. Wer sich als Erste oder Erster einer neuen Organisation anmeldet, wird deren Administrator; alle Weiteren starten als Mitarbeitende.

4 Berechtigungen und Begründung

JusTick fordert ausschließlich delegierte Berechtigungen an. Es gibt keine Anwendungsberechtigungen: JusTick kann ohne angemeldete Person nicht auf Ihren Mandanten zugreifen und liest keine Postfächer, Kalender oder Dateien.

Berechtigung	Typ	Wozu JusTick sie braucht
`openid`	delegiert	Anmeldung per OpenID Connect; liefert das ID-Token mit der unveränderlichen Benutzerkennung.
`profile`	delegiert	Anzeigename der Person für Oberfläche, Berichte und Stundenzettel.
`email`	delegiert	E-Mail-Adresse für die Zuordnung zur Organisation über die Login-Domain und für Benachrichtigungen.

Alle drei sind von Microsoft als Berechtigungen mit geringer Auswirkung eingestuft. Je nach Einstellung Ihres Mandanten stimmen Mitarbeitende selbst zu, oder es ist einmalig eine Administratorzustimmung nötig.

Gespeichert werden: Name, E-Mail-Adresse, Objekt-ID (oid) und Mandanten-ID (tid) der Person. Gespeichert auf unserem Server in Frankfurt (IONOS); vorgeschaltet ist Cloudflare, alle Dienstleister unter /subprozessoren. Einzelheiten in der Datenschutzerklärung und im Auftragsverarbeitungsvertrag.

5 Einrichtung

5.1 Zustimmung für die Organisation erteilen

Empfohlen, damit Mitarbeitende beim ersten Anmelden keine Zustimmungsabfrage sehen.

Selbst anmelden: Melden Sie sich mit einem Konto aus Abschnitt 3 einmal unter app.justick.cloud/login mit „Mit Microsoft anmelden“ an und setzen Sie im Zustimmungsdialog von Microsoft das Häkchen „Im Namen Ihrer Organisation zustimmen“.

Auf Anfrage der Mitarbeitenden: Ist in Ihrem Mandanten der Workflow für Administratorzustimmungen aktiviert, fordern Mitarbeitende beim ersten Anmelden eine Genehmigung an. Sie genehmigen sie im Microsoft Entra Admin Center unter Unternehmensanwendungen → Administratorzustimmungsanforderungen.

Über die Gallery: Microsoft Entra Admin Center → Unternehmensanwendungen → Neue Anwendung → „JusTick“ suchen, hinzufügen, dann Berechtigungen → Administratorzustimmung erteilen.

Danach steht JusTick unter Unternehmensanwendungen mit dem Herausgeber „Justen iT GmbH“ (verifiziert).

5.2 Zugriff beschränken (optional)

Unternehmensanwendungen → JusTick → Eigenschaften: Zuweisung erforderlich = Ja.
Benutzer und Gruppen → Benutzer/Gruppe hinzufügen: berechtigte Personen oder Gruppen zuweisen.

Bedingter Zugriff (z. B. MFA-Pflicht, nur verwaltete Geräte) wirkt auf JusTick wie auf jede andere Unternehmensanwendung.

5.3 Mitarbeitende anlegen

Automatisch: Mitarbeitende mit bestätigter Login-Domain werden bei der ersten Anmeldung in Ihrer Organisation angelegt.
Vorab: In JusTick unter Admin → Benutzer mit der Firmen-E-Mail anlegen, um Rolle, Sollstunden und Urlaub festzulegen. Bei der ersten Anmeldung wird das Microsoft-Konto mit diesem Eintrag verbunden.

6 So erkennt JusTick eine Person

JusTick ordnet ein Microsoft-Konto dauerhaft über Objekt-ID (oid) und Mandanten-ID (tid) aus dem ID-Token zu. Diese Werte ändern sich nicht, wenn E-Mail-Adresse oder Benutzerprinzipalname geändert werden.

