OS2sofd

- Om OS2sofd: https://www.sofd.io/
- Brugervejledning: https://www.sofd.io/brugervejledning/
- Adviser: https://www.sofd.io/brugervejledning/adviser/
- Moduler og funktioner: https://www.sofd.io/moduler/
- Telefoni: https://www.sofd.io/moduler/telefoni/
- Implementeringsdrejebøger: https://www.sofd.io/implementation-guides/
- Drejebog: OPUS-kommune: https://www.sofd.io/implementation-guides/opus-loen-integration/
- Drejebog: SD-kommune: https://www.sofd.io/implementation-guides/sd-loen-integration/
- Drejebog: Opgradering til 2026R2 (IDM): https://www.sofd.io/implementation-guides/opgradering-2026r2-idm/
- Brugerstyring: https://www.sofd.io/idm/
- Forudsætninger og forberedelse: https://www.sofd.io/idm/prerequisites/
- Processer og hændelser: https://www.sofd.io/idm/processes/
- Personinaktivering: https://www.sofd.io/idm/person-inactivation/
- Konfiguration: https://www.sofd.io/idm/configuration/
- Teknik: https://www.sofd.io/teknik/
- Arkitektur: https://www.sofd.io/teknik/arkitektur/
- Datamodel: https://www.sofd.io/teknik/datamodel/
- Login og SAML: https://www.sofd.io/teknik/login/
- API: https://www.sofd.io/teknik/api/
- OData (læsning): https://www.sofd.io/teknik/api/odata/
- REST-API: https://www.sofd.io/teknik/api/rest/
- Fremtidig API-udvikling: https://www.sofd.io/teknik/api/strategi/
- Batchkørsler: https://www.sofd.io/teknik/batchkoersler/
- Integrationer: https://www.sofd.io/integrationer/
- Emply: https://www.sofd.io/integrationer/emply/
- FK Organisation: https://www.sofd.io/integrationer/fk-organisation/
- HR-ON: https://www.sofd.io/integrationer/hr-on/
- IST Tabulex: https://www.sofd.io/integrationer/ist-tabulex/
- KMD I2: https://www.sofd.io/integrationer/kmd-i2/
- KMD Nexus: https://www.sofd.io/integrationer/kmd-nexus/
- OS2rollekatalog: https://www.sofd.io/integrationer/os2rollekatalog/
- SD Løn: https://www.sofd.io/integrationer/sd-loen/
- On-premise agenter: https://www.sofd.io/agents/
- Brugerkonto Agent: https://www.sofd.io/agents/user-account-agent/
- AD Writeback Agent: https://www.sofd.io/agents/ad-writeback-agent/
- AD Replikator Agent: https://www.sofd.io/agents/ad-replikator/
- AD indlæsningsintegration: https://www.sofd.io/agents/ad-indlaesningsintegration/
- OPUS indlæsningsintegration: https://www.sofd.io/agents/opus-indlaesningsintegration/
- Indlæsning af skoleelever: https://www.sofd.io/agents/skoleelev-indlaesning/
- OS2vikar - Brugerkonto Agent: https://www.sofd.io/agents/os2vikar-agent/
- Download: https://www.sofd.io/downloads/
- Ændringslog: https://www.sofd.io/changelog/
- Support og kontakt: https://www.sofd.io/support/


## Oprettelse af en medarbejder

Der er tre veje til at få oprettet en medarbejder. De adskiller sig kun i, hvem der
opretter og godkender, og hvornår integrationen sættes i gang. Derefter kører de alle det
samme [integrationsflow](#det-fælles-integrationsflow).

Fælles for alle tre veje er to regler:

- En af kommunens administratorer skal altid have godkendt medarbejderen.
- Medarbejderen skal have accepteret kommunens betingelser (vilkår og privatlivspolitik),
  før der oprettes noget i kommunens systemer.

Virksomheden skal være oprettet i OS2ilm på forhånd. Medarbejdere og ledere knyttes til
virksomheden via dens CVR-nummer. Se [Opsætning af OS2ilm](../opsaetning/).

### Medarbejderen registrerer sig selv

{{< mermaid >}}
flowchart LR
    A["Medarbejderen<br/>registrerer sig med<br/>MitID og accepterer<br/>betingelserne"] --> B["Lederen<br/>godkender"]
    B --> C["Administratoren<br/>godkender og vælger<br/>enhed, Arketype og<br/>start- og slutdato"]
    A -. "administratoren kan<br/>godkende uden om lederen" .-> C
    C --> D(["Fælles<br/>integrationsflow"])
    style D fill:#2f4050,stroke:#2f4050,color:#fff
{{< /mermaid >}}

Medarbejderen logger ind med MitID og udfylder en registreringsformular. Navn og
CPR-nummer hentes fra MitID, og medarbejderen angiver virksomhedens CVR-nummer, e-mail,
stilling og eventuelt telefonnummer og en begrundelse for anmodningen. Kommunen kan vælge,
at telefonnummer og begrundelse skal være påkrævet, og at navnet fra MitID ikke kan rettes.
Er der navne- og adressebeskyttelse, udfyldes navnet ikke fra MitID og kan altid rettes.
Har virksomheden ledergodkendelse slået til, angiver medarbejderen også sin leders
e-mailadresse, og lederen får en mail om at godkende. Betingelserne accepteres som en del
af formularen.

