Dienstbasierte Authentifizierung für die mobile Warehouse Management-App

Hinweis

Community-Interessensgruppen sind inzwischen von Yammer auf Microsoft Viva Engage umgestiegen. Um an einer Viva Engage-Community teilzunehmen und an den neuesten Diskussionen teilzunehmen, füllen Sie das Formular "Anfordern des Zugriffs auf Finance and Operations Viva Engage Community" aus , und wählen Sie die Community aus, der Sie beitreten möchten.

Die mobile Warehouse Management-App unterstützt die folgenden Arten der benutzerbasierten Authentifizierung:

  • Gerätecodeflowauthentifizierung
  • Benutzername und Kennwortauthentifizierung

Von Bedeutung

Allen Microsoft Entra ID-Konten, die zur Anmeldung verwendet werden, dürfen nur die Mindestberechtigungen gewährt werden, die sie zum Ausführen ihrer Lageraufgaben benötigen. Berechtigungen sollten strikt auf Benutzeraktivitäten mobiler Lagerortgeräte beschränkt sein. Verwenden Sie niemals ein Administratorkonto, um sich auf Geräten anzumelden.

Szenarien zur Geräteverwaltung, Microsoft Entra ID-Benutzer und Benutzer mobiler Geräte

Die mobile Warehouse Management-App verwendet Microsoft Entra ID für die Authentifizierung bei Dynamics 365 Supply Chain Management. Wählen Sie eines von zwei Szenarien zum Verwalten von Microsoft Entra ID Konten aus. In beiden Szenarien verfügt jeder Lagerarbeiter über einen Lagerarbeiterdatensatz im Lagerverwaltungsmodul mit einem oder mehreren Benutzerkonten für mobile Geräte.

Verwenden eines Microsoft Entra ID Benutzerkontos pro Gerät

In diesem Szenario verfügt jedes mobile Gerät über ein eigenes Microsoft Entra ID Konto. Mitarbeiter benötigen keine individuellen Microsoft Entra ID Konten.

Es funktioniert wie folgt:

  1. Der Administrator konfiguriert die App mit device code flow oder username/password authentifizierung mithilfe des Microsoft Entra ID Kontos des Geräts.
  2. Nach der Authentifizierung der App melden sich Mitarbeiter mit ihren Anmeldeinformationen für das Benutzerkonto des mobilen Geräts (Benutzer-ID und Kennwort) an.
  3. Wenn sich ein Mitarbeiter abmeldet, bleibt die App mit Supply Chain Management authentifiziert und zeigt die Anmeldeseite für den nächsten Worker an.

Dieser Ansatz funktioniert am besten, wenn mehrere Mitarbeiter Geräte an einem Standort teilen.

Verwenden eines Microsoft Entra ID Benutzerkontos pro Mitarbeiter

In diesem Szenario verfügt jeder Arbeitnehmer über ein eigenes Microsoft Entra ID Konto, das mit ihrem Lagerarbeiterdatensatz in Supply Chain Management verknüpft ist.

Es funktioniert wie folgt:

  1. Der Mitarbeiter meldet sich mit seinen Microsoft Entra ID Anmeldeinformationen an.
  2. Wenn eine Standardbenutzer-ID für das Lagerarbeitskonto des Mitarbeiters konfiguriert ist, authentifiziert diese einmalige Anmeldung die App und meldet sie in einem Schritt als Worker an.
  3. Dieselbe Microsoft Entra ID Sitzung kann für andere Apps auf dem Gerät freigegeben werden (z. B. Microsoft Teams oder Outlook).

Dieser Ansatz unterstützt einmaliges Anmelden (Single Sign-On , SSO) und ist am besten geeignet, wenn Mitarbeiter dedizierte Geräte verwenden oder wenn Sie strengere Identitätssteuerelemente benötigen.

