Zusammenfassung

Migrationen von Active Directory (AD) gehören zu den sensiblen Phasen im Lebenszyklus einer Identitätsinfrastruktur. Tags: #Active Directory | #Identitätslösungen

Im Detail

Migrationen von Active Directory (AD) gehören zu den sensiblen Phasen im Lebenszyklus einer Identitätsinfrastruktur.

Semperis hat deshalb die Version 2.0 seines „Migrator for Active Directory“ veröffentlicht, die Migrationen stärker überwachen, kontrollieren und auf mögliche Sicherheits- und Infrastrukturprobleme prüfen soll.

Migration als zusätzliches Sicherheitsrisiko

Active Directory bildet in vielen Unternehmen die Grundlage für Authentifizierung und Zugriffssteuerung. Gleichzeitig sind Identitätssysteme ein häufiges Angriffsziel. Laut dem von Unit 42 veröffentlichten Global Incident Response Report 2026 spielte die Identität bei fast 90 Prozent der untersuchten Cybervorfälle eine wesentliche Rolle.

Besonders kritisch kann die Phase einer AD-Migration werden. Während der Umstellung existieren häufig mehrere Umgebungen parallel, Identitäten und Berechtigungen werden übertragen und bestehende Abhängigkeiten müssen weiterhin funktionieren. Dadurch entstehen zusätzliche Angriffs- und Fehlerquellen.

Semperis verfolgt mit der neuen Version daher einen Ansatz, bei dem jede Übertragung eines Objekts als potenzieller Übergang zwischen Vertrauensbereichen betrachtet wird.

Mehr Kontrolle vor der eigentlichen Migration

Die neue Architektur basiert auf Kubernetes und soll Unternehmen vor allem mehr Transparenz über die einzelnen Migrationsschritte geben. Ein wesentlicher Bestandteil sind sogenannte Directory Synchronization Sets (DSS). Damit lassen sich Migrationen in einzelne Wellen beziehungsweise projektbezogene Abschnitte unterteilen.

Hinzu kommen Staging-Berichte. Sie zeigen vor der eigentlichen Übernahme, welche Änderungen vorgenommen werden sollen. Unternehmen können dadurch mögliche Probleme bereits vor dem produktiven Migrationsschritt erkennen.

Auch die Protokollierung wurde erweitert. Eine zentrale und durchsuchbare Oberfläche bündelt die Informationen der verschiedenen Komponenten. Zusätzlich überprüft eine Validierungsfunktion die Bereitstellung bereits während der Einrichtung und soll dadurch Infrastrukturprobleme frühzeitig erkennen.

Für den Wechsel von Endpunkten ist ein Secure Access and Control Agent vorgesehen. Damit soll ein In-Place-Cutover möglich sein, ohne die betreffenden Systeme zunächst neu aufsetzen zu müssen.

Verschlüsselungsumstellung erhöht den Migrationsdruck

Zusätzliche Bedeutung erhält das Thema durch Änderungen bei der Kerberos-Verschlüsselung. Microsoft treibt die schrittweise Abschaffung der RC4-Verschlüsselung voran. Unternehmen, deren Umgebungen noch von RC4 abhängen, müssen deshalb mögliche Auswirkungen auf Dienstkonten, die Authentifizierung zwischen Forests und Koexistenzszenarien berücksichtigen.

Gerade bei größeren Migrationsprojekten können solche Abhängigkeiten problematisch werden, wenn sie erst während der eigentlichen Umstellung sichtbar werden. Ältere Migrationstools sind laut Semperis vielfach nicht darauf ausgelegt, solche Zusammenhänge umfassend zu erkennen.

Hinzu kommt der Zeitdruck bei Fusionen und Übernahmen. Während Unternehmen bei solchen Projekten häufig innerhalb von 12 bis 18 Monaten Ergebnisse erzielen müssen, können vollständige Identitätsintegrationen traditionell deutlich länger dauern.

„Das Risiko bei der Migration war nie der Kopiervorgang. Es ist alles, was die Kopieroperation berührt – die Servicekonten, die niemand dokumentiert hat, die Verschlüsselungsabhängigkeiten, die niemand geprüft hat, die Angriffswege, die niemand geschlossen hat“, sagt Michael Masciulli, Managing Director Migration Products & Services bei Semperis.

Ausrichtung auf Partner und komplexe Umgebungen

Semperis setzt bei der Einführung des Migrators auf ein Partner-Modell. Unterstützung bei Implementierung, Schulung und Zertifizierung soll es Dienstleistern ermöglichen, auch umfangreichere Migrationsprojekte umzusetzen.

Relevant ist die Lösung laut Anbieter auch für regulierte Organisationen und komplexe Identitätsumgebungen. Als Beispiel nennt Semperis den Gesundheitsdienstleister Sharp Healthcare. Dort soll der Migrator bei der Integration verschiedener Umgebungen die Synchronisierung von Identitäten und Kontakten ermöglichen, ohne bestehende Authentifizierungs- und Bereitstellungsprozesse zu verändern.

Mit der neuen Version verschiebt Semperis den Schwerpunkt damit von der reinen Übertragung von Verzeichnisobjekten hin zu einer stärker kontrollierten Migration.

Im Mittelpunkt stehen dabei die vorherige Prüfung von Änderungen, die Überwachung der einzelnen Schritte und das frühzeitige Erkennen von Abhängigkeiten, die den Übergang zwischen unterschiedlichen Active-Directory-Umgebungen erschweren könnten.

(red/Semperis)

Tags: #Active Directory | #Identitätslösungen