Seminar Benutzer und Berechtigungen mit midPoint provisionieren

Ein Wechsel des Anmeldedienstes löst noch nicht die Frage, wer Benutzer anlegt, Änderungen freigibt und nicht mehr benötigte Zugriffe entfernt. midPoint übernimmt in diesem Seminar die zentrale Steuerung des Identitätslebenszyklus und verbindet eine autoritative Datenquelle mit mehreren Zielsystemen.

Die Übungen arbeiten mit einer vorbereiteten CSV-Quelle, einem lokalen LDAP-Ziel und einem Entra-Testmandanten. Entra wird über den Microsoft-Graph-Konnektor angesprochen. Ein angebundenes Keycloak liest die lokale Identitätsbasis; daraus wird keine automatisch verfügbare SCIM-Schnittstelle in Keycloak abgeleitet. Für eine zusätzliche direkte Keycloak-Verwaltung wäre ein gesondert bewerteter Konnektor oder API-Integrationsbaustein erforderlich.

Korrelation, Rollen, Inbound- und Outbound-Regeln werden schrittweise entwickelt. Besondere Aufmerksamkeit gilt dem Schutz vor Massenänderungen, der Vermeidung widersprüchlicher Schreibwege und der überprüfbaren Deaktivierung. Die Integration schafft einen kontrollierten Parallelbetrieb, ohne den Microsoft-Mandanten vorschnell abzuschalten.

Inhalte im Überblick

• Datenmodell und Ressourcen
• Korrelation und Datenqualität
• Lokale Provisionierung und Rollen
• Entra-Anbindung über Microsoft Graph
• Abgleich, Fehlerbehandlung und Governance
• Durchgängiger Lebenszyklus und Übergabe

Seminarinhalte

Datenmodell und Ressourcen

• Führende Quelle, Personenobjekt, Konten, Rollen und technische Zielsysteme modellieren.
• Vorbereitete Konnektoren, Schemaerkennung und Verbindungsparameter prüfen.
• Eine kleine Testpopulation mit absichtlich fehlerhaften Datensätzen abgrenzen.

Korrelation und Datenqualität

• Stabile Identitätsmerkmale von E-Mail-Adresse, Anzeigename und Anmeldename unterscheiden.
• Bestehende Konten zuordnen und mehrdeutige Treffer kontrolliert behandeln.
• Normalisierung, Pflichtfelder und eine begrenzte Freigabe von Korrekturen einrichten.

Lokale Provisionierung und Rollen

• Ein LDAP-Ziel über freigegebene Attribute und begrenzte Berechtigungen versorgen.
• Rollen, Zuweisungen und abgeleitete Gruppenmitgliedschaften entwerfen.
• Eintritt, Abteilungswechsel und Austritt als getrennte Ereignisse prüfen.

Entra-Anbindung über Microsoft Graph

• Technische Identität und erforderliche API-Berechtigungen für den gewählten Konnektor vorbereiten.
• Testkonten und Gruppen mit kontrollierten Schreibwegen verwalten.
• Kontenanlage, Lizenzzuweisung und konkrete Dienstnutzbarkeit als getrennte Schritte behandeln.

Abgleich, Fehlerbehandlung und Governance

• Reconciliation, Synchronisationsaufgaben und Ausnahmebearbeitung nachvollziehen.
• Unbeabsichtigte Massenlöschungen, leere Quelldaten und API-Fehler absichern.
• Freigaben, Nachvollziehbarkeit und die Überprüfung überholter Rechte gestalten.

Durchgängiger Lebenszyklus und Übergabe

• Einen Mitarbeiter über mehrere Änderungen bis zum Austritt verfolgen.
• Deaktivierung in den Zielsystemen und vorhandene Anwendungs- und Tokensitzungen getrennt prüfen.
• Wiederholbare Abnahmetests, Zuständigkeiten und Wiederanlaufverfahren festhalten.

Praktische Übungen

1. Eine Testquelle importieren und fehlerhafte Identitätsdaten vor der Weiterverarbeitung erkennen.
2. Vorhandene Konten anhand einer stabilen Kennung zuordnen und Dubletten zur Klärung aussteuern.
3. Eine Rolle auf ein lokales Ziel und auf eine Entra-Testgruppe abbilden.
4. Einen Abteilungswechsel mit Entzug alter und Vergabe neuer Rechte durchführen.
5. Einen Austritt sowie einen fehlerhaften Quellimport simulieren und die Schutzmechanismen überprüfen.
6. Den vollständigen Änderungsverlauf im Audit nachvollziehen und die Wiederholung der Aufgaben prüfen.

Schulungsumgebung

Der Kunde stellt midPoint mit Datenbank, vorbereitete und aufeinander abgestimmte Konnektoren, eine CSV-Testquelle, ein LDAP-Testziel sowie einen Entra-Testmandanten mit geeigneten Graph-Berechtigungen bereit. Keycloak ist für den nachgelagerten Login vorkonfiguriert.