Inloggning och identitet¶

Den här sidan är skriven för IT och säkerhet: de som ska godkänna hur Colleag loggar in era medarbetare, och som senare ska kunna förklara det. Den beskriver vilken katalog som loggar in folk, vad Colleag läser vid inloggningen, hur en inloggning blir medlem i er organisation och hur man tar bort åtkomst.

Hur man loggar in i vardagen står i Logga in. Behörighetsnivåerna står i Inställningar och administration.

Kort version¶

Colleag sparar inga lösenord. En Microsoft-katalog loggar in era medarbetare, med den MFA katalogen kräver. Colleag kontrollerar den signerade token som katalogen utfärdar.
En person är sin katalog och sitt kontos id, två värden som aldrig ändras så länge kontot finns. E-postadressen är inte identiteten.
Medlemskap och behörighetsnivå sätts i Colleag, under Settings → Members, inte i er katalog. Katalogen säger bara vem någon är.
Adressen används en gång, när någon accepterar en inbjudan. Därefter spelar det ingen roll om kontot byter namn eller adress, och ett annat konto med samma adress ärver inte medlemskapet.
En borttagen medlem stoppas vid nästa anrop: i webbappen, i Microsoft Teams och i AI-verktyg som är kopplade till Colleag.
Konton utan e-postlåda fungerar. Matchningen sker på kontots id, inte på e-posten.

Vilken katalog som loggar in era medarbetare¶

Det beror på hur ni kör Colleag. Se Driftsätt och datasäkerhet.

Så kör ni Colleag	Katalog	Konton
Colleags molntjänst	Colleags egen inloggningskatalog hos Microsoft (Microsoft Entra External ID)	Var och en registrerar sig med sin jobbadress och ett lösenord första gången de accepterar en inbjudan.
I er Azure	Er Microsoft Entra: katalogen som följer med Microsoft 365	Medarbetarnas befintliga jobbkonton, med er MFA och era regler för villkorsstyrd åtkomst. Inget nytt att registrera.
On-premises	Er identitetsleverantör (OpenID Connect, till exempel Keycloak)	Konton i den leverantören.

I er Azure använder Colleag två appregistreringar i er katalog:

colleag-web: inloggningssidan medarbetarna skickas till. Den har återvändsadressen och en klienthemlighet i ert Key Vault.
colleag-api: tjänsten som token utfärdas för.

Er IT kan granska dem, begränsa vem som får använda dem och återkalla dem när som helst, som för vilken annan applikation med enkel inloggning som helst.

Vad Colleag läser vid inloggningen¶

Katalogen utfärdar en kortlivad signerad token. Colleag kontrollerar signaturen, att den kommer från den enda katalog som installationen litar på och att den är utfärdad för Colleag. En token från en annan katalog avvisas innan något annat tittas på. Ur token läser Colleag:

Värde	Vad det är	Vad Colleag använder det till
Tenant-id (`tid`)	Er katalog	Ena halvan av personens identitet
Objekt-id (`oid`)	Kontot i katalogen	Andra halvan
E-post, inloggningsnamn (`email`, `preferred_username`, `upn`)	Kontots adresser, så långt katalogen skickar dem	Att matcha en inbjudan, en gång
Namn	Visningsnamnet	Att visa vem som gjorde vad
App-roll (`roles`)	Bara i er Azure: en Colleag-roll som er katalog tilldelar på `colleag-api`	Om den finns sätter den nivån (se nedan)

Colleag läser inga gruppmedlemskap, inga profiluppgifter utöver dessa och ingenting ur personens e-postlåda, om inte personen själv kopplar sitt Microsoft 365-konto för e-postutkast. Den kopplingen är separat och personen ger den själv.

Så blir en inloggning en medlem¶

flowchart LR
    S["Inloggning<br/>katalog + konto-id"] --> F{"En medlem med<br/>den identiteten?"}
    F -->|ja| M["Medlem, på den nivå<br/>som satts i Colleag"]
    F -->|nej| I{"En inbjudan eller en ny<br/>medlemsrad för någon av<br/>kontots adresser?"}
    I -->|ja| B["Kopplad till den här<br/>identiteten från och med nu"] --> M
    I -->|nej| N["Inloggad,<br/>ingen organisation"]

Via identiteten. Colleag letar efter en medlem med den här katalogen och det här konto-id:t. Så går varje vanlig inloggning till.
Via adressen, en gång. Finns ingen sådan letar Colleag efter en inbjudan, eller en medlem som ingen har loggat in som ännu, för någon av kontots adresser. Adressen kan vara e-posten eller inloggningsnamnet: på ett jobbkonto kan de skilja sig åt, och vissa konton har ingen e-post alls. Medlemmen kopplas då till den här identiteten för gott.
Annars är personen inloggad men tillhör ingen organisation, och ser ingenting av ert.

Situation	Vad som händer
Någon byter namn eller e-postadress i er katalog	Ingenting. De är fortfarande samma medlem.
Ett nytt konto dyker upp med en adress som en medlem använt tidigare	Det är inte den medlemmen. För att flytta ett medlemskap till ett nytt konto tar ni bort den gamla medlemmen och bjuder in adressen igen.
Någon accepterar en inbjudan med ett konto som inte har den inbjudna adressen	Inbjudan avvisas och talar om vilken adress den skickades till.
Ett jobbkonto saknar e-postlåda	Det fungerar. Inbjudan matchas mot inloggningsnamnet.

Var behörighetsnivån kommer ifrån¶

Nivån är Viewer, Editor, Admin eller Owner. En admin sätter den under Settings → Members, och nivåerna beskrivs i Inställningar och administration. Grupper i er katalog ändrar den inte, så nivån syns och granskas på ett enda ställe, bredvid vem som satte den.

I er Azure finns ett undantag. Om er katalog tilldelar kontot en av Colleags app-roller på colleag-api (org-viewer, org-engineer, org-admin, org-owner) är det den rollen som avgör nivån. Tilldela inga app-roller om ni vill att Settings → Members ska vara det enda stället.

Ta bort åtkomst¶

Vad ni gör	Effekt
Tar bort medlemmen under Settings → Members	Ingen åtkomst från och med nästa anrop, i webbappen, i Teams och i AI-verktyg. Dokument och historik stannar i organisationen.
Ändrar nivån	Gäller från och med nästa anrop.
Inaktiverar eller tar bort kontot i er katalog (i er Azure)	Personen kan inte logga in igen. En webbläsare som redan är inloggad slutar fungera när inloggningstoken ska förnyas nästa gång, normalt inom en timme.
Återkallar appregistreringen (i er Azure)	Ingen i er katalog kan logga in i Colleag.

Vill ni stoppa någon direkt tar ni bort personen i Colleag.

AI-verktyg¶

Kodverktyg som Claude Code eller Cursor kopplas till Colleag via AI tool access, som en admin slår på under Settings → AI tool access. Personen loggar in i webbläsaren via samma katalog och är samma medlem, på samma nivå. Varje anrop kontrolleras mot medlemskapet när det görs, och varje anrop finns i granskningsloggen (Audit trail) på den sidan.

När något inte stämmer¶

Vad ni ser	Oftast
Någon loggar in men ser ingen organisation	Ingen inbjudan har accepterats med det kontot, eller så gick inbjudan till en adress som kontot inte har. Kontrollera Settings → Members och väntande inbjudningar.
En inbjudan säger att den skickades till en annan adress	Kontot som loggade in har inte den adressen som e-post eller inloggningsnamn. Logga in med det inbjudna kontot, eller bjud in den adress kontot har.
Någon som slutat syns fortfarande som medlem	Att ta bort kontot i er katalog stoppar inloggningen, men medlemmen står kvar tills en admin tar bort den i Colleag.

Nästa: Driftsätt och datasäkerhet →