Seminar Entra ID Cloud Exit – Föderation und Parallelbetrieb mit Keycloak

Föderation kann die Umstellung einzelner Anwendungen vorbereiten, während vorhandene Benutzer weiterhin über Entra ID angemeldet werden. Das Seminar erstellt hierfür eine Keycloak-Brokerarchitektur und untersucht jede Vertrauensbeziehung. Der spätere Wechsel auf eine unabhängige Identitätsquelle wird als eigener, überprüfbarer Schritt durchgeführt.

Im Mittelpunkt stehen kontrollierte Konto-Zuordnung, sparsame Attributübernahme und nachvollziehbare Anmeldetests. Eine automatisch übernommene E-Mail-Adresse genügt nicht als alleiniger Nachweis für eine sichere Kontoverknüpfung. Die Übungen behandeln auch fehlende Attribute, gesperrte Konten und einen Ausfall des bisherigen Identity Providers.

Inhaltsübersicht

1. Vertrauensmodell und Vorbereitung
2. Keycloak und Entra als Identitätsquelle
3. Kontoverknüpfung und Attribute
4. Anwendungen und Richtlinien im Parallelbetrieb
5. Unabhängige Anmeldung aufbauen
6. Fehleranalyse und Rückfall

Lernziele

• Keycloak mit klar getrennten administrativen und fachlichen Zugängen bereitstellen.
• Eine tenantgebundene OIDC-Verbindung zu Entra ID und eine beispielhafte SAML-Anbindung prüfen.
• Bestehende Anwendungskonten kontrolliert mit neuen Identitäten verknüpfen.
• Den Wechsel zur unabhängigen Anmeldung und die Rückkehr zum Pilot-Ausgangszustand testen.

Seminarinhalte

Vertrauensmodell und Vorbereitung

• Den Weg Anwendung–Keycloak–Entra ID und die spätere Zielanmeldung getrennt modellieren.
• DNS, TLS, Uhrzeit, Callback-Adressen und einen unabhängigen administrativen Zugang vorbereiten.
• Eine Testmatrix für erlaubte, verweigerte und unterbrochene Anmeldungen definieren.

Keycloak und Entra als Identitätsquelle

• Realm, Clients und eine tenantgebundene OIDC-Identitätsquelle mit geeigneter App-Registrierung einrichten.
• Redirect-Adressen, Issuer, Schlüsselprüfung und angeforderte Claims aufeinander abstimmen.
• SAML-Metadaten und Signaturzertifikate an einem vorbereiteten Alternativfall untersuchen.

Kontoverknüpfung und Attribute

• Stabile Benutzerkennungen, First-Broker-Login und Regeln zur Kontoverknüpfung prüfen.
• Gruppen und Rollen mit begrenzten Mappern übernehmen und nicht benötigte Attribute ausschließen.
• Namensänderungen, fehlende Claims, doppelte E-Mail-Adressen und gesperrte Konten testen.

Anwendungen und Richtlinien im Parallelbetrieb

• Eine OIDC-Anwendung und eine vorbereitete SAML-Anwendung an Keycloak anbinden.
• MFA-Zuständigkeit, Sitzungsdauer und Verhalten nach Abmeldung dokumentieren.
• Anmeldung über den Broker von vollständiger Benutzerprovisionierung und Lebenszyklussteuerung unterscheiden.

Unabhängige Anmeldung aufbauen

• Eine vorbereitete lokale oder LDAP-basierte Identitätsquelle integrieren und ihre Zuständigkeit klären.
• Neue Anmeldeverfahren und gegebenenfalls erforderliche MFA-Registrierungen für Pilotkonten testen.
• Den Entra-Zugang für den Pilotpfad kontrolliert unterbrechen und die Zielanmeldung nachweisen.

Fehleranalyse und Rückfall

• Falschen Issuer, abgelaufene Zertifikate und fehlerhafte Callback-Adressen anhand der Protokolle erkennen.
• Anwendungen und Kontoverknüpfungen nach einem Testabbruch in den Ausgangszustand zurückführen.
• Verbleibende Cloud-Abhängigkeiten und Kriterien für die nächste Migrationswelle dokumentieren.

Praxisprojekt

Zwei vorbereitete Beispielanwendungen werden über einen Broker angebunden; für eine Pilotgruppe wird anschließend die unabhängige Anmeldung nachgewiesen.

1. Keycloak-Grundkonfiguration und unabhängigen Administrationszugang prüfen.
2. Entra ID als tenantgebundene Identitätsquelle anbinden und einen Testbenutzer anmelden.
3. Kontoverknüpfung und Attributzuordnung für vorhandene Anwendungskonten nachvollziehen.
4. Den Pilotbenutzer auf die unabhängige Identitätsquelle umstellen.
5. Den bisherigen Anmeldepfad unterbrechen, die Zielanmeldung testen und einen Rückfall protokollieren.

Arbeitsumgebung

Der Kunde stellt einen isolierten Entra-Übungstenant, eine vorbereitete Linux- oder Containerumgebung, eine Datenbank sowie zwei Testanwendungen bereit. DNS, TLS und passende Verwaltungsrechte müssen verfügbar sein. Produktivkonten und produktive App-Registrierungen werden für das Labor nicht benötigt.