Ingen tiltak er nødvendig: Den store sikkerhetsrisikoen i PHP som for tiden er i nyhetsbildet, påvirker ikke Identums tjenester. eADM og eFeide er ikke utviklet på PHP, og vi bruker ikke PHP i noen av våre systemer.
Navigasjonsstien

Slik konfigurerer du Entra ID for integrasjon

Denne veiledningen beskriver hvordan du forbereder Microsoft Entra ID for integrasjon med eAdm eller eFeide. Prosessen innebærer å opprette en applikasjonsregistrering og deretter tildele de nødvendige tillatelsene.

Du kan trygt ignorere avsnittet om avansert konfigurasjon, med mindre du har fått spesifikke instruksjoner fra Identum.


Del 1: Opprette en Entra ID-applikasjonsregistrering

  1. Logg på Azure-portalen med en administratorkonto.

  2. Gå til Entra ID.

  3. Velg Appregistreringer i menyen til venstre, og klikk deretter på + Ny registrering.

  4. På siden "Registrer en applikasjon" konfigurerer du følgende innstillinger:

    • Navn: Skriv inn et beskrivende navn for applikasjonen. For eksempel Identum eFeide-eAdm User and Group Management.

    • Kontotyper som støttes: Velg Kontoer kun i denne organisasjonskatalogen (Single tenant).

    • Omdiriger URI: La dette feltet stå tomt.

  5. Klikk på Registrer for å opprette søknaden.

  6. Når applikasjonen er opprettet, kopierer du applikasjons-ID (klient) og katalog-ID (tenant ) fra applikasjonens "Oversikt"-side. Lagre disse verdiene for senere bruk.


Advarsel: Ikke bruk skråstrek (/) i applikasjonsnavnet, da dette kan føre til problemer i Entra ID.


Del 2: Tildel API-rettigheter

Deretter må du gi applikasjonen de nødvendige API-Rettighetne til å administrere brukere og grupper.

  1. I den nye applikasjonsregistreringen navigerer du til API-rettigheter i menyen til venstre.

  2. Klikk på + Legg til en Rettighet.

  3. Velg Microsoft Graph.

  4. Velg Programrettigheter.

  5. Legg til følgende rettigheter:

    • Directory.Read.All

    • Directory.ReadWrite.All

    • Group.Create

    • Group.Read.All

    • Group.ReadWrite.All

    • GroupMember.ReadWrite.All

    • User.Read.All

    • User.ReadWrite.All

    • User.EnableDisableAccount.All

  6. Legg også til følgende rettigheter hvis de er relevante for dine spesifikke behov:

    • AuditLog.Read.All: Påkrevd hvis du ønsker å synkronisere lastLogonTimeStamp tilordne til eAdm, eller synkronisere status for MFA-registrering.

    • UserAuthenticationMethod.ReadWrite.All: Påkrevd hvis eAdm skal administrere MFA-metoder for brukere.

    • Reports.Read.All: Nødvendig hvis eAdm skal synkronisere postkassestørrelsen til eAdm.

    • LicenseAssignment.Read.All: Nødvendig hvis eAdm skal synkronisere tildelte lisensnavn/ID-er til eAdm.

  7. Når du har lagt til Rettighetne, klikker du på Legg til rettigheter.

  8. På API-Rettighetsskjermbildet klikker du på Gi administratorsamtykke for [Ditt tenantnavn] og bekrefter når du blir bedt om det.


Merk: Rettighetne som er oppført i fet skrift, er obligatoriske for grunnleggende integrasjon. De andre er påkrevd for spesifikke, vanlige scenarier.


Del 3: Opprett en klienthemmelighet

En klienthemmelighet er et passord som applikasjonen bruker for å autentisere seg selv.

