> For the complete documentation index, see [llms.txt](https://docs.devolutions.net/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.devolutions.net/server/da/knowledge-base/how-to-articles/configure-microsoft-authentication-with-entra-id.md).

# Konfigurer Microsoft-godkendelse med Entra ID

Konfigurer Microsoft-godkendelse med Entra ID i Devolutions Server, herunder tilstande for programtilladelser og delegerede tilladelser samt appregistrering.

Konfigurer Microsoft Entra ID og Devolutions Server korrekt til at bruge Microsoft-godkendelse ved at følge vejledningen nedenfor.

Devolutions Server understøtter to godkendelsestilstande for logon med Microsoft: ***Programtilladelser*** (anbefalet standard) og ***Delegerede tilladelser*** (til lejere, hvor programtilladelser blokeres af en politik). Det er vigtigt at vælge den rigtige tilstand til Deres lejerpolitik, før proceduren startes, da omdirigerings-URI'erne og Microsoft Graph-tilladelserne afhænger af valget.

| Funktion                       | Program    | Delegeret                    |
| ------------------------------ | ---------- | ---------------------------- |
| ***Fungerer som***             | Programmet | En bruger med tjenestekonto  |
| ***Administratorsamtykke***    | Påkrævet   | Påkrævet for `*.All`-områder |
| ***Logongodkendelse***         | Ja         | Ja                           |
| ***PAM***                      | Ja         | Nej, brug Program            |
| ***Microsoft 365-e-mail***     | Ja         | Nej, brug programtilstand    |
| ***Opret brugere automatisk*** | Ja         | Ja                           |

## Krav <a href="#requirements" id="requirements"></a>

* Planlægningstjenesten til Devolutions Server er installeret og kører
* Et Microsoft Entra ID-abonnement
* Et Entra ID-webprogram til Devolutions Server-webprogrammet og cachen

## Appregistrering i Azure Portal

1. Log på [Microsoft Azure Portal](https://portal.azure.com) med administratorlegitimationsoplysninger.
2. Når De er logget på, skal De vælge ***Microsoft Entra ID*** i sektionen Azure-tjenester. Hvis De ikke kan se den, skal De klikke på ***Flere tjenester*** for at få vist andre tjenester eller søge efter den i søgefeltet.
3. I navigationsruden til venstre skal De klikke på rullemenuen og derefter vælge ***Appregistreringer***.
4. Klik på ***+ Ny registrering***.
5. Angiv et navn til programmet. Navnet bruges ikke uden for Azure Portal.
6. Angiv, hvilke ***understøttede kontotyper*** der må oprette forbindelse. Som regel er det mere end tilstrækkeligt at vælge ***Kun én lejer*** til godkendelse med Entra ID.
7. Angiv ***Omdirigerings-URI*** til ***Web***, og angiv URI'erne for den valgte godkendelsestilstand. Alle URI'er skal pege på den offentlige URL-adresse for Deres Devolutions Server-instans, inklusive en eventuel virtuel sti (for eksempel `https://dvls.contoso.com/dvls/api/...`):
   1. **Tilstand med programtilladelser**:
      1. Tilbagekald for brugerlogon: `https:///api/external-provider-response`.
      2. Gå til ***Godkendelse (forhåndsversion)*** – ***Indstillinger***, markér afkrydsningsfeltet ***Id-tokens (bruges til implicitte og hybride flows)***, og klik på ***Gem***.
   2. **Tilstand med delegeret tilladelse**:
      1. Tilbagekald for brugerlogon: `https:///api/external-provider-response`
      2. Binding af tjenestekonto, start: `https:///api/configuration/authentication/azure/connect`
      3. Binding af tjenestekonto, tilbagekald: `https:///api/configuration/authentication/azure/connect-callback`
8. Når alle de nødvendige oplysninger for den valgte tilstand er angivet, skal De klikke på ***Registrer***.
9. Vælg den appregistrering, De lige har oprettet, klik på ***Tilføj et certifikat eller en hemmelighed***, og klik derefter på ***Ny klienthemmelighed***.

{% hint style="warning" %}
Når klienthemmeligheden udløber, kan ingen oprette forbindelse til den tilknyttede Devolutions Server-instans. De skal derefter oprette en ny klienthemmelighed. Vi anbefaler, at De sætter en påmindelse inden udløbsdatoen.
{% endhint %}

10. Angiv en beskrivelse og en udløbsdato, og klik derefter på ***Tilføj***. Udløbsdatoen er påkrævet. Klienthemmeligheden kan ikke oprettes uden en.
11. Kopiér ***Værdi***. Sørg for at gemme den i en sikker note, før De skifter til en anden side i Azure Portal, da kopieringsknappen ikke længere er tilgængelig.
12. I sektionen ***API-tilladelser*** skal De klikke på ***+ Tilføj en tilladelse***.
13. Vælg ***Microsoft Graph***.
14. Vælg typen af API-tilladelse, og tilføj tilladelser ud fra godkendelsestilstanden:

| Tilstand                   | API-tilladelser                                                                                                                                                                        |
| -------------------------- | -------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| **Programtilladelser**     | `User.Read.All`, `Group.Read.All` (type Program) — administratorsamtykke påkrævet.                                                                                                     |
| **Delegerede tilladelser** | `User.Read` (type Delegeret, kan samtykkes af brugeren) plus `User.Read.All`, `Group.Read.All` (type Delegeret) til læsning af kataloget — administratorsamtykke påkrævet for `*.All`. |

{% hint style="info" %}
Selv om administratorsamtykke ikke kræves som standard, kan organisationen gennemtvinge samtykke til `openid`, `profile` og `offline_access` ved brugerens første logon. De kan tilføje disse tilladelser her for at fjerne den prompt.
{% endhint %}

15. Klik på ***Tilføj tilladelser***.
16. På siden ***Oversigt*** for appregistreringen skal De finde ***Program-id (klient)*** i sektionen ***Essentielle*** og ***Lejer-id*** i sektionen ***Grundlæggende oplysninger***. Hold siden åben, eller gem disse værdier i en sikker note. De skal bruges senere til konfigurationen af Devolutions Server, så hold siden åben.

## Konfiguration af godkendelsestilstand i Devolutions Server

1. Log på Devolutions Server, og gå til ***Administration*** – ***Serverindstillinger*** – ***Godkendelse***.
2. Under **Godkendelsestilstande** skal De sørge for, at **Godkend med Microsoft-bruger** er aktiveret.
3. Under **Konfiguration** skal De klikke på **Microsoft-godkendelse**.
4. I rullemenuen **Godkendelsestilstand** skal De vælge den godkendelsestilstand, der svarer til den registreringsapp, De lige har konfigureret, det vil sige ***Programtilladelser*** eller ***Delegerede tilladelser***.
5. Indsæt programmets lejer-id i feltet ***Lejer-id*** på konfigurationssiden ***Microsoft-godkendelse*** (se trin 16 i afsnittet Appregistrering i Azure Portal).
6. Indsæt ***Program-id (klient)*** i feltet ***Klient-id*** (se trin 16 i afsnittet Appregistrering i Azure Portal).

{% hint style="info" %}
Indstillingen ***Brug specifikt klient-id*** ***til cache for brugere og brugergrupper*** bør kun markeres ved migrering fra en Devolutions Server-version ældre end 2024.1. Hvis den aktiveres på en ren installation, kan brugercachen deaktiveres.
{% endhint %}

7. Indsæt ***Værdi*** i feltet ***Hemmelig værdi***.
8. I rullemenuen ***Type af brugerinteraktion ved logon*** skal De angive promptadfærden for logon med Entra ID:
   * ***Vælg konto*** (`select_account`): Viser altid kontovælgeren, også selv om brugeren allerede har en aktiv session.
   * Behold standarden for lydløst logon, når der allerede findes en gyldig session.
9. Kun for tilstanden ***Delegerede tilladelser***:
   * Angiv UPN for den brugerkonto, som Devolutions Server skal udgive sig for ved kald til Microsoft Graph (for eksempel `svc-dvls@contoso.com`).
   * Klik på ***Opret forbindelse til Microsoft***. Der åbnes et OAuth-logonvindue. Log på med tjenestekontoen for at binde den til Devolutions Server. Når OAuth-forløbet er gennemført, viser statussen ***Forbundet*** UPN for den bundne tjenestekonto.
   * Klik på ***Test forbindelse*** for at køre et delegeret kald til Graph API og kontrollere, at tokenet for tjenestekontoen fungerer korrekt.