Status følger godkendelserne: **Afventer godkendelse**, **Leder har godkendt**, **Admin
har godkendt**. Både lederen og administratoren kan afvise undervejs, og så ender
medarbejderen i status **Afvist**. En afvist medarbejder kan godkendes igen senere.
Administratoren kan også godkende uden om lederen. I så fald får virksomhedens ledere en
mail om, at administratoren har godkendt.

Det er standardforløbet for nye medarbejdere. Medarbejderen kender selv sine oplysninger
bedst, og arbejdet fordeles mellem medarbejder, leder og administrator.

### Invitation via e-mail

Administratoren kan invitere en medarbejder direkte fra OS2ilm ved at angive navn og
e-mailadresse. Medarbejderen får en e-mail med et link til en landingsside, hvor kommunen
selv har formuleret en velkomst og en vejledning. Herfra logger medarbejderen ind med
MitID og fortsætter som ved selvregistrering. Invitationen giver ikke medarbejderen nogen
adgang i sig selv, og den skal stadig godkendes på normal vis.

### Administratoren opretter medarbejderen

Administratoren opretter medarbejderen med virksomhed, CPR-nummer, enhed, Arketype og
start- og slutdato. Medarbejderen er godkendt fra start (**Admin har godkendt**) og får en
besked om at logge ind og acceptere betingelserne. Der sker ingen integration ved selve
oprettelsen. Det er accepten af betingelserne, der sætter den i gang.

Bruges, når kommunen kender medarbejderen på forhånd, fx i hastesager eller for
enkeltmandsvirksomheder, hvor et godkendelsesforløb i virksomheden er overflødigt.

### Lederen opretter medarbejderen

Lederen opretter medarbejderen på virksomhedens vegne. Oprettelsen tæller som lederens
egen godkendelse (**Leder har godkendt**), så medarbejderen lander direkte på
administratorens godkendelsesliste. Medarbejderen får samtidig en besked om at logge ind
og acceptere betingelserne. Det er accepten af betingelserne, der sætter integrationen i
gang.

Bruges, når lederen koordinerer onboardingen af flere medarbejdere på én gang.

## Administratorens godkendelse

Godkendelsen er stedet, hvor kommunen tager stilling til det, som kun kommunen kan
afgøre. Administratoren vælger:

| Valg | Betydning |
| --- | --- |
| Godkend eller afvis | Om medarbejderen skal have adgang |
| Start- og slutdato | Perioden for medarbejderens adgang. Virksomheden kan have regler for, hvor langt ude i fremtiden startdatoen må ligge, og hvor lang perioden højst må være |
| Arketype | Blandt de Arketyper, der er gjort tilgængelige for virksomheden. Arketypen giver medarbejderen sine AD-grupper, jobfunktionsroller og rollebuketter |
| Enhed | Hvor i kommunens organisation medarbejderen placeres. Vælges i organisationstræet fra OS2sofd og er forudfyldt med virksomhedens standardenhed |
| Brugernavn | Kun hvis virksomheden er sat op til, at administratoren selv angiver brugernavnet |
| Mailkonto | Om der skal bestilles en Exchange-postkasse til medarbejderen |

## Det fælles integrationsflow

Når medarbejderen er godkendt og har accepteret betingelserne, sker resten automatisk.

{{< mermaid >}}
flowchart TB
    START(["Medarbejderen er godkendt<br/>og har accepteret betingelserne"]) --> SOFD
    SOFD["<b>OS2sofd</b><br/>Personen oprettes eller opdateres med et<br/>tilhørsforhold: enhed, stilling samt start- og slutdato"] --> AD
    AD["<b>Active Directory</b><br/>Kontoen oprettes med brugernavn,<br/>kodeord, CPR-nummer og udløbsdato"]
    AD --> GRP["AD-grupper fra<br/>Arketypen tildeles"]
    AD --> VELK["Velkomstbesked med<br/>brugernavn og kodeord"]
    AD --> LINK["OS2sofd finder kontoen<br/>via CPR-nummeret og<br/>knytter den til personen"]
    LINK -. valgfrit .-> MAIL["Exchange-postkasse<br/>bestilles via OS2sofd"]
    SOFD -. planlagt job .-> RC["<b>OS2rollekatalog</b><br/>Jobfunktionsroller og rollebuketter<br/>fra Arketypen tildeles"]
    RC --> DONE(["Fuldt integreret"])
    style START fill:#2f4050,stroke:#2f4050,color:#fff
    style DONE fill:#2f4050,stroke:#2f4050,color:#fff
{{< /mermaid >}}

