En medarbejder stopper. Er adgangen også væk?
En ny kollega skal have mail, CRM og adgang til sin computer mandag morgen. Når kollegaen senere skifter afdeling, skal nogle rettigheder følge med og andre forsvinde. Ved fratrædelse skal virksomheden kunne se, at adgangen faktisk er lukket i de berørte systemer. En liste med flueben er kun nyttig, hvis den svarer til det, der er sket.
Denne guide handler om software, der forbinder medarbejderoplysninger med oprettelse, ændring og lukning af konti. Det kaldes ofte identity lifecycle management. Vi ser på JumpCloud, Microsoft Entra og Okta gennem to leverandørcases og et dokumenteret produktforløb. Fokus er overgangen mellem HR og IT, ikke opbevaring af passwords eller selve løn- og personalesystemet.
Fælles login er kun én del af opgaven
Single sign-on, forkortet SSO, lader medarbejderen bruge et fælles login til flere programmer. Provisionering betyder, at systemet også opretter eller ændrer kontoen i programmet. De to funktioner skal afklares hver for sig. Et program kan godt stå på en integrationsliste, uden at netop jeres forbindelse automatisk lukker kontoen ved fratrædelse.
Okta beskriver eksempelvis, at apps med understøttet provisionering kan få opdateret konti, mens apps, der kræver manuel lukning, giver administratoren en besked. Den forskel er vigtigere for en fratrædelsesproces end antallet af logoer på leverandørens integrationsside. Oktas dokumentation om provisionering.
Stryg tabellen til siden for at se alle kolonner.
| Løsning | Konkret udgangspunkt i denne guide | Det skal jeres prøve afklare |
|---|---|---|
| JumpCloud | Identitet på tværs af programmer og medarbejdernes computere | Hvilke lokale konti og ressourcer bliver faktisk lukket? |
| Microsoft Entra | HR-oplysninger som udløser for adgangsændringer | Hvem ejer datoer og roller, og hvilken licens kræves? |
| Okta | Konti oprettes og lukkes gennem appforbindelser | Hvilke apps kræver stadig en medarbejders handling? |
Rækkefølgen er alfabetisk. Eksemplerne fremhæver købsspørgsmål, ikke funktioner, som kun én leverandør kan have.
JumpCloud: Adgangen omfatter også computeren
Built Technologies havde ifølge JumpCloud et lille IT-team, der skulle give medarbejdere på afstand adgang til mange forskellige værktøjer. Virksomheden havde forsøgt at håndtere identiteter gennem Google Workspace og flere separate løsninger. I den beskrevne opsætning samlede den adgangen til blandt andet Mac- og Windows-computere, Google Workspace og Atlassian i JumpCloud.
Casens praktiske pointe er, at medarbejderens identitet blev brugt flere steder end i browseren. IT-teamet beskrev, at fjernelse fra brugergrupper lukkede den tilknyttede adgang ved fratrædelse. Det er JumpClouds egen kundecase; udgivelsesdatoen fremgår ikke tydeligt, og forløbet omtaler overgangen til hjemmearbejde i 2020. Den dokumenterer en opsætning hos Built, ikke at alle virksomheder får samme resultat. Built-casen.
Har I både Mac og Windows, bør prøven derfor omfatte en rigtig testcomputer og en testkonto i et af jeres programmer. Kontrollér resultatet begge steder. En lukket webportal er ikke i sig selv dokumentation for, at den lokale computerkonto også er håndteret.
Den aktuelle dokumentation viser en konkret grænse: JumpClouds agent skal være installeret for at knytte brugeren til computeren. På macOS bliver den sidste bruger med Secure Token, en særlig systemrettighed, ikke fjernet fra computeren ved suspension eller sletning, hvis det ville gøre systemet utilgængeligt. Få derfor leverandøren til at vise, hvordan sådan en maskine håndteres ved fratrædelse. Forbindelse mellem bruger og computer.
Microsoft Entra: HR skal kunne stå inde for de data, der udløser ændringen
Bayer 04 Leverkusen brugte ifølge Microsoft mails mellem HR og IT til at oprette, ændre og fjerne konti. Det var krævende, fordi både administrationen og medarbejdere omkring kampdage havde skiftende adgangsbehov. Sammen med partneren SITS indførte klubben Entra Suite og lod HR-systemet levere medarbejderdata til de automatiske forløb.