Gerätecodeflowauthentifizierung

Wenn Sie die Gerätecode-Authentifizierung verwenden, generiert die mobile Warehouse Management-App einen eindeutigen Gerätecode und zeigt ihn an. Der Administrator, der das Gerät einsetzt, muss diesen Gerätecode dann in ein Onlineformular eingeben, zusammen mit den Anmeldeinformationen (Name und Kennwort) für ein Microsoft Entra ID-Benutzerkonto, das entweder das Gerät selbst oder den Mitarbeiter darstellt, der sich anmeldet (je nachdem, wie der Administrator das System implementiert). In einigen Fällen muss je nach Konfiguration des Microsoft Entra ID-Benutzerkontos möglicherweise auch die Administration die Anmeldedaten genehmigen. Zusätzlich zum eindeutigen Gerätecode zeigt die mobile App die URL an, unter welcher der Administrierende den Code und die Anmeldeinformationen für das Microsoft Entra ID-Benutzerkonto eingeben muss.

Die Gerätecode-Authentifizierung vereinfacht den Authentifizierungsprozess, da Benutzende keine Zertifikate oder geheime Clientschlüssel haben. Es werden jedoch einige zusätzliche Anforderungen und Einschränkungen eingeführt:

  • Erstellen Sie ein eindeutiges Microsoft Entra ID-Benutzerkonto für jedes Gerät oder jeden Mitarbeiter. Darüber hinaus sollten diese Konten streng begrenzt sein, sodass sie nur Benutzeraktivitäten für mobile Lagergeräte ausführen können.
  • Während sich ein Mitarbeiter mit der mobilen Warehouse Management-App anmeldet, zeigt die App einen generierten Gerätecode an. Dieser Code verliert nach 15 Minuten seine Gültigkeit und wird anschließend von der App ausgeblendet. Wenn der Code abläuft, bevor die Anmeldung abgeschlossen ist, muss die Arbeitskraft einen neuen Code generieren, indem sie in der App erneut Verbinden auswählt.
  • Geräte werden automatisch abgemeldet, wenn sie 90 Tage lang nicht verwendet oder darauf zugegriffen werden. Abgemeldete Geräte müssen erneut authentifiziert werden, bevor sie wieder verwendet werden können. Weitere Informationen finden Sie unter Aktualisierungstoken in der Microsoft Identity Platform.
  • Einmaliges Anmelden (Single Sign-On, SSO) wird nicht unterstützt, wenn Sie die Gerätecodeflow-Authentifizierung zusammen mit einem MDM-System (Mobile Mass Deployment) (wie etwa Intune) verwenden, um die mobile Warehouse Management-App zu verteilen. Sie können weiterhin ein MDM-System verwenden, um die App an jedes Mobilgerät zu liefern und eine connections.json-Datei bereitzustellen, die Verbindungen mithilfe von Gerätecode einrichtet. Der einzige Unterschied besteht darin, dass sich die Arbeitskräfte manuell anmelden müssen, wenn sie die App verwenden möchten. (Dieser Schritt wird nur einmal benötigt.)

Benutzername/Kennwortauthentifizierung

Wenn Sie die Authentifizierung mit Benutzername/Kennwort verwenden, muss jeder Mitarbeiter den Microsoft Entra ID Benutzernamen und das Kennwort eingeben, der entweder mit dem Gerät oder mit sich selbst verknüpft ist (abhängig vom Szenario Authentication Sie verwenden). Abhängig von der Einrichtung des Lagerortarbeitskraft-Datensatzes müssen sie möglicherweise auch eine Benutzerkonto-ID und ein Kennwort für ein mobiles Gerät eingeben. Diese Authentifizierungsmethode unterstützt das einmalige Anmelden (SSO), was auch den Komfort von Mobile Mass Deployment (MDM) erweitert.

Manuelles Erstellen einer Anwendungsregistrierung in Microsoft Entra ID

Die mobile Warehouse Management-App verwendet eine Microsoft Entra ID-Anwendungsregistrierung, um sich zu authentifizieren und eine Verbindung mit Ihrer Supply Chain Management-Umgebung herzustellen. Sie können eine globale Anwendung verwenden, die von Microsoft bereitgestellt und verwaltet wird, oder Sie registrieren Ihre eigene Anwendung in Microsoft Entra ID, indem Sie das Verfahren in diesem Abschnitt befolgen.

