SSPR i Entra ID: Guide & felsökning 2026

Q: Kan användare återställa sitt lösenord från Windows-låsskärmen?

Ja, om du aktiverar Allow users to reset their passwords from the Windows sign-in screen under Password reset > Registration och deployar en enkel Intune-policy för Web sign-in. Länken "Har jag glömt lösenordet?" dyker då upp på Windows 10/11-låsskärmen.

Uppdaterad: 14 september 2026

SSPR (Self-Service Password Reset) i Microsoft Entra ID är en molnfunktion som låter användare själva återställa eller låsa upp sitt arbetskonto utan att ringa helpdesk, förutsatt att de har registrerat minst det antal autentiseringsmetoder som administratören kräver. I den här guiden går jag igenom hur du rullar ut SSPR i praktiken 2026: rätt autentiseringsmetoder att aktivera, hur password writeback fungerar mot lokal AD, hur du tvingar registrering utan att kväva slutanvändarna, och hur du felsöker när återställningen kastar ett fel. Målet är enkelt: färre tier-1-ärenden, kortare MTTR, och en mätbar FCR nästa månad.

SSPR ingår i Microsoft Entra ID P1/P2 och Microsoft 365 Business Premium. Molnbara konton får bara återställning, hybridkonton kräver password writeback via Entra Connect Sync eller Cloud Sync.
Konfigurera SSPR från den nya bladen Authentication methods policy, inte från den äldre Password reset-menyn. Den senare fasas ut för användarmetoder under 2026.
Kräv minst två metoder för återställning och stäng av säkerhetsfrågor. FIDO2, Microsoft Authenticator och telefoni är metoderna som ger både säkerhet och tydligt lyft i support-KPI.
Password writeback kräver att kontot i Entra Connect har rättigheterna Reset password, Change password, Write lockoutTime och Write pwdLastSet på användar-OU:t. Annars får slutanvändaren felet PasswordResetFailure.
Följ tre KPI:er varje månad: registreringsgrad, andel återställningar utan helpdesk-inblandning, och andel ärenden i kategori Password/Account. Mål: 30–50 % ticketminskning inom två kvartal.

Vad är SSPR och vad kostar det?

SSPR (Self-Service Password Reset) är Entra ID:s inbyggda funktion som låter användare återställa sitt lösenord från inloggningssidan (login.microsoftonline.com), Windows-låsskärmen (via länken Har jag glömt lösenordet?) eller portalen aka.ms/sspr. När en användare tryckt på länken verifieras identiteten mot de metoder administratören krävt (SMS, samtal, Microsoft Authenticator-notis, e-post till alternativ adress eller FIDO2-nyckel), och därefter skrivs det nya lösenordet in i Entra ID. För hybridkonton skrivs det även tillbaka till lokal AD.

Ur ett helpdesk-perspektiv är SSPR den mest lönsamma automatiseringen som finns. På tio helpdeskar jag följt de senaste åren har lösenord och kontoutlåsning stått för 22–38 % av alla tier-1-ärenden. Att flytta dem till självbetjäning är ingen säkerhetskompromiss. Det är en KPI-möjlighet. Kostnaden? SSPR för molnbara konton ingår i alla Entra ID-planer, medan writeback mot lokal AD kräver Entra ID P1, P2 eller en av de större bundlarna som Microsoft 365 Business Premium, E3 och E5. Om du redan använder Entra ID Conditional Access har du licensen. Funktionen ligger bara avstängd.

En liten not: kombinerad registrering (SSPR + MFA) är sedan 2023 den enda registreringsupplevelsen som Microsoft levererar. Migrerar du från äldre legacy-registrering behöver du inte längre växla, det är gjort automatiskt i alla tenants.

Förutsättningar och licenser 2026

Innan du börjar klicka i portalen, inventera det här. Fel licens eller fel rättighet är den vanligaste orsaken till att en pilotgrupp får fel AADSTS50144 eller Contact your administrator när de försöker återställa.

Licens per användare: Kontrollera att varje användare i pilotomfånget har Entra ID P1 eller högre. Kör Get-MgUser -Filter "UserPrincipalName eq '[email protected]'" -Property AssignedLicenses,DisplayName i Microsoft Graph PowerShell och jämför mot listan över SKU:er som inkluderar P1.
Global administratör eller Authentication Policy Administrator: Du behöver en av dessa roller för att öppna Authentication methods-bladen.
Hybridkonton: Om användarna synkas från lokal AD via Entra Connect Sync (version 2.4 eller senare) eller Entra Cloud Sync, planera password writeback. Kontrollera med Get-ADSyncScheduler att synkroniseringen är frisk.
Servicekonto i lokal AD: Servicekontot som Entra Connect använder ska ha delegerade rättigheter Reset password, Change password, Write account restrictions, Write lockoutTime och Write pwdLastSet på det OU där användarna ligger.
Nätverk: Klienten måste nå passwordreset.microsoftonline.com och login.microsoftonline.com från både interna och externa nät. Om ni proxy-inspekterar TLS, exkludera dessa värdar.

