Sharepoint Zugänge für automatische Ordneranlage

Bei neuen Projekten soll Ihre Poool-Integration automatisch eine festgelegte Ordnerstruktur in SharePoint anlegen. Dafür richten Sie im Azure Portal eine App ein und geben ihr Zugriff auf die gewünschte SharePoint-Site.

Diese Anleitung führt Sie durch die Einrichtung. Am Ende liegen die Zugangsdaten und die Kennung der Dokumentbibliothek für die Poool-Verbindung vor.

✅ Systemvoraussetzungen & Einstellungen

Zugriff auf das Azure Portal und das richtige Organisationsverzeichnis.

Eine IT-Administration, die die erforderliche Administratorzustimmung erteilen und den Zugriff auf die Ziel-Site freigeben kann.

Die Adresse der gewünschten SharePoint-Site und der Name ihrer Dokumentbibliothek.

Zugriff auf die Poool-Verbindung, in der die Verbindung eingerichtet wird.

💡

Grundlagen – die wichtigsten Begriffe

App-Registrierung: Der technische Zugang für Ihre Integration.

Microsoft Entra ID: Die Verwaltung von Identitäten und App-Zugängen in Ihrer Microsoft-Organisation.

Client ID: Die eindeutige Kennung Ihrer App.

Tenant ID: Die eindeutige Kennung Ihrer Microsoft-Organisation.

Client Secret: Ein geheimer Zugangsschlüssel – behandeln Sie ihn wie ein Passwort.

Site ID: Die Kennung der SharePoint-Site.

Drive ID: Die Kennung der Dokumentbibliothek innerhalb dieser Site.

📌 Prozessbeschreibung: SharePoint-Verbindung einrichten

Azure Portal öffnen

Öffnen Sie das Azure Portal.

Suchen Sie oben nach Microsoft Entra ID und öffnen Sie den Eintrag.

App-Registrierungen öffnen

Wählen Sie im linken Menü unter Verwalten den Punkt App-Registrierungen.

Neue App anlegen

Klicken Sie oben auf + Neue Registrierung.

App-Registrierung ausfüllen

Geben Sie einen aussagekräftigen Namen ein, zum Beispiel poool-sharepoint-integration.

Wählen Sie bei Unterstützte Kontotypen die Option Nur Konten in diesem Organisationsverzeichnis.

Lassen Sie Redirect URI für den hier beschriebenen Client-Credentials-Flow leer.

Klicken Sie auf Registrieren.

💡

Grundlagen – Verbindung ohne Benutzer-Login

Beim Client-Credentials-Flow meldet sich die Integration mit ihren eigenen Zugangsdaten an. Es ist kein persönlicher Benutzer-Login nötig. Deshalb wird auch keine Redirect URI benötigt.

⚙️ Sonderfall: Verbindung mit Benutzer-Login

Nur wenn Sie stattdessen einen benutzerbasierten Login verwenden, wählen Sie bei Redirect URI die Plattform Web und hinterlegen die Callback-URL Ihrer Poool-Verbindung:

https://<Ihre-Poool-Verbindung-Domain>/rest/oauth2-credential/callback

Für die Poool-Verbindung lautet sie:

https://poool.app.n8n.cloud/rest/oauth2-credential/callback

Sie können diese URI auch später unter Verwalten → Authentication (Preview) → + Umleitungs-URI hinzufügen ergänzen. Dieser Sonderfall ist nicht Teil des hier beschriebenen Ablaufs.

Zugangsschlüssel vorbereiten

Öffnen Sie die neu erstellte App.

Wählen Sie Zertifikate & Geheimnisse → Geheime Clientschlüssel.

Klicken Sie auf Neuer geheimer Clientschlüssel.

Client Secret erstellen und sicher speichern

Tragen Sie eine Beschreibung ein, zum Beispiel poool-integration.

Wählen Sie eine passende Laufzeit entsprechend Ihren IT-Vorgaben.

Klicken Sie auf Hinzufügen.

Kopieren Sie den angezeigten Wert sofort und speichern Sie ihn an einem sicheren Ort. Sie benötigen ihn später in der Poool-Verbindung.

⚠️

Wichtig – Wert statt Geheimnis-ID

Der Secret-Wert wird nur einmal angezeigt. Kopieren Sie nicht die Geheimnis-ID, sondern den Inhalt der Spalte Wert. Teilen Sie den Schlüssel nicht über ungeschützte Kanäle und speichern Sie ihn nicht in dieser Anleitung.

Notieren Sie auch das Ablaufdatum. Der Schlüssel muss rechtzeitig erneuert und in der Poool-Verbindung aktualisiert werden.

