Die folgenden Schritte macht einmalig jemand mit Administratorrechten im Microsoft 365 dieser Gemeinde. Tragen Sie Ihre Angaben unterwegs ein — die Adressen und Befehle weiter unten füllen sich damit von selbst aus, sodass Sie sie nur noch kopieren müssen.

1. 1 Anwendung in Microsoft anmelden expand_more
   1. Im Microsoft Entra Admin Center anmelden → Identität → Anwendungen → App-Registrierungen → Neue Registrierung.
   2. Name: ChurchFlow Dateispeicher. Kontotypen: Nur Konten in diesem Organisationsverzeichnis. Umleitungs-URI: freilassen — ChurchFlow meldet sich als Anwendung an, nie im Namen eines Menschen.
   3. Auf Registrieren klicken. Die Übersichtsseite zeigt nun die beiden Werte, die hier hineingehören:

   Anwendungs-ID (Client)

   Verzeichnis-ID (Mandant)

   Weiter
2. 2 Berechtigung erteilen expand_more
   error

   Der häufigste Fehler steckt genau hier. Microsoft bietet Sites.Selected zweimal an: als delegierte und als Anwendungsberechtigung. ChurchFlow braucht die Anwendungsberechtigung. Mit der delegierten scheitert die Prüfung später mit einer nichtssagenden Meldung („General exception while processing“).

   1. In derselben Anwendung: API-Berechtigungen → Berechtigung hinzufügen → Microsoft Graph.
   2. Jetzt erscheinen zwei große Kacheln. Anwendungsberechtigungen wählen — nicht „Delegierte Berechtigungen“.
   3. Genau eine auswählen: Sites.Selected. Hinzufügen.
   4. Auf Administratorzustimmung für … erteilen klicken und bestätigen.

   Prüfen Sie zum Schluss die Tabelle Konfigurierte Berechtigungen:

   check In der Spalte Typ steht bei Sites.Selected das Wort Anwendung — nicht „Delegiert“. check In der Spalte Status steht ein grüner Haken mit „Gewährt für …“.

   Diese Berechtigung erlaubt für sich genommen gar nichts. Erst Schritt 4 gibt ChurchFlow genau eine einzelne Website frei — deshalb ist es die sicherste Variante, die Microsoft anbietet.

   Weiter
3. 3 Clientschlüssel erzeugen expand_more
   1. Zertifikate & Geheimnisse → Neuer geheimer Clientschlüssel.
   2. Beschreibung „ChurchFlow“, Gültigkeit wählen (höchstens 24 Monate).
   3. Die Spalte Wert (nicht „Geheime Client-ID“!) sofort kopieren. Microsoft zeigt sie nur ein einziges Mal an — nach dem Neuladen der Seite ist sie für immer verborgen.

   check Ich habe den Wert kopiert und zur Hand.

   Notieren Sie sich das Ablaufdatum. Läuft der Schlüssel ab, melden die Gruppen „Die Zugangsdaten sind nicht mehr gültig“ — dann hier einfach einen neuen eintragen.

   Weiter
4. 4 Website für ChurchFlow freigeben expand_more

   Dieser Schritt geht nicht über eine gewöhnliche Schaltfläche — Microsoft lässt Website-Freigaben nur über ein technisches Werkzeug zu. Am einfachsten im Browser über den Graph Explorer von Microsoft, ohne Installation.

   Adresse Ihrer SharePoint-Website

   Die Adresse, die in der Browserzeile steht, wenn Sie die Website in SharePoint geöffnet haben.

   1. Graph Explorer öffnen und oben rechts auf Sign in klicken. Mit einem SharePoint- oder globalen Administratorkonto anmelden.
   2. Reiter Modify permissions → im Suchfeld Sites.FullControl.All eingeben, Haken setzen, Consent klicken und zustimmen. Ohne Häkchen bei „Consent on behalf of your organization“, falls angeboten.
   3. Methode auf GET lassen und diese Adresse einsetzen, dann Run query:
      Bitte oben die Adresse Ihrer Website eintragen. Kopieren
   4. In der Antwort die Zeile "id": suchen und den ganzen Wert zwischen den Anführungszeichen hier einsetzen:
      Website-ID
   5. Methode auf POST umstellen und diese Adresse einsetzen:
      Bitte zuerst die Website-ID eintragen. Kopieren
   6. Reiter Request body öffnen, diesen Inhalt einfügen und Run query klicken:

      Bitte zuerst Schritt 1 ausfüllen.

      Kopieren

   check Die Antwort meldet 201 Created.

   write genügt — ChurchFlow legt Ordner an, lädt hoch und löscht, mehr nicht. Sites.FullControl.All geht dabei nur an den Graph Explorer selbst, für Ihre eigene Anmeldung — nie an ChurchFlow. Sie können die Zustimmung danach im Entra Admin Center unter Unternehmensanwendungen → Graph Explorer → Berechtigungen wieder entziehen; an der erteilten Website-Freigabe ändert das nichts.

   Weiter
5. 5 Eintragen und prüfen expand_more

   Ihre Angaben aus dem Assistenten stehen bereits in den Feldern unter dieser Anleitung. Es fehlt nur noch:

   1. Den geheimen Clientschlüssel aus Schritt 3 eintragen.
   2. Haken bei Eingeschaltet setzen.
   3. Speichern, dann Verbindung prüfen.

   Meldet die Prüfung „Website erreichbar“, ist alles fertig: In jeder Gruppe erscheint der Reiter Dateien.

   Bestehende Dateien wandern nicht von selbst. Wer schon etwas in SharePoint oder OneDrive liegen hat, verschiebt es dort selbst in den neuen Gruppenordner.