> ## Documentation Index
> Fetch the complete documentation index at: https://docs.livingsecurity.com/llms.txt
> Use this file to discover all available pages before exploring further.

# Microsoft Entra ID -integraation käyttöönotto

> Yhdistä Microsoft Entra ID Living Securityyn identiteetti-, kirjautumis-, riski-, laite- ja hyökkäyssimulaatiotoiminnan tietojen hyödyntämiseksi.

export const EgressIpAllowlistBothSets = ({system}) => <Warning>
    <strong>Kohde {system} tarvitsee kaksi osoiteryhmää, ei yhtä.</strong> Living Security luo tämän
    integraation käyttöoikeustunnuksen omassa infrastruktuurissaan ja uusii sen jatkuvasti, joten asennusliikenne ja synkronointiliikenne lähtevät eri verkoista. Lisää molemmat ryhmät sallittujen luetteloon kohteessa {system} ja
    pidä molemmat käytössä — tämä ei koske vain asennusvaihetta.
    <br />
    <br />
    <strong>Integraation synkronointiliikenne</strong> — sama kaikilla alueilla:
    <br />
    <code>52.34.139.153/32</code>, <code>54.69.127.183/32</code>, <code>44.247.133.183/32</code>,{' '}
    <code>52.26.211.56/32</code>
    <br />
    <br />
    <strong>Alustan liikenne</strong> — käytä vain sen alueen riviä, jolla organisaatiotasi
    isännöidään:
    <br />
    Yhdysvallat: <code>98.91.60.249/32</code>, <code>13.216.91.102/32</code>
    <br />
    Euroopan unioni: <code>34.246.236.210/32</code>, <code>52.31.102.238/32</code>
    <br />
    <br />
    Jos sallittujen luetteloon lisätään vain synkronointiosoitteet, asennus ei koskaan valmistu. Jos luetteloon lisätään vain alustan osoitteet, asennus onnistuu, mutta jokainen synkronointi epäonnistuu. Katso{' '}
    <a href="/fi/integrations/managing/egress-ip-addresses">
      Integraatioiden lähtevän liikenteen IP-osoitteiden määrittäminen
    </a>{' '}
    molempien virhetilanteiden tunnusmerkit ja muutoskäytäntö.
  </Warning>;

export const PublicIntegrationNextSteps = () => <>
    <hr />
    <h2>Aiheeseen liittyvät resurssit</h2>
    <ul>
      <li>
        <a href="/fi/signals/data-sources">Lue, miten integraatioiden data muuttuu Human Risk Management -signaaleiksi</a>
      </li>
      <li>
        <a href="https://www.livingsecurity.com/integrations">Tutustu Living Securityn integraatioihin</a>
      </li>
      <li>
        <a href="https://app.livingsecurity.ai/">Avaa Living Security Platform</a>
      </li>
      <li>
        <a href="https://www.livingsecurity.com/request-demo/">Pyydä Living Securityn demo</a>
      </li>
    </ul>
  </>;

export const HandoffPaths = () => <Tabs>
    <Tab title="Delegoitu käyttöönotto (suositeltu salaisille tunnistetiedoille)">
      Kutsu järjestelmän ylläpitäjä alustalle rajatuin käyttöoikeuksin. Ylläpitäjä syöttää
      tunnistetiedot suoraan, eikä sinun tarvitse käsitellä salaisuutta itse.
    </Tab>
    <Tab title="Tunnistetietojen luovutus">
      Lähetä ylläpitäjälle palveluntarjoajan sivu. Ylläpitäjä luo tunnistetiedot ja palauttaa ne
      sinulle, ja sinä syötät ne Connect-valintaikkunassa.
    </Tab>
  </Tabs>;

export const ConnectInPlatform = ({tile, children}) => <Step title="Syötä tunnistetiedot Living Security Platformissa">
    <p>
      Tämän vaiheen suorittaa henkilö, jolla on Living Securityn käyttöoikeus – ohjelman omistaja tai
      järjestelmänvalvoja, jos hänet on kutsuttu (delegoitu käyttöönotto).
    </p>
    <ol>
      <li>
        Siirry kohtaan <strong>Asetukset → Integraatiot → Luettelo</strong>, etsi{' '}
        <strong>{tile}</strong>-kortti ja valitse <strong>Liitä</strong>.
      </li>
      <li>
        Täytä alla olevat kentät ja valitse sitten <strong>Liitä</strong>.
      </li>
    </ol>
    {children}
  </Step>;

export const SystemAdminBanner = ({system, recommendDelegated}) => <Note>
    <p>
      <strong>Tämä opas on tarkoitettu {system}-järjestelmänne ylläpitäjälle.</strong> Se käsittelee API-tunnistetietojen luomista {system}-järjestelmässä, mikä edellyttää ylläpitäjän käyttöoikeuksia {system}-järjestelmään – ei Living Security Platformiin.
    </p>
    <p>
      Jos olette Living Securityn <strong>ohjelman omistaja</strong> ettekä ylläpidä {system}-järjestelmää,
      lähettäkää tämä sivu sille, joka sitä ylläpitää. Kyseinen henkilö suorittaa osan A ja luovuttaa tunnistetiedot teille
      (tai syöttää ne suoraan, jos olette kutsuneet hänet alustalle).
      {recommendDelegated && <>
          {' '}Koska asetusten yhteydessä syntyy arkaluonteista avainaineistoa, suosittelemme
          {' '}<strong>delegoitua käyttöönottoa</strong>, jotta salaisuutta ei koskaan lähetetä takaisin teille.
        </>}
    </p>
  </Note>;

<SystemAdminBanner system="Microsoft Entra ID" />

<HandoffPaths />

## Mitä tämä integraatio tuo mukanaan

Microsoft Entra ID voi tuottaa normalisoitua identiteetti-, kirjautumis-, riski-, laite- ja hyökkäyssimulaatiotoiminnan dataa. Tarkastettuja esimerkkejä ovat:

* `account.compromised` — tili, joka on merkitty vaarantuneeksi
* `auth.login.unusual` — kirjautuu epätavallisissa yhteyksissä
* `phishing.simulation.clicked` — klikkasi simulaatiota ilmoittamatta siitä

Nämä ovat edustavia esimerkkejä, eikä niiden perusteella voida taata, että jokainen tapahtuma on saatavilla jokaisessa vuokraajassa. Katso [miten integraatiodatasta muodostuu signaaleja](/fi/signals/data-sources).

## Mitä Living Security tarvitsee

| Tunniste | Kuvaus |
| - | - |
| **Tenant ID** | Hakemiston (vuokraajan) UUID Microsoft Entra -hallintakeskuksestasi |
| **Client ID** | Sovelluksen (asiakkaan) UUID, joka määritetään sovellusta rekisteröitäessä |
| **Client Secret** | Sovelluksen rekisteröinnin alla luotu salainen tunniste — yhteyden muodostusikkunassa tämän kentän nimi on **API-avain** |
| **Graph API host** | Microsoft Graphin isäntänimi (kaupallinen: `graph.microsoft.com`) |
| **Authority host** | Microsoft Entran valtuutuspalvelun isäntänimi (kaupallinen: `login.microsoftonline.com`) |

**Käyttöoikeudet (Application permissions):**

| Käyttöoikeus | Käyttötarkoitus |
| - | - |
| `User.Read.All` | Käyttäjähakemisto |
| `SecurityAlert.Read.All` | Tietoturvahälytykset |
| `AuditLog.Read.All` | Kirjautumislokit ja MFA-rekisteröinnin tiedot |
| `Policy.Read.ConditionalAccess` | Ehdollisen käyttöoikeuden tiedot kustakin kirjautumisesta — mitä käytäntöjä sovellettiin ja mitä myöntöehtoja ne edellyttivät. MFA:n tunnistus perustuu tähän |
| `AttackSimulation.Read.All` | Attack Simulation Training -tulokset |
| `Device.Read.All` | Entra ID -laiteobjektit, mukaan lukien laitteet, joita Intune ei hallitse |
| `DeviceManagementManagedDevices.Read.All` | Intunen hallitsemat laitteet |
| `IdentityRiskEvent.Read.All` | Identity Protectionin riskihavainnot, mukaan lukien vuotaneet tunnistetiedot |
| `GroupMember.ReadWrite.All` | **Valinnainen.** Ryhmäjäsenyyksiin liittyvät toimenpiteet — mahdollistavat sen, että toimintasuunnitelma voi lisätä henkilön Microsoft Entra ID -ryhmään tai poistaa hänet siitä |

### Päätät itse, mitä yhteys saa tehdä

Tämä yhteys lukee dataa. Se voi myös *suorittaa toimenpiteitä* hakemistossasi, mutta vain,
jos sallit sen.

