> ## Documentation Index
> Fetch the complete documentation index at: https://support.legora.com/llms.txt
> Use this file to discover all available pages before exploring further.

# Integrasjonsoversikt – Entra ID Single Sign-on

> Sett opp Entra ID single sign-on for en organisasjon på Legoras globale autentisering.

Denne artikkelen er maskinoversatt.

## Oversikt

Denne veiledningen er for IT-administratorer som kobler Microsoft Entra ID til Legoras globale autentisering for single sign-on (SSO). Medlemmer logger deretter på Legora med Entra ID-kontoene sine.

Du arbeider på to steder: Microsoft Entra admin center, og **Authentication** i Legora. Entra ID bruker OpenID Connect på Legoras globale autentisering.

> [!NOTE]
>
> Organisasjonen din må bruke Legoras globale autentisering, og rollen din må inkludere **Manage authentication security**. Se [Hvordan administrerer jeg autentisering for organisasjonen min?](https://support.legora.com/nb/how-do-i-manage-authentication-for-my-organization.md).
>
> Hvis organisasjonen din ikke har flyttet ennå, setter Legora support opp single sign-on (SSO). Kontakt [support@legora.com](mailto:support@legora.com). For å flytte en eksisterende organisasjon, se [IT Admin-veiledning: Legoras globale autentisering](https://support.legora.com/nb/it-admin-guide-legora-s-new-authentication-protocol.md).

## Hvordan det fungerer

Hvert steg angir hvor du gjør det. Fullfør Entra-stegene før du tester tilkoblingen i Legora.

| Steg | Hvor |
| - | - |
| 1. Opprett appregistringen | Entra |
| 2. Legg til redirect URI | Entra |
| 3. Opprett en client secret | Entra |
| 4. Legg til tilkoblingsdetaljene | Legora |
| 5. Tildel brukere og grupper | Entra |
| 6. Test tilkoblingen | Legora |
| 7. Aktiver tilkoblingen | Legora |

### Steg 1: Opprett appregistringen (i Entra)

Opprett en appregistring i Entra som Legora bruker for å logge medlemmer på.

**Legora må være en non-gallery enterprise application.** Gallery-applikasjoner rapporterer at de ikke støtter SCIM, så [Directory Sync](https://support.legora.com/nb/how-to-set-up-directory-sync-scim.md#before-you-start)-provisionering forblir utilgjengelig. Hvis din er en gallery-applikasjon, opprett en ny appregistring og bruk den for pålogging og provisionering.

1. Logg på [Microsoft Entra admin center](https://entra.microsoft.com).
2. Gå til **Entra ID** > **App registrations** og velg **New registration**.
3. Fyll ut skjemaet og velg **Register**:
   * **Name**: Et navn som sier hva appen er til, for eksempel «Legora SSO.»
   * **Supported account types**: La standarden stå, **Accounts in this organizational directory only** (single tenant).
   * **Redirect URI**: La den være tom foreløpig. Du legger den til i steg 2.
4. På appens **Overview**-side, kopier disse verdiene for steg 4:
   * **Application (client) ID**
   * **Directory (tenant) ID**

### Steg 2: Legg til redirect URI (i Entra)

Registrer Legoras callback slik at Entra kan sende medlemmer tilbake etter at de logger på.

1. I appregistringen din, gå til **Authentication**.
2. Velg **Add a platform**, og deretter **Web**.
3. Lim inn denne redirect URI-en og velg **Configure**:

`https://sso.legora.com/api/oauth/oidc`

Bruk den URI-en for hver organisasjon på Legoras globale autentisering. Etter at du oppretter tilkoblingen i steg 4, viser **Redirect URL** på tilkoblingen samme verdi.

Hvis Entra spør hvilke OpenID Connect-scopes som skal tillates, aktiver `openid`, `profile` og `email`. Legora trenger e-postadressen etter pålogging. Fornavn og etternavn anbefales.

Hvis denne appregistringen allerede har redirect URI-er fra et eldre Legora-påloggingsoppsett, la dem stå og legg til URI-en ovenfor. Fjern de eldre URI-ene først når organisasjonen din er ferdig med å flytte til Legoras globale autentisering. Den fulle oppgavelisten finnes i [IT Admin-veiledning: Legoras globale autentisering](https://support.legora.com/nb/it-admin-guide-legora-s-new-authentication-protocol.md).

