Dieser Artikel beschreibt die einzelnen Phasen der Umstellung der Identitätsarchitektur von einer hybriden Active-Directory-Umgebung auf eine vollständig cloudbasierte Identitätsplattform und erläutert die Vor- und Nachteile der jeweiligen Phasen. Er richtet sich an IT-Manager in norwegischen Kommunen, die diese Umstellung planen oder mit Identum besprechen.
Warum das wichtig ist
Microsoft verlagert seine Investitionen zunehmend weg von lokal installierten Active Directory (AD)- und Exchange-Lösungen hin zu Microsoft Entra ID und Exchange Online. Die norwegischen Kommunen befinden sich auf diesem Weg in sehr unterschiedlichen Phasen: Die meisten betreiben eine Hybridlösung mit Entra ID Connect, einige haben damit begonnen, ausgewählte Ressourcen direkt über Entra ID zu verwalten (Hybrid+), und eine wachsende Zahl ist zu cloud-first cloud-only übergegangen.
Die Begriffe „Hybrid“,cloud-first undcloud-only werden branchenweit uneinheitlich verwendet, was den Austausch mit anderen Kommunen sowie die genaue Planung eines Migrationsprojekts erschwert. Dieser Artikel bietet Identum und seinen kommunalen Kunden ein gemeinsames Vokabular für diese Phasen, damit Gespräche über Migration, Kosten und Risiken auf der Grundlage einheitlicher Definitionen geführt werden können.
Die Etappen
|
Bühne |
Autoritätsquelle (SOA) |
Typische Merkmale |
|---|---|---|
|
Hybrid |
Lokales Active Directory |
AD bleibt weiterhin die zentrale Instanz. Microsoft Entra ID Connect (oder Entra Cloud Sync) synchronisiert Benutzer, Gruppen und Kennwörter mit Entra ID. Postfächer befinden sich in der Regel als Remote-Postfächer in Exchange Online. Alle Änderungen müssen lokal vorgenommen werden; Entra ID verwaltet schreibgeschützte Kopien. |
|
Hybrid+ |
Lokales Active Directory |
Im engeren Sinne handelt es sich weiterhin um eine Hybridlösung: AD bleibt die SOA, und Entra ID Connect läuft weiterhin. Der Unterschied besteht darin, dass eADM nun damit begonnen hat, bestimmte Ressourcen – in der Regel die Mitgliedschaft in Microsoft 365-Gruppen – parallel zur bestehenden AD-Synchronisierung direkt über Entra ID zu verwalten. Dies ist ein vorbereitender Schritt und kein Wechsel der SOA. |
|
Cloud-first |
Microsoft Entra ID |
Entra ID Connect wird außer Betrieb genommen. Entra ID wird zum primären, maßgeblichen Identitätsanbieter für alle Benutzer und Geräte; eADM richtet alle Benutzer direkt in Entra ID ein. Ein lokales AD wird weiterhin geführt, jedoch ausschließlich, um Ausnahmekonten für bestimmte Altsysteme bereitzustellen, die noch nicht ausschließlich mit Entra ID arbeiten können. Es findet keine Synchronisation zwischen den beiden Verzeichnissen statt: eADM richtet jedes Verzeichnis unabhängig voneinander ein und übernimmt die Passwortsynchronisation. |
|
Cloud-only |
Microsoft Entra ID |
Es gibt kein lokales Active Directory. Entra ID ist das einzige Verzeichnis; eADM richtet alle Benutzer, Gruppen und Mitgliedschaften direkt in Entra ID ein. Alle Anwendungen unterstützen Entra ID entweder nativ oder sind über cloudbasierte Zugriffslösungen erreichbar. Dies ist der im Betrieb einfachste Endzustand, setzt jedoch voraus, dass Abhängigkeiten von Altsystemen vollständig aufgelöst oder abgeschafft wurden. |
Hybrid
Die Hybrid-Lösung ist auch heute noch die häufigste Konfiguration bei den kommunalen Kunden von Identum. Das lokale AD dient als Autoritätsquelle, und Entra ID Connect (oder Entra Cloud Sync) spiegelt Benutzer, Gruppen und Passwort-Hashes in Entra ID. eADM schreibt in das AD; bei in Exchange Online gehosteten Postfächern führt eADM zudem ein Skript in der lokalen Exchange-Umgebung aus, um das Remote-Postfachobjekt zu erstellen, das den AD-Benutzer mit dem Cloud-Postfach verknüpft.