Von Bedeutung

Verwenden Sie nach Möglichkeit die globale Anwendung. Das Einrichten und Warten ist einfacher und unterstützt die meisten Szenarien, einschließlich Microsoft Entra Conditional Access. Sie benötigen nur eine manuell erstellte Anwendungsregistrierung, wenn Sie bestimmte Anforderungen haben, die die globale Anwendung nicht erfüllt (z. B. weil Sie bestimmte lokale Umgebungskonfigurationen verwenden).

Wenn Sie die globale Anwendung verwenden können, können Sie diesen Abschnitt überspringen. Weitere Informationen zur Verwendung der globalen Anwendung finden Sie unter Installieren der mobilen Warehouse Management-App. Wenn Sie eine manuelle Anwendungsregistrierung benötigen, fahren Sie mit diesem Abschnitt fort.

Das folgende Verfahren zeigt eine Möglichkeit zum Registrieren einer Anwendung in Microsoft Entra ID. Detaillierte Informationen und Alternativen finden Sie unter den Links nach dem Verfahren.

  1. In einem Webbrowser gehen Sie zu https://portal.azure.com.

  2. Geben Sie den Namen und das Kennwort des Benutzers ein, der Zugriff auf das Azure-Abonnement hat.

  3. Verwenden Sie das Suchfeld oben auf der Seite, um den Microsoft Entra ID-Dienst zu suchen und zu öffnen.

  4. Stellen Sie sicher, dass Sie mit der Microsoft Entra ID-Instanz arbeiten, die von Supply Chain Management verwendet wird.

  5. Erweitern Sie im linken Navigationsbereich "Verwalten" , und wählen Sie "App-Registrierungen" aus.

  6. Wählen Sie auf der Symbolleiste Neue Registrierung aus, um den Assistenten Anwendung registrieren zu öffnen.

  7. Geben Sie einen Namen für die Anwendung ein, wählen Sie die Option Nur Konten in diesem organisatorischen Verzeichnis und dann Registrieren aus.

  8. Ihre neue App-Registrierung wird geöffnet. Notieren Sie sich den Wert der Anwendungs-ID (Client-ID), da Sie ihn später benötigen. Dies ID wird später in diesem Artikel als Client-ID bezeichnet.

  9. Wählen Sie in der Liste Verwalten die Option Authentifizierung aus.

  10. Öffnen Sie auf der Seite " Authentifizierung " für die neue App die Registerkarte "Einstellungen ", legen Sie "Öffentliche Clientflüsse auf Aktiviert zulassen" fest, und wählen Sie "Speichern" aus.

  11. Öffnen Sie die Registerkarte " Umleitungs-URI-Konfiguration ", und wählen Sie "Umleitungs-URI hinzufügen" aus.

  12. Wählen Sie im Dialogfeld "Mobile" und "Desktopanwendungen" aus.

  13. Legen Sie das Eingabefeld auf den folgenden Wert fest, wobei {clientId} die Client-ID ist, die Sie zuvor in diesem Verfahren kopiert haben:

    ms-appx-web://microsoft.aad.brokerplugin/{clientId}

    Wählen Sie "Konfigurieren" aus, um Ihre Einstellungen zu speichern und das Dialogfeld zu schließen, um zur Seite " Authentifizierung " zurückzukehren, auf der jetzt Ihre neuen Plattformkonfigurationen angezeigt werden.

