> ## Documentation Index
> Fetch the complete documentation index at: https://docs.livingsecurity.com/llms.txt
> Use this file to discover all available pages before exploring further.

# Oppsett av Microsoft Entra ID-integrasjon

> Koble Microsoft Entra ID til Living Security for aktivitet knyttet til identitet, pålogging, risiko, enheter og angrepssimulering.

export const EgressIpAllowlistBothSets = ({system}) => <Warning>
    <strong>{system} trenger to sett med adresser, ikke ett.</strong> Living Security oppretter tilgangstokenet for denne
    integrasjonen i sin egen infrastruktur og fornyer det kontinuerlig, slik at oppsettstrafikk og synkroniseringstrafikk
    kommer fra ulike nettverk. Sett begge settene på tillatelseslisten i {system}, og
    behold begge – dette er ikke et krav som bare gjelder under oppsettet.
    <br />
    <br />
    <strong>Trafikk for integrasjonssynkronisering</strong> – den samme i alle regioner:
    <br />
    <code>52.34.139.153/32</code>, <code>54.69.127.183/32</code>, <code>44.247.133.183/32</code>,{' '}
    <code>52.26.211.56/32</code>
    <br />
    <br />
    <strong>Plattformtrafikk</strong> – bruk kun raden for regionen som er vert for
    organisasjonen din:
    <br />
    USA: <code>98.91.60.249/32</code>, <code>13.216.91.102/32</code>
    <br />
    EU: <code>34.246.236.210/32</code>, <code>52.31.102.238/32</code>
    <br />
    <br />
    Hvis du bare setter synkroniseringssettet på tillatelseslisten, blir oppsettet aldri fullført. Hvis du bare setter plattformsettet på tillatelseslisten, lykkes oppsettet, mens alle synkroniseringer mislykkes. Se{' '}
    <a href="/no/integrations/managing/egress-ip-addresses">
      Konfigurere utgående IP-adresser for integrasjoner
    </a>{' '}
    for begge feilsignaturene og endringspolicyen.
  </Warning>;

export const PublicIntegrationNextSteps = () => <>
    <hr />
    <h2>Relaterte ressurser</h2>
    <ul>
      <li>
        <a href="/no/signals/data-sources">Les hvordan data fra integrasjoner blir til signaler i Human Risk Management</a>
      </li>
      <li>
        <a href="https://www.livingsecurity.com/integrations">Utforsk integrasjonene til Living Security</a>
      </li>
      <li>
        <a href="https://app.livingsecurity.ai/">Åpne Living Security Platform</a>
      </li>
      <li>
        <a href="https://www.livingsecurity.com/request-demo/">Be om en demo av Living Security</a>
      </li>
    </ul>
  </>;

export const HandoffPaths = () => <Tabs>
    <Tab title="Delegert oppsett (anbefalt for hemmeligheter)">
      Inviter systemadministratoren til plattformen med avgrensede tillatelser. Vedkommende legger inn
      påloggingsinformasjonen direkte, slik at du aldri håndterer hemmeligheten selv.
    </Tab>
    <Tab title="Overlevering av påloggingsinformasjon">
      Send administratoren leverandørsiden. Vedkommende oppretter påloggingsinformasjonen og sender den tilbake til
      deg, og du legger den inn i dialogboksen Connect.
    </Tab>
  </Tabs>;

export const ConnectInPlatform = ({tile, children}) => <Step title="Skriv inn legitimasjonen i Living Security Platform">
    <p>
      Utføres av den som har tilgang til Living Security – programeieren, eller systemadministratoren
      dersom vedkommende er invitert (delegert oppsett).
    </p>
    <ol>
      <li>
        Gå til <strong>Innstillinger → Integrasjoner → Catalog</strong>, finn flisen{' '}
        <strong>{tile}</strong>, og klikk på <strong>Koble til</strong>.
      </li>
      <li>
        Fyll ut feltene nedenfor, og klikk deretter på <strong>Koble til</strong>.
      </li>
    </ol>
    {children}
  </Step>;

