Ved å benytte seg av denne muligheten kan alt av brukeradministrasjon styres fra Entra av de med admin-tilgang der. Her er en oversikt over hvordan det fungerer:

LAFT støtter snart brukerprovisjonering via Microsoft Entra. Det betyr at brukere kan opprettes automatisk i LAFT, basert på oppsett i Entra. Dette er spesielt nyttig for organisasjoner med mange brukere, eller der ansatte kommer og går jevnlig.

Slik fungerer det

Når provisjonering er satt opp, vil brukere som oppfyller vilkårene i Entra bli opprettet automatisk i LAFT. Du slipper å registrere dem manuelt.
Forutsetning: SSO må være aktivert i LAFT før provisjonering kan brukes.

Oppsett i Entra (gjøres av Entra-admin)

I Microsoft Entra må dere:

1. Konfigurere SCIM-provisjonering mot LAFT i Entra-applikasjonen.
2. Definere hvilke brukere/roller som skal provisioneres, for eksempel ved hjelp av grupper eller attributter/tags. Les mer om dette i eget avsnitt om provisjonering av brukere under.
3. Sørge for at kun ønskede brukere er i scope. Brukere som ikke er i scope, opprettes ikke i LAFT.

⚠️ Det er Entra-admin sitt ansvar å styre hvem som provisioneres. Sjekk dette nøye før dere aktiverer

Hvis Microsoft Entra sier at etablering ikke støttes Den meldingen betyr ofte at bedriftsappen ikke er en egendefinert (ikke-galleri) app. Automatisk SCIM-oppsett er tilgjengelig når appen opprettes slik Microsoft beskriver for egne SCIM-endepunkter. I Microsoft Entra admin-senter: Identitet → Programmer → Bedriftsprogrammer. Velg Nytt program → Opprett eget program. Velg «Integrer et annet program du ikke finner i galleriet (ikke-galleri)», gi appen et navn (f.eks. LAFT), og opprett den. Åpne Etablering → Ny konfigurasjon (eller sett modus til Automatisk), lim inn Tenant-URL og hemmelig token fra nedenfor, og Test tilkobling. Stol ikke på gallerioppslag med mindre Microsoft har publisert LAFT med SCIM-kontakt.

Oppsett i LAFT (gjøres enn så lenge av LAFT, men av LAFT-admin på sikt)

Når nye admin-sider blir tilgjengig (ila. 2026): 
Under Administrasjon → Systembrukere → Entra SCIM-innstillinger kan dere konfigurere:

• Rolle for provisionerte brukere Velg hvilken rolle brukere skal få når de opprettes via Entra. Standard er Bruker.
• Bygningstilganger To valg, så velg alternativet som passer deres rutiner best:
  • ✅ Gi tilgang til alle bygg automatisk
  • 🔧 Sett bygningstilganger manuelt etter at brukeren er opprettet

Oversikt over Entra-brukere

Vi jobber med nye admin-sider, hvor dere vil få en egen oversiktsside med brukere som kommer fra Entra. Denne er ikke tilgjengelig enda, men vil bli tilgjengelig ila. 2026. Her er hvordan det vil bli:

Under Administrasjon → Systembrukere → Entra-brukere får du en liste over alle brukere som er kommet inn via provisjonering. Her kan du enkelt se hvem som er opprettet, hvilken rolle de har fått, og når de ble lagt til.

Hva skjer når en bruker fjernes i Entra?

Hvis en bruker fjernes fra scope i Entra, vil tilgangen i LAFT deaktiveres automatisk. Dette gjør det enkelt å håndtere offboarding sentralt.

Oppsummering: hvem gjør hva?

LAFT leser ikke Entra-grupper og ikke Entra-katalogroller. LAFT leser app roles på bedriftsappen, sendt over som SCIM roles[].value. Verdien som sendes der, må matche en rolle-mapping som er satt opp i LAFT.

Entra-gruppe  →  tildelt app role (Value: forvalter)

                      ↓

              SCIM roles[].value = "forvalter"

                      ↓

              LAFT-mapping: forvalter → Forvalter

Grupper er bare et tildelingsverktøy. Det som faktisk når LAFT, er app role-verdien (Value).

Forutsetninger

• Bedriftsappen er en ikke-galleri-app (Identitet → Programmer → Bedriftsprogrammer → Nytt program → Opprett eget program → «Integrer et annet program du ikke finner i galleriet»).
• SCIM er satt opp: Tenant URL (https://<HOST>/scim/v2/) og hemmelig token hentet fra Admin → Entra → SCIM-innstillinger i LAFT.
• Etableringsmodus er satt til Automatisk, og Test tilkobling er grønn.
• Både en Entra-admin og en LAFT-admin (med tilgang til å administrere ScimProvider) er tilgjengelige.

Viktig: Uten punkt 4 i denne veiledningen (attributt-mappingen i Entra) kommer det aldri roller til LAFT, uansett hvor mange app roles som opprettes.

1. Opprett app roles i Entra

App roles ligger på appregistreringen, ikke under «Roller og administratorer» på bedriftsappen – det er katalogroller, og de brukes ikke av LAFT.

1. Gå til Microsoft Entra-administrasjonssenter → Identitet → Programmer → Appregistreringer.
2. Åpne LAFT-appen.
3. Gå til Apprroller → Opprett apprrolle.
4. Fyll inn feltene som beskrevet i tabellen under.

5. Gjenta trinnene over for hver LAFT-rolle dere skal styre fra Entra.

Verdi er det eneste LAFT matcher mot. Visningsnavn kan endres uten å ødelegge mappingen. Bruk små bokstaver og ASCII, f.eks. forvalter, bruker, utforer. Matching i LAFT er case-insensitive, men like verdier unngår rot.

Microsoft legger ofte på en innebygd rolle User (Value: User). Den tildeles automatisk alle som får tilgang til appen uten en mer spesifikk rolle, og bør derfor også mappes i LAFT (se avsnittet om fallgruver).

Typisk oppsett:

2. Tildel grupper (anbefalt) eller brukere til app roles

1. Gå til Identitet → Programmer → Bedriftsprogrammer → LAFT-appen.
2. Åpne Brukere og grupper → Legg til bruker/gruppe.
3. Velg en sikkerhetsgruppe, f.eks. LAFT-Forvaltere.
4. Velg apprrollen Forvalter.
5. Tildel.

Én gruppe per LAFT-rolle er det som skalerer best. Flytt brukere mellom grupper i Entra, så oppdaterer neste synkronisering rollen i LAFT automatisk.

Brukertildeling uten gruppe fungerer også, men blir fort uoversiktlig over tid.

3. Map app roles til SCIM roles

Dette steget glemmes oftest. Entra sender ikke roller til LAFT før attributt-mappingen under er på plass.

1. Gå til Bedriftsappen → Etablering → Rediger attributtilordning (eller Tilordninger).
2. Åpne Klargjør Microsoft Entra ID-brukere.
3. Gå til Vis avanserte alternativer → Rediger attributtliste for customappsso (navnet kan variere).
4. Hvis attributtet roles mangler: legg det til, i lowercase, merket som flerverdi. Lagre.
5. Gå tilbake til tilordningene → Legg til ny tilordning, med verdiene i tabellen under.

6. Lagre tilordningene og etableringskonfigurasjonen.

AppRoleAssignmentsComplex er inkompatibel med etableringsomfanget «Synkroniser alle brukere og grupper». Bruk «Kun tildelte brukere og grupper».

Hvis Entra klager med feilmeldingen SchemaPropertyCanOnlyAcceptValue eller MultipleGrantsNotSupported: sjekk at roles er satt som flerverdi, og at dere ikke bruker SingleAppRoleAssignment (den tåler bare én rolle).

AssertiveAppRoleAssignmentsComplex([appRoleAssignments]) er et alternativ dersom fjerning av roller ikke slår gjennom. LAFT tåler PATCH mot roles. Se likevel fallgruven lenger ned: umappede resterende verdier kan la en gammel LAFT-rolle stå igjen.

4. Opprett mappingene i LAFT (må gjøres av LAFT enn så lenge, inntil nye admin-sider er tilgjengelige)

1. Gå til Admin → Entra → SCIM-innstillinger i LAFT.
2. Velg standardrolle. Denne brukes ved opprettelse av nye brukere når Entra ikke sender noen mappet verdi. Fallback i koden er Bruker (Role::BRUKER).
3. Under Rolle-mapping (SCIM roles): legg inn én rad per Entra-verdi, som i tabellen under.

Entra-verdien må være identisk med app role Value (case ignoreres, mellomrom trimmes).

Prioritet avgjør hvilken rolle som vinner når en bruker har flere app roles samtidig. Høyest prioritet vinner; lik prioritet brytes med lavest role_id.

4. Lagre.

Placeholder-teksten i skjemaet er forvalter – det er den verdien testene og hint-teksten i LAFT bruker som eksempel.

5. Hvordan LAFT velger rolle

Logikken under er hentet fra Scim::ResolveRoleFromValues og ScimV2::UsersController#apply_mapped_role! i LAFT.

Admin override i LAFT beskytter bygningstilgang og deaktivering – ikke rolle. En manuell rolleendring i LAFT blir overskrevet ved neste synkronisering dersom Entra sender en mappet verdi.

6. Verifiser

1. I Entra: gå til Etablering → Klargjør etter behov for én testbruker i gruppen LAFT-Forvaltere.
2. Sjekk etableringsloggen og bekreft at payloaden inneholder roles med value: "forvalter".
3. I LAFT: gå til Admin → Entra → Brukere og bekreft at rollen er satt til Forvalter.
4. Admin → Entra → Log viser role_id ved endring, og kan brukes til å spore hva som skjedde.

Hvis brukeren opprettes med standardrolle: enten sender ikke Entra roles i det hele tatt, mappingen treffer ikke, eller Tenant URL/token peker på feil miljø.

Fallgruver

• Fjerning av Forvalter-rolle slår ikke tilbake til Bruker. Hvis Entra etterpå bare sender User, og User ikke er mappet, tolkes roles som «sendt, men uten treff» – LAFT lar da Forvalter-rollen stå. Map alltid den innebygde User-rollen (med lav prioritet) til Bruker.
• Flere grupper. En bruker som er medlem av både Forvalter- og Bruker-gruppen, får begge app roles. Prioritet avgjør hvilken som vinner – sett lederroller høyere enn Bruker.
• «Synkroniser alle brukere og grupper». Fungerer ikke sammen med AppRoleAssignmentsComplex. Tildel eksplisitt i stedet.
• Samme Value to ganger. external_value er unikt per område. Én Entra-verdi skal peke på én LAFT-rolle.
• Galleri-app. Automatisk SCIM mot et eget endepunkt krever en ikke-galleri-app. Med en galleri-app vil etablering typisk rapportere at det «ikke støttes».
• Bygningstilgang er ikke det samme som rolle. Rollen kommer fra Entra. Bygninger styres separat, enten via «Gi bygningstilgang» for nye brukere, eller manuelt via override – dette er et eget valg på samme innstillingsside.

Anbefalt arbeidsflyt

1. Lag sikkerhetsgrupper i Entra: én per LAFT-rolle.
2. Lag app roles med faste Value-nøkler.
3. Tildel hver gruppe én app role.
4. Map AppRoleAssignmentsComplex → roles.
5. Speil de samme nøklene i LAFT, inkludert User → Bruker.
6. Sett etableringsomfang til tildelte brukere/grupper.
7. Test med «Klargjør etter behov» før full synkronisering.