  14. Wählen Sie auf der Registerkarte " Umleitungs-URI-Konfiguration " die Option "Umleitungs-URI hinzufügen" aus.

  15. Wählen Sie im Dialogfeld Android aus. Legen Sie anschließend die folgenden Felder fest:

    • Paketname – Geben Sie den folgenden Wert ein (Groß-/Kleinschreibung wird beachtet):

      com.Microsoft.WarehouseManagement

    • Signaturhash: Geben Sie den folgenden Wert ein:

      hpavxC1xAIAr5u39m1waWrUbsO8=

    Wählen Sie "Konfigurieren" aus, um Ihre Einstellungen zu speichern und das Dialogfeld zu schließen, um zur Seite " Authentifizierung " zurückzukehren, auf der jetzt Ihre neuen Plattformkonfigurationen angezeigt werden.

  16. Wählen Sie auf der Registerkarte " Umleitungs-URI-Konfiguration " die Option "Umleitungs-URI hinzufügen" aus.

  17. Wählen Sie im Dialogfeld iOS /macOS aus.

  18. Legen Sie das Feld "Bundle-ID " auf den folgenden Wert fest:

    com.microsoft.WarehouseManagement

  19. Wählen Sie "Konfigurieren" aus, um Ihre Einstellungen zu speichern. Schließen Sie das Dialogfeld, um zur Seite " Authentifizierung " zurückzukehren, auf der jetzt Ihre neuen Plattformkonfigurationen angezeigt werden.

  20. Erweitern Sie im linken Navigationsbereich verwalten und wählen Sie API-Berechtigungen aus.

  21. Wählen Sie Eine Berechtigung hinzufügen.

  22. Im Dialogfeld Berechtigungen für API anfordern wählen Sie auf der Registerkarte Microsoft APIs die Kachel Dynamics ERP und dann die Kachel Delegierte Berechtigungen aus. Aktivieren Sie unter CustomService das Kontrollkästchen CustomService.FullAccess. Wählen Sie abschließend Berechtigungen hinzufügen aus, um Ihre Änderungen zu speichern.

  23. Verwenden Sie das Suchfeld oben auf der Seite, um den Microsoft Entra ID-Dienst zu suchen und zu öffnen.

  24. Erweitern Sie im linken Navigationsbereich " Verwalten" , und wählen Sie "Unternehmensanwendungen" aus. Wählen Sie dann in der neuen Liste Verwalten die Option Alle Anwendungen aus.

  25. Geben Sie im Suchformular den Namen ein, den Sie zuvor in diesem Verfahren für die App eingegeben haben. Vergewissern Sie sich, dass der Anwendungs-ID-Wert für die App mit der Client-ID übereinstimmt, die Sie zuvor kopiert haben. Wählen Sie dann in der Spalte Name den Link aus, um die Eigenschaften für die App zu öffnen.

  26. Erweitern Sie im linken Navigationsbereich " Verwalten" , und wählen Sie "Eigenschaften" aus.

  27. Setzen Sie die Option Zuweisung erforderlich? auf Ja und die Option Für Benutzer sichtbar? auf Nein. Wählen Sie dann in der Symbolleiste Speichern aus.

  28. Erweitern Sie im linken Navigationsbereich "Verwalten" , und wählen Sie "Benutzer und Gruppen" aus.

  29. Wählen Sie in der Symbolleiste Benutzer/Gruppe hinzufügen aus.

  30. Wählen Sie auf der Seite Zuweisung hinzufügen den Link unter der Überschrift Benutzer aus.

  31. Wählen Sie im Dialogfeld Users jeden Benutzer aus, den Sie zum Authentifizieren von Geräten mit Supply Chain Management verwenden.

  32. Wählen Sie "Auswählen" , um Ihre Einstellungen anzuwenden und das Dialogfeld zu schließen. Wählen Sie dann Zuweisen aus, um Ihre Einstellungen anzuwenden, und schließen Sie die Seite Zuordnung hinzufügen.

  33. Wählen Sie in der Liste Sicherheit die Option Berechtigungen aus.

  34. Wählen Sie Administratoreinwilligung gewähren für <Ihren Mandanten> aus, und erteilen Sie die Administratoreinwilligung im Namen Ihrer Benutzenden. Wenn Ihnen die erforderlichen Berechtigungen fehlen, kehren Sie zur Liste Verwalten zurück, öffnen Sie die Eigenschaften und legen Sie die Option Zuweisung erforderlich? auf Falsch fest. Jeder Benutzer kann dann individuell seine Einwilligung erteilen.

