Skip to main content

​
Hva denne integrasjonen bidrar med

Microsoft Entra ID kan bidra med normalisert aktivitet knyttet til identitet, pålogging, risiko, enheter og angrepssimulering. Gjennomgåtte eksempler omfatter:
  • account.compromised — konto flagget som kompromittert
  • auth.login.unusual — logger på fra uvanlige kontekster
  • phishing.simulation.clicked — klikket på en simulering uten å rapportere den
Dette er representative eksempler, og det er ikke garantert at alle hendelser er tilgjengelige i alle leietakere. Se hvordan integrasjonsdata blir til signaler.

​
Hva Living Security trenger

Omfang (programtillatelser):

​
Du bestemmer hva denne tilkoblingen kan gjøre

Denne tilkoblingen leser data. Den kan også utføre handlinger i katalogen din, men bare hvis du velger å tillate det. Alle tillatelsene ovenfor unntatt den siste er skrivebeskyttede. Hvis du bare gir disse, kan tilkoblingen aldri endre noe i leietakeren din — plattformen oppdager dette og tilbyr ikke gruppehandlinger i det hele tatt. Legg til GroupMember.ReadWrite.All, så blir handlinger for gruppemedlemskap tilgjengelige for bruk i Playbooks. Ingenting skjer av seg selv: du må fortsatt velge hvilke grupper plattformen kan berøre (se nedenfor) og bygge en Playbook som bruker dem. Du kan når som helst ombestemme deg. Det er nok å legge til eller fjerne en tillatelse i Microsoft Entra ID og gi administratorsamtykke på nytt — du trenger ikke å angi legitimasjonen på nytt i plattformen, og datasynkroniseringene fortsetter å kjøre hele tiden. Endringen trer i kraft i løpet av omtrent én time.
Handlinger for gruppemedlemskap er i tillegg begrenset til grupper du har angitt. Etter at tilkoblingen er opprettet, velger en administrator en eksplisitt tillatelsesliste over grupper på tilkoblingen. Inntil denne listen finnes, er gruppehandlinger utilgjengelige selv om tillatelsen er gitt — så GroupMember.ReadWrite.All betyr aldri «en hvilken som helst gruppe i leietakeren».Velg disse gruppene med omhu: unngå grupper som gir administrative roller, privilegert tilgang eller lisensrettigheter.
Nødvendig rolle: Application Administrator eller Global Administrator i Microsoft Entra ID
To av disse tillatelsene er nyere tillegg. Hvis du koblet til Microsoft Entra ID før de ble tatt med i denne listen, må du legge dem til i den eksisterende appregistreringen og gi administratorsamtykke på nytt — Microsoft krever at samtykke gis på nytt hver gang tillatelser endres. Alle andre datastrømmer fortsetter å fungere som normalt i mellomtiden.Policy.Read.ConditionalAccess — uten denne tillatelsen fjerner Microsoft detaljene om betinget tilgang fra alle påloggingsposter. Posten viser fortsatt at en policy for betinget tilgang var oppfylt, men listen over policyer kommer tilbake tom. Ingenting feiler, og ingenting varsler deg: påloggingsdata fortsetter å komme inn, og tilkoblingen forblir frisk. Plattformen kan rett og slett ikke avgjøre hvilke pålogginger som ble oppfylt med flerfaktorautentisering, så MFA-aktivitet fra denne tilkoblingen forblir tom.IdentityRiskEvent.Read.All — lesing av risikodeteksjoner krever også en lisens for Microsoft Entra ID P1 eller P2. Deteksjon av lekket legitimasjon er tilgjengelig på alle nivåer, inkludert P1; de avanserte deteksjonene rapporteres som generic under P2.

​
Forutsetninger

  • Du må ha Application Administrator- eller Global Administrator-tilgang i Microsoft Entra ID for å registrere programmer og gi administratorsamtykke.

​
Del A — I Microsoft Entra ID

Administratoren din for Microsoft Entra ID utfører disse trinnene.
1

Registrer et nytt program

  1. Logg på administrasjonssenteret for Microsoft Entra.
  2. Gå til Entra ID → App registrations i venstre navigasjon.
  3. Klikk på New registration.
  4. Angi et beskrivende navn på appen, for eksempel Living Security Platform.
  5. Under Supported account types velger du Accounts in this organizational directory only.
  6. La Redirect URI stå tomt — denne integrasjonen bruker flyten for klientlegitimasjon.
  7. Klikk på Register.
Etter registreringen noterer du følgende verdier fra siden Oversikt:
  • Application (client) ID
  • Directory (tenant) ID
2

Legg til programtillatelser for Microsoft Graph

  1. På appens Oversikt-side klikker du på API permissions i venstre meny.
  2. Klikk på Add a permission.
  3. Velg Microsoft Graph.
  4. Velg Application permissions.
  5. Søk etter og velg hver av tillatelsene nedenfor, og klikk deretter på Add permissions:
    • User.Read.All
    • SecurityAlert.Read.All
    • AuditLog.Read.All
    • Policy.Read.ConditionalAccess
    • AttackSimulation.Read.All
    • Device.Read.All
    • DeviceManagementManagedDevices.Read.All
    • IdentityRiskEvent.Read.All
  6. Legg til GroupMember.ReadWrite.All bare hvis du vil at Playbooks skal kunne endre gruppemedlemskap. Hopp over den hvis du vil beholde denne tilkoblingen som skrivebeskyttet.
Dette er minimumstillatelsene for alle datastrømmer. Hvis du bare har tenkt å aktivere et utvalg av strømmene, kan du utelate tillatelsene for strømmer du ikke skal bruke.
3

