feat(auth): Anmeldung ueber Microsoft Entra (SSO)

OpenID Connect mit Authorization Code Flow und PKCE, vollstaendig
serverseitig - der Browser sieht weder Tenant- noch Client-ID. Genutzt wird
dieselbe App-Registrierung wie die Postfachanbindung, also kein zweites
Secret; delegiert statt app-only.

Nach dem Token-Tausch beweist ein Aufruf von /me bei Graph, dass das
Zugriffstoken gilt, und liefert die Objekt-ID. Sie landet in der neuen Spalte
crm_users.entra_oid und ist danach die stabile Verknuepfung - die E-Mail-
Adresse eines Menschen kann sich aendern, die Objekt-ID nicht.

Bewusst so entschieden:
  - Es werden keine Konten angelegt. Wer kein CRM-Konto mit derselben Adresse
    hat, wird abgewiesen; Zugriff vergibt weiter die Nutzerverwaltung.
  - Die Anmeldung mit Benutzername und Passwort bleibt fuer alle bestehen -
    Notzugang, falls Entra oder das Secret ausfaellt.
  - Das CRM-Token kommt als Einmal-Ticket zurueck, nicht in der Adresszeile:
    die Rueckleitung ist ein GET und stuende sonst in Browserverlauf und
    Apache-Log.
  - Keine Signaturpruefung des ID-Tokens und damit keine JWKS-Bibliothek. Es
    kommt ueber TLS direkt vom Token-Endpunkt (OIDC Core 3.1.3.7); geprueft
    werden aud, tid, nonce und exp, und der Graph-Aufruf belegt den Rest.

Ohne MS_SSO_ENABLED=true bleibt alles aus und die Anmeldemaske sieht aus wie
bisher.

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>

docs/07-anleitung-benutzer.md

@@ -21,12 +21,20 @@ Ein CRM für die Projektvermittlung. Es beantwortet vier Fragen:
 `https://crm.perinco.de` (alternativ `https://pcrm.perinco.de`). Anmelden geht mit **Benutzername oder E-Mail** plus
 Passwort. Die Sitzung hält 12 Stunden, danach fragt die Anwendung erneut.
 
+Steht auf der Maske **Mit Microsoft anmelden**, geht es auch ohne zweites
+Passwort: ein Klick, die gewohnte Microsoft-Anmeldung, zurück im CRM. Das setzt
+voraus, dass es hier schon ein Konto mit derselben E-Mail-Adresse gibt - sonst
+kommt der Hinweis, sich an einen Administrator zu wenden. Wer noch kein
+Profilfoto im CRM hat, bekommt bei der ersten Anmeldung das aus Microsoft 365
+übernommen. **Abmelden** beendet die CRM-Sitzung, nicht die bei Microsoft.
+Einzelheiten: [13 Anmeldung über Microsoft](13-anmeldung-sso.md).
+
 Sagt die Meldung „Benutzername oder Passwort ist falsch", bleibt bewusst offen,
 welches von beidem nicht stimmte - so kann über die Anmeldemaske niemand
 Benutzernamen durchprobieren.
 
-Es gibt zwei Rollen: **Administrator** sieht zusätzlich die Nutzerverwaltung und
-die Scanner-Einstellungen. Alles andere ist für beide Rollen gleich.
+Es gibt zwei Rollen: **Administrator** sieht zusätzlich die Nutzerverwaltung,
+die Anmelde- und die Scanner-Einstellungen. Alles andere ist für beide Rollen gleich.
 
 ## Sich zurechtfinden