OS2sofd

- Om OS2sofd: https://www.sofd.io/
- Brugervejledning: https://www.sofd.io/brugervejledning/
- Adviser: https://www.sofd.io/brugervejledning/adviser/
- Moduler og funktioner: https://www.sofd.io/moduler/
- Telefoni: https://www.sofd.io/moduler/telefoni/
- Implementeringsdrejebøger: https://www.sofd.io/implementation-guides/
- Drejebog: OPUS-kommune: https://www.sofd.io/implementation-guides/opus-loen-integration/
- Drejebog: SD-kommune: https://www.sofd.io/implementation-guides/sd-loen-integration/
- Drejebog: Opgradering til 2026R2 (IDM): https://www.sofd.io/implementation-guides/opgradering-2026r2-idm/
- Brugerstyring: https://www.sofd.io/idm/
- Forudsætninger og forberedelse: https://www.sofd.io/idm/prerequisites/
- Processer og hændelser: https://www.sofd.io/idm/processes/
- Personinaktivering: https://www.sofd.io/idm/person-inactivation/
- Konfiguration: https://www.sofd.io/idm/configuration/
- Teknik: https://www.sofd.io/teknik/
- Arkitektur: https://www.sofd.io/teknik/arkitektur/
- Datamodel: https://www.sofd.io/teknik/datamodel/
- Login og SAML: https://www.sofd.io/teknik/login/
- API: https://www.sofd.io/teknik/api/
- OData (læsning): https://www.sofd.io/teknik/api/odata/
- REST-API: https://www.sofd.io/teknik/api/rest/
- Fremtidig API-udvikling: https://www.sofd.io/teknik/api/strategi/
- Batchkørsler: https://www.sofd.io/teknik/batchkoersler/
- Integrationer: https://www.sofd.io/integrationer/
- Emply: https://www.sofd.io/integrationer/emply/
- FK Organisation: https://www.sofd.io/integrationer/fk-organisation/
- HR-ON: https://www.sofd.io/integrationer/hr-on/
- IST Tabulex: https://www.sofd.io/integrationer/ist-tabulex/
- KMD I2: https://www.sofd.io/integrationer/kmd-i2/
- KMD Nexus: https://www.sofd.io/integrationer/kmd-nexus/
- OS2rollekatalog: https://www.sofd.io/integrationer/os2rollekatalog/
- SD Løn: https://www.sofd.io/integrationer/sd-loen/
- On-premise agenter: https://www.sofd.io/agents/
- Brugerkonto Agent: https://www.sofd.io/agents/user-account-agent/
- AD Writeback Agent: https://www.sofd.io/agents/ad-writeback-agent/
- AD Replikator Agent: https://www.sofd.io/agents/ad-replikator/
- AD indlæsningsintegration: https://www.sofd.io/agents/ad-indlaesningsintegration/
- OPUS indlæsningsintegration: https://www.sofd.io/agents/opus-indlaesningsintegration/
- Indlæsning af skoleelever: https://www.sofd.io/agents/skoleelev-indlaesning/
- OS2vikar - Brugerkonto Agent: https://www.sofd.io/agents/os2vikar-agent/
- Download: https://www.sofd.io/downloads/
- Ændringslog: https://www.sofd.io/changelog/
- Support og kontakt: https://www.sofd.io/support/


OS2ilm (OS2sofd – ILM, Ikke Lønbærende Medarbejdere) er et modul til OS2sofd, der
håndterer de personer, som arbejder for kommunen uden at være ansat og aflønnet af den,
fx eksterne konsulenter, ansatte på selvejende institutioner og medarbejdere hos private
leverandører af hjemmepleje. I løsningen kaldes de alle **medarbejdere**, og en
medarbejder er altid knyttet til en **virksomhed**.

Formålet er en sikker, praktisk og hurtig håndtering af disse medarbejderes adgang til
kommunens it-infrastruktur, fra den første anmodning til adgangen lukkes igen.

OS2ilm installeres, driftes og opsættes særskilt og har sin egen adresse. Kontakt
driftleverandøren for de nærmere vilkår, se [Support og kontakt](../support/).