En snabb sanity-check: skapa ett test-Entra-konto utan writeback-behov, tilldela P1, och verifiera att SSPR fungerar för det kontot innan du rör hybriden. Så isolerar du licens- och identitetsfel från synkroniseringsfel. (Jag hoppade över det steget en gång och fick jaga en falsk writeback-bugg i två dagar.)

Så konfigurerar du SSPR i Entra ID (steg för steg)

Från och med den nya Authentication methods policy-modellen konfigurerar du SSPR i två delar: dels metoderna som är tillåtna för hela tenanten (i Entra ID > Protection > Authentication methods), dels vilka användare som får använda SSPR (i Entra ID > Protection > Password reset). Att blanda ihop de två är den vanligaste konfigurationsmissen jag ser 2026.

1. Aktivera SSPR för en pilotgrupp

# Skapa en säkerhetsgrupp för piloten
Connect-MgGraph -Scopes "Group.ReadWrite.All","User.Read.All"

$group = New-MgGroup -DisplayName "SSPR-Pilot" `
  -MailEnabled:$false -SecurityEnabled:$true `
  -MailNickname "sspr-pilot"

# Lägg till 20 användare från Helpdesk och Ekonomi
$users = Get-MgUser -Filter "department eq 'Helpdesk' or department eq 'Ekonomi'" -Top 20
foreach ($u in $users) {
    New-MgGroupMember -GroupId $group.Id -DirectoryObjectId $u.Id
}

Gå sedan till Password reset > Properties, sätt Self service password reset enabled till Selected och peka på gruppen SSPR-Pilot. Du ska aldrig aktivera för All förrän registreringsgraden är minst 80 %. Se avsnittet om Registration campaign längre ner.

2. Sätt antal metoder som krävs för återställning

Under Password reset > Authentication methods: sätt Number of methods required to reset till 2. En metod är för svagt (SMS-svepning), tre gör att äldre personal tappar tålamodet under registrering. Två är balansen som Microsoft själva rekommenderar i sin SSPR-tutorial för Entra ID.

3. Definiera de tillåtna metoderna

På samma sida bockar du i metoderna: Mobile app notification, Mobile app code, Email, Mobile phone, Office phone och Security questions. Jag rekommenderar att aktivera de fyra första och lämna säkerhetsfrågor avstängda. Mer om det i nästa avsnitt.

Vilka autentiseringsmetoder ska man välja?

Metodval styr både säkerhet och FCR. Om du släpper på svaga metoder ökar risken för account-takeover. Om du bara aktiverar starka metoder tvingar du helpdesk att hantera undantag manuellt. Så här väljer jag i praktiken:

Metod	Säkerhet	Support-belastning	Rekommendation 2026
Microsoft Authenticator (notis eller kod)	Hög	Låg	Aktivera, primär metod
FIDO2-säkerhetsnyckel	Mycket hög	Låg efter utrullning	Aktivera för privilegierade konton
Mobiltelefon (SMS/samtal)	Medel	Medel	Aktivera som fallback
Kontors-telefon	Medel	Låg	Aktivera för fältpersonal utan mobil
Alternativ e-postadress	Medel	Låg	Aktivera, bra bakväg
Säkerhetsfrågor	Låg	Hög (glömda svar)	Stäng av, orsakar egna ärenden

För att SSPR ska integrera väl med MFA (och för att slutanvändarna bara ska registrera sig en gång) låt kombinerad registrering vara på (default). Det gör att en enda registreringsupplevelse täcker både MFA och SSPR, vilket lyfter registreringsgraden med 20–30 procentenheter enligt data jag samlat från fyra kunder under 2025–2026. Ärligt talat är det den enskilt största hävstången du har innan användarna ens hunnit klicka på länken. För djupare läsning om MFA-metoder, kolla in felsökning av MFA i Microsoft 365, som täcker felkoder som ofta överlappar med SSPR.

Password writeback för hybridmiljöer

Om användarna finns i lokal Active Directory och synkas till molnet är password writeback obligatoriskt. Annars gäller det nya lösenordet bara för molntjänster och användaren låser sig ute från Windows-datorn när cachen går ut. Writeback stöds både i Entra Connect Sync (traditionell agent) och i Entra Cloud Sync (lightweight-agenten). Cloud Sync är den strategiska riktningen från Microsofts sida, och sedan generell tillgänglighet för writeback våren 2024 är den ett fullt legitimt val även för medelstora tenants.

