From e271f5c1e87431779de29d1bac8a9c208676384d Mon Sep 17 00:00:00 2001 From: Sascha Wolf Date: Mon, 21 Sep 2026 08:21:56 +0200 Subject: [PATCH] docs(auth): icon-experts.de in die Domainliste fuer SSO Nicht jedes CRM-Konto traegt eine @perinco.de-Adresse. Ohne den Eintrag weist domainAllowed() diese Leute ab, obwohl Tenant und CRM-Konto stimmen. Auf dem Server ist MS_SSO_ALLOWED_DOMAINS bereits entsprechend gesetzt. Co-Authored-By: Claude Opus 5 (1M context) --- docs/13-anmeldung-sso.md | 6 +++++- server/.env.example | 3 ++- 2 files changed, 7 insertions(+), 2 deletions(-) diff --git a/docs/13-anmeldung-sso.md b/docs/13-anmeldung-sso.md index 3db8dd1..ed1c7cb 100644 --- a/docs/13-anmeldung-sso.md +++ b/docs/13-anmeldung-sso.md @@ -146,9 +146,13 @@ vertraulicher Client mit Secret. | --- | --- | --- | | `MS_SSO_ENABLED` | ja | nur `true` schaltet die Anmeldung ein | | `MS_SSO_REDIRECT_URI` | ja | exakt die in Entra eingetragene Adresse | -| `MS_SSO_ALLOWED_DOMAINS` | nein | Positivliste von E-Mail-Domains, leer = keine zusätzliche Prüfung | +| `MS_SSO_ALLOWED_DOMAINS` | nein | Positivliste von E-Mail-Domains, leer = keine zusätzliche Prüfung. Im Betrieb: `perinco.de,icon-experts.de` | | `MS_TENANT_ID`, `MS_CLIENT_ID`, `MS_CLIENT_SECRET` | ja | dieselben Werte wie beim Postfach | +Nicht jedes CRM-Konto trägt eine `@perinco.de`-Adresse - `icon-experts.de` +gehört dazu. Wer eine Domain vergisst, sperrt die betroffenen Leute vom +Microsoft-Weg aus; die Anmeldung mit Passwort funktioniert für sie weiterhin. + > Die Werte werden **beim Start** gelesen. Nach einer Änderung an der `.env` > muss `perinco-crm-backend` neu starten. Fehlt etwas, bleibt die Anmeldung aus > und der Einstellungsreiter *Anmeldung* nennt die fehlende Variable beim Namen - diff --git a/server/.env.example b/server/.env.example index f380eb0..2a93cdd 100644 --- a/server/.env.example +++ b/server/.env.example @@ -119,4 +119,5 @@ MS_SSO_REDIRECT_URI=https://crm.perinco.de/api/auth/sso/callback # Optionale Einschraenkung auf E-Mail-Domains, kommagetrennt. Leer = keine # zusaetzliche Pruefung; Tenant und vorhandenes CRM-Konto begrenzen ohnehin. -MS_SSO_ALLOWED_DOMAINS=perinco.de +# icon-experts.de gehoert dazu - Konten dieser Domain arbeiten mit im CRM. +MS_SSO_ALLOWED_DOMAINS=perinco.de,icon-experts.de