Zum Inhalt springen
Dokumentation

OAuth-Clients für Integrationen

Ein OAuth-Client ist der Ausweis, mit dem sich eine Anwendung bei Librario meldet. Diese Seite zeigt, wann Sie einen ausstellen müssen, welche Werte der Connector braucht und wie Sie das Client Secret wechseln, ohne dass die Verbindung abreißt.

Zwei Ebenen

OAuth kommt in Librario auf zwei Ebenen vor. Wer beide auseinanderhält, findet jede Einstellung auf Anhieb.

Pro Person: die Verbindung. Jede Verbindung wird von einer einzelnen Person auf der Zustimmungsseite autorisiert. Sie erscheint auf der Integrationen-Seite dieser Person unter „Verbundene Anwendungen“, wo sie sie jederzeit selbst widerrufen kann. Das gilt für Werkzeuge, die sich selbst registrieren (Claude, ChatGPT), genauso wie für Clients, die die Administration ausgestellt hat. Die erteilten Berechtigungen gehen nie über das hinaus, was der Client erlaubt.

Pro Konto: der Client. Eine Person mit Administrator-Rolle stellt den Client unter Konto → OAuth-Clients aus und verwaltet ihn dort: Client ID, Client Secret, Callback-URLs, Schnittstelle, erlaubte Berechtigungen und PKCE. Wird der Client widerrufen, enden die Verbindungen aller Personen auf einmal.

Der Bereich „Verbundene Anwendungen“ auf der Integrationen-Seite einer Person mit zwei Verbindungen: „Copilot Studio (Manual)“ mit der Kennzeichnung KI-Assistent und „Librario CLI“ mit der Kennzeichnung REST-API, jeweils mit Verbindungs- und Nutzungszeitpunkt, den erteilten Berechtigungen und der Schaltfläche „Widerrufen“.
Die Verbindungen einer Person auf ihrer Integrationen-Seite, darunter die zu einem Client, den die Administration ausgestellt hat.

Wie Benutzer:innen ihre Verbindungen prüfen und widerrufen, steht unter Verbindungen verwalten und widerrufen. Der Rest dieser Seite beschreibt die Konto-Ebene.

Wann Sie einen OAuth-Client brauchen

Claude, ChatGPT und andere MCP-Werkzeuge registrieren sich bei Librario selbst. Für sie stellen Sie nichts aus; sie erscheinen nach der ersten Anmeldung auf der Integrationen-Seite der jeweiligen Person.

Einen OAuth-Client brauchen Sie in zwei Fällen:

  • Connectoren mit manueller OAuth-Konfiguration. Copilot Studio (Typ „Manual“) und Gemini Enterprise verlangen Client ID und Client Secret, bevor sie sich verbinden.
  • Eigene Skripte gegen die REST API. Ein Skript, das ohne Selbstregistrierung auskommen soll, erhält seinen Client von hier, für die Schnittstelle „REST-API“.

Die Seite gehört zur erweiterten MCP-Verwaltung und setzt einen Tarif mit diesem Bestandteil voraus; die Selbstregistrierung braucht ihn nicht. Sie verlangt die Administrator-Rolle zusätzlich zu REST API oder MCP-Zugang, unabhängig davon, wer die übrigen Konto-Einstellungen sehen darf.

