Tilgangsstyrings-API

Slik bruker du tilgangsstyrings-API-et fra sluttbrukersystem

Altinn tilbyr et tilgangsstyrings-API som lar sluttbrukersystemer administrere tilganger mellom parter. API-et gir mulighet til å se og håndtere hvem som har tilgang til hva, delegere tilgangspakker og enkeltrettigheter, og administrere klientforhold.

Hva er et sluttbrukersystem?

Et sluttbrukersystem er programvare eller en nettside som kaller Altinns API-er på vegne av en bruker eller virksomhet. Det kan for eksempel være et regnskapssystem, en HR-løsning eller en portal fra en tjenesteeier med innlogging via ID-porten. Det finnes to typer:

• Systemer med ID-porten-pålogging: Nettløsninger eller applikasjoner der en person logger inn med ID-porten. Systemet handler på vegne av den påloggede brukeren. Dette kan være alt fra et regnskapssystem til en offentlig portal som tilbyr selvbetjeningsfunksjoner.
• Systemer med systembruker: Bakgrunnssystemer som bruker en systembruker til å kalle API-et uten at en person er pålogget. Systemet handler på vegne av virksomheten som har opprettet systembrukeren.

Når er denne integrasjonen aktuell?

Tilgangsstyrings-API-et er relevant for systemer som ønsker å automatisere administrasjon av tilganger i Altinn. Eksempler:

• Store virksomheter som ønsker å automatisere hvilke tilganger ansatte har. I stedet for å logge inn i Altinn og delegere tilgangspakker manuelt kan virksomheten bruke API-et til å synkronisere tilganger fra egne HR- eller identitetssystemer.
• Tjenestetilbydere (regnskapsførere, revisorer o.l.) som administrerer tilganger for mange klienter og ønsker å gjøre dette effektivt gjennom egne systemer.
• Forvaltningsløsninger som trenger å vise brukeren hvilke parter de kan handle på vegne av, og hvilke rettigheter de har.

OpenAPI

• EndUser

Hvem kan bruke API-et?

API-et kan brukes av personer (via ID-porten) eller systembrukere (via Maskinporten).

Autentisering med ID-porten

Personen logger inn via ID-porten. Under innlogging må sluttbrukeren gi samtykke til scopene som systemet ber om. Disse scopene avgrenser hva systemet kan gjøre på vegne av brukeren.

Se autentisering med ID-porten for detaljer om scopes og samtykke.

ID-porten-tokenet må deretter veksles til et Altinn-token.

Relevante scopes

Systemet må be om de scopene som trengs for funksjonaliteten det skal bruke.

Altinn tilgangsstyring

Altinn klientdelegering

Autentisering med systembruker

API-et kan også brukes med en systembruker. Systembrukertokenet hentes fra Maskinporten og må deretter veksles til et Altinn-token. Se bruk av systembruker for detaljer om tokenveksling.

Et systembrukertoken kan blant annet brukes til å kalle AuthorizedParties-endepunktet for å finne hvilke parter systembrukeren er autorisert for. Maskinporten-tokenet må da inneholde scopet altinn:accessmanagement/authorizedparties.

Krav til tilgangspakke

For å bruke de fleste endepunktene i tilgangsstyrings-API-et må den innloggede brukeren eller systembrukeren ha en av følgende tilgangspakker for den aktuelle virksomheten:

• Tilgangsstyring (urn:altinn:accesspackage:tilgangsstyring)
• Hovedadministrator (urn:altinn:accesspackage:hovedadministrator)

Identifikatorer

API-et bruker partyUuid som identifikator for parter. Hver person eller virksomhet i Altinn har en unik UUID.

Du finner partyUuid for aktuelle parter via Authorized Parties-endepunktet som er beskrevet nedenfor.

API: Hente autoriserte parter

Henter alle parter (virksomheter og personer) som den innloggede brukeren eller systembrukeren er autorisert for.