Hybrid+
„Hybrid+“ ist eine benannte Zwischenstufe innerhalb der Hybridphase und stellt keinen Wechsel der Autoritätsquelle dar. AD ist weiterhin die Autoritätsquelle (SOA), und Entra ID Connect läuft weiterhin, doch eADM hat damit begonnen, die direkt über Entra ID verwalteten Daten – in der Regel die Mitgliedschaft in Microsoft 365-Gruppen – parallel zur bestehenden Benutzer- und Gruppensynchronisierung mit AD zu erweitern.
Auf diese Weise kann eine IT-Abteilung damit beginnen, cloud-only über eADM zu verwalten und sich mit der direkten Bereitstellung von Entra ID über Microsoft Graph vertraut zu machen, bevor sie den größeren Schritt der Stilllegung von Entra ID Connect und der Umstellung auf cloud-first wagt. „Hybrid+“ ist eine nützliche Bezeichnung für eine Kommune, die über ein reines Hybridmodell hinausgewachsen ist, ihre „Source of Authority“ jedoch noch nicht in die Cloud verlagert hat.
Cloud-first
Im cloud-first wird Entra ID Connect deaktiviert und die Autoritätsquelle für Benutzer, Gruppen und Postfächer formell in die Cloud übertragen, in der Regel mithilfe der „Managed SOA Transfer“-Funktion von Microsoft. Entra ID wird zum einzigen maßgeblichen Identitätsanbieter, und die Endgeräte der Benutzer werden ausschließlich mit Entra ID verbunden.
Ein lokales AD wird in dieser Phase nicht abgeschafft: Es wird in einer reduzierten, auf Ausnahmen basierenden Form beibehalten. eADM richtet die überwiegende Mehrheit der Benutzer (in der Praxis fast 100 %) direkt in Entra ID ein. Nur Benutzer, die Zugriff auf bestimmte lokal installierte Legacy-Anwendungen benötigen, erhalten zusätzlich ein separates, nicht synchronisiertes Konto im lokalen AD, das von eADM im Rahmen eines eigenständigen Workflows und nicht über eine Verzeichnissynchronisierung eingerichtet wird. Wenn diese Berechtigung für die Legacy-Anwendung widerrufen wird, hebt eADM die Bereitstellung des lokalen Kontos auf.
Dieses Modell bietet Kommunen die operative Einfachheit einer einzigen, modernen Cloud-Identität für nahezu alle Nutzer und gewährleistet gleichzeitig einen kontrollierten, geprüften Übergang für die Altsysteme, die in der Regel den schwierigsten Teil einer Cloud-Migration darstellen.
Hinweis: Hierbei handelt es sich oft ebenso sehr um ein Projekt zum Geräte- und Anwendungszugriff wie um ein Identitätsprojekt. Die Umstellung der Endbenutzergeräte von „Hybrid Entra ID Joined“ auf „Entra ID Joined“ erfordert in der Regel eine vollständige Löschung und Neuinstallation der gesamten Geräteflotte, und jede ältere On-Premises-Anwendung benötigt einen unterstützten Zugriffspfad (z. B. Entra Application Proxy oder Remote Desktop Services), bevor die Umstellung sicher abgeschlossen werden kann.
Beispiel: Ein cloud-first (eADM und eFeide)
.jpg?cb=3756b033047d8f4643f6d2d3b0a4b09b)
Dies ist ein konkretes Beispiel für das oben unter Cloud-first beschriebene Prinzip der ausnahmegesteuerten AD-Konten: Ein AD-Konto wird nur dann angelegt, wenn ein konkreter Anwendungsbedarf besteht, und nicht standardmäßig für jeden Benutzer.
Cloud-only
Cloud-only noch einen Schritt weiter als cloud-first“: Das lokale Active Directory wird vollständig abgeschafft, einschließlich der für Legacy-Anwendungen verwendeten, auf Ausnahmen basierenden Konten. Dies ist erst dann realistisch, wenn jede verbleibende Anwendung entweder Entra ID nativ unterstützt oder migriert, ersetzt oder außer Betrieb genommen wurde. eADM verwaltet den gesamten Lebenszyklus von Benutzern und Gruppen direkt in Entra ID über Microsoft Graph, ganz ohne lokale Komponenten.