- [Arbejdsgange](arbejdsgange/) beskriver oprettelse, godkendelse, integrationsflowet og
  kontoens livscyklus.
- [Opsætning af OS2ilm](opsaetning/) beskriver virksomheder, Arketyper, brugernavne,
  tekster og beskeder.
- [Ændringslog](aendringslog/) viser ændringerne i hver version af OS2ilm.

## Problemet OS2ilm løser

For fastansatte er livscyklussen veldefineret: Ansættelsen registreres i lønsystemet,
OS2sofd opretter personen, brugerkontoen dannes, rettighederne følger stillingen, og når
ansættelsen ophører, lukkes adgangen igen. Se [IdM](../idm/).

For ikke-lønbærende medarbejdere findes den kilde ikke. Oprettelsen sker typisk via
blanketter og e-mails, og det giver en række kendte problemer:

- **Manuelle processer, der tager tid.** Hver oprettelse kræver, at nogen i
  it-afdelingen indtaster oplysninger og opretter kontoen i hånden.
- **Fokus på oprettelse, ikke på nedlukning.** Udløbsdatoer er svære at holde styr på,
  og konti lever videre, efter opgaven er slut.
- **Manglende sporbarhed.** Det er svært bagefter at dokumentere, hvem der bad om
  adgangen, hvem der godkendte den, og hvornår.
- **Rettigheder uden standarder.** Hver medarbejder får rettigheder efter et konkret
  skøn i stedet for efter faste profiler.
- **Genaktivering er lige så besværlig som nyoprettelse.** Når en tidligere medarbejder
  vender tilbage, starter processen forfra.

## Det får kommunen med OS2ilm

- **Én indgang for alle ikke-lønbærende medarbejdere**, uanset om der er tale om en
  konsulent, en ansat på en selvejende institution eller en medarbejder hos en privat
  leverandør.
- **Virksomhederne gør selv en del af arbejdet.** Medarbejderen registrerer sig med
  MitID, og lederen i virksomheden godkender. Kommunens administrator tager kun stilling
  til det, som kun kommunen kan afgøre: placering, rettigheder og periode.
- **Kommunen har altid det sidste ord.** Der oprettes ingen konto, før en af kommunens
  administratorer har godkendt medarbejderen.
- **Standardiserede rettigheder.** Rettigheder tildeles via **Arketyper**, der samler
  AD-grupper, jobfunktionsroller og rollebuketter i faste profiler.
- **Nedlukningen er besluttet fra start.** Adgangen gives for en periode, og kontoen
  deaktiveres automatisk, når slutdatoen er passeret.
- **Samme datagrundlag som for de fastansatte.** Medarbejderen oprettes i OS2sofd med et
  tilhørsforhold til en enhed, så lederoverblik, organisationsdata og de øvrige
  integrationer fra OS2sofd også omfatter de ikke-lønbærende.
- **Log-spor.** Anmodning, godkendelser, oprettelse og alle senere ændringer logges med
  tidspunkt og aktør.
- **Mindre indtastning.** Navn og CPR-nummer hentes fra MitID, og virksomhedens navn
  slås op i CVR-registret.

## Overblik

OS2ilm er en webportal, der bruges af tre grupper: medarbejderne selv, deres ledere i
virksomhederne og kommunens administratorer. Portalen er koblet til kommunens
identitetssystemer.

{{< mermaid >}}
flowchart TB
    FK["<b>FK Adgang</b><br/>Administratorer"] -- login --> ILM
    MITID["<b>NemLog-in (MitID)</b><br/>Medarbejdere og ledere"] -- login --> ILM
    ILM(["<b>OS2ilm</b>"])
    ILM <--> SOFD["<b>OS2sofd</b><br/>Personer, tilhørsforhold<br/>og enheder"]
    ILM --> AD["<b>Active Directory</b><br/>Brugerkonti, grupper<br/>og kodeord"]
    ILM <--> RC["<b>OS2rollekatalog</b><br/>Jobfunktionsroller<br/>og rollebuketter"]
    ILM --> POST["<b>Digital Post / e-mail</b><br/>Beskeder"]
    ILM <--> CVR["<b>CVR-registret</b><br/>Virksomheder"]
    style ILM fill:#2f4050,stroke:#2f4050,color:#fff
{{< /mermaid >}}

