> ## Documentation Index
> Fetch the complete documentation index at: https://docs.livingsecurity.com/llms.txt
> Use this file to discover all available pages before exploring further.

# Configuració de la integració de Microsoft Entra ID

> Connecteu Microsoft Entra ID a Living Security per obtenir activitat d'identitat, inici de sessió, risc, dispositius i simulació d'atacs.

export const EgressIpAllowlistBothSets = ({system}) => <Warning>
    <strong>{system} necessita dos conjunts d'adreces, no pas un.</strong> Living Security genera el testimoni d'accés d'aquesta
    integració a la seva pròpia infraestructura i l'actualitza contínuament, de manera que el trànsit de configuració i el de sincronització
    surten de xarxes diferents. Afegiu els dos conjunts a la llista d'adreces permeses de {system} i
    manteniu-los tots dos: no és un requisit només per a la configuració.
    <br />
    <br />
    <strong>Trànsit de sincronització de la integració</strong>: el mateix a totes les regions:
    <br />
    <code>52.34.139.153/32</code>, <code>54.69.127.183/32</code>, <code>44.247.133.183/32</code>,{' '}
    <code>52.26.211.56/32</code>
    <br />
    <br />
    <strong>Trànsit de la plataforma</strong>: utilitzeu només la fila de la regió on està allotjada la
    vostra organització:
    <br />
    Estats Units: <code>98.91.60.249/32</code>, <code>13.216.91.102/32</code>
    <br />
    Unió Europea: <code>34.246.236.210/32</code>, <code>52.31.102.238/32</code>
    <br />
    <br />
    Si només permeteu el conjunt de sincronització, la configuració no es completa mai. Si només permeteu el conjunt de la plataforma, la
    configuració es completa correctament, però totes les sincronitzacions fallen. Consulteu{' '}
    <a href="/ca/integrations/managing/egress-ip-addresses">
      Configuring Integration Egress IP Addresses
    </a>{' '}
    per conèixer les signatures d'error dels dos casos i la política de canvis.
  </Warning>;

export const PublicIntegrationNextSteps = () => <>
    <hr />
    <h2>Recursos relacionats</h2>
    <ul>
      <li>
        <a href="/ca/signals/data-sources">Descobriu com les dades d'integració es converteixen en Signals de Human Risk Management</a>
      </li>
      <li>
        <a href="https://www.livingsecurity.com/integrations">Exploreu les Integrations de Living Security</a>
      </li>
      <li>
        <a href="https://app.livingsecurity.ai/">Obriu la Living Security Platform</a>
      </li>
      <li>
        <a href="https://www.livingsecurity.com/request-demo/">Sol·liciteu una demostració de Living Security</a>
      </li>
    </ul>
  </>;

export const HandoffPaths = () => <Tabs>
    <Tab title="Configuració delegada (recomanada per a secrets)">
      Convideu l'administrador del sistema a la plataforma amb permisos limitats. Aquest introdueix les
      credencials directament; vós mai no haureu de manipular el secret.
    </Tab>
    <Tab title="Lliurament de credencials">
      Envieu a l'administrador la pàgina del proveïdor. Aquest aprovisiona les credencials i us les retorna;
      després les introduïu al diàleg Connect.
    </Tab>
  </Tabs>;

export const ConnectInPlatform = ({tile, children}) => <Step title="Introduïu les credencials a la Living Security Platform">
    <p>
      Ho ha de dur a terme qui tingui accés a Living Security: el responsable del programa o
      l'administrador del sistema, si ha estat convidat (configuració delegada).
    </p>
    <ol>
      <li>
        Aneu a <strong>Settings → Integrations → Catalog</strong>, cerqueu la icona de{' '}
        <strong>{tile}</strong> i feu clic a <strong>Connect</strong>.
      </li>
      <li>
        Ompliu els camps següents i, a continuació, feu clic a <strong>Connect</strong>.
      </li>
    </ol>
    {children}
  </Step>;

export const SystemAdminBanner = ({system, recommendDelegated}) => <Note>
    <p>
      <strong>Aquesta guia és per a l'administrador o administradora de {system}.</strong> Explica com crear
      credencials d'API dins de {system}, cosa que requereix accés d'administració a {system}, no
      a la Living Security Platform.
    </p>
    <p>
      Si sou el <strong>responsable del programa</strong> de Living Security i no administreu {system},
      envieu aquesta pàgina a la persona que ho faci. Aquesta persona completarà la Part A i us lliurarà les credencials
      (o les introduirà directament si l'heu convidada a la plataforma).
      {recommendDelegated && <>
          {' '}Com que la configuració genera material de claus sensible, recomanem seguir el procés de{' '}
          <strong>configuració delegada</strong>, de manera que el secret no se us enviï mai.
        </>}
    </p>
  </Note>;

<SystemAdminBanner system="Microsoft Entra ID" />

<HandoffPaths />

## Què aporta aquesta integració

Microsoft Entra ID pot aportar activitat normalitzada d'identitat, inici de sessió, risc, dispositius i simulació d'atacs. Alguns exemples revisats són:

* `account.compromised` — compte marcat com a compromès
* `auth.login.unusual` — inicis de sessió des de contextos inusuals
* `phishing.simulation.clicked` — ha fet clic en una simulació sense notificar-ho

Són exemples representatius, no una garantia que tots els esdeveniments estiguin disponibles a tots els tenants. Consulteu [com les dades de la integració es converteixen en Signals](/ca/signals/data-sources).

## Què necessita Living Security

| Credencial | Descripció |
| - | - |
| **Tenant ID** | L'UUID del directori (tenant) del centre d'administració de Microsoft Entra |
| **Client ID** | L'UUID de l'aplicació (client) assignat en registrar l'aplicació |
| **Client Secret** | Una credencial secreta generada al registre de l'aplicació — el diàleg de connexió anomena aquest camp **API Key** |
| **Graph API host** | El nom d'amfitrió de Microsoft Graph (núvol comercial: `graph.microsoft.com`) |
| **Authority host** | El nom d'amfitrió de l'autoritat de Microsoft Entra (núvol comercial: `login.microsoftonline.com`) |

**Àmbits (permisos d'aplicació):**

| Permís | Ús |
| - | - |
| `User.Read.All` | Directori d'usuaris |
| `SecurityAlert.Read.All` | Alertes de seguretat |
| `AuditLog.Read.All` | Registres d'inici de sessió i detalls de registre de MFA |
| `Policy.Read.ConditionalAccess` | Detall de l'accés condicional a cada inici de sessió: quines polítiques s'han aplicat i quins controls de concessió han imposat. La detecció de MFA en depèn |
| `AttackSimulation.Read.All` | Resultats d'Attack Simulation Training |
| `Device.Read.All` | Objectes de dispositiu d'Entra ID, inclosos els dispositius que Intune no gestiona |
| `DeviceManagementManagedDevices.Read.All` | Dispositius gestionats per Intune |
| `IdentityRiskEvent.Read.All` | Deteccions de risc d'Identity Protection, incloses les credencials filtrades |
| `GroupMember.ReadWrite.All` | **Opcional.** Accions d'appartenença a grups — permet que un Playbook afegeixi una persona a un grup de Microsoft Entra ID o l'hi tregui |

### Vosaltres decidiu què pot fer aquesta connexió

Aquesta connexió llegeix dades. També pot *dur a terme accions* al vostre directori, però només si
ho permeteu.

Tots els permisos anteriors, excepte l'últim, són de només lectura. Si només concediu aquests, la
connexió no podrà modificar mai res al vostre tenant: la plataforma ho detecta i no
ofereix cap acció de grup.

Afegiu `GroupMember.ReadWrite.All` i les accions d'appartenença a grups
estaran disponibles als Playbooks. Res no s'inicia pel seu compte: encara heu de triar quins grups pot
tocar la plataforma (vegeu més avall) i crear un Playbook que els utilitzi.

Podeu canviar d'opinió en qualsevol moment. N'hi ha prou d'afegir o eliminar un permís a Microsoft Entra ID
i tornar a concedir el consentiment de l'administrador; no cal tornar a introduir les credencials a la
plataforma i les sincronitzacions de dades continuen funcionant en tot moment. El canvi s'aplica en aproximadament
una hora.

<Note>
  **Les accions d'appartenença a grups estan a més limitades als grups que designeu.** Després de
  connectar, un administrador tria una llista de grups permesos explícita a la connexió.
  Fins que no existeixi aquesta llista, les accions de grup no estan disponibles, ni tan sols amb el permís concedit;
  per tant, `GroupMember.ReadWrite.All` no vol dir mai «qualsevol grup del tenant».

  Trieu amb cura aquests grups: eviteu qualsevol grup que concedeixi rols administratius,
  accés privilegiat o drets de llicència.
</Note>

**Rol necessari:** **Application Administrator** o **Global Administrator** a Microsoft Entra ID

<Note>
  **Dos d'aquests permisos són incorporacions més recents.** Si vau connectar Microsoft Entra ID abans que
  apareguessin en aquesta llista, afegiu-los al registre d'aplicació existent i **torneu a concedir el consentiment de l'administrador**:
  Microsoft exigeix tornar a concedir el consentiment sempre que canviïn els permisos. Mentrestant, la resta de fluxos de dades
  continuen funcionant amb normalitat.

  `Policy.Read.ConditionalAccess` — sense aquest permís, Microsoft elimina el detall de l'accés condicional
  de cada registre d'inici de sessió. El registre continua indicant que es va complir una política d'accés condicional,
  però la llista de polítiques arriba buida. No falla res i no us avisa res: les dades d'inici de sessió
  continuen arribant i la connexió continua en bon estat. Simplement, la plataforma no pot saber quins inicis de sessió
  es van satisfer amb l'autenticació multifactor, de manera que l'activitat de MFA d'aquesta connexió es manté buida.

  `IdentityRiskEvent.Read.All` — llegir les deteccions de risc també requereix una llicència **Microsoft Entra ID P1 o
  P2**. La detecció de credencials filtrades està disponible a tots els nivells, inclòs P1; les
  deteccions premium s'informen com a `generic` per sota de P2.
</Note>

### Requisits previs

* Heu de tenir accés com a **Application Administrator** o **Global Administrator** a Microsoft Entra ID per registrar aplicacions i concedir el consentiment de l'administrador.

***

## Part A — A Microsoft Entra ID

*L'administrador de Microsoft Entra ID duu a terme aquests passos.*

<Steps>
  <Step title="Registreu una aplicació nova">
    1. Inicieu sessió al [centre d'administració de Microsoft Entra](https://entra.microsoft.com).
    2. A la navegació de l'esquerra, aneu a **Entra ID** → **App registrations**.
    3. Feu clic a **New registration**.
    4. Introduïu un nom significatiu per a l'aplicació, com ara `Living Security Platform`.
    5. A **Supported account types**, seleccioneu **Accounts in this organizational directory only**.
    6. Deixeu **Redirect URI** en blanc: aquesta integració utilitza el flux de credencials de client.
    7. Feu clic a **Register**.

    Després del registre, anoteu els valors següents de la pàgina **Overview**:

    * **Application (client) ID**
    * **Directory (tenant) ID**
  </Step>

  <Step title="Afegiu els permisos d'aplicació de Microsoft Graph">
    1. A la pàgina **Overview** de l'aplicació, feu clic a **API permissions** al menú de l'esquerra.
    2. Feu clic a **Add a permission**.
    3. Seleccioneu **Microsoft Graph**.
    4. Seleccioneu **Application permissions**.
    5. Cerqueu i seleccioneu cadascun dels permisos següents i, després, feu clic a **Add permissions**:
       * `User.Read.All`
       * `SecurityAlert.Read.All`
       * `AuditLog.Read.All`
       * `Policy.Read.ConditionalAccess`
       * `AttackSimulation.Read.All`
       * `Device.Read.All`
       * `DeviceManagementManagedDevices.Read.All`
       * `IdentityRiskEvent.Read.All`
    6. Afegiu `GroupMember.ReadWrite.All` **només si** voleu que els Playbooks puguin canviar l'appartenença a grups. Ometeu-lo per mantenir aquesta connexió en només lectura.

    <Note>
      Són els permisos mínims per a tots els fluxos de dades. Si només penseu habilitar un subconjunt de fluxos, podeu ometre els permisos dels fluxos que no utilitzareu.
    </Note>
  </Step>

  <Step title="Concediu el consentiment de l'administrador">
    Els permisos d'aplicació requereixen el consentiment explícit de l'administrador.

    1. A la pàgina **API permissions**, feu clic a **Grant admin consent for \<your tenant name>**.
    2. Al diàleg de confirmació, feu clic a **Yes**.
    3. Comproveu que tots els permisos mostrin **Granted** a la columna **Status**.

    <Note>
      Si el botó **Grant admin consent** apareix en gris, necessiteu privilegis de **Privileged Role Administrator** o **Global Administrator**. El consentiment de l'administrador s'ha de tornar a concedir cada vegada que afegiu permisos nous.
    </Note>
  </Step>

  <Step title="Creeu un secret de client">
    1. A la pàgina **Overview** de l'aplicació, feu clic a **Certificates & secrets** al menú de l'esquerra.
    2. Feu clic a la pestanya **Client secrets** i, després, a **New client secret**.
    3. Introduïu una descripció (p. ex., `Living Security Platform`).
    4. Trieu una caducitat que s'ajusti a la vostra política de rotació.
    5. Feu clic a **Add**.

    <Warning>
      **Copieu el valor del secret immediatament.** Microsoft Entra ID només mostra el secret de client complet una vegada. Si canvieu de pàgina abans de copiar-lo, haureu d'eliminar el secret i crear-ne un de nou.
    </Warning>

    Deseu el secret de manera segura. Configureu un recordatori al calendari per rotar-lo abans que caduqui: un secret caducat fa que les sincronitzacions fallin amb `401 Unauthorized`.
  </Step>

  <Step title="Determineu els amfitrions de Graph API i d'Authority">
    Per a la majoria d'organitzacions al núvol comercial, utilitzeu els valors per defecte:

    | Camp | Valor del núvol comercial |
    | - | - |
    | **Graph API host** | `graph.microsoft.com` |
    | **Authority host** | `login.microsoftonline.com` |

    Per als núvols governamentals o sobirans, utilitzeu els punts finals adequats al vostre entorn.

    <Note>
      El Graph API host i l'Authority host han de coincidir: els tokens de l'autoritat d'un núvol no són vàlids per al punt final de Graph d'un altre núvol.
    </Note>
  </Step>
</Steps>

***

## Part B — A la Living Security Platform

*El propietari del programa duu a terme aquest pas, o l'administrador del sistema si ha estat convidat a la plataforma.*

<Steps>
  <ConnectInPlatform tile="Microsoft Entra ID (Client Credentials)">
    | Camp | Valor |
    | - | - |
    | **API Key** | El Client Secret de la Part A, pas 4 |
    | **Azure tenant ID** | El Directory (tenant) ID de la Part A, pas 1 |
    | **Client ID** | L'Application (client) ID de la Part A, pas 1 |
    | **Graph API host** | `graph.microsoft.com` (o el punt final del vostre núvol) |
    | **Authority host** | `login.microsoftonline.com` (o el punt final del vostre núvol) |

    <img src="https://mintcdn.com/livingsecurity/oVkrOMkYmNevekTI/integrations/images/microsoft-entra-id-cc/connect-dialog.png?fit=max&auto=format&n=oVkrOMkYmNevekTI&q=85&s=2a192b0a28e753ad0e0bc0b640508136" alt="Diàleg de connexió de Living Security per a Microsoft Entra ID" style={{maxWidth: "450px"}} width="576" height="692" data-path="integrations/images/microsoft-entra-id-cc/connect-dialog.png" />
  </ConnectInPlatform>
</Steps>

Ara ja esteu connectat a Microsoft Entra ID (Client Credentials).

***

## Resolució de problemes

<AccordionGroup>
  <Accordion title="401 Unauthorized">
    Les credencials no són vàlides o han caducat. Comproveu que:

    1. El Client Secret no hagi caducat ni s'hagi rotat
    2. El Tenant ID i el Client ID siguin correctes
    3. L'Authority host coincideixi amb el vostre entorn de núvol
  </Accordion>

  <Accordion title="403 Forbidden">
    Al registre de l'aplicació li falten permisos o no s'ha concedit el consentiment de l'administrador. Comproveu que:

    1. Tots els permisos necessaris apareguin a **API permissions**
    2. Cada permís mostri l'estat **Granted** (marca de verificació verda)
    3. El consentiment de l'administrador s'hagi concedit després d'afegir els permisos

    <Note>
      Si heu afegit permisos nous després del consentiment inicial, heu de tornar a concedir el consentiment de l'administrador.
    </Note>
  </Accordion>

  <Accordion title="Resultats buits per a fluxos de dades concrets">
    És possible que a l'aplicació li falti el permís específic d'aquest flux:

    * Cap usuari → falta `User.Read.All`
    * Cap alerta de seguretat → falta `SecurityAlert.Read.All`
    * Cap registre d'inici de sessió → falta `AuditLog.Read.All`
    * Cap resultat de simulació d'atacs → falta `AttackSimulation.Read.All`
    * Cap dispositiu d'Entra ID → falta `Device.Read.All`
    * Cap dispositiu gestionat per Intune → falta `DeviceManagementManagedDevices.Read.All`
    * Cap detecció de risc → falta `IdentityRiskEvent.Read.All`, no s'ha tornat a concedir el consentiment de l'administrador
      després d'afegir-lo, o el tenant està per sota del mínim de llicència Microsoft Entra ID P1
  </Accordion>

  <Accordion title="La sol·licitud de token falla amb invalid_client">
    És possible que el Graph API host i l'Authority host no coincideixin. Tots dos han de correspondre al mateix entorn de núvol (comercial, governamental, etc.).
  </Accordion>

  <Accordion title="Les accions de grup no apareixen en un Playbook">
    Les accions d'appartenença a grups només s'ofereixen quan es compleixen aquestes tres condicions:

    1. `GroupMember.ReadWrite.All` és al registre de l'aplicació, amb el consentiment de l'administrador concedit. Si l'heu afegit fa poc, espereu fins a una hora.
    2. Un administrador ha designat una llista de grups permesos a la connexió.
    3. La connexió està activa i en bon estat.

    Si heu concedit el permís i les accions continuen sense estar disponibles, torneu a concedir el consentiment de l'administrador: Microsoft ho exigeix sempre que canviïn els permisos.
  </Accordion>

  <Accordion title="L'accés condicional bloqueja la connexió o les seves accions">
    Si el vostre tenant té una política d'accés condicional (Conditional Access) limitada per adreça IP, pot bloquejar les sol·licituds
    que porten la credencial d'aquesta connexió. La majoria de tenants no s'hi veuen afectats: Microsoft Graph
    no restringeix per adreça IP de manera predeterminada. Si apliqueu una política limitada per IP per a
    principals de servei, aquesta integració necessita **dos** conjunts d'adreces a la llista de permesos, perquè la configuració i
    la sincronització de dades surten de xarxes diferents.

    Living Security genera ella mateixa el token d'accés d'aquesta connexió i el renova contínuament, de manera que
    les sol·licituds de token surten de les adreces pròpies de la plataforma, no de les adreces que utilitzen
    les vostres sincronitzacions de dades.

    Les accions de grup són un cas a part. De manera predeterminada segueixen la mateixa ruta que les sincronitzacions de dades i surten
    de les adreces de sincronització. Només passen a les adreces de la plataforma si un administrador
    canvia la connexió a sortida directa.

    <EgressIpAllowlistBothSets system="Microsoft Entra ID" />

    Afegiu els dos conjunts a la **named location** en què confia o que exclou la vostra política d'accés condicional. Les sol·licituds de token arriben a `login.microsoftonline.com` i les sol·licituds de dades arriben a
    `graph.microsoft.com`; totes dues han de ser acceptades.

    Si només s'han posat a la llista de permesos les adreces de sincronització, la configuració falla en obtenir el token i no es crea
    cap connexió. Si només s'han posat les adreces de la plataforma, la configuració té èxit i
    totes les sincronitzacions retornen zero registres.
  </Accordion>
</AccordionGroup>

<PublicIntegrationNextSteps />


This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.