  1. Gå til Sertifikater og hemmeligheter i menyen til venstre.

  2. Klikk på + Ny klienthemmelighet.

  3. Skriv inn en beskrivelse for hemmeligheten, og sett utløpsperioden til 24 måneder.

  4. Klikk på Legg til.

  5. Kopier umiddelbart verdien av den nye klienthemmeligheten fra Verdi-feltet.


Advarsel: Klientens hemmelige verdi vises bare i sin helhet umiddelbart etter opprettelsen. Hvis du ikke kopierer den nå, må du opprette en ny. Oppbevar denne verdien på en sikker måte.

Merk: Hvis Privileged Identity Management (PIM) er aktiv i miljøet ditt, er det ikke sikkert at du kan angi en fast utløpsdato.


Del 4: Tilordne en administratorrolle

For å utføre sensitive handlinger som å endre passord eller oppdatere brukerens telefonnummer, trenger applikasjonen en administrativ rolle.

  1. I Azure-portalen går du til Entra ID.

  2. Velg Roller og administratorer.

  3. Finn og velg rollen Brukeradministrator.

  4. Klikk på Legg til oppgaver.

  5. Søk etter og velg programmet du opprettet tidligere (f.eks, Identum eFeide-eAdm User and Group Management).

  6. På neste skjermbilde angir du Tildelingstype til Aktiv og oppgir en begrunnelse, for eksempel "Nødvendig for at eFeide skal kunne administrere brukerpassord".

  7. Klikk på Tildel for å fullføre rolletildelingen.


Merk: Hvis du bruker rolletildelbare grupper for brukere som administreres av eFeide eller eAdm, krever programmet i stedet rollen Privileged Authentication Administrator. Vennligst se: https://learn.microsoft.com/en-us/entra/identity/role-based-access-control/privileged-roles-permissions?tabs=admin-center#who-can-perform-sensitive-actions


Del 5: Send informasjon til Identum

Når konfigurasjonen er fullført, må du sende følgende informasjon til Identum for å fullføre oppsettet:

  • tenants navn (f.eks, yourcompany.onmicrosoft.com)

  • Katalog-ID (tenant)

  • Applikasjon (klient) ID

  • Kundehemmelighet


Advarsel: Av sikkerhetsgrunner må du sende klienthemmeligheten separat fra den øvrige informasjonen (f.eks. via SMS eller en annen sikker kanal).


Avansert konfigurasjon


Advarsel: Ikke utfør følgende trinn med mindre du har fått eksplisitt beskjed om å gjøre det av Identum, eller du er ekspertbruker.


Tilordne rettigheter i Exchange Online

Disse Rettighetne er bare nødvendige hvis eAdm eller eFeide skal administrere Exchange Online-funksjoner direkte, for eksempel distribusjonsgrupper eller e-postaktiverte sikkerhetsgrupper.

  1. Gå til API-rettigheter i applikasjonsregistreringen, og klikk på + Legg til en Rettighet.

  2. Bytt til fanen API-er som organisasjonen min bruker.

  3. Søk etter "Office", og velg Office 365 Exchange Online.

  4. Velg Programrettigheter.

  5. Velg den Exchange.ManageAsApp Rettighet og klikk på Legg til rettigheter.

  6. Gi administratorRettighet for den nye Rettighetn.

  7. Tildel applikasjonen rollen «Exchange-mottakeradministrator» via panelet «Roller og administratorer » i Entra ID. Dette vil gi den mulighet til å administrere Exchange-objekter.


Mail-aktiverte sikkerhetsgrupper:

For å administrere sikkerhetsgrupper med e-posttilgang kreves det en ekstra rolle («Opprettelse av sikkerhetsgrupper og medlemskap» i Exchange Online). Dette kan være litt kronglete å sette opp… Men nedenfor beskriver vi hvordan du legger til den enkelte rollen (du kan bruke tilpassede rollegrupper hvis du foretrekker det). Se https://learn.microsoft.com/en-us/exchange/permissions-exo/application-rbac for bakgrunnsinformasjon og ytterligere instruksjoner:

1. Opprett tjenesteoppdragsgiveren i Exchange Online

Først må du finne applikasjonens objekt-ID i Entra ID og bruke den til å registrere tjenesteenheten i Exchange Online. Dette trenger bare å gjøres én gang per applikasjon.

