In dit artikel worden de fasen beschreven van het traject naar een identiteitsarchitectuur, van een hybride Active Directory-opstelling naar een volledig cloudgebaseerd identiteitsplatform, en worden de afwegingen in elke fase toegelicht. Het artikel is bedoeld voor IT-managers bij Noorse gemeenten die deze overgang plannen of hierover in gesprek zijn met Identum.
Waarom dit belangrijk is
Microsoft verschuift zijn investeringen gestaag van on-premises Active Directory (AD) en Exchange naar Microsoft Entra ID en Exchange Online. Noorse gemeenten bevinden zich in zeer verschillende stadia van dit traject: de meeste werken met een hybride opzet met Entra ID Connect, sommige zijn begonnen met het rechtstreeks beheren van bepaalde resources via Entra ID (Hybrid+), en een groeiend aantal is overgestapt op cloud-only cloud-first cloud-only.
De termen „hybride”,cloud-first encloud-only worden binnen de sector niet eenduidig gebruikt, waardoor het moeilijk is om ervaringen uit te wisselen met andere gemeenten of om de omvang van een migratieproject nauwkeurig in te schatten. Dit artikel biedt Identum en zijn gemeentelijke klanten een gemeenschappelijke terminologie voor deze fasen, zodat gesprekken over migratie, kosten en risico’s uitgaan van dezelfde definities.
De fasen
|
Podium |
Autoriteitsbron (SOA) |
Typische kenmerken |
|---|---|---|
|
Hybride |
Active Directory op locatie |
AD blijft de hoofdbron. Microsoft Entra ID Connect (of Entra Cloud Sync) synchroniseert gebruikers, groepen en wachtwoorden met Entra ID. Mailboxen bevinden zich doorgaans in Exchange Online als externe mailboxen. Alle wijzigingen moeten on-premises worden doorgevoerd; Entra ID bevat alleen-lezen kopieën. |
|
Hybrid+ |
Active Directory op locatie |
Het blijft een hybride oplossing in strikte zin: AD blijft de SOA en Entra ID Connect draait nog steeds. Het verschil is dat eADM is begonnen met het beheren van bepaalde resources – meestal het lidmaatschap van Microsoft 365-groepen – rechtstreeks via Entra ID, parallel aan de bestaande AD-synchronisatie. Dit is een voorbereidende stap, geen verandering van SOA. |
|
Cloud-first |
Microsoft Entra ID |
Entra ID Connect is buiten gebruik gesteld. Entra ID wordt de primaire, toonaangevende identiteitsprovider voor alle gebruikers en apparaten; eADM voegt alle gebruikers rechtstreeks toe aan Entra ID. Er wordt nog steeds een lokaal AD bijgehouden, maar uitsluitend om uitzonderingsaccounts aan te maken voor specifieke verouderde applicaties die nog niet uitsluitend met Entra ID kunnen werken. Er vindt geen synchronisatie plaats tussen de twee directory’s: eADM voegt elke gebruiker afzonderlijk toe en zorgt voor de synchronisatie van wachtwoorden. |
|
Cloud-only |
Microsoft Entra ID |
Er is geen lokale Active Directory aanwezig. Entra ID is de enige directory; eADM voert de provisioning van alle gebruikers, groepen en lidmaatschappen rechtstreeks uit in Entra ID. Alle applicaties ondersteunen Entra ID standaard of zijn toegankelijk via cloudgebaseerde toegangsoplossingen. Dit is de eenvoudigste eindtoestand qua beheer, maar vereist wel dat afhankelijkheden van verouderde applicaties volledig zijn opgelost of buiten gebruik zijn gesteld. |
Hybride
Hybride is vandaag de dag nog steeds de meest voorkomende omgeving bij de gemeentelijke klanten van Identum. On-premises AD fungeert als autoriteitsbron, en Entra ID Connect (of Entra Cloud Sync) spiegelt gebruikers, groepen en wachtwoord-hashes naar Entra ID. eADM schrijft naar AD; voor mailboxen die in Exchange Online worden gehost, voert eADM ook een script uit op de on-premises Exchange-omgeving om het externe mailboxobject aan te maken dat de AD-gebruiker koppelt aan de cloudmailbox.