• Test: GET https://platform.tt02.altinn.no/accessmanagement/api/v1/enduser/authorizedparties
• Produksjon: GET https://platform.altinn.no/accessmanagement/api/v1/enduser/authorizedparties

For en fullstendig beskrivelse av endepunktet, inkludert alle parametere og responsfelter, se OpenAPI-dokumentasjonen for EndUser-API-et.

Spørreparametere

Eksempelrespons

{
  "links": {
    "next": null
  },
  "data": [
    [
      {
        "partyUuid": "4a06214d-b261-4695-b33a-0771a995b503",
        "name": "GEOMETRISK VOKSENDE TIGER AS",
        "organizationNumber": "310757632",
        "partyId": 51561408,
        "type": "Organization",
        "unitType": "AS",
        "isDeleted": false,
        "onlyHierarchyElementWithNoAccess": false,
        "authorizedAccessPackages": [
          "urn:altinn:accesspackage:skattegrunnlag"
        ],
        "authorizedRoles": [
          "urn:altinn:role:tilgangsstyrer"
        ],
        "subunits": []
      }
    ]
  ]
}

API: Hente tilkoblinger

Henter alle tilkoblinger (relasjoner) for en gitt part. En tilkobling viser hvem som har tilgang til hva, inkludert roller, tilgangspakker og ressurser.

• Test: GET https://platform.tt02.altinn.no/accessmanagement/api/v1/enduser/connections
• Produksjon: GET https://platform.altinn.no/accessmanagement/api/v1/enduser/connections

Spørreparametere

party må være lik enten to eller from. Verdien angir hvilken part du styrer tilganger for. Kombinasjonen avgjør retningen på oppslaget:

• party = to: Henter rettigheter som er gitt til denne parten (hvem har gitt parten tilgang?).
• party = from: Henter rettigheter som er gitt fra denne parten (hvem har parten gitt tilgang til?).

Paginering styres med X-Page-Size og X-Page-Number i headere.

Eksempelrespons

{
  "links": {
    "next": null
  },
  "data": [
    {
      "party": {
        "id": "01f7a70d-2619-4c50-8ff4-efd7ae6c8960",
        "name": "KREATIV GRANITT",
        "type": "Person",
        "variant": "Person"
      },
      "roles": [
        {
          "id": "42cae370-2dc1-4fdc-9c67-c2f4b0f0f829",
          "code": "rettighetshaver",
          "urn": "urn:altinn:role:rettighetshaver"
        }
      ],
      "packages": [
        {
          "id": "4c859601-9b2b-4662-af39-846f4117ad7a",
          "urn": "urn:altinn:accesspackage:skattegrunnlag"
        }
      ],
      "resources": []
    }
  ]
}

API: Opprette tilkobling

Oppretter en ny tilkobling (delegering) til en person. Oppgi fødselsnummer og etternavn.

• Test: POST https://platform.tt02.altinn.no/accessmanagement/api/v1/enduser/connections
• Produksjon: POST https://platform.altinn.no/accessmanagement/api/v1/enduser/connections

Spørreparametere

Eksempelforespørsel (body)

{
  "personIdentifier": "01038712345",
  "lastName": "Salt"
}

Eksempelrespons

{
  "id": "019c2e70-c577-7b20-a11c-245fecd5e564",
  "roleId": "ff4c33f5-03f7-4445-85ed-1e60b8aafb30",
  "fromId": "4a06214d-b261-4695-b33a-0771a995b503",
  "toId": "01f7a70d-2619-4c50-8ff4-efd7ae6c8960"
}

API: Slette tilkobling

Sletter en tilkobling mellom to parter.

• Test: DELETE https://platform.tt02.altinn.no/accessmanagement/api/v1/enduser/connections
• Produksjon: DELETE https://platform.altinn.no/accessmanagement/api/v1/enduser/connections

Spørreparametere

API: Hente tilgangspakker for en tilkobling

Henter tilgangspakker som er delegert mellom to parter.

• Test: GET https://platform.tt02.altinn.no/accessmanagement/api/v1/enduser/connections/accesspackages
• Produksjon: GET https://platform.altinn.no/accessmanagement/api/v1/enduser/connections/accesspackages

Spørreparametere

Paginering styres med X-Page-Size og X-Page-Number i headere.

