Password manager med Active Directory, SSO og MFA

Derfor er Active Directory, SSO og MFA vigtige for virksomheder

I de fleste virksomhedsmiljøer findes der allerede en central identitetsadministration – klassisk Active Directory, i stigende grad Microsoft Entra ID. Her oprettes medarbejdere, vedligeholdes grupper og tildeles rettigheder. Hvert ekstra system med egen brugeradministration skaber dobbelt vedligeholdelse, forældede konti og uklare ansvarsforhold.

For en adgangskodeadministration gælder det i særlig grad: Den beskytter nøglerne til alle andre systemer. Tre byggesten afgør, om den føjer sig rent ind i virksomhedens IT: katalogintegrationen (brugere og grupper kommer fra AD i stedet for håndarbejde), Single Sign-on (adgang uden ekstra adgangskoderitual og dermed højere accept) og multifaktorgodkendelse (ekstra beskyttelse, hvis adgangsoplysninger kompromitteres). Tilsammen reducerer de administrationsbyrden og opfylder, hvad compliance-krav stiller til kontrollerede adgange.

Password manager med Active Directory: Hvad betyder det?

Vigtigt at slå fast: Det handler ikke om at gemme adgangskoder i Active Directory. AD-integrationen vedrører bruger-, gruppe- og adgangsadministrationen – de krypterede adgangskodedatabaser bliver i selve password manageren.

Konkret betyder det: Brugere og sikkerhedsgrupper importeres fra kataloget og holdes aktuelle via synkronisering. Den eksisterende organisationsstruktur – afdelinger, teams, projektgrupper – bliver dermed direkte grundlaget for rettighedstildelingen i password manageren:

• Central vedligeholdelse: Brugere og grupper findes præcis én gang – i katalogtjenesten. Password manageren overtager dem i stedet for at opbygge en parallel brugerverden.
• Rettigheder via grupper: Adgang til databaser og poster tildeles grupper og roller – ikke møjsommeligt pr. person.
• Enkel onboarding: Nye medarbejdere får med deres AD-gruppetilknytning automatisk de rette adgange til deres teams adgangskodebestande.
• Sikret offboarding: Deaktiveres en konto i kataloget, mister personen adgangen til password manageren med næste synkronisering – en central, sporbar proces i stedet for spredte enkelthandlinger.

SSO: Enklere adgang til adgangskodeadministrationen

Single Sign-on betyder: Den, der allerede er logget ind i virksomhedsnetværket, skal ikke logge ind på password manageren igen med separate adgangsoplysninger. For medarbejderne bortfalder et ekstra login-ritual – for IT-afdelingen bortfalder glemte ekstra-adgangskoder og de dertilhørende supportsager.

Den egentlige gevinst er dog strategisk: En adgangskodeadministration fungerer kun, hvis teamet faktisk bruger den. Enhver barriere ved adgangen driver medarbejderne tilbage til browserlagre og notessedler. SSO sænker denne barriere markant og forankrer password manageren som en selvfølgelig del af de eksisterende loginprocesser.

MFA: Ekstra sikkerhed for følsomme adgangsoplysninger

Multifaktorgodkendelse kræver ud over adgangskoden en anden faktor – f.eks. en hardwarenøgle eller en tidsbaseret engangskode (TOTP) fra en authenticator-app. Selv hvis adgangsoplysninger kompromitteres, forbliver adgangen lukket uden den anden faktor.

Ved en password manager er MFA særligt vigtig, fordi adgangene til mange andre systemer ligger samlet her. Det gælder i endnu højere grad for administratorkonti og teamdatabaser med vidtrækkende rettigheder: Den, der beskytter nøgledepotet, bør sikre døren dertil dobbelt.

Roller, rettigheder og grupper i den centrale adgangskodeadministration

Katalogintegration og autentificering regulerer, hvem der kommer ind – roller og rettigheder regulerer, hvad man må derinde. En professionel adgangskodeadministration til virksomheder besvarer her tre spørgsmål præcist: Hvem må se en post? Hvem må bruge den? Hvem må ændre den?

• Team- og afdelingsstrukturer: Fælles databaser afbilder organisationsenheder – hvert team ser kun sine egne bestande.
• Least privilege-princippet: Hver person får præcis de adgange, som opgaven kræver – ikke flere.
• Sikre delinger: Adgangskoder deles via berettigede databaser i stedet for at blive sendt rundt via e-mail eller messenger.
• Klare ansvarsforhold: Graduerede rettigheder og politikker gør det sporbart, hvem der er ansvarlig for hvad.

Auditlogs og compliance

Kontrolleret adgang er kun halvdelen – den skal også kunne dokumenteres. Et manipulationssikkert, kryptografisk kædet auditspor logger logins, adgang, ændringer af poster og administrative indgreb – efterfølgende ændringer bliver synlige. Dermed besvarer De det centrale auditspørgsmål “Hvem havde hvornår adgang til hvad?” ud fra loggen i stedet for hukommelsen. Hvordan dette konkret understøtter ISO 27001-kontroller, uddybes i vores artikel Password Depot Enterprise Server & ISO 27001.

Det er relevant for interne kontroller såvel som for eksterne krav: ISO-audits, forberedelsen på NIS2 og ansvarlighedskravene i GDPR forudsætter sporbare adgangsprocesser. En GDPR-konform adgangskodeadministration støtter sig her på roller, logning og kryptering som tekniske og organisatoriske foranstaltninger i henhold til artikel 32 i GDPR.

Password Depot Enterprise Server med Active Directory, SSO og MFA

Password Depot Enterprise Server har netop disse integrationer med – udviklet i Darmstadt siden 1998, i brug hos over 100.000 kunder:

• Active Directory: De importerer brugere og sikkerhedsgrupper fra AD – på tværs af flere domæner i en forest – og synkroniserer dem manuelt eller automatisk efter tidsplan. Databaser oprettes automatisk for nyregistrerede undergrupper.
• Microsoft Entra ID og OpenID Connect: Entra ID / Azure AD understøttes også; derudover kan OIDC identity providers som Entra ID, Auth0 eller PingIdentity tilsluttes. Login er hærdet: ID-tokens kontrolleres for signatur og audience, før de betros, usikre metoder som “alg=none” afvises, og leverandørens nøglerotationer overtages straks. Ved Multi-Tenant-synkronisering afbryder en fejlbehæftet tenant ikke længere de øvrige.
• Single Sign-on: Kerberos-SSO til login i virksomhedsnetværket – uden ekstra adgangskoderitual.
• Multifaktorgodkendelse: FIDO2/WebAuthn (f.eks. YubiKey) og TOTP via authenticator-app.
• Roller og politikker: Brugere, grupper og rettigheder styrer De centralt på serveren – med tre rettighedsniveauer for klare, sikre delinger.
• Auditlogs og SIEM: Logins, ændringer og adminhandlinger logges i et manipulationssikkert auditspor og eksporteres til Deres SIEM via Syslog (RFC 5424, UDP/TCP/TLS).
• REST API v2.0: Til DevOps-pipelines, automatisering og interne AI-workflows.

Driften foregår fuldstændigt under Deres kontrol – on-premises, i en privat cloud eller i egen Azure-tenant. Heller ikke katalogintegrationen kræver en producent-cloud. Hvorfor denne driftsmodel er udslagsgivende for mange virksomheder, forklarer vores artikel On-premises password manager. Sikkerhedsarkitekturen kan efterprøves: AES-256 (FIPS 197), TLS 1.3, SySS-penetrationstest (12/2025) med resultatet „der blev ikke fundet alvorlige sårbarheder“ og et ISO/IEC 27001:2022-certificeret ISMS hos producenten AceBIT (TÜV NORD).

Typiske anvendelsesscenarier

• IT-afdelinger administrerer admin- og tjenesteadgange centralt – med MFA for de mest kritiske konti.
• Virksomheder styrer adgange via AD-grupper: Katalogstrukturen bestemmer, hvilket team der ser hvilke adgangskodebestande.
• Nye medarbejdere får via deres gruppetilknytning kontrolleret adgang til de nødvendige adgange fra dag ét.
• Fratrædende medarbejdere mister adgangen centralt med kontodeaktiveringen i kataloget – sporbart i loggen.
• Bureauer og tjenesteydere organiserer kundeadgange efter teams og deler dem kontrolleret.
• Compliance-drevne organisationer dokumenterer interne sikkerhedskrav med rollemodel og auditlogs.

Hvad virksomheder bør være opmærksomme på ved valget

• Active Directory-integration: Import og synkronisering af brugere og grupper – ideelt på tværs af flere domæner og efter tidsplan.
• SSO-understøttelse: Login via den eksisterende virksomhedsautentificering i stedet for separate adgangsoplysninger.
• MFA-understøttelse: Moderne metoder som FIDO2/WebAuthn og TOTP.
• Rettigheds- og rollekoncept: Graduerede rettigheder helt ned på database- og postniveau.
• Auditlogs: Logning med mulighed for eksport til Deres SIEM.
• Enkel administration: Central styring i stedet for spredt enkeltkonfiguration.
• Brugervenlighed: Klienter til alle gængse platforme – ellers opstår der ny skygge-IT.
• Skalerbarhed: Løsningen skal vokse med antallet af brugere og organisationsstrukturen.
• Driftsmodel: On-premises- eller self-hosted-drift, når datasuverænitet og compliance kræver det.
• Support og vedligeholdelse: Klar opdateringsproces og en producent-support, der kan nås.

Konklusion: Integrationen afgør nytteværdien

En password manager med Active Directory, SSO og MFA føjer sig ind i de strukturer, Deres IT allerede vedligeholder – i stedet for at skabe en ekstra brugeradministration. Det sænker administrationsbyrden, øger accepten i teamet og leverer den dokumentation, som audits og databeskyttelse kræver. Password Depot Enterprise Server har disse integrationer med og forbliver samtidig fuldstændigt under Deres kontrol.

Efterprøv det i Deres eget miljø: Test Enterprise Server gratis i 30 dage med Deres Active Directory, oplev løsningen i en live-demo, eller anmod om et uforpligtende tilbud til Deres antal brugere.

Ofte stillede spørgsmål om Active Directory, SSO og MFA

Hvad får man ud af en password manager med Active Directory?

Brugere og grupper kommer fra det eksisterende katalog i stedet for dobbelt vedligeholdelse: Rettigheder følger organisationsstrukturen, onboarding kører via gruppetilknytningen, offboarding via den centrale kontodeaktivering. Selve adgangskoderne forbliver krypteret i password manageren – ikke i AD.

Hvorfor giver SSO mening i en enterprise password manager?

SSO fjerner den største brugsbarriere: Medarbejderne tilgår deres adgange uden et separat login-ritual. Det øger accepten af løsningen og reducerer supportsager på grund af glemte ekstra-adgangskoder.

Hvorfor bør en password manager understøtte MFA?

I password manageren ligger adgangene til mange andre systemer samlet. MFA beskytter denne bestand, selv hvis adgangsoplysninger kompromitteres – særligt vigtigt for admin-konti og teamdatabaser.

Kan en password manager bruge brugergrupper fra Active Directory?

Ja. Password Depot Enterprise Server importerer brugere og sikkerhedsgrupper fra Active Directory – også på tværs af flere domæner i samme skov – og holder dem aktuelle via synkronisering, manuelt eller automatisk efter tidsplan.

Hvad er forskellen mellem SSO og MFA?

SSO forenkler login: Et eksisterende virksomhedslogin åbner også password manageren. MFA forstærker login: Ud over adgangskoden kræves en anden faktor, f.eks. en hardwarenøgle eller en engangskode. De supplerer hinanden – komfort og beskyttelse udelukker ikke hinanden.

Giver en password manager med Active Directory mening for GDPR og compliance?

Ja. Centralt styrede, gruppebaserede adgange og logførte ændringer understøtter de tekniske og organisatoriske foranstaltninger i henhold til artikel 32 i GDPR og leverer solide svar i ISO-audits og ved NIS2-forberedelsen. Udførligt i artiklen GDPR password manager til virksomheder.

Understøtter Password Depot Enterprise Server Active Directory, SSO og MFA?

Ja: AD-import og -synkronisering (også på tværs af flere domæner), Microsoft Entra ID og OIDC-udbydere, Kerberos-SSO samt MFA med FIDO2/WebAuthn og TOTP. Alle detaljer fremgår af funktionsoversigten for Enterprise Server.