CloudPortal · Säkerhet & åtkomst
Bestäm vem som får göra vad i CloudPortal
Varje person får en roll och de behörigheter arbetet kräver. Inloggningen går via er identitetsleverantör, och viktiga händelser hamnar i organisationens logg. Konsulter, integrationer och AI-assistenter får bara det ni ger dem, och åtkomsten upphör av sig själv.
- Sex roller, och undantag per medlem med Tillåt, Neka eller Ärv
- SSO med Microsoft Entra ID utan appregistrering, SCIM och krav på MFA
- Ingen kan ge bort mer behörighet än hen själv har
Rätt behörighet för varje person
Rollen ger grundbehörigheterna. Därifrån kan ni finjustera per person eller grupp och välja vilka moduler organisationen använder.
Sex roller
Ägare, Administratör, Operatör, Medlem, Visare och Support. Bara en ägare kan utse eller ta bort en ägare.
Undantag per medlem
Välj Tillåt, Neka eller Ärv för varje behörighet i modulerna. Medlemmar med anpassade behörigheter märks i medlemslistan, så att de är lätta att se över.
Grupper
Samla personer som ska ha samma modulbehörigheter i en grupp. Grupper kan också komma från er identitetsleverantör via SCIM.
Moduler för hela organisationen
Varje modul kan vara aktiv, ej aktiverad eller dold. En dold modul syns inte alls för någon i organisationen.
Er IT-leverantörs åtkomst syns
En roll hos leverantören ger i sig ingen åtkomst till er organisation. Det krävs ett medlemskap, en roll som leverantören tilldelar eller en delegering från er. I medlemslistan ser ni vilka hos leverantören som når organisationen och vad de får göra.
Inloggning via er identitetsleverantör
Era användare loggar in med sina vanliga organisationskonton. SSO avgör hur man loggar in, inte vem som får komma in: den som loggar in måste redan vara medlem i organisationen.
Microsoft Entra ID i tre steg
Bevisa domänen med en TXT-post, låt en Entra-administratör godkänna anslutningen och logga in en gång. Ni behöver varken skapa en appregistrering eller hantera någon client secret.
Andra leverantörer via OpenID Connect
Använder ni inte Entra ID ansluter ni en annan leverantör, till exempel OneLogin, som OpenID Connect.
Kräv SSO och MFA
Kräv att alla loggar in via er identitetsleverantör. Med Kräv MFA måste alla som loggar in med lösenord ha tvåstegsverifiering, även leverantörens personal.
Konton via SCIM
Med SCIM skapar och uppdaterar er identitetsleverantör användarna, och grupper kopplas till roller. Tas någon bort ur en grupp kan rättigheten tas bort automatiskt.
Tillfällig åtkomst som upphör av sig själv
Leverantörens personal, konsulter, integrationer och AI-assistenter kan få åtkomst utan att bli vanliga medlemmar. Grundregeln är densamma: ingen kan ge bort mer än hen själv har, och åtkomsten har ett slutdatum.
Leverantörens personal
Delegering
Låna ut utvalda modulbehörigheter till en person hos er IT-leverantör, till exempel under en migrering. Personen blir inte medlem och ser varken era inställningar eller er medlemslista.
- Upphör senast efter 90 dagar
- Känsliga behörigheter kan inte lånas ut
- Kan återkallas direkt
Konsulter
Extern gäst
Ge en konsult eller samarbetspartner utanför organisationen och leverantören just de behörigheter arbetet kräver.
- Upphör senast efter 365 dagar
- En ansvarig och ett syfte måste anges
- Ingen roll och inga grupper
Integrationer
API-nyckel
En nyckel hör till organisationen och når bara modulernas API, aldrig inloggning, medlemmar eller inställningar. Känsliga behörigheter ingår aldrig.
- Upphör senast efter 365 dagar
- Visas en enda gång när den skapas
- Slutar fungera om den som skapade den inte längre administrerar organisationen
AI-assistenter
AI-anslutning via MCP
Anslutningen sker via inloggningen i CloudPortal, och ni väljer organisation och rättigheter. Ändringar blir förslag som en behörig person godkänner i portalen, om inte organisationen har valt annat för vanliga ändringar.
- Gäller i 30 dagar och upphör efter 14 dagar utan användning
- Känsliga poster och borttagningar väntar alltid på en person
- AI är avstängt tills organisationen slår på det
Spårbart i efterhand
När något har ändrats ska det gå att se vem som gjorde det och när.
Organisationens logg
Inbjudningar, rolländringar och ändrade inställningar, med tidpunkt, händelse och användare. Filtrera på modul, händelsetyp och datum.
Ändringar i DNS
Senaste ändringar visar vem som ändrade vad, när och med vilket utfall, med värdet före och efter. Den som ändrade kan vara en person, en API-nyckel eller systemet.
Anrop från AI
Varje anrop från en AI-assistent loggas, även anrop som nekas, och syns i organisationens logg.
Loggen visar händelser, identifierare och status, inte hela innehållet i det som ändrats. Den är till för uppföljning, inte för säkerhetskopiering eller återställning.
Vanliga frågor
Skapar SSO konton automatiskt?
Nej. SSO avgör bara hur en person loggar in. Den som loggar in måste redan vara medlem i organisationen, till exempel efter en inbjudan. Vill ni att konton skapas automatiskt från er identitetsleverantör använder ni SCIM.
Kan vi kräva tvåstegsverifiering?
Ja. Med Kräv MFA måste alla som loggar in med lösenord och når organisationen ha tvåstegsverifiering, även er IT-leverantörs personal. Den som saknar det sätter upp det vid nästa inloggning. Inloggning via SSO räknas som uppfylld.
Kan vi bli utelåsta om SSO slutar fungera?
Inställningen Tillåt lokalt login för ägare behåller inloggning med lösenord som reserv för ägare, även när SSO krävs. Stänger ni av den måste ni bekräfta att det finns en annan administrativ väg in.
Vad kan vår IT-leverantör se i vår organisation?
Leverantörens personal når organisationen genom en roll som leverantören tilldelar, eller genom en delegering från er. En roll hos leverantören ger i sig ingen åtkomst. I medlemslistan ser ni vilka hos leverantören som når organisationen och vad de får göra.
Kan en AI-assistent ändra DNS utan att någon godkänner det?
Bara om organisationen har valt det. Som standard blir varje ändring ett förslag som en behörig person godkänner i portalen. En administratör kan låta vanliga ändringar genomföras direkt, men känsliga poster och alla borttagningar väntar alltid på en person.
Hur länge gäller tillfällig åtkomst?
En delegering till leverantörens personal gäller högst 90 dagar och en extern gäst högst 365 dagar. En API-nyckel gäller högst 365 dagar och en AI-anslutning 30 dagar. Allt kan avslutas tidigare.
Se hur åtkomsten fungerar i praktiken
Vi visar roller, SSO och loggen i portalen, utifrån hur er organisation ser ut.