Seminar Entra ID Cloud Exit – Zielarchitektur für souveräne Identitäten

Ein souveränes Identitätssystem besteht aus mehreren abgestimmten Funktionen. Das Seminar entwickelt ein Zielbild, in dem Benutzerlebenszyklus, Anmeldung, Berechtigungen und betriebliche Wiederherstellung nachvollziehbar zusammenspielen. Ausgangspunkt sind konkrete Anforderungen und bereits erhobene Abhängigkeiten.

Die Produktauswahl folgt einer Funktions- und Betriebsmatrix. Keycloak und authentik werden als mögliche Komponenten betrachtet; LDAP-Verzeichnis und Identity Governance erfüllen ergänzende Aufgaben. Für jede Verbindung werden Datenrichtung, Verantwortlichkeit und Fehlerbehandlung festgelegt. Auch ein zeitweise weiterbetriebener Microsoft-Tenant erhält eine klar begrenzte Rolle.

Inhaltsübersicht

1. Anforderungen und Architekturprinzipien
2. Verzeichnis und Identitätsführung
3. SSO und Provisionierung
4. Schutzfunktionen und Funktionslücken
5. Bereitstellung und Wiederherstellung
6. Architekturprüfung und Pilotfreigabe

Lernziele

• Vertrauensgrenzen und die führende Datenquelle pro Identitätsmerkmal festlegen.
• Offene Protokolle und Produktschnittstellen für eine passende Zielarchitektur auswählen.
• Schutzanforderungen und verbleibende Funktionslücken nachvollziehbar bewerten.
• Eine Architektur mit prüfbaren Betriebs- und Abnahmekriterien dokumentieren.

Seminarinhalte

Anforderungen und Architekturprinzipien

• Verfügbarkeit, Datenhoheit, Mandantentrennung und administrative Verantwortlichkeit konkretisieren.
• Authentifizierung, Autorisierung, Provisionierung und Geräteverwaltung als getrennte Verantwortungsbereiche modellieren.
• Einen Ausfall des Cloud-Identitätsdienstes in die Anforderungen an Notzugänge und Wiederanlauf aufnehmen.

Verzeichnis und Identitätsführung

• Cloudkonten, vorhandenes Active Directory und ein mögliches LDAP-Zielverzeichnis zusammen betrachten.
• Stabile Identifikatoren, Attributverantwortung und Regeln zur Konfliktbehandlung entwerfen.
• Joiner-, Mover- und Leaver-Prozesse einschließlich Genehmigung und Entzug von Zugriffsrechten modellieren.

SSO und Provisionierung

• SAML, OpenID Connect und OAuth anhand ihrer Aufgaben und Vertrauensbeziehungen einordnen.
• Keycloak oder authentik in ein Zielbild mit Verzeichnis und Anwendungsanbindungen einpassen.
• SCIM-Fähigkeiten je konkreter Komponente und Version prüfen; benötigte Adapter und deren Pflege einplanen.

Schutzfunktionen und Funktionslücken

• MFA, Passkeys, Sitzungsrichtlinien und privilegierte Administration im Zielsystem entwerfen.
• Bisherige Conditional-Access-Regeln auf Schutzziele zurückführen und deren Umsetzung nachweisen.
• Fehlende Gerätesignale, Risikodaten oder Governance-Funktionen mit Ersatzmaßnahmen oder Restabhängigkeiten dokumentieren.

Bereitstellung und Wiederherstellung

• Hosting, Datenbank, Schlüsselverwaltung, DNS, Zertifikate und Zeitdienste in die Architektur aufnehmen.
• Wiederanlaufziele, Backupumfang, Hochverfügbarkeit und administrative Zugänge getrennt planen.
• Monitoring und Betriebszuständigkeiten so gestalten, dass ein Cloud-Ausfall die Wiederherstellung nicht blockiert.

Architekturprüfung und Pilotfreigabe

• Varianten anhand eines gewichteten Kriterienkatalogs bewerten und die Entscheidung festhalten.
• Ein- und ausgehende Datenflüsse sowie die Rolle eines Resttenants in einer Schnittstellenmatrix dokumentieren.
• Nachweise für Funktion, Sicherheit und Betrieb in einen ausführbaren Pilotplan überführen.

Praxisprojekt

Für eine vorgegebene Unternehmenslandschaft entsteht ein Architekturpaket mit Datenflussmodell, Funktionsmatrix und Pilotkriterien.

1. Funktionen der vorhandenen Entra-Landschaft in einzeln prüfbare Anforderungen übersetzen.
2. Zwei mögliche Zielarchitekturen einschließlich Restabhängigkeiten skizzieren.
3. Die Datenquelle und den verantwortlichen Dienst für jedes Kernattribut festlegen.
4. Anmeldung, Rechteentzug und Wiederherstellung als Ende-zu-Ende-Szenarien durchspielen.
5. Eine Architektur auswählen und offene Nachweise vor der technischen Freigabe dokumentieren.

Arbeitsumgebung

Der Workshop nutzt eine vorbereitete Fallstudie, Architekturvorlagen und Schnittstellenbeschreibungen. Ein optionales Demonstrationssystem dient der Veranschaulichung ausgewählter Anmeldewege. Eine vollständige Produktinstallation ist nicht Bestandteil dieses Architekturformats.