Weitere Informationen zum Registrieren einer Anwendung in Microsoft Entra ID finden Sie in den folgenden Ressourcen:

Einrichten von Mitarbeiter-, Benutzer- und Lagerarbeiterdatensätzen in Supply Chain Management

Bevor sich Mitarbeiter über die mobile App anmelden können, muss jedes Microsoft Entra ID Konto, das Sie der Unternehmens-App in Azure zuweisen, über einen entsprechenden Mitarbeiterdatensatz, einen Benutzerdatensatz und einen Lagerarbeiterdatensatz in Supply Chain Management verfügen. Informationen zum Einrichten dieser Datensätze finden Sie unter Benutzerkonten für mobile Geräte.

Einmaliges Anmelden

Mit einmaligem Anmelden (Single Sign-On, SSO) können Mitarbeiter sich bei der mobilen Warehouse Management-App anmelden, ohne ein Kennwort einzugeben. Es funktioniert, indem Anmeldeinformationen von einer anderen App auf dem Gerät wie Intune Unternehmensportal, Microsoft Authenticator oder Microsoft Teams erneut verwendet werden.

Hinweis

SSO erfordert die Authentifizierung mit Benutzername/Kennwort . Es funktioniert nicht mit dem Gerätecodefluss.

Aktivieren von SSO

Um SSO zu aktivieren, konfigurieren Sie die vermittelte Authentifizierung mithilfe einer der folgenden Methoden:

Voraussetzungen für SSO

In der folgenden Tabelle sind die Broker-Apps aufgeführt, die auf einem Gerät installiert sein müssen, damit SSO funktioniert:

Plattform Erforderliche Broker-App
Android Intune Unternehmensportal oder Microsoft Authenticator
iOS Microsoft Authenticator
Windows Der Mitarbeiter muss über ein Geschäftskonto verfügen, das auf dem Gerät konfiguriert ist.

Von Bedeutung

  • Um die mobile Massenbereitstellung (MDM) nutzen zu können, müssen Sie SSO aktivieren.
  • Die mobile Lagerverwaltungs-App unterstützt nicht den modus für gemeinsame Geräte.

Zugriff für ein Gerät entfernen, das die benutzerbasierte Authentifizierung verwendet

Wenn ein Gerät verloren geht oder kompromittiert wird, widerrufen Sie den Zugriff auf Supply Chain Management sofort. Durch Deaktivieren des zugeordneten Microsoft Entra ID Benutzerkontos wird der Zugriff für alle Geräte widerrufen, auf denen dieses Konto verwendet wird. Diese Einschränkung ist der Grund, warum das ein Konto pro Geräteansatz empfohlen wird. Dadurch können Sie den Zugriff für ein einzelnes Gerät isolieren und widerrufen, ohne dass sich dies auf andere auswirkt.

Führen Sie die folgenden Schritte aus, um den Zugriff zu widerrufen:

  1. Melden Sie sich beim Azure-Portal an.
  2. Wählen Sie im linken Navigationsbereich Microsoft Entra ID aus, und stellen Sie sicher, dass Sie sich im richtigen Verzeichnis befinden.
  3. Wählen Sie in der Liste Verwalten die Option Benutzer aus.
  4. Um das Profil des Benutzers zu öffnen, suchen Sie das Benutzerkonto, das dem Gerätecode zugeordnet ist, und wählen Sie den Namen aus.
  5. Wählen Sie in der Symbolleiste Sitzungen widerrufen aus, um die Sitzungen des Benutzerkontos zu widerrufen.

Hinweis

Abhängig davon, wie Sie Ihr Authentifizierungssystem einrichten, möchten Sie möglicherweise auch das Kennwort des Benutzerkontos ändern oder das Benutzerkonto vollständig deaktivieren.

  • Last updated on