Konfigurera inloggning och provisionering med Microsoft Entra ID för Aquil

Den här guiden är till för Aquil-administratören och Microsoft Entra-administratören i en organisation som vill att personalen loggar in i Aquil med sina Microsoft-arbetskonton. Den beskriver enkel inloggning, automatiskt skapade konton, automatisk provisionering (SCIM), gruppregler och vad som händer när någon slutar. Allt det här ingår i alla Aquils planer, även Free.

Räkna med ungefär en timme om samma person har båda rollerna. Det mesta av tiden går åt till att vänta på DNS.

Knappar och menyer i Microsoft Entra administrationscenter anges på engelska, som de heter när administrationscentret används på engelska.

Det här behöver du

• Rollen Administratör i er Aquil-organisation. Bara administratörer ser Inställningar → Enkel inloggning.
• Någon som får godkänna en app för er Microsoft Entra-klient: Global Administrator, Privileged Role Administrator eller Cloud Application Administrator.
• Åtkomst till DNS för er e-postdomän, för att lägga till en TXT-post.
• För automatisk provisionering av grupper: Microsoft Entra ID P1 eller P2. Det krävs för att tilldela grupper till ett företagsprogram. Enkel inloggning och provisionering av användare som tilldelats en och en fungerar utan.

Så fungerar det, i fyra meningar

Er organisation visar att den äger sin e-postdomän med en DNS-post, och en Entra-administratör godkänner Aquil-appen i er klient. Sedan loggar du in med Microsoft en gång, och från den stunden är er Aquil-organisation knuten till er Entra-klient: Aquil känner igen personer på klienten och deras objekt-id i Microsoft, aldrig på e-postadressen ensam. Personalen loggar in med knappen "Microsoft Entra ID", och automatisk provisionering skapar, uppdaterar och inaktiverar deras Aquil-konton utifrån de användare och grupper ni tilldelar i Entra. Aquil får aldrig något lösenord eller någon hemlighet från er klient.

Steg 1: verifiera er e-postdomän

Öppna Inställningar → Enkel inloggning → Verifierade domäner, skriv domänen (till exempel example.com) och välj Lägg till domän. Aquil visar en TXT-post:

Lägg in den hos er DNS-leverantör och välj Verifiera. En post som läggs in efter ett misslyckat försök kan ta flera minuter att synas.

Låt posten ligga kvar. Aquil kontrollerar den varje dag; försvinner den visas domänen som "Verifierad, DNS-kontrollen misslyckas", och efter 14 dagar i rad är den inte längre verifierad. Er sista verifierade domän kan inte tas bort medan Entra ID är anslutet.

Verifiera alla domäner som personalens adresser använder. Bara adresser på verifierade domäner kan kopplas, skapas eller omfattas av krav på Microsoft-inloggning. Privata e-postdomäner, onmicrosoft.com-domäner och publika suffix kan inte verifieras.

Steg 2: godkänn Aquil-appen

Under Anslut Microsoft Entra ID godkänner en Entra-administratör appen en gång för hela klienten:

• Om det är du, välj Godkänn med Microsoft.
• Om inte, välj Kopiera länk för godkännande och skicka den till er Entra-administratör. Länken fungerar i 10 minuter.
• Appen kan också godkännas i Microsoft Entra administrationscenter (Enterprise applications).

Godkännandet visar appen som "Aquil-Entra-Authentication-PROD" och ber om fyra delegerade behörigheter: openid, profile, email och User.Read. De låter en person logga in och låter Aquil läsa personens egen grundprofil vid inloggningen. Aquil ber inte om något mer: ingen läsning av hela katalogen och inga programbehörigheter.

Steg 3: logga in med Microsoft för att slutföra

Välj Logga in med Microsoft och använd ditt eget Microsoft-arbetskonto, det med samma e-postadress som ditt Aquil-konto. Slutför inom 10 minuter. Efteråt är du inloggad i Aquil med Microsoft, och sidan visar Anslutet till Microsoft Entra ID.

Bestäm innan du slutför vilka som över huvud taget får logga in. Öppna Enterprise applications → Aquil-Entra-Authentication-PROD → Properties i Microsoft Entra administrationscenter, sätt Assignment required till Yes och tilldela de användare eller grupper som ska använda Aquil under Users and groups. Gör det. En nyss godkänd app har Assignment required satt till No, och då kan alla konton i er klient logga in i Aquil med Microsoft. Den inställningen kan Aquil inte ändra åt er.

Vem kan logga in med Microsoft nu

Anslutningen ändrar inget för dem som redan använder lösenord. När någon loggar in med Microsoft:

• En befintlig medlem vars Aquil-adress ligger på en verifierad domän kopplas till sitt konto första gången. Roll, omfattningar och historik är kvar. Lösenordet fungerar också, tills ni kräver Microsoft-inloggning.
• Den som har en väntande inbjudan blir medlem med den roll som inbjudan anger. En inbjudan till rollen Administratör måste accepteras via länken i inbjudningsmejlet.
• Alla andra i er klient nekas ("Du har inte åtkomst till Aquil ännu") om ni inte tillåter inloggning med automatiskt konto eller provisioneringen skapar kontot först.

Nödkonton för administratörer (break-glass) och Sokigos personalkonton kopplas aldrig automatiskt. De kopplar sitt Microsoft-konto själva under Inställningar → Säkerhet → Koppla Microsoft-konto.

Inloggning med automatiskt konto (valfritt)

Inloggning med automatiskt konto skapar ett Aquil-konto första gången någon i er klient loggar in med Microsoft. Den är avstängd från början.

Slå på den under Inloggning med automatiskt konto bara om ni inte tänker använda automatisk provisionering. Välj Roll för nya konton (Läsare är säkrast; Administratör erbjuds aldrig) och låt Bara verifierade domäner vara på. Med Assignment required satt till No får varje konto i er klient ett Aquil-konto vid första inloggningen, så sätt Assignment required till Yes först.

När automatisk provisionering är igång stänger ni av inloggning med automatiskt konto. Då skapas konton bara genom provisioneringen, för de personer ni tilldelar.

Automatisk provisionering (SCIM)

Provisioneringen håller Aquil i takt med Entra: Entra skapar konton för de användare ni tilldelar, uppdaterar namn och adresser, lägger till och tar bort gruppmedlemmar och inaktiverar dem ni stänger av eller tar bort tilldelningen för. Entra kör en provisioneringsomgång ungefär var 40:e minut.

Skapa token

Under Automatisk provisionering (SCIM) väljer du Skapa token och ger den ett namn, till exempel provisioneringsappens namn. Kopiera token direkt; den visas bara en gång. Kopiera också Klient-URL (Tenant URL). Den slutar med ?aadOptscim062020; ta med den delen.

Behandla token som ett administratörslösenord. Den som har den kan skapa och inaktivera användare i er organisation och, via gruppregler, avgöra deras roller. Ni kan ha två aktiva token, så att ni kan byta ut en utan att provisioneringen stannar. En token gäller i ett år; Aquil påminner administratörerna för enkel inloggning 30, 14, 7 och 1 dag innan den går ut.

Konfigurera provisioneringsappen i Entra

Provisioneringen använder ett eget företagsprogram, skilt från det som personalen loggar in med.

1. Välj Enterprise applications → New application → Create your own application i Microsoft Entra administrationscenter och välj alternativet för en app som inte finns i galleriet (non-gallery). Ge den ett namn, till exempel "Aquil provisionering".
2. Öppna Provisioning, sätt läget till Automatic och klistra in Klient-URL och token under Admin Credentials. Välj Test Connection och spara. (I den nyare provisioneringsvyn finns samma fält under New configuration.)
3. Under Mappings → Provision Microsoft Entra ID Users ändrar du mappningen för externalId från standardvärdet mailNickname till objectId. Aquil nekar användare vars externalId inte är deras objekt-id i Entra, eftersom det är så Aquil känner igen personen vid inloggning. Sätt sedan Match objects using this attribute till Yes för externalId med matchningsprioritet 1, och behåll userName med prioritet 2. Befintliga Aquil-konton hittas då fortfarande på användarnamn första gången; därefter kan ett återanvänt användarnamn inte koppla en nyanställd till en tidigare anställds konto.
4. Behåll standardmappningen mail → emails[type eq "work"].value. Aquil använder arbetsadressen som inloggningsadress. Adresserna måste ligga på era verifierade domäner.
5. Under Mappings → Provision Microsoft Entra ID Groups mappar du objectId till externalId och matchar grupper på den: sätt Match objects using this attribute till Yes för externalId med matchningsprioritet 1, i stället för displayName. Gruppreglerna använder gruppens objekt-id, aldrig dess namn.
6. Ge varje tilldelad grupp ett unikt visningsnamn. Aquil nekar en grupp vars namn redan används av en annan provisionerad grupp, oavsett stora och små bokstäver (Sälj och sälj räknas som samma namn). Nekandet syns bara i provisioneringsloggarna.
7. Tilldela samma användare och grupper till provisioneringsappen som till inloggningsappen Aquil. De är två olika program med var sina tilldelningar; den som bara är tilldelad det ena kan antingen inte logga in eller provisioneras inte.
8. Under Settings låter du omfånget vara Sync only assigned users and groups, sätter Provisioning Status till On och sparar.

Testa med Provision on demand på en användare före den första hela omgången. Resultatet syns direkt i Entra, och kontot syns på sidan Team i Aquil.

Vad provisioneringen gör med befintliga konton

När Entra hittar en befintlig Aquil-medlem på användarnamn tar Aquil över kontot: därefter håller Entra namn och adress aktuella, och gruppregler kan avgöra kontots roll. Tre fall är skyddade:

• Ett konto som ännu inte visat att det tillhör Entra-användaren (ingen Microsoft-inloggning än) kan bara få mindre åtkomst genom gruppreglerna tills personen loggat in med Microsoft en gång; en högre roll eller nya omfattningar väntar på den inloggningen. Medan gruppregler avgör roller märks sådana konton Väntar på Microsoft-inloggning på sidan Team. Det hindrar att en tidigare anställds konto ärver rättigheter genom en återanvänd adress.
• Medlemmar som loggade in med Microsoft innan provisioneringen nådde dem, oftast administratören som anslöt Entra, tas inte över. Gruppreglerna listar dem under Medlemmar som Microsoft Entra ID inte hanterar; välj Lämna över för att låta Entra hantera en av dem. Det kan inte ångras i Aquil.
• Nödkonton för administratörer och Sokigos personalkonton ändras aldrig av Entra.

Provisioneringen misslyckas aldrig för att platserna är slut. En person som Entra skapar när ingen ledig plats av rätt sort finns får statusen Väntar på plats och aktiveras automatiskt så snart en plats frigörs eller läggs till. Aquil talar också om för administratörerna för enkel inloggning hur många som väntar.

Gäster och externa samarbetspartner provisioneras inte: deras adresser ligger inte på era verifierade domäner, och deras Microsoft-inloggning sker i deras eget företags klient. Bjud in dem från sidan Team; de loggar in med e-postadress och lösenord.

Gruppregler: låt Entra-grupper avgöra roller

Gruppregler gör gruppmedlemskap i Entra till roller och omfattningar i Aquil. De gäller de personer som provisioneringen hanterar.

Öppna Gruppregler, lägg till en regel för varje Entra-grupp (välj en provisionerad grupp eller klistra in dess objekt-id), välj vilken roll den ger och vilka omfattningar den lägger till, och ordna reglerna. Så läses de:

• Reglerna kontrolleras uppifrån. En medlem får rollen från den första aktiva regeln vars grupp hen är med i.
• En medlem får omfattningarna från varje regel som matchar. Omfattningar som lagts till för hand på sidan Team ligger kvar.
• En medlem som ingen regel matchar får Roll när ingen regel matchar. Den är aldrig Administratör.

En regel som ger rollen Administratör får en varning, och det med rätta: den som kan lägga till personer i gruppen i Entra kan göra dem till administratörer i Aquil.

Inget ändras förrän ni slår på Låt grupper i Microsoft Entra avgöra roller. När ni slår på det, sparar regler medan det är på eller ändrar standardrollen visas först en förhandsgranskning: vem som skulle ändras, vem som skulle bli eller sluta vara administratör, och vem som behåller sin roll för att hen är den sista administratören eller för att ingen plats är ledig. Inget tillämpas förrän ni bekräftar.

Medan det är på är rollen för en Entra-hanterad medlem låst på sidan Team, och omfattningar som kommit via en grupp kan inte tas bort för hand. Ändra grupperna i Entra i stället. Reglerna tillämpas när Entra ändrar ett medlemskap, när ni sparar, när ni väljer Synkronisera nu och varje natt.

Om något går fel stänger ni av Låt grupper i Microsoft Entra avgöra roller. Ingens åtkomst ändras, låsen släpper och ni kan ändra roller på sidan Team igen. Det fungerar även om abonnemanget har löpt ut.

När två Entra-grupper blir en

Om två tilldelade grupper heter likadant kan Entra koppla den andra till gruppen som Aquil redan har. Aquil märker det, listar gruppen under Grupper som är länkade till två Entra-grupper, och gruppen ger ingen någonting förrän ni rensar den. Rätta det i den här ordningen:

1. Ge varje tilldelad grupp ett unikt namn i Entra och matcha grupper på objectId (steg 5 ovan).
2. Välj Rensa på gruppen i Aquil. Dess nuvarande medlemmar tas bort i Aquil, eftersom några kan höra till den andra gruppen.
3. Starta om provisioneringen i provisioneringsappen med Clear current state, så att Entra skickar varje grupps medlemmar igen.

Ta inte bort tilldelningen av den andra gruppen och radera den inte för att rätta det: Entra skickar det som en borttagning av den grupp som båda är kopplade till.

Kräv Microsoft-inloggning

När personalen loggar in med Microsoft kan ni kräva det under Kräv Microsoft-inloggning. Då måste alla med en adress på en verifierad domän använda Microsoft; en lösenordssession nekas nästa gång de öppnar Aquil. Externa samarbetspartner på andra domäner behåller sitt lösenord.

Aquil låter er slå på det först när Entra ID är anslutet, en domän är verifierad och en administratör har loggat in med Microsoft sedan anslutningen gjordes.

Undanta först en eller två administratörer som nödkonton: på sidan Team öppnar du medlemmens meny och väljer Tillåt lösenordsinloggning. Om Microsoft-inloggningen slutar fungera (ett avbrott, eller att appen tas bort i Entra) kan de fortfarande ta sig in och stänga av kravet. Utan nödkonto kan bara Sokigos support stänga av det åt er. Om Sokigo pausar Microsoft-inloggning för alla upphävs kravet automatiskt, så att ingen blir utelåst.

Kravet stoppar nya lösenordsinloggningar, men API-token, anslutna appar och godkännandelänkar i e-post som skapats tidigare fortsätter att fungera. Välj Återkalla API-åtkomst för att återkalla dem för alla på en verifierad domän som ännu inte loggat in med Microsoft. Undantagna medlemmar hoppas över.

En inloggningslänk till personalen

Inloggningslänk ger er en adress som öppnar Microsoft-inloggningen till Aquil direkt. Dela den, spara den som bokmärke eller låt er Entra-administratör lägga in den i Aquil-appen så att den syns i Microsoft My Apps.

När någon slutar

Med automatisk provisionering inaktiveras den ni stänger av, tar bort tilldelningen för eller raderar i Entra också i Aquil vid nästa provisioneringsomgång. Inaktiveringen loggar ut personen överallt där det går: webbsessionen nekas, och personens API-token, anslutna appar och godkännandelänkar i e-post återkallas direkt. Dokument, rapporter och historik finns kvar. Aktiverar eller tilldelar ni personen igen i Entra kommer kontot tillbaka. När Entra raderar användaren för gott stänger Aquil kontot: det kan inte återaktiveras, och den som anställs igen får ett nytt konto.

Utan automatisk provisionering märker Aquil inte att ni tar bort någon i Entra. Inaktivera personen på sidan Team också. Annars finns befintlig åtkomst kvar i upp till 3 dagar i webbläsaren, 180 dagar för API-token och 365 dagar för anslutna appar.

En inaktivering som en Aquil-administratör gör på sidan Team går före Entra: Entra kan inte återaktivera kontot, och Aquil rapporterar det som inaktivt tillbaka till Entra. Entra kan inte heller inaktivera organisationens sista aktiva administratör; den användaren visar i stället ett fel i provisioneringsloggarna.

60 dagar efter inaktiveringen tar Aquil bort personens personuppgifter: namn, e-postadress, katalogattribut och inloggningsmetoder. Kontot visas sedan som "Tidigare medlem (xxxx)" på sidan Team och som "Former member (xxxx)" på övriga ställen, även som författare i exporterade dokument, och kan inte återaktiveras. Revisionshistoriken sparas, så äldre händelser i aktivitetsloggen kan fortfarande nämna personen.

Om en administratör inaktiverade personen för hand håller Aquil personens Microsoft-konto spärrat även efter de 60 dagarna, så att utestängningen består. Ska samma person få åtkomst igen senare öppnar du den tidigare medlemmens meny på sidan Team och väljer Tillåt Microsoft-kontot igen, och bjuder sedan in eller provisionerar personen; hen får ett nytt konto. Tills dess nekar provisioneringen personen, och provisioneringskortet räknar hen bland dem som inte kunde provisioneras.

Återanvända adresser

Innan ni ger en tidigare anställds adress eller användarnamn (UPN) till någon ny ska den tidigare anställda vara inaktiverad i Aquil (provisioneringen gör det när ni stänger av personen eller tar bort tilldelningen). Matcha användare på objectId först (steg 3 i provisioneringen). Aquil låter inte en annan Entra-användare ta över ett konto som Aquil redan vet tillhör en annan Entra-användare, och skriver "A different directory user is linked to this user" i provisioneringsloggarna.

Byta till en annan Entra-klient

Att flytta till en ny klient (en sammanslagning, en ny plattform) är en frånkoppling och en ny anslutning:

1. Under Koppla från Microsoft Entra ID kryssar du i Återställ också medlemmarnas katalogkopplingar och bekräftar med organisationens namn. Medlemmarnas Microsoft-inloggningar och katalog-id, och grupperna som synkats från den gamla klienten, tas bort; konton, roller och omfattningar finns kvar. Låt grupper i Microsoft Entra avgöra roller stängs av; era gruppregler finns kvar.
2. Anslut den nya klienten (steg 2 och 3).
3. Använder ni gruppregler: uppdatera varje regel till den nya klientens grupp-objekt-id när grupperna har provisionerats, och slå sedan på Låt grupper i Microsoft Entra avgöra roller igen: förhandsgranskningen visar vilka som skulle ändras innan något ändras.
4. Medlemmarna matchas igen på sin verifierade e-postadress första gången de loggar in med Microsoft. Nekas någon loggar hen in som tidigare (lösenord eller Google) och väljer Inställningar → Säkerhet → Koppla Microsoft-konto. Medlemmar som bara loggar in med Microsoft kan inte logga in mellan steg 1 och 4.

Aquil nekar frånkopplingen om ingen aktiv administratör skulle ha lösenords- eller Google-inloggning kvar efteråt. Ge en administratör ett lösenord först.

Informera personalen

Ett kort meddelande räcker. Till exempel:

Från och med [datum] loggar du in i Aquil med ditt Microsoft-arbetskonto: välj "Microsoft Entra ID" på inloggningssidan, eller använd [er inloggningslänk]. Dina dokument och din åtkomst är desamma. Om du nekas, kontakta [IT-kontakt]. Den som slutar tas bort ur Aquil automatiskt.

Använder ni gruppregler kan ni lägga till en rad om vilken grupp som ger vilken åtkomst.

Notifieringar till administratörer

Administratörerna för enkel inloggning får en notifiering i Aquil, och ett mejl om de inte stängt av det, när personer väntar på plats, när provisioneringen behöver åtgärdas (till exempel en nekad grupp eller ett skyddat konto som Entra försökte ändra), när en provisioneringstoken snart går ut, när DNS-kontrollen av en verifierad domän misslyckas och när Entra ID kopplas från. Mejlinställningarna finns under Inställningar → Notifieringar: "Automatisk provisionering (Microsoft Entra ID)" och "Enkel inloggning och inloggningsmetoder".

Det här lagrar Aquil

Per person: Entra-klientens id och personens objekt-id, användarnamn (UPN), förnamn, efternamn, visningsnamn, e-postadress och, om Entra skickar dem, titel och avdelning. Per provisionerad grupp: objekt-id, visningsnamn och medlemmar. Aquil ber aldrig om och lagrar aldrig någon hemlighet från er klient, och skriver aldrig namn, adresser eller gruppnamn i sina loggar.

Gruppnamn lagras som ni namngett dem. Om ett gruppnamn avslöjar något känsligt (ett hälsoprogram, en fackförening) ska ni inte tilldela den gruppen till Aquil-apparna.

Inloggningen går via Auth0, Aquils underbiträde för autentisering, som tar emot klient-id, objekt-id, UPN, namn och e-postadress för dem som loggar in med Microsoft. Detaljer finns i förteckningen över underbiträden och personuppgiftsbiträdesavtalet.

Felsökning

En person nekas vid inloggning

Sidan personen hamnar på säger varför. De vanligaste fallen:

Provisioneringen rapporterar ett fel

Entra visar varje fel i provisioneringsloggarna för provisioneringsappen. Aquils meddelanden (på engelska) säger vad som ska rättas:

Provisioneringskortet i Aquil räknar också dem som inte kunde provisioneras de senaste 30 dagarna och säger vad ni gör för varje orsak, bland annat för tidigare medlemmar vars Microsoft-konto fortfarande är spärrat ("Tillåt Microsoft-kontot igen").

Om Entra stoppar provisioneringen efter upprepade fel (karantän) rättar ni orsaken och väljer Restart provisioning i provisioneringsappen.

Fel på Microsofts egen sida

Allt annat: skicka tidpunkten för försöket och koden till Sokigos support. Vi behöver aldrig ett lösenord eller en token för det.

Koppla från

Koppla från Microsoft Entra ID stoppar Microsoft-inloggningen för er organisation och stänger av kravet, inloggning med automatiskt konto och Låt grupper i Microsoft Entra avgöra roller (slår ni på det igen senare visas förhandsgranskningen först). Återkalla också provisioneringstoken och stäng av provisioneringen i Entra. Medlemmar som även har lösenords- eller Google-inloggning fortsätter att använda den; medlemmar som bara loggar in med Microsoft förlorar åtkomsten tills ni ansluter igen.

Frågor: support@sokigo.com.