Toimenpiteitä ei tarvita: Tällä hetkellä uutisissa esillä oleva merkittävä PHP-tietoturva-aukko ei vaikuta Identumin palveluihin. eADM ja eFeide eivät perustu PHP:hen, emmekä käytä PHP:tä missään järjestelmissämme.
Navigointipolku

Entra ID:n määrittäminen integraatiota varten

Tässä oppaassa kuvataan, miten Microsoft Entra ID valmistellaan integroitavaksi eAdm- tai eFeide-järjestelmään. Prosessiin kuuluu sovelluksen rekisteröinti ja sen jälkeen tarvittavien käyttöoikeuksien myöntäminen.

Voit huoletta jättää huomiotta edistynyttä konfigurointia koskevan osion, ellei Identum ole erikseen ohjeistanut sinua.


Osa 1: Entra ID -sovelluksen rekisteröinti

  1. Kirjaudu sisään Azure-portaaliin järjestelmänvalvojan tilillä.

  2. Siirry Entra ID:hen.

  3. Valitse vasemmanpuoleisesta valikosta Sovellusrekisteröinnit ja valitse sitten + Uusi rekisteröinti.

  4. Määritä seuraavat asetukset "Rekisteröi sovellus" -sivulla:

    • Nimi: Anna sovellukselle kuvaava nimi. Esimerkiksi: Identum eFeide-eAdm User and Group Management.

    • Tuetut tilityypit: Valitse Accounts in this organizational directory only (Single tenant).

    • Ohjaa URI uudelleen: Jätä tämä kenttä tyhjäksi.

  5. Luo sovellus valitsemalla Rekisteröi.

  6. Kun sovellus on luotu, kopioi sovelluksen (asiakkaan) tunnus ja hakemiston (vuokralaisen) tunnus sovelluksen "Yleiskatsaus"-sivulta. Tallenna nämä arvot myöhempää käyttöä varten.


Varoitus: Älä käytä kauttaviivaa (/) sovelluksen nimessä, sillä se voi aiheuttaa ongelmia Entra ID:ssä.


Osa 2: API-oikeuksien määrittäminen

Seuraavaksi sovellukselle on annettava tarvittavat API-oikeudet käyttäjien ja ryhmien hallintaan.

  1. Siirry uuden sovelluksen rekisteröinnissä vasemmanpuoleisessa valikossa kohtaan API-oikeudet.

  2. Napsauta + Lisää käyttöoikeus.

  3. Valitse Microsoft Graph.

  4. Valitse Sovelluksen käyttöoikeudet.

  5. Lisää seuraavat oikeudet:

    • Directory.Read.All

    • Directory.ReadWrite.All

    • Group.Create

    • Group.Read.All

    • Group.ReadWrite.All

    • GroupMember.ReadWrite.All

    • User.Read.All

    • User.ReadWrite.All

    • User.EnableDisableAccount.All

  6. Lisää myös seuraavat käyttöoikeudet, jos ne ovat merkityksellisiä erityistarpeidesi kannalta:

    • AuditLog.Read.All: Tarvitaan, jos haluat synkronoida lastLogonTimeStamp lisätä tietoja eAdm-järjestelmään tai synkronoida MFA-rekisteröinnin tila.

    • UserAuthenticationMethod.ReadWrite.All: Tarvitaan, jos eAdm hallinnoi käyttäjien MFA-menetelmiä.

    • Reports.Read.All: Vaaditaan, jos eAdm synkronoi postilaatikon koon eAdm:iin.

    • LicenseAssignment.Read.All: Vaaditaan, jos eAdm synkronoi myönnettyjen lisenssien nimet/tunnukset eAdm:iin.

  7. Kun olet lisännyt käyttöoikeudet, valitse Lisää käyttöoikeudet.

  8. Napsauta API-oikeudet-näytössä Grant admin consent for [Your Tenant Name] (Anna ylläpitäjän suostumus [vuokralaisen nimi] ) ja vahvista pyydettäessä.


Huomautus: Lihavoidut käyttöoikeudet ovat pakollisia perusintegroinnissa. Muut vaaditaan tiettyjä yleisiä skenaarioita varten.


Osa 3: Luo asiakassalaisuus

Asiakassalaisuus on salasana, jota sovellus käyttää tunnistautuakseen.

  1. Siirry vasemmanpuoleisessa valikossa kohtaan Varmenteet ja salaisuudet.

  2. Napsauta + Uusi asiakassalaisuus.

  3. Kirjoita salaisuuden kuvaus ja aseta voimassaoloajaksi 24 kuukautta.

  4. Napsauta Lisää.

  5. Kopioi välittömästi uuden asiakassalaisuuden arvo Arvo-kentästä.


Varoitus: Asiakassalaisuuden arvo näytetään kokonaisuudessaan vain heti luomisen jälkeen. Jos et kopioi sitä nyt, sinun on luotava uusi. Säilytä tämä arvo turvallisesti.

Huomautus: Jos Privileged Identity Management (PIM) on aktiivinen ympäristössäsi, et ehkä voi asettaa kiinteää voimassaolon päättymispäivää.


Osa 4: Määritä järjestelmänvalvojan rooli

Jotta sovellus voi suorittaa arkaluonteisia toimintoja, kuten salasanojen muuttamista tai käyttäjien puhelinnumeroiden päivittämistä, se tarvitsee järjestelmänvalvojan roolin.

  1. Siirry Azure-portaalissa kohtaan Entra ID.

  2. Valitse Roolit ja ylläpitäjät.

  3. Etsi ja valitse User Administrator -rooli.

  4. Napsauta Lisää toimeksiantoja.

  5. Etsi ja valitse aiemmin luomasi sovellus (esim, Identum eFeide-eAdm User and Group Management).

  6. Aseta seuraavassa näytössä Määritystyypiksi Aktiivinen ja anna perustelu, kuten "Tarvitaan eFeide varten käyttäjien salasanojen hallintaan".

  7. Suorita roolin määritys loppuun napsauttamalla Assign (Määritä ).


Huomautus: Jos käytät rooliin määritettäviä ryhmiä eFeide tai eAdm hallinnoimille käyttäjille, sovellus vaatii sen sijaan Privileged Authentication Administrator -roolin. Katso: https://learn.microsoft.com/en-us/entra/identity/role-based-access-control/privileged-roles-permissions?tabs=admin-center#who-can-perform-sensitive-actions


Osa 5: Lähetä tiedot Identumille

Kun konfigurointi on valmis, sinun on lähetettävä Identumille seuraavat tiedot, jotta asennus voidaan viimeistellä:

  • Vuokralaisen nimi (esim, yourcompany.onmicrosoft.com)

  • Hakemiston (vuokralaisen) tunnus

  • Sovelluksen (asiakkaan) tunnus

  • Asiakassalaisuus


Varoitus: Lähetä asiakassalaisuus turvallisuussyistä erillään muista tiedoista (esim. tekstiviestillä tai muulla suojatulla kanavalla).


Edistynyt konfigurointi


Varoitus: Älä suorita seuraavia vaiheita, ellei Identum ole nimenomaisesti ohjeistanut sinua tekemään niin tai jos et ole asiantuntija.


Käyttöoikeuksien määrittäminen Exchange Online -palvelussa

Näitä oikeuksia tarvitaan vain, jos eAdm tai eFeide hallinnoi suoraan Exchange Online -ominaisuuksia, kuten jakeluryhmiä tai sähköpostin suojausryhmiä.

  1. Siirry sovelluksen rekisteröinnissä kohtaan API-oikeudet ja napsauta + Lisää oikeus.

  2. Siirry Organisaationi käyttämät sovellusrajapinnat-välilehdelle.

  3. Etsi "Office" ja valitse Office 365 Exchange Online.

  4. Valitse Sovelluksen käyttöoikeudet.

  5. Valitse Exchange.ManageAsApp lupa ja klikkaa Lisää käyttöoikeuksia.

  6. Myönnä ylläpitäjän suostumus uudelle luvalle.

  7. Määritä sovellukselle Exchange-vastaanottajien ylläpitäjän rooli Entra ID:n Roolit ja ylläpitäjät -paneelin kautta. Näin sovellus voi hallita Exchange-objekteja.


Sähköpostia käyttävät suojausryhmät:

Sähköpostitoiminnolla varustettujen suojausryhmien hallinta edellyttää lisäroolia (”Security Group Creation and Membership” Exchange Onlinessa). Tämän määrittäminen voi olla hieman hankalaa… Alla kuvataan kuitenkin, miten kyseinen yksittäinen rooli lisätään (voit halutessasi käyttää myös mukautettuja rooliryhmiä). Lisätietoja ja tarkempia ohjeita löytyy osoitteesta https://learn.microsoft.com/en-us/exchange/permissions-exo/application-rbac:

1. Luo palvelupääkäyttäjä Exchange Onlinessa

Etsi ensin sovelluksesi Object ID Entra ID:stä ja rekisteröi sen avulla palvelun pääkäyttäjä Exchange Onlineen. Tämä tarvitsee tehdä vain kerran kutakin sovellusta kohden.

PowerShell
# Make sure you are connected to both services
# Connect-MgGraph -Scopes "Application.Read.All"
# Connect-ExchangeOnline

# --- Enter your Application (Client) ID here ---
$appId = "00000000-0000-0000-0000-000000000000"

# Find the application's details in Entra ID
$sp = Get-MgServicePrincipal -Filter "appId eq '$appId'"

# Create the service principal object within Exchange Online
# The -ErrorAction flag prevents an error if it already exists
New-ServicePrincipal -AppId $sp.AppId -ObjectId $sp.Id -DisplayName $sp.DisplayName -ErrorAction SilentlyContinue
2. Yksittäisen roolin osoittaminen sovellukselle


Käytä nyt New-ManagementRoleAssignment cmdlet -komennolla -App parametrin avulla voit määrittää roolin suoraan juuri luomallesi palvelupäämiehelle.

PowerShell
# Assign the role directly to the application
# Provide a unique name for the role assignment
New-ManagementRoleAssignment -App $appId -Role "Security Group Creation and Membership" -Name "App_SG_Creation_Membership_Direct_Assignment"

Sovelluksellasi on nyt erityiset Exchange Online -oikeudet sähköpostin suojausryhmien hallintaan.


Varmenteeseen perustuva todennus

Tämä vaihe on tarpeen vain, jos Identumin on suoritettava mukautettuja komentosarjoja Exchange Online- tai Entra ID -ympäristössäsi. Tätä käytetään yleensä edistyneissä integraatioissa, ja siitä sovitaan suoraan kanssasi.

  1. Luodaan itse allekirjoitettu varmenne. Saat ohjeet, miten tämä tehdään.

  2. Siirry hakemuksen rekisteröinnissä kohtaan Varmenteet ja salaisuudet.

  3. Valitse Varmenteet-välilehti ja valitse Lataa varmenne.

  4. Lataa julkisen avaimen tiedosto (.cer, .pem, tai .crt), jotka on toimitettu sinulle.


Liite: Tarvittavien lupien tarkastelu

Seuraavassa taulukossa on lueteltu Microsoft Graph API -oikeudet ja syy, miksi niitä tarvitaan.

Lupa

Mihin sitä käytetään

Kun se on tarpeen

User.Read.All

Lue käyttäjäprofiilit, joita käytetään Entra ID -tilien ja eADM-tietueiden vertailuun sekä olemassa olevien tilien tunnistamiseen.

Aina. Tämä on välttämätöntä jokaisessa Entra ID -synkronointikierroksessa, jopa pelkästään käyttäjiä koskevassa kokoonpanossa.

User.ReadWrite.All

Luo, päivitä ja poista käyttäjätilejä.

Aina, ellei synkronointivaihe ole vain luku -tilassa (vain tuonti, ei varustelua).

Group.Read.All

Lue ryhmät ja ryhmien ominaisuudet.

Vaaditaan aina, kaikissa tilanteissa — myös silloin, kun kyseessä on pelkästään käyttäjien tuonti ilman ryhmien määrittelyä. Synkronointimoottori lukee koko ryhmäluettelon jokaisella suorituskerralla teknisen vaatimuksen vuoksi, riippumatta siitä, tuodaanko tai viedäänkö ryhmiä todellisuudessa.

Group.ReadWrite.All

Ryhmien luominen, päivittäminen ja poistaminen; tätä toimintoa käytetään myös Microsoft Teamsin ottamiseen käyttöön ryhmässä.

Vaaditaan, jos ryhmäkohtainen käyttöoikeuksien myöntäminen tai Teams-on-group -toiminto on käytössä. Ei vaadita, jos järjestelmä on määritetty vain käyttäjille — mutta Group.Read.All Yllä oleva on joka tapauksessa pakollista.

GroupMember.ReadWrite.All

Ryhmän jäsenten lisääminen tai poistaminen ilman täyttä kirjoitusoikeutta ryhmään.

Valinnainen vaihtoehto Group.ReadWrite.All jos eADM:n tulisi hallinnoida vain jäsenyyttä, ei ryhmän ominaisuuksia tai omistajuutta.

User.EnableDisableAccount.All

Käyttäjätilin aktivointi/deaktivointi (esim. lomalle lähtö/paluu tai työsuhteen päättyminen).

Vaaditaan vain, jos tilin uudelleenaktivointi tai deaktivointi on osa asiakkaan elinkaaren kulkua. Ei tarvita pelkässä luomisen tai päivittämisen yhteydessä.

Directory.ReadWrite.All

Kattavampi käyttäjien ja ryhmien luku- ja kirjoitusoikeuksien käsittely; kattaa myös aiemmin poistetun käyttäjän palauttamisen.

Valinnainen. Tarvitaan vain, jos toimenpiteeseen kuuluu väliaikaisesti poistettujen tilien palauttaminen, ja ainoastaan vaihtoehtona User.ReadWrite.All kyseisen toiminnon osalta.

AuditLog.Read.All

Lue kirjautumistiedot (viimeisin kirjautuminen) ja monivaiheisen todennuksen (MFA) rekisteröintitila.

Vaaditaan vain, jos viimeisen kirjautumisen synkronointi tai MFA-tilan synkronointi on määritetty.

UserAuthenticationMethod.ReadWrite.All

Hallinnoi käyttäjän todennusmenetelmiä (esim. rekisteröi puhelinnumero monivaiheista todennusta varten, myönnä väliaikainen pääsykoodi).

Vaaditaan vain, jos eADM hallinnoi monivaiheisen todennuksen (MFA) menetelmiä tai myöntää väliaikaisia pääsyoikeuksia. Antaa laajan hallintavallan käyttäjän kirjautumisturvallisuuteen — tutustu huolellisesti ennen oikeuksien myöntämistä.

Reports.Read.All

Lue postilaatikon kokoa ja käyttöä koskevat raportit.

Vaaditaan vain, jos postilaatikon koon synkronointi on määritetty.

LicenseAssignment.Read.All (tai Directory.Read.All / Directory.ReadWrite.All)

Lue määritetyt lisenssi- ja SKU-tiedot.

Vaaditaan vain, jos lisenssinimen tai lisenssitunnuksen synkronointi on määritetty.

Exchange.ManageAsApp (Exchange Online, ei Graph)

Hallitse jakelulistoja ja sähköpostitoiminnolla varustettuja suojausryhmiä.

Vaaditaan vain, jos eADM hallinnoi Exchange-puolen postiryhmiä. Vaatii erillisen Exchange Online -roolin määrittämisen — katso kohta ”Lisäasetukset”.

Microsoft Teamsin käyttöönotto tapahtuu ryhmän ominaisuuden kautta (Teams otetaan käyttöön ryhmässä, jonka eADM on jo luonut), ei erillisenä Team-resurssina. Group.ReadWrite.All se riittää — erillistä Teams-käyttöoikeutta ei tarvita (Team.Create, Team.ReadBasic.All, TeamTemplates.ReadAll) tarvitaan.

Käyttötapaus

Myönnettävät käyttöoikeudet

Tuo vain olemassa olevat käyttäjät (ei luomista, päivittämistä tai poistamista)

User.Read.All ja Group.Read.All. Group.Read.All vaaditaan jopa tässä vain luku -tilanteessa — synkronointimoottori lukee ryhmäluettelon jokaisella suorituskerralla soveltamisalasta riippumatta.

Käyttäjien määrittäminen, ei ryhmiä, ei uudelleenaktivointia

User.Read.All, User.ReadWrite.All, Group.Read.All (vaaditaan aina, myös ilman ryhmäsynkronointia)

Käyttäjän koko elinkaari (luominen, päivittäminen, käytöstä poistaminen/uudelleenaktivointi)

Lisää User.EnableDisableAccount.All

+ Ryhmien käyttöönotto (mukaan lukien Teams-on-group)

Lisää Group.ReadWrite.All (tai GroupMember.ReadWrite.All (vain jäsenille)

+ Viimeisen kirjautumisen tai monivaiheisen tunnistautumisen (MFA) tilan raportointi

Lisää AuditLog.Read.All

+ MFA-menetelmän hallinta

Lisää UserAuthenticationMethod.ReadWrite.All (luottamuksellinen – käy läpi tietoturvatiimin kanssa)

+ Postilaatikon koon raportointi

Lisää Reports.Read.All

+ Lisenssiraportointi

Lisää LicenseAssignment.Read.All

+ Sähköpostitoiminnolla varustetut suojausryhmät / jakelulistat

Lisää Exchange.ManageAsApp + Exchange Online -rooli (katso Lisäasetukset)

Group.Read.All vaaditaan aina kaikissa edellä mainituissa käyttötapauksissa — myös vain lukuoikeudella tapahtuvassa tuonnissa — koska synkronointimoottori lukee teknisen vaatimuksen vuoksi koko ryhmäluettelon jokaisella suorituskerralla riippumatta siitä, onko kyseessä ryhmien luominen vai tuonti. Tällä hetkellä ei ole mahdollista toteuttaa integrointia, joka koskisi yksinomaan käyttäjiä ilman minkäänlaista pääsyä ryhmiin.

Viimeksi päivitetty: