> For the complete documentation index, see [llms.txt](https://docs.cerrix.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.cerrix.com/cerrix-documentation-no/cerrix-funksjoner/admin-settings/authentication-and-user-provisioning/sso-migrating-from-implicit-grant-to-pkce.md).

# SSO: Migrering fra implicit grant til PKCE

Hvis organisasjonen din allerede har SSO satt opp med CERRIX, bruker den nåværende konfigurasjonen sannsynligvis implicit grant-flyten — en eldre autentiseringsstandard som siden har blitt erstattet av PKCE (Proof Key for Code Exchange). PKCE er sikrere og er nå den anbefalte standarden for nettleserbaserte applikasjoner.

Migreringen er utformet slik at brukerne dine ikke opplever noe avbrudd på noe tidspunkt. Fordi eldre SSO-konfigurasjoner varierer — ulike identitetsleverandører, ulike claim-oppsett, ulike formater for brukerkontoer — gjennomgår CERRIX først den spesifikke konfigurasjonen din og gir tilpassede instruksjoner før du gjør noen endringer.

{% hint style="info" %}
For å starte en migrering, kontakt CERRIX-supportteamet. Trinnene nedenfor beskriver hva som skjer i hvert steg.
{% endhint %}

***

### Slik fungerer migreringen

1. **Du ber om migrering** — kontakt CERRIX. Vi gjennomgår den nåværende konfigurasjonen din og sender deg tilpassede instruksjoner for trinn 2.
2. **Du setter opp den nye konfigurasjonen** — følg instruksjonene fra CERRIX og opprett en ny PKCE-klargjort appregistrering eller appintegrasjon ved siden av den eksisterende. Ikke rør den eksisterende konfigurasjonen.
3. **CERRIX bytter** — vi peker backend-en vår mot den nye konfigurasjonen din. Brukerne dine fortsetter å logge inn uten avbrudd.
4. **Du rydder opp** — når CERRIX bekrefter at PKCE fungerer, fjerner du den gamle appregistreringen / appintegrasjonen og eventuelle tilknyttede artefakter.

{% hint style="warning" %}
Ikke gjør noen endringer i identitetsleverandøren din før du har mottatt de tilpassede instruksjonene fra CERRIX på slutten av trinn 1. Instruksjonene vil være spesifikke for miljøet ditt og kan avvike fra den vanlige SSO-oppsettveiledningen.
{% endhint %}

***

### Trinn 1 — Be om migreringen

Kontakt CERRIX-supportteamet og gi dem beskjed om at du vil migrere fra implicit grant til PKCE. Du trenger ikke å forberede noe i identitetsleverandøren din på dette tidspunktet.

CERRIX vil gjennomgå den nåværende SSO-konfigurasjonen din — inkludert hvilke claims som brukes for å identifisere brukerne dine og hvordan CERRIX-kontoene dine lagres — og du kan gå gjennom de følgende trinnene nedenfor.

Vent på instruksjonene fra CERRIX før du går videre til trinn 2.

***

### Trinn 2 — Sett opp den nye konfigurasjonen

Ved å bruke instruksjonene i denne dokumentasjonen, opprett en helt ny PKCE-klargjort konfigurasjon i identitetsleverandøren din ved siden av den eksisterende. Ikke endre eller fjern noe i den eksisterende konfigurasjonen — brukerne dine må fortsatt kunne logge inn gjennom hele dette trinnet.

Noen ting å huske på:

* **Opprett nye objekter, ikke rediger de eksisterende.** I Microsoft Entra ID oppretter du en helt ny **appregistrering**. I Okta oppretter du en helt ny **appintegrasjon** og, hvis du blir bedt om det, en helt ny **autorisasjonsserver**. Ved å gi de nye objektene tydelige navn (for eksempel `CERRIX SSO (PKCE)`) blir de lette å skille fra de gamle under oppryddingen.
* **Den eksisterende konfigurasjonen må forbli urørt frem til trinn 4.** Ikke endre plattformtyper, grant-typer, omdirigerings-URI-er eller claims på den gamle appregistreringen / appintegrasjonen.

Når den nye konfigurasjonen er klar, bekreft overfor CERRIX at:

* Din eksisterende SSO-innlogging fungerer fortsatt.
* Den nye appregistreringen / appintegrasjonen er opprettet som instruert.

Send tilbake følgende, avhengig av leverandøren din:

**Microsoft Entra ID:**

* Applikasjons-ID (klient-ID) for den nye appregistreringen
* Katalog-ID (leietaker-ID)
* Skjermbilde av omdirigerings-URI-en som er konfigurert på den nye appregistreringen

**Okta:**

* Klient-ID for den nye appintegrasjonen
* Metadata-URI for autorisasjonsserveren (fra **Security → API → Authorization Servers → \[your server] → Settings**)
* Skjermbilde av omdirigerings-URI-en som er konfigurert på den nye appintegrasjonen

***

### Trinn 3 — CERRIX bytter til PKCE

Etter at CERRIX mottar bekreftelsen og legitimasjonen din fra trinn 2, peker vi backend-en mot den nye konfigurasjonen din. Du trenger ikke å gjøre noe i dette trinnet.

CERRIX varsler deg når byttet er fullført og ber deg om å verifisere at SSO-innlogging fungerer som den skal.

***

### Trinn 4 — Fjern den gamle konfigurasjonen

Når CERRIX bekrefter at PKCE fungerer, fjern den gamle konfigurasjonen fullstendig fra identitetsleverandøren din. Dette er et viktig sikkerhetstiltak — hvis implicit grant-flyten forblir aktiv, betyr det at den fortsatt kan brukes til å skaffe tokens.

#### Microsoft Entra ID

Slett den **gamle CERRIX-appregistreringen** — den som ble opprettet før migreringen, og som fortsatt har **Nett** plattformen og implicit grant aktivert.

1. Gå til **Azure Portal → Microsoft Entra ID → Appregistreringer** og velg den gamle appregistreringen.
2. Klikk **Slett** i den øverste verktøylinjen og bekreft.

Hvis organisasjonens retningslinjer ikke tillater sletting av appregistreringer, nøytraliser den gamle registreringen fullstendig i stedet:

* **Autentisering → Plattformkonfigurasjoner**: slett **Nett** plattformoppføringen.
* **Autentisering → Implicit grant og hybride flyter**: fjern avmerkingen for begge **Tilgangstokener** og **ID-tokener**.
* **Egenskaper**: sett **Aktivert for brukere å logge inn** til **Nei**.

{% hint style="warning" %}
Sørg for at du arbeider med den **gamle** appregistreringen og ikke den nye PKCE-en som ble opprettet i trinn 2. Den nye registreringen må forbli på plass — det er den CERRIX nå bruker.
{% endhint %}

#### Okta

Slett den **den gamle CERRIX-appintegrasjonen** sammen med eventuelle artefakter som ble opprettet spesielt for den.

1. Gå til **Okta Admin Console → Applications**, finn den gamle appintegrasjonen, og **deaktiver** den.
2. Når den er deaktivert, **slette** appintegrasjonen.
3. Gå til **Security → API → Authorization Servers**. Hvis en dedikert autorisasjonsserver ble opprettet for den gamle appen og ikke brukes av noe annet, slett den også.

{% hint style="warning" %}
Sørg for at du arbeider med den **gamle** appintegrasjonen og autorisasjonsserveren, ikke de nye som ble opprettet i trinn 2. De nye må forbli på plass — det er dem CERRIX nå bruker.
{% endhint %}

#### Bekreft overfor CERRIX

Etter oppryddingen, bekreft overfor CERRIX-supportteamet at SSO-innlogging fortsatt fungerer som den skal. Migreringen er da fullført.


---

# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.

## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation by asking a question.

Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters:

```
GET https://docs.cerrix.com/cerrix-documentation-no/cerrix-funksjoner/admin-settings/authentication-and-user-provisioning/sso-migrating-from-implicit-grant-to-pkce.md?ask=<question>&goal=<user_goal>
```

`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case.

The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.

Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.