Seminar midPoint – Identity Governance und automatisierte Provisionierung

Seminarbeschreibung

Ein neuer Mitarbeiter benötigt passende Konten; ein Rollenwechsel erfordert Änderungen, und beim Austritt müssen Zugänge zuverlässig entzogen werden. midPoint verbindet solche Prozesse mit technischen Ressourcen und steuerbaren Berechtigungsmodellen. Das Seminar entwickelt eine kleine, aber vollständige Identitätsstrecke von einer führenden Datenquelle bis zu zwei vorbereiteten Zielressourcen. Die Herkunft eines Attributs und die Zuständigkeit für Änderungen bleiben dabei jederzeit nachvollziehbar.

Die Arbeit umfasst mehr als erfolgreiche Kontoanlage. Mehrdeutige Zuordnung, fehlende Pflichtdaten, unterbrochene Zielsysteme und Wiederholungen werden bewusst in das Szenario aufgenommen. Rollen, Genehmigungen und regelmäßige Überprüfungen werden so gestaltet, dass sie im Betrieb beherrschbar bleiben. Die Übungen verwenden eine klar begrenzte Modellorganisation. Dadurch können sowohl fachliche Prozesse als auch das technische Verhalten der Provisionierung innerhalb des Seminars überprüft werden.

Seminarinhalte

Inhaltsübersicht:

1. Architektur und Modellorganisation
2. Ressourcen und Konnektoren
3. Korrelation und Attributzuordnung
4. Rollen und Zuweisungen
5. Eintritt, Wechsel und Austritt
6. Synchronisation und Fehlerbehandlung
7. Governance und regelmäßige Überprüfung
8. Abnahme und Betrieb der Identitätsprozesse

1. Architektur und Modellorganisation

• Führende Datenquelle, Identität, Shadow, Ressource und technische Konten im midPoint-Modell unterscheiden.
• Verantwortlichkeiten, unveränderliche Kennungen und benötigte Attribute für die Modellorganisation festlegen.
• Die vorbereitete Installation prüfen und administrative Rechte sowie den Umgang mit Testdaten abstimmen.

2. Ressourcen und Konnektoren

• Eine Personaldatenquelle und ein LDAP-Ziel mit vorhandenen Konnektoren anbinden.
• Ressourcenschema, Verbindungsprüfung und minimal notwendige Zugriffsrechte des technischen Kontos kontrollieren.
• Die Eigenschaften eines zweiten Testziels prüfen und abweichende Pflichtattribute nachvollziehbar abbilden.

3. Korrelation und Attributzuordnung

• Bestehende Konten anhand stabiler Kriterien korrelieren und mehrdeutige Treffer kontrolliert behandeln.
• Inbound- und Outbound-Mappings mit klarer Datenhoheit konfigurieren.
• Normalisierung, Pflichtwerte und Konflikte anhand synthetischer Daten überprüfen, bevor Änderungen freigegeben werden.

4. Rollen und Zuweisungen

• Ein kleines Rollenmodell mit fachlicher Bedeutung und überschaubaren technischen Berechtigungen aufbauen.
• Rollen, Zuweisungen und zugrunde liegende Kontenwirkungen anhand konkreter Benutzer nachvollziehen.
• Unbeabsichtigte Überberechtigungen und gegenseitig unverträgliche Aufgabenkombinationen im Modell erkennen.

5. Eintritt, Wechsel und Austritt

• Kontoanlage, Attributänderung und Rechteanpassung aus definierten Lebenszyklusereignissen ableiten.
• Deaktivierung, Entzug von Zuweisungen und spätere Löschung als unterschiedliche Prozessschritte behandeln.
• Wiederholte Verarbeitung, Fristen und Abhängigkeiten zu aktiven Sitzungen angeschlossener Anwendungen prüfen.

6. Synchronisation und Fehlerbehandlung

• Synchronisation und Reconciliation für die jeweilige Ressource sinnvoll einsetzen.
• Unerreichbare Ziele, fehlerhafte Werte und Teilverarbeitung mit kontrollierter Wiederaufnahme bearbeiten.
• Abweichungen zwischen gewünschtem und vorhandenem Kontenzustand nachvollziehen und korrigieren.

7. Governance und regelmäßige Überprüfung

• Einen einfachen Genehmigungsfall für eine zusätzliche Berechtigung mit klarer Zuständigkeit einrichten.
• Eine kleine Rezertifizierungskampagne durchführen und Entscheidungen bis zur technischen Änderung verfolgen.
• Rollenverantwortung, Nachweise und regelmäßige Überarbeitung des Berechtigungsmodells in den Betriebsprozess aufnehmen.

8. Abnahme und Betrieb der Identitätsprozesse

• Positive, negative und wiederholte Lebenszyklusfälle in einer überschaubaren Testmatrix erfassen.
• Änderungen an Mappings und Rollen zunächst mit Testdaten prüfen und kontrolliert freigeben.
• Überwachung, Sicherungsumfang, Fehlerzuständigkeiten und fachliche Kontrollpunkte für den Betrieb festlegen.

Praxisübungen

1. Synthetische Personaldaten importieren und eindeutige Identitätskennungen sowie Datenverantwortung festlegen.
2. Zwei Ressourcen anbinden und bestehende Konten ohne unkontrollierte Neuanlage zuordnen.
3. Eine fachliche Rolle mit konkreter Wirkung in den Zielressourcen aufbauen.
4. Eintritt, Abteilungswechsel und Austritt jeweils auslösen und die tatsächlichen Kontoänderungen kontrollieren.
5. Ein Zielsystem vorübergehend unterbrechen und die fehlerhafte Verarbeitung nach Wiederverfügbarkeit geordnet aufnehmen.
6. Eine Zusatzberechtigung genehmigen, anschließend rezertifizieren und deren Entzug bis zum Zielkonto nachverfolgen.
7. Die vollständige Testfolge erneut ausführen und unerwartete Doppelkonten oder fortbestehende Rechte ausschließen.

Einordnung und Vertiefung

Die Praxis nutzt vorhandene Konnektoren und eine begrenzte Modellorganisation. Eigenentwickelte Konnektoren, unternehmensweite Rollenanalysen und die Umsetzung umfangreicher regulatorischer Vorgaben sind eigenständige Projekte.

Seminarangebot und Lernpfade