Microsofts case fra 15. december 2025 beskriver også ændringen i ansvar: HR skulle sikre datakvaliteten, fordi fejl nu kunne blive ført direkte videre til systemerne. For jer er det en grund til at aftale, hvem der retter en forkert slutdato, og hvordan en rettelse når IT. Casen omfatter både en partnerindsats og flere Entra-funktioner; den er ikke dokumentation for, at et almindeligt Microsoft 365-abonnement alene løser opgaven. Bayer 04-casen.
I Microsofts dokumenterede Lifecycle Workflows består et forløb af handlinger og betingelser for, hvem det rammer og hvornår. Det kan eksempelvis bruge ansættelsesdato og afdeling. Funktionen kræver ifølge dokumentationen Microsoft Entra ID Governance eller Entra Suite. Bed om en demonstration med en testmedarbejder, hvis startdato flyttes, og en anden, der skifter afdeling. Det viser, om jeres datakilde og regler hænger sammen, før de påvirker rigtige medarbejdere. Lifecycle Workflows og licenskrav.
Okta: En undtagelse skal ende hos en ansvarlig
Det følgende er et dokumenteret produktforløb, ikke en kundecase. Når medarbejderdata og appforbindelser er sat op til det, kan Okta sende kontooplysninger videre til de tilsluttede programmer. Ved lukning kan adgangen fjernes automatisk i understøttede apps. Kræver et program manuel håndtering, får administratoren en besked. Kontolukning betyder desuden normalt deaktivering, ikke at alle oplysninger slettes. Provisionering i Okta Identity Engine.
For en virksomhed med mange forskellige programmer bliver den vigtige købsprøve derfor undtagelsen. Tag et program med, som ikke kan lukkes automatisk, og følg beskeden til den medarbejder, der skal udføre opgaven. Hvem overtager, hvis personen er væk? Og hvor ses det, at lukningen er afsluttet? Det er redaktionens forslag til en afprøvning; dokumentationen beviser ikke, at alle jeres programmer eller interne overdragelser er dækket.
Gennemfør en prøve med tre testmedarbejdere
Lad HR og IT sammen følge en nyansættelse, et afdelingsskifte og en fratrædelse. Brug fiktive medarbejdere i et aftalt testmiljø. Ved afdelingsskiftet skal I både se den nye adgang komme til og kontrollere den gamle adgang. Ellers risikerer prøven kun at demonstrere, at systemet kan tilføje rettigheder.
Ved fratrædelsen bør kontrollen foregå i de berørte programmer og på testcomputeren, ikke kun på identitetsplatformens oversigt. Aftal også, hvem der håndterer filer, fælles postkasser og ejerskab af materiale. Lukning af en konto afgør ikke i sig selv, hvem der skal overtage medarbejderens arbejde.
Få et tilbud på hele forløbet
Bed hver kandidat prissætte de samme medarbejdere, programmer, computere og nødvendige forbindelser. Hold licenser, opsætning, specialintegrationer og løbende hjælp adskilt. Få skrevet ind, hvem der retter en forbindelse, hvis et af jeres programmer ændrer sig.
Aftal også, hvad en inaktiv konto koster. JumpCloud oplyser eksempelvis, at suspenderede brugere fortsat faktureres som almindelige brugere. Det gør forskellen mellem midlertidig suspension og endelig oprydning økonomisk relevant, men beslutningen om sletning skal også passe til virksomhedens behov for at bevare og overdrage data. JumpClouds brugerstatusser.
Kilder og afgrænsning
Kilderne er læst 21. oktober 2026. Vi har brugt leverandørernes egne kundecases og produktdokumentation, ikke foretaget en installation eller målt sikkerhedseffekten. Microsofts case er dateret ovenfor; øvrige udgivelsesdatoer er ikke fastslået, og Microsofts workflowdokumentation angiver seneste opdatering 14. april 2026. Rådene om købsprøven er vores vurdering af, hvad de beskrevne arbejdsgange gør vigtigt at kontrollere.
Se også guiderne til HR-systemer, enhedsstyring og password-managers, hvis jeres største problem ligger i en anden del af forløbet.