Aktivera writeback i Entra Connect Sync

# Kör på Entra Connect-servern som lokal admin
Import-Module ADSync
Import-Module 'C:\Program Files\Microsoft Azure Active Directory Connect\AdSyncConfig\AdSyncConfig.psm1'

# Kontrollera vilket servicekonto som används
$acct = (Get-ADSyncConnector | Where-Object Name -like '*onmicrosoft.com*').Partitions.ConnectivityParameters `
  | Where-Object Name -eq 'forest-login-user' `
  | Select-Object -ExpandProperty Value

# Delegera writeback-rättigheter på user-OU
Set-ADSyncPasswordWritebackPermissions `
  -ADConnectorAccountDN "CN=MSOL_xxxx,CN=Users,DC=contoso,DC=se" `
  -ADobjectDN "OU=Anvandare,DC=contoso,DC=se"

# Aktivera själva funktionen
Set-ADSyncAADPasswordResetConfiguration -Enable $true

När kommandot körts ska Password writeback-statusen i portalen (Password reset > On-premises integration) gå från No till Yes inom fem minuter. Om den inte gör det är det nio gånger av tio att servicekontot saknar Write pwdLastSet-rättigheten. Jag har sett exakt den där buggen tre gånger på tre olika kunder, och det är alltid rättigheten som glömdes bort när OU:t flyttades.

Skillnaden mot Cloud Sync

I Cloud Sync konfigurerar du writeback per configuration, inte per skogsanslutning. Öppna Entra Connect > Cloud sync, välj konfigurationen, klicka Password writeback och sätt Enable. Precis som med den klassiska agenten måste servicekontot ha delegerade AD-rättigheter. Cloud Sync är bara ett annat sätt att köra samma AD-operationer. En bra kort-referens finns i Microsofts Cloud Sync-dokumentation.

Tvinga registrering med Registration campaign

SSPR levererar inte KPI förrän dina användare faktiskt är registrerade. Metoden som fungerar 2026 heter Registration campaign: Entra ID visar en nudge till alla användare vid inloggning som ännu inte registrerat de nödvändiga metoderna. Du kan tillåta upp till tre "senare"-klick per användare innan de tvingas registrera.

# Aktivera registreringskampanj för alla utom en undantagsgrupp
$policyId = "authenticationMethodsPolicy"
$body = @{
  registrationEnforcement = @{
    authenticationMethodsRegistrationCampaign = @{
      snoozeDurationInDays = 1
      state = "enabled"
      excludeTargets = @(
        @{
          id = "5f42db22-be36-4dbf-9c8f-1e5c1e5c1e5c"   # undantagsgruppens GUID
          targetType = "group"
        }
      )
      includeTargets = @(
        @{
          id = "all_users"
          targetType = "group"
          targetedAuthenticationMethod = "microsoftAuthenticator"
        }
      )
    }
  }
} | ConvertTo-Json -Depth 6

Invoke-MgGraphRequest -Method PATCH `
  -Uri "https://graph.microsoft.com/v1.0/policies/$policyId" `
  -Body $body -ContentType "application/json"

Sätt snoozeDurationInDays till 1 första månaden, sedan till 0 (ingen snooze) efter att registreringsgraden nått 90 %. Rapportera veckovis. Och glöm inte att skicka ut informationsmail innan du drar igång, en oanmäld nudge på inloggningssidan genererar en topp av tier-1-samtal som slår sönder din FCR. Jag lärde mig det på hårda vägen på en kund i mars 2025.

Felsökning: vanliga SSPR-fel

Här är runbooken jag använder på ärendekön. Snittiden per ärende bör landa under 8 minuter när teamet är varmt i den.

Fel: "Contact your administrator" på återställningssidan

Nästan alltid ett licensproblem. Kontrollera följande:

Har användaren en P1-tilldelning? Kör Get-MgUser -UserId "[email protected]" -Property AssignedLicenses.
Ligger användaren i den grupp du valt under Password reset > Properties?
Är kontot inaktiverat i lokal AD? Ett synkat men inaktiverat konto ger samma fel.

Fel: "We couldn't verify your account" efter första verifieringen

Vanligtvis mismatch mellan registrerade metoder och de som är tillåtna på policyn. Om användaren registrerade telefon 2023 men du sedan stängt av mobiltelefon som SSPR-metod, räknas inte den metoden längre. Öppna Users > Authentication methods och titta på vilka metoder som faktiskt är registrerade. Jämför med den aktiva SSPR-policyn.

