> ## Documentation Index
> Fetch the complete documentation index at: https://docs.livingsecurity.com/llms.txt
> Use this file to discover all available pages before exploring further.

# Opsætning af Microsoft Entra ID-integration

> Forbind Microsoft Entra ID til Living Security for aktivitet inden for identitet, login, risiko, enheder og angrebssimulering.

export const EgressIpAllowlistBothSets = ({system}) => <Warning>
    <strong>{system} kræver to sæt adresser, ikke ét.</strong> Living Security opretter denne
    integrations adgangstoken på sin egen infrastruktur og fornyer den løbende, så trafikken under opsætning
    og synkroniseringstrafikken udgår fra forskellige netværk. Føj begge sæt til tilladelseslisten i {system}, og
    behold begge – dette er ikke et krav, der kun gælder under opsætningen.
    <br />
    <br />
    <strong>Synkroniseringstrafik for integrationen</strong> – den samme i alle regioner:
    <br />
    <code>52.34.139.153/32</code>, <code>54.69.127.183/32</code>, <code>44.247.133.183/32</code>,{' '}
    <code>52.26.211.56/32</code>
    <br />
    <br />
    <strong>Platformtrafik</strong> – brug kun rækken for den region, der hoster din
    organisation:
    <br />
    USA: <code>98.91.60.249/32</code>, <code>13.216.91.102/32</code>
    <br />
    Den Europæiske Union: <code>34.246.236.210/32</code>, <code>52.31.102.238/32</code>
    <br />
    <br />
    Hvis du kun føjer synkroniseringssættet til tilladelseslisten, bliver opsætningen aldrig fuldført. Hvis du kun føjer platformsættet til tilladelseslisten, lykkes
    opsætningen, mens alle synkroniseringer mislykkes. Se{' '}
    <a href="/da/integrations/managing/egress-ip-addresses">
      Konfiguration af udgående IP-adresser for Integrationer
    </a>{' '}
    for begge fejlsignaturer og ændringspolitikken.
  </Warning>;

export const PublicIntegrationNextSteps = () => <>
    <hr />
    <h2>Relaterede ressourcer</h2>
    <ul>
      <li>
        <a href="/da/signals/data-sources">Læs, hvordan integrationsdata bliver til Human Risk Management-signaler</a>
      </li>
      <li>
        <a href="https://www.livingsecurity.com/integrations">Udforsk integrationer fra Living Security</a>
      </li>
      <li>
        <a href="https://app.livingsecurity.ai/">Åbn Living Security Platform</a>
      </li>
      <li>
        <a href="https://www.livingsecurity.com/request-demo/">Anmod om en demo af Living Security</a>
      </li>
    </ul>
  </>;

export const HandoffPaths = () => <Tabs>
    <Tab title="Delegeret opsætning (anbefales til hemmeligheder)">
      Inviter systemadministratoren ind i platformen med begrænsede tilladelser. Vedkommende indtaster
      legitimationsoplysningerne direkte, så du aldrig selv håndterer hemmeligheden.
    </Tab>
    <Tab title="Videregivelse af legitimationsoplysninger">
      Send administratoren udbyderens side. Vedkommende opretter legitimationsoplysningerne og returnerer dem til
      dig, hvorefter du indtaster dem i dialogboksen Connect.
    </Tab>
  </Tabs>;

export const ConnectInPlatform = ({tile, children}) => <Step title="Angiv legitimationsoplysningerne i Living Security Platform">
    <p>
      Udføres af den person, der har Living Security-adgang – programejeren eller
      systemadministratoren, hvis vedkommende er blevet inviteret (delegeret opsætning).
    </p>
    <ol>
      <li>
        Gå til <strong>Indstillinger → integrationer → katalog</strong>, find feltet{' '}
        <strong>{tile}</strong>, og klik på <strong>Tilslut</strong>.
      </li>
      <li>
        Udfyld felterne nedenfor, og klik derefter på <strong>Tilslut</strong>.
      </li>
    </ol>
    {children}
  </Step>;