Die E-Mail-Adresse wird nur bei der ersten Anmeldung verwendet, um die Person ihrer Organisation bzw. einem vorab angelegten Eintrag zuzuordnen. Ist die Organisation mit Ihrem Mandanten verknüpft, nimmt JusTick dabei nur Anmeldungen aus genau diesem Mandanten an. Eine spätere Anmeldung mit derselben E-Mail-Adresse, aber einem anderen Microsoft-Konto wird abgewiesen.

Wird ein Konto in Entra ID gelöscht und mit gleicher Adresse neu angelegt, erhält es eine neue Objekt-ID. Wenden Sie sich dann an den Support, damit das neue Konto mit dem bestehenden JusTick-Eintrag verbunden wird. Umbenennungen sind unkritisch.

7 Test mit Pilotpersonen

Zustimmung erteilen (5.1) und, falls gewünscht, eine Pilotgruppe zuweisen (5.2).
Eine Pilotperson öffnet in einem privaten Browserfenster app.justick.cloud/login und wählt „Mit Microsoft anmelden“.
Erwartet: keine Zustimmungsabfrage, danach das Dashboard der richtigen Organisation.
In JusTick unter Admin → Benutzer prüfen: Die Person erscheint mit korrekter Rolle.
Gegenprobe: Eine nicht zugewiesene Person wird von Microsoft abgewiesen (AADSTS50105).

8 Fehlerbilder

Meldungen von Microsoft

Code	Bedeutung	Lösung
AADSTS65001	Für JusTick liegt noch keine Zustimmung vor.	Zustimmung erteilen (5.1).
AADSTS90094 / 90095	Benutzer dürfen nicht selbst zustimmen.	Administratorzustimmung erteilen (5.1).
AADSTS50105	Zuweisung erforderlich, Person nicht zugewiesen.	Person oder Gruppe zuweisen (5.2).
AADSTS53003	Bedingter Zugriff blockiert die Anmeldung.	Richtlinie im Anmeldeprotokoll prüfen.
AADSTS50020	Privates Microsoft-Konto oder Konto aus fremdem Verzeichnis gewählt.	Mit dem Firmenkonto anmelden.
AADSTS50011	Umleitungsadresse passt nicht.	Fehler auf unserer Seite – Support kontaktieren.

Einzelheiten zu jedem Code: https://login.microsoftonline.com/error?code=<Nummer>

Meldungen von JusTick

Meldung	Ursache	Lösung
Seite „Firma freischalten“	Die E-Mail-Domain gehört zu keiner JusTick-Organisation. Die Anfrage liegt bereits bei uns.	Login-Domain hinterlegen und bestätigen oder Support kontaktieren.
„Dein Account ist deaktiviert …“	Person in JusTick deaktiviert, oder Anmeldung aus einem anderen Mandanten bzw. mit einem anderen Microsoft-Konto als dem verknüpften.	Person reaktivieren bzw. mit dem richtigen Konto anmelden; sonst Support.
„Deine Organisation hat diesen Anmeldeweg nicht freigegeben …“	„Microsoft“ ist als Anmeldeweg nicht erlaubt.	JusTick → Admin → Einstellungen → Login-Methoden.
„Testzeitraum abgelaufen“ / „Abonnement nicht aktiv“	Lizenzstatus der Organisation.	Lizenz erwerben oder Zahlungsart prüfen.
„Anmeldung fehlgeschlagen …“	u. a. liefert das Konto weder E-Mail noch UPN.	Attribut `mail` setzen; sonst Support.

9 Zustimmung widerrufen, JusTick entfernen

Unternehmensanwendungen → JusTick → Eigenschaften → Löschen entfernt die Anwendung und alle Zustimmungen aus Ihrem Mandanten. Danach ist keine Anmeldung mehr möglich. Ihre Daten in JusTick bleiben bis zur Kündigung und den vertraglichen Löschfristen erhalten.

10 Support

E-Mail an [email protected] mit Uhrzeit, angezeigtem Code (AADSTS…) und Correlation ID. Weitere Wege: Support. Bitte keine Kennwörter oder Tokens senden.