Tildel roller via Entra-sikkerhedsgrupper
Kobl Microsoft Entra-grupper til Ressourcify-roller, så adgang styres centralt fra Azure.
Ressourcify læser brugerens Entra-gruppemedlemskaber ved hvert login og tildeler roller derudfra. Du administrerer kun grupper i Entra — Ressourcify holder sig synkroniseret automatisk.
Hvilke grupper bruges
Du skal oprette fire grupper i Entra. Navnene er forslag; det er gruppe-ID'et der gemmes i Ressourcify, så navnet er kosmetisk.
| Entra-gruppe (forslag) | Funktion | Ressourcify-rolle |
|---|---|---|
ressourcify-users | Adgangsspærre — uden medlemskab blokeres login | RESOURCE (baseline) |
ressourcify-admin | Fuld admin | ORG_ADMIN |
ressourcify-dept-admin | Afdelings-admin | DEPT_ADMIN |
ressourcify-koordinator | Team-koordinator | COORDINATOR |
Alle der består users-gruppe-tjekket får automatisk RESOURCE-rollen
oveni — uanset hvilke andre grupper de er i. Der findes ingen Entra-mapping
for VIEWER; den tildeles manuelt af en ORG_ADMIN.
Kobl grupperne til Ressourcify
- Hent Object ID for hver gruppe i Azure-portalen:
Microsoft Entra ID → Grupper → [vælg gruppe] → Egenskaber → Object ID - I Ressourcify: gå til Indstillinger → Entra-integration.
- Indsæt Object ID i de fire felter:
- Users-gruppe (adgangsspærre — anbefalet)
- ORG_ADMIN-gruppe
- DEPT_ADMIN-gruppe
- COORDINATOR-gruppe
- Klik Gem.
Sætter du ikke users-gruppen op, kan alle i hele tenant'en logge ind.
Anbefalet praksis: opret altid ressourcify-users og tilføj kun licens-bærende
brugere.
Test rolle-tildelingen
- Tilføj en testbruger til
ressourcify-admin-gruppen. - Vent 5-10 minutter — Entras gruppemedlemskab kan have lag.
- Bed brugeren logge ind på Ressourcify.
- Gå til Brugere og verificér at brugeren har rollen
ORG_ADMIN.
Fjern en rolle igen
Fjern brugeren fra Entra-gruppen og bed dem logge ud og ind igen.
Rollen genberegnes kun ved login. En aktiv session beholder de roller den blev oprettet med, indtil sessionen udløber (12 timer).
Scope: hvorfor er det altid ORG?
Entra-mapping bruger altid scopeType: ORG med scopeId lig organisationens ID.
Det giver DEPT_ADMIN adgang til alle afdelinger via en wildcard-konvention.
Vil du have en DEPT_ADMIN med adgang til kun én afdeling, skal du:
- Fjerne brugeren fra
ressourcify-dept-admin-gruppen. - Manuelt tildele
DEPT_ADMINmedscopeType: DEPTog det specifikkescopeIdvia Brugere → [bruger] → Rediger roller.
Læs mere i RBAC scope-model.