export const SystemAdminBanner = ({system, recommendDelegated}) => <Note>
    <p>
      <strong>Denne vejledning er til din {system}-administrator.</strong> Den beskriver, hvordan du opretter API-legitimationsoplysninger i {system}, hvilket kræver administratoradgang til {system} – ikke til
      Living Security Platform.
    </p>
    <p>
      Hvis du er Living Security-<strong>programejeren</strong> og ikke administrerer {system},
      skal du sende denne side videre til den, der gør. Vedkommende gennemfører del A og giver legitimationsoplysningerne tilbage til dig
      (eller indtaster dem direkte, hvis vedkommende er blevet inviteret ind i platformen).
      {recommendDelegated && <>
          {' '}Fordi opsætningen genererer følsomt nøglemateriale, anbefaler vi{' '}
          <strong>delegeret opsætning</strong>, så hemmeligheden aldrig sendes tilbage til dig.
        </>}
    </p>
  </Note>;

<SystemAdminBanner system="Microsoft Entra ID" />

<HandoffPaths />

## Hvad denne integration bidrager med

Microsoft Entra ID kan bidrage med normaliseret aktivitet inden for identitet, login, risiko, enheder og angrebssimulering. Gennemgåede eksempler omfatter:

* `account.compromised` — konto markeret som kompromitteret
* `auth.login.unusual` — logger ind fra usædvanlige kontekster
* `phishing.simulation.clicked` — klikkede på en simulering uden at rapportere den

Disse eksempler er repræsentative og er ikke en garanti for, at alle hændelser er tilgængelige i alle lejere. Se [hvordan integrationsdata bliver til signaler](/da/signals/data-sources).

## Hvad Living Security har brug for

| Legitimationsoplysning | Beskrivelse |
| - | - |
| **Lejer-id** | Katalogets (lejerens) UUID fra dit Microsoft Entra-administrationscenter |
| **klient-id** | Programmets (klientens) UUID, der tildeles, når du registrerer appen |
| **klienthemmelighed** | En hemmelig legitimationsoplysning, der genereres under din appregistrering — i forbindelsesdialogen hedder dette felt **API nøgle** |
| **Graph API-vært** | Microsoft Graph-værtsnavnet (kommerciel: `graph.microsoft.com`) |
| **Autoritetsvært** | Microsoft Entra-autoritetens værtsnavn (kommerciel: `login.microsoftonline.com`) |

**Scopes (programtilladelser):**

| Tilladelse | Anvendes til |
| - | - |
| `User.Read.All` | Brugerkatalog |
| `SecurityAlert.Read.All` | Sikkerhedsadvarsler |
| `AuditLog.Read.All` | Loginlogge og oplysninger om MFA-registrering |
| `Policy.Read.ConditionalAccess` | Detaljer om betinget adgang for hvert login — hvilke politikker der blev anvendt, og hvilke tildelingskontroller de håndhævede. MFA-registrering afhænger af dette |
| `AttackSimulation.Read.All` | Resultater fra Attack Simulation Training |
| `Device.Read.All` | Entra ID-enhedsobjekter, herunder enheder, som Intune ikke administrerer |
| `DeviceManagementManagedDevices.Read.All` | Enheder administreret af Intune |
| `IdentityRiskEvent.Read.All` | Risikoregistreringer fra Identity Protection, herunder lækkede legitimationsoplysninger |
| `GroupMember.ReadWrite.All` | **Valgfri.** Handlinger for gruppemedlemskab — gør det muligt for et Playbook at tilføje en person til eller fjerne vedkommende fra en Microsoft Entra ID-gruppe |

### Du bestemmer, hvad denne forbindelse må

Denne forbindelse læser data. Den kan også *udføre handlinger* i dit katalog, men kun hvis du
vælger at tillade det.

Alle tilladelser ovenfor undtagen den sidste er skrivebeskyttede. Hvis du kun giver disse, kan
forbindelsen aldrig ændre noget i din lejer — platformen registrerer det og
tilbyder slet ikke gruppehandlinger.

Tilføj `GroupMember.ReadWrite.All`, og Handlinger for gruppemedlemskab bliver tilgængelige til brug i
Playbooks. Intet sker af sig selv: du skal stadig vælge, hvilke grupper
platformen må berøre (se nedenfor), og oprette et Playbook, der bruger dem.

