> For the complete documentation index, see [llms.txt](https://docs.cerrix.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.cerrix.com/cerrix-documentation-no/cerrix-funksjoner/admin-settings/authentication-and-user-provisioning/multi-factor-authentication-mfa.md).
# Flerfaktorautentisering (MFA)
## Flerfaktorautentisering (MFA)
Denne siden forklarer hvordan Flerfaktorautentisering fungerer for CERRIX-brukere: hvilke MFA-funksjoner plattformen tilbyr, rollen til identitetsleverandøren din, og hvordan MFA forholder seg til IP-whitelisting.
### Hvordan MFA fungerer i CERRIX
CERRIX skiller mellom to typer pålogginger, og MFA fungerer forskjellig for hver:
* **SSO-pålogginger**: brukere som logger inn via Single Sign-On, autentiserer mot din egen identitetsleverandør (for eksempel Microsoft Entra ID eller Okta). MFA for disse brukerne håndheves av identitetsleverandøren din ved hjelp av MFA-policyene du konfigurerer der. Dette er den anbefalte måten å håndheve MFA for CERRIX-brukere på.
* **Lokale pålogginger (brukernavn og passord)**: CERRIX støtter for øyeblikket ikke full MFA-håndheving for lokale kontoer. For disse kontoene tilbyr CERRIX en kontroll med bekreftelseskode på e-post basert på IP-adressen brukeren logger inn fra (se nedenfor).
{% hint style="info" %}
Brukere som logger inn via SSO hopper over CERRIX-kontrollen med bekreftelseskode på e-post. Deres andre faktor håndteres fullt ut av identitetsleverandøren din.
{% endhint %}
### MFA for SSO-brukere
Når SSO er konfigurert for miljøet ditt, skjer kontrollen av hvem som logger inn i identitetsleverandøren din. Ethvert MFA-krav (autentiseringsapp, maskinvaretoken og så videre) konfigureres og håndheves der — CERRIX legger ikke til sin egen faktor oppå en SSO-pålogging.
Se SSO-oppsettguiden for hvordan du kobler identitetsleverandøren din til CERRIX.
### Bekreftelseskoder på e-post for lokale kontoer
For brukere som logger inn med brukernavn og passord, kan CERRIX aktivere et bekreftelsestrinn basert på påloggingsstedet:
* Når denne kontrollen er aktivert og en bruker logger inn fra en **ukjent IP-adresse**, sender CERRIX brukeren en bekreftelseskode på e-post som må skrives inn på påloggingsskjermen før påloggingen kan fortsette.
* Mens en bekreftelsesforespørsel for den samme kombinasjonen av konto og IP-adresse fortsatt er **aktiv**, sendes ingen ny kode på e-post ved gjentatte påloggingsforsøk. Hvis du forventer en kode, men ikke mottar en ny e-post, sjekk koden som ble sendt ved første forsøk; å logge inn igjen etter at den tidligere forespørselen ikke lenger er aktiv, utløser en ny e-post med kode.
Dette bekreftelsestrinnet aktiveres per miljø av CERRIX. Hvis du vil slå det på (eller av) for miljøet ditt, kontakter du CERRIX-support.
{% hint style="warning" %}
Denne bekreftelseskoden på e-post er en kontroll av påloggingsstedet for lokale kontoer. Det er ikke en full MFA-implementering, som en autentiseringsapp, og den gjelder ikke for SSO-pålogginger.
{% endhint %}
### Hvor lenge en verifisert IP-adresse forblir gyldig
Når kontrollen med bekreftelseskode på e-post er aktivert, husker CERRIX IP-adressen en bruker har verifisert, så brukeren blir ikke bedt om en ny kode ved hver pålogging fra det stedet. To innstillinger avgjør hvor lenge dette gjelder:
* **Periode for gyldigheten til den verifiserte IP-adressen.** Denne Periode er konfigurert per miljø og er 24 timer som standard. En kortere Periode — for eksempel én time — kan konfigureres hvis du vil at brukerne skal bekrefte på nytt oftere. Kontakt CERRIX-support via servicedesken for å endre den for miljøet ditt.
