Benutzer automatisch provisionieren und IdP-Gruppen auf Rollen abbilden
Zugriffsrechte driften, sobald die Übergabe manuell wird
In einer grossen Organisation werden Zugriffe an einer Stelle gewährt und an einer anderen genutzt. HR oder Ihr Verzeichnis legt Personen an und entfernt sie; die Anwendung muss Schritt halten. Wird diese Übergabe manuell erledigt, gerät die Deprovisionierung ins Hintertreffen — ein Ausgeschiedener behält ein aktives Konto, ein Wechsler behält die Rechte aus seiner letzten Rolle, und das Least-Privilege-Prinzip erodiert unbemerkt.
Im Audit ist diese Lücke am schwersten zu verteidigen. Ein Prüfer, der ISO 27001:2022 Annex A 5.18 oder SOC 2 CC6.3 testet, verlangt von Ihnen, kürzlich Ausgeschiedene mit aktiven Konten abzugleichen. Sind Ihr Verzeichnis und Ihre Anwendung auseinandergedriftet, können Sie nicht belegen, dass der Zugriff entzogen wurde, als er hätte entzogen werden müssen.
Eine Tabelle mit «wer hat was» ist an dem Tag veraltet, an dem sie exportiert wird. Die Pflicht besteht nicht darin, eine Liste zu führen — sondern fortlaufend nachzuweisen, dass der Zugriff der Autorisierung entspricht.
Was Sie mit der SCIM2-Provisionierung tun können
- Benutzer automatisch provisionieren und deprovisionieren über das SCIM2-Protokoll, sobald sich Ihr IdP ändert.
- Jede externe IdP-Gruppe auf eine interne Rolle abbilden, sodass die Zugehörigkeit zu Unternehmensgruppen den Anwendungszugriff steuert.
- Azure-AD- / Entra-ID-Gruppen direkt synchronisieren aus Ihren SAML- oder OAuth-Assertions ins DPMS.
- Während der Synchronisation entfernte Gruppen soft-löschen mit einem Deleted-Flag und so einen umkehrbaren Nachweis statt einer harten Löschung bewahren.
- Berechtigungen auf zugeordnete Benutzer synchronisieren, wenn sich eine Zuordnung ändert, sodass sich eine Rollenänderung ohne erneute Eingabe fortpflanzt.
- Den Synchronisationsstatus in den IAM-Einstellungen verfolgen — letzte Synchronisation, synchronisierte Konten, synchronisierte Gruppen — auf einen Blick.
Was es Ihrem Programm bringt
- Ausgeschiedene verlieren den Zugriff bei der nächsten Synchronisation, nicht erst beim nächsten Access Review — und schliessen damit die Deprovisionierungslücke, die Prüfer zuerst testen.
- Least Privilege bleibt erhalten, wenn Personen wechseln, weil die Rollenzuweisung der IdP-Gruppenzugehörigkeit folgt statt manuellen Eingriffen.
- Die Provisionierung skaliert mit der Mitarbeiterzahl, nicht mit Admin-Stunden — kein Onboarding-Ticket pro Benutzer.
- Zugriffsnachweise sind auf Abruf bereit, mit als Datensätze persistierten Zuordnungen und für den Betrieb sichtbaren Synchronisationszahlen.
- Eine einzige massgebliche Quelle für den Zugriff — Ihr IdP — beseitigt die Drift, die Sie sonst von Hand abgleichen müssten.
Für Compliance gebaut
Die DPMS-Provisionierung hilft Ihnen, die Zugriffskontrollpflichten nachzuweisen, die Auditoren testen — zugeordnet zu der konkreten Massnahme, die sie zitieren, niemals nur zu «ISO-zertifiziert».
| Was das DPMS tut | Zugeordnet zu | Wie |
|---|---|---|
| Provisioniert und deprovisioniert Identitäten über ein Standardprotokoll | SCIM2 (RFC 7644) | SCIM2-Lebenszyklus für Benutzer und Gruppen, abgeglichen mit dem SCIM-Enable-Flag im IAM |
| Verwaltet Identitäten über ihren gesamten Lebenszyklus | ISO 27001:2022 Annex A 5.16 | IdP-gesteuerte Provisionierung mit im IAM sichtbarem Synchronisationsstatus |
| Gewährt, ändert und entzieht Zugriffsrechte zentral | ISO 27001:2022 Annex A 5.18 | Als Datensätze persistierte Gruppe-zu-Rolle-Zuordnungen; Berechtigungssynchronisation bei Änderung |
| Beschränkt den Zugriff rollenbasiert auf Least Privilege | ISO 27001:2022 Annex A 5.15 | Abbildung externe Gruppe auf interne Rolle |
| Autorisiert, ändert und entfernt logischen Zugriff | SOC 2 CC6.2 / CC6.3 | Automatisierte Provisionierung plus Soft-Delete bei Gruppenentfernung |
Warum Priverion
Anders als universelle GRC-Tools, die Identität als das Problem anderer behandeln, verknüpft das DPMS den Zugriff mit derselben Plattform, die Ihr Verarbeitungsverzeichnis, Ihre DSFA, Ihre Risiken und Ihre Lieferantendaten enthält — die provisionierten Identitäten sind die Identitäten, die für die Arbeit verantwortlich sind, ohne separaten Abgleich. Gruppe-zu-Rolle-Zuordnungen werden als erstklassige Datensätze mit revisionsfreundlichen Soft-Deletes gespeichert, und der Synchronisationsstatus — letzte Synchronisation, synchronisierte Konten, synchronisierte Gruppen — wird in Ihren IAM-Einstellungen für die operative Sichtbarkeit angezeigt.
Fragen, die CISOs vor einer Demo stellen
Funktioniert das mit Azure AD / Entra ID?
Ersetzt es meinen Identity Provider?
Was passiert, wenn eine Gruppe während einer Synchronisation entfernt wird?
Wie erreichen Rollenänderungen die Benutzer?
Verwandte Funktionen entdecken
Bereit, die Deprovisionierungslücke zu schliessen?
