Príprava migrácie · Desať kontrolných bodov
Ste pripravení na migráciu zo SAP IdM?
Pracovný kontrolný zoznam pre vedúcich programov, architektov IAM a aplikačné tímy. Zaznamenajte pripravené časti, otvorené otázky aj podklady potrebné na ďalší krok.
Bežná údržba SAP IdM končí 31. decembra 2027. SAP popisuje možnosti rozšírenej údržby do roku 2030. Potvrďte oprávnenosť, rozsah a obchodné podmienky v SAP Note 3268799 a vo vašej zmluve. Rozšírenie poskytuje čas na plánovanie; nie je to nové vydanie SAP IdM. Oznámenie o údržbe SAP.
Ako používať tento kontrolný zoznam
Tento zoznam pomáha pri práci; nesľubuje migráciu za určitý počet týždňov. Desať kontrolných bodov predstavuje redakčné odporúčania na riadenie prechodu. Nejde o certifikačnú normu, zákonné požiadavky ani záznam dokončeného projektu. Náročnosť určujú rozsah, zdrojové údaje, integrácie, prevádzkové obmedzenia a dostupnosť tímu.
Pri každom kontrolnom bode zaznamenajte stav, zodpovednú osobu, umiestnenie podkladov, dátum rozhodnutia a ďalší krok. Stav pripravené použite iba pri doložení danej podmienky. Stav nepripravené použite, ak požadovaná kontrola zlyhala. Stav zatiaľ neoverené použite, ak odpoveď vychádza iba z predpokladu. Ak podmienka nie je pre váš rozsah relevantná, zaznamenajte dôvod aj schvaľovateľa. Nenechávajte prázdne políčko.
Záznam prejdite s ľuďmi, ktorí prevádzkujú dotknuté služby. Vedúci programu môže rozhodovanie koordinovať, nie však za vlastníka aplikácie schváliť mapovanie oprávnení. Aj úspešná odpoveď na požiadavku o zmenu je iba podklad; nenahrádza kontrolu skutočného stavu účtu a práv.
Pre širšie možnosti architektúry a fázy migrácie si prečítajte SAP IdM nemá nástupnícku verziu. Čo ďalej?. Tento doplnkový zošit použite pri rozhodovaní o pripravenosti na prechod.
Prehľad pripravenosti
| Podmienka | Potrebné podklady | Kto rozhoduje |
|---|---|---|
| 1. Podpora a rozsah | Zmluvné podmienky, zahrnuté systémy a výnimky | Garant projektu a vlastník platformy |
| 2. Inventár súčasného stavu | Zdroje, úlohy, konektory, roly, závislosti | Vedúci IAM a vlastníci aplikácií |
| 3. Čistenie identít a prístupov | Testy párovania identít a schválené rozhodnutia o úprave prístupov | Vlastníci údajov a rolí |
| 4. Cieľové zodpovednosti | Rozdelenie opatrení a určenie rozhodujúcich zdrojov údajov | Architektúra a bezpečnosť |
| 5. Overenie integrácií | Pozorované výsledky pre podporované cieľové operácie | Integrácia a vlastníci aplikácií |
| 6. Testy životného cyklu | Overenie nástupu, zmeny zaradenia, odchodu a výnimiek | Vlastníci procesov |
| 7. Súbežná prevádzka | Určenie systému oprávneného zapisovať zmeny a vyriešenie rozdielov | Vedúci prevádzky |
| 8. Prechod a obnova | Nacvičený prevádzkový postup, prahové hodnoty a test obnovy | Osoba alebo tím oprávnený schváliť zmenu |
| 9. Kontinuita auditných záznamov | Dostupné historické a nové záznamy rozhodnutí | Osoby zodpovedné za opatrenia a záznamy |
| 10. Vyradenie starého riešenia | Deaktivované staršie cesty a akceptované odovzdanie služby | Vlastník služby |
Neskrývajte kritické zlyhanie za celkovým percentom pripravenosti. Deväť splnených bodov nenahradí nefunkčný proces odchodu, ktorý ponecháva aktívne privilegované prístupy. Pre každú migračnú vlnu určte povinné podmienky. Výnimky predložte osobe oprávnenej prijať príslušné riziko.
Overte stav podpory a skutočný rozsah
Začnite nasadenou verziou SAP IdM, jej závislosťami a podmienkami podpory pre vašu organizáciu. Uchovajte datovaný záznam o podpore, dostupnosti produktu, výklade zmluvy a osobe, ktorá ho potvrdila. Dokument SAP o podpore môže vyžadovať oprávnený účet SAP. Verejné zhrnutie nenahrádza posúdenie konkrétnej zmluvy.
Určte, čo má nové riešenie prevziať: skupiny identít, systémy SAP aj iných dodávateľov, nástupy a odchody, kontroly aj prevádzkové služby. Výslovne uveďte, čo do projektu nepatrí. Zavedenie prihlasovania v cloude samo nenahrádza lokálne prideľovanie prístupov, správu rolí ani historické výkazy.
Pripravené, keď: garant projektu a vlastník platformy odsúhlasia rozsah, podmienky podpory a interný termín dokončenia. Pri každej výnimke je jasné, kto za ňu zodpovedá a ako sa zachová potrebné opatrenie. Pozastavte postup, keď: plán predpokladá koniec podpory pre všetkých zákazníkov v roku 2027 alebo automatické pokrytie všetkých komponentov rozšírenou údržbou do roku 2030.
Zmapujte skutočné fungovanie a konfiguráciu
Zhromaždite úložiská identít, archívy, plánované úlohy, operácie správy účtov, skripty, konektory, definície rolí, schvaľovacie postupy a servisné účty. Skutočné správanie z logov a cieľových systémov porovnajte s dokumentáciou. Zahrňte aj zriedkavé úlohy, napríklad ročné kampane či obnovu certifikátov, ktoré krátke pozorovanie nemusí zachytiť.
Pri každej integrácii zaznamenajte účel, rozhodujúci zdroj údajov, verziu cieľového systému, podporované operácie, harmonogram, objem spracovania, správcu prihlasovacích údajov, spôsob riešenia chýb a kontakt na podporu. Zohľadnite aj závislosti mimo platformy: schvaľovanie e-mailom, tabuľky, ručné úlohy podpory, dávkové súbory a úlohy spúšťané iným plánovačom.
Pripravené, keď: vlastníci aplikácií overili inventár a pri nevyriešených rozdieloch je určené, kto ich preverí. Citlivú konfiguráciu uchovávajte s riadeným prístupom. Pozastavte postup, keď: integráciu niekto označí za nepoužívanú iba preto, že si ju nepamätá, alebo nikto nevie vysvetliť pracovný účel skriptu.
Vyriešte párovanie identít a rozhodnutia o úprave prístupov
Určte, ako nové riešenie spáruje osobu s existujúcimi účtami. Otestujte stabilné identifikátory, duplicity, premenovaných používateľov, opätovný nástup, súbežné pracovné vzťahy aj zmeny dodávateľov. E-mail sa môže zmeniť alebo znovu použiť. Bez overenia pravidiel zdroja ho nepovažujte za bezpečný trvalý identifikátor.
Pri každej role, oprávnení a postupe rozhodnite, či ho zachováte, upravíte, zlúčite alebo zrušíte. Rozhodnutia o prístupoch nech schvália zodpovední vlastníci procesov. Nezistené použitie je dôvodom na preverenie, nie automatickým súhlasom so zrušením oprávnenia. Zohľadnite sezónne úlohy aj núdzové prístupy.
Pripravené, keď: párovanie identít nemá nevysvetlené zhody a schválené rozhodnutia o čistení majú dohľadateľné podklady. Pozastavte postup, keď: nejednoznačné párovanie môže vytvoriť duplicitné účty, prideliť práva nesprávnej osobe alebo odobrať oprávnený prístup. Tieto výsledky evidujte ako konkrétne chyby, nie ako zanedbateľný prevádzkový šum.
Rozdeľte zodpovednosť v cieľovom riešení
Oddeľte autentifikáciu, riadenie, vykonávanie zmien, zosúlaďovanie a auditné výstupy. Určte službu zodpovednú za každú oblasť a rozhodujúci zdroj každého dôležitého atribútu. SAP Cloud Identity Services, Microsoft Entra, platforma IGA aj správa v jednotlivých aplikáciách môžu tvoriť cieľovú architektúru. Ich samotná prítomnosť však nevysvetľuje, ako budú spolupracovať.
Zdokumentujte žiadosti, schvaľovanie, pravidlá rolí, oddelenie povinností, platnosť prístupov, kontroly a výnimky. Pri každom opatrení určte vstup, zodpovednú osobu, vykonávajúcu službu, výsledok v cieľovom systéme a uchovávané záznamy. Pomenujte zodpovednosti, ktoré prechádzajú zo SAP IdM na iný tím. Mení sa tým aj spôsob prevádzky, nielen technológia.
Pripravené, keď: každý požadovaný výsledok má jedného zodpovedného vlastníka a jednoznačnú cestu implementácie. Pozastavte postup, keď: dve služby si nárokujú správu toho istého atribútu alebo opatrenie chýba, lebo každý dodávateľ očakáva jeho zabezpečenie druhým produktom. Riešenia porovnávajte podľa predvedených funkcií a prevádzkových nákladov.
Overte integráciu so skutočnými cieľovými verziami
Názov konektora nenahrádza akceptačný test. Overte potrebné operácie: zisťovanie účtov, vytváranie, aktualizáciu, aktiváciu, deaktiváciu, vymazanie, prideľovanie oprávnení a zosúlaďovanie. Otestujte požadované typy účtov aj štruktúru oprávnení. Konektor, ktorý vytvorí bežný používateľský účet, nemusí vedieť spravovať privilegované roly, vnorené skupiny alebo vlastné objekty vo vašom rozsahu.
Otestujte limity počtu požiadaviek, časové limity, neplatné vstupy, nedostatočné oprávnenia a nedostupné cieľové systémy. Overte, či opakovanie operácie nevytvorí duplicity a bezpečne dospeje k požadovanému stavu. Zistite, ako pripojenie ovplyvní výmena prihlasovacích údajov alebo skončenie platnosti certifikátu a kto dostane použiteľné upozornenie pri zlyhaní integrácie.
Pripravené, keď: záznamy dokladajú vstup, požadovanú zmenu, skutočný stav v cieľovom systéme aj riešenie výnimky pre každú potrebnú operáciu. Pozastavte postup, keď: za úspech sa považuje iba potvrdenie od API. Pre systémy mimo automatizácie dohodnite a otestujte manuálny náhradný postup skôr, než ich označíte za riadené.
Otestujte výsledky celého životného cyklu
Vyberte reprezentatívne identity a otestujte celý priebeh nástupu, zmeny pracovného zaradenia aj odchodu. Ak sa vás týkajú, zahrňte budúci nástup, zrušený nástup, zmenu nadriadeného, koniec spolupráce s externistom aj opätovné prijatie. Sledujte príjem zdrojových údajov, párovanie identít, pravidlá, schválenie, vykonanie zmeny a zosúladenie.
Pri zmene pracovného zaradenia overte odobratie starých aj pridanie nových prístupov. Pri odchode zamestnanca posúďte aktívne relácie, lokálne účty, kľúče a odovzdanie zodpovednosti. Deaktivácia centrálneho účtu nemusí ukončiť každú reláciu vydanú aplikáciou; Microsoft dokumentuje tento rozdiel. Určte overenie pre konkrétny cieľový systém.
Pripravené, keď: vlastníci procesov akceptujú bežné aj chybové scenáre a dokážu zo záznamov zrekonštruovať výsledok. Pozastavte postup, keď: testom prešiel iba ukážkový účet s minimálnymi oprávneniami. Použite postup pri odchode zamestnanca na rozšírenie testu odchodu aj na oblasti mimo deaktivácie účtu v adresári.
Riaďte súbežnú prevádzku a zosúlaďovanie údajov
Pre každú fázu určte, ktorá platforma smie meniť jednotlivé objekty a atribúty v cieľových systémoch. Ak staré aj nové riešenie presadzujú rozdielny stav, môžu si navzájom rušiť zmeny alebo obnovovať odobraté prístupy. Súbežná prevádzka potrebuje presné rozdelenie zodpovednosti, nie iba dohodu o koordinácii.
Najprv pozorujte alebo simulujte s nastaveniami, ktoré zabránia nechceným zápisom. Predpokladané zmeny porovnajte s aktuálnym stavom a rozdiely predložte vlastníkom. Simulácia nepreukáže každý následný účinok. Nadviažte preto riadenými testami zápisu vo vhodnom prostredí. Možnosti simulácie overte v dokumentácii konkrétnej verzie platformy.
Pripravené, keď: nevysvetlené rozdiely sú vyriešené a pre každý cieľový systém je zaznamenané odovzdanie oprávnenia na zápis. Pozastavte postup, keď: rozsiahle nezrovnalosti niekto odmietne ako očakávané bez ich posúdenia. Zachovajte schválený východiskový stav a vysvetlite, ktoré rozdiely sú zámerným čistením, ktoré vznikli časovým posunom a ktoré sú chybou.
Nacvičte prechod aj obnovu
Pre každú vlnu spíšte prevádzkový postup: predpoklady, obmedzenia prístupov, poradie krokov, kontroly, komunikáciu a rozhodovacie právomoci. Ešte pred odstávkou určte merateľné podmienky pozastavenia a obnovy. Môže ísť o neúspešné odobratie kritického prístupu, nevysvetlené kolízie identít či výpadok potrebného zdroja záznamov.
Obnova musí zohľadniť pracovné zmeny, ktoré nastanú počas prechodu. Stará databáza môže obnoviť neaktuálny prístup alebo vymazať platné nové rozhodnutie. Oddeľte vratné zmeny konfigurácie od nezvratných operácií v aplikáciách. Určte náhradné kroky pre situáciu, keď jednoduchý návrat už nie je bezpečný.
Pripravené, keď: tím nacvičil postup aj obnovu pre dohodnutý rozsah migračnej vlny. Pozastavte postup, keď: plán návratu obsahuje iba pokyn znovu zapnúť SAP IdM. Osoby schvaľujúce zmenu musia vedieť, kto môže vlnu zastaviť, ako používatelia získajú podporu a ktoré podklady sú potrebné pred ďalšou vlnou.
Zachovajte auditné podklady z oboch platforiem
Spíšte historické záznamy, ktoré budete naďalej potrebovať: žiadosti, schválenia, verzie pravidiel, rozhodnutia z kontrol, výsledky zmien, výnimky a významné incidenty. So zodpovednými ľuďmi pre správu záznamov, ochranu údajov a kontrolu dohodnite lehoty uchovávania aj prístup. Dostupné úložisko nie je dôvodom uchovávať všetko bez časového obmedzenia.
Overte, či oprávnený kontrolujúci dokáže nájsť a pochopiť staré rozhodnutie aj po vypnutí SAP IdM. Zachovajte identifikátory a vysvetlenia potrebné na spojenie záznamu s osobou, aplikáciou a oprávnením v novom riešení. Archív, ktorému nikto nerozumie, nie je použiteľným odovzdaním auditných podkladov.
Pripravené, keď: pri vybranom prípade možno spätne doložiť celý priebeh aj počas migrácie a nové rozhodnutia sa zaznamenávajú od začiatku prevádzky nového systému. Pozastavte postup, keď: archív závisí od účtu určeného na zrušenie alebo jeho čítanie vyžaduje spustiť nepodporovanú produkčnú službu. Známe medzery aj schválený spôsob ich riešenia zdokumentujte. Neúplnú históriu neprezentujte ako úplnú.
Vypnite pôvodné procesy a odovzdajte službu
Vyradenie je viac než zastavenie servera. Vypnite staré plánované úlohy, prihlasovacie údaje konektorov, sieťové oprávnenia, servisné účty, spätné volania aj manuálne postupy. Overte, že od starej úlohy nezávisí žiadny zdroj ani cieľ. Archívy uchovávajte oddelene od aktívnych procesov zmien účtov, aby uchovanie záznamov nemohlo tieto procesy znovu spustiť.
Odovzdajte prevádzkové postupy, monitorovanie, zálohovanie a obnovu, eskalačné kontakty, zodpovednosť za prihlasovacie údaje aj známe výnimky. Podporu a aplikačné tímy pripravte na nové typy zlyhaní. Určte, kto bude spravovať konektory a pravidlá po odchode projektového tímu a ako sa budú zmeny testovať pred vydaním.
Pripravené, keď: vlastník služby prevezme systém s doloženou stabilnou prevádzkou, určenou zodpovednosťou za zvyškové riziká a dokončeným záznamom o vyradení starého riešenia. Pozastavte postup, keď: skrytá pôvodná úloha zostáva jediným spôsobom vykonania kritického procesu. Odstráňte závislosť alebo zdokumentujte schválené dočasné riešenie s jasnou podmienkou ukončenia.
Pripravte podklady na rozhodnutie o prechode
Pripravte prehľad pripravenosti, otvorené chyby, overené výsledky v aplikáciách a stručný register výnimiek. Začnite podmienkami, ktoré môžu spôsobiť neoprávnený prístup, výpadok služby alebo stratu záznamov. Overte povinné podmienky namiesto počítania dokončených technických úloh.
Pri každej výnimke zaznamenajte dotknuté identity a systémy, možné následky, náhradné opatrenie, vlastníka, dobu platnosti a plán overenia. Riziko musí prijať osoba s príslušnou právomocou. Zmena farby stavu v prehľade nezmení zlyhané bezpečnostné opatrenie na splnené.
Záverom zaznamenajte rozhodnutie: pokračovať v dohodnutom rozsahu, pokračovať za konkrétnych schválených podmienok alebo počkať na určené podklady. Stanovte termín opätovného posúdenia. Aj pri odpovedi „ešte nie“ tak bude jasný ďalší krok a potrebné overenie.
Kam do hodnotenia patrí easyIGA
easyIGA dopĺňa open source platformu midPoint o prostredie pre bežných používateľov. Zamestnanci žiadajú o prístup a manažéri rozhodujú s dostupnými informáciami poruke. V prehľade záznamov vysvetľujeme zachytené schválenia, prístupy pridelené mimo easyIGA aj chýbajúce historické údaje. Kontroly konfliktov sú dostupné pri rozhodovaní; tvorba a simulácia pravidiel v easyIGA zostávajú plánované. Potrebné operácie v systémoch SAP aj ostatných aplikáciách sú súčasťou rozsahu integrácií dohodnutého pre vašu migráciu.
Skúsenosti nášho tímu zahŕňajú 14+ implementácií midPointu. Na základe vášho prehľadu systémov určíme migračné práce, podporované verzie a zodpovednosti ešte pred dohodnutím plánu realizácie. Pilotné nasadenie s jasným rozsahom poskytne obom tímom konkrétne podklady pre ďalšiu fázu.
Preberme pripravenosť vašej migrácie SAP IdM Spoznajte prevádzkový model IGA
Zdroje a redakčný záznam
Rozsah produktu a redakčné znenie aktualizované 12. októbra 2026. Pôvodné dátumy kontroly zdroja sú zachované nižšie.
Overené 12. septembra 2026. Podmienky pripravenosti, odporúčané podklady a kritériá rozhodnutia o prechode sú redakčné odporúčania k implementácii. Nie sú zmluvnými podmienkami SAP ani výsledkami zákazníkov.
- SAP: Príprava na koniec údržby SAP Identity Management v roku 2027, február 2024; informácie o štandardnej a predĺženej údržbe.
- Poznámka SAP 3268799, dokument podpory s obmedzeným prístupom; v tomto audite nebol nezávisle overený. Jeho uplatnenie potvrďte s osobou zodpovednou za podporu SAP.
- Microsoft Learn: Migrujte scenáre správy identít zo SAP IdM, priebežne aktualizované usmernenia k migrácii, zodpovednostiam cieľového riešenia a čisteniu údajov.
- Microsoft Learn: V prípade núdze zrušte prístup používateľa, priebežne aktualizované technické usmernenia k hraniciam poskytovateľa identity a aplikácií.
- Evolveum: Synchronizácia midPoint 4.10, dokumentácia pre konkrétnu verziu; zosúlaďovanie a stav cieľových systémov.
- Možnosti produktu easyIGA a Skúsenosti nášho tímu, aktuálne informácie na produkčnej stránke.
foto: imgix / Unsplash, Unsplash License; pôvodná redakčná fotografia so zachovaným a overeným uvedením autora. Opravy posielajte cez našu kontaktnú stránku.