Integrasjonsoversikt – Entra ID Single Sign-on

​

Oversikt

Denne veiledningen er for IT-administratorer som kobler Microsoft Entra ID til Legoras globale autentisering for single sign-on (SSO). Medlemmer logger deretter på Legora med Entra ID-kontoene sine. Du arbeider på to steder: Microsoft Entra admin center, og Authentication i Legora. Entra ID bruker OpenID Connect på Legoras globale autentisering.

​

Hvordan det fungerer

Hvert steg angir hvor du gjør det. Fullfør Entra-stegene før du tester tilkoblingen i Legora.

​

Steg 1: Opprett appregistringen (i Entra)

Opprett en appregistring i Entra som Legora bruker for å logge medlemmer på. Legora må være en non-gallery enterprise application. Gallery-applikasjoner rapporterer at de ikke støtter SCIM, så Directory Sync-provisionering forblir utilgjengelig. Hvis din er en gallery-applikasjon, opprett en ny appregistring og bruk den for pålogging og provisionering.

1. Logg på Microsoft Entra admin center.
2. Gå til Entra ID > App registrations og velg New registration.
3. Fyll ut skjemaet og velg Register:
   • Name: Et navn som sier hva appen er til, for eksempel «Legora SSO.»
   • Supported account types: La standarden stå, Accounts in this organizational directory only (single tenant).
   • Redirect URI: La den være tom foreløpig. Du legger den til i steg 2.
4. På appens Overview-side, kopier disse verdiene for steg 4:
   • Application (client) ID
   • Directory (tenant) ID

​

Steg 2: Legg til redirect URI (i Entra)

Registrer Legoras callback slik at Entra kan sende medlemmer tilbake etter at de logger på.

1. I appregistringen din, gå til Authentication.
2. Velg Add a platform, og deretter Web.
3. Lim inn denne redirect URI-en og velg Configure:

https://sso.legora.com/api/oauth/oidc Bruk den URI-en for hver organisasjon på Legoras globale autentisering. Etter at du oppretter tilkoblingen i steg 4, viser Redirect URL på tilkoblingen samme verdi. Hvis Entra spør hvilke OpenID Connect-scopes som skal tillates, aktiver openid, profile og email. Legora trenger e-postadressen etter pålogging. Fornavn og etternavn anbefales. Hvis denne appregistringen allerede har redirect URI-er fra et eldre Legora-påloggingsoppsett, la dem stå og legg til URI-en ovenfor. Fjern de eldre URI-ene først når organisasjonen din er ferdig med å flytte til Legoras globale autentisering. Den fulle oppgavelisten finnes i IT Admin-veiledning: Legoras globale autentisering.

​

Steg 3: Opprett en client secret (i Entra)

Opprett hemmeligheten Legora bruker for å koble til appregistringen din.

1. I appregistringen din, gå til Certificates & secrets > Client secrets og velg New client secret.
2. Legg til en beskrivelse, for eksempel «Legora SSO secret,» og velg når hemmeligheten utløper.
3. Velg Add, og kopier deretter Value og lagre den et sikkert sted. Entra viser Value bare én gang. Secret ID kan ikke limes inn i Legora.

Sett en påminnelse noen dager før hemmeligheten utløper. Når client secret utløper Opprett en ny client secret i Entra, og oppdater deretter Legora:

1. Fra navnet ditt på menyen, velg Innstillinger > Personer > Authentication.
2. Under SSO, velg tilkoblingen.
3. Under Connection details, velg Edit.
4. Skriv inn den nye verdien i Client secret. La feltet stå tomt bare når du vil beholde den gjeldende hemmeligheten.
5. Lagre.

Du trenger ikke en ny tilkobling for fornyelse av hemmelighet.

​

Steg 4: Legg til tilkoblingsdetaljene (i Legora)

Skriv inn verdiene fra steg 1 til 3 i Legora. For domenet, bruk et domene organisasjonen din eier. I Entra admin center finner du det under Entra ID > Domain names. Bruk et verifisert domene som legora.com. Hopp over et domene som ender på onmicrosoft.com.

1. Fra navnet ditt på menyen, velg Innstillinger > Personer > Authentication.
2. Under SSO, velg Add, og deretter Entra ID.
3. Fyll inn skjemaet:
   • Display Name: Navnet medlemmene ser på påloggingsskjermen.
   • Domain: Organisasjonens domene.
   • Tenant ID: Directory (tenant) ID fra steg 1.
   • Client ID: Application (client) ID fra steg 1.
   • Client Secret: Hemmelighetsverdien fra steg 3.
4. Velg Create connection. Legora åpner den nye tilkoblingen.

Sjekk domenet, tenant ID og client ID før du oppretter tilkoblingen. For å bruke andre verdier senere, opprett en ny tilkobling. Edit kan endre visningsnavnet, discovery URL og client secret.

​

Steg 5: Tildel brukere og grupper (i Entra)

Velg hvem som kan logge på Legora via Entra.

1. Åpne enterprise-applikasjonen Entra opprettet for appregistringen din. Enten velg Managed application in local directory på appregistringens Overview-side, eller gå til Entra ID > Enterprise applications og velg appen.
2. I Properties, velg om alle brukere i katalogen kan logge på, eller bare brukere du tildeler. Assignment required? er No som standard. Sett den til Yes for å tillate bare tildelte brukere og grupper.
3. Hvis tildeling kreves, gå til Users and groups og velg Add user/group.
4. Velg brukerne eller gruppene som skal ha tilgang til Legora, og velg deretter Assign.

​

Steg 6: Test tilkoblingen (i Legora)

Bekreft at tilkoblingen fungerer før medlemmene stoler på den.

1. Fra navnet ditt på menyen, velg Innstillinger > Personer > Authentication.
2. Under SSO, velg tilkoblingen.
3. Velg Test connection. Et påloggingsvindu åpnes.

Hvis Microsoft ber deg godkjenne tillatelser, kan en Entra-administrator måtte gi samtykke før testen kan fullføres. Hvis testen mislykkes, sjekk redirect URI, client ID og client secret, og kjør deretter testen på nytt. Hvis den fortsatt mislykkes, kontakt support@legora.com.

​

Steg 7: Aktiver tilkoblingen (i Legora)

Gjør tilkoblingen tilgjengelig for medlemmene. På tilkoblingen, slå på Status. Medlemmer kan deretter logge på med Entra ID. Til du gjør det, forblir tilkoblingen satt opp, men vises ikke som en påloggingsmetode.

---

​

Hvem som kan bli med

Entra styrer hvem som kan autentisere. Legora styrer hvem som blir medlem. Du setter medlemskap på tilkoblingen, under Auto-provision og Email domains.

​

Auto-provision på

Når Auto-provision er på, legger Legora til en person første gang de logger på med en e-postadresse på et listet domene. De trenger fortsatt tillatelse til å autentisere i Entra. App-tildeling, Conditional Access og multifaktorautentisering forblir i Entra. Legg til minst ett domene under Email domains før du slår Auto-provision på. Tilkoblingen må være aktiv. Hvis Directory Sync er på for tilkoblingen, bruk Directory Sync til å administrere medlemskap i stedet. Se Directory Sync.

​

Auto-provision av

Når Auto-provision er av, kan en person fortsatt autentisere i Entra. Legora legger dem til bare etter at en administrator inviterer dem og de godtar. Hvis de ikke har noe aktivt medlemskap, stopper påloggingen. Legora viser: «User has no active membership in any of the connection organisations.» For å gi tilgang, tillat personen i Entra og inviter dem i Legora. For å fjerne tilgang, fjern dem fra Entra-appen, eller fjern dem fra organisasjonen i Legora.

---

​

Ofte stilte spørsmål

Disse svarene dekker påloggingsproblemene administratorer oftest rapporterer etter at tilkoblingen er på.

​

Hva skjer når en bruker fjernes fra enterprise-appen i Entra?

De kan ikke lenger logge på via den appen. Legora-profilen deres forblir. Hvis du tildeler dem til appen igjen, kan de logge på, så lenge de fortsatt er medlem eller Auto-provision kan legge dem til. Hvis organisasjonen også bruker Directory Sync, tilbakekaller deaktivering eller fjerning av brukeren i Entra tilgangen deres til organisasjonen. Det sletter ikke Legora-profilen deres.

​

Hvorfor logger en bruker på en tom Legora-konto?

Når Auto-provision er på, oppretter Legora kontoen fra e-postadressen Entra sender. Hvis den adressen skiller seg fra invitasjonen, for eksempel jdoe@example.com i stedet for jane.doe@example.com, oppretter Legora en separat konto for Entra-adressen. Sørg for at e-posten i Entra matcher adressen som brukes i Legora, eller kontakt support@legora.com.

​

Hvorfor får noen ikke fullført påloggingen?

Dette betyr vanligvis at Auto-provision er av og personen ikke er invitert, eller at medlemskapet deres er fjernet. Legora viser: «User has no active membership in any of the connection organisations.» Inviter dem i Legora, eller slå på Auto-provision for e-postdomenet deres. De trenger også tilgang til Legora-appen i Entra.

​

Vi har flere domener, men SSO starter ikke for alle

Legg til hvert domene under Email domains på tilkoblingen. Inkluder også disse domenene i organisasjonens tillatte domener. Fra navnet ditt på menyen, velg Innstillinger > Personer > Authentication. Under Restrictions, velg Approved email domains, og rediger deretter Allowed domains. Med én SSO-tilkobling kan Legora rute pålogging med organisasjonens tillatte domener. Med mer enn én tilkobling brukes bare domener på en tilkobling som har Auto-provision slått på for å velge den tilkoblingen.

​

Flere ressurser

Disse sidene dekker resten av påloggingsoppsettet, og Microsofts appregistringstrinn.

• Hvordan administrerer jeg autentisering for organisasjonen min?
• IT Admin-veiledning: Legoras globale autentisering
• Microsoft identity platform app registration