PowerShell
# Make sure you are connected to both services
# Connect-MgGraph -Scopes "Application.Read.All"
# Connect-ExchangeOnline

# --- Enter your Application (Client) ID here ---
$appId = "00000000-0000-0000-0000-000000000000"

# Find the application's details in Entra ID
$sp = Get-MgServicePrincipal -Filter "appId eq '$appId'"

# Create the service principal object within Exchange Online
# The -ErrorAction flag prevents an error if it already exists
New-ServicePrincipal -AppId $sp.AppId -ObjectId $sp.Id -DisplayName $sp.DisplayName -ErrorAction SilentlyContinue
2. Tilordne den enkelte rollen til applikasjonen


Nå kan du bruke New-ManagementRoleAssignment cmdlet med -App parameteren for å tilordne rollen direkte til tjenesteprinsipalen du nettopp har opprettet.

PowerShell
# Assign the role directly to the application
# Provide a unique name for the role assignment
New-ManagementRoleAssignment -App $appId -Role "Security Group Creation and Membership" -Name "App_SG_Creation_Membership_Direct_Assignment"

Programmet ditt har nå de spesifikke Exchange Online-Rettighetne til å administrere e-postaktiverte sikkerhetsgrupper.


Sertifikatbasert autentisering

Dette trinnet er kun nødvendig dersom Identum må kjøre tilpassede skript mot ditt Exchange Online- eller Entra ID-miljø. Dette brukes vanligvis til avanserte integrasjoner og vil bli koordinert direkte med deg.

  1. Et selvsignert sertifikat vil bli generert. Du vil få instruksjoner om hvordan dette gjøres.

  2. Gå til Sertifikater og hemmeligheter i applikasjonsregistreringen.

  3. Velg fanen Sertifikater, og klikk på Last opp sertifikat.

  4. Last opp den offentlige nøkkelfilen (.cer, .pem, eller .crt) som du har fått.


Vedlegg: Gjennomgang av nødvendige rettigheter

Tabellen nedenfor beskriver Microsoft Graph API-Rettighetne og årsaken til at de er påkrevd.

Rettighet

Hva det brukes til

Når det er nødvendig

User.Read.All

Les brukerprofiler som brukes til å sammenstille Entra ID-kontoer med eADM-poster og oppdage eksisterende kontoer.

Alltid. Hver Entra ID-synkronisering krever dette, selv i et oppsett som kun omfatter brukere.

User.ReadWrite.All

Opprett, oppdater og slett brukerkontoer.

Alltid, med mindre synkroniseringstrinnet er skrivebeskyttet (kun import, ingen oppretting).

Group.Read.All

Les om grupper og gruppeegenskaper.

Alltid påkrevd, uansett scenario — også ved import av kun brukere uten gruppetildeling. Synkroniseringsmotoren leser inn hele gruppelisten ved hver kjøring som et teknisk krav, uavhengig av om grupper faktisk importeres eller eksporteres.

Group.ReadWrite.All

Opprett, oppdater og slett grupper; brukes også til å aktivere Microsoft Teams for en gruppe.

Påkrevd hvis gruppekonfigurering eller «Teams-on-group» er aktivert. Ikke påkrevd for et oppsett som kun omfatter brukere — men Group.Read.All Ovennevnte er uansett påkrevd.

GroupMember.ReadWrite.All

Legg til/fjern gruppemedlemmer uten full skrivetilgang til gruppen.

Valgfritt alternativ til Group.ReadWrite.All hvis eADM kun skal administrere medlemskap, ikke gruppegenskaper eller eierskap.

User.EnableDisableAccount.All

Aktiver/deaktiver en brukerkonto (f.eks. ved permisjon/tilbakevending eller oppsigelse).

Kravet gjelder kun dersom reaktivering/deaktivering av konto inngår i kundens livssyklus. Ikke nødvendig ved ren opprettelse/oppdatering.

