LF 8 · Daten systemübergreifend · 27/42 · 65 Min. angesetzt – Langform, jedes Wort zählt
Berechtigung über Systeme
Ein Konto in System A ist kein Recht in System B, solange niemand die Abbildung pflegt. Systemübergreifend heißt: dieselbe Person, dieselben Maschinen, verschiedene Akten, verschiedene Tokens, oft verschiedene Chefs. Wer „die sind doch alle in der Domäne“ sagt und damit das ERP, den Shop und das Leitsystem meint, hat eine Hoffnung auf SSO und keine Matrix. Dieses Kapitel bleibt bei der Berechtigung über die Grenze – nachdem führendes System und Format stehen. Sonst verteilst du Rechte auf Müll.
Autorisierung folgt auf Authentifizierung, auch über Systeme. Erst beweisen, wer da ist, dann entscheiden, was offen ist. Über die Grenze kommen drei klassische Brüche: das technische Konto, das alles darf, weil die Schnittstelle „sonst so kompliziert“ wird; das Personal-Konto, das in A gepflegt und in B nie gesperrt wird; die Gruppe, die in A „Lager“ heißt und in B plötzlich Buchung und Storno enthält. Offboarding über Systeme ist der Härtetest. Deaktiviert in der Domäne, lebendig im Shop, lebendig in der VPN-Appliance des Dienstleisters – das ist ein Befund, kein Randfall.
Abbildung, die jemand besitzt
Abbildung der Identität
Welcher Schlüssel in A entspricht welchem Konto in B. Personalnummer, UPN, Mail, eine bewusst vergebene ID. Anzeigename ist keiner. Wechselt die Mail, darf die ID nicht sterben. Ohne Abbildungspflege ist SSO ein Gerücht mit freundlicher Anmeldung.
Least Privilege über die Grenze
Die Schnittstelle bekommt das Recht, das der Job braucht, nicht den Tenant-Admin. Lesen der Kundenstammdaten ist nicht Schreiben der Preise. Ein Integrationskonto mit Domain-Admin ist Bequemlichkeit und später ein Gutachten.
Technisches Konto
Konto für den Job, nicht für den Menschen. Eigenes Secret, eigenes Protokoll, eigener Owner. Kein Alltags-Admin, der „schnell den Import nochmal anstößt“ unter seinem Namen und dann Urlaub macht.
Berechtigung über Systeme
Rolle in A mappt auf Rolle in B, schriftlich, versioniert, mit Review. Nicht: Gruppe per Skript nachts spiegeln und hoffen, die Namen blieben gleich. Entitlements, die nur in B existieren, brauchen einen Owner in B – die Domäne kann sie nicht kennen.
SSO und Federation lösen die Anmeldung, nicht automatisch die Autorisierung. Ein gültiges Token sagt: diese Identität ist bewiesen. Ob sie in diesem System Aufträge stornieren darf, steht in diesem System oder in einem bewusst geführten Verzeichnis der Rechte. Wer das vermischt, öffnet jedes neue Tool mit denselben Gruppen und wundert sich über den Praktikanten im Zahlungsverkehr. MFA gehört an die menschlichen Konten, die über die Grenze administrieren. An das technische Konto gehört ein Secret-Store und Rotation, nicht eine Datei import.env im Git.
- Identitätsschlüssel festlegen, der Umbenennung überlebt.
- Pro System Rollen schreiben, nicht Personen.
- Mapping A→B mit Owner, Review, Datum.
- Joiner: Konto in A, Abbildung, Rolle in B, Nachweis.
- Leaver: Sperre in allen Akten derselben Kette, Sitzungen kappen, Secrets ziehen. Deaktivieren vor Löschen.
- Schnittstellenkonto: eigenes Recht, eigenes Protokoll, kein Menschenalltag.
- Nicht: ein Shared-Login „Schnittstelle“ für ERP und Shop und den Praktikanten.
- Nicht: Rechte in B aus dem Bauch, weil A schon „passt“.
- Nicht: Personenbezug in den Trace der Schnittstelle ohne Zweck und Löschregel.
- Doch: Matrix, Least Privilege, Offboarding-Kette, Change bei neuer Rolle (LF 6).
# Idee, nicht das eine Produkt # A: Personalnummer 4711, UPN max.mustermann@firma.example # B: extId=4711, Rolle lager-lesen # Leaver: A sperren -> Job setzt B inaktiv -> Token widerrufen
Nachweis ist Teil der Berechtigung. Ohne Protokoll, wer wann welches Recht über die Grenze bekommen hat, existiert der Schutz für Audit und Kammer nicht. Das gilt für Menschen und für Jobs. Eine Woche Lernzeit an LF 8 heißt: die drei Kapitel langsam, dazu eine Matrix Entität/führendes System auf Papier, ein Feldkatalog mit Umlaut-Beispiel, eine Rollenabbildung A→B mit Leaver-Fall. Wer nach fünf Sätzen denkt, LF 8 sei erledigt, hat das Lernfeld mit einem Poster verwechselt.
Prüfung