Kaikki yllä olevat käyttöoikeudet paitsi viimeinen ovat vain lukuoikeuksia. Jos myönnät vain ne,
yhteys ei voi koskaan muokata mitään vuokraajassasi — alusta tunnistaa tämän eikä
tarjoa ryhmätoimenpiteitä lainkaan.

Kun lisäät käyttöoikeuden `GroupMember.ReadWrite.All`, ryhmäjäsenyystoimenpiteet tulevat käytettäviksi
toimintasuunnitelmissa. Mikään ei käynnisty itsestään: sinun on edelleen valittava, mihin ryhmiin
alusta saa koskea (katso jäljempänä), ja luotava toimintasuunnitelma, joka käyttää niitä.

Voit muuttaa päätöstäsi milloin tahansa. Riittää, että lisäät tai poistat käyttöoikeuden Microsoft Entra ID:ssä
ja myönnät järjestelmänvalvojan suostumuksen uudelleen — tunnistetietoja ei tarvitse syöttää alustaan uudelleen,
ja datasynkronoinnit jatkuvat koko ajan. Muutos tulee voimaan noin tunnin kuluessa.

<Note>
  **Ryhmäjäsenyystoimenpiteet rajataan lisäksi niihin ryhmiin, jotka määrität.** Yhteyden muodostamisen jälkeen
  järjestelmänvalvoja valitsee yhteydelle nimenomaisen sallittujen ryhmien luettelon.
  Kunnes tällainen luettelo on olemassa, ryhmätoimenpiteet eivät ole käytettävissä, vaikka käyttöoikeus olisi myönnetty —
  joten `GroupMember.ReadWrite.All` ei koskaan tarkoita "mitä tahansa vuokraajan ryhmää".

  Valitse nämä ryhmät huolella: vältä kaikkia ryhmiä, jotka myöntävät hallinnollisia rooleja,
  etuoikeutettua käyttöoikeutta tai lisenssioikeuksia.
</Note>

**Vaadittu rooli:** **Application Administrator** tai **Global Administrator** Microsoft Entra ID:ssä

<Note>
  **Kaksi näistä käyttöoikeuksista on uudempia lisäyksiä.** Jos yhdistit Microsoft Entra ID:n ennen kuin ne
  ilmestyivät tähän luetteloon, lisää ne olemassa olevaan sovelluksen rekisteröintiin ja **myönnä järjestelmänvalvojan suostumus uudelleen** —
  Microsoft edellyttää suostumuksen myöntämistä uudelleen aina, kun käyttöoikeudet muuttuvat. Kaikki muut datavirrat
  toimivat sillä välin normaalisti.

  `Policy.Read.ConditionalAccess` — ilman tätä käyttöoikeutta Microsoft poistaa ehdollisen käyttöoikeuden
  tiedot jokaisesta kirjautumistietueesta. Tietue kertoo edelleen, että ehdollisen käyttöoikeuden käytäntö täyttyi,
  mutta käytäntöluettelo palautuu tyhjänä. Mikään ei epäonnistu eikä mikään varoita: kirjautumisdata
  saapuu edelleen ja yhteys pysyy toimintakuntoisena. Alusta ei yksinkertaisesti pysty päättelemään, mitkä kirjautumiset
  täyttivät monivaiheisen todennuksen vaatimuksen, joten tämän yhteyden MFA-toiminta jää tyhjäksi.