### Steg 3: Opprett en client secret (i Entra)

Opprett hemmeligheten Legora bruker for å koble til appregistringen din.

1. I appregistringen din, gå til **Certificates & secrets** > **Client secrets** og velg **New client secret**.
2. Legg til en beskrivelse, for eksempel «Legora SSO secret,» og velg når hemmeligheten utløper.
3. Velg **Add**, og kopier deretter **Value** og lagre den et sikkert sted. Entra viser **Value** bare én gang. Secret ID kan ikke limes inn i Legora.

Sett en påminnelse noen dager før hemmeligheten utløper.

**Når client secret utløper**

Opprett en ny client secret i Entra, og oppdater deretter Legora:

1. Fra navnet ditt på menyen, velg **Innstillinger** > **Personer** > **Authentication**.
2. Under **SSO**, velg tilkoblingen.
3. Under **Connection details**, velg **Edit**.
4. Skriv inn den nye verdien i **Client secret**. La feltet stå tomt bare når du vil beholde den gjeldende hemmeligheten.
5. Lagre.

Du trenger ikke en ny tilkobling for fornyelse av hemmelighet.

### Steg 4: Legg til tilkoblingsdetaljene (i Legora)

Skriv inn verdiene fra steg 1 til 3 i Legora.

For domenet, bruk et domene organisasjonen din eier. I Entra admin center finner du det under **Entra ID** > **Domain names**. Bruk et verifisert domene som `legora.com`. Hopp over et domene som ender på `onmicrosoft.com`.

1. Fra navnet ditt på menyen, velg **Innstillinger** > **Personer** > **Authentication**.
2. Under **SSO**, velg **Add**, og deretter **Entra ID**.
3. Fyll inn skjemaet:
   * **Display Name**: Navnet medlemmene ser på påloggingsskjermen.
   * **Domain**: Organisasjonens domene.
   * **Tenant ID**: Directory (tenant) ID fra steg 1.
   * **Client ID**: Application (client) ID fra steg 1.
   * **Client Secret**: Hemmelighetsverdien fra steg 3.
4. Velg **Create connection**. Legora åpner den nye tilkoblingen.

Sjekk domenet, tenant ID og client ID før du oppretter tilkoblingen. For å bruke andre verdier senere, opprett en ny tilkobling. **Edit** kan endre visningsnavnet, discovery URL og client secret.

### Steg 5: Tildel brukere og grupper (i Entra)

Velg hvem som kan logge på Legora via Entra.

1. Åpne enterprise-applikasjonen Entra opprettet for appregistringen din. Enten velg **Managed application in local directory** på appregistringens **Overview**-side, eller gå til **Entra ID** > **Enterprise applications** og velg appen.
2. I **Properties**, velg om alle brukere i katalogen kan logge på, eller bare brukere du tildeler. **Assignment required?** er **No** som standard. Sett den til **Yes** for å tillate bare tildelte brukere og grupper.
3. Hvis tildeling kreves, gå til **Users and groups** og velg **Add user/group**.
4. Velg brukerne eller gruppene som skal ha tilgang til Legora, og velg deretter **Assign**.

### Steg 6: Test tilkoblingen (i Legora)

Bekreft at tilkoblingen fungerer før medlemmene stoler på den.

1. Fra navnet ditt på menyen, velg **Innstillinger** > **Personer** > **Authentication**.
2. Under **SSO**, velg tilkoblingen.
3. Velg **Test connection**. Et påloggingsvindu åpnes.

Hvis Microsoft ber deg godkjenne tillatelser, kan en Entra-administrator måtte gi samtykke før testen kan fullføres. Hvis testen mislykkes, sjekk redirect URI, client ID og client secret, og kjør deretter testen på nytt. Hvis den fortsatt mislykkes, kontakt [support@legora.com](mailto:support@legora.com).

### Steg 7: Aktiver tilkoblingen (i Legora)

Gjør tilkoblingen tilgjengelig for medlemmene.

