Seminar Anwendungen und APIs von Entra ID zu Open-Source-IAM migrieren

Anwendungszugriffe lassen sich häufig schrittweise von Entra ID entkoppeln. Dafür reicht es jedoch nicht, lediglich die Adresse des Identitätsanbieters zu ändern. Anwendungen können Benutzerkennungen, Gruppen, Tokeninhalte und API-Zugriffe fest an Microsoft-spezifische Annahmen gebunden haben.

Das Seminar bearbeitet eine OIDC-Webanwendung, eine SAML-Anwendung und eine geschützte API. Für jede Anwendung werden zuerst Login, Benutzerzuordnung und Autorisierung getrennt erfasst. Danach folgt die Umstellung auf Keycloak mit kontrolliertem Vergleich der bisherigen und neuen Rechte. Bestehende Datensätze bleiben nur dann korrekt zugeordnet, wenn die Anwendung den Identitätswechsel ausdrücklich berücksichtigt.

Microsoft-Graph- und Azure-Zugriffe werden als gesonderte Integrationen behandelt. Ein von Keycloak ausgestelltes Token wird nicht automatisch von Microsoft-Diensten akzeptiert. Die Übungen zeigen deshalb auch, wann eine verbleibende Entra-Integration benötigt wird und wie sie sauber vom allgemeinen Anwendungslogin getrennt werden kann.

Inhalte im Überblick

• Anwendungsinventar und Identitätsvertrag
• OIDC-Anwendungen umstellen
• SAML-Anwendungen umstellen
• APIs und Autorisierung
• Sitzungen und Berechtigungswechsel
• Abnahme und Rückfall

Seminarinhalte

Anwendungsinventar und Identitätsvertrag

• Anmeldeprotokoll, Benutzerkennung, Rollenquellen und API-Abhängigkeiten je Anwendung erfassen.
• OIDC-Identitäten über Issuer und Subject sowie SAML-Kennungen im jeweiligen Vertrauenskontext betrachten.
• Ein Verfahren zur Zuordnung bestehender Benutzer und fachlicher Daten festlegen.

OIDC-Anwendungen umstellen

• Discovery, Client-Typ, Rücksprungadressen und Authorization Code mit PKCE konfigurieren.
• Client-Geheimnisse und öffentliche Clients korrekt unterscheiden.
• Anmeldung, Neuanlage, Bestandskonto und unerwarteten Issuer testen.

SAML-Anwendungen umstellen

• Metadaten, Entity-ID, ACS, NameID und Signaturprüfung abstimmen.
• Attribute und Rollen auf den fachlich erwarteten Umfang abbilden.
• Zertifikatswechsel, Uhrzeitabweichung und abgewiesene Assertions nachvollziehen.

APIs und Autorisierung

• Access Token und ID Token nach Verwendungszweck unterscheiden.
• Issuer, Audience, Signatur, Ablauf und erforderliche Berechtigungen in der API prüfen.
• Microsoft-spezifische API-Aufrufe und das neue IAM-Tokenmodell voneinander trennen.

Sitzungen und Berechtigungswechsel

• Refresh Tokens, lokale Anwendungssitzungen und Abmeldungsverhalten untersuchen.
• Geänderte Rollen und deaktivierte Benutzer mit frischen und bestehenden Sitzungen testen.
• Eine zeitlich und technisch begrenzte Übergangsphase mit zwei Vertrauenskonfigurationen bewerten.

Abnahme und Rückfall

• Positive und negative Testfälle gegen denselben fachlichen Sollzustand ausführen.
• Kontenverdopplung, verlorene Datensatzzuordnung und zu weitgehende Rechte erkennen.
• Die Anwendung auf den dokumentierten Ausgangszustand zurücksetzen und erneut anmelden.

Praktische Übungen

1. Anmelde- und Berechtigungsdaten einer Beispielanwendung vor der Umstellung dokumentieren.
2. Die OIDC-Anwendung auf Keycloak umstellen und ein vorhandenes Konto eindeutig zuordnen.
3. Eine SAML-Anwendung mit passenden Kennungen, Attributen und Zertifikaten integrieren.
4. Die API mit gültigen, abgelaufenen und für eine andere Audience ausgestellten Tokens prüfen.
5. Einen Rollenentzug und eine Rückkehr zur Ausgangskonfiguration anhand festgelegter Abnahmetests ausführen.

Schulungsumgebung

Der Kunde stellt einen Entra-Testmandanten, Keycloak und drei vorbereitete Testanwendungen einschließlich zugänglicher Konfiguration beziehungsweise Beispielquellcode bereit. Daten und Zugangsdaten stammen ausschließlich aus der Schulungsumgebung.