Hybrid+
Hybrid+ is een benoemde tussenstap binnen de hybride fase, geen wijziging in de bron van autoriteit (SOA). AD is nog steeds de SOA en Entra ID Connect draait nog steeds, maar eADM is begonnen met het uitbreiden van wat het rechtstreeks in Entra ID beheert – doorgaans het lidmaatschap van Microsoft 365-groepen – parallel aan de bestaande synchronisatie van gebruikers en groepen met AD.
Hierdoor kan een IT-afdeling beginnen met het beheer van cloud-only vanuit eADM en vertrouwd raken met directe Entra ID-provisioning via Microsoft Graph, voordat de grotere stap wordt gezet om Entra ID Connect buiten gebruik te stellen en over te stappen op cloud-first. Hybrid+ is een nuttige aanduiding voor een gemeente die duidelijk het stadium van een gewone hybride omgeving is ontgroeid, maar haar ‘Source of Authority’ nog niet naar de cloud heeft overgeheveld.
Cloud-first
In het cloud-first wordt Entra ID Connect uitgeschakeld en wordt de bron van autoriteit voor gebruikers, groepen en mailboxen formeel overgedragen naar de cloud, doorgaans met behulp van de functie ‘Managed SOA Transfer’ van Microsoft. Entra ID wordt de enige, gezaghebbende identiteitsprovider en de apparaten van eindgebruikers worden uitsluitend gekoppeld aan Entra ID.
Een lokaal AD wordt in dit stadium niet verwijderd: het blijft bestaan in een beperkte, op uitzonderingen gebaseerde vorm. eADM voegt de overgrote meerderheid van de gebruikers (in de praktijk bijna 100%) rechtstreeks toe aan Entra ID. Alleen gebruikers die toegang nodig hebben tot specifieke, lokaal geïnstalleerde legacy-applicaties krijgen ook een apart, niet-gesynchroniseerd account in het on-premises AD, dat door eADM wordt aangemaakt via een afzonderlijke workflow in plaats van via directory-synchronisatie. Wanneer die toegangsrechten voor de verouderde applicatie worden ingetrokken, maakt eADM het on-premises-account ongeldig.
Dit model biedt gemeenten het operationele gemak van één moderne cloudidentiteit voor vrijwel iedereen, terwijl er tegelijkertijd een gecontroleerd en geauditeerd traject wordt gewaarborgd voor de legacy-applicaties, die doorgaans het lastigste onderdeel vormen van elke cloudmigratie.
Opmerking: dit is vaak net zozeer een project voor apparaat- en applicatietoegang als een identiteitsproject. Om de apparaten van eindgebruikers over te zetten van ‘Hybrid Entra ID Joined’ naar ‘pure Entra ID Joined’ is doorgaans een volledige wissen-en-herinstallatie van het apparaatpark nodig, en elke verouderde on-premises-applicatie vereist een ondersteund toegangspad (bijvoorbeeld Entra Application Proxy of Remote Desktop Services) voordat de overgang veilig kan worden voltooid
Voorbeeld: een cloud-first (eADM en eFeide)
.jpg?cb=3756b033047d8f4643f6d2d3b0a4b09b)
Dit is een concreet voorbeeld van het hierboven onder Cloud-first beschreven principe van AD-accounts op basis van uitzonderingen: er wordt alleen een AD-account aangemaakt wanneer er een specifieke behoefte voor een toepassing bestaat, en niet standaard voor elke gebruiker.
Cloud-only
Cloud-only een stap verder dan cloud-first’: de on-premises Active Directory wordt volledig buiten gebruik gesteld, inclusief de op uitzonderingen gebaseerde accounts die worden gebruikt voor verouderde applicaties. Dit is pas haalbaar als alle resterende applicaties Entra ID native ondersteunen of zijn gemigreerd, vervangen of buiten gebruik gesteld. eADM beheert de volledige levenscyclus van gebruikers en groepen rechtstreeks in Entra ID via Microsoft Graph, zonder enige on-premises component.
De fasen vergelijken
|
|
Hybride |
Hybrid+ |
Cloud-first |
Cloud-only |
|---|---|---|---|---|
|
Bron van gezag |
Lokale AD |
Lokale AD |
Microsoft Entra ID |
Microsoft Entra ID |
|
AD op locatie vereist |
Ja, volledig |
Ja, volledig |
Ja, uitsluitend op basis van uitzonderingen |
Geen |
|
Entra ID Connect / Cloud Sync |
Verplicht |
Verplicht |
Buiten gebruik gesteld |
Niet van toepassing |
|
eADM schrijft rechtstreeks naar Entra ID |
Geen |
Ja, voor bepaalde bronnen (bijvoorbeeld M365-groepen) |
Ja, voor bijna alle gebruikers en groepen |
Ja, voor alles |
|
Type apparaatkoppeling |
Hybrid Entra ID is lid geworden |
Hybrid Entra ID is lid geworden |
Entra ID is lid geworden |
Entra ID is lid geworden |
|
Toegang tot verouderde applicaties |
Native, op locatie |
Native, op locatie |
Via een op uitzonderingen gebaseerd AD-account en een gateway (RDS, Application Proxy) |
Moet al zijn opgelost |
|
Een typische bestuurder die gewoon doorrijdt |
Het beheer van cloud-only zonder een volledige SOA-migratie |
Kosten en complexiteit van het onderhoud van Entra ID Connect en Exchange op locatie |
Overblijvende afhankelijkheden van verouderde applicaties |
Al in de beoogde toestand |
Je pad kiezen
Er is niet één juiste eindtoestand die voor elke gemeente geldt, en cloud-only niet automatisch voor iedereen het juiste doel. Welke fase je moet nastreven en in welk tempo je die moet bereiken, hangt af van een aantal praktische vragen:
-
Hoeveel applicaties vereisen nog steeds een direct, lokaal AD-account, en hoe moeilijk zou het zijn om elk daarvan te vervangen of te omzeilen met een cloudcompatibele toegangsoplossing?
-
Is het huidige apparaatpark al geschikt voor Entra ID (type verbinding, OS-versie, Intune-registratie), of vereist de migratie ook een vernieuwing van de hardware?
-
In hoeverre zou de IT-afdeling baat hebben bij het buiten gebruik stellen van Entra ID Connect en de lokale Exchange-omgeving, zowel wat betreft licentiekosten als administratieve tijd?
-
Wil de organisatie op termijn uitkomen bij één enkele, gestroomlijnde cloud-only , of is een stabiel cloud-first met een korte, goed beheerde lijst van uitzonderingen voor legacy-systemen een aanvaardbare situatie op de lange termijn?
Veel gemeenten beschouwen cloud-first een bewuste, stabiele eindtoestand in plaats van als een tussenstap: het op uitzonderingen gebaseerde, traditionele toegangsmodel is veel eenvoudiger te beheren dan een volledige hybride synchronisatie, zelfs als er een handvol on-premises-accounts voor onbepaalde tijd blijft bestaan. Hybrid+ is een nuttig tussenstation voor gemeenten die het directe Entra ID-beheer op kleine schaal willen testen, voordat ze beslissen of en wanneer ze de volledige ‘Source of Authority’ willen overdragen.
In dit artikel worden de fasen van de Microsoft-identiteitsarchitectuur die relevant zijn voor eADM-klanten gedefinieerd en vergeleken: hybride, hybride+, cloud-first cloud-only. Er wordt ingegaan op waar de ‘Source of Authority’ zich in elke fase bevindt, de rol van Entra ID Connect, het type apparaataansluiting en hoe de toegang tot legacy-applicaties wordt afgehandeld, inclusief een praktijkvoorbeeld van een cloud-first tussen eADM en eFeide. Hybrid+ beschrijft gemeenten die zijn begonnen met het rechtstreeks beheren van bepaalde resources, zoals het lidmaatschap van Microsoft 365-groepen, via Entra ID, terwijl ze hybride blijven. Het artikel is bedoeld voor IT-managers bij Noorse gemeenten die een overstap van een hybride Active Directory-model evalueren of plannen. Het vormt een aanvulling op het gedetailleerde uitvoeringsplan cloud-first en het artikel over mailboxprovisioning in eADM.