Seminar authentik mit Entra ID: SSO, Proxy-Zugriffe und Migration

authentik bietet mehrere Möglichkeiten, Unternehmensanwendungen hinter einer einheitlichen Anmeldung zusammenzuführen. Das Seminar verbindet eine Anmeldung über Entra ID mit einer lokalen Steuerung des Zugriffs auf moderne OIDC-Anwendungen und auf eine geeignete Webanwendung hinter einem Authentifizierungsproxy.

Der Aufbau unterscheidet sorgfältig zwischen einer Quelle für externe Anmeldungen, einem Provider für angebundene Anwendungen und der eigentlichen Benutzerbereitstellung. Das ist besonders bei Änderungen von Gruppen und beim Ausscheiden von Mitarbeitern entscheidend: Eine erfolgreiche erste Anmeldung ist noch kein vollständiger Prozess für den Identitätslebenszyklus.

Die Übungen verwenden den frei verfügbaren Funktionsumfang als Ausgangspunkt. Gesondert lizenzierte Enterprise-Funktionen, insbesondere spezielle Entra-Provider oder zusätzliche Flow-Bausteine, werden als Erweiterungen eingeordnet und nicht als Voraussetzung für die Grundübungen vorausgesetzt.

Inhalte im Überblick

• Grundkonfiguration und Zugriffskonzept
• Entra ID als Anmeldequelle
• Anwendungen und Proxy-Zugriffe absichern
• Benutzerbereitstellung und lokale Anmeldung
• Fehlerdiagnose und Editionsgrenzen

Seminarinhalte

Grundkonfiguration und Zugriffskonzept

• Vorbereitete Installation, administrative Zugänge, TLS und Testanwendungen prüfen.
• Sources, Applications, Providers, Flows, Policies und Outposts nach ihrer Aufgabe zuordnen.
• Geschützte und öffentliche Pfade sowie den vorgesehenen Zugriffsweg festlegen.

Entra ID als Anmeldequelle

• Eine mandantenbezogene Entra-Anmeldung über die OAuth-Quelle konfigurieren.
• Profilattribute, Kontenerzeugung und Zuordnung bestehender Konten prüfen.
• Gruppenänderungen und Sperrungen von bloßen Profilaktualisierungen beim Login unterscheiden.

Anwendungen und Proxy-Zugriffe absichern

• Eine OIDC-Anwendung mit kontrollierten Rücksprungadressen und Attributen integrieren.
• Eine geeignete Bestandsanwendung per Proxy oder Forward Auth absichern.
• Direkte Umgehung des Proxys verhindern und vertrauenswürdige Authentifizierungsheader begrenzen.

Benutzerbereitstellung und lokale Anmeldung

• Die SCIM-Quelle für die Bereitstellung aus Entra anhand des verfügbaren Testumfangs einrichten.
• Zuweisung, Änderungsverarbeitung und Deaktivierung mit dem geplanten Intervall testen.
• Lokale Zugangsdaten und einen getrennten Pilot-Anmeldeweg für eine spätere Ablösung vorbereiten.

Fehlerdiagnose und Editionsgrenzen

• Flow-Auswertung, Provider-Konfiguration und Proxy-Protokolle zusammenführen.
• Fehlende Attribute, Proxy-Schleifen und abweichende Berechtigungen beheben.
• Community- und Enterprise-Abhängigkeiten sowie verbleibende Entra-Bindungen dokumentieren.

Praktische Übungen

1. Eine Entra-Anmeldequelle erstellen und zwei zugewiesene Testkonten anmelden.
2. Ein Profilattribut kontrolliert übernehmen und einen Zuordnungskonflikt untersuchen.
3. Eine OIDC-Anwendung und eine Proxy-Anwendung schützen; den direkten Backend-Zugriff gesondert testen.
4. Einen Benutzer provisionieren, ändern und sperren sowie die Auswirkung auf eine bestehende Sitzung prüfen.
5. Einen lokalen Pilotzugang einrichten und den Wechsel der Anmeldequelle mit denselben Anwendungsrechten abnehmen.

Schulungsumgebung

Der Kunde stellt authentik, Reverse Proxy, zwei Testanwendungen und einen isolierten Entra-Testmandanten mit freigegebenen Testkonten bereit. Für die Entra-Provisionierungsübung sind die erforderlichen Mandantenfunktionen und die erreichbare SCIM-Schnittstelle vorab zu prüfen.