Entra ID als führender Verzeichnisdienst – lokale AD-⁠Aufgaben klar abgrenzen

In hybriden Microsoft-⁠Umgebungen muss das lokale Active Directory nicht dauerhaft die führende Quelle für alle Identitäten bleiben. Entra ID kann Benutzer-⁠ und Gruppenänderungen übernehmen, während das lokale AD dort bestehen bleibt, wo Anwendungen weiterhin Kerberos oder LDAP benötigen.

Der Rollenwechsel hängt von den Anwendungen ab

In vielen hybriden Umgebungen werden Änderungen zunächst im lokalen Active Directory vorgenommen und anschließend zu Entra ID synchronisiert. Die umgekehrte Richtung ist ebenfalls möglich: Entra ID wird für bestimmte Benutzer-⁠ und Gruppeninformationen zur führenden Quelle, während ausgewählte Änderungen bei Bedarf zurück ins lokale AD gelangen.

Das ist vor allem dann plausibel, wenn ein großer Teil der Anwendungen bereits als SaaS genutzt wird und Personal-⁠ oder Identitätsdaten ohnehin aus einem cloudbasierten HR-⁠System kommen. Das lokale AD muss dadurch nicht verschwinden. Es kann weiterhin die Anwendungen versorgen, die klassische Protokolle wie Kerberos oder LDAP benötigen.

Unsere Empfehlung: Drehen Sie die Synchronisationsrichtung nicht allein deshalb um, weil mehr Anwendungen in der Cloud liegen. Entscheidend ist, welche Systeme tatsächlich Identitäten verwalten müssen und wo Änderungen fachlich entstehen. Für eine Anwendung, die weiterhin auf lokale Verzeichnisdaten angewiesen ist, bleibt die Rückbereitstellung relevant. Für einen SaaS-⁠Dienst ohne solche Abhängigkeit kann sie entfallen.

Die Qualität der HR-⁠Daten entscheidet mit

Microsoft Entra ID kann Mitarbeiterdaten aus Workday oder SuccessFactors übernehmen. Für andere HR-⁠Systeme nennt der Beitrag eine Anbindung über eine API, etwa über Middleware oder den Provisionierungsteil eines IAM-⁠Systems. Die übertragenen Identitätsdaten orientieren sich dabei am SCIM-⁠Datenmodell.

Damit wird die Qualität der Stammdaten zu einem Teil des Bereitstellungsprozesses. Ein Abteilungswechsel, ein neuer Jobtitel oder ein Eintrittsdatum können nur dann passende Änderungen in nachgelagerten Systemen auslösen, wenn die zugrunde liegenden Angaben korrekt und zum richtigen Zeitpunkt gepflegt sind. Ein sauber konfiguriertes Mapping behebt keine fehlerhaften Daten an der Quelle.

Das betrifft auch den Umfang der Übernahme. Im Entra Admin Center lassen sich laut Artikel Attribute zuordnen, kleinere Umwandlungen vornehmen und Identitäten vor der Verarbeitung filtern. So können etwa Datensätze aus einer Länderorganisation ausgeschlossen werden, wenn sie in ein anderes Entra ID fließen sollen. Wer eigene Benutzerattribute verwendet, kann diese ebenfalls mit HR-⁠Daten befüllen lassen.

Nicht jede Änderung gehört in beide Verzeichnisse

Ein Rollenwechsel bedeutet nicht, dass jede Änderung aus Entra ID vollständig ins lokale AD kopiert werden muss. Der beschriebene Ansatz sieht vor, relevante Benutzer-⁠ und Gruppeninformationen nur dann zurückzuschreiben, wenn sie für verbliebene lokale Anwendungen benötigt werden. Das begrenzt die Abhängigkeit des Verzeichnisdienstes von Anwendungen, die bereits in der Cloud arbeiten.

Praktisch sollten Sie daher pro Anwendung klären, welche Identitäten und Attribute sie wirklich benötigt. Eine Anwendung, die lokale Gruppenmitgliedschaften zur Rechtevergabe verwendet, hat andere Anforderungen als ein SaaS-⁠Dienst, der seine Zugriffe über Entra ID erhält. Werden diese Unterschiede vorab nicht festgehalten, besteht die Gefahr, dass beim Umbau unnötig viele Daten in beide Richtungen gepflegt werden.

Auch Gruppen verdienen eine eigene Betrachtung. Im klassischen Modell werden Gruppenmitgliedschaften häufig im lokalen AD verwaltet und anschließend in die Cloud synchronisiert. Bei einer stärker cloudgeführten Umgebung muss klar sein, welche Gruppen dort entstehen und welche davon für lokale Anwendungen zurück ins AD müssen. Eine pauschale Umstellung sämtlicher Gruppen wäre dafür keine sinnvolle Abkürzung.

Den Ablauf vor der Umstellung durchspielen

SCIM-⁠basierte Bereitstellung und Lifecycle Workflows können laut Artikel Prozesse rund um Benutzer und Gruppen automatisieren. Vor einer breiten Umstellung sollte deshalb nicht nur die technische Verbindung geprüft werden. Wichtig ist auch, ob die vorgesehenen Abläufe die tatsächlichen Personalprozesse abbilden: neue Mitarbeitende, Änderungen während der Beschäftigung und das Ausscheiden aus dem Unternehmen.

Legen Sie für diese Fälle fest, welches System die maßgeblichen Daten liefert, welche Attribute übernommen werden und welche Informationen lokale Anwendungen weiterhin brauchen. Prüfen Sie außerdem, welche Identitäten von einer Filterregel betroffen wären. So lässt sich vermeiden, dass ein technisch erfolgreicher Datentransfer unbemerkt die falschen Datensätze oder zu viele Informationen erfasst.

Entra ID als führende Quelle ist damit keine pauschale Ablösung des lokalen Active Directory, sondern eine Entscheidung über Zuständigkeiten. Ordnen Sie jede Identität dem System zu, das ihre Daten fachlich verantwortet, und übertragen Sie ins lokale AD nur, was dort tatsächlich gebraucht wird.

Quellen: IT-⁠Administrator – „Entra ID als primärer Verzeichnisdienst“ (https://www.it-administrator.de/entra-id-primaerer-verzeichnisdienst)