## Roller

| Rolle | Logger ind med | Kan |
| --- | --- | --- |
| Medarbejder | MitID privat eller MitID Erhverv | Registrere sig, acceptere betingelserne, se sin profil og sit brugernavn, rette navn og telefonnummer, nulstille sit AD-kodeord og anmode om forlængelse |
| Leder i virksomheden | MitID Erhverv, MitID privat eller FK Adgang med en lederrolle | Godkende eller afvise virksomhedens medarbejdere, oprette medarbejdere på virksomhedens vegne, rette deres stamdata, låse deres konti og anmode om forlængelse |
| Administrator | FK Adgang (jobfunktionsrolle) | Godkende og oprette medarbejdere, håndtere deres adgange og rettigheder og opsætte hele løsningen: virksomheder, ledere, Arketyper, tekster og beskeder. Kan også sende invitationer og se log-sporet |
| Administrator med læseadgang | FK Adgang (jobfunktionsrolle) | Se alt, som administratoren ser, men uden at kunne ændre noget |

En leder kan kun se og håndtere medarbejdere i de virksomheder, lederen er knyttet til.
Man bliver leder på en af to måder:

- **Oprettet på forhånd.** En administrator opretter lederen i OS2ilm og knytter
  vedkommende til en eller flere virksomheder. Lederen kan oprettes med CPR-nummer og
  logger så ind med MitID privat.
- **MitID Erhverv fra virksomheden.** Har kommunen slået det til, oprettes lederen
  automatisk første gang, vedkommende logger ind med et MitID Erhverv, der er udstedt
  til virksomhedens CVR-nummer.

Ledere fra kommunens egen organisation kan tilsvarende logge ind via FK Adgang med en
lederrolle. Den afgørende kontrol ligger fortsat i administratorens godkendelse.

## Integrationer

| System | Retning | Indhold | Hyppighed |
| --- | --- | --- | --- |
| OS2sofd | Læser | Kommunens enheder | Hver time |
| OS2sofd | Skriver | Personer og tilhørsforhold, bestilling af mailkonti | Straks, via kø |
| Active Directory | Skriver | Konti, kodeord og gruppemedlemskaber | Straks, via kø |
| Active Directory | Skriver | Aktivering ved startdato og deaktivering efter slutdato | Flere gange i timen, primært i dagtimerne |
| Active Directory | Læser | AD-grupper under en aftalt rodgruppe | Hver time |
| OS2rollekatalog | Læser | It-systemer, jobfunktionsroller og rollebuketter | Hvert 15. minut |
| OS2rollekatalog | Skriver | Tildeling af jobfunktionsroller og rollebuketter | Hvert 15. minut |
| Digital Post | Skriver | Beskeder til medarbejdere | Straks, via kø |
| CVR-registret | Læser | Virksomhedsnavn ud fra CVR-nummer | Ved opslag |

Integrationen til Active Directory sker via Digital Identitys AD-agent, en Windows-service
på kommunens netværk, som selv forbinder sig ud til løsningen. CPR-nummeret skrives på
kontoen i en aftalt AD-attribut, så OS2sofd kan genkende kontoen. Se også
[On-premise agenter](../agents/).

OS2ilm har desuden et API, beskyttet med API-nøgler, til udtræk af medarbejdere og
virksomheder, til at hente antallet af medarbejdere, der afventer godkendelse, og til at
overtage AD-konti, der er oprettet uden for OS2ilm, så de herefter kan administreres
herfra.

## Forudsætninger

- **OS2sofd.**
- **Tilslutning til NemLog-in** for MitID-login.
- **Jobfunktionsroller til OS2ilm i FK Adgang** for administratorer og administratorer
  med læseadgang.
- **Digital Identitys AD-agent** installeret på kommunens netværk.
- **OS2rollekatalog**, hvis rettigheder skal tildeles via Arketyper.
- **Digital Post** til beskeder til medarbejderne.