Inga åtgärder behövs: Den allvarliga säkerhetsbristen i PHP som just nu är på allas läppar påverkar inte Identums tjänster. eADM och eFeide är inte byggda på PHP, och vi använder inte PHP i något av våra system.
Navigationsspår

Så här konfigurerar du Entra ID för integration

Den här guiden beskriver hur man förbereder Microsoft Entra ID för integration med eAdm eller eFeide. Processen innebär att man skapar en applikationsregistrering och sedan tilldelar nödvändiga behörigheter.

Du kan lugnt ignorera avsnittet om avancerad konfiguration om du inte fått särskilda instruktioner från Identum.


Del 1: Skapa en registrering för Entra ID-applikationen

  1. Logga in på Azure-portalen med ett administratörskonto.

  2. Gå till Entra ID.

  3. Välj Appregistrations i menyn till vänster och klicka sedan på + New registration.

  4. På sidan "Register an application" (Registrera en ansökan) gör du följande inställningar:

    • Namn: Ange ett beskrivande namn för applikationen. Till exempel: Identum eFeide-eAdm User and Group Management.

    • Kontotyper som stöds: Välj Accounts in this organizational directory only (Single tenant).

    • Omdirigera URI: Lämna detta fält tomt.

  5. Klicka på Register för att skapa ansökan.

  6. När applikationen har skapats kopierar du Application (client) ID och Directory (tenant) ID från applikationens "Overview"-sida. Spara dessa värden för senare användning.


Varning: Använd inte snedstreck (/) i applikationsnamnet, eftersom detta kan orsaka problem i Entra ID.


Del 2: Tilldela API-behörigheter

Därefter måste du ge programmet de API-behörigheter som krävs för att hantera användare och grupper.

  1. I din nya programregistrering navigerar du till API-behörigheter i menyn till vänster.

  2. Klicka på + Lägg till en behörighet.

  3. Välj Microsoft Graph.

  4. Välj Programbehörigheter.

  5. Lägg till följande behörigheter:

    • Directory.Read.All

    • Directory.ReadWrite.All

    • Group.Create

    • Group.Read.All

    • Group.ReadWrite.All

    • GroupMember.ReadWrite.All

    • User.Read.All

    • User.ReadWrite.All

    • User.EnableDisableAccount.All

  6. Lägg också till följande behörigheter om de är relevanta för dina specifika behov:

    • AuditLog.Read.All: Krävs om du vill synkronisera lastLogonTimeStamp tilldela eAdm, eller synkronisera statusen för MFA-registreringen.

    • UserAuthenticationMethod.ReadWrite.All: Krävs om eAdm ska hantera MFA-metoder för användare.

    • Reports.Read.All: Krävs om eAdm ska synkronisera postlådans storlek till eAdm.

    • LicenseAssignment.Read.All: Krävs om eAdm ska synkronisera tilldelade licensnamn/ID:n till eAdm.

  7. När du har lagt till behörigheterna klickar du på Lägg till behörigheter.

  8. På skärmen API-behörigheter klickar du på Grant admin consent for [Your Tenant Name] och bekräftar när du uppmanas till det.


Observera: De behörigheter som anges i fetstil är obligatoriska för grundläggande integration. De övriga krävs för specifika, vanliga scenarier.


Del 3: Skapa en klienthemlighet

En klienthemlighet är ett lösenord som programmet använder för att autentisera sig.

  1. Navigera till Certifikat & hemligheter i menyn till vänster.

  2. Klicka på + Ny klienthemlighet.

  3. Ange en beskrivning för hemligheten och ställ in utgångsperioden till 24 månader.

  4. Klicka på Lägg till.

  5. Kopiera omedelbart värdet för den nya klienthemligheten från fältet Value.


Varning för detta: Klientens hemliga värde visas endast i sin helhet omedelbart efter skapandet. Om du inte kopierar det nu måste du skapa ett nytt. Förvara detta värde på ett säkert sätt.

Obs: Om Privileged Identity Management (PIM) är aktivt i din miljö kanske du inte kan ange ett fast utgångsdatum.


Del 4: Tilldela en administratörsroll

För att utföra känsliga åtgärder som att ändra lösenord eller uppdatera användares telefonnummer behöver programmet en administrativ roll.

  1. I Azure-portalen går du till Entra ID.

  2. Välj Roller och administratörer.

  3. Leta upp och välj rollen User Administrator.

  4. Klicka på Lägg till uppdrag.

  5. Sök efter och välj det program som du skapade tidigare (t.ex, Identum eFeide-eAdm User and Group Management).

  6. På nästa skärm ställer du in Tilldelningstyp till Aktiv och anger en motivering, t.ex. "Krävs för att eFeide ska kunna hantera användarlösenord".

  7. Klicka på Assign för att slutföra rolltilldelningen.


Obs: Om du använder rolltilldelningsbara grupper för alla användare som hanteras av eFeide eller eAdm, kräver programmet rollen Privileged Authentication Administrator istället. Vänligen se: https://learn.microsoft.com/en-us/entra/identity/role-based-access-control/privileged-roles-permissions?tabs=admin-center#who-can-perform-sensitive-actions


Del 5: Skicka information till Identum

När konfigurationen är klar måste du skicka följande information till Identum för att slutföra installationen:

  • Tenantens namn (t.ex., yourcompany.onmicrosoft.com)

  • Directory (Tenant) ID

  • Applikation (klient) ID

  • Klienthemlighet


Varning för detta: Av säkerhetsskäl bör du skicka klienthemligheten separat från övrig information (t.ex. via SMS eller annan säker kanal).


Avancerad konfiguration


Varning för detta: Utför inte följande steg om du inte uttryckligen har blivit instruerad att göra det av Identum eller om du inte är en expertanvändare.


Tilldela behörigheter i Exchange Online

Dessa behörigheter krävs endast om eAdm eller eFeide ska hantera Exchange Online-funktioner direkt, t.ex. distributionsgrupper eller e-postaktiverade säkerhetsgrupper.

  1. I din programregistrering går du till API-behörigheter och klickar på + Lägg till en behörighet.

  2. Byt till fliken API:er som min organisation använder.

  3. Sök efter "Office" och välj Office 365 Exchange Online.

  4. Välj Programbehörigheter.

  5. Välj den Exchange.ManageAsApp behörighet och klicka på Lägg till behörigheter.

  6. Ge administratörsgodkännande för den nya behörigheten.

  7. Tilldela applikationen rollen ”Exchange-mottagaradministratör” via panelen ”Roller och administratörer” i Entra ID. Detta gör det möjligt för applikationen att hantera Exchange-objekt.


Mail-aktiverade säkerhetsgrupper:

För att hantera säkerhetsgrupper med e-postfunktion krävs en ytterligare roll (”Security Group Creation and Membership” i Exchange Online). Det kan vara lite krångligt att konfigurera detta... Men nedan beskriver vi hur man lägger till den enskilda rollen (du kan använda anpassade rollgrupper om du föredrar det). Se https://learn.microsoft.com/en-us/exchange/permissions-exo/application-rbac för bakgrundsinformation och ytterligare instruktioner:

1. Skapa Service Principal i Exchange Online

Börja med att ta reda på din applikations objekt-ID från Entra ID och använd det för att registrera tjänsteenheten i Exchange Online. Detta behöver endast göras en gång per applikation.

PowerShell
# Make sure you are connected to both services
# Connect-MgGraph -Scopes "Application.Read.All"
# Connect-ExchangeOnline

# --- Enter your Application (Client) ID here ---
$appId = "00000000-0000-0000-0000-000000000000"

# Find the application's details in Entra ID
$sp = Get-MgServicePrincipal -Filter "appId eq '$appId'"

# Create the service principal object within Exchange Online
# The -ErrorAction flag prevents an error if it already exists
New-ServicePrincipal -AppId $sp.AppId -ObjectId $sp.Id -DisplayName $sp.DisplayName -ErrorAction SilentlyContinue
2. Tilldela den enskilda rollen till applikationen


Nu kan du använda New-ManagementRoleAssignment cmdlet med kommandot -App för att tilldela rollen direkt till den serviceprincipal som du just har skapat.

PowerShell
# Assign the role directly to the application
# Provide a unique name for the role assignment
New-ManagementRoleAssignment -App $appId -Role "Security Group Creation and Membership" -Name "App_SG_Creation_Membership_Direct_Assignment"

Ditt program har nu de specifika Exchange Online-behörigheterna för att hantera e-postaktiverade säkerhetsgrupper.


Certifikatbaserad autentisering

Detta steg är endast nödvändigt om Identum behöver köra anpassade skript mot din Exchange Online- eller Entra ID-miljö. Detta används vanligtvis för avancerade integrationer och kommer att samordnas direkt med dig.

  1. Ett självsignerat certifikat kommer att genereras. Du kommer att få instruktioner om hur detta görs.

  2. I applikationsregistreringen navigerar du till Certifikat & hemligheter.

  3. Välj fliken Certifikat och klicka på Ladda upp certifikat.

  4. Ladda upp filen med den offentliga nyckeln (.cer, .pem, eller .crt) som tillhandahålls dig.


Bilaga: Genomgång av nödvändiga behörigheter

I följande tabell beskrivs behörigheterna för Microsoft Graph API och anledningen till att de krävs.

Tillstånd

Vad det används till

När det krävs

User.Read.All

Läs användarprofiler som används för att jämföra Entra ID-konton med eADM-poster och identifiera befintliga konton.

Alltid. Varje Entra ID-synkronisering kräver detta, även i en konfiguration som endast omfattar användare.

User.ReadWrite.All

Skapa, uppdatera och ta bort användarkonton.

Alltid, såvida inte synkroniseringssteget är skrivskyddat (endast import, ingen tilldelning).

Group.Read.All

Läs om grupper och gruppegenskaper.

Krävs alltid, i alla scenarier – även vid en import som endast omfattar användare utan grupphantering. Synkroniseringsmotorn läser in hela grupplistan vid varje körning av tekniska skäl, oavsett om grupper faktiskt importeras eller exporteras.

Group.ReadWrite.All

Skapa, uppdatera och ta bort grupper; används även för att aktivera Microsoft Teams för en grupp.

Krävs om gruppkonfigurering eller Teams-on-group är aktiverat. Krävs inte vid en konfiguration som endast omfattar användare — men Group.Read.All Ovanstående krävs i alla fall.

GroupMember.ReadWrite.All

Lägg till/ta bort gruppmedlemmar utan fullständig skrivbehörighet för gruppen.

Ett valfritt alternativ till Group.ReadWrite.All om eADM endast ska hantera medlemskap, inte gruppegenskaper eller ägarskap.

User.EnableDisableAccount.All

Aktivera/inaktivera ett användarkonto (t.ex. vid ledighet/återkomst eller uppsägning).

Krävs endast om återaktivering/avaktivering av kontot ingår i kundens livscykel. Behövs inte vid vanlig skapande/uppdatering.

Directory.ReadWrite.All

Utökade läs- och skrivrättigheter för användare och grupper; omfattar även återställning av en tidigare raderad användare.

Valfritt. Behövs endast om återställning av tillfälligt raderade konton ingår i tillämpningsområdet, och endast som ett alternativ till User.ReadWrite.All för just den åtgärden.

AuditLog.Read.All

Läs inloggningsaktivitet (senaste inloggning) och status för MFA-registrering.

Krävs endast om synkronisering av senaste inloggning eller MFA-status är konfigurerad.

UserAuthenticationMethod.ReadWrite.All

Hantera en användares autentiseringsmetoder (t.ex. registrera ett telefonnummer för MFA, utfärda ett tillfälligt åtkomstkort).

Krävs endast om eADM hanterar MFA-metoder eller utfärdar tillfälliga åtkomstkort. Ger omfattande kontroll över en användares inloggningssäkerhet – granska noggrant innan du beviljar behörigheten.

Reports.Read.All

Läs rapporter om postlådans storlek och användning.

Krävs endast om synkronisering av postlådans storlek har konfigurerats.

LicenseAssignment.Read.All (eller Directory.Read.All / Directory.ReadWrite.All)

Läs in information om tilldelad licens/SKU.

Krävs endast om synkronisering av licensnamn eller licens-ID har konfigurerats.

Exchange.ManageAsApp (Exchange Online, inte Graph)

Hantera distributionslistor och e-postaktiverade säkerhetsgrupper.

Krävs endast om eADM hanterar e-postgrupper på Exchange-sidan. Kräver en separat rolltilldelning i Exchange Online – se Avancerad konfiguration.

Konfigurationen av Microsoft Teams sker via en egenskap i en grupp (Teams aktiveras i en grupp som eADM redan har skapat), inte som en fristående Teams-resurs. Group.ReadWrite.All det räcker med det – ingen separat behörighet för Teams (Team.Create, Team.ReadBasic.All, TeamTemplates.ReadAll) krävs.

Användningsfall

Behörigheter som ska beviljas

Importera endast befintliga användare (inga funktioner för att skapa, uppdatera eller ta bort)

User.Read.All och Group.Read.All. Group.Read.All krävs även i detta skrivskyddade fall — synkroniseringsmotorn läser grupplistan vid varje körning, oavsett tillämpningsområde.

Användare med behörighet, inga grupper, ingen återaktivering

User.Read.All, User.ReadWrite.All, Group.Read.All (krävs alltid, även utan gruppsynkronisering)

Hela användarens livscykel (skapa, uppdatera, inaktivera/återaktivera)

Lägg till User.EnableDisableAccount.All

+ Gruppkonfiguration (inkl. Teams-on-group)

Lägg till Group.ReadWrite.All (eller GroupMember.ReadWrite.All (endast för medlemmar)

+ Rapportering av senaste inloggning eller MFA-status

Lägg till AuditLog.Read.All

+ Hantering av MFA-metoder

Lägg till UserAuthenticationMethod.ReadWrite.All (känslig information – granska tillsammans med säkerhetsteamet)

+ Rapportering av postlådans storlek

Lägg till Reports.Read.All

+ Rapportering av licenser

Lägg till LicenseAssignment.Read.All

+ Säkerhetsgrupper och distributionslistor med e-postfunktion

Lägg till Exchange.ManageAsApp + Exchange Online-roll (se Avancerad konfiguration)

Group.Read.All krävs alltid i alla ovanstående användningsfall – inklusive fallet med skrivskyddad import – eftersom synkroniseringsmotorn av tekniska skäl läser in hela grupplistan vid varje körning, oavsett om det gäller grupptilldelning eller import. En integration som strikt endast omfattar användare, utan någon tillgång till grupper, är för närvarande inte möjlig.

Senast uppdaterad: