Support & Automatisierung

User Provisioning

Allgemeine Infos

User Provisioning bezeichnet die automatisierte Anlage, Pflege und Entfernung von Benutzerkonten und Rollen in Verzeichnissen und Anwendungen. Microsoft Entra ID unterscheidet zwei Richtungen: Inbound Provisioning holt Identitäten aus einem HR-System (z. B. Workday, SAP SuccessFactors oder über API-driven Inbound Provisioning aus beliebigen Quellen wie CSV oder SQL) in Entra ID bzw. Active Directory. Outbound oder App Provisioning überträgt Konten aus Entra ID in SaaS-Anwendungen und lokale Apps.

Für das App Provisioning ist SCIM (System for Cross-domain Identity Management, IETF RFC 7643 und 7644) der verbreitete Standard. Viele SaaS-Anwendungen bieten einen fertigen Entra-Provisioning-Connector, eigene Anwendungen können einen SCIM-Endpunkt bereitstellen.

Abgrenzung: IT-Onboarding ist der gesamte Eintrittsprozess, User Provisioning der technische Teil der Kontobereitstellung. Gruppenbasierte Lizenzierung ergänzt das Provisioning, indem Lizenzen über Gruppenmitgliedschaft folgen.

Funktionsweise & Details

Der Entra-Provisioning-Dienst arbeitet zyklisch:

  1. Konfiguration: Connector zur Zielanwendung, Attributzuordnungen (z. B. Abteilung, Kostenstelle) und Bereichsfilter, welche Benutzer oder Gruppen übertragen werden.
  2. Initialer Zyklus: Abgleich aller Objekte im Bereich zwischen Quelle und Ziel, Speichern eines Wasserzeichens.
  3. Inkrementelle Zyklen: Nur Änderungen seit dem letzten Lauf werden übertragen, ermittelt per Delta-Abfrage in Microsoft Graph.
  4. Deprovisioning: Verlässt ein Benutzer den Bereich oder wird deaktiviert, deaktiviert oder löscht der Dienst das Konto im Ziel.
  5. Protokolle: Provisioning-Logs zeigen jede Aktion und jeden Fehler.

API-driven Inbound Provisioning nimmt SCIM-Bulk-Anfragen über Microsoft Graph entgegen, z. B. aus einem PowerShell-Skript oder einer Logic App, die einen HR-Export verarbeitet.

Vorteile & Nutzen

  • Konten entstehen und verschwinden zuverlässig mit dem HR-Status, verwaiste Konten in SaaS-Anwendungen werden vermieden
  • Attribute wie Abteilung und Führungskraft bleiben in allen Systemen konsistent
  • Manuelle Kontoanlage in jeder Anwendung entfällt, das spart Zeit und Tippfehler
  • Provisioning-Logs dokumentieren, wann wer welches Konto erhalten oder verloren hat

Praxisbeispiel

Ein Hersteller von Kunststoffteilen mit 250 Mitarbeitenden pflegt Personaldaten in einem deutschen HR-System ohne fertigen Entra-Connector. Ein nächtliches PowerShell-Skript liest den CSV-Export und sendet die Änderungen per API-driven Inbound Provisioning an Entra ID, das die Konten im lokalen AD anlegt. Für das CRM und das Schulungsportal nutzt die IT die vorhandenen SCIM-Connectors. Neue Mitarbeitende haben am ersten Tag alle Konten, Austritte werden in allen Systemen deaktiviert.

Worauf sollte man achten?

  • Die führende Quelle eindeutig festlegen (meist HR), sonst überschreiben sich Systeme gegenseitig
  • Bereichsfilter und Attributzuordnungen zuerst mit einer Testgruppe prüfen, ein falscher Filter kann massenhaft Konten deaktivieren
  • Bei API-driven Inbound Provisioning gilt ein Tageslimit für API-Aufrufe (2.000 mit Entra ID P1/P2, 6.000 mit ID Governance), Bulk-Anfragen mit bis zu 50 Operationen bündeln
  • Provisioning-Fehler überwachen, ein gestoppter Zