Migration auf IAS für SAP SuccessFactors
Die Migration von SAP SuccessFactors zur Identity Authentication Service (IAS) stellt für viele Unternehmen einen wichtigen Schritt dar, um moderne Sicherheitsstandards zu erfüllen und eine zentrale Benutzerverwaltung zu etablieren. Während SuccessFactors bisher mit der klassischen Benutzerverwaltung funktionierte, bietet die IAS eine leistungsfähigere und flexiblere Lösung für Authentifizierung und Identitätsmanagement.
Warum die Migration auf IAS?
Mit IAS ermöglicht SAP eine einheitliche und sichere Authentifizierungsstruktur für SuccessFactors und andere SAP-Cloud-Produkte. Die Migration bringt mehrere Vorteile mit sich:
- Single Sign-On (SSO): Benutzer können sich mit einer einzigen Anmeldung an mehreren Diensten authentifizieren. Die Dienste können als Applikation eingebunden werden.
- Erweiterte Sicherheitsfunktionen: Unterstützung für Multi-Faktor-Authentifizierung (MFA) und zentrale Steuerung der Passwort-Richtlinien.
- Story Reporting: IAS wird Voraussetzung für das Story Reporting
- Künftige SAP-Standards: IAS wird von SAP als bevorzugte Authentifizierungsmethode für Cloud-Lösungen vorgegeben, sodass eine frühzeitige Migration langfristige Kompatibilität sicherstellt.
Ablauf der Migration
Die Migration auf die IAS erfolgt in drei Hauptschritten:
- Upgrade initiieren: Im Upgrade Center wird ein Upgrade angeboten, das die Integration zwischen IAS und SAP SuccessFactors einleitet („Initiate the integration between IAS and SAP SuccessFactors”). Nach der Initiierung wird die Verbindung zwischen SAP SuccessFactors und IAS automatisch hergestellt.
- Konfiguration des IAS(/IDP)-Tenants
- Zweites Upgrade: Aktivierung von IAS als Standard-Identity-Provider für SAP SuccessFactors. Dieses Upgrade sollte erst durchgeführt werden, wenn alle Konfigurationen abgeschlossen sind, da danach alle Authentifizierungsanfragen standardmäßig über die IAS laufen.
Konfiguration der Transformation
Es ist entscheidend, festzulegen, welche Variablen aus SAP SuccessFactors in welche Felder der IAS übernommen werden sollen. Die Transformation wird im Identity Provisioning Service (IPS) konfiguriert – in der IAS/IPS-Admin-Konsole unter dem SAP SuccessFactors-System als Quellsystem.
- Beispiel für Mappings/Transformationen:
E-Mail als Benutzername setzen: Falls das Attribut „userName“ nicht mit „userName“ aus SAP SuccessFactors gemappt werden soll, kann es mit dem Feld „email“ belegt werden.
Properties
Properties sind spezifische Felder oder Attribute, die in der Integration definiert werden, um sicherzustellen, dass die richtigen Informationen synchronisiert werden. Beispiele für typische Properties sind:
- company.id: Enthält die Company ID, die zur Zuordnung von Benutzern zu einer bestimmten Firma oder Organisationseinheit verwendet wird.
- Authentication: Definiert die verwendeten Authentifizierungsmethoden, wie „Basic“ oder „ClientCertificateAuthentication“.
- user.filter: Ein Filter, der auf Benutzer angewendet wird, z. B. zur Synchronisation nur aktiver Benutzer.
Anpassung der Properties
Nachdem die Mappings für die Benutzerattribute festgelegt wurden, müssen Filter und Properties konfiguriert werden. Hier geht es darum, bestimmte Eigenschaften der Übertragung festzulegen und bspw. bestimmte Benutzer auszuwählen oder auszuschließen, die in die IAS synchronisiert werden sollen.
Verwendung des Filters in den Properties:
Der Filter innerhalb der Properties ermöglicht es, die Synchronisation auf bestimmte Benutzergruppen zu beschränken, indem Bedingungen festgelegt werden, die die zu synchronisierenden Benutzer erfüllen müssen.
Beispiele für die Anwendung von Filtern:
Nur aktive Mitarbeiter: sf.user.filter = active eq „true“
Aktive Benutzer mit spezifischem Benutzernamen: sf.user.filter = active eq „true“ and userName eq „petermueller“
Subject Name Identifier
Die Überprüfung des Subject Name Identifier ist besonders wichtig, da dieser sicherstellt, dass der Benutzer korrekt von IAS zu SuccessFactors zugeordnet wird. Ein fehlerhafter Identifier kann zu Problemen bei der Authentifizierung und Benutzerzuordnung führen. Die Einstellung findet sich unter Applikationen im IAS unter „Subject Name Identifier“. Es kann auch ein Fallback konfiguriert werden, um Fehler am Username abzufangen.
Migration der User – Read Job starten
Nachdem Filter und Properties konfiguriert wurden, wird ein Read Job gestartet. Dieser Job sorgt dafür, dass alle Benutzer aus dem Quellsystem (z. B. SAP SuccessFactors) in das Zielsystem (IAS) übertragen werden. Alle relevanten Benutzerdaten werden synchronisiert und stehen danach in der IAS zur Verfügung. Nach der Migration können Passwörter und andere Authentifizierungsdaten in der IAS für die Benutzer festgelegt werden.
Schedulen des Read Jobs
Der Read Job kann so konfiguriert werden, dass er regelmäßig läuft, z. B. alle 30 Minuten oder jede Stunde.
Fazit
Die Migration auf IAS ist ein wichtiger Schritt für Unternehmen, die SAP SuccessFactors nutzen und sich zukunftssicher aufstellen möchten. Sie verbessert nicht nur die Sicherheit und Benutzerverwaltung, sondern ermöglicht auch eine nahtlose Integration mit anderen SAP-Cloud-Produkten.