{% hint style="info" %}
For at tilbagekalde det cachelagrede token og rydde bindingen af tjenestekontoen når som helst skal De klikke på ***Afbryd forbindelse***. Gør det, før De skifter tjenestekonto eller udskifter legitimationsoplysninger.

Udskiftning af klienthemmeligheden eller ændring af lejerkonfigurationen ugyldiggør automatisk det cachelagrede delegerede token. Ved ændring af tjenestekontoens adgangskode eller tilbagekaldelse af sessionen skal en administrator oprette forbindelse igen fra ***Administration – Serverindstillinger – Godkendelse – Microsoft-godkendelse***. Resten af konfigurationen bevares.
{% endhint %}

10. Når alle de påkrævede felter og indstillinger ovenfor er konfigureret, skal De klikke på ***Gem***.

De bør nu kunne bruge knappen ***Microsoft*** i webgrænsefladen for Devolutions Server.

{% hint style="info" %}
Når Microsoft-godkendelse er aktiveret, kan det tage et stykke tid, før cachen er indlæst, og De kan importere brugere og brugergrupper.
{% endhint %}

#### Samtykkeforløb

Afhængigt af lejerkonfigurationen indtræffer et af følgende resultater, når samtykket er håndteret:

| Scenarie                                                                                                        | Resultat                                                                      |
| --------------------------------------------------------------------------------------------------------------- | ----------------------------------------------------------------------------- |
| **Administrator giver lejeromfattende samtykke i portalen**                                                     | Lydløst — alle brugere er dækket, ingen pop op.                               |
| **Administrator giver ikke samtykke + tjenestekontoen har rollerne User Administrator og Groups Administrator** | Første logon viser en samtykkepop op. Tjenestekontoen kan give samtykke selv. |
| **Administrator giver ikke samtykke + tjenestekontoen kan ikke give samtykke selv**                             | Logon blokeret med `AADSTS65001.`                                             |

{% hint style="info" %}
For begrænsede lejere kan brugere, der ikke kan få lejeromfattende administratorsamtykke, stadig bruge ***Delegeret tilstand***, hvis de tildeler tjenestekontoen de to indbyggede Entra-roller ovenfor.
{% endhint %}

## Begrænsninger i delegeret tilstand <a href="#delegated-mode-limitations" id="delegated-mode-limitations"></a>

* Kun logon. PAM (privilegeret adgang) og integration med Microsoft 365-e-mail kræver ***Programtilladelser***. Hvis De bruger de funktioner, skal De beholde programtilstand eller køre en hybridkonfiguration med separate appregistreringer.
* Lejeromfattende læsning af kataloget. `User.Read.All` og `Group.Read.All` er lejeromfattende områder. Entra ID har ikke et indbygget delmængdeområde til OAuth. For at begrænse, hvilke brugere Devolutions Server kan oprette automatisk, skal De bruge indstillingen for begrænsning af automatisk oprettelse efter gruppe i selve Devolutions Server.
* Afhængighed af tjenestekonto. Delegeret tilstand binder Devolutions Server til identiteten for én tjenestekonto. Hvis tjenestekontoen deaktiveres, får skiftet adgangskode eller får sin session tilbagekaldt, skal en administrator oprette forbindelse igen via ***Administration*** – ***Serverindstillinger*** – ***Godkendelse*** – ***Microsoft-godkendelse***.
* Kun logon. Privileged Access Management (PAM) og integration med Microsoft 365-mail kræver programtilladelser. Hvis De bruger de funktioner, skal De beholde programtilstand eller opretholde en hybridkonfiguration med to separate appregistreringer.
* Binding til én konto. Delegeret tilstand knytter Devolutions Server til én tjenestekonto. Hvis kontoen deaktiveres eller får skiftet adgangskode, skal en administrator oprette forbindelse igen.

## Vedligeholdelsesnoter

#### Udskiftning af klienthemmelighed

Før klienthemmeligheden udløber, skal De oprette en ny på siden **Certifikater og hemmeligheder** for appregistreringen, indsætte den nye værdi i feltet **Hemmelig værdi** på siden *Microsoft-godkendelse* i Devolutions Server og klikke på **Gem**. Slet den gamle hemmelighed i appregistreringen først, når De har bekræftet, at logon stadig lykkes.

#### Udskiftning af tjenestekonto (delegeret tilstand)

Udskiftning af tjenestekontoens adgangskode, tilbagekaldelse af dens session eller udskiftning af klienthemmeligheden ugyldiggør det cachelagrede delegerede opdateringstoken. En administrator skal oprette forbindelse igen ved at klikke på **Afbryd forbindelse** og derefter **Opret forbindelse til Microsoft** på siden *Microsoft-godkendelse* med de opdaterede legitimationsoplysninger. Resten af konfigurationen bevares.

#### Første logon uden lejeromfattende administratorsamtykke (delegeret tilstand)

Hvis administratorsamtykke ikke blev givet i trin 14 i appregistreringen:

* Hvis tjenestekontoen har de indbyggede Entra-roller **User Administrator** og **Groups Administrator**, beder det første logon om samtykke, og tjenestekontoen kan acceptere det selv.
* Ellers mislykkes det første logon, indtil en Entra-administrator giver samtykke til tilladelserne `*.All`.

## Fejlfinding

| Symptom                                                                                                                                                                                       | Sandsynlig årsag                                                                                                                       | Løsning                                                                                                                                                                                                                                                                                        |
| --------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | -------------------------------------------------------------------------------------------------------------------------------------- | ---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| `AADSTS50011: The redirect URI specified in the request does not match the redirect URIs configured for the application` ved klik på **Opret forbindelse til Microsoft** i delegeret tilstand | Kun omdirigerings-URI'en for brugerlogon blev registreret på appregistreringen.                                                        | Under ***Microsoft Azure / Entra ID*** – ***Appregistreringer*** – ***Godkendelse*** – ***Konfiguration af omdirigerings-URI*** – ***Web*** skal De tilføje URI'erne `/api/configuration/authentication/azure/connect` og `/api/configuration/authentication/azure/connect-callback` og gemme. |
| Brugerlogon lykkes, men opslag i katalog eller grupper mislykkes med `Insufficient privileges`                                                                                                | De påkrævede Microsoft Graph-tilladelser `*.All` blev tilføjet, men der blev ikke givet administratorsamtykke.                         | På siden ***API-tilladelser*** for appregistreringen skal De klikke på ***Giv administratorsamtykke for*** `<tenant>`.                                                                                                                                                                         |
| Logon returnerer `invalid_client` eller `unauthorized_client`                                                                                                                                 | Klienthemmeligheden er udløbet, eller den værdi, der er indsat i Devolutions Server, stemmer ikke overens med den i appregistreringen. | Opret en ny klienthemmelighed, indsæt den nye værdi på siden *Microsoft-godkendelse* i Devolutions Server, og gem.                                                                                                                                                                             |
| I delegeret tilstand ryddes indikatoren ***Forbundet*** uventet                                                                                                                               | Adgangskoden til den bundne tjenestekonto blev udskiftet, dens sessioner blev tilbagekaldt, eller klienthemmeligheden blev ændret.     | Opret forbindelse igen fra siden *Microsoft-godkendelse* ved at klikke på ***Afbryd forbindelse*** og derefter ***Opret forbindelse til Microsoft*** med de opdaterede legitimationsoplysninger.                                                                                               |


---

# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.

## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation by asking a question.

Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters:

```
GET https://docs.devolutions.net/server/da/knowledge-base/how-to-articles/configure-microsoft-authentication-with-entra-id.md?ask=<question>&goal=<user_goal>
```

`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case.

The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.

Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.