# Log ind med Entra ID og AD FS

> Lad medarbejderne logge ind i komplai med deres Microsoft-arbejdskonto. I forbereder Entra ID eller AD FS, og komplai sætter forbindelsen op sammen med jeres IT.

Medarbejderne i jeres organisation kan logge ind i komplai med deres Microsoft-arbejdskonto gennem Microsoft Entra ID eller AD FS. komplai sætter forbindelsen op sammen med jeres IT: I opretter en appregistrering i Entra ID eller en relying party trust i AD FS, sender komplai nogle få oplysninger, og komplai forbinder den med jeres organisation. Det står også i hubben under **Organisation › Login og sikkerhed › Login** (`/settings/sso`).

## Sådan foregår login

- Medarbejderne logger ind på hub.komplai.dk med deres arbejdsmail. komplais loginservice på `auth.komplai.dk` sender dem videre til Microsoft og tager imod dem igen, når de er logget ind dér. Loginservicen kører på komplais servere i Tyskland.
- Jeres egne Microsoft-politikker, fx betinget adgang (Conditional Access) og Microsofts MFA, gælder, mens medarbejderne logger ind hos Microsoft.
- Kun personer, I inviterer, får adgang. Et Microsoft-login giver ikke i sig selv adgang til jeres organisation i komplai. [Invitationer](https://developers.komplai.dk/da/guides/invitations) forklarer, hvordan folk kommer med.

## Før I går i gang

Aftal med komplai:

- om I forbinder Entra ID eller AD FS
- om medarbejderne stadig må logge ind med adgangskode ved siden af Microsoft-login, eller kun gennem Microsoft
- hvem i jeres IT komplai arbejder sammen med

Åbn derefter `/settings/sso`, fold **Tekniske detaljer** ud, og kopiér **Organisationens kortnavn** og **ID i loginsystemet**. komplai bruger dem til at forbinde den rigtige organisation.

## Microsoft Entra ID

I opretter en appregistrering for én tenant. komplais loginservice bruger den til at sende medarbejderne til Microsoft og til at læse deres grundlæggende profil.

1. Gå til **App registrations** i Microsoft Entra admin center, og vælg **New registration**.
2. Giv den et navn, medarbejderne kan genkende, fx `komplai`.
3. Vælg **Accounts in this organizational directory only** under **Supported account types**.
4. Vælg **Web** under **Redirect URI**, og skriv den redirect URI, komplai giver jer til jeres organisation. Vælg **Register**.
5. Kontrollér under **API permissions**, at Microsoft Graph har de delegerede tilladelser `openid`, `profile`, `email` og `User.Read`. Må jeres brugere ikke selv give samtykke til apps, så vælg **Grant admin consent**.
6. Opret en ny klienthemmelighed (client secret) under **Certificates & secrets**. Kopiér dens **Value** med det samme, for Entra viser den kun én gang, og notér, hvornår den udløber.
7. Kopiér **Directory (tenant) ID** og **Application (client) ID** under **Overview**.

Send komplai disse oplysninger:

| Oplysning | Hvor du finder den |
| --- | --- |
| Directory (tenant) ID | Overview |
| Application (client) ID | Overview |
| Klienthemmelighedens værdi | Certificates & secrets |
| Klienthemmelighedens udløbsdato | Certificates & secrets |

Send klienthemmeligheden som et engangslink, fx fra [secret](https://secret.komplai.dk), og aldrig i selve mailen. Tenant-id og klient-id er ikke hemmelige. komplais loginservice gemmer klienthemmeligheden krypteret.

> **Klienthemmeligheden udløber**
>
> Login gennem Entra ID holder op med at virke den dag, klienthemmeligheden udløber. Opret en ny hemmelighed i god tid før, og send den til komplai på samme måde. Slet den gamle, når komplai har bekræftet, at den nye er i brug.

Forbindelsen beder Microsoft om `openid`, `profile`, `email` og `User.Read`: personens grundlæggende profil, fx navn og mailadresse. Den opretter aldrig konti, og den kobler ikke en Microsoft-konto til en konto i komplai, bare fordi mailadresserne er ens.

## AD FS

AD FS forbindes over SAML, med komplai som relying party trust. komplai opretter sin side først, fordi jeres relying party trust bygges ud fra komplais metadata.

1. Send komplai adressen på jeres AD FS-federationsmetadata, normalt `https://<jeres AD FS-vært>/FederationMetadata/2007-06/FederationMetadata.xml`. Kan adressen ikke nås fra internettet, så send metadatafilen i stedet.
2. komplai opretter forbindelsen og sender jer adressen på sin metadata.
3. Vælg **Add Relying Party Trust** i AD FS Management, vælg **Claims aware**, og importér oplysningerne fra komplais metadataadresse. Kald trusten `komplai`.
4. Vælg en adgangspolitik (access control policy). **Permit everyone** lader alle i jeres katalog fortsætte til komplai, hvor kun inviterede kommer ind. En politik for en gruppe begrænser Microsoft-login til den gruppe.
5. Tilføj regler under claim issuance policy, der sender de claims, komplai nævner sammen med sin metadata. Det er som regel dem i tabellen herunder.
6. Giv komplai besked, når trusten er klar.

| Claim | Hvad der sendes |
| --- | --- |
| Name ID | En værdi, der ikke ændrer sig for personen, fx user principal name, i det Name ID-format, komplais metadata angiver |
| E-Mail Address | Personens arbejdsmail (`E-Mail-Addresses`) |
| Given Name | `Given-Name` |
| Surname | `Surname` |

> **Certifikater til tokensignering**
>
> komplai gemmer en kopi af jeres federationsmetadata, også certifikatet til tokensignering. Når AD FS opretter et nyt certifikat til tokensignering, så giv komplai besked, før det bliver det primære certifikat, så login bliver ved med at virke.

## Afprøv, før I inviterer

Afprøv forbindelsen med én person, før I inviterer andre med den.

1. Vent, til komplai melder, at forbindelsen er klar.
2. Åbn **Invitér en kollega** under **Medlemmer** (`/team`), og skriv mailadressen på én kollega, fx fra IT.
3. Fold linjen **Login** over **Send invitation** ud (den viser jeres nuværende standard), vælg **Organisationens login (SSO)** som **Loginmetode**, og vælg **Send invitation**.
4. Kollegaen åbner invitationsmailen, skriver sit navn, vælger **Log ind** og logger ind med sin Microsoft-arbejdskonto.
5. Afprøvningen er lykkedes, når kollegaen lander i komplai.

Gør det derefter til standard for nye invitationer: Vælg **Organisationens login (SSO)** under **Loginmetode for nye invitationer** på `/settings/sso`, og vælg **Gem loginmetode**. Du kan stadig vælge en anden metode ved hver invitation. Medlemmer, der allerede har en konto, beholder deres loginmetode.

## Tofaktorgodkendelse

Under **Tofaktorgodkendelse** på `/settings/sso` vælger I, hvem der skal bruge den:

- **Kræv tofaktorgodkendelse for administratorer**
- **Kræv tofaktorgodkendelse for medlemmer og gæster**

Kravet følger personens rolle, uanset hvordan personen logger ind. En person, som kravet gælder for, og som logger ind med Microsoft, bliver bedt om sin anden faktor i komplai efter Microsoft-login, ud over det, jeres Microsoft-politikker kræver. De berørte opsætter en godkendelsesapp eller en sikkerhedsnøgle ved næste login. Er en person med i flere organisationer i komplai, gælder det strengeste krav.

For at gemme en ændring skal du have logget ind for nylig: Er dit login mere end fem minutter gammelt, beder hubben dig bekræfte det. For at slå et krav fra, mens administratorer skal bruge tofaktorgodkendelse, bekræfter du med tofaktorgodkendelse.

## Få det sat op

[Kontakt os](https://komplai.dk/#kontakt) for at forbinde Entra ID eller AD FS, eller brug **Kontakt os om SSO** på `/settings/sso`. Send de to oplysninger fra **Tekniske detaljer** med.

---

https://developers.komplai.dk/da/guides/entra-id-ad-fs