Azure Entra

1. Gehen Sie zum Azure Portal und melden Sie sich mit Ihrem Konto an.
2. Geben Sie im Suchfeld „Azure Entra“ ein und klicken Sie darauf.
3. Klicken Sie im linken Menü auf App registrations und dann auf New registration.
4. Geben Sie Ihrer App einen Namen und wählen Sie Web als Plattformtyp aus.
5. Geben Sie im Feld Redirect URI Ihre LibreChat OpenID-Callback-URL ein und klicken Sie auf Register. Verwenden Sie für lokale Docker-Installationen http://localhost:3080/oauth/openid/callback. Ersetzen Sie bei bereitgestellten Instanzen http://localhost:3080 durch Ihren öffentlichen DOMAIN_SERVER-Wert, zum Beispiel https://chat.example.com/oauth/openid/callback.

6. Sie sehen eine Übersichtsseite mit einigen Informationen zu Ihrer App. Kopieren Sie die Application (client) ID und die Directory (tenant) ID und speichern Sie diese an einem sicheren Ort.

7. Klicken Sie im linken Menü auf Authentication und aktivieren Sie die Kontrollkästchen für Access tokens und ID tokens unter Implicit grant and hybrid flows.

8. Klicken Sie im linken Menü auf Certificates & Secrets und dann auf New client secret. Geben Sie Ihrem Secret einen Namen sowie ein Ablaufdatum und klicken Sie auf Add. Sie sehen nun eine Spalte Value mit Ihrem Secret. Kopieren Sie es und speichern Sie es an einem sicheren Ort. Geben Sie es an niemanden weiter!

9. If you want to restrict access by groups you should add the groups claim to the token. To do this, go to Token configuration and click on Add group claim. Select the groups you want to include in the token and click on Add.

10. Öffnen Sie die .env Datei in Ihrem Projektordner und fügen Sie die folgenden Variablen mit den Werten hinzu, die Sie kopiert haben:

DOMAIN_CLIENT=https://your-domain.com # use http://localhost:3080 if not using a custom domain
DOMAIN_SERVER=https://your-domain.com # use http://localhost:3080 if not using a custom domain

# enable social login or else OpenID button will not appear on login page
ALLOW_SOCIAL_LOGIN=true

OPENID_CLIENT_ID=Your Application (client) ID
OPENID_CLIENT_SECRET=Your client secret
OPENID_ISSUER=https://login.microsoftonline.com/Your Directory (tenant ID)/v2.0/
OPENID_SESSION_SECRET=Any random string
OPENID_SCOPE=openid profile email #DO NOT CHANGE THIS
OPENID_CALLBACK_URL=/oauth/openid/callback # this should be the same for everyone

OPENID_REQUIRED_ROLE_TOKEN_KIND=id

# If you want to restrict access by groups
OPENID_REQUIRED_ROLE_PARAMETER_PATH="roles"
OPENID_REQUIRED_ROLE="Your Group Name" # Single role or comma-separated roles (e.g., Group1,Group2,Admin)

# Optional: redirects the user to the end session endpoint after logging out
OPENID_USE_END_SESSION_ENDPOINT=true

# Maximum logout URL length before using logout_hint instead of id_token_hint (default: 2000)
# OPENID_MAX_LOGOUT_URL_LENGTH=2000

Die in Azure registrierte Redirect-URI muss exakt mit der URL übereinstimmen, unter der LibreChat bereitgestellt wird. Wenn DOMAIN_SERVER=https://chat.example.com gesetzt ist, sollte Azure https://chat.example.com/oauth/openid/callback verwenden.

11. Speichern Sie die .env Datei

Hinweis: Wenn Sie Docker verwenden, führen Sie docker compose up -d aus, um die Konfigurationsänderungen in der .env anzuwenden.

Fortgeschritten: Token-Wiederverwendung

LibreChat unterstützt die Wiederverwendung von Azure Entra ID-Tokens für die Sitzungsverwaltung, was eine bessere Integration in Ihre Azure-Umgebung ermöglichen kann. Diese Funktion erlaubt es LibreChat, die Refresh-Tokens von Azure zu verwenden, anstatt eigene Sitzungstokens zu verwalten.

Um mehr über diese Funktion und deren Konfiguration zu erfahren, siehe Re-use OpenID Tokens for Login Session.

Fortgeschritten: Microsoft Graph API-Integration

Wenn Sie Azure Entra ID als Ihren OpenID-Anbieter verwenden, können Sie die Microsoft Graph API-Integration aktivieren, um das Berechtigungs- und Freigabesystem um Funktionen zur Suche nach Personen und Gruppen zu erweitern.

Voraussetzungen

1. Ihre Azure-App-Registrierung muss über die entsprechenden Microsoft Graph API-Berechtigungen verfügen
2. Für bestimmte Graph API Scopes (wie GroupMember.Read.All) ist möglicherweise eine Administratorzustimmung erforderlich.

