Open WebUI mit SSO/Azure AD anbinden: Enterprise-Authentifizierung

Pexon Consulting | 9 Min. Lesezeit | 19.06.2026

TL;DR

Open WebUI mit Microsoft Entra ID (Azure AD) anzubinden ist der Pflicht-Schritt für jedes Enterprise-Setup ab 100 Nutzern — Benutzerkonten-Pflege manuell ist nach 4 Wochen Pflegehölle. Pexon Consulting setzt die OIDC-Integration mit Gruppen-Mapping und Auto-Provisioning in 3-5 Tagen auf, Festpreis 8-14k EUR. Funktioniert auch mit Keycloak, Okta, ADFS. Erfahrung aus 14+ produktiven Setups.

Warum SSO bei Open WebUI Pflicht ist

Wir hören das in fast jedem Sprint-Discovery: „Wir haben Open WebUI im Pilot, läuft mit 8 Usern toll. Aber jetzt sollen 200 Mitarbeiter Zugang bekommen — die Pflege der Accounts kann nicht so weitergehen.“

Drei strukturelle Gründe.

Off-Boarding-Risiko. Wenn Mitarbeiter das Unternehmen verlassen und ihr Open-WebUI-Account aktiv bleibt, ist das ein klares Sicherheits-Loch. Bei Microsoft Entra ID gekoppelt ist der Account am Tag des Off-Boardings deaktiviert.

Pflegekosten. Manuelle Account-Anlage bei 200+ Nutzern fressen pro Monat 4-8 Engineering-Stunden. Plus Reset-Anfragen, Password-Resets, vergessene Logins.

MFA und Conditional Access. Bei Banking- oder KRITIS-Setups ist Multi-Factor-Authentication Pflicht. Mit Entra ID kommt das aus der Conditional Access-Schicht — Open WebUI muss nichts selbst implementieren. Mehr zur breiten Architektur über LLM Gateway.

Die OIDC-Konfiguration konkret

Open WebUI unterstützt OIDC seit Version 0.3.0 nativ. Drei Schritte für die Anbindung an Entra ID.

Schritt 1: App-Registrierung in Entra ID.

# Beispiel: Azure CLI für App-Registrierung
az ad app create 
  --display-name "Open WebUI Production" 
  --web-redirect-uris "https://chat.firma.de/oauth/oidc/callback" 
  --required-resource-accesses '[{
    "resourceAppId": "00000003-0000-0000-c000-000000000000",
    "resourceAccess": [
      {"id": "37f7f235-527c-4136-accd-4a02d197296e", "type": "Scope"},
      {"id": "14dad69e-099b-42c9-810b-d002981feec1", "type": "Scope"}
    ]
  }]'

Notiere Client-ID und Tenant-ID, erstelle Client-Secret im Entra-ID-Portal.

Schritt 2: Open-WebUI-Environment-Konfiguration.

# values.yaml für Helm
env:
  - name: ENABLE_OAUTH_SIGNUP
    value: "true"
  - name: OAUTH_PROVIDER_NAME
    value: "Microsoft Entra ID"
  - name: OAUTH_CLIENT_ID
    valueFrom:
      secretKeyRef:
        name: openwebui-oauth-secrets
        key: client-id
  - name: OAUTH_CLIENT_SECRET
    valueFrom:
      secretKeyRef:
        name: openwebui-oauth-secrets
        key: client-secret
  - name: OPENID_PROVIDER_URL
    value: "https://login.microsoftonline.com/{tenant-id}/v2.0/.well-known/openid-configuration"
  - name: OPENID_REDIRECT_URI
    value: "https://chat.firma.de/oauth/oidc/callback"
  - name: OAUTH_SCOPES
    value: "openid email profile"

Schritt 3: Gruppen-Mapping aktivieren.

  - name: ENABLE_OAUTH_ROLE_MANAGEMENT
    value: "true"
  - name: OAUTH_ROLES_CLAIM
    value: "groups"
  - name: OAUTH_ADMIN_ROLES
    value: "openwebui-admins"
  - name: OAUTH_ALLOWED_ROLES
    value: "openwebui-admins,openwebui-power-users,openwebui-users"

Damit werden die Entra-ID-Gruppen direkt auf Open-WebUI-Rollen gemappt. User in der Gruppe openwebui-admins bekommen Admin-Rechte, User in openwebui-users Standard-Zugang, alle anderen werden abgewiesen.

Die typischen Stolpersteine

Drei Fallen aus produktiven Setups.

Falle 1: Groups-Claim nicht im Token. Entra ID liefert standardmäßig keine Group-Memberships im OIDC-Token. Im App-Manifest muss groupMembershipClaims auf "SecurityGroup" gesetzt sein. Erst dann landen Gruppen im Token.

Falle 2: 200-Gruppen-Limit im Token. Entra ID begrenzt die Gruppen im Token auf 200. Wenn ein User in mehr Gruppen ist, kommt nur ein Pointer auf die Graph-API mit. Open WebUI kann das nicht nativ auflösen — wir bauen dann Custom-Middleware zwischen Entra ID und Open WebUI.

Falle 3: Token-Lifetime und Re-Login-Frequenz. Default Token-Lifetime in Entra ID ist 1 Stunde. Bei Open-WebUI-Setups mit langer Chat-Session kommt das zu Re-Login-Aufforderungen. Wir empfehlen Token-Lifetime auf 8 Stunden zu setzen oder Refresh-Token-Workflow zu konfigurieren.

Pexon-Sprint und Investment

3-5-Tage-Festpreis-Sprint:

• Tag 1 — Discovery und App-Registrierung. Entra-ID-Inventur, App-Registrierung, Gruppen-Struktur klären.
• Tag 2-3 — OIDC-Konfiguration und Gruppen-Mapping. Open-WebUI-Setup, Gruppen-Mapping, Test mit Pilot-Usern.
• Tag 4 — Edge-Cases und Audit. Token-Lifetime, Group-Limits, Audit-Trail-Konfiguration.
• Tag 5 — Übergabe und Schulung. IT-Admin-Schulung, Doku.

Investment-Festpreis: 8-14k EUR. Bei komplexen Multi-Tenant-Setups oder ADFS-Integration eher am oberen Ende.

Häufig gestellte Fragen

Funktioniert das auch mit Keycloak oder Okta?

Ja. OIDC ist Standard, jeder OIDC-konforme Identity-Provider funktioniert. Wir haben Setups produktiv mit Entra ID, Keycloak, Okta, Auth0 und ADFS.

Was bei MFA-Anforderung?

MFA kommt aus dem Entra-ID-Conditional-Access. Open WebUI bekommt das fertig validierte Token. Bei Banking-Setups konfigurieren wir typisch Conditional Access auf „MFA required für Open WebUI App“.

Können wir Gruppen-basierte Provider-Routing machen?

Ja, aber nicht im Open WebUI selbst — das macht das LLM Gateway (LiteLLM) dahinter. User aus Gruppe engineering bekommen GPT-4o, User aus Gruppe hr bekommen Azure OpenAI EU. Mehr im LLM-Gateway-DSGVO-Routing-Pattern.

Was wenn ein User die Gruppe verliert?

Bei nächstem Token-Refresh greift die Änderung. Standard-Token-Lifetime 1 Stunde — bei aktivem User maximal 1 Stunde Latenz. Bei sehr sensitiven Setups senken wir Token-Lifetime auf 15 Minuten.

Wie verhält sich das mit On-Behalf-Of-Flow für Tool-Zugriffe?

Bei Chatbots, die externe Tools (Outlook, SharePoint) im Namen des Users aufrufen, brauchen wir OBO-Flow. Mehr im Agent-Permissions-OAuth-Pattern.

Nächster Schritt

Wenn euer Open-WebUI-Setup SSO braucht und der interne Engineer schon 2 Wochen am OIDC-Setup hängt: 30-Minuten-Call. Wir skizzieren den Sprint.

Verwandte Themen