Vergleich der Phasen
|
|
Hybrid |
Hybrid+ |
Cloud-first |
Cloud-only |
|---|---|---|---|---|
|
Rechtsgrundlage |
Lokales AD |
Lokales AD |
Microsoft Entra ID |
Microsoft Entra ID |
|
Lokales AD erforderlich |
Ja, vollständig |
Ja, vollständig |
Ja, ausschließlich auf Ausnahmen basierend |
Nein |
|
Bei ID Connect / Cloud Sync anmelden |
Erforderlich |
Erforderlich |
Außer Betrieb genommen |
Nicht zutreffend |
|
eADM schreibt direkt in Entra ID |
Nein |
Ja, für ausgewählte Ressourcen (zum Beispiel M365-Gruppen) |
Ja, für fast alle Benutzer und Gruppen |
Ja, für alles |
|
Art der Geräteanbindung |
Hybrid Entra ID ist beigetreten |
Hybrid Entra ID ist beigetreten |
Entra ID ist beigetreten |
Entra ID ist beigetreten |
|
Zugriff auf Altsysteme |
Nativ, vor Ort |
Nativ, vor Ort |
Über ein ausnahmegestütztes AD-Konto und ein Gateway (RDS, Application Proxy) |
Muss bereits geklärt sein |
|
Ein typischer Fahrer, der weiterfährt |
Man möchte cloud-only verwalten, ohne eine vollständige SOA-Migration durchzuführen |
Kosten und Aufwand für die Wartung von Entra ID Connect und Exchange vor Ort |
Verbleibende Abhängigkeiten von Altsystemen |
Bereits im Sollzustand |
Deinen Weg wählen
Es gibt keinen einzigen richtigen Endzustand, der für jede Gemeinde gleichermaßen geeignet ist, und cloud-only nicht automatisch für alle das richtige Ziel. Welche Etappe angestrebt werden sollte und in welchem Tempo man dorthin gelangen sollte, hängt von einigen praktischen Fragen ab:
-
Wie viele Anwendungen erfordern noch ein direktes, lokal verwaltetes AD-Konto, und wie aufwendig wäre es jeweils, diese durch eine cloudkompatible Zugriffslösung zu ersetzen oder zu ergänzen?
-
Ist der aktuelle Gerätebestand bereits Entra ID-fähig (Verbindungstyp, Betriebssystemversion, Intune-Registrierung), oder erfordert die Migration auch eine Hardware-Erneuerung?
-
Welchen Nutzen würde die IT-Abteilung durch die Abschaffung von Entra ID Connect und des lokal installierten Exchange erzielen, sowohl hinsichtlich der Lizenzkosten als auch des Verwaltungsaufwands?
-
Möchte das Unternehmen letztendlich eine einheitliche, vereinfachte, cloud-only erreichen, oder ist ein stabiles cloud-first mit einer kleinen, gut geregelten Liste von Ausnahmen für Altsysteme ein akzeptabler langfristiger Zustand?
Viele Kommunen betrachten cloud-first eher cloud-first bewusst gewählten, stabilen Endzustand denn als Zwischenstufe: Das auf Ausnahmen basierende herkömmliche Zugriffsmodell ist weitaus einfacher zu handhaben als eine vollständige hybride Synchronisierung, selbst wenn eine Handvoll lokaler Konten auf unbestimmte Zeit bestehen bleibt. „Hybrid+“ ist ein nützlicher Zwischenschritt für Kommunen, die die direkte Entra-ID-Verwaltung zunächst in kleinem Umfang testen möchten, bevor sie entscheiden, ob und wann sie die vollständige „Source of Authority“ übertragen.
Dieser Artikel definiert und vergleicht die für eADM-Kunden relevanten Phasen der Microsoft-Identitätsarchitektur: Hybrid, Hybrid+, cloud-first cloud-only. Er behandelt, wo sich die „Source of Authority“ in jeder Phase befindet, welche Rolle Entra ID Connect spielt, welche Art der Geräteanbindung zum Einsatz kommt und wie der Zugriff auf Legacy-Anwendungen gehandhabt wird, einschließlich eines praktischen Beispiels für einen cloud-first über eADM und eFeide hinweg. „Hybrid+“ beschreibt Kommunen, die damit begonnen haben, bestimmte Ressourcen – wie beispielsweise die Mitgliedschaft in Microsoft 365-Gruppen – direkt über Entra ID zu verwalten, während sie weiterhin ein hybrides Modell beibehalten. Die Zielgruppe sind IT-Manager in norwegischen Kommunen, die eine Abkehr vom hybriden Active Directory-Modell evaluieren oder planen. Der Artikel ergänzt den detaillierten cloud-first sowie den Artikel zur Postfachbereitstellung in eADM.