Hvordan konfigurere Azure AD for integrasjon

Denne veiledningen beskriver hvordan du klargjør Microsoft Azure Active Directory (AD) for integrering med eAdm eller eFeide. Prosessen innebærer å opprette en applikasjonsregistrering og deretter tildele de nødvendige tillatelsene.

Du kan trygt ignorere avsnittet om avansert konfigurasjon, med mindre du har fått spesifikke instruksjoner fra Identum.

Del 1: Opprett en Azure AD-applikasjonsregistrering

1. Logg på Azure-portalen med en administratorkonto.

2. Naviger til Azure Active Directory.

3. Velg Appregistreringer i menyen til venstre, og klikk deretter på + Ny registrering.

4. På siden "Registrer en applikasjon" konfigurerer du følgende innstillinger:

   • Navn: Skriv inn et beskrivende navn for applikasjonen. For eksempel Identum eFeide-eAdm User and Group Management.

   • Kontotyper som støttes: Velg Kontoer kun i denne organisasjonskatalogen (Single tenant).

   • Omdiriger URI: La dette feltet stå tomt.

5. Klikk på Registrer for å opprette søknaden.

6. Når applikasjonen er opprettet, kopierer du applikasjons-ID (klient) og katalog-ID (tenant ) fra applikasjonens "Oversikt"-side. Lagre disse verdiene for senere bruk.

Del 2: Tildel API-tillatelser

Deretter må du gi applikasjonen de nødvendige API-tillatelsene til å administrere brukere og grupper.

1. I den nye applikasjonsregistreringen navigerer du til API-tillatelser i menyen til venstre.

2. Klikk på + Legg til en tillatelse.

3. Velg Microsoft Graph.

4. Velg Programtillatelser.

5. Legg til følgende tillatelser:

   • Directory.Read.All

   • Directory.ReadWrite.All

   • Group.Create

   • Group.Read.All

   • Group.ReadWrite.All

   • GroupMember.ReadWrite.All

   • User.Read.All

   • User.ReadWrite.All

   • User.EnableDisableAccount.All

6. Legg også til følgende tillatelser hvis de er relevante for dine spesifikke behov:

   • AuditLog.Read.All: Påkrevd hvis du ønsker å synkronisere lastLogonTimeStamp attributtet til eAdm.

   • UserAuthenticationMethod.ReadWrite.All: Påkrevd hvis eAdm skal administrere MFA-metoder for brukere.

   • Team.Create: Påkrevd hvis eAdm skal opprette nye team.

   • Team.ReadBasic.All: Påkrevd hvis eAdm skal lese grunnleggende teaminformasjon.

   • Teamwork.Migrate.All: Påkrevd for visse migreringsscenarier.

   • TeamTemplates.ReadAll: Påkrevd hvis eAdm skal bruke teammaler.

7. Når du har lagt til tillatelsene, klikker du på Legg til tillatelser.

8. På API-tillatelsesskjermbildet klikker du på Gi administratorsamtykke for [Ditt tenantnavn] og bekrefter når du blir bedt om det.

Del 3: Opprett en klienthemmelighet

En klienthemmelighet er et passord som applikasjonen bruker for å autentisere seg selv.

1. Gå til Sertifikater og hemmeligheter i menyen til venstre.

2. Klikk på + Ny klienthemmelighet.

3. Skriv inn en beskrivelse for hemmeligheten, og sett utløpsperioden til 24 måneder.

4. Klikk på Legg til.

5. Kopier umiddelbart verdien av den nye klienthemmeligheten fra Verdi-feltet.

Del 4: Tilordne en administratorrolle

For å utføre sensitive handlinger som å endre passord eller oppdatere brukerens telefonnummer, trenger applikasjonen en administrativ rolle.

1. Gå til Azure Active Directory i Azure-portalen.

2. Velg Roller og administratorer.

3. Finn og velg rollen Brukeradministrator.

4. Klikk på Legg til oppgaver.

5. Søk etter og velg programmet du opprettet tidligere (f.eks, Identum eFeide-eAdm User and Group Management).

6. På neste skjermbilde angir du Tildelingstype til Aktiv og oppgir en begrunnelse, for eksempel "Nødvendig for at eFeide skal kunne administrere brukerpassord".

7. Klikk på Tildel for å fullføre rolletildelingen.

Del 5: Send informasjon til Identum

Når konfigurasjonen er fullført, må du sende følgende informasjon til Identum for å fullføre oppsettet:

• tenants navn (f.eks, yourcompany.onmicrosoft.com)

• Katalog-ID (tenant)

• Applikasjon (klient) ID

• Kundehemmelighet

Avansert konfigurasjon

Tilordne tillatelser i Exchange Online

Disse tillatelsene er bare nødvendige hvis eAdm eller eFeide skal administrere Exchange Online-funksjoner direkte, for eksempel distribusjonsgrupper eller e-postaktiverte sikkerhetsgrupper.

1. Gå til API-tillatelser i applikasjonsregistreringen, og klikk på + Legg til en tillatelse.

2. Bytt til fanen API-er som organisasjonen min bruker.

3. Søk etter "Office", og velg Office 365 Exchange Online.

4. Velg Programtillatelser.

5. Velg den Exchange.ManageAsApp tillatelse og klikk på Legg til tillatelser.

6. Gi administratortillatelse for den nye tillatelsen.

7. Tildel applikasjonen rollen Exchange-mottakeradministrator via panelet Roller og administratorer i Azure AD. Dette vil gjøre det mulig å administrere Exchange-objekter.

Mail-aktiverte sikkerhetsgrupper:

Håndtering av e-postaktiverte sikkerhetsgrupper krever en ekstra rolle ("Security Group Creation and Membership" i Exchange Online. Dette kan være litt vanskelig å sette opp. Men nedenfor beskriver vi hvordan du legger til den enkelte rollen (du kan bruke egendefinerte rollegrupper hvis du foretrekker det). Se https://le arn.microsoft.com/en-us/exchange/permissions-exo/application-rbac for bakgrunn og ytterligere instruksjoner:

1. Opprett tjenesteoppdragsgiveren i Exchange Online

Først finner du applikasjonens Object ID fra Azure AD og bruker den til å registrere tjenesteprinsipalen i Exchange Online. Dette trenger bare å gjøres én gang per applikasjon.

PowerShell

# Make sure you are connected to both services
# Connect-MgGraph -Scopes "Application.Read.All"
# Connect-ExchangeOnline

# --- Enter your Application (Client) ID here ---
$appId = "00000000-0000-0000-0000-000000000000"

# Find the application's details in Azure AD
$sp = Get-MgServicePrincipal -Filter "appId eq '$appId'"

# Create the service principal object within Exchange Online
# The -ErrorAction flag prevents an error if it already exists
New-ServicePrincipal -AppId $sp.AppId -ObjectId $sp.Id -DisplayName $sp.DisplayName -ErrorAction SilentlyContinue

2. Tilordne den enkelte rollen til applikasjonen

Nå kan du bruke New-ManagementRoleAssignment cmdlet med -App parameteren for å tilordne rollen direkte til tjenesteprinsipalen du nettopp har opprettet.

PowerShell

# Assign the role directly to the application
# Provide a unique name for the role assignment
New-ManagementRoleAssignment -App $appId -Role "Security Group Creation and Membership" -Name "App_SG_Creation_Membership_Direct_Assignment"

Programmet ditt har nå de spesifikke Exchange Online-tillatelsene til å administrere e-postaktiverte sikkerhetsgrupper.

Sertifikatbasert autentisering

Dette trinnet er bare nødvendig hvis Identum trenger å kjøre tilpassede skript mot Exchange Online- eller Azure AD-miljøet ditt. Dette brukes vanligvis for avanserte integrasjoner og vil bli koordinert direkte med deg.

1. Et selvsignert sertifikat vil bli generert. Du vil få instruksjoner om hvordan dette gjøres.

2. Gå til Sertifikater og hemmeligheter i applikasjonsregistreringen.

3. Velg fanen Sertifikater, og klikk på Last opp sertifikat.

4. Last opp den offentlige nøkkelfilen (.cer, .pem, eller .crt) som du har fått.

Vedlegg: Gjennomgang av nødvendige tillatelser

Tabellen nedenfor beskriver Microsoft Graph API-tillatelsene og årsaken til at de er påkrevd.

Sist oppdatert: 10. november 2025