  `IdentityRiskEvent.Read.All` — riskihavaintojen lukeminen edellyttää lisäksi **Microsoft Entra ID P1- tai
  P2** -lisenssiä. Vuotaneiden tunnistetietojen havaitseminen on käytettävissä kaikilla tasoilla, myös P1:ssä;
  premium-tason havainnot raportoidaan arvolla `generic` P2-tasoa alemmilla tasoilla.
</Note>

### Edellytykset

* Sinulla on oltava **Application Administrator**- tai **Global Administrator** -oikeudet Microsoft Entra ID:ssä, jotta voit rekisteröidä sovelluksia ja myöntää järjestelmänvalvojan suostumuksen.

***

## Osa A — Microsoft Entra ID:ssä

*Microsoft Entra ID -järjestelmänvalvojasi suorittaa nämä vaiheet.*

<Steps>
  <Step title="Rekisteröi uusi sovellus">
    1. Kirjaudu sisään [Microsoft Entra -hallintakeskukseen](https://entra.microsoft.com).
    2. Siirry vasemmassa navigointivalikossa kohtaan **Entra ID** → **App registrations**.
    3. Valitse **New registration**.
    4. Anna sovellukselle kuvaava nimi, esimerkiksi `Living Security Platform`.
    5. Valitse kohdassa **Supported account types** vaihtoehto **Accounts in this organizational directory only**.
    6. Jätä **Redirect URI** tyhjäksi — tämä integraatio käyttää client credentials -kulkua.
    7. Valitse **Register**.

    Kirjaa rekisteröinnin jälkeen seuraavat arvot **Yleiskatsaus**-sivulta:

    * **Application (client) ID**
    * **Directory (tenant) ID**
  </Step>

  <Step title="Lisää Microsoft Graphin sovelluskäyttöoikeudet">
    1. Valitse sovelluksesi **Yleiskatsaus**-sivulla vasemmasta valikosta **API permissions**.
    2. Valitse **Add a permission**.
    3. Valitse **Microsoft Graph**.
    4. Valitse **Application permissions**.
    5. Hae ja valitse jokainen alla oleva käyttöoikeus ja valitse sitten **Add permissions**:
       * `User.Read.All`
       * `SecurityAlert.Read.All`
       * `AuditLog.Read.All`
       * `Policy.Read.ConditionalAccess`
       * `AttackSimulation.Read.All`
       * `Device.Read.All`
       * `DeviceManagementManagedDevices.Read.All`
       * `IdentityRiskEvent.Read.All`
    6. Lisää `GroupMember.ReadWrite.All` **vain, jos** haluat, että toimintasuunnitelmat voivat muuttaa ryhmäjäsenyyksiä. Jätä se pois, jos haluat pitää yhteyden vain luku -tilassa.

    <Note>
      Nämä ovat kaikkien datavirtojen vähimmäiskäyttöoikeudet. Jos aiot ottaa käyttöön vain osan datavirroista, voit jättää pois sellaisten virtojen käyttöoikeudet, joita et käytä.
    </Note>
  </Step>

  <Step title="Myönnä järjestelmänvalvojan suostumus">
    Sovelluskäyttöoikeudet edellyttävät järjestelmänvalvojan nimenomaista suostumusta.

    1. Valitse **API permissions** -sivulla **Grant admin consent for \<your tenant name>**.
    2. Valitse vahvistusikkunassa **Kyllä**.
    3. Varmista, että jokaisen käyttöoikeuden kohdalla **tila**-sarakkeessa lukee **Granted**.

    <Note>
      Jos **Grant admin consent** -painike on harmaana, tarvitset **Privileged Role Administrator**- tai **Global Administrator** -oikeudet. Järjestelmänvalvojan suostumus on myönnettävä uudelleen aina, kun lisäät uusia käyttöoikeuksia.
    </Note>
  </Step>

  <Step title="Luo asiakassalaisuus">
    1. Valitse sovelluksesi **Yleiskatsaus**-sivulla vasemmasta valikosta **Certificates & secrets**.
    2. Valitse **Client secrets** -välilehti ja sitten **New client secret**.
    3. Anna kuvaus (esim. `Living Security Platform`).
    4. Valitse vanhenemisaika, joka vastaa vaihtokäytäntöäsi.
    5. Valitse **Add**.

