Seminar Entra ID Cloud Exit – Intensiv: Identitäten und Anwendungen migrieren

In einer gemeinsamen Laborlandschaft entsteht eine vollständige Pilotmigration vom bisherigen Anmeldepfad bis zur unabhängigen Identitätsquelle. Die Übungen verbinden Keycloak-Brokering, Konto-Zuordnung, Provisionierung und Anwendungsanpassung. Fachliche Zugriffe werden vor und nach dem Wechsel mit derselben Testmatrix geprüft.

Zusammengefasst werden die Fachseminare „Föderation und Parallelbetrieb mit Keycloak“, „Identitäten und Berechtigungen migrieren“ sowie „Anwendungen und APIs migrieren“. Die Verdichtung auf fünf Tage setzt vorbereitete Systeme voraus. Eine OIDC-Webanwendung mit API wird vollständig bearbeitet; das SAML-Szenario und zusätzliche Graph-Abhängigkeiten werden anhand vorbereiteter Konfigurationen und ausgewählter Fehlerfälle behandelt.

Inhaltsübersicht

1. Pilotarchitektur und Referenztests
2. Keycloak-Brokering einrichten
3. Kontoverknüpfung und Claim-Vertrag
4. Identitätsdaten übernehmen
5. Berechtigungen und Benutzeraktivierung
6. OIDC-Anwendung migrieren
7. API und Autorisierung migrieren
8. SAML und zusätzliche Integrationen
9. Unabhängige Identitätsquelle aktivieren
10. Migrationsabnahme und Rückfall

Lernziele

• Eine vorbereitete Quell- und Ziellandschaft zu einem kontrollierten Migrationspfad verbinden.
• Identitäten und Rollen ohne unkontrollierte Konto-Neuanlagen übernehmen.
• Webanwendung und API auf das neue Vertrauensmodell umstellen.
• Unabhängige Anmeldung, Rechteentzug und Rückfall anhand eines durchgängigen Pilotfalls nachweisen.

Seminarinhalte

Pilotarchitektur und Referenztests

• Vertrauensbeziehungen, Komponenten und administrative Zugänge des Labors prüfen.
• Testkonten und vorhandene Anwendungszuordnungen dokumentieren.
• Fachliche Positiv- und Negativtests im Ausgangszustand ausführen.

Keycloak-Brokering einrichten

• Tenantgebundene Entra-Identitätsquelle und den Broker-Client abstimmen.
• Redirect-Adressen, Issuer und Schlüsselprüfung kontrollieren.
• Einen erlaubten und einen fehlerhaften Anmeldefall anhand der Protokolle nachvollziehen.

Kontoverknüpfung und Claim-Vertrag

• Stabile Kennungen und First-Broker-Login für den Pilotbestand festlegen.
• Bestehende Anwendungskonten kontrolliert mit der Zielidentität verknüpfen.
• Gruppen, Rollen und sparsame Attributübernahme mit fehlenden oder widersprüchlichen Claims prüfen.

Identitätsdaten übernehmen

• Eine geprüfte Alt-Neu-Zuordnung aus vorbereiteten Exporten aufbauen.
• Pilotkonten über den abgestimmten Adapter in das Zielsystem übernehmen.
• Wiederholten Abgleich, Duplikatvermeidung und Konfliktbehandlung nachweisen.

Berechtigungen und Benutzeraktivierung

• Gruppen und Anwendungsrollen mit einem fachlichen Sollmodell abgleichen.
• Passwortaktivierung und notwendige MFA-Neuregistrierung im Pilotprozess durchführen.
• Rollenwechsel und Kontosperrung einschließlich verbleibender Sitzungen testen.

OIDC-Anwendung migrieren

• Discovery, Client, Redirect-Adressen und Authorization Code Flow mit PKCE umstellen.
• Issuer, Audience, Signatur und anwendungsinterne Benutzerbindung prüfen.
• Anmeldung und Abmeldung ohne unbeabsichtigte neue Anwendungskonten nachweisen.

API und Autorisierung migrieren

• Tokenaussteller und erwartete API-Audience anpassen.
• Scopes, Rollen und erlaubte Operationen aufeinander abstimmen.
• Fremden Issuer, falsche Audience und fehlende Rechte mit Negativtests erkennen.

SAML und zusätzliche Integrationen

• Eine vorbereitete SAML-Anbindung anhand von Entity ID, ACS und NameID bearbeiten.
• Zertifikatswechsel und einen fehlerhaften Attributvertrag im Beispiel prüfen.
• SCIM- und Graph-Abhängigkeiten mit Ersatzbedarf und begrenztem Restbetrieb dokumentieren.

Unabhängige Identitätsquelle aktivieren

• Die vorbereitete lokale beziehungsweise LDAP-basierte Quelle für Pilotkonten aktivieren.
• Den bisherigen Entra-Anmeldepfad im definierten Pilotszenario unterbrechen.
• Neue Anmeldungen, Rollen und API-Zugriffe über die unabhängige Kette prüfen.

Migrationsabnahme und Rückfall

• Die vollständige Referenztestmatrix erneut ausführen und Abweichungen bewerten.
• Einen vereinbarten Fehlerfall auslösen und das Rückfallverfahren testen.
• Restabhängigkeiten, offene Integrationen und Betriebsvoraussetzungen zur nächsten Phase übergeben.

Praxisprojekt

Eine Pilotgruppe und eine Webanwendung mit API durchlaufen die Migration bis zur unabhängigen Anmeldung; ein ergänzender SAML-Fall erweitert die Protokollprüfung.

1. Den Ausgangszustand der Pilotidentitäten und ihrer Fachberechtigungen erfassen.
2. Brokering und sichere Kontoverknüpfung einrichten.
3. Identitäten übernehmen und den wiederholten Abgleich auf Konsistenz prüfen.
4. Webanwendung und API umstellen, anschließend die unabhängige Identitätsquelle aktivieren.
5. Negativtests, Sperrung und Rückfall ausführen und die Abnahme dokumentieren.

Arbeitsumgebung

Der Kunde stellt einen getrennten Entra-Tenant, vorbereitete Linux- beziehungsweise Containerhosts, Datenbank, Zielverzeichnis, OIDC-Webanwendung mit API und eine vorkonfigurierte SAML-Testanwendung bereit. Die unterstützte Provisionierungskomponente und der Beispielstack werden vorab festgelegt. Alle erforderlichen Zugriffe und TLS-Verbindungen müssen vor Seminarbeginn funktionieren.