Seminar IAM-Migration – Lebenszyklus, Berechtigungen und Betriebsübergabe

Seminarbeschreibung

Die Ablösung einzelner Anmeldesysteme ist vor allem eine Frage verlässlicher Zuordnung und kontrollierter Übergänge. Benutzerkennungen, verknüpfte Anwendungen, technische Konten und bestehende Berechtigungen müssen zusammen betrachtet werden. Das Seminar erarbeitet dafür einen durchgängigen Migrationsansatz. Eine vorbereitete Ausgangs- und Zielumgebung mit Keycloak und einem Verzeichnisdienst macht typische Probleme sichtbar, ohne Änderungen an Produktivsystemen zu erfordern.

Besondere Aufmerksamkeit gilt dem Wechsel zwischen zwei gültigen Betriebszuständen. Eine technisch erfolgreiche Anmeldung beweist noch nicht, dass Benutzer die richtigen Rechte haben oder alte Zugänge tatsächlich entzogen wurden. Deshalb werden Pilotgruppen, fachliche Abnahmen, Sperrmechanismen, Restlaufzeiten von Tokens und geordnete Rückfallentscheidungen berücksichtigt. Kennwörter, MFA-Registrierungen und Passkeys werden auf ihre tatsächliche Übertragbarkeit geprüft; eine pauschale Mitnahme wird nicht vorausgesetzt.

Seminarinhalte

Inhaltsübersicht:

1. Bestand und Abhängigkeiten erfassen
2. Datenqualität und Zielmodell
3. Integrationen und Anmeldemittel vorbereiten
4. Pilot, Parallelbetrieb und Cutover
5. Lebenszyklus und wirksamer Rechteentzug
6. Rückfall, Nachweise und Betriebsübergabe

1. Bestand und Abhängigkeiten erfassen

• Identitätsquellen, Konten, Anwendungen, Protokolle, Zertifikate und technische Zugänge systematisch inventarisieren.
• Fachliche Kennung, technischer Benutzername und anwendungsspezifische Zuordnung unterscheiden.
• Kritische Anwendungen und Ausfallfolgen für die Auswahl einer geeigneten Pilotgruppe bewerten.

2. Datenqualität und Zielmodell

• Dubletten, verwaiste Konten und widersprüchliche Attribute mit synthetischen Bestandsdaten erkennen.
• Stabile Zuordnungsschlüssel, Datenhoheit und Konfliktregeln für das Zielsystem bestimmen.
• Bestehende Rollen in ein nachvollziehbares Zielmodell überführen und notwendige fachliche Freigaben festhalten.

3. Integrationen und Anmeldemittel vorbereiten

• Clientkennungen, Redirects, Issuer, Zertifikate und Attributzuordnungen für jede Anwendung prüfen.
• Möglichkeiten und Grenzen der Übernahme von Kennwörtern, Faktoren und Passkeys im konkreten Verfahren bewerten.
• Vorregistrierung, erneute Registrierung und administrative Ersatzwege für den Pilot vorbereiten.

4. Pilot, Parallelbetrieb und Cutover

• Eine begrenzte Umstellung mit Freigabekriterien, Abbruchbedingungen und dokumentierten Umschaltpunkten planen.
• Parallelbetrieb so gestalten, dass Datenhoheit und aktive Schreibwege eindeutig bleiben.
• Die Pilotmigration durchführen und Anmeldung, Rollen, Kontosperre sowie Abmeldung über beide Testanwendungen prüfen.

5. Lebenszyklus und wirksamer Rechteentzug

• Eintritt, Aufgabenwechsel und Austritt über Identitätsquelle, Provider und Zielanwendung hinweg testen.
• Kontosperre, Provisionierungsstatus, Anwendungssitzung und Tokenrestlaufzeit getrennt bewerten.
• Technische Konten, Notfallkonten und verbleibende Altzugänge in die Abnahme aufnehmen.

6. Rückfall, Nachweise und Betriebsübergabe

• Einen vorbereiteten Rückfall durchführen und danach Datenstand sowie gültige Zugangspfade erneut prüfen.
• Abnahmeprotokoll, Verantwortlichkeiten, Überwachung und Störungsabläufe zu einer Betriebsübergabe zusammenführen.
• Restarbeiten wie Abschaltung alter Schnittstellen, Löschfristen und wiederkehrende Berechtigungsprüfung geordnet festlegen.

Praxisübungen

1. Den synthetischen Identitätsbestand auf Dubletten, fehlende Zuordnung und überzählige Berechtigungen untersuchen.
2. Eine Mapping-Tabelle mit stabilen Kennungen und Regeln für Konfliktfälle erstellen.
3. Zwei Anwendungen für die Zielanmeldung vorbereiten und die Pilotgruppe mit passenden Anmeldemitteln ausstatten.
4. Den Cutover ausführen und je Anwendung zulässige sowie unzulässige Zugriffe überprüfen.
5. Einen Austritt auslösen und aktive Konten, verbleibende Sitzungen sowie technische Zugänge kontrollieren.
6. Den vorbereiteten Rückfall testen und die Voraussetzungen für eine endgültige Abschaltung der Altanmeldung dokumentieren.

Einordnung und Vertiefung

Die Übungen bilden eine Pilotmigration mit synthetischen Daten ab. Die Übertragbarkeit auf eine konkrete Bestandsplattform hängt von deren Schnittstellen, Kennungsmodell und Authentifizierungsverfahren ab.

Seminarangebot und Lernpfade