Zum Inhalt springen
Dokumentation
Als Markdown ansehen

OAuth-Clients für Integrationen

Ein OAuth-Client ist der Ausweis, mit dem sich eine Anwendung bei Librario meldet. Diese Seite zeigt, wann Sie einen ausstellen müssen, welche Werte der Connector braucht und wie Sie das Client Secret wechseln, ohne dass die Verbindung abreißt.

Zwei Ebenen

OAuth kommt in Librario auf zwei Ebenen vor. Wer beide auseinanderhält, findet jede Einstellung auf Anhieb.

Pro Person: die Verbindung. Jede Verbindung wird von einer einzelnen Person auf der Zustimmungsseite autorisiert. Sie erscheint auf der Integrationen-Seite dieser Person unter Verbundene Anwendungen, wo sie sie jederzeit selbst widerrufen kann. Das gilt für Werkzeuge, die sich selbst registrieren (Claude, ChatGPT), genauso wie für Clients, die die Administration ausgestellt hat. Die erteilten Berechtigungen gehen nie über das hinaus, was der Client erlaubt.

Ein Zugriffstoken gilt eine Stunde. Danach erneuert der Connector es unbemerkt mit einem Refresh-Token, das gültig bleibt, bis die Person oder die Administration die Verbindung widerruft. Datei-Links, die ein Assistent erhält, verfallen nach 15 Minuten.

Pro Konto: der Client. Eine Person mit Administrator-Rolle stellt den Client unter Unser Konto → Einstellungen → OAuth-Clients verwalten aus und verwaltet ihn dort: Client ID, Client Secret, Callback-URLs, Schnittstelle, erlaubte Berechtigungen und PKCE. Wird der Client widerrufen, enden die Verbindungen aller Personen auf einmal.

Die Konto-Verwaltung zeigt zu einem Client keine Liste der Personen, die ihn autorisiert haben. Jede Person sieht nur ihre eigenen Verbindungen auf ihrer Integrationen-Seite.

Der Bereich „Verbundene Anwendungen“ auf der Integrationen-Seite einer Person mit zwei Verbindungen: „Copilot Studio (Manual)“ mit der Kennzeichnung KI-Assistent und „Librario CLI“ mit der Kennzeichnung REST-API, jeweils mit Verbindungs- und Nutzungszeitpunkt, den erteilten Berechtigungen und der Schaltfläche „Widerrufen“.
Die Verbindungen einer Person auf ihrer Integrationen-Seite, darunter die zu einem Client, den die Administration ausgestellt hat.

Wie Benutzer:innen ihre Verbindungen prüfen und widerrufen, steht unter Verbindungen verwalten und widerrufen. Der Rest dieser Seite beschreibt die Konto-Ebene.

Wann Sie einen OAuth-Client brauchen

Claude, ChatGPT und andere MCP-Werkzeuge registrieren sich bei Librario selbst. Für sie stellen Sie nichts aus; sie erscheinen nach der ersten Anmeldung auf der Integrationen-Seite der jeweiligen Person.

Einen OAuth-Client brauchen Sie in zwei Fällen:

  • Connectoren mit manueller OAuth-Konfiguration. Der föderierte Connector von Microsoft 365 Copilot, Copilot Studio (Typ Manual) und Gemini Enterprise verlangen Client ID und Client Secret, bevor sie sich verbinden.
  • Eigene Skripte gegen die REST-API. Ein Skript, das ohne Selbstregistrierung auskommen soll, erhält seinen Client von hier, für die Schnittstelle REST-API. Der Client ersetzt die Selbstregistrierung, nicht die Anmeldung: Auch ein Skript erhält sein erstes Token erst, nachdem sich eine Person einmal im Browser angemeldet und zugestimmt hat. Danach läuft es über das Refresh-Token weiter, mit den Rollen dieser Person. Der Client gehört dem Konto, die Verbindung der Person: Wird deren Benutzerkonto gelöscht, enden ihre Verbindungen, und nach einer Anmeldung einer anderen Person läuft das Skript mit demselben Client weiter.

Technische Benutzer für Integrationen

Richten Sie für ein Skript, das unbeaufsichtigt läuft, ein eigenes Benutzerkonto ein, statt es am Benutzerkonto einer Person aus dem Team hängen zu lassen. Sonst endet die Integration, sobald dieses Benutzerkonto gelöscht wird, etwa beim Ausscheiden. Ein solches Benutzerkonto belegt einen Lizenzplatz in Ihrem Tarif wie jede Person und bekommt nur die Rollen, die das Skript braucht: Zum Lesen genügt der Basiszugang, zum Pflegen von Publikationen und Dateien kommt die Rolle Bibliothekar:in dazu. Die Verbindung autorisiert eine Person einmal im Browser mit diesem Benutzerkonto; Client Secret und Refresh-Token legen Sie dort ab, wo das Skript seine übrigen Zugangsdaten hält. Ein Benutzerkonto gehört einer Integration, nicht mehreren Personen: Für ein zweites Skript legen Sie ein zweites an.