export const SystemAdminBanner = ({system, recommendDelegated}) => <Note>
    <p>
      <strong>Denne veiledningen er beregnet på {system}-administratoren din.</strong> Den beskriver hvordan du oppretter API-legitimasjon i {system}, noe som krever administratortilgang til {system} – ikke til
      Living Security Platform.
    </p>
    <p>
      Hvis du er Living Security-<strong>programansvarlig</strong> og ikke administrerer {system},
      bør du sende denne siden til den som gjør det. Vedkommende gjennomfører del A og leverer legitimasjonen tilbake til deg
      (eller legger den inn direkte hvis vedkommende er invitert til plattformen).
      {recommendDelegated && <>
          {' '}Fordi oppsettet genererer sensitivt nøkkelmateriale, anbefaler vi{' '}
          <strong>delegert oppsett</strong>, slik at hemmeligheten aldri sendes tilbake til deg.
        </>}
    </p>
  </Note>;

<SystemAdminBanner system="Microsoft Entra ID" />

<HandoffPaths />

## Hva denne integrasjonen bidrar med

Microsoft Entra ID kan bidra med normalisert aktivitet knyttet til identitet, pålogging, risiko, enheter og angrepssimulering. Gjennomgåtte eksempler omfatter:

* `account.compromised` — konto flagget som kompromittert
* `auth.login.unusual` — logger på fra uvanlige kontekster
* `phishing.simulation.clicked` — klikket på en simulering uten å rapportere den

Dette er representative eksempler, og det er ikke garantert at alle hendelser er tilgjengelige i alle leietakere. Se [hvordan integrasjonsdata blir til signaler](/no/signals/data-sources).

## Hva Living Security trenger

| Legitimasjon | Beskrivelse |
| - | - |
| **Leietaker-ID** | UUID-en for katalogen (leietakeren) fra administrasjonssenteret for Microsoft Entra |
| **klient-ID** | UUID-en for programmet (klienten) som tildeles når du registrerer appen |
| **klienthemmelighet** | En hemmelig legitimasjon som genereres under appregistreringen — i tilkoblingsdialogen heter dette feltet **API-nøkkel** |
| **Graph API-vert** | Vertsnavnet for Microsoft Graph (kommersiell: `graph.microsoft.com`) |
| **Autoritetsvert** | Vertsnavnet for Microsoft Entra-autoriteten (kommersiell: `login.microsoftonline.com`) |

**Omfang (programtillatelser):**

| Tillatelse | Brukes til |
| - | - |
| `User.Read.All` | Brukerkatalog |
| `SecurityAlert.Read.All` | Sikkerhetsvarsler |
| `AuditLog.Read.All` | Påloggingslogger og registreringsdetaljer for MFA |
| `Policy.Read.ConditionalAccess` | Detaljer om betinget tilgang for hver pålogging — hvilke policyer som ble brukt, og hvilke tilgangskontroller de håndhevet. MFA-gjenkjenning er avhengig av dette |
| `AttackSimulation.Read.All` | Resultater fra Attack Simulation Training |
| `Device.Read.All` | Enhetsobjekter i Entra ID, inkludert enheter som Intune ikke administrerer |
| `DeviceManagementManagedDevices.Read.All` | Enheter administrert av Intune |
| `IdentityRiskEvent.Read.All` | Risikodeteksjoner i Identity Protection, inkludert lekket legitimasjon |
| `GroupMember.ReadWrite.All` | **Valgfritt.** Handlinger for gruppemedlemskap — lar en Playbook legge til en person i, eller fjerne vedkommende fra, en Microsoft Entra ID-gruppe |

### Du bestemmer hva denne tilkoblingen kan gjøre

Denne tilkoblingen leser data. Den kan også *utføre handlinger* i katalogen din, men bare hvis du
velger å tillate det.

Alle tillatelsene ovenfor unntatt den siste er skrivebeskyttede. Hvis du bare gir disse, kan
tilkoblingen aldri endre noe i leietakeren din — plattformen oppdager dette og
tilbyr ikke gruppehandlinger i det hele tatt.

Legg til `GroupMember.ReadWrite.All`, så blir handlinger for gruppemedlemskap tilgjengelige for bruk i
Playbooks. Ingenting skjer av seg selv: du må fortsatt velge hvilke grupper
plattformen kan berøre (se nedenfor) og bygge en Playbook som bruker dem.

