Exchange-Dienstkonto für die Verbindung nutzen

Für Unternehmen und Organisationen ist die Anbindung von meetergo an Microsoft Exchange über ein dediziertes Dienstkonto der empfohlene Weg. Statt das persönliche Passwort jedes Nutzers zu speichern, legt dein IT-Admin ein einzelnes Dienstkonto mit Impersonation-Rechten an, und meetergo greift damit auf die Kalender der Nutzer zu, die sich verbinden.

Dieser Artikel erklärt, wie du das Dienstkonto in Exchange einrichtest und wie du es anschließend in meetergo verwendest.

Warum ein Dienstkonto?

• Keine persönlichen Passwörter — Nutzer müssen ihre eigenen Zugangsdaten nicht an meetergo weitergeben.
• Zentrale Kontrolle — dein IT-Admin verwaltet ein einziges Konto und kann den Zugriff jederzeit entziehen.
• Passwortrichtlinien — das Dienstkonto kann von nutzerbezogenen Rotationsrichtlinien ausgenommen werden, die ansonsten Kalenderverbindungen unterbrechen würden.
• Nachvollziehbarkeit — der gesamte Exchange-Web-Services-(EWS-)Traffic von meetergo lässt sich einer einzigen Identität zuordnen.

Schritt 1 — Dienstkonto in Exchange anlegen

Bitte deinen Exchange-Administrator, einen regulären Mailbox-Nutzer anzulegen, der ausschließlich von meetergo verwendet wird. Zum Beispiel:

• Anzeigename: meetergo Service Account
• User Principal Name: meetergo-service@deinefirma.com
• Passwort: ein starkes, nicht ablaufendes Passwort

Schritt 2 — ApplicationImpersonation-Rechte vergeben

Das Dienstkonto benötigt die RBAC-Rolle ApplicationImpersonation, damit es auf die Kalender der Nutzer zugreifen kann, die meetergo verbinden.

Öffne die Exchange Management Shell auf deinem Exchange-Server und führe aus:

New-ManagementRoleAssignment `
  -Name "meetergoImpersonation" `
  -Role "ApplicationImpersonation" `
  -User "meetergo-service@deinefirma.com"

Das erteilt Impersonation-Rechte für alle Mailboxen der Organisation. Möchtest du den Zugriff auf bestimmte Nutzer oder eine bestimmte Abteilung beschränken, lege zuerst einen Management Scope an:

New-ManagementScope `
  -Name "meetergoScope" `
  -RecipientRestrictionFilter "Department -eq 'Sales'"

New-ManagementRoleAssignment `
  -Name "meetergoImpersonation" `
  -Role "ApplicationImpersonation" `
  -User "meetergo-service@deinefirma.com" `
  -CustomRecipientWriteScope "meetergoScope"

Schritt 3 — Sicherstellen, dass EWS erreichbar ist

Stelle sicher, dass Exchange Web Services (EWS) erreichbar und für das Dienstkonto freigeschaltet ist.

1. Prüfe, dass der EWS-Endpunkt aus dem Internet erreichbar ist, üblicherweise unter https://mail.deinefirma.com/ews/exchange.asmx.
2. Stelle sicher, dass EWS nicht durch eine Throttling Policy oder Client Access Rule für das Dienstkonto blockiert ist.
3. Falls du eine Firewall oder einen Reverse Proxy einsetzt, müssen die ausgehenden IPs von meetergo deinen EWS-Endpunkt erreichen können.

Du kannst den Endpunkt testen, indem du ihn im Browser öffnest — er sollte nach Zugangsdaten fragen und anschließend eine XML-Antwort liefern.

Schritt 4 — Verbindung in meetergo herstellen

Sobald das Dienstkonto bereit ist, geht jeder Nutzer, der seinen Kalender synchronisieren möchte, so vor:

1. Melde dich in meetergo an und öffne die Profileinstellungen.
2. Klicke neben Microsoft Exchange auf Verbinden.
3. Aktiviere die Option Dienstkonto für erhöhte Sicherheit verwenden.
4. Fülle das Formular aus:
   • E-Mail des Zielnutzers — die E-Mail-Adresse des Nutzers, dessen Kalender synchronisiert werden soll (die zu impersonierende Mailbox).
   • Dienstkonto-Passwort — das Passwort des meetergo-Dienstkontos.
   • Dienstkonto-Benutzername — der Benutzername des Dienstkontos (zum Beispiel meetergo-service@deinefirma.com oder DOMAIN\meetergo-service).
   • Exchange-Server — die vollständige EWS-URL, zum Beispiel https://mail.deinefirma.com/ews/exchange.asmx. Erforderlich, wenn Autodiscover aus meetergo nicht erreichbar ist.
   • Domain — nur nötig, wenn dein Setup eine separate NetBIOS-Domain vor dem Benutzernamen verlangt.
5. Klicke auf Verbinden.

meetergo testet die Verbindung, indem einige Kalendereinträge des Zielnutzers abgerufen werden. Läuft der Test erfolgreich durch, wird die Verbindung gespeichert und der Kalender beginnt zu synchronisieren.

Wie Impersonation technisch funktioniert

Bei aktivierter Impersonation authentifiziert sich meetergo mit den Dienstkonto-Zugangsdaten bei Exchange und weist EWS an, im Namen der Zielmailbox zu handeln. Exchange liefert den Kalender des Zielnutzers, als hätte dieser sich direkt angemeldet — persönliche Passwörter verlassen deine Organisation nie.

Fehlerbehebung

• „Verbindung zum Exchange-Kalender fehlgeschlagen" — die häufigste Ursache ist eine fehlende ApplicationImpersonation-Rolle oder dass der Zielnutzer außerhalb des konfigurierten Management Scopes liegt. Prüfe die RBAC-Zuweisung auf Exchange-Seite.
• Autodiscover schlägt fehl — trage die direkte EWS-URL im Feld Exchange-Server ein.
• Verbindung funktioniert nach einiger Zeit nicht mehr — meist wurde das Passwort des Dienstkontos rotiert. Verbinde meetergo mit dem neuen Passwort erneut.
• Nur einige Nutzer können sich verbinden — prüfe, ob diese Nutzer innerhalb des konfigurierten Management Scopes liegen.

Sicherheit und Datenschutz

• Die Zugangsdaten des Dienstkontos werden über eine verschlüsselte TLS-Verbindung an meetergo übertragen.
• Passwörter werden in einer isolierten Datenbank verschlüsselt gespeichert und nur im Speicher entschlüsselt, wenn eine EWS-Anfrage ausgeführt wird.
• Du kannst den Zugriff jederzeit entziehen, indem du die Management-Rollenzuweisung entfernst oder das Dienstkonto in Exchange deaktivierst.