API: Delegere tilgangspakke

Delegerer en tilgangspakke til en person.

• Test: POST https://platform.tt02.altinn.no/accessmanagement/api/v1/enduser/connections/accesspackages
• Produksjon: POST https://platform.altinn.no/accessmanagement/api/v1/enduser/connections/accesspackages

Spørreparametere

Eksempelforespørsel (body)

{
  "personIdentifier": "01038712345",
  "lastName": "Salt"
}

Eksempelrespons

{
  "id": "019c2e70-c577-7b20-a11c-245fecd5e564",
  "assignmentId": "ff4c33f5-03f7-4445-85ed-1e60b8aafb30",
  "packageId": "4c859601-9b2b-4662-af39-846f4117ad7a"
}

API: Fjerne tilgangspakke

Fjerner en delegert tilgangspakke fra en tilkobling.

• Test: DELETE https://platform.tt02.altinn.no/accessmanagement/api/v1/enduser/connections/accesspackages
• Produksjon: DELETE https://platform.altinn.no/accessmanagement/api/v1/enduser/connections/accesspackages

Spørreparametere

API: Kontrollere delegeringsmulighet for tilgangspakker

Sjekker om den innloggede brukeren kan delegere en gitt tilgangspakke på vegne av parten.

• Test: GET https://platform.tt02.altinn.no/accessmanagement/api/v1/enduser/connections/accesspackages/delegationcheck
• Produksjon: GET https://platform.altinn.no/accessmanagement/api/v1/enduser/connections/accesspackages/delegationcheck

Spørreparametere

Eksempelrespons

{
  "links": {
    "next": null
  },
  "data": [
    {
      "package": {
        "id": "4c859601-9b2b-4662-af39-846f4117ad7a",
        "urn": "urn:altinn:accesspackage:skattegrunnlag"
      },
      "result": true,
      "reasons": []
    }
  ]
}

API: Hente roller for en tilkobling

Henter roller som en part har fått delegert i en tilkobling.

• Test: GET https://platform.tt02.altinn.no/accessmanagement/api/v1/enduser/connections/roles
• Produksjon: GET https://platform.altinn.no/accessmanagement/api/v1/enduser/connections/roles

Spørreparametere

Paginering styres med X-Page-Size og X-Page-Number i headere.

API: Hente ressurser for en tilkobling

Henter ressurser som er delegert mellom to parter.

• Test: GET https://platform.tt02.altinn.no/accessmanagement/api/v1/enduser/connections/resources
• Produksjon: GET https://platform.altinn.no/accessmanagement/api/v1/enduser/connections/resources

Spørreparametere

API: Fjerne ressursdelegering

Fjerner en delegert ressurs fra en tilkobling.

• Test: DELETE https://platform.tt02.altinn.no/accessmanagement/api/v1/enduser/connections/resources
• Produksjon: DELETE https://platform.altinn.no/accessmanagement/api/v1/enduser/connections/resources

Spørreparametere

API: Hente enkeltrettigheter for en ressurs

Henter enkeltrettigheter (les, skriv, signer osv.) som er delegert for en spesifikk ressurs mellom to parter.

• Test: GET https://platform.tt02.altinn.no/accessmanagement/api/v1/enduser/connections/resources/rights
• Produksjon: GET https://platform.altinn.no/accessmanagement/api/v1/enduser/connections/resources/rights

Spørreparametere

API: Delegere enkeltrettigheter for en ressurs

Delegerer enkeltrettigheter for en ressurs til en part.

• Test: POST https://platform.tt02.altinn.no/accessmanagement/api/v1/enduser/connections/resources/rights
• Produksjon: POST https://platform.altinn.no/accessmanagement/api/v1/enduser/connections/resources/rights

Spørreparametere

Eksempelforespørsel (body)

{
  "directRightKeys": [
    "read",
    "write"
  ]
}

API: Oppdatere enkeltrettigheter for en ressurs

Oppdaterer (erstatter) enkeltrettigheter for en ressurs.

• Test: PUT https://platform.tt02.altinn.no/accessmanagement/api/v1/enduser/connections/resources/rights
• Produksjon: PUT https://platform.altinn.no/accessmanagement/api/v1/enduser/connections/resources/rights

Spørreparameterne og forespørselskroppen er de samme som for delegering (POST).

API: Kontrollere delegeringsmulighet for ressurs

Sjekker om den innloggede brukeren kan delegere rettigheter for en gitt ressurs.

• Test: GET https://platform.tt02.altinn.no/accessmanagement/api/v1/enduser/connections/resources/delegationcheck
• Produksjon: GET https://platform.altinn.no/accessmanagement/api/v1/enduser/connections/resources/delegationcheck

Spørreparametere

Eksempelrespons

{
  "resource": {
    "id": "3fa85f64-5717-4562-b3fc-2c963f66afa6",
    "name": "Skattemelding",
    "refId": "skd-skattemelding"
  },
  "rights": [
    {
      "right": {
        "key": "read",
        "name": "Les",
        "action": {
          "type": "urn:oasis:names:tc:xacml:1.0:action:action-id",
          "value": "read"
        }
      },
      "result": true,
      "reasonCodes": []
    }
  ]
}

Be om fullmakt fra en annen part

Endepunktene nedenfor lar en innlogget bruker eller systembruker be om en tilgangspakke eller enkeltrettigheter på en ressurs fra en annen part. Dette er aktuelt når mottakeren ikke selv kan tildele seg tilgangen, men trenger å spørre eieren av parten.

Flyten er:

1. Avsenderen oppretter en forespørsel om en tilgangspakke eller en ressurs.
2. Mottakeren ser forespørselen i listen over mottatte forespørsler og kan godkjenne eller avvise den.
3. Avsenderen kan trekke en forespørsel som ennå ikke er behandlet.

En forespørsel kan ha følgende status: Pending (avventer behandling), Approved (godkjent), Rejected (avvist) eller Withdrawn (trukket). I tillegg finnes statusen Draft for utkast som opprettes fra Altinn-portalen.

Endepunktene krever scopene altinn:accessmanagement/enduser:requests.read (les) og altinn:accessmanagement/enduser:requests.write (skriv).

API: Be om en tilgangspakke

Oppretter en forespørsel til en annen part om en tilgangspakke.

• Test: POST https://platform.tt02.altinn.no/accessmanagement/api/v1/enduser/request/package
• Produksjon: POST https://platform.altinn.no/accessmanagement/api/v1/enduser/request/package

Spørreparametere

Eksempelrespons

{
  "id": "019c2e70-c577-7b20-a11c-245fecd5e564",
  "status": "Pending",
  "type": "package",
  "lastUpdated": "2026-04-30T10:15:00Z",
  "package": {
    "id": "4c859601-9b2b-4662-af39-846f4117ad7a",
    "referenceId": "urn:altinn:accesspackage:skattegrunnlag"
  },
  "from": {
    "id": "4a06214d-b261-4695-b33a-0771a995b503"
  },
  "to": {
    "id": "01f7a70d-2619-4c50-8ff4-efd7ae6c8960"
  }
}

API: Be om enkeltrettigheter på en ressurs

Oppretter en forespørsel til en annen part om enkeltrettigheter på en ressurs.

• Test: POST https://platform.tt02.altinn.no/accessmanagement/api/v1/enduser/request/resource
• Produksjon: POST https://platform.altinn.no/accessmanagement/api/v1/enduser/request/resource

Spørreparametere

API: Bekrefte et utkast

Bekrefter et forespørselsutkast slik at det går videre til mottakeren. Brukes typisk fra Altinn-portalen etter at avsenderen har gjennomgått utkastet opprettet av tjenesteeier.

• Test: PUT https://platform.tt02.altinn.no/accessmanagement/api/v1/enduser/request/draft/confirm
• Produksjon: PUT https://platform.altinn.no/accessmanagement/api/v1/enduser/request/draft/confirm

Spørreparametere

API: Hente en forespørsel

Henter en enkelt forespørsel basert på id.