Directory.ReadWrite.All

Utvidet lese- og skriveadgang til brukere og grupper; omfatter også gjenoppretting av en tidligere slettet bruker.

Valgfritt. Kreves kun dersom gjenoppretting av midlertidig slettede kontoer inngår i omfanget, og kun som et alternativ til User.ReadWrite.All for akkurat den handlingen.

AuditLog.Read.All

Les innloggingsaktivitet (siste innlogging) og status for MFA-registrering.

Kravet gjelder kun hvis synkronisering av siste pålogging eller MFA-status er konfigurert.

UserAuthenticationMethod.ReadWrite.All

Administrere en brukers autentiseringsmetoder (f.eks. registrere et telefonnummer for MFA, utstede et midlertidig tilgangskort).

Kravet gjelder kun dersom eADM administrerer MFA-metoder eller utsteder midlertidige tilgangskort. Gir omfattende kontroll over brukerens påloggingssikkerhet – les nøye gjennom før du gir tillatelse.

Reports.Read.All

Les rapporter om postkassens størrelse og bruk.

Kravet gjelder kun hvis synkronisering av postkassestørrelse er konfigurert.

LicenseAssignment.Read.All (eller Directory.Read.All / Directory.ReadWrite.All)

Les inn oppgitt lisens-/SKU-informasjon.

Kravet gjelder kun hvis synkronisering av lisensnavn eller lisens-ID er konfigurert.

Exchange.ManageAsApp (Exchange Online, ikke Graph)

Administrer distribusjonslister og sikkerhetsgrupper med e-postfunksjonalitet.

Kravet gjelder kun hvis eADM administrerer e-postgrupper på Exchange-siden. Krever en egen rolletildeling i Exchange Online – se «Avansert konfigurasjon».

Konfigurering av Microsoft Teams skjer via en egenskap i en gruppe (Teams aktiveres i en gruppe som eADM allerede har opprettet), ikke som en frittstående Team-ressurs. Group.ReadWrite.All det er nok med det alene — ingen egen Teams-tillatelse (Team.Create, Team.ReadBasic.All, TeamTemplates.ReadAll) er nødvendig.

Bruksscenario

Tillatelser som skal gis

Importer kun eksisterende brukere (ingen oppretting/oppdatering/sletting)

User.Read.All og Group.Read.All. Group.Read.All er påkrevd selv i dette skrivebeskyttede tilfellet — synkroniseringsmotoren leser gruppelisten ved hver kjøring, uavhengig av omfang.

Brukere med tilgang, ingen grupper, ingen reaktivering

User.Read.All, User.ReadWrite.All, Group.Read.All (alltid påkrevd, selv uten gruppesynkronisering)

Hele brukerens livssyklus (opprettelse, oppdatering, deaktivering/reaktivering)

Legg til User.EnableDisableAccount.All

+ Gruppekonfigurering (inkl. Teams-on-group)

Legg til Group.ReadWrite.All (eller GroupMember.ReadWrite.All (kun for medlemmer)

+ Rapportering av siste pålogging eller MFA-status

Legg til AuditLog.Read.All

+ Administrasjon av MFA-metoder

Legg til UserAuthenticationMethod.ReadWrite.All (sensitivt — må gjennomgås sammen med sikkerhetsteamet)

+ Rapportering av postkassestørrelse

Legg til Reports.Read.All

+ Rapportering av lisenser

Legg til LicenseAssignment.Read.All

+ Sikkerhetsgrupper og distribusjonslister med e-postfunksjonalitet

Legg til Exchange.ManageAsApp + Exchange Online-rolle (se «Avansert konfigurasjon»)

Group.Read.All er alltid påkrevd i alle bruksscenariene ovenfor – inkludert importen i skrivebeskyttet modus – fordi synkroniseringsmotoren leser hele gruppelisten ved hver kjøring som et teknisk krav, uavhengig av om det dreier seg om gruppetildeling eller import. En integrasjon som utelukkende omfatter brukere, uten tilgang til grupper, er foreløpig ikke mulig.

Sist oppdatert: