Log ind med Entra ID og AD FS
Medarbejderne i jeres organisation kan logge ind i komplai med deres Microsoft-arbejdskonto gennem Microsoft Entra ID eller AD FS. komplai sætter forbindelsen op sammen med jeres IT: I opretter en appregistrering i Entra ID eller en relying party trust i AD FS, sender komplai nogle få oplysninger, og komplai forbinder den med jeres organisation. Det står også i hubben under Organisation › Login og sikkerhed › Login (/settings/sso).
Sådan foregår login
- Medarbejderne logger ind på hub.komplai.dk med deres arbejdsmail. komplais loginservice på
auth.komplai.dksender dem videre til Microsoft og tager imod dem igen, når de er logget ind dér. Loginservicen kører på komplais servere i Tyskland. - Jeres egne Microsoft-politikker, fx betinget adgang (Conditional Access) og Microsofts MFA, gælder, mens medarbejderne logger ind hos Microsoft.
- Kun personer, I inviterer, får adgang. Et Microsoft-login giver ikke i sig selv adgang til jeres organisation i komplai. Invitationer forklarer, hvordan folk kommer med.
Før I går i gang
Aftal med komplai:
- om I forbinder Entra ID eller AD FS
- om medarbejderne stadig må logge ind med adgangskode ved siden af Microsoft-login, eller kun gennem Microsoft
- hvem i jeres IT komplai arbejder sammen med
Åbn derefter /settings/sso, fold Tekniske detaljer ud, og kopiér Organisationens kortnavn og ID i loginsystemet. komplai bruger dem til at forbinde den rigtige organisation.
Microsoft Entra ID
I opretter en appregistrering for én tenant. komplais loginservice bruger den til at sende medarbejderne til Microsoft og til at læse deres grundlæggende profil.
- Gå til App registrations i Microsoft Entra admin center, og vælg New registration.
- Giv den et navn, medarbejderne kan genkende, fx
komplai. - Vælg Accounts in this organizational directory only under Supported account types.
- Vælg Web under Redirect URI, og skriv den redirect URI, komplai giver jer til jeres organisation. Vælg Register.
- Kontrollér under API permissions, at Microsoft Graph har de delegerede tilladelser
openid,profile,emailogUser.Read. Må jeres brugere ikke selv give samtykke til apps, så vælg Grant admin consent. - Opret en ny klienthemmelighed (client secret) under Certificates & secrets. Kopiér dens Value med det samme, for Entra viser den kun én gang, og notér, hvornår den udløber.
- Kopiér Directory (tenant) ID og Application (client) ID under Overview.
Send komplai disse oplysninger:
| Oplysning | Hvor du finder den |
|---|---|
| Directory (tenant) ID | Overview |
| Application (client) ID | Overview |
| Klienthemmelighedens værdi | Certificates & secrets |
| Klienthemmelighedens udløbsdato | Certificates & secrets |
Send klienthemmeligheden som et engangslink, fx fra secret, og aldrig i selve mailen. Tenant-id og klient-id er ikke hemmelige. komplais loginservice gemmer klienthemmeligheden krypteret.
Klienthemmeligheden udløber
Login gennem Entra ID holder op med at virke den dag, klienthemmeligheden udløber. Opret en ny hemmelighed i god tid før, og send den til komplai på samme måde. Slet den gamle, når komplai har bekræftet, at den nye er i brug.
Forbindelsen beder Microsoft om openid, profile, email og User.Read: personens grundlæggende profil, fx navn og mailadresse. Den opretter aldrig konti, og den kobler ikke en Microsoft-konto til en konto i komplai, bare fordi mailadresserne er ens.
AD FS
AD FS forbindes over SAML, med komplai som relying party trust. komplai opretter sin side først, fordi jeres relying party trust bygges ud fra komplais metadata.
- Send komplai adressen på jeres AD FS-federationsmetadata, normalt
https://<jeres AD FS-vært>/FederationMetadata/2007-06/FederationMetadata.xml. Kan adressen ikke nås fra internettet, så send metadatafilen i stedet. - komplai opretter forbindelsen og sender jer adressen på sin metadata.
- Vælg Add Relying Party Trust i AD FS Management, vælg Claims aware, og importér oplysningerne fra komplais metadataadresse. Kald trusten
komplai. - Vælg en adgangspolitik (access control policy). Permit everyone lader alle i jeres katalog fortsætte til komplai, hvor kun inviterede kommer ind. En politik for en gruppe begrænser Microsoft-login til den gruppe.
- Tilføj regler under claim issuance policy, der sender de claims, komplai nævner sammen med sin metadata. Det er som regel dem i tabellen herunder.
- Giv komplai besked, når trusten er klar.
| Claim | Hvad der sendes |
|---|---|
| Name ID | En værdi, der ikke ændrer sig for personen, fx user principal name, i det Name ID-format, komplais metadata angiver |
| E-Mail Address | Personens arbejdsmail (E-Mail-Addresses) |
| Given Name | Given-Name |
| Surname | Surname |
Certifikater til tokensignering
komplai gemmer en kopi af jeres federationsmetadata, også certifikatet til tokensignering. Når AD FS opretter et nyt certifikat til tokensignering, så giv komplai besked, før det bliver det primære certifikat, så login bliver ved med at virke.
Afprøv, før I inviterer
Afprøv forbindelsen med én person, før I inviterer andre med den.
- Vent, til komplai melder, at forbindelsen er klar.
- Åbn Invitér en kollega under Medlemmer (
/team), og skriv mailadressen på én kollega, fx fra IT. - Fold linjen Login over Send invitation ud (den viser jeres nuværende standard), vælg Organisationens login (SSO) som Loginmetode, og vælg Send invitation.
- Kollegaen åbner invitationsmailen, skriver sit navn, vælger Log ind og logger ind med sin Microsoft-arbejdskonto.
- Afprøvningen er lykkedes, når kollegaen lander i komplai.
Gør det derefter til standard for nye invitationer: Vælg Organisationens login (SSO) under Loginmetode for nye invitationer på /settings/sso, og vælg Gem loginmetode. Du kan stadig vælge en anden metode ved hver invitation. Medlemmer, der allerede har en konto, beholder deres loginmetode.
Tofaktorgodkendelse
Under Tofaktorgodkendelse på /settings/sso vælger I, hvem der skal bruge den:
- Kræv tofaktorgodkendelse for administratorer
- Kræv tofaktorgodkendelse for medlemmer og gæster
Kravet følger personens rolle, uanset hvordan personen logger ind. En person, som kravet gælder for, og som logger ind med Microsoft, bliver bedt om sin anden faktor i komplai efter Microsoft-login, ud over det, jeres Microsoft-politikker kræver. De berørte opsætter en godkendelsesapp eller en sikkerhedsnøgle ved næste login. Er en person med i flere organisationer i komplai, gælder det strengeste krav.
For at gemme en ændring skal du have logget ind for nylig: Er dit login mere end fem minutter gammelt, beder hubben dig bekræfte det. For at slå et krav fra, mens administratorer skal bruge tofaktorgodkendelse, bekræfter du med tofaktorgodkendelse.
Få det sat op
Kontakt os for at forbinde Entra ID eller AD FS, eller brug Kontakt os om SSO på /settings/sso. Send de to oplysninger fra Tekniske detaljer med.