* **Øktens levetid.** En CERRIX-økt bruker en rullerende utløpsfrist på 8 timer: hver interaksjon med applikasjonen fornyer økten, så en aktiv bruker blir ikke logget ut mens vedkommende jobber.
Gyldighets-Periode trer i kraft når brukeren avslutter økten ved å **logge ut**. Så lenge en bruker fortsetter å arbeide uten å logge ut, forblir økten — og dermed den verifiserte IP-adressen — gyldig, også etter at den konfigurerte Periode har gått.
{% hint style="info" %}
Fordi Periode brukes ved utlogging, har en kortere gyldighetsperiode størst effekt når brukerne logger ut ved slutten av en arbeidsøkt i stedet for å la CERRIX stå åpen.
{% endhint %}
### MFA og IP-whitelisting
CERRIX-miljøer kan begrense tilgangen med en **hard IP-kontroll**, der bare hvitelistede IP-områder kan nå miljøet. Som et alternativ kan miljøet byttes til kontrollen med bekreftelseskode på e-post som er beskrevet ovenfor, i så fall slås det harde IP-filteret av og IP-adresser spores per bekreftelsesforespørsel på applikasjonsnivå i stedet for på infrastrukturnivå.
En vanlig konfigurasjon er: SSO med MFA håndhevet i identitetsleverandøren din for egne ansatte, kombinert med kontrollen med bekreftelseskode på e-post for de gjenværende lokale kontoene, som erstatter en hard IP-hvitliste. Bytte mellom disse modusene gjøres av CERRIX — kontakt CERRIX-support for å diskutere og endre konfigurasjonen for miljøene dine. Det anbefales å teste en slik endring i akseptmiljøet ditt først.
{% hint style="warning" %}
Å bytte fra en hard IP-kontroll til kontrollen med bekreftelseskode påvirker også integrasjoner: IP-adresser som brukes av API- og SCIM-integrasjoner, kan måtte hvitelistes på nytt etterpå. Se feilsøkingsdelen for SCIM på siden for brukerprovisjonering.
{% endhint %}
### Brukere utenfor identitetsleverandøren din
Organisasjoner har ofte brukere som ikke har en konto i den tilkoblede leietakeren hos identitetsleverandøren, for eksempel kolleger fra en partner- eller datterselskaps Organisasjon. For disse brukerne:
* **For øyeblikket støtter ikke CERRIX MFA-håndheving utenfor SSO-autentiseringsflyter.** Det finnes ingen innebygd MFA-mulighet for lokale kontoer med brukernavn og passord i dag. En omarbeiding av identitetssystemet som ville gjøre MFA mulig for kontoer uten SSO vurderes, men det finnes ingen tidsplan ennå.
* **Gjestekontoer er en velprøvd løsning.** Du kan legge til eksterne brukere som gjestekontoer i leietakeren din hos identitetsleverandøren (for eksempel gjestekontoer i Entra ID) og koble disse kontoene i CERRIX. Disse brukerne kan da logge inn via SSO med sin egen e-postadresse, noe som gjør at de omfattes av MFA-håndhevingen din. Denne tilnærmingen er testet og bekreftet å fungere.
* **For kontoer som må forbli lokale**, praktiser god kontohygiene: roter legitimasjon jevnlig, gjennomgå tilgangen regelmessig og hold antallet lokale kontoer på et minimum.
Hvis du trenger å håndtere brukere fra flere leietakere hos identitetsleverandøren, kontakter du CERRIX-support for å diskutere alternativene for miljøet ditt.
---
# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.
## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation by asking a question.
Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters:
```
GET https://docs.cerrix.com/cerrix-documentation-no/cerrix-funksjoner/admin-settings/authentication-and-user-provisioning/multi-factor-authentication-mfa.md?ask=&goal=
```
`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case.
The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.
Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.
