Brukere, tilganger og identitet
Brukeroppsettet bør være ferdig nok til at de første ansatte kommer inn riktig første gang. Det betyr ikke at alle må være invitert, men at roller, innloggingsmodell og offboarding er bestemt før dere skalerer opp.
Velg riktig identitetsmodell
| Modell | Når den passer | Hva dere må passe på |
|---|---|---|
| Manuelle invitasjoner | små eller mellomstore utrullinger | rydd i roller og utløpte invitasjoner ofte |
| SSO uten SCIM | dere vil styre innlogging sentralt, men fortsatt vedlikeholde brukere lokalt | test matching for brukere som allerede finnes |
| SSO med SCIM | enterprise eller miljøer med høy turnover | avklar attributter, roller og hvem som eier livssyklusen |
Anbefalt minimumstilgang ved oppstart
| Rollegruppe | Anbefaling | Hvorfor |
|---|---|---|
| Org-admin | minst 2 personer | reduserer risiko ved ferie, sykdom eller rolleendringer |
| Godkjennere | minst 1 per kritisk avdeling eller flytspor | rapporter må ikke stoppe hos én person |
| Pilotbrukere | 5-20 personer | nok variasjon til å teste ekte bruk uten å overbelaste teamet |
| Enterprise-admin | kun sentrale eiere | denne rollen skal være liten og bevisst |
Slik setter dere opp tilgangene
- Legg til administratorer først.
- Opprett avdelinger og eventuelle prosjekter før dere tildeler godkjennere.
- Inviter pilotbrukere med lavest nødvendige privilegier.
- Test blokkering, deaktivering og rolleendring før full utrulling.
- Dokumenter hvem som kan opprette PAT, SAT, SCIM og integrasjoner.
Viktige regler når dere bruker SCIM
- matching av eksisterende brukere skjer på
userNameeller e-post - roller styres av SCIM-attributtet
roles, ikke av gruppe-medlemskap alene - avdeling settes via
departmenti enterprise-extension - tjenestekonto er anbefalt for SCIM, slik at provisjonering ikke er bundet til én person
Når dere bør bruke SSO før resten av brukerne inviteres
- IT krever sentral innlogging og rask offboarding
- brukerne finnes allerede i Entra ID, Okta eller Google Workspace
- flere organisasjoner skal bruke samme identitetsgrunnlag
- dere vil unngå lokale passord og manuell brukerpleie
Innsamling av kontonummer
Hvis refusjon håndteres helt utenfor Utleggsappen, kan innsamling av kontonummer slås av. Det bør bare gjøres når dere har verifisert at oppsettet ikke bruker EHF-faktura eller integrasjoner som krever kontonummer, som Visma Business NXT eller PowerOffice.
Kontrollpunkter før produksjon
- en ny bruker havner i riktig organisasjon og får riktig rolle
- en deaktivert bruker mister tilgang som forventet
- SSO oppretter eller kobler til riktig konto uten dubletter
- SCIM oppdaterer roller og avdeling riktig på testbrukere
- godkjennere ser oppgaver, men får ikke unødvendig admin-tilgang