SAP IdM nemá nástupnícku verziu. Čo ďalej?

Zákazníci SAP Identity Management riešia nezvyčajnú situáciu. Pri staršom podnikovom softvéri sa zvyčajne plánuje aktualizácia, tu však táto cesta nie je dostupná. SAP Identity Management 8.0 je posledná funkčná verzia. SAP oznámil koniec údržby a ďalší podporovaný vývoj sa opiera o inú architektúru. Projekt preto treba chápať ako migráciu služieb správy identít a súvisiacich opatrení, nie ako prechod na novšiu verziu toho istého produktu.

Bezprostredný termín plánovania je 31. decembra 2027. SAP opisuje aj možnosti predĺženej údržby do roku 2030. Tento dodatočný čas však využite na zníženie rizika migrácie, nie na odkladanie analýzy súčasného prostredia. Presný zmluvný rozsah, cenu a podmienky dostupnosti predĺženej údržby treba potvrdiť pre vaše prostredie SAP. Predĺžená údržba neprináša novú generáciu SAP IdM ani nenahrádza výber cieľového riešenia.

Tento sprievodca vysvetľuje, čo zmena znamená v praxi. Ľuďom zodpovedným za projekt, IAM architektom, bezpečnostným tímom a vlastníkom aplikácií pomôže zmapovať SAP IdM, vybrať cieľovú architektúru a naplánovať postupný prechod. Venuje sa aj zachovaniu podkladov potrebných pri audite.

Odpoveď pre vedenie: nezačínajte kopírovaním každej úlohy SAP IdM do nového nástroja. Najprv určte výsledky a opatrenia, ktoré musia zostať zachované. Rozdeľte úlohy medzi SAP Cloud Identity Services, podnikovú platformu IGA, Microsoft Entra alebo iný rozhodujúci systém. Potom postupne migrujte celé procesy správy identít. Overujte výsledky aj možnosť návratu.

Dátumy a rozhodnutia, na ktorých záleží

SAP svoje smerovanie opísal vo februári 2024: údržba SAP Identity Management sa končí v roku 2027 a možnosti predĺženej údržby siahajú do roku 2030. Za základ cloudovej stratégie označil SAP Cloud Identity Services a opísal ich prepojenie s partnerskými riešeniami. Neskoršie usmernenia SAP a Microsoftu predstavili spoločný postup presunu scenárov SAP IdM do Microsoft Entra a SAP Cloud Identity Services.

Konkrétne podmienky údržby overte v SAP Note 3268799 na portáli SAP for Me a so svojím kontaktným tímom SAP. Verejné články pomáhajú pri plánovaní, no rozhodujúce sú príslušné dokumenty podpory a vaša zmluva.

Prečo náhrada produktu znamená viac než aktualizáciu

Pri aktualizácii zostávajú hlavné zodpovednosti produktu zachované. Môže sa zmeniť dátový model a treba otestovať konektory, ale platforma plní podobné úlohy. Pri náhrade produktu sa tieto úlohy môžu rozdeliť medzi viacero služieb.

Prostredie SAP IdM môže spracúvať zdrojové údaje, párovať identity, riadiť životný cyklus a roly, schvaľovať žiadosti a vykonávať zmeny v SAP aj ďalších systémoch. Môže zabezpečovať procesy hesiel, zosúlaďovanie, reporty a vlastnú koordináciu úloh. Roky rozšírení z neho môžu urobiť aj úložisko nezdokumentovaných rozhodnutí organizácie.

Pri kopírovaní pôvodného nastavenia položku po položke by sa staré rozhodnutia preniesli do nového riešenia bez posúdenia, či sú ešte potrebné. Jeden produkt by navyše musel napodobniť všetky úlohy pôvodného systému, aj keď niektoré dnes vhodnejšie zabezpečuje iná služba.

Vhodnou jednotkou migrácie je preto overiteľný výsledok riadenia identít. Príklady:

• nový zamestnanec získa štandardný prístup pre právnickú osobu a oddelenie;
• zmena manažéra odstráni zdedené oprávnenie a priradí novú cestu schválenia;
• prístup externistu sa skončí v dohodnutý deň;
• privilegovaná rola SAP vyžaduje vlastníka, kontrolu rizika a časovo obmedzené schválenie;
• odchádzajúci človek stratí prístup vo všetkých pripojených systémoch a výsledný stav sa overí;
• posudzovateľ vidí dôvod existujúceho prístupu a môže zaznamenať odôvodnené rozhodnutie.

Každý výsledok zahŕňa údaje, pravidlá, pracovný postup, vykonanie zmeny aj záznamy. Migrácia celého procesu sa dá otestovať a prijať. Presun izolovaných technických úloh ešte nepreukazuje, že pôvodné opatrenie funguje.

Z konfigurácie a logov zistite, ako systém aktuálne funguje

Pred výberom platformy zmapujte skutočné prostredie podľa dostupných podkladov. Samotné pracovné stretnutia nestačia. Ľudia si pamätajú hlavné procesy, no nie každú plánovanú úlohu, výnimku, skript, hierarchiu rolí či nadväzujúcu závislosť.

Použite exporty konfigurácie, harmonogramy úloh, logy, definície konektorov, údaje o rolách, výsledky zosúlaďovania a servisné záznamy. Prehľad porovnajte so zisteniami od personalistov, vlastníkov aplikácií, bezpečnosti, auditu a prevádzky. Ak sa dokumentácia líši od produkcie, zaznamenajte skutočné správanie aj osobu, ktorá rozhodne o jeho budúcej podobe.

Zachyťte minimálne nasledovné:

Tento prehľad má dva výstupy. Prvý opisuje rozsah: čo existuje, kto za to zodpovedá a aký to má význam. Druhým je rozhodnutie pre každú položku: zachovať, upraviť, nahradiť, zlúčiť alebo vyradiť. Objekt bez vlastníka a bez preukázaného použitia by sa nemal automaticky stať rozsahom migrácie.

Súčasťou je aj čistenie údajov. Microsoft v usmerneniach odporúča ešte pred migráciou odstrániť zastarané integrácie, oprávnenia a roly. Rýchlejší presun chybných údajov riadenie nezlepší. Iba prenesie staré nejasnosti do novej platformy.

Najprv určte prevádzkový model, potom vyberte produkt

V návrhu nového riešenia musí byť jasné, ktorý systém rozhoduje, ktorý vykonáva zmeny a kde sa uchovávajú záznamy. Až podľa toho má zmysel vyberať produkty.

SAP vo svojej cloudovej stratégii stavia na SAP Cloud Identity Services. Identity Provisioning zabezpečuje životný cyklus používateľov a skupín medzi zdrojovými a cieľovými systémami. Identity Directory a rozhrania SCIM poskytujú štandardné možnosti správy údajov o identitách. Migračný scenár Microsoftu kombinuje tieto služby s Microsoft Entra. Môže byť vhodný tam, kde Entra už tvorí základ správy identít a prístupov.

Nie je to jediný možný model. Platforma IGA na vlastnej infraštruktúre môže byť vhodná pri potrebe priamej kontroly prostredia, rozsiahlych prepojení mimo SAP, zložitého párovania identít, prenosnej konfigurácie alebo riadenia viacerých poskytovateľov identity. Architektúru určujte podľa overiteľných požiadaviek, nie podľa hesla „všetko do cloudu“ či snahy skopírovať pôvodné riešenie.

Pri každom navrhovanom riešení určte, kto a čo zabezpečí:

Návrh je neúplný, ak dva systémy nezávisle menia rovnaké oprávnenie bez pravidla prednosti. Rovnako nestačí stav „schválené“, ak nikto nevie doložiť vykonanie zmeny v aplikácii.

Zorganizujte migráciu do piatich riadených fáz

Úspešná migrácia SAP Identity Management má opakovateľný postup. Prvá vlna ho overí, ďalšie používajú rovnaké kontrolné body, podklady a rozdelenie zodpovednosti.

1. Zmapujte a roztrieďte súčasné prostredie

Dokončite inventarizáciu, ku každej položke určte zodpovednú osobu a prostredie rozdeľte na migračné celky. Môže ísť o skupinu identít, skupinu aplikácií alebo celý proces životného cyklu. Pri každom celku posúďte význam pre prevádzku, kvalitu údajov, úpravy na mieru, dosah na bezpečnostné opatrenia, zložitosť integrácie a možnosti testovania.

Vyberte pilot, ktorý preverí celý postup, ale nezačínajte najkritickejším procesom SAP s množstvom vlastných úprav. Potrebujete zapojeného vlastníka aplikácie, typické údaje o identitách, overiteľné výsledky zmien a schvaľovanie zodpovedajúce skutočnej práci.

2. Určte riadenie v cieľovom riešení

Pred konfiguráciou opíšte cieľové správanie z pohľadu organizácie. Pri nástupe človeka určte spúšťaciu udalosť, minimálne údaje, základné prístupy, výnimky, zodpovednosť za schválenie, očakávanú lehotu a podklady. Pri odchode určte rozhodujúci signál o ukončení, poradie deaktivácie, účty, ktoré sa majú zachovať, urgentný postup a podmienky zosúladenia.

Tieto požiadavky premeňte na akceptačné testy. Projekt tak nemôže vyhlásiť úspech iba na základe odpovede HTTP 200, kým kritická rola zostáva v aplikácii priradená.

3. Zostavte a overte pilotné nasadenie

Cieľovú integráciu vytvorte v testovacom prostredí s primeranou ochranou produkčných údajov. Overte bežný priebeh aj zlyhania: chýbajúceho nadriadeného, duplicitnú identitu, oneskorený zdroj, zamietnutie, vypršanie času spojenia, čiastočne vykonanú zmenu a návrat do pôvodného stavu.

Pred každým scenárom aj po ňom spustite zosúladenie. Podklady majú zachytiť vstupnú udalosť, výsledok pravidiel, prípadné ľudské rozhodnutie, požadovanú technickú zmenu, výsledok v cieľovom systéme a overený konečný stav. Výsledok majú spoločne prijať ľudia zodpovední za bezpečnosť a aplikáciu.

4. Riaďte súbežnú prevádzku

Postupná migrácia zvyčajne znamená súbežnú prevádzku SAP IdM a nových služieb. Pre každú aplikáciu a typ oprávnenia určte, ktorá platforma smie vytvárať, meniť a rušiť prístupy. Vypnite duplicitné úlohy a zabráňte tomu, aby dve platformy presadzovali rozdielne stavy.

Počas pozorovania používajte porovnávacie výstupy. Rozdiely roztrieďte na zámerné zmeny návrhu, časové posuny údajov, chyby konfigurácie, chyby zdrojových údajov a zlyhania cieľov. Nevysvetlené rozdiely neskrývajte za tolerované percento.

5. Migrujte po vlnách a plánovane vyraďte staré riešenie

Ďalšie oblasti prevádzajte rovnakými vstupnými a výstupnými kontrolami. Riadenie programu má sledovať výsledky: zosúladené identity, prijaté opatrenia, vyriešené výnimky, otestovaný návrat a úplné podklady.

Vyradenie z prevádzky je samostatná časť projektu. V riadenom poradí zastavte prísun údajov a plánované úlohy. Konfiguráciu a auditné záznamy archivujte podľa lehôt uchovávania, zrušte servisné účty, odstráňte sieťové prístupy, uzavrite prevádzkové úlohy a určte zodpovednosť za zachované historické podklady. Samotné vypnutie servera nie je úplným vyradením z prevádzky.

Opatrenia, ktoré sa pri migrácii najľahšie stratia

Migračné tímy sa prirodzene sústreďujú na vytváranie a zmeny účtov, lebo sa ľahko ukazujú a testujú. Ak však neoveria aj dôvod zmeny, kvalita riadenia môže utrpieť.

Pozorne sledujte tieto oblasti:

• Priame pridelenia: prístup mimo vzoru môže byť legitímny, núdzový prístup alebo nahromadený dlh. Pred premiestnením ho klasifikujte.
• Vlastníctvo roly: importovaná rola bez zodpovedného vlastníka nemôže podporovať spoľahlivú žiadosť alebo proces kontroly.
• Kontext schválenia: samotný schvaľovací krok nestačí, ak človek nevidí používateľa, pracovný účel, riziko, dobu platnosti a nezlučiteľné prístupy.
• Oddelenie povinností: zachovajte pravidlo, jeho rozsah, právomoc schvaľovať výnimky, náhradné opatrenie aj podklady o rozhodnutí.
• Správanie pri zmene pracovného zaradenia: zmeny oddelenia a nadriadeného často odhalia závislosti, ktoré test nástupu nezachytí.
• Strojové identity: servisné účty potrebujú zodpovedných vlastníkov, určený účel, pravidlá správy prihlasovacích údajov a skončenia platnosti, aj keď sa neriadia personálnymi udalosťami.
• Doklady o vykonaní zmeny: rozlišujte stavy žiadosť podaná, schválená, odoslaná na vykonanie, vykonaná, overená, neúspešná a neznámy výsledok.
• Historické záznamy: dohodnite sa, čo musí zostať vyhľadávateľné po vyradení SAP IdM a ako bude chránená jeho integrita.

Praktické pravidlo prijatia: pri každej zmene rizikového prístupu má nezávislý posudzovateľ vedieť zistiť žiadateľa, vyhodnotené pravidlo, schvaľovateľa, skutočnú zmenu v aplikácii, spôsob overenia aj termín ďalšej kontroly.

Čo obsahuje dôveryhodný plán

Niektoré detaily produktu sa môžu dopracovať neskôr. Pred spustením však musí byť jasné, kto za čo zodpovedá, čím sa overí výsledok a kedy sa prijmú potrebné rozhodnutia.

Použite tento minimálny kontrolný zoznam:

• Zodpovedný člen vedenia akceptuje, že ide o náhradu riešenia, nie o aktualizáciu SAP IdM.
• Harmonogram vychádza z termínu 31. decembra 2027 a ponecháva čas aj na stabilizáciu a odstavenie starého riešenia.
• Predĺžená údržba je samostatne overená záložná možnosť.
• Každý zdroj, cieľový systém, postup, súbor rolí, vlastná úloha a auditný výstup majú vlastníka aj určený ďalší osud.
• Pred začatím cieľovej konfigurácie sa meria aktuálna kvalita údajov.
• Cieľový prevádzkový model rozdeľuje zodpovednosť za životný cyklus, riadenie oprávnení, zmeny účtov, autentifikáciu, zosúlaďovanie a záznamy.
• Pilot overuje celý postup od zmeny identity po výsledok vrátane reálnych prípadov zlyhania.
• Pravidlá súbežnej prevádzky bránia tomu, aby do toho istého cieľa nezávisle zapisovali dva systémy.
• Migračná vlna sa uzavrie až po overení stavu v cieľových systémoch a prijatí potrebných podkladov.
• Návrat do pôvodného stavu je otestovaný pri zmenách, ktoré môžu narušiť prístup alebo prevádzku.
• Do vyraďovania sú zahrnuté historické dôkazy, uchovávanie, odstránenie servisného účtu a odstavenie infraštruktúry.
• Obstarávanie, bezpečnostné posúdenie a zmluvné rozhodnutia sú naplánované tak, aby nezdržali celý projekt.

Ak na viacero otázok ešte nepoznáte odpoveď, ďalšou užitočnou investíciou je analýza súčasného prostredia a návrh cieľového riešenia. Samotný nákup licencií tieto otázky nevyrieši.

Kedy zvážiť easyIGA

Organizáciám, ktoré zvažujú IGA na vlastnej infraštruktúre, easyIGA ponúka používateľskú nadstavbu nad open source platformou midPoint. Žiadosti, schvaľovanie, kontroly aj auditné podklady sprístupňuje bežným používateľom. Nastavené pravidlá a technické zmeny zostávajú v midPointe. Štandardne beží na vašej infraštruktúre a vo vašej jurisdikcii. Ak vhodné prostredie nemáte, na požiadanie vieme zabezpečiť hosťovanie v EÚ prevádzkované naším tímom.

easyIGA preto môžete posúdiť tam, kde náhrada SAP IdM potrebuje riadiť aplikácie SAP aj iných dodávateľov, zachovať kontrolu nad údajmi a konfiguráciou a prepojiť rozhodnutia s technickými výsledkami. Úvodnú analýzu však nenahrádza. Žiadna platforma sama spoľahlivo neurčí, ktoré vlastné úpravy SAP IdM sú potrebné, zastarané alebo obsahujú nezdokumentované pravidlá.