1. **OS2sofd.** Personen findes via CPR-nummeret eller oprettes, hvis den ikke findes i
   forvejen. Personen får et tilhørsforhold til den valgte enhed med stilling og start- og
   slutdato. Er personen allerede kendt i OS2sofd, fx fordi vedkommende også er ansat i
   kommunen, tilføjes blot tilhørsforholdet fra OS2ilm. Personer, der er slettet i
   OS2sofd, opdateres ikke fra OS2ilm.
2. **Active Directory.** Brugerkontoen oprettes med brugernavn, kodeord, visningsnavn,
   CPR-nummer og en udløbsdato, der svarer til slutdatoen. Kontoen tildeles AD-grupperne
   fra Arketypen.
3. **Velkomstbesked.** Medarbejderen får en besked, der som standard indeholder
   brugernavn og kodeord.
4. **OS2sofd kobler kontoen på personen.** OS2sofd finder AD-kontoen via CPR-nummeret,
   og OS2ilm knytter den til tilhørsforholdet. Er der valgt en mailkonto, bestilles den
   via OS2sofd, når kontoen er aktiv.
5. **OS2rollekatalog.** Et planlagt job tildeler medarbejderen jobfunktionsroller og
   rollebuketter fra Arketypen. Herefter har medarbejderen status **Fuldt integreret**.

Kontoen oprettes, så snart medarbejderen er godkendt, og OS2ilm aktiverer den, når
startdatoen er nået. Hver integration kører via en kø med automatiske genforsøg, så et
kortvarigt udfald hos et af systemerne ikke kræver manuel indgriben. Fejler oprettelsen
af AD-kontoen, kan administratoren se det i medarbejderoversigten og prøve igen, om
nødvendigt med et andet brugernavn.

## Livscyklus og løbende administration

Efter oprettelsen følger kontoen medarbejderens periode.

{{< mermaid >}}
flowchart LR
    OPR["Oprettet og<br/>integreret"] -- "startdato nås" --> AKTIV(["Aktiv"])
    AKTIV -- "slutdato passeret<br/>eller lås" --> UDL["Udløbet<br/>(konto deaktiveret)"]
    UDL -- "forlængelse<br/>eller genåbning" --> AKTIV
    UDL -- sletning --> SLET["Slettet"]
    style AKTIV fill:#2f4050,stroke:#2f4050,color:#fff
{{< /mermaid >}}

| Handling | Hvem | Hvad sker der |
| --- | --- | --- |
| Forlæng eller forkort | <span class="nowrap">Administrator</span> | Ny slutdato. Kontoens udløbsdato og tilhørsforholdet i OS2sofd opdateres, og medarbejderen får besked |
| Anmod om forlængelse | <span class="nowrap">Medarbejder</span> og <span class="nowrap">leder</span> | Medarbejderen anmoder fra sin profil, og lederen fra medarbejderoversigten. Anmodningen havner på administratorens godkendelsesliste og i den daglige påmindelse |
| Lås | <span class="nowrap">Administrator</span> og <span class="nowrap">leder</span> | Slutdatoen sættes til dags dato, så kontoen udløber, og OS2sofd får besked. Medarbejderen får besked |
| Genåbn | <span class="nowrap">Administrator</span> | En låst eller udløbet konto genåbnes med en ny slutdato. Medarbejderen får besked |
| Nulstil kodeord | <span class="nowrap">Administrator</span> og <span class="nowrap">medarbejder</span> | Et nyt kodeord sættes på kontoen og sendes til medarbejderen. Medarbejderen kan selv nulstille fra sin profil |
| Redigér | <span class="nowrap">Administrator</span> og <span class="nowrap">leder</span> | Administratoren kan tilpasse stamdata, periode, AD-grupper, jobfunktionsroller og rollebuketter for den enkelte medarbejder. Lederen kan kun rette stamdata |
| Ret CPR-nummer | <span class="nowrap">Administrator</span> | Medarbejderen beholder sin AD-konto, som får det nye CPR-nummer, og tilhørsforholdet i OS2sofd flyttes til personen med det nye CPR-nummer. Afvises, hvis CPR-nummeret ikke er gyldigt eller allerede bruges af en anden medarbejder |
| Slet | <span class="nowrap">Administrator</span> | AD-kontoen slettes, tilhørsforholdet i OS2sofd afsluttes, og medarbejderens CPR-nummer fjernes fra OS2ilm |

### Offboarding

Offboardingen er besluttet allerede ved oprettelsen, fordi adgangen altid gives for en
periode. Når slutdatoen er passeret:

- **Active Directory.** Kontoen er udløbet og deaktiveres af OS2ilm, så medarbejderen
  ikke længere kan logge på kommunens systemer med den.
- **OS2sofd.** Tilhørsforholdet har samme slutdato, så OS2sofd og de systemer, OS2sofd
  forsyner, ser, at medarbejderen er stoppet.

Skal medarbejderen tilbage, forlænges eller genåbnes den eksisterende konto. Der skal ikke
oprettes en ny.

## Medarbejderens selvbetjening

Medarbejderen kan altid logge ind i OS2ilm med MitID og se sin profil med brugernavn og
periode. Herfra kan medarbejderen:

- **Nulstille sit AD-kodeord.** Det nye kodeord sendes til medarbejderen. Har kommunen
  sin egen løsning til skift af kodeord, kan OS2ilm i stedet henvise til den.
- **Anmode om forlængelse.** Anmodningen skal godkendes af kommunen.
- **Rette navn og telefonnummer.**