Du kan til enhver tid ombestemme dig. Det er nok at tilføje eller fjerne en tilladelse i Microsoft Entra ID
og give administratorsamtykke igen — du behøver ikke indtaste legitimationsoplysninger igen i
platformen, og dine datasynkroniseringer kører uafbrudt videre. Ændringen træder i kraft inden for cirka
en time.

<Note>
  **Handlinger for gruppemedlemskab er desuden begrænset til grupper, du udpeger.** Efter
  forbindelsen vælger en administrator en eksplicit tilladelsesliste over grupper på forbindelsen.
  Indtil denne liste findes, er gruppehandlinger utilgængelige, selv om tilladelsen er givet —
  så `GroupMember.ReadWrite.All` betyder aldrig "en hvilken som helst gruppe i lejeren".

  Vælg disse grupper omhyggeligt: undgå grupper, der giver administrative roller,
  privilegeret adgang eller licensrettigheder.
</Note>

**Påkrævet rolle:** **Application Administrator** eller **Global Administrator** i Microsoft Entra ID

<Note>
  **To af disse tilladelser er nyere tilføjelser.** Hvis du forbandt Microsoft Entra ID, før de
  optrådte på denne liste, skal du tilføje dem til din eksisterende appregistrering og **give administratorsamtykke igen** —
  Microsoft kræver, at samtykke gives igen, hver gang tilladelser ændres. Alle andre datastrømme
  fungerer normalt i mellemtiden.

  `Policy.Read.ConditionalAccess` — uden denne tilladelse fjerner Microsoft detaljerne om betinget adgang
  fra hver loginpost. Posten angiver stadig, at en politik for betinget adgang var
  opfyldt, men listen over politikker returneres tom. Intet fejler, og intet advarer dig: logindata
  fortsætter med at ankomme, og forbindelsen forbliver sund. Platformen kan blot ikke afgøre, hvilke login
  der blev opfyldt med multifaktorgodkendelse, så MFA-aktivitet fra denne forbindelse forbliver tom.

  `IdentityRiskEvent.Read.All` — læsning af risikoregistreringer kræver desuden en **Microsoft Entra ID P1 eller
  P2**-licens. Registrering af lækkede legitimationsoplysninger er tilgængelig på alle niveauer, også P1; de
  premium-registreringer rapporteres som `generic` under P2.
</Note>

### Forudsætninger

* Du skal have **Application Administrator**- eller **Global Administrator**-adgang i Microsoft Entra ID for at registrere programmer og give administratorsamtykke.

***

## Del A — I Microsoft Entra ID

*Din Microsoft Entra ID-administrator udfører disse trin.*

<Steps>
  <Step title="Registrer et nyt program">
    1. Log ind på [Microsoft Entra-administrationscenter](https://entra.microsoft.com).
    2. Gå i venstre navigation til **Entra ID** → **App registrations**.
    3. Klik på **New registration**.
    4. Angiv et sigende navn til appen, f.eks. `Living Security Platform`.
    5. Under **Supported account types** skal du vælge **Accounts in this organizational directory only**.
    6. Lad **Redirect URI** stå tomt — denne integration bruger flowet med klientlegitimationsoplysninger.
    7. Klik på **Register**.

    Efter registreringen skal du notere følgende værdier fra siden **Oversigt**:

    * **Application (client) ID**
    * **Directory (tenant) ID**
  </Step>

  <Step title="Tilføj Microsoft Graph-programtilladelser">
    1. Klik på **API permissions** i venstre menu på appens side **Oversigt**.
    2. Klik på **Add a permission**.
    3. Vælg **Microsoft Graph**.
    4. Vælg **Application permissions**.
    5. Søg efter og vælg hver af nedenstående tilladelser, og klik derefter på **Add permissions**:
       * `User.Read.All`
       * `SecurityAlert.Read.All`
       * `AuditLog.Read.All`
       * `Policy.Read.ConditionalAccess`
       * `AttackSimulation.Read.All`
       * `Device.Read.All`
       * `DeviceManagementManagedDevices.Read.All`
       * `IdentityRiskEvent.Read.All`
    6. Tilføj kun `GroupMember.ReadWrite.All`, **hvis** du vil give Playbooks mulighed for at ændre gruppemedlemskab. Udelad den for at holde forbindelsen skrivebeskyttet.

