OAuth2

Übersicht

Mit OAuth2 melden Sie sich einmal im Browser beim Anbieter an; RUNOS bekommt dafür ein Zugriffstoken und ein Erneuerungstoken und erneuert den Zugriff danach selbst. Ein Passwort speichert RUNOS dabei nicht. So arbeiten Microsoft 365, Outlook.com und Google (Gmail). Wie Sie einen Konnektor anlegen, steht unter None.

OAuth-Flow	Wann
Authorization Code	Ein Benutzer meldet sich im Browser an, z. B. mit seinem Postfach. Für MS365 und Gmail.
Client Credentials	Ein Dienstkonto ohne Benutzer, z. B. eine App-Registrierung in Microsoft Entra (Vorlage Azure Service Principal). Es gibt keine Browser-Anmeldung; RUNOS holt das Token mit Client ID und Client Secret.

Anmelden: Bei Authorization Code klicken Sie auf Im Browser anmelden. RUNOS öffnet die Anmeldeseite des Anbieters und wartet an der Redirect URI (Standard http://localhost:5000/) auf die Rückmeldung. Danach sind Access- und Refresh-Token gespeichert.

Erneuern: RUNOS erneuert das Token automatisch, wenn ein Workflow den Konnektor verwendet und das Token in weniger als einer Minute abläuft. Mit Token erneuern fordern Sie sofort ein neues an. Lässt sich das Token nicht mehr erneuern (Passwort geändert, Zugriff widerrufen), zeigt der Status Token abgelaufen; melden Sie sich dann erneut an.

Struktur

Feld	Bedeutung
Client ID, Client secret	Kennung und Geheimnis der Anwendung beim Anbieter (für Microsoft-Vorlagen ist die Client ID vorbelegt)
Scopes	Berechtigungen, getrennt durch Leerzeichen, z. B. offline_access Mail.Send
Auth endpoint, Token endpoint	Adressen des Anbieters für Anmeldung und Token
Redirect URI	Adresse, an der RUNOS die Anmeldung entgegennimmt; muss beim Anbieter eingetragen sein
OAuth flow	Authorization Code oder Client Credentials
Access token, Refresh token, Expires	nach der Anmeldung: die Tokens (verschlüsselt) und ihr Ablauf

Im Workflow geben Sie der Aktion HTTPRequest den Namen des Konnektors: "Connector": "<Name>". Sie sendet dann das Zugriffstoken, erneuert es vor dem Ablauf und wiederholt eine Anfrage einmal mit neuem Token, wenn der Server es ablehnt (401). Das Token selbst steht in {{connector.<Name>.AccessToken}}, z. B. für "AuthType": "Bearer", "AuthToken": "{{connector.<Name>.AccessToken}}".

Die Aktion Outlook365 bekommt nur den Namen des Konnektors ("Connector": "OutlookMail") und kümmert sich selbst um die Anmeldung.

Beispiel

Microsoft 365, Benutzer meldet sich an. Vorlage Microsoft Outlook Mail, Name OutlookMail, Im Browser anmelden. Danach die eigenen Kalendereinträge der nächsten Tage lesen (dafür in den Scopes Calendars.Read ergänzen und erneut anmelden):

{
  "Type": "HttpRequest",
  "Name": "Termine",
  "Parameters": {
    "Url": "https://graph.microsoft.com/v1.0/me/events?$select=subject,start,end&$top=20",
    "Connector": "OutlookMail",
    "AutoPagination": true
  }
}

Dienstkonto mit Client Credentials. Vorlage Azure Service Principal: In Microsoft Entra eine App registrieren, Anwendungsberechtigungen (z. B. User.Read.All) erteilen und mit Administratorzustimmung bestätigen; Client ID, Client Secret und im Token endpoint die Mandanten-ID eintragen. Scope https://graph.microsoft.com/.default.

{
  "Type": "HttpRequest",
  "Name": "Benutzer",
  "Parameters": {
    "Url": "https://graph.microsoft.com/v1.0/users?$select=displayName,mail",
    "Connector": "Entra",
    "AutoPagination": true
  }
}

Mit Client Credentials gibt es kein me; Sie sprechen Benutzer und Postfächer über ihre Adresse an, z. B. /users/info@example.com/messages.