Du kan når som helst ombestemme deg. Det er nok å legge til eller fjerne en tillatelse i Microsoft Entra ID
og gi administratorsamtykke på nytt — du trenger ikke å angi legitimasjonen på nytt i plattformen,
og datasynkroniseringene fortsetter å kjøre hele tiden. Endringen trer i kraft i løpet av omtrent
én time.

<Note>
  **Handlinger for gruppemedlemskap er i tillegg begrenset til grupper du har angitt.** Etter at
  tilkoblingen er opprettet, velger en administrator en eksplisitt tillatelsesliste over grupper på tilkoblingen.
  Inntil denne listen finnes, er gruppehandlinger utilgjengelige selv om tillatelsen er gitt —
  så `GroupMember.ReadWrite.All` betyr aldri «en hvilken som helst gruppe i leietakeren».

  Velg disse gruppene med omhu: unngå grupper som gir administrative roller,
  privilegert tilgang eller lisensrettigheter.
</Note>

**Nødvendig rolle:** **Application Administrator** eller **Global Administrator** i Microsoft Entra ID

<Note>
  **To av disse tillatelsene er nyere tillegg.** Hvis du koblet til Microsoft Entra ID før de ble
  tatt med i denne listen, må du legge dem til i den eksisterende appregistreringen og **gi administratorsamtykke på nytt** —
  Microsoft krever at samtykke gis på nytt hver gang tillatelser endres. Alle andre datastrømmer
  fortsetter å fungere som normalt i mellomtiden.

  `Policy.Read.ConditionalAccess` — uten denne tillatelsen fjerner Microsoft detaljene om betinget tilgang
  fra alle påloggingsposter. Posten viser fortsatt at en policy for betinget tilgang var
  oppfylt, men listen over policyer kommer tilbake tom. Ingenting feiler, og ingenting varsler deg: påloggingsdata
  fortsetter å komme inn, og tilkoblingen forblir frisk. Plattformen kan rett og slett ikke avgjøre hvilke pålogginger
  som ble oppfylt med flerfaktorautentisering, så MFA-aktivitet fra denne tilkoblingen forblir tom.

  `IdentityRiskEvent.Read.All` — lesing av risikodeteksjoner krever også en lisens for **Microsoft Entra ID P1 eller
  P2**. Deteksjon av lekket legitimasjon er tilgjengelig på alle nivåer, inkludert P1; de
  avanserte deteksjonene rapporteres som `generic` under P2.
</Note>

### Forutsetninger

* Du må ha **Application Administrator**- eller **Global Administrator**-tilgang i Microsoft Entra ID for å registrere programmer og gi administratorsamtykke.

***

## Del A — I Microsoft Entra ID

*Administratoren din for Microsoft Entra ID utfører disse trinnene.*

<Steps>
  <Step title="Registrer et nytt program">
    1. Logg på [administrasjonssenteret for Microsoft Entra](https://entra.microsoft.com).
    2. Gå til **Entra ID** → **App registrations** i venstre navigasjon.
    3. Klikk på **New registration**.
    4. Angi et beskrivende navn på appen, for eksempel `Living Security Platform`.
    5. Under **Supported account types** velger du **Accounts in this organizational directory only**.
    6. La **Redirect URI** stå tomt — denne integrasjonen bruker flyten for klientlegitimasjon.
    7. Klikk på **Register**.

    Etter registreringen noterer du følgende verdier fra siden **Oversikt**:

    * **Application (client) ID**
    * **Directory (tenant) ID**
  </Step>

  <Step title="Legg til programtillatelser for Microsoft Graph">
    1. På appens **Oversikt**-side klikker du på **API permissions** i venstre meny.
    2. Klikk på **Add a permission**.
    3. Velg **Microsoft Graph**.
    4. Velg **Application permissions**.
    5. Søk etter og velg hver av tillatelsene nedenfor, og klikk deretter på **Add permissions**:
       * `User.Read.All`
       * `SecurityAlert.Read.All`
       * `AuditLog.Read.All`
       * `Policy.Read.ConditionalAccess`
       * `AttackSimulation.Read.All`
       * `Device.Read.All`
       * `DeviceManagementManagedDevices.Read.All`
       * `IdentityRiskEvent.Read.All`
    6. Legg til `GroupMember.ReadWrite.All` **bare hvis** du vil at Playbooks skal kunne endre gruppemedlemskap. Hopp over den hvis du vil beholde denne tilkoblingen som skrivebeskyttet.

    <Note>
      Dette er minimumstillatelsene for alle datastrømmer. Hvis du bare har tenkt å aktivere et utvalg av strømmene, kan du utelate tillatelsene for strømmer du ikke skal bruke.
    </Note>
  </Step>

  <Step title="Gi administratorsamtykke">
    Programtillatelser krever eksplisitt administratorsamtykke.

    1. På siden **API permissions** klikker du på **Grant admin consent for \<your tenant name>**.
    2. I bekreftelsesdialogen klikker du på **Ja**.
    3. Kontroller at alle tillatelser viser **Granted** i kolonnen **Status**.

    <Note>
      Hvis knappen **Grant admin consent** er nedtonet, trenger du rettighetene **Privileged Role Administrator** eller **Global Administrator**. Administratorsamtykke må gis på nytt hver gang du legger til nye tillatelser.
    </Note>
  </Step>

  <Step title="Opprett en klienthemmelighet">
    1. På appens **Oversikt**-side klikker du på **Certificates & secrets** i venstre meny.
    2. Klikk på fanen **Client secrets**, og klikk deretter på **New client secret**.
    3. Angi en beskrivelse (f.eks. `Living Security Platform`).
    4. Velg en utløpstid som samsvarer med retningslinjene dine for rotasjon.
    5. Klikk på **Legg til**.

    <Warning>
      **Kopier hemmelighetsverdien umiddelbart.** Microsoft Entra ID viser hele klienthemmeligheten bare én gang. Hvis du forlater siden før du har kopiert den, må du slette hemmeligheten og opprette en ny.
    </Warning>

    Oppbevar hemmeligheten trygt. Sett en kalenderpåminnelse om å rotere den før den utløper — en utløpt hemmelighet fører til at synkroniseringer feiler med `401 Unauthorized`.
  </Step>

  <Step title="Finn Graph API-verten og autoritetsverten">
    For de fleste organisasjoner i den kommersielle skyen brukes standardverdiene:

    | Felt | Verdi for kommersiell sky |
    | - | - |
    | **Graph API-vert** | `graph.microsoft.com` |
    | **Autoritetsvert** | `login.microsoftonline.com` |

    For offentlige eller suverene skyer bruker du de riktige endepunktene for miljøet ditt.

    <Note>
      Graph API-verten og autoritetsverten må samsvare — tokens fra én skys autoritet er ikke gyldige for en annen skys Graph-endepunkt.
    </Note>
  </Step>
</Steps>

***

## Del B — I Living Security Platform

*Programeieren utfører dette trinnet, eller systemadministratoren hvis vedkommende er invitert inn i plattformen.*

<Steps>
  <ConnectInPlatform tile="Microsoft Entra ID (Client Credentials)">
    | Felt | Verdi |
    | - | - |
    | **API-nøkkel** | Klienthemmeligheten fra del A, trinn 4 |
    | **Azure tenant ID** | Directory (tenant) ID fra del A, trinn 1 |
    | **klient-ID** | Application (client) ID fra del A, trinn 1 |
    | **Graph API-vert** | `graph.microsoft.com` (eller endepunktet for din sky) |
    | **Autoritetsvert** | `login.microsoftonline.com` (eller endepunktet for din sky) |

    <img src="https://mintcdn.com/livingsecurity/oVkrOMkYmNevekTI/integrations/images/microsoft-entra-id-cc/connect-dialog.png?fit=max&auto=format&n=oVkrOMkYmNevekTI&q=85&s=2a192b0a28e753ad0e0bc0b640508136" alt="Tilkoblingsdialog i Living Security for Microsoft Entra ID" style={{maxWidth: "450px"}} width="576" height="692" data-path="integrations/images/microsoft-entra-id-cc/connect-dialog.png" />
  </ConnectInPlatform>
</Steps>

Du er nå koblet til Microsoft Entra ID (Client Credentials).

***

## Feilsøking

<AccordionGroup>
  <Accordion title="401 Unauthorized">
    Legitimasjonen er ugyldig eller utløpt. Kontroller:

    1. At klienthemmeligheten ikke er utløpt eller rotert
    2. At Leietaker-ID og klient-ID er riktige
    3. At autoritetsverten samsvarer med skymiljøet ditt
  </Accordion>

  <Accordion title="403 Forbidden">
    Appregistreringen mangler tillatelser, eller administratorsamtykke ble ikke gitt. Kontroller:

    1. At alle nødvendige tillatelser er oppført under **API permissions**
    2. At hver tillatelse har statusen **Granted** (grønt hakemerke)
    3. At administratorsamtykke ble gitt etter at tillatelsene ble lagt til

    <Note>
      Hvis du la til nye tillatelser etter det første samtykket, må du gi administratorsamtykke på nytt.
    </Note>
  </Accordion>

  <Accordion title="Tomme resultater for bestemte datastrømmer">
    Appen kan mangle den spesifikke tillatelsen for den strømmen:

    * Ingen brukere → mangler `User.Read.All`
    * Ingen sikkerhetsvarsler → mangler `SecurityAlert.Read.All`
    * Ingen påloggingslogger → mangler `AuditLog.Read.All`
    * Ingen resultater fra angrepssimulering → mangler `AttackSimulation.Read.All`
    * Ingen Entra ID-enheter → mangler `Device.Read.All`
    * Ingen enheter administrert av Intune → mangler `DeviceManagementManagedDevices.Read.All`
    * Ingen risikodeteksjoner → mangler `IdentityRiskEvent.Read.All`, administratorsamtykke ble ikke gitt på nytt etter
      at den ble lagt til, eller leietakeren ligger under lisenskravet for Microsoft Entra ID P1
  </Accordion>

  <Accordion title="Tokenforespørselen feiler med invalid_client">
    Graph API-verten og autoritetsverten kan ha ulik skytilhørighet. Begge må tilhøre samme skymiljø (kommersiell, offentlig osv.).
  </Accordion>

  <Accordion title="Gruppehandlinger vises ikke i en Playbook">
    Handlinger for gruppemedlemskap tilbys bare når alle de tre følgende betingelsene er oppfylt:

    1. `GroupMember.ReadWrite.All` ligger på appregistreringen, og administratorsamtykke er gitt. Hvis du nylig la den til, må du regne med opptil én time.
    2. En administrator har angitt en tillatelsesliste over grupper på tilkoblingen.
    3. Tilkoblingen er aktiv og frisk.

    Hvis du har gitt tillatelsen og handlingene fortsatt er utilgjengelige, gir du administratorsamtykke på nytt — Microsoft krever det hver gang tillatelser endres.
  </Accordion>

  <Accordion title="Betinget tilgang blokkerer tilkoblingen eller handlingene dens">
    Hvis leietakeren din har en policy for Conditional Access som er avgrenset etter IP-adresse, kan den blokkere forespørsler
    som bærer denne tilkoblingens legitimasjon. De fleste leietakere er upåvirket — Microsoft Graph
    begrenser ikke etter IP-adresse som standard. Hvis du håndhever en IP-avgrenset policy for
    tjenestekontoer (service principals), må to sett med adresser tillates for denne integrasjonen, fordi oppsett og
    datasynkronisering går ut fra ulike nettverk.

    Living Security utsteder tilgangstokenet for denne tilkoblingen selv og fornyer det kontinuerlig, så
    tokenforespørsler går ut fra plattformens egne adresser, ikke fra adressene datasynkroniseringene
    dine bruker.

    Gruppehandlinger er et eget tilfelle. Som standard rutes de på samme måte som datasynkroniseringene dine og går ut
    fra synkroniseringsadressene. De flyttes til plattformadressene bare hvis en administrator
    bytter tilkoblingen til direkte utgående trafikk.

    <EgressIpAllowlistBothSets system="Microsoft Entra ID" />

    Legg til begge settene i den **navngitte plasseringen** (named location) som policyen din for Conditional Access stoler på
    eller ekskluderer. Tokenforespørsler går til `login.microsoftonline.com`, og dataforespørsler går til
    `graph.microsoft.com`; begge må slippe gjennom.

    Hvis bare synkroniseringsadressene er tillatt, feiler oppsettet når token skal hentes, og ingen
    tilkobling opprettes. Hvis bare plattformadressene er tillatt, lykkes oppsettet, og
    hver synkronisering returnerer ingen poster.
  </Accordion>
</AccordionGroup>

<PublicIntegrationNextSteps />


This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.