Seminar Entra ID Cloud Exit – Identitäten und Berechtigungen migrieren

Die Identitätsmigration muss mehr leisten als das Anlegen neuer Benutzerkonten. Bestehende Datenzuordnungen, fachliche Rollen und der Entzug nicht mehr benötigter Rechte müssen konsistent bleiben. Das Seminar entwickelt dafür ein kontrolliertes Migrationsmodell mit eindeutigen Verantwortlichkeiten pro Attribut.

Bearbeitet werden Cloudkonten, bereits synchronisierte Konten und externe Benutzer anhand getrennter Regeln. Ein regulärer Verzeichnisexport liefert keinen allgemein nutzbaren Export der vorhandenen Anmeldegeheimnisse. Für Passwörter und MFA werden deshalb geeignete Neuaktivierungs- und Registrierungsprozesse geplant, statt eine unveränderte Übernahme vorauszusetzen.

Inhaltsübersicht

1. Identitätsmodell und Datenqualität
2. Export und Zuordnungsregeln
3. Übernahme und wiederholter Abgleich
4. Gruppen und Berechtigungen
5. Passwörter, MFA und Benutzeraktivierung
6. Lebenszyklus und Abnahme

Lernziele

• Identitäten über nachvollziehbare Alt-Neu-Zuordnungen konsistent migrieren.
• Gruppen und Rollen in ein verständliches Zielberechtigungsmodell überführen.
• Wiederholte Synchronisation ohne Duplikate und unkontrollierte Attributänderungen ausführen.
• Rollenwechsel, Sperrung und Ausscheiden einschließlich verbleibender Sitzungen prüfen.

Seminarinhalte

Identitätsmodell und Datenqualität

• Kontotypen, Herkunftssysteme und fachliche Verantwortlichkeiten im Ausgangsbestand klären.
• Stabile Identifikatoren, erforderliche Attribute und zulässige Werte definieren.
• Dubletten, fehlende Pflichtfelder und widersprüchliche Zuständigkeiten vor dem Import erkennen.

Export und Zuordnungsregeln

• Benutzer, Gruppen und relevante Zuweisungen aus vorbereiteten Graph-Exporten auswerten.
• Eine explizite Zuordnung zwischen Quellobjekt und Zielkonto erstellen und versionieren.
• Umbenennungen, externe Benutzer und bereits vorhandene Zielkonten mit gesonderten Prüfregeln behandeln.

Übernahme und wiederholter Abgleich

• Einen begrenzten Erstimport in ein vorbereitetes Zielverzeichnis oder IAM-System durchführen.
• SCIM-fähige Komponenten oder dokumentierte Adapter anhand ihrer konkreten Funktionen prüfen.
• Wiederholung, Teilfehler und Konflikte bearbeiten; eine Änderung nicht mehrfach oder in die falsche Richtung anwenden.

Gruppen und Berechtigungen

• Verzeichnisgruppen, Anwendungsrollen und administrative Privilegien getrennt abbilden.
• Dynamische Regeln und Verschachtelungen auf ihre fachliche Bedeutung zurückführen.
• Unbeabsichtigte Rechteausweitung und verlorene Zugriffsrechte mit positiven und negativen Testfällen erkennen.

Passwörter, MFA und Benutzeraktivierung

• Passwortneuaktivierung, Nutzung vorhandener Verzeichnisquellen und Pilotkommunikation planen.
• Erforderliche Neuregistrierung von Faktoren beziehungsweise Passkeys und Wiederherstellungsverfahren abstimmen.
• Identitätsprüfung beim Onboarding und Helpdesk-Ausnahmen so gestalten, dass kein unkontrolliertes Kontoverknüpfen entsteht.

Lebenszyklus und Abnahme

• Eintritt, Abteilungswechsel, Sperrung und Austritt mit überprüfbaren Sollrechten durchlaufen.
• Verzögerungen zwischen Kontosperrung, Tokenablauf und anwendungseigenen Sitzungen messen.
• Abgleichprotokolle, offene Konten und Restberechtigungen vor der Wellenfreigabe bewerten.

Praxisprojekt

Eine definierte Pilotgruppe mit unterschiedlichen Kontotypen wird migriert und durch einen vollständigen Benutzerlebenszyklus geführt.

1. Quellbestand bereinigen und die Zuordnung zu vorhandenen Zielkonten freigeben.
2. Pilotkonten importieren und die übernommenen Attribute gegen den Sollbestand vergleichen.
3. Den Import wiederholen und nachweisen, dass keine zusätzlichen Konten oder Rechte entstehen.
4. Eine Rollenänderung und eine Sperrung durchführen; Zugriffe in den Testanwendungen prüfen.
5. Migrationsfehler korrigieren und die verbleibenden Ausnahmen im Abnahmeprotokoll festhalten.

Arbeitsumgebung

Der Kunde stellt einen Entra-Übungstenant oder vollständige anonymisierte Exporte, ein vorbereitetes Zielverzeichnis, Keycloak und eine Testanwendung bereit. Für den Provisionierungsteil wird vorab ein unterstützter Adapter oder eine SCIM-fähige Komponente festgelegt. Ein vollständiges Identity-Governance-System wird nicht erst während des Seminars aufgebaut.