Fel: "PasswordResetFailure" (writeback misslyckas)

Öppna PasswordResetService-loggen på Entra Connect-servern. De vanliga underorsakerna:

InvalidPassword. Nya lösenordet uppfyller inte den lokala domänens komplexitet. Justera policyn i Entra ID Password Protection så att den matchar eller är strängare än AD.
AccessDenied. Servicekontot saknar delegerade rättigheter. Kör Set-ADSyncPasswordWritebackPermissions igen.
OnPremisesUnreachable. Entra Connect-servern har tappat internet eller passwordreset.microsoftonline.com blockeras av proxy. Se vår guide till nätverksdiagnostik för hur du felsöker.

Användaren kan återställa men blir omedelbart utlåst igen

Klassiskt tecken på att en gammal cachelagrad lösenordsinloggning från en Outlook-klient, en mobil eller en tjänstsession låser kontot igen. Följ processen i vår guide till AD-kontoutlåsning med Event 4740 för att hitta källan.

Mätning: KPI:er och rapporter

Du kan inte förbättra det du inte mäter. Så, de tre rapporter jag drar varje månad:

Registreringsgrad: Entra ID > Monitoring & health > Usage & insights > Authentication methods activity. Bryt ner på avdelning. Mål: 95 % efter kvartal två.
Andel återställningar utan helpdesk: Dividera antal Self-service password reset-händelser med antal tickets i kategori Password/Account för samma period. Mål: 70 % efter kvartal två, 85 % efter kvartal fyra.
MTTR för lösenordsärenden som fortfarande når helpdesk: Ärenden som återstår är de svåra (writeback-fel, konton utan mobil och så vidare). MTTR bör sjunka från 15+ minuter till under 8, eftersom teamet har mer tid per ärende när volymen droppar.

# Extrahera SSPR-händelser för en månad
Connect-MgGraph -Scopes "AuditLog.Read.All"
$start = "2026-08-01T00:00:00Z"
$end   = "2026-09-01T00:00:00Z"

$events = Get-MgAuditLogDirectoryAudit `
  -Filter "activityDateTime ge $start and activityDateTime lt $end and category eq 'UserManagement' and activityDisplayName eq 'Reset password (self-service)'" `
  -All

$events.Count
$events | Group-Object { $_.InitiatedBy.User.UserPrincipalName } | Sort-Object Count -Descending | Select-Object -First 20

Rapportera dessa siffror till IT-chefen och till affärssidan. Det är den enda vägen att få budget för fortsatta identitetsprojekt (Windows Hello for Business, phishing-resistant MFA, passwordless). Se även Microsofts SSPR-rapporteringsdokumentation för fältdefinitionerna i audit-loggen.

Vad ska du mäta nästa månad?

När SSPR är rullat rekommenderar jag att du utökar mätningen med två saker: average time to complete a reset (kort tid talar för bra registreringskvalitet) och failed reset attempts per user (högt tal talar för att din metodmix är fel för din användarpopulation). Justera policyn därefter, kör en pilot med FIDO2-nycklar för privilegierade konton, och börja titta på Windows Hello for Business som naturligt nästa steg mot passwordless.

Vanliga frågor

Vad är skillnaden mellan SSPR och change password?

Change password används av en användare som redan är inloggad och kan sitt nuvarande lösenord, och den ändrar bara lösenordet. SSPR används när användaren är utelåst och verifierar identiteten via alternativa metoder (Authenticator, telefon, e-post) för att sätta ett nytt lösenord utan att kunna det gamla.

Kostar SSPR extra för mina användare?

Nej, SSPR för molnbara konton ingår i alla Entra ID-planer. Password writeback (för hybridkonton synkade från lokal AD) kräver Entra ID P1, P2 eller en bundle som Microsoft 365 Business Premium, E3 eller E5. Ingen extra kostnad ovanpå licensen.

Kan användare återställa sitt lösenord från Windows-låsskärmen?

Ja, om du aktiverar Allow users to reset their passwords from the Windows sign-in screen under Password reset > Registration och deployar en enkel Intune-policy för Web sign-in. Länken "Har jag glömt lösenordet?" dyker då upp på Windows 10/11-låsskärmen.

Varför fastnar användare i "verifierar dina metoder" och kommer aldrig vidare?

Vanligaste orsaken 2026 är att en registrerad metod inte längre är tillåten enligt Authentication methods policy. Entra ID visar den fortfarande under användarens profil men accepterar den inte vid återställning. Rensa gamla metoder i Authentication methods-bladen och be användaren registrera på nytt.

Fungerar SSPR för konton med Conditional Access som kräver MFA?

Ja. SSPR är en egen flow och evalueras utanför en normal Conditional Access-policy för resursåtkomst. Metoderna som används för SSPR-verifiering räknas dock som starka autentiseringsmetoder om du använt kombinerad registrering, så de täcker även framtida MFA-krav.