• Test: GET https://platform.tt02.altinn.no/accessmanagement/api/v1/enduser/request
• Produksjon: GET https://platform.altinn.no/accessmanagement/api/v1/enduser/request

Spørreparametere

API: Hente sendte forespørsler

Henter alle forespørsler som parten har sendt til andre.

• Test: GET https://platform.tt02.altinn.no/accessmanagement/api/v1/enduser/request/sent
• Produksjon: GET https://platform.altinn.no/accessmanagement/api/v1/enduser/request/sent

Spørreparametere

Paginering styres med X-Page-Size og X-Page-Number i headere.

For å hente kun antall sendte forespørsler, bruk GET /enduser/request/sent/count med de samme filterparameterne.

API: Trekke en sendt forespørsel

Trekker en forespørsel som ennå ikke er godkjent eller avvist.

• Test: PUT https://platform.tt02.altinn.no/accessmanagement/api/v1/enduser/request/sent/withdraw
• Produksjon: PUT https://platform.altinn.no/accessmanagement/api/v1/enduser/request/sent/withdraw

Spørreparametere

API: Hente mottatte forespørsler

Henter alle forespørsler som parten har fått fra andre.

• Test: GET https://platform.tt02.altinn.no/accessmanagement/api/v1/enduser/request/received
• Produksjon: GET https://platform.altinn.no/accessmanagement/api/v1/enduser/request/received

Spørreparametere

Paginering styres med X-Page-Size og X-Page-Number i headere.

For å hente kun antall mottatte forespørsler, bruk GET /enduser/request/received/count med de samme filterparameterne.

API: Godkjenne en mottatt forespørsel

Godkjenner en mottatt forespørsel og oppretter den underliggende delegeringen.

• Test: PUT https://platform.tt02.altinn.no/accessmanagement/api/v1/enduser/request/received/approve
• Produksjon: PUT https://platform.altinn.no/accessmanagement/api/v1/enduser/request/received/approve

Spørreparametere

For ressursforespørsler kan body angi hvilke enkeltrettigheter som skal godkjennes. La body stå tom for å godkjenne alle rettighetene som er bedt om:

[
  "read",
  "write"
]

API: Avvise en mottatt forespørsel

Avviser en mottatt forespørsel.

• Test: PUT https://platform.tt02.altinn.no/accessmanagement/api/v1/enduser/request/received/reject
• Produksjon: PUT https://platform.altinn.no/accessmanagement/api/v1/enduser/request/received/reject

Spørreparametere

Sluttbrukerens egne klientforhold

Endepunktene nedenfor lar en innlogget person se og administrere sine egne klientforhold. Det vil si klienter som er delegert til brukeren via en tjenestetilbyder.

API: Hente mine klienter

Henter alle klienter som den innloggede brukeren har fått delegert tilgang til.

• Test: GET https://platform.tt02.altinn.no/accessmanagement/api/v1/enduser/clientdelegations/my/clients
• Produksjon: GET https://platform.altinn.no/accessmanagement/api/v1/enduser/clientdelegations/my/clients

Spørreparametere

Paginering styres med X-Page-Size og X-Page-Number i headere.

Eksempelrespons

{
  "data": [
    {
      "provider": {
        "id": "3e1a0c01-dcaa-47f6-b76b-820d380bd639",
        "name": "LEGITIM RASK TIGER AS",
        "type": "Organisasjon",
        "variant": "AS",
        "parent": null,
        "children": null,
        "partyid": 51690650,
        "userId": null,
        "username": null,
        "organizationIdentifier": "313818713",
        "personIdentifier": null,
        "dateOfBirth": null,
        "dateOfDeath": null,
        "isDeleted": false,
        "deletedAt": null
      },
      "clients": [
        {
          "client": {
            "id": "ee08d709-db94-4e3e-9791-d1cfd5fe7310",
            "name": "ULASTELIG SOLID TIGER AS",
            "type": "Organisasjon",
            "variant": "AS",
            "parent": null,
            "children": null,
            "partyid": 51745556,
            "userId": null,
            "username": null,
            "organizationIdentifier": "313572773",
            "personIdentifier": null,
            "dateOfBirth": null,
            "dateOfDeath": null,
            "isDeleted": false,
            "deletedAt": null
          },
          "access": [
            {
              "role": {
                "id": "42cae370-2dc1-4fdc-9c67-c2f4b0f0f829",
                "code": "rettighetshaver",
                "urn": "urn:altinn:role:rettighetshaver",
                "legacyurn ": null,
                "children": null
              },
              "packages": [
                {
                  "id": "9d2ec6e9-5148-4f47-9ae4-4536f6c9c1cb",
                  "urn": "urn:altinn:accesspackage:fiske",
                  "areaId": "fc93d25e-80bc-469a-aa43-a6cee80eb3e2"
                }
              ]
            }
          ]
        }
      ]
    },
    {
      "provider": {
        "id": "b1e5dc9e-9151-46c9-948f-21c2cc1dc7bd",
        "name": "PASSIV MUSKULØS MINK ANS",
        "type": "Organisasjon",
        "variant": "ANS",
        "parent": null,
        "children": null,
        "partyid": 51707476,
        "userId": null,
        "username": null,
        "organizationIdentifier": "311818031",
        "personIdentifier": null,
        "dateOfBirth": null,
        "dateOfDeath": null,
        "isDeleted": false,
        "deletedAt": null
      },
      "clients": [
        {
          "client": {
            "id": "ee08d709-db94-4e3e-9791-d1cfd5fe7310",
            "name": "ULASTELIG SOLID TIGER AS",
            "type": "Organisasjon",
            "variant": "AS",
            "parent": null,
            "children": null,
            "partyid": 51745556,
            "userId": null,
            "username": null,
            "organizationIdentifier": "313572773",
            "personIdentifier": null,
            "dateOfBirth": null,
            "dateOfDeath": null,
            "isDeleted": false,
            "deletedAt": null
          },
          "access": [
            {
              "role": {
                "id": "42cae370-2dc1-4fdc-9c67-c2f4b0f0f829",
                "code": "rettighetshaver",
                "urn": "urn:altinn:role:rettighetshaver",
                "legacyurn ": null,
                "children": null
              },
              "packages": [
                {
                  "id": "9d2ec6e9-5148-4f47-9ae4-4536f6c9c1cb",
                  "urn": "urn:altinn:accesspackage:fiske",
                  "areaId": "fc93d25e-80bc-469a-aa43-a6cee80eb3e2"
                }
              ]
            }
          ]
        }
      ]
    }
  ],
  "links": {
    "next": null
  }
}

API: Fjerne klientdelegering

Fjerner en delegert klienttilgang for den innloggede brukeren.

• Test: DELETE https://platform.tt02.altinn.no/accessmanagement/api/v1/enduser/clientdelegations/my/clients
• Produksjon: DELETE https://platform.altinn.no/accessmanagement/api/v1/enduser/clientdelegations/my/clients

Spørreparametere

Eksempelforespørsel (body)

{
  "values": [
    {
      "role": "rettighetshaver",
      "packages": [
        "urn:altinn:accesspackage:regnskapsforer-uten-signeringsrettighet"
      ]
    }
  ]
}

API: Hente mine tjenestetilbydere

Henter alle tjenestetilbydere som har delegert klientrettigheter til den innloggede brukeren.

• Test: GET https://platform.tt02.altinn.no/accessmanagement/api/v1/enduser/clientdelegations/my/clientproviders
• Produksjon: GET https://platform.altinn.no/accessmanagement/api/v1/enduser/clientdelegations/my/clientproviders

Dette endepunktet har ingen spørreparametere.

API: Fjerne tjenestetilbyder

Fjerner forholdet til en tjenestetilbyder. Dette fjerner samtidig alle klientdelegeringer fra denne tjenestetilbyderen.

• Test: DELETE https://platform.tt02.altinn.no/accessmanagement/api/v1/enduser/clientdelegations/my/clientproviders
• Produksjon: DELETE https://platform.altinn.no/accessmanagement/api/v1/enduser/clientdelegations/my/clientproviders

Spørreparametere