API-Berechtigung auswählen

⚠️

Wichtig – was die Integration tut und was sie technisch darf

Unser Workflow legt bei neuen Projekten ausschließlich Ordner und Unterordner nach einer festen Vorlage an. Er liest keine Inhalte, lädt keine Dateien hoch und ändert, verschiebt oder löscht keine bestehenden Inhalte.

Die technische Berechtigung ist weiter gefasst: Die später vergebene Rolle write erlaubt auf der freigegebenen Site auch das Lesen, Ändern, Verschieben und Löschen von Dateien, Ordnern und Listeneinträgen sowie das Hochladen von Dateien.

Die Beschränkung auf die Ordneranlage liegt also im Workflow – nicht in einer technischen Sperre durch Microsoft.

Mit der hier beschriebenen Berechtigung bleibt der Zugriff auf ausdrücklich freigegebene Sites begrenzt. Sie gewährt keine Rechte zur Verwaltung von Berechtigungen oder Site-Einstellungen und keinen zusätzlichen Zugriff auf Mails, Teams oder Benutzerdaten. Sie können die Site-Freigabe jederzeit widerrufen.

Öffnen Sie in der App API-Berechtigungen.

Klicken Sie auf + Berechtigung hinzufügen.

Wählen Sie Microsoft Graph → Anwendungsberechtigungen.

Suchen Sie nach Sites.Selected und setzen Sie das Häkchen.

Klicken Sie auf Berechtigungen hinzufügen.

💡

Grundlagen – Zugriff nur auf ausgewählte Sites

Sites.Selected gibt der App nicht automatisch Zugriff. Erst mit der späteren Freigabe einer konkreten Site kann die App dort arbeiten. Verwenden Sie für diesen Ablauf nicht Sites.ReadWrite.All, da diese Berechtigung alle Sites umfasst.

Wählen Sie Anwendungsberechtigungen, nicht Delegierte Berechtigungen: Die Integration arbeitet ohne Benutzer-Login.

Empfehlung zur Absicherung: Aktivieren Sie Papierkorb und Versionierung auf der Ziel-Site. Falls Sie Änderungen und Löschungen grundsätzlich ausschließen möchten, sprechen Sie mit uns über eine alternative Einrichtung mit einem dedizierten Service-Benutzer und angepassten Berechtigungen.

Administratorzustimmung erteilen

Lassen Sie die zuständige IT-Administration unter API-Berechtigungen auf Administratorzustimmung für [Organisation] erteilen klicken.

Bestätigen Sie die Abfrage mit Ja.

Prüfen Sie den Status von Sites.Selected: Ein grüner Haken mit Gewährt für [Organisation] zeigt, dass die Zustimmung erteilt wurde.

⚠️

Voraussetzung – Freigabe durch die IT-Administration

Ohne Administratorzustimmung ist der erforderliche SharePoint-Zugriff nicht freigegeben. Ein erfolgreich angeforderter Zugangstoken allein bedeutet noch nicht, dass die App auf die Site zugreifen darf.

Zugriff auf die gewünschte SharePoint-Site freigeben

Jetzt weisen Sie der App die konkrete Site zu. Diesen technischen Schritt übernimmt Ihre IT-Administration, zum Beispiel im Microsoft Graph Explorer.

Site ID ermitteln

Melden Sie sich im Graph Explorer mit einem entsprechend berechtigten Administrationskonto an.

Wählen Sie die Methode GET und verwenden Sie die folgende Adresse.

Ersetzen Sie {hostname} durch Ihre SharePoint-Domain und {site-name} durch den Namen der Ziel-Site.

GET https://graph.microsoft.com/v1.0/sites/{hostname}:/sites/{site-name}

Beispiel für eine Site namens „Projekte“:

https://graph.microsoft.com/v1.0/sites/ihre-organisation.sharepoint.com:/sites/Projekte

Führen Sie die Anfrage aus.

Kopieren Sie aus der Antwort den vollständigen Wert des Feldes id. Das ist Ihre Site ID – nicht nur ein einzelner Teil davon.

Der App Schreibrechte geben

Wählen Sie die Methode POST.

Ersetzen Sie {site-id} in der folgenden Adresse durch die vollständige Site ID.

Verwenden Sie Content-Type: application/json.

Tragen Sie den gezeigten JSON-Inhalt als Request Body ein. Ersetzen Sie <Client-ID der App> durch die Anwendungs-ID aus der App-Übersicht und passen Sie den Anzeigenamen bei Bedarf an.

POST https://graph.microsoft.com/v1.0/sites/{site-id}/permissions
Content-Type: application/json

{
  "roles": ["write"],
  "grantedToIdentities": [
    {
      "application": {
        "id": "<Client-ID der App>",
        "displayName": "poool-sharepoint-integration"
      }
    }
  ]
}

⚠️

Wichtig – Freigabe prüfen

Führen Sie die POST-Anfrage aus und prüfen Sie, ob die Site-Freigabe erfolgreich erstellt wurde. Die App-Berechtigung Sites.Selected und die Berechtigungen Ihres Kontos im Graph Explorer sind zwei verschiedene Dinge. Wird die Anfrage abgelehnt, muss Ihre IT-Administration die für diese Anfrage erforderlichen Berechtigungen und ihre Zustimmung prüfen.

Dokumentenbibliothek ermitteln

Eine SharePoint-Site kann mehrere Dokumentenbibliotheken enthalten. Die Drive ID legt fest, in welcher Bibliothek die Poool-Verbindung die Ordner anlegt.

Wählen Sie im Graph Explorer die Methode GET.

Verwenden Sie die folgende Adresse mit Ihrer Site ID und führen Sie die Anfrage aus.

GET https://graph.microsoft.com/v1.0/sites/{site-id}/drives

Suchen Sie in der Antwort die gewünschte Bibliothek, meist Dokumente oder Documents.

Speichern Sie deren id als Drive ID.

Zugangsdaten in der Poool-Verbindung hinterlegen

Halten Sie die folgenden vier Werte bereit. Die ersten drei dienen zur Anmeldung; die Drive ID bestimmt die Zielbibliothek im HTTP-Node.

Wert	Wo finden Sie ihn?	Wofür wird er benötigt?
Client ID / Anwendungs-ID	Azure-App → Übersicht	Identifiziert die App
Tenant ID / Verzeichnis-ID	Azure-App → Übersicht	Identifiziert Ihre Microsoft-Organisation
Client Secret – Wert	Beim Erstellen des geheimen Clientschlüssels	Geheimer Zugangsschlüssel
Drive ID	Antwort der Bibliotheksabfrage	Legt die Ziel-Dokumentbibliothek fest

Öffnen oder erstellen Sie in der Poool-Verbindung ein Credential vom Typ OAuth2 API.

Wählen Sie als Grant Type Client Credentials.

Hinterlegen Sie Client ID und Client Secret-Wert in den dafür vorgesehenen Feldern.

Tragen Sie die folgende Token-URL ein. Ersetzen Sie {Tenant-ID} durch Ihre Verzeichnis-ID.

https://login.microsoftonline.com/{Tenant-ID}/oauth2/v2.0/token

Hinterlegen Sie diesen Scope:

https://graph.microsoft.com/.default

Verwenden Sie das Credential im vorgesehenen HTTP-Node Ihres Workflows.

Hinterlegen Sie dort die Drive ID als Kennung der Zielbibliothek.

💡

Hinweis – Vorbereitung und Workflow sind zwei Schritte

Diese Anleitung bereitet den App-Zugang und die Poool-Verbindung vor. Die konkrete Ordnerstruktur und die HTTP-Anfrage zur Ordneranlage werden im Workflow eingerichtet.

💼 Anwendungsfall

Bei einem neuen Projekt legt die angebundene Poool-Verbindung die vorgesehenen Projektordner und Unterordner in der freigegebenen SharePoint-Dokumentbibliothek an. So steht eine einheitliche Ablagestruktur zur Verfügung, ohne dass sie jedes Mal manuell erstellt werden muss.

✅ Vorteile im Überblick

Einheitliche Ablage: Neue Projekte erhalten die gleiche vorgegebene Ordnerstruktur.

Weniger manuelle Arbeit: Der Workflow übernimmt die Ordneranlage.

Gezielte Freigabe: Die App erhält Zugriff nur auf ausdrücklich freigegebene Sites.

Ohne persönlichen Login: Die Verbindung nutzt den eigenen App-Zugang.

🔍 Zusammenfassung des Prozesses

Prüfen Sie vor dem ersten Einsatz:

Die App ist im richtigen Organisationsverzeichnis registriert.

Client ID, Tenant ID und Secret-Wert liegen vor und sind sicher gespeichert.

Das Ablaufdatum des Secrets ist für die rechtzeitige Erneuerung notiert.

Sites.Selected ist als Anwendungsberechtigung hinzugefügt.

Die Administratorzustimmung wurde erteilt.

Die gewünschte Site wurde mit der Rolle write freigegeben.

Die Drive ID gehört zur richtigen Dokumentbibliothek.

Token-URL, Scope und Zugangsdaten sind in der Poool-Verbindung hinterlegt.

Die Ordneranlage wurde mit einem Testprojekt in der vorgesehenen Bibliothek geprüft.

✅

Ergebnis

Der technische Zugang ist vorbereitet. Nach der Einrichtung und einem erfolgreichen Test der Poool-Verbindung können neue Projektordner automatisch in der vorgesehenen SharePoint-Bibliothek angelegt werden.