Microsoft Entra ID

Med Microsoft Entra ID (tidigare Azure AD) loggar användarna in i Eurion med sitt Microsoft-konto. Inloggningen använder OpenID Connect med PKCE; Eurion kontrollerar ID-tokens signatur, giltighetstid och nonce.

Exemplen använder domänen example.se.

1. Registrera en app i Entra ID

I Microsoft Entra admin center: App registrations → New registration.

Fält	Värde
Name	Till exempel Eurion
Supported account types	Accounts in this organizational directory only
Redirect URI	Plattform Web, adress https://api.example.se/v1/auth/azure/callback

Efter registreringen:

1. Notera Application (client) ID och Directory (tenant) ID under Overview.
2. Under Certificates & secrets → New client secret: skapa en hemlighet och kopiera Value direkt (den visas bara en gång). Notera när den går ut.
3. Under API permissions: behörigheterna openid, profile, email och offline_access (Microsoft Graph, delegated) räcker för inloggning.

E-postadressen

Eurion identifierar användaren med claimet email, eller preferred_username om email saknas. Användarna behöver alltså en e-postadress eller ett UPN som är deras riktiga adress.

2. Ställ in Eurion

Logga in på https://admin.example.se och öppna Identity Providers → Microsoft Azure AD → Configuration.

Fält	Värde
Enable Azure AD Sign-in	På
Tenant ID	Directory (tenant) ID
Client ID (Application ID)	Application (client) ID
Client Secret	Hemlighetens Value. Sparas krypterad. Lämna tomt för att behålla en sparad hemlighet.
Callback URI	Förifylld: https://api.example.se/v1/auth/azure/callback. Ska vara exakt samma som i Entra ID.
Post-logout Redirect URI	Förifylld: https://app.example.se
Groups Claim Name	groups (används bara för gruppmappning)
Default Roles	Roller som alla nya Entra-användare får, standard member

Välj Save Configuration. Rutan Authority URL visar https://login.microsoftonline.com/<tenant>/v2.0.

3. Testa

Öppna https://app.example.se i ett privat webbläsarfönster. Inloggningssidan har nu knappen Microsoft Entra ID. Logga in med ett testkonto som inte är administratör i Eurion.

Så kopplas konton

Första gången någon loggar in med Microsoft gör Eurion så här:

Situation	Resultat
Det finns redan ett Eurion-konto med samma e-postadress	Kontot kopplas till Microsoft-kontot. Från och med nu loggar användaren in med Microsoft, och rollerna ersätts med Default Roles plus mappade grupper.
Det finns inget konto	Ett nytt konto skapas med Default Roles plus mappade grupper.

Senare inloggningar uppdaterar namn och profilbild från Entra ID och lägger till roller från nya gruppmappningar. Roller tas aldrig bort automatiskt.

Nya konton och organisationen

I 1.6.4 hamnar ett konto som skapas vid första Microsoft-inloggningen inte automatiskt i er organisation i Eurion. Konton som redan finns och kopplas (första raden i tabellen) behåller sin organisation. Kontakta support innan ni låter många användare logga in med Microsoft för första gången.

Behåll en lokal superadministratör

Logga aldrig in med Microsoft på det lokala superadministratörskontot

Om superadministratörens e-postadress också finns i Entra ID och någon loggar in med Microsoft med den adressen, kopplas kontot. Då:

• ersätts rollerna med Default Roles (plus mappade grupper), så kontot kan förlora superadministratörsrollen, och
• kontot får inget lösenord i Eurion längre, så det kan inte bekräfta lösenord och kan inte installera uppdateringar.

Använd en e-postadress för den lokala superadministratören som inte finns i Entra ID, till exempel eurion-admin@example.se.

Gruppmappning

Under Identity Providers → Microsoft Azure AD → Group Mappings kan du ge roller utifrån grupper i Entra ID.

1. I Entra ID: appens Token configuration → Add groups claim, välj Security groups och Group ID. ID-token innehåller då claimet groups med gruppernas Object ID.
2. I Eurion: Add Mapping med gruppens Object ID (och gärna ett visningsnamn) och vilken roll den ger: member, developer, admin, super-admin, moderator eller guest.

Rollerna läggs till vid nästa inloggning. Under Users i samma vy ser du vilka som loggat in med Entra ID, deras grupper och senaste synkronisering.

WARNING

Mappa inte en grupp till super-admin eller admin om du inte vet exakt vilka som är med i gruppen. Rollerna tas inte bort automatiskt när någon lämnar gruppen; ta bort dem för hand i Eurion.

När hemligheten går ut

Skapa en ny hemlighet i Entra ID innan den gamla går ut, klistra in den i Client Secret och spara. Utan giltig hemlighet misslyckas alla Microsoft-inloggningar; lokala konton fungerar fortfarande.

Felsökning

Fel	Orsak
Knappen syns inte	Leverantören är inte påslagen, eller Tenant ID / Client ID saknas.
Azure AD is not fully configured	Hemligheten saknas eller kunde inte läsas. Klistra in den igen.
Microsoft visar redirect URI mismatch (AADSTS50011)	Callback URI i Eurion och Redirect URI i Entra ID är inte identiska.
ID token missing email claim	Användaren har varken email eller preferred_username.
Linked Eurion account is inactive or deleted	Eurion-kontot är spärrat eller borttaget.

Loggen finns i identity-service: sudo eurion-ctl logs identity-service --no-follow -n 200.