Prvá etapa má priniesť prehľad súčasného stavu, rozdelenie zodpovedností v novom riešení, poradie migračných vĺn a podmienky prevzatia pilotu. Tieto výstupy zostanú užitočné aj vtedy, keď výsledná architektúra využije viacero produktov.

Kontaktujte náš tím ak chcete technicky posúdiť svoje prostredie SAP IdM alebo pripraviť prvú migračnú vlnu. Prineste aktuálny zoznam konektorov, plán úloh, katalóg rolí a auditné podklady. Hodnotenie začína tým, čo systém skutočne robí.

Pred výberom platformy potvrďte rozsah produktu

Pri náhrade SAP IdM otestujte potrebné operácie v systémoch SAP aj ostatných aplikáciách v konkrétnych verziách, ktoré používate. V prehľade záznamov easyIGA vysvetľujeme zaznamenané schválenia, prístupy pridelené inde aj chýbajúcu históriu. V migračných záznamoch uchovajte aj neúspešné zmeny, aby nedokončená práca zostala viditeľná. Pri plánovaní a realizácii využívame skúsenosti nášho tímu zo 14+ implementácií midPointu.

Pokračujte v implementácii

Použite kontrolný zoznam pripravenosti na migráciu SAP IdM na zaznamenanie vlastníkov, podkladov a podmienok schválenia. Pri výbere cieľového riešenia si prečítajte sprievodcu IGA.

Zdroje a overovacie poznámky

Rozsah produktu a redakčné znenie aktualizované dňa 24. septembra 2026. Pôvodné dátumy kontroly zdroja uvedené nižšie zostávajú dátumami týchto kontrol.

Vecné tvrdenia v článku boli porovnané s týmito primárnymi zdrojmi dňa 11. septembra 2026:

1. SAP, „Príprava na koniec údržby SAP Identity Management v roku 2027“, https://community.sap.com/t5/technology-blog-posts-by-sap/preparing-for-sap-identity-management-s-end-of-maintenance-in-2027/ba-p/13596101
2. SAP, „Aktualizácia migrácie SAP Identity Management na Microsoft Entra“, https://community.sap.com/t5/technology-blog-posts-by-sap/update-on-the-sap-identity-management-migration-to-microsoft-entra/ba-p/13742820
3. SAP, „Výhody proaktívnej migrácie SAP IDM“, https://community.sap.com/t5/technology-blog-posts-by-sap/advantages-of-proactive-sap-idm-migration/ba-p/14042339
4. SAP Note 3268799, stratégia údržby pre SAP Identity Management (vyžaduje sa prihlásenie do SAP), https://me.sap.com/notes/3268799
5. Sprievodca inováciou SAP Identity Management 8.0, https://help.sap.com/doc/c48ff06e7e76450480ef93e5357381d5/8.0/en-US/IDM_UpgradeGuide.pdf
6. Microsoft Learn, „Migrácia scenárov správy identít zo SAP IDM na Microsoft Entra“, https://learn.microsoft.com/en-us/entra/id-governance/scenarios/migrate-from-sap-idm
7. Microsoft Cloud Adoption Framework, „Správa identít a prístupu pre platformu SAP“, https://learn.microsoft.com/en-us/azure/cloud-adoption-framework/scenarios/sap/eslz-identity-and-access-management
8. Pomocník SAP, “Identity Provisioning API”, https://help.sap.com/docs/cloud-identity-services/cloud-identity-services/identity-provisioning-api
9. SAP Help, „Pripojenie a správa účtov“, https://help.sap.com/docs/cloud-identity-services/cloud-identity-services/onboarding-and-provisioning
10. Pomocník SAP, „Vytvorenie používateľov a skupín v Identity Directory“, https://help.sap.com/docs/cloud-identity-services/cloud-identity-services/user-and-group-creation-in-identity-directory
11. Obrázok: imgix na Unsplash, https://unsplash.com/photos/server-racks-in-data-center-klWUhr-wPJ8; licencia: https://unsplash.com/license

Podmienky údržby a licencií závisia aj od zmluvy. Skôr než na nich postavíte záväzný plán projektu, overte si príslušnú poznámku SAP a konkrétne podmienky priamo so spoločnosťou SAP.