På tilkoblingen, slå på **Status**. Medlemmer kan deretter logge på med Entra ID. Til du gjør det, forblir tilkoblingen satt opp, men vises ikke som en påloggingsmetode.

***

## Hvem som kan bli med

Entra styrer hvem som kan autentisere. Legora styrer hvem som blir medlem. Du setter medlemskap på tilkoblingen, under **Auto-provision** og **Email domains**.

### Auto-provision på

Når **Auto-provision** er på, legger Legora til en person første gang de logger på med en e-postadresse på et listet domene.

De trenger fortsatt tillatelse til å autentisere i Entra. App-tildeling, Conditional Access og multifaktorautentisering forblir i Entra.

Legg til minst ett domene under **Email domains** før du slår **Auto-provision** på. Tilkoblingen må være aktiv. Hvis Directory Sync er på for tilkoblingen, bruk Directory Sync til å administrere medlemskap i stedet. Se [Directory Sync](https://support.legora.com/nb/how-to-set-up-directory-sync-scim.md).

### Auto-provision av

Når **Auto-provision** er av, kan en person fortsatt autentisere i Entra. Legora legger dem til bare etter at en administrator inviterer dem og de godtar.

Hvis de ikke har noe aktivt medlemskap, stopper påloggingen. Legora viser: «User has no active membership in any of the connection organisations.»

For å gi tilgang, tillat personen i Entra og inviter dem i Legora. For å fjerne tilgang, fjern dem fra Entra-appen, eller fjern dem fra organisasjonen i Legora.

***

## Ofte stilte spørsmål

Disse svarene dekker påloggingsproblemene administratorer oftest rapporterer etter at tilkoblingen er på.

### Hva skjer når en bruker fjernes fra enterprise-appen i Entra?

De kan ikke lenger logge på via den appen. Legora-profilen deres forblir. Hvis du tildeler dem til appen igjen, kan de logge på, så lenge de fortsatt er medlem eller **Auto-provision** kan legge dem til.

Hvis organisasjonen også bruker Directory Sync, tilbakekaller deaktivering eller fjerning av brukeren i Entra tilgangen deres til organisasjonen. Det sletter ikke Legora-profilen deres.

### Hvorfor logger en bruker på en tom Legora-konto?

Når **Auto-provision** er på, oppretter Legora kontoen fra e-postadressen Entra sender. Hvis den adressen skiller seg fra invitasjonen, for eksempel `jdoe@example.com` i stedet for `jane.doe@example.com`, oppretter Legora en separat konto for Entra-adressen. Sørg for at e-posten i Entra matcher adressen som brukes i Legora, eller kontakt [support@legora.com](mailto:support@legora.com).

### Hvorfor får noen ikke fullført påloggingen?

Dette betyr vanligvis at **Auto-provision** er av og personen ikke er invitert, eller at medlemskapet deres er fjernet. Legora viser: «User has no active membership in any of the connection organisations.»

Inviter dem i Legora, eller slå på **Auto-provision** for e-postdomenet deres. De trenger også tilgang til Legora-appen i Entra.

### Vi har flere domener, men SSO starter ikke for alle

Legg til hvert domene under **Email domains** på tilkoblingen. Inkluder også disse domenene i organisasjonens tillatte domener. Fra navnet ditt på menyen, velg **Innstillinger** > **Personer** > **Authentication**. Under **Restrictions**, velg **Approved email domains**, og rediger deretter **Allowed domains**.

Med én SSO-tilkobling kan Legora rute pålogging med organisasjonens tillatte domener. Med mer enn én tilkobling brukes bare domener på en tilkobling som har **Auto-provision** slått på for å velge den tilkoblingen.

## Flere ressurser

Disse sidene dekker resten av påloggingsoppsettet, og Microsofts appregistringstrinn.

* [Hvordan administrerer jeg autentisering for organisasjonen min?](https://support.legora.com/nb/how-do-i-manage-authentication-for-my-organization.md)
* [IT Admin-veiledning: Legoras globale autentisering](https://support.legora.com/nb/it-admin-guide-legora-s-new-authentication-protocol.md)
* [Microsoft identity platform app registration](https://learn.microsoft.com/en-us/entra/identity-platform/quickstart-register-app)