Gi administratorsamtykke

Programtillatelser krever eksplisitt administratorsamtykke.
  1. På siden API permissions klikker du på Grant admin consent for <your tenant name>.
  2. I bekreftelsesdialogen klikker du på Ja.
  3. Kontroller at alle tillatelser viser Granted i kolonnen Status.
Hvis knappen Grant admin consent er nedtonet, trenger du rettighetene Privileged Role Administrator eller Global Administrator. Administratorsamtykke må gis på nytt hver gang du legger til nye tillatelser.
4

Opprett en klienthemmelighet

  1. På appens Oversikt-side klikker du på Certificates & secrets i venstre meny.
  2. Klikk på fanen Client secrets, og klikk deretter på New client secret.
  3. Angi en beskrivelse (f.eks. Living Security Platform).
  4. Velg en utløpstid som samsvarer med retningslinjene dine for rotasjon.
  5. Klikk på Legg til.
Kopier hemmelighetsverdien umiddelbart. Microsoft Entra ID viser hele klienthemmeligheten bare én gang. Hvis du forlater siden før du har kopiert den, må du slette hemmeligheten og opprette en ny.
Oppbevar hemmeligheten trygt. Sett en kalenderpåminnelse om å rotere den før den utløper — en utløpt hemmelighet fører til at synkroniseringer feiler med 401 Unauthorized.
5

Finn Graph API-verten og autoritetsverten

For de fleste organisasjoner i den kommersielle skyen brukes standardverdiene:For offentlige eller suverene skyer bruker du de riktige endepunktene for miljøet ditt.
Graph API-verten og autoritetsverten må samsvare — tokens fra én skys autoritet er ikke gyldige for en annen skys Graph-endepunkt.

​
Del B — I Living Security Platform

Programeieren utfører dette trinnet, eller systemadministratoren hvis vedkommende er invitert inn i plattformen.
Du er nå koblet til Microsoft Entra ID (Client Credentials).

​
Feilsøking

Legitimasjonen er ugyldig eller utløpt. Kontroller:
  1. At klienthemmeligheten ikke er utløpt eller rotert
  2. At Leietaker-ID og klient-ID er riktige
  3. At autoritetsverten samsvarer med skymiljøet ditt
Appregistreringen mangler tillatelser, eller administratorsamtykke ble ikke gitt. Kontroller:
  1. At alle nødvendige tillatelser er oppført under API permissions
  2. At hver tillatelse har statusen Granted (grønt hakemerke)
  3. At administratorsamtykke ble gitt etter at tillatelsene ble lagt til
Hvis du la til nye tillatelser etter det første samtykket, må du gi administratorsamtykke på nytt.
Appen kan mangle den spesifikke tillatelsen for den strømmen:
  • Ingen brukere → mangler User.Read.All
  • Ingen sikkerhetsvarsler → mangler SecurityAlert.Read.All
  • Ingen påloggingslogger → mangler AuditLog.Read.All
  • Ingen resultater fra angrepssimulering → mangler AttackSimulation.Read.All
  • Ingen Entra ID-enheter → mangler Device.Read.All
  • Ingen enheter administrert av Intune → mangler DeviceManagementManagedDevices.Read.All
  • Ingen risikodeteksjoner → mangler IdentityRiskEvent.Read.All, administratorsamtykke ble ikke gitt på nytt etter at den ble lagt til, eller leietakeren ligger under lisenskravet for Microsoft Entra ID P1
Graph API-verten og autoritetsverten kan ha ulik skytilhørighet. Begge må tilhøre samme skymiljø (kommersiell, offentlig osv.).
Handlinger for gruppemedlemskap tilbys bare når alle de tre følgende betingelsene er oppfylt:
  1. GroupMember.ReadWrite.All ligger på appregistreringen, og administratorsamtykke er gitt. Hvis du nylig la den til, må du regne med opptil én time.
  2. En administrator har angitt en tillatelsesliste over grupper på tilkoblingen.
  3. Tilkoblingen er aktiv og frisk.
Hvis du har gitt tillatelsen og handlingene fortsatt er utilgjengelige, gir du administratorsamtykke på nytt — Microsoft krever det hver gang tillatelser endres.
Hvis leietakeren din har en policy for Conditional Access som er avgrenset etter IP-adresse, kan den blokkere forespørsler som bærer denne tilkoblingens legitimasjon. De fleste leietakere er upåvirket — Microsoft Graph begrenser ikke etter IP-adresse som standard. Hvis du håndhever en IP-avgrenset policy for tjenestekontoer (service principals), må to sett med adresser tillates for denne integrasjonen, fordi oppsett og datasynkronisering går ut fra ulike nettverk.Living Security utsteder tilgangstokenet for denne tilkoblingen selv og fornyer det kontinuerlig, så tokenforespørsler går ut fra plattformens egne adresser, ikke fra adressene datasynkroniseringene dine bruker.Gruppehandlinger er et eget tilfelle. Som standard rutes de på samme måte som datasynkroniseringene dine og går ut fra synkroniseringsadressene. De flyttes til plattformadressene bare hvis en administrator bytter tilkoblingen til direkte utgående trafikk.Legg til begge settene i den navngitte plasseringen (named location) som policyen din for Conditional Access stoler på eller ekskluderer. Tokenforespørsler går til login.microsoftonline.com, og dataforespørsler går til graph.microsoft.com; begge må slippe gjennom.Hvis bare synkroniseringsadressene er tillatt, feiler oppsettet når token skal hentes, og ingen tilkobling opprettes. Hvis bare plattformadressene er tillatt, lykkes oppsettet, og hver synkronisering returnerer ingen poster.