Clients und Client Secrets ausstellen gehört zur erweiterten KI-Verwaltung und setzt einen Tarif mit diesem Bestandteil voraus; die Selbstregistrierung braucht ihn nicht. Die Seite verlangt die Administrator-Rolle zusätzlich zu REST-API oder MCP-Zugang, unabhängig davon, wer die übrigen Konto-Einstellungen sehen darf.

Enthält Ihr Tarif die erweiterte KI-Verwaltung nicht mehr, funktionieren die hier ausgestellten Clients nicht mehr: Niemand kann sie autorisieren, und Librario weist jede Anfrage mit ihren Tokens ab. Gelöscht wird nichts. Die Seite bleibt erreichbar, solange noch Clients da sind: Sie sehen die Clients weiterhin und können sie widerrufen, aber keine neuen Clients oder Client Secrets ausstellen. Sobald die Option wieder im Tarif ist, funktionieren die Clients und ihre Verbindungen wieder. Manche Connectoren bitten nach den abgewiesenen Anfragen darum, sich noch einmal anzumelden.

Client anlegen

Das Formular „Neuer OAuth-Client“ mit den Feldern Name, Callback-URLs, Schnittstelle (KI-Assistenten oder REST-API), den Berechtigungen für KI-Assistenten und dem eingeschalteten Kontrollkästchen „PKCE erforderlich“.
Das Formular für einen neuen OAuth-Client.
  1. Öffnen Sie Unser Konto → Einstellungen → OAuth-Clients verwalten und klicken Sie Neuer OAuth-Client.
  2. Name: erscheint auf der Zustimmungsseite und auf der Integrationen-Seite jeder Person, die den Client autorisiert.
  3. Callback-URLs: genau so, wie der Connector sie anzeigt. Nur https; einfaches http nur auf einer Loopback-Adresse (127.0.0.1, [::1]) oder auf localhost mit ausdrücklichem Port, jeweils ohne Fragment und ohne Zugangsdaten. Über Callback-URL hinzufügen tragen Sie weitere ein.
  4. Schnittstelle: KI-Assistenten (MCP) für Connectoren, REST-API für Skripte.
  5. Berechtigungen für KI-Assistenten (MCP) beziehungsweise Berechtigungen für REST-API: was der Client höchstens anfragen darf. Eine Person kann beim Autorisieren weniger erteilen, nie mehr.
  6. PKCE erforderlich: eingeschaltet lassen, sofern der Connector PKCE unterstützt. Für den föderierten Connector von Microsoft 365 Copilot und für Gemini Enterprise lassen Sie es eingeschaltet und schalten PKCE auch im Connector ein. Die manuelle Konfiguration von Copilot Studio hat keine Einstellung für PKCE; schalten Sie es dort ab. Meldet ein Connector bei der Anmeldung, dass der Parameter code_challenge erforderlich ist, sendet er keinen, und Sie erstellen den Client ohne PKCE neu. Librario akzeptiert nur das Verfahren S256; meldet der Connector invalid_request, sendet er ein anderes Verfahren.

Schlägt das Erstellen fehl, kommt das Formular mit Hinweisen zurück. Häufigste Gründe: eine Callback-URL mit einfachem http außerhalb der Loopback-Adressen, localhost ohne Port, ein Fragment oder Zugangsdaten in der URL, oder keine einzige angehakte Berechtigung.

Werte in den Connector übertragen

Die einmalige Seite mit den Werten eines OAuth-Clients direkt nach dem Anlegen: der Hinweis, dass der Client erstellt wurde und das Client Secret nur einmal angezeigt wird, darunter Client ID, Client Secret, Authorization URL, Token URL, Ressource, Scopes und die registrierten Callback-URLs, jeweils mit einer Schaltfläche zum Kopieren.
Alle Werte, die ein Connector abfragt, unmittelbar nach dem Anlegen des Clients.

Nach dem Erstellen zeigt Librario alle Werte, die ein Connector abfragt. Diese Seite öffnet sich nur ein einziges Mal, auch nicht mit Zurück oder Neu laden im Browser. Kopieren Sie alle Werte in einem Zug.

Wert Wofür
Client ID Die Kennung des Clients. Steht auch später in der Liste.
Client Secret Das Passwort des Clients. Wird nur hier angezeigt; danach lässt es sich nur durch ein neues ersetzen.
Authorization URL Wohin der Connector die Person zur Anmeldung schickt. Tragen Sie sie wie angezeigt ein, ohne Parameter: Librario ergänzt die beim Anlegen gewählte Schnittstelle selbst.
Token URL und Refresh URL Derselbe Endpunkt beantwortet Code-Austausch und Token-Erneuerung. Fragt der Connector beide ab, tragen Sie dieselbe URL ein.
Ressource (resource) Die Schnittstelle, für die Librario Zugriffstoken ausstellt.
Scopes Die Berechtigungen, die der Connector anfragt, durch Leerzeichen getrennt.
Registrierte Callback-URLs Zeigt der Connector nach dem Speichern eine andere an, erstellen Sie den Client mit dieser URL neu.