    <Note>
      Dette er minimumstilladelserne for alle datastrømme. Hvis du kun vil aktivere en delmængde af strømmene, kan du udelade tilladelser til de strømme, du ikke vil bruge.
    </Note>
  </Step>

  <Step title="Giv administratorsamtykke">
    Programtilladelser kræver eksplicit administratorsamtykke.

    1. På siden **API permissions** skal du klikke på **Grant admin consent for \<your tenant name>**.
    2. Klik på **Ja** i bekræftelsesdialogen.
    3. Kontrollér, at hver tilladelse viser **Granted** i kolonnen **Status**.

    <Note>
      Hvis knappen **Grant admin consent** er nedtonet, skal du have rettighederne **Privileged Role Administrator** eller **Global Administrator**. Administratorsamtykke skal gives igen, hver gang du tilføjer nye tilladelser.
    </Note>
  </Step>

  <Step title="Opret en klienthemmelighed">
    1. Klik på **Certificates & secrets** i venstre menu på appens side **Oversigt**.
    2. Klik på fanen **Client secrets**, og klik derefter på **New client secret**.
    3. Angiv en beskrivelse (f.eks. `Living Security Platform`).
    4. Vælg en udløbstid, der passer til din rotationspolitik.
    5. Klik på **Tilføj**.

    <Warning>
      **Kopiér hemmelighedens værdi med det samme.** Microsoft Entra ID viser den fulde klienthemmelighed kun én gang. Hvis du forlader siden, før du har kopieret den, skal du slette hemmeligheden og oprette en ny.
    </Warning>

    Opbevar hemmeligheden sikkert. Opret en kalenderpåmindelse om at rotere den inden udløb — en udløbet hemmelighed får synkroniseringer til at fejle med `401 Unauthorized`.
  </Step>

  <Step title="Fastlæg Graph API-værten og autoritetsværten">
    For de fleste organisationer i den kommercielle sky bruges standardværdierne:

    | Felt | Værdi i den kommercielle sky |
    | - | - |
    | **Graph API-vært** | `graph.microsoft.com` |
    | **Autoritetsvært** | `login.microsoftonline.com` |

    For offentlige eller suveræne skyer skal du bruge de relevante endepunkter for dit miljø.

    <Note>
      Graph API-værten og autoritetsværten skal passe sammen — tokens fra en skys autoritet er ikke gyldige for en anden skys Graph-endepunkt.
    </Note>
  </Step>
</Steps>

***

## Del B — I Living Security Platform

*Programejeren udfører dette trin, eller systemadministratoren, hvis vedkommende er inviteret ind i platformen.*

<Steps>
  <ConnectInPlatform tile="Microsoft Entra ID (Client Credentials)">
    | Felt | Værdi |
    | - | - |
    | **API nøgle** | Klienthemmeligheden fra del A, trin 4 |
    | **Azure tenant ID** | Directory (tenant) ID fra del A, trin 1 |
    | **klient-id** | Application (client) ID fra del A, trin 1 |
    | **Graph API-vært** | `graph.microsoft.com` (eller din skys endepunkt) |
    | **Autoritetsvært** | `login.microsoftonline.com` (eller din skys endepunkt) |

    <img src="https://mintcdn.com/livingsecurity/oVkrOMkYmNevekTI/integrations/images/microsoft-entra-id-cc/connect-dialog.png?fit=max&auto=format&n=oVkrOMkYmNevekTI&q=85&s=2a192b0a28e753ad0e0bc0b640508136" alt="Living Security-forbindelsesdialog for Microsoft Entra ID" style={{maxWidth: "450px"}} width="576" height="692" data-path="integrations/images/microsoft-entra-id-cc/connect-dialog.png" />
  </ConnectInPlatform>
</Steps>

Du er nu forbundet til Microsoft Entra ID (Client Credentials).

