Seminar Entra ID ablösen – Identitäten mit Univention Nubus und Keycloak

Identitäten bilden die Grundlage jeder weiteren Migrationswelle. Das Seminar entwickelt ein tragfähiges Zielmodell für Benutzer, Gruppen, Rollen und Anwendungszugriffe. Univention Nubus übernimmt im gewählten Referenzaufbau Verzeichnis- und Provisionierungsaufgaben; Keycloak stellt die Anmeldung an geeigneten Anwendungen bereit.

Die Übertragung von Stammdaten wird von der Neuregistrierung von Authentisierungsverfahren getrennt. Kennwörter, MFA-Geheimnisse, Gerätevertrauen und Entra-spezifische Richtlinien werden nicht als beliebig exportierbare Daten behandelt. Neben der Umstellung eines Testclients werden Austritt, Sperrung und Wiederherstellung von Kontenzugriffen geprüft. Windows-Geräteverwaltung und ein Ersatz für Intune benötigen gegebenenfalls ein gesondertes Projekt.

Inhaltsübersicht

• Zielverzeichnis und Identitätszuordnung
• Benutzer, Gruppen und Provisionierung
• Single Sign-on mit OIDC und SAML
• MFA und sichere Kontowiederherstellung
• Anwendungen kontrolliert umstellen
• Fehlerdiagnose und Abnahme

Seminarinhalte

Zielverzeichnis und Identitätszuordnung

• Führendes Verzeichnis, Namenskonventionen, stabile Benutzerkennungen und Gruppenverantwortung definieren.
• UPN, E-Mail-Adresse, technische Kennung und Anwendungsidentität auseinanderhalten; Dubletten und Namensänderungen behandeln.
• Grenzen zwischen Entra ID, lokalem Active Directory, Nubus und Keycloak anhand der verwendeten Funktionen bewerten.

Benutzer, Gruppen und Provisionierung

• Bereinigte Stammdaten in einer vorbereiteten Nubus-Testumgebung anlegen und kontrolliert aktualisieren.
• Gruppen und Anwendungsrollen fachlich abbilden; verschachtelte Quellgruppen bei fehlender Zielunterstützung nachvollziehbar auflösen.
• Lebenszyklus von Eintritt, Änderung und Austritt prüfen; Provisionierung und bloße Anmeldung als getrennte Vorgänge testen.

Single Sign-on mit OIDC und SAML

• OIDC-Clients mit passenden Redirect-Adressen, Claims und restriktiven Berechtigungen konfigurieren.
• Eine vorbereitete SAML-Anwendung anbinden und Attribute, Zertifikate sowie Sitzungsverhalten prüfen.
• Unterschiede zwischen Föderation mit dem bisherigen Anbieter und einem tatsächlich unabhängigen Anmeldeweg herausarbeiten.

MFA und sichere Kontowiederherstellung

• Ein neues MFA-Registrierungsverfahren planen und in Testkonten durchführen; Wiederherstellung und Ersatzgeräte einbeziehen.
• Administrative Notfallzugänge getrennt sichern, protokollieren und praktisch auf Funktionsfähigkeit prüfen.
• Sitzungsdauer, Tokenablauf, Sperrung und Entzug von Zugriffen anhand ausgewählter Anwendungen kontrollieren.

Anwendungen kontrolliert umstellen

• Anwendungsabhängigkeiten und lokale Konten vor einem IdP-Wechsel inventarisieren.
• Eine Pilotanwendung auf das neue Identitätsmodell umstellen; Kontoverknüpfung und Besitz bestehender Daten gezielt prüfen.
• Parallelbetrieb und Rückfall auf den vorherigen Anmeldeweg mit begrenztem Zeitfenster vorbereiten.

Fehlerdiagnose und Abnahme

• Fehler bei Claims, Gruppenzuordnung, Uhrzeit, Zertifikaten und Redirect-Adressen systematisch eingrenzen.
• Zugriffstests mit erlaubten und ausdrücklich nicht erlaubten Rollen ausführen; bloß erfolgreiche Anmeldung reicht als Prüfung nicht aus.
• Betriebsübergabe mit Rollenmodell, Registrierungsablauf, Notfallverfahren und Abschaltbedingungen dokumentieren.

Praxisübungen

1. Testbenutzer aus einem bereinigten Export zuordnen, importieren und mit stabilen Kennungen kontrollieren.
2. Eine OIDC-Anwendung und einen vorbereiteten SAML-Testclient anbinden und die übermittelten Attribute auswerten.
3. MFA registrieren und den Verlust eines zweiten Faktors über den freigegebenen Wiederherstellungsprozess bearbeiten.
4. Eine falsche Gruppenzuordnung und eine fehlerhafte Redirect-Adresse erkennen und korrigieren.
5. Einen Anwendungswechsel einschließlich Berechtigungsprüfung, Benutzersperrung und Rückfallprobe durchführen.

Schulungsumgebung

Der Kunde stellt isolierte, vorbereitete Instanzen von Nubus und Keycloak, zwei Testanwendungen, administrative Zugänge sowie Testidentitäten bereit. Für Entra-Abfragen ist ein geeigneter Testmandant erforderlich. Die Grundinstallation der Plattform ist nicht Bestandteil dieses Seminars.