    <Warning>
      **Kopioi salaisuuden arvo heti.** Microsoft Entra ID näyttää asiakassalaisuuden kokonaisuudessaan vain kerran. Jos poistut sivulta ennen kopiointia, sinun on poistettava salaisuus ja luotava uusi.
    </Warning>

    Säilytä salaisuus turvallisesti. Aseta kalenterimuistutus sen vaihtamisesta ennen vanhenemista — vanhentunut salaisuus aiheuttaa synkronointien epäonnistumisen virheeseen `401 Unauthorized`.
  </Step>

  <Step title="Määritä Graph API- ja Authority-isäntänimet">
    Useimmissa kaupallista pilveä käyttävissä organisaatioissa voit käyttää oletusarvoja:

    | Kenttä | Kaupallisen pilven arvo |
    | - | - |
    | **Graph API host** | `graph.microsoft.com` |
    | **Authority host** | `login.microsoftonline.com` |

    Valtionhallinnon tai suvereeneissa pilvissä käytä ympäristösi mukaisia päätepisteitä.

    <Note>
      Graph API -isäntänimen ja Authority-isäntänimen on vastattava toisiaan — yhden pilven valtuutuspalvelun myöntämät tunnisteet eivät kelpaa toisen pilven Graph-päätepisteessä.
    </Note>
  </Step>
</Steps>

***

## Osa B — Living Security Platformissa

*Ohjelman omistaja suorittaa tämän vaiheen tai järjestelmänvalvoja, jos hänet on kutsuttu alustalle.*

<Steps>
  <ConnectInPlatform tile="Microsoft Entra ID (Client Credentials)">
    | Kenttä | Arvo |
    | - | - |
    | **API-avain** | Osan A vaiheessa 4 luotu Client Secret |
    | **Azure tenant ID** | Osan A vaiheen 1 Directory (tenant) ID |
    | **asiakastunnus** | Osan A vaiheen 1 Application (client) ID |
    | **Graph API host** | `graph.microsoft.com` (tai pilvesi päätepiste) |
    | **Authority host** | `login.microsoftonline.com` (tai pilvesi päätepiste) |

    <img src="https://mintcdn.com/livingsecurity/oVkrOMkYmNevekTI/integrations/images/microsoft-entra-id-cc/connect-dialog.png?fit=max&auto=format&n=oVkrOMkYmNevekTI&q=85&s=2a192b0a28e753ad0e0bc0b640508136" alt="Living Securityn yhteyden muodostusikkuna Microsoft Entra ID:lle" style={{maxWidth: "450px"}} width="576" height="692" data-path="integrations/images/microsoft-entra-id-cc/connect-dialog.png" />
  </ConnectInPlatform>
</Steps>

Olet nyt yhdistänyt Microsoft Entra ID:n (Client Credentials).

***

## Vianmääritys

<AccordionGroup>
  <Accordion title="401 Unauthorized">
    Tunnistetiedot ovat virheellisiä tai vanhentuneita. Tarkista seuraavat:

    1. Client Secret ei ole vanhentunut eikä sitä ole vaihdettu
    2. Vuokraajan tunnus ja asiakastunnus ovat oikein
    3. Authority-isäntänimi vastaa pilviympäristöäsi
  </Accordion>

  <Accordion title="403 Forbidden">
    Sovelluksen rekisteröinnistä puuttuu käyttöoikeuksia tai järjestelmänvalvojan suostumusta ei ole myönnetty. Varmista seuraavat:

    1. Kaikki vaaditut käyttöoikeudet on lueteltu kohdassa **API permissions**
    2. Jokaisen käyttöoikeuden tilana on **Granted** (vihreä valintamerkki)
    3. Järjestelmänvalvojan suostumus myönnettiin käyttöoikeuksien lisäämisen jälkeen

    <Note>
      Jos lisäsit uusia käyttöoikeuksia ensimmäisen suostumuksen jälkeen, sinun on myönnettävä järjestelmänvalvojan suostumus uudelleen.
    </Note>
  </Accordion>

  <Accordion title="Tyhjät tulokset tietyissä datavirroissa">
    Sovellukselta saattaa puuttua kyseisen datavirran käyttöoikeus:

    * Ei käyttäjiä → puuttuu `User.Read.All`
    * Ei tietoturvahälytyksiä → puuttuu `SecurityAlert.Read.All`
    * Ei kirjautumisloki → puuttuu `AuditLog.Read.All`
    * Ei hyökkäyssimulaatiotuloksia → puuttuu `AttackSimulation.Read.All`
    * Ei Entra ID -laitteita → puuttuu `Device.Read.All`
    * Ei Intunen hallitsemia laitteita → puuttuu `DeviceManagementManagedDevices.Read.All`
    * Ei riskihavaintoja → puuttuu `IdentityRiskEvent.Read.All`, järjestelmänvalvojan suostumusta ei myönnetty uudelleen
      sen lisäämisen jälkeen tai vuokraajan lisenssitaso on alle Microsoft Entra ID P1 -vähimmäistason
  </Accordion>

  <Accordion title="Tunnistepyyntö epäonnistuu virheeseen invalid_client">
    Graph API -isäntänimi ja Authority-isäntänimi eivät ehkä vastaa toisiaan. Molempien on vastattava samaa pilviympäristöä (kaupallinen, valtionhallinnon jne.).
  </Accordion>

  <Accordion title="Ryhmätoimenpiteet eivät näy toimintasuunnitelmassa">
    Ryhmäjäsenyystoimenpiteet tarjotaan vain, kun kaikki nämä kolme ehtoa täyttyvät:

    1. `GroupMember.ReadWrite.All` on lisätty sovelluksen rekisteröintiin ja järjestelmänvalvojan suostumus on myönnetty. Jos lisäsit sen äskettäin, odota enintään tunti.
    2. Järjestelmänvalvoja on määrittänyt yhteydelle sallittujen ryhmien luettelon.
    3. Yhteys on aktiivinen ja toimintakuntoinen.

    Jos olet myöntänyt käyttöoikeuden mutta toimenpiteet eivät edelleenkään ole käytettävissä, myönnä järjestelmänvalvojan suostumus uudelleen — Microsoft edellyttää sitä aina, kun käyttöoikeudet muuttuvat.
  </Accordion>

  <Accordion title="Ehdollinen käyttöoikeus estää yhteyden tai sen toimenpiteet">
    Jos vuokraajassasi on IP-osoitteeseen perustuva Conditional Access -käytäntö, se voi estää pyynnöt,
    jotka sisältävät tämän yhteyden tunnisteen. Useimpiin vuokraajiin tämä ei vaikuta — Microsoft Graph
    ei oletuksena rajoita käyttöä IP-osoitteen perusteella. Jos otat palvelujen pääkäyttäjille (service principal)
    käyttöön IP-osoitteisiin perustuvan käytännön, tämä integraatio vaatii **kahden** osoitejoukon sallimisen,
    koska käyttöönotto ja datasynkronointi lähtevät eri verkoista.

    Living Security luo tämän yhteyden käyttöoikeustunnisteen itse ja uusii sen jatkuvasti, joten
    tunnistepyynnöt lähtevät alustan omista osoitteista, eivät niistä osoitteista, joita datasynkronoinnit käyttävät.

    Ryhmätoimenpiteet ovat erillinen asia. Oletuksena ne reitittyvät samalla tavalla kuin datasynkronoinnit ja lähtevät
    synkronointiosoitteista. Ne siirtyvät alustan osoitteisiin vain, jos järjestelmänvalvoja
    vaihtaa yhteyden suoraan lähtevään liikenteeseen (direct egress).

    <EgressIpAllowlistBothSets system="Microsoft Entra ID" />

    Lisää molemmat joukot **named location** -sijaintiin, jonka Conditional Access -käytäntösi hyväksyy tai
    jättää käytännön ulkopuolelle. Tunnistepyynnöt kohdistuvat osoitteeseen `login.microsoftonline.com` ja datapyynnöt osoitteeseen
    `graph.microsoft.com`; molempien on läpäistävä.

    Jos vain synkronointiosoitteet on sallittu, käyttöönotto epäonnistuu tunnisteen hakuvaiheessa eikä yhteyttä luoda.
    Jos vain alustan osoitteet on sallittu, käyttöönotto onnistuu, mutta jokainen synkronointi palauttaa nolla tietuetta.
  </Accordion>
</AccordionGroup>

<PublicIntegrationNextSteps />


This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.