Client Secrets verwalten

Die Liste der OAuth-Clients mit zwei Einträgen, jeder mit Schnittstelle, PKCE-Markierung, Client ID und Berechtigungen. „Gemini Enterprise“ trägt die grüne Markierung „PKCE“ und zeigt seine zwei Client Secrets aufgeklappt, jedes in einer Zeile mit den ersten Zeichen und der Bezeichnung als einfachem Text daneben; das ältere läuft in 7 Tagen ab. Darunter steht der Hinweis, dass bereits zwei Client Secrets gelten. „Copilot Studio (Manual)“ trägt die gelbe Markierung „Ohne PKCE“ und zeigt sein einziges Client Secret eingeklappt in einer Zeile. Auf schmalen Bildschirmen steht statt des PKCE-Worts ein grünes oder gelbes Schild-Symbol.
Ein Client mitten im Wechsel des Client Secrets, darunter ein Client, bei dem alles in Ordnung ist.

Die Liste zeigt zu jedem Client seine Client ID, die Schnittstelle, die erlaubten Berechtigungen und ob er PKCE verlangt: die grüne Markierung PKCE oder die gelbe Ohne PKCE, auf schmalen Bildschirmen ein grünes oder gelbes Schild-Symbol. Darunter stehen seine gültigen Client Secrets, erkennbar an ihren ersten Zeichen, und zu jedem, wann es erstellt wurde, zuletzt verwendet wurde und abläuft. Es gelten höchstens zwei gleichzeitig. Solange alles in Ordnung ist, bleibt der Bereich Client Secrets eingeklappt und fasst sich in einer Zeile zusammen. Hat ein Client Secret ein Ablaufdatum oder gilt für den Client gar keines mehr, öffnet sich der Bereich von selbst. Im zweiten Fall trägt die Zeile des Clients außerdem die gelbe Markierung Kein gültiges Client Secret.

Client Secret wechseln

Der Eintrag „Copilot Studio (Manual)“ in der Liste der OAuth-Clients mit aufgeklapptem Bereich „Client Secrets“: sein einziges Client Secret, erstellt vor 9 Tagen, noch nie verwendet und ohne Ablaufdatum, mit der Schaltfläche „Zurückziehen“; in derselben umrandeten Fläche, in ihrer grauen Fußzeile, das Formular für ein neues Client Secret mit dem Feld „Bezeichnung (optional)“ und dem Eintrag „Rotation Okt 2026“, der Auswahl „Aktuelles noch 7 Tage gültig“ und der Schaltfläche „Neues Client Secret“.
Ein neues Client Secret mit einer Frist von sieben Tagen für das bisherige.
  1. Klappen Sie Client Secrets auf und vergeben Sie bei Bedarf eine Bezeichnung, etwa den Anlass des Wechsels.
  2. Wählen Sie, was mit dem aktuellen Client Secret geschieht: Aktuelles sofort zurückziehen (Voreinstellung), oder noch 24 Stunden, 7 Tage oder 30 Tage gültig lassen. Diese Frist ist die Zeit, in der Sie das neue Client Secret im Connector eintragen, ohne dass er die Verbindung verliert.
  3. Klicken Sie Neues Client Secret. Librario zeigt das neue wie beim Anlegen, ein einziges Mal.
  4. Tragen Sie es im Connector ein. Ob der Connector schon das neue verwendet, sehen Sie an der letzten Verwendung der beiden Einträge. Der Connector meldet sich am Token-Endpunkt nur, wenn er ein Token erneuert, also höchstens stündlich je aktiver Person; die letzte Verwendung kann entsprechend nachlaufen.
  5. Sobald er umgestellt ist, ziehen Sie das bisherige mit Zurückziehen vorzeitig zurück. Sonst verliert es zum Ablaufdatum von selbst seine Gültigkeit.

Solange zwei Client Secrets gelten, blendet die Liste das Formular aus, bis Sie eines zurückgezogen haben.

Ein kompromittiertes Client Secret

Ist ein Client Secret in einem Repository, einem Chatverlauf oder einer E-Mail gelandet, handeln Sie sofort:

  • Neues Client Secret mit Aktuelles sofort zurückziehen, wenn der Connector gleich weiterlaufen soll. Tragen Sie das neue Client Secret danach im Connector ein.
  • Oder Zurückziehen beim betroffenen Eintrag. Das geht auch beim einzigen Client Secret eines Clients; der Client hat dann kein gültiges Client Secret mehr, und der Connector erhält kein Token, bis Sie mit Neues Client Secret ein neues ausstellen.

In beiden Fällen erhält ein Connector mit dem alten Client Secret ab sofort kein Token mehr. Der Client und die Verbindungen aller Personen bleiben bestehen; sie laufen weiter, sobald der Connector ein neues Client Secret verwendet.

Client widerrufen

Ein Klick auf Widerrufen beendet alle Verbindungen eines Clients sofort, für jede Person, die ihn autorisiert hat. Der Client verschwindet aus der Liste; notieren Sie die Client ID vorher, wenn Sie sie später brauchen.

Widerrufen Sie einen Client, wenn der Connector abgeschaltet wird oder nicht mehr vertrauenswürdig ist. Geht es nur um ein Client Secret, wechseln Sie das Client Secret; die Verbindungen bleiben.

Weiterführend