Hinzufügen von Graph API-Berechtigungen

1. Gehen Sie in Ihrer Azure-App-Registrierung zu API permissions
2. Klicken Sie auf Add a permission > Microsoft Graph > Delegated permissions
3. Fügen Sie diese Berechtigungen hinzu:
   • User.Read - Anmelden und Benutzerprofil lesen
   • People.Read - Benutzerkontakte lesen
   • GroupMember.Read.All - Alle Gruppenmitgliedschaften lesen
   • User.ReadBasic.All - Alle Basisprofile von Benutzern lesen
4. Klicken Sie auf Grant admin consent, falls erforderlich (Sie benötigen dazu Administratorrechte)

Konfiguration

OPENID_REUSE_TOKENS=true

Fügen Sie die folgenden Umgebungsvariablen zu Ihrer .env Datei hinzu:

# Enable Entra ID people search in permissions/sharing
USE_ENTRA_ID_FOR_PEOPLE_SEARCH=true

# Include group owners as members when searching groups
ENTRA_ID_INCLUDE_OWNERS_AS_MEMBERS=true

# Microsoft Graph API scopes (these are automatically included with the OpenID scopes)
OPENID_GRAPH_SCOPES=User.Read,People.Read,GroupMember.Read.All,User.ReadBasic.All

Wenn aktiviert, wird die Personenauswahl in den Dialogfeldern für Berechtigungen und Freigaben:

• Durchsuchen Sie sowohl lokale LibreChat-Benutzer als auch Azure Entra ID-Benutzer
• Benutzerprofile mit Namen und E-Mails aus Ihrer Organisation anzeigen
• Ermöglicht das Suchen und Auswählen von Azure Entra ID-Gruppen
• Gruppenmitglieder basierend auf Ihren Graph API-Berechtigungen anzeigen

Hinweise

• Token-Wiederverwendung (OPENID_REUSE_TOKENS=true) ist zwingend erforderlich, damit diese Funktion funktioniert.
• Die OPENID_GRAPH_SCOPES werden während der Authentifizierung automatisch an Ihren bestehenden OPENID_SCOPE angehängt.
• Die Gruppensuche erfordert die Berechtigung GroupMember.Read.All, für die in der Regel eine Administratorzustimmung erforderlich ist.
• Die Benutzersuche funktioniert mit den grundlegenden Berechtigungen User.Read, People.Read und User.ReadBasic.All

Fortgeschritten: SharePoint-Integration

LibreChat kann in SharePoint Online und OneDrive for Business integriert werden, wodurch Benutzer Dateien direkt aus ihren SharePoint-Bibliotheken durchsuchen und anhängen können.

Voraussetzungen

1. Alle Anforderungen aus Token Reuse müssen erfüllt sein.
2. Ihre Azure-App-Registrierung benötigt zusätzliche SharePoint-Berechtigungen
3. Ihre Azure-App-Registrierung muss einen LibreChat-API-Bereich verfügbar machen und gewähren, wie zum Beispiel api://<client-id>/access_as_user

Hinzufügen von SharePoint-Berechtigungen

1. Gehen Sie in Ihrer Azure-App-Registrierung zu API permissions
2. Klicken Sie auf Add a permission

Für SharePoint-Zugriff:

3. Wählen Sie SharePoint (nicht Microsoft Graph)
4. Wählen Sie Delegated permissions
5. Hinzufügen: AllSites.Read - Elemente in allen Websitesammlungen lesen

Für Dateidownloads:

6. Klicken Sie erneut auf Add a permission

7. Wählen Sie Microsoft Graph

8. Wählen Sie Delegated permissions

9. Hinzufügen: Files.Read.All - Alle Dateien lesen, auf die der Benutzer zugreifen kann

10. Klicken Sie für beide Berechtigungen auf Grant admin consent

Konfiguration

Bevor Sie die SharePoint-Variablen aktivieren, stellen Sie sicher, dass die Konfiguration zur Wiederverwendung des OpenID-Tokens den LibreChat App-API-Scope anfordert. Dies gibt Azure ein App-Audience-Zugriffstoken, das als „On-Behalf-Of“-Assertion für den SharePoint- und Graph-Token-Austausch verwendet werden kann.

# OpenID token reuse and OBO-compatible audience
OPENID_REUSE_TOKENS=true
OPENID_SCOPE=openid profile email offline_access api://<client-id>/access_as_user
OPENID_ON_BEHALF_FLOW_FOR_USERINFO_REQUIRED=true

# Enable SharePoint file picker
ENABLE_SHAREPOINT_FILEPICKER=true

# Your SharePoint tenant URL
SHAREPOINT_BASE_URL=https://yourtenant.sharepoint.com

# SharePoint scope for file picker (replace 'yourtenant' with your actual tenant)
SHAREPOINT_PICKER_SHAREPOINT_SCOPE=https://yourtenant.sharepoint.com/AllSites.Read

# Graph API scope for downloading files
SHAREPOINT_PICKER_GRAPH_SCOPE=Files.Read.All

Verwendung

Bei korrekter Konfiguration:

1. Benutzer sehen die Option „From SharePoint“ im Dateianhang-Menü
2. Ein Klick darauf öffnet die native SharePoint-Dateiauswahl
3. Benutzer können Dateien von jeder SharePoint-Website oder jedem OneDrive, auf die sie Zugriff haben, durchsuchen und auswählen.
4. Ausgewählte Dateien werden heruntergeladen und an die Konversation angehängt

Für detaillierte Fehlerbehebung und fortgeschrittene Konfiguration siehe: SharePoint Integration Guide