Client anlegen

Das Formular „Neuer OAuth-Client“ mit den Feldern Name, Callback-URLs, Schnittstelle (KI-Assistenten oder REST-API), den Berechtigungen für KI-Assistenten und dem eingeschalteten Kontrollkästchen „PKCE erforderlich“.
Das Formular für einen neuen OAuth-Client.
  1. Öffnen Sie Konto → OAuth-Clients und klicken Sie Neuer OAuth-Client.
  2. Name: erscheint auf der Zustimmungsseite und auf der Integrationen-Seite jeder Person, die den Client autorisiert.
  3. Callback-URLs: genau so, wie der Connector sie anzeigt. Nur https; einfaches http nur auf einer Loopback-Adresse (127.0.0.1, [::1]) oder auf localhost mit ausdrücklichem Port, jeweils ohne Fragment und ohne Zugangsdaten. Über Callback-URL hinzufügen tragen Sie weitere ein.
  4. Schnittstelle: „KI-Assistenten (MCP)“ für Connectoren, „REST-API“ für Skripte.
  5. Berechtigungen: was der Client höchstens anfragen darf. Eine Person kann beim Autorisieren weniger erteilen, nie mehr.
  6. PKCE erforderlich: eingeschaltet lassen, sofern der Connector PKCE unterstützt. Copilot Studio sendet in der manuellen Konfiguration keinen code_challenge; schalten Sie PKCE dort ab. Für Gemini Enterprise lassen Sie es eingeschaltet; meldet der Connector bei der Anmeldung, dass der Parameter code_challenge erforderlich ist, sendet er keinen, und Sie erstellen den Client ohne PKCE neu. Die Abschaltung wird protokolliert.

Schlägt das Erstellen fehl, kommt das Formular mit Hinweisen zurück. Häufigste Gründe: eine Callback-URL mit einfachem http außerhalb der Loopback-Adressen, localhost ohne Port, ein Fragment oder Zugangsdaten in der URL, oder keine einzige angehakte Berechtigung.

Werte in den Connector übertragen

Die einmalige Seite mit den Werten eines OAuth-Clients direkt nach dem Anlegen: der Hinweis, dass der Client erstellt wurde und das Client Secret nur einmal angezeigt wird, darunter Client ID, Client Secret, Authorization URL, Token URL, Ressource, Scopes und die registrierten Callback-URLs, jeweils mit einer Schaltfläche zum Kopieren.
Alle Werte, die ein Connector abfragt, unmittelbar nach dem Anlegen des Clients.

Nach dem Erstellen zeigt Librario alle Werte, die ein Connector abfragt. Diese Seite öffnet sich nur ein einziges Mal, auch nicht mit „Zurück“ oder „Neu laden“. Kopieren Sie alle Werte in einem Zug.

Wert Wofür
Client ID Die Kennung des Clients. Steht auch später in der Liste.
Client Secret Das Passwort des Clients. Wird nur hier angezeigt; danach lässt es sich nur durch ein neues ersetzen.
Authorization URL Wohin der Connector die Person zur Anmeldung schickt. Enthält bereits den Parameter resource.
Token URL und Refresh URL Derselbe Endpunkt beantwortet Code-Austausch und Token-Erneuerung. Fragt der Connector beide ab, tragen Sie dieselbe URL ein.
Ressource (resource) Die Schnittstelle, für die Librario Zugriffstoken ausstellt.
Scopes Die Berechtigungen, die der Connector anfragt, durch Leerzeichen getrennt.
Registrierte Callback-URLs Zeigt der Connector nach dem Speichern eine andere an, erstellen Sie den Client mit dieser URL neu.

Client Secrets verwalten

Die Liste der OAuth-Clients mit zwei Einträgen, jeder mit Schnittstelle, PKCE-Markierung, Client ID und Berechtigungen. „Gemini Enterprise“ trägt die grüne Markierung „PKCE“ und zeigt seine zwei Client Secrets aufgeklappt, das ältere läuft in 7 Tagen ab. „Copilot Studio (Manual)“ trägt die gelbe Markierung „Ohne PKCE“ und zeigt sein einziges Client Secret eingeklappt in einer Zeile. Auf schmalen Bildschirmen steht statt des PKCE-Worts ein grünes oder gelbes Schild-Symbol.
Ein Client mitten im Wechsel des Client Secrets, darunter ein Client, bei dem alles in Ordnung ist.

Die Liste zeigt zu jedem Client seine Client ID, die Schnittstelle, die erlaubten Berechtigungen und ob er PKCE verlangt: die grüne Markierung „PKCE“ oder die gelbe „Ohne PKCE“, auf schmalen Bildschirmen ein grünes oder gelbes Schild-Symbol. Darunter stehen seine gültigen Client Secrets, erkennbar an ihren ersten Zeichen, und zu jedem, wann es erstellt wurde, zuletzt verwendet wurde und abläuft. Es gelten höchstens zwei gleichzeitig. Solange alles in Ordnung ist, bleibt der Bereich Client Secrets eingeklappt und fasst sich in einer Zeile zusammen. Hat ein Client Secret ein Ablaufdatum oder gilt für den Client gar keines mehr, öffnet sich der Bereich von selbst. Im zweiten Fall trägt die Zeile des Clients außerdem die gelbe Markierung „Kein gültiges Client Secret“.

Client Secret wechseln

Der Eintrag „Copilot Studio (Manual)“ in der Liste der OAuth-Clients mit aufgeklapptem Bereich „Client Secrets“: sein einziges Client Secret, erstellt vor 9 Tagen, noch nie verwendet und ohne Ablaufdatum, mit der Schaltfläche „Zurückziehen“; darunter das Formular für ein neues Client Secret mit dem Feld „Bezeichnung (optional)“ und dem Eintrag „Rotation Okt 2026“, der Auswahl „Aktuelles noch 7 Tage gültig“ und der Schaltfläche „Neues Client Secret“.
Ein neues Client Secret mit einer Frist von sieben Tagen für das bisherige.
  1. Klappen Sie Client Secrets auf und vergeben Sie bei Bedarf eine Bezeichnung, etwa den Anlass des Wechsels.
  2. Wählen Sie, was mit dem aktuellen Client Secret geschieht: sofort zurückziehen (Voreinstellung), oder noch 24 Stunden, 7 Tage oder 30 Tage gültig lassen. Diese Frist ist die Zeit, in der Sie das neue Client Secret im Connector eintragen, ohne dass er die Verbindung verliert.
  3. Klicken Sie Neues Client Secret. Librario zeigt das neue wie beim Anlegen, ein einziges Mal.
  4. Tragen Sie es im Connector ein. Ob der Connector schon das neue verwendet, sehen Sie an der letzten Verwendung der beiden Einträge.
  5. Sobald er umgestellt ist, ziehen Sie das bisherige mit Zurückziehen vorzeitig zurück. Sonst verliert es zum Ablaufdatum von selbst seine Gültigkeit.

Solange zwei Client Secrets gelten, blendet die Liste das Formular aus, bis Sie eines zurückgezogen haben. Ausstellen und Zurückziehen werden protokolliert.

Ein kompromittiertes Client Secret

Ist ein Client Secret in einem Repository, einem Chatverlauf oder einer E-Mail gelandet, handeln Sie sofort:

  • Neues Client Secret mit sofort zurückziehen, wenn der Connector gleich weiterlaufen soll. Tragen Sie das neue Client Secret danach im Connector ein.
  • Oder Zurückziehen beim betroffenen Eintrag. Das geht auch beim einzigen Client Secret eines Clients; der Client hat dann kein gültiges Client Secret mehr, und der Connector erhält kein Token, bis Sie mit Neues Client Secret ein neues ausstellen.

In beiden Fällen erhält ein Connector mit dem alten Client Secret ab sofort kein Token mehr. Der Client und die Verbindungen aller Personen bleiben bestehen; sie laufen weiter, sobald der Connector ein neues Client Secret verwendet.

Client widerrufen

Widerrufen beendet alle Verbindungen eines Clients sofort, für jede Person, die ihn autorisiert hat. Die Zustimmungen bleiben zu Prüfzwecken erhalten. Der Client verschwindet aus der Liste; notieren Sie die Client ID vorher, wenn Sie sie später für eine Prüfung brauchen.

Widerrufen Sie einen Client, wenn der Connector abgeschaltet wird oder nicht mehr vertrauenswürdig ist. Geht es nur um ein Client Secret, wechseln Sie das Client Secret; die Verbindungen bleiben.

Weiterführend