Passordbehandler med Active Directory, SSO og MFA

Hvorfor Active Directory, SSO og MFA er viktig for bedrifter

I de fleste bedriftsmiljøer finnes det allerede en sentral identitetsforvaltning – klassisk Active Directory, i økende grad Microsoft Entra ID. Der opprettes ansatte, grupper vedlikeholdes og rettigheter tildeles. Hvert ekstra system med egen brukeradministrasjon skaper dobbeltarbeid, utdaterte kontoer og uklare ansvarsforhold.

For en passordadministrasjon gjelder dette i særlig grad: Den beskytter nøklene til alle andre systemer. Tre byggesteiner avgjør om den føyer seg ryddig inn i bedriftens IT: katalogintegrasjonen (brukere og grupper kommer fra AD i stedet for manuelt arbeid), Single Sign-on (tilgang uten et ekstra passordrituale, og dermed høyere aksept) og flerfaktorautentisering (ekstra beskyttelse hvis påloggingsdata kompromitteres). Sammen reduserer de administrasjonsarbeidet og oppfyller det compliance-kravene stiller til kontrollerte tilganger.

Passordbehandler med Active Directory: Hva betyr det?

Viktig først: Det handler ikke om å lagre passord i Active Directory. AD-integrasjonen gjelder bruker-, gruppe- og tilgangsadministrasjonen – de krypterte passorddatabasene blir værende i selve passordbehandleren.

Konkret betyr det: Brukere og sikkerhetsgrupper importeres fra katalogen og holdes oppdatert gjennom synkronisering. Den eksisterende organisasjonsstrukturen – avdelinger, team, prosjektgrupper – blir dermed direkte grunnlaget for rettighetstildelingen i passordbehandleren:

• Sentralt vedlikehold: Brukere og grupper finnes nøyaktig én gang – i katalogtjenesten. Passordbehandleren overtar dem i stedet for å bygge opp en ny brukerverden.
• Rettigheter via grupper: Tilgang til databaser og oppføringer tildeles grupper og roller – ikke møysommelig per person.
• Enkel onboarding: Nye medarbeidere får automatisk de riktige tilgangene til teamets passordbestand gjennom AD-gruppetilhørigheten sin.
• Sikret offboarding: Deaktiveres en konto i katalogen, mister personen tilgangen til passordbehandleren ved neste synkronisering – en sentral, sporbar prosess i stedet for spredte enkelttiltak.

SSO: Enklere tilgang til passordadministrasjonen

Single Sign-on betyr: Den som allerede er pålogget i bedriftsnettverket, trenger ikke å logge på passordbehandleren på nytt med separate påloggingsdata. For de ansatte bortfaller et ekstra påloggingsrituale – for IT bortfaller glemte tilleggspassord og supportsakene som følger med.

Den egentlige gevinsten er imidlertid strategisk: En passordadministrasjon fungerer bare hvis teamet faktisk bruker den. Hver terskel ved tilgangen driver ansatte tilbake til nettleserlagring og notatlapper. SSO senker denne terskelen betydelig og forankrer passordbehandleren som en selvfølgelig del av de eksisterende påloggingsprosessene.

MFA: Ekstra sikkerhet for sensitive påloggingsdata

Flerfaktorautentisering krever en andre faktor i tillegg til passordet – for eksempel en maskinvarenøkkel eller en tidsbasert engangskode (TOTP) fra en autentiseringsapp. Selv om påloggingsdata kompromitteres, forblir tilgangen stengt uten den andre faktoren.

For en passordbehandler er MFA spesielt viktig, fordi tilgangene til mange andre systemer ligger samlet her. Det gjelder i enda større grad administratorkontoer og team-databaser med omfattende rettigheter: Den som beskytter nøkkeldepotet, bør sikre døren dit dobbelt.

Roller, rettigheter og grupper i den sentrale passordadministrasjonen

Katalogintegrasjon og autentisering regulerer hvem som kommer inn – roller og rettigheter regulerer hva vedkommende kan gjøre der. En profesjonell passordadministrasjon for bedrifter besvarer tre spørsmål presist: Hvem kan se en oppføring? Hvem kan bruke den? Hvem kan endre den?

• Team- og avdelingsstrukturer: Felles databaser gjenspeiler organisasjonsenhetene – hvert team ser bare sin egen bestand.
• Least-Privilege-prinsippet: Hver person får nøyaktig de tilgangene oppgaven krever – ikke flere.
• Sikre delinger: Passord deles via databaser med rettighetsstyring i stedet for å sendes videre per e-post eller meldingsapp.
• Tydelige ansvarsforhold: Graderte rettigheter og retningslinjer gjør det sporbart hvem som har ansvar for hva.

Audit-logger og compliance

Kontrollerte tilganger er bare halve jobben – de må også kunne dokumenteres. Et manipulasjonssikkert, kryptografisk kjedet auditspor logger pålogginger, tilganger, endringer i oppføringer og administrative inngrep – etterfølgende endringer blir synlige. Dermed besvarer dere det sentrale auditspørsmålet “Hvem hadde tilgang til hva, og når?” fra loggen i stedet for fra hukommelsen. Hvordan dette konkret støtter ISO 27001-kontroller, utdyper artikkelen vår Password Depot Enterprise Server & ISO 27001.

Dette er relevant for interne kontroller så vel som for eksterne krav: ISO-revisjoner, forberedelser til NIS2 og ansvarlighetsprinsippet i GDPR forutsetter sporbare tilgangsprosesser. En passordadministrasjon i samsvar med GDPR bygger her på roller, loggføring og kryptering som tekniske og organisatoriske tiltak etter art. 32 i GDPR.

Password Depot Enterprise Server med Active Directory, SSO og MFA

Password Depot Enterprise Server har nettopp disse integrasjonene innebygd – utviklet i Darmstadt siden 1998, i bruk hos over 100 000 kunder:

• Active Directory: Dere importerer brukere og sikkerhetsgrupper fra AD – på tvers av flere domener i en forest – og synkroniserer dem manuelt eller automatisk etter tidsplan. Databaser opprettes automatisk for nyoppdagede undergrupper.
• Microsoft Entra ID og OpenID Connect: Entra ID / Azure AD støttes også; i tillegg kan OIDC identity providers som Entra ID, Auth0 eller PingIdentity kobles til. Påloggingen er forsterket: ID-tokens kontrolleres for signatur og audience før de stoles på, usikre metoder som “alg=none” avvises, og leverandørens nøkkelrotasjoner tas i bruk umiddelbart. Ved Multi-Tenant-synkronisering avbryter ikke en feil tenant de øvrige lenger.
• Single Sign-on: Kerberos-SSO for pålogging i bedriftsnettverket – uten et ekstra passordrituale.
• Flerfaktorautentisering: FIDO2/WebAuthn (f.eks. YubiKey) og TOTP via autentiseringsapp.
• Roller og retningslinjer: Brukere, grupper og rettigheter styrer du sentralt på serveren – med tre rettighetsnivåer for tydelige, sikre delinger.
• Auditlogger og SIEM: Pålogginger, endringer og adminhandlinger logges i et manipulasjonssikkert auditspor og eksporteres til deres SIEM via Syslog (RFC 5424, UDP/TCP/TLS).
• REST API v2.0: For DevOps-pipelines, automatisering og interne KI-arbeidsflyter.

Driften skjer fullt og helt under deres kontroll – On-Premises, i Private Cloud eller i egen Azure-tenant. Heller ikke katalogintegrasjonen krever noen produsent-Cloud. Hvorfor denne driftsmodellen er utslagsgivende for mange bedrifter, forklarer artikkelen On-Premises-passordbehandler. Sikkerhetsarkitekturen er etterprøvbar: AES-256 (FIPS 197), TLS 1.3, SySS-penetrasjonstest (12/2025) med resultatet «ingen alvorlige sikkerhetshull påvist» og et ISMS hos produsenten AceBIT som er sertifisert etter ISO/IEC 27001:2022 (TÜV NORD).

Typiske bruksscenarioer

• IT-avdelinger administrerer admin- og tjenestetilganger sentralt – med MFA for de mest kritiske kontoene.
• Bedrifter styrer tilganger via AD-grupper: Katalogstrukturen bestemmer hvilket team som ser hvilken passordbestand.
• Nye medarbeidere får kontrollert tilgang til de nødvendige tilgangene fra første dag gjennom gruppetilhørigheten sin.
• Medarbeidere som slutter mister tilgangen sentralt når kontoen deaktiveres i katalogen – sporbart i loggen.
• Byråer og tjenesteleverandører organiserer kundetilganger etter team og deler dem kontrollert.
• Compliance-drevne organisasjoner dokumenterer interne sikkerhetskrav med rollemodell og audit-logger.

Hva bedrifter bør se etter ved valg av løsning

• Active Directory-integrasjon: Import og synkronisering av brukere og grupper – ideelt sett på tvers av flere domener og etter tidsplan.
• SSO-støtte: Pålogging via bedriftens eksisterende autentisering i stedet for separate påloggingsdata.
• MFA-støtte: Moderne metoder som FIDO2/WebAuthn og TOTP.
• Rettighets- og rollekonsept: Graderte rettigheter helt ned på database- og oppføringsnivå.
• Audit-logger: Loggføring med mulighet for eksport til deres SIEM.
• Enkel administrasjon: Sentral forvaltning i stedet for spredt enkeltkonfigurasjon.
• Brukervennlighet: Klienter for alle vanlige plattformer – ellers oppstår ny skygge-IT.
• Skalerbarhet: Løsningen må vokse i takt med antall brukere og organisasjonsstrukturen.
• Driftsmodell: On-Premises- eller Self-Hosted-drift når datasuverenitet og compliance krever det.
• Support og vedlikehold: Tydelig oppdateringsprosess og tilgjengelig produsentsupport.

Konklusjon: Integrasjonen avgjør nytteverdien

En passordbehandler med Active Directory, SSO og MFA føyer seg inn i strukturene som deres IT allerede vedlikeholder – i stedet for å skape en ny brukeradministrasjon. Det senker administrasjonsarbeidet, øker aksepten i teamet og leverer dokumentasjonen som revisjoner og personvern krever. Password Depot Enterprise Server har disse integrasjonene innebygd og forblir samtidig fullt og helt under deres kontroll.

Prøv det i ditt eget miljø: Test Enterprise Server gratis i 30 dager med deres Active Directory, opplev løsningen i en live-demo, eller be om et uforpliktende tilbud for ditt antall brukere.

Vanlige spørsmål om Active Directory, SSO og MFA

Hva gir en passordbehandler med Active Directory?

Brukere og grupper kommer fra den eksisterende katalogen i stedet for dobbelt vedlikehold: Rettigheter følger organisasjonsstrukturen, onboarding går via gruppetilhørighet, offboarding via den sentrale kontodeaktiveringen. Selve passordene forblir kryptert i passordbehandleren – ikke i AD.

Hvorfor er SSO fornuftig i en Enterprise-passordbehandler?

SSO fjerner den største bruksterskelen: De ansatte når tilgangene sine uten et separat påloggingsrituale. Det øker aksepten for løsningen og reduserer supportsaker på grunn av glemte tilleggspassord.

Hvorfor bør en passordbehandler støtte MFA?

I passordbehandleren ligger tilgangene til mange andre systemer samlet. MFA beskytter denne bestanden selv om påloggingsdata kompromitteres – spesielt viktig for admin-kontoer og team-databaser.

Kan en passordbehandler bruke brukergrupper fra Active Directory?

Ja. Password Depot Enterprise Server importerer brukere og sikkerhetsgrupper fra Active Directory – også på tvers av flere domener i samme skog – og holder dem oppdatert gjennom synkronisering, manuelt eller automatisk etter tidsplan.

Hva er forskjellen på SSO og MFA?

SSO forenkler påloggingen: En eksisterende bedriftspålogging åpner også passordbehandleren. MFA forsterker påloggingen: I tillegg til passordet kreves en andre faktor, for eksempel en maskinvarenøkkel eller en engangskode. De utfyller hverandre – komfort og beskyttelse utelukker ikke hverandre.

Er en passordbehandler med Active Directory fornuftig for GDPR og compliance?

Ja. Sentralt styrte, gruppebaserte tilganger og loggførte endringer støtter de tekniske og organisatoriske tiltakene etter art. 32 i GDPR og gir solide svar i ISO-revisjoner og i forberedelsene til NIS2. Mer i artikkelen GDPR-passordbehandler for bedrifter.

Støtter Password Depot Enterprise Server Active Directory, SSO og MFA?

Ja: AD-import og -synkronisering (også på tvers av flere domener), Microsoft Entra ID og OIDC-leverandører, Kerberos-SSO samt MFA med FIDO2/WebAuthn og TOTP. Alle detaljer finner du i funksjonsoversikten for Enterprise Server.