***

## Fejlfinding

<AccordionGroup>
  <Accordion title="401 Unauthorized">
    Legitimationsoplysningerne er ugyldige eller udløbet. Kontrollér:

    1. At klienthemmeligheden ikke er udløbet eller roteret
    2. At lejer-id og klient-id er korrekte
    3. At autoritetsværten svarer til dit skymiljø
  </Accordion>

  <Accordion title="403 Forbidden">
    Appregistreringen mangler tilladelser, eller administratorsamtykke er ikke givet. Kontrollér:

    1. At alle påkrævede tilladelser er anført under **API permissions**
    2. At hver tilladelse viser status **Granted** (grønt flueben)
    3. At administratorsamtykke er givet, efter tilladelserne blev tilføjet

    <Note>
      Hvis du har tilføjet nye tilladelser efter det første samtykke, skal du give administratorsamtykke igen.
    </Note>
  </Accordion>

  <Accordion title="Tomme resultater for bestemte datastrømme">
    Appen mangler muligvis den specifikke tilladelse til den pågældende strøm:

    * Ingen brugere → mangler `User.Read.All`
    * Ingen sikkerhedsadvarsler → mangler `SecurityAlert.Read.All`
    * Ingen loginlogge → mangler `AuditLog.Read.All`
    * Ingen resultater fra angrebssimulering → mangler `AttackSimulation.Read.All`
    * Ingen Entra ID-enheder → mangler `Device.Read.All`
    * Ingen enheder administreret af Intune → mangler `DeviceManagementManagedDevices.Read.All`
    * Ingen risikoregistreringer → mangler `IdentityRiskEvent.Read.All`, administratorsamtykke er ikke givet igen efter
      tilføjelsen, eller lejeren ligger under licensgrænsen for Microsoft Entra ID P1
  </Accordion>

  <Accordion title="Tokenanmodning fejler med invalid_client">
    Graph API-værten og autoritetsværten passer muligvis ikke sammen. Begge skal svare til det samme skymiljø (kommerciel, offentlig osv.).
  </Accordion>

  <Accordion title="Gruppehandlinger vises ikke i et Playbook">
    Handlinger for gruppemedlemskab tilbydes kun, når alle tre af følgende betingelser er opfyldt:

    1. `GroupMember.ReadWrite.All` findes på appregistreringen, og administratorsamtykke er givet. Hvis du har tilføjet den for nylig, skal du afvente op til en time.
    2. En administrator har udpeget en tilladelsesliste over grupper på forbindelsen.
    3. Forbindelsen er aktiv og sund.

    Hvis du har givet tilladelsen, og handlingerne stadig er utilgængelige, skal du give administratorsamtykke igen — Microsoft kræver det, hver gang tilladelser ændres.
  </Accordion>

  <Accordion title="Betinget adgang blokerer forbindelsen eller dens handlinger">
    Hvis din lejer har en politik for betinget adgang (Conditional Access), der er afgrænset efter IP-adresse, kan den blokere anmodninger,
    der bærer denne forbindelses legitimationsoplysning. De fleste lejere er upåvirkede — Microsoft Graph
    begrænser som standard ikke efter IP-adresse. Hvis du håndhæver en IP-afgrænset politik for
    tjenesteprincipaler, skal denne integration have **to** sæt adresser på tilladelseslisten, fordi opsætning og
    datasynkronisering udgår fra forskellige netværk.

    Living Security udsteder selv denne forbindelses adgangstoken og fornyer det løbende, så
    tokenanmodninger udgår fra platformens egne adresser og ikke fra de adresser, dine datasynkroniseringer
    bruger.

    Gruppehandlinger er adskilt. Som standard routes de på samme måde som dine datasynkroniseringer og udgår
    fra synkroniseringsadresserne. De flyttes kun til platformens adresser, hvis en administrator
    skifter forbindelsen til direkte udgående trafik.

    <EgressIpAllowlistBothSets system="Microsoft Entra ID" />

    Føj begge sæt til den **navngivne placering** (named location), som din politik for betinget adgang har tillid til eller udelukker.
    Tokenanmodninger når `login.microsoftonline.com`, og dataanmodninger når
    `graph.microsoft.com`; begge skal igennem.

    Hvis kun synkroniseringsadresserne er på tilladelseslisten, fejler opsætningen under hentning af et token, og der
    oprettes ingen forbindelse. Hvis kun platformens adresser er på tilladelseslisten, lykkes opsætningen, og
    hver synkronisering returnerer ingen poster.
  </Accordion>
</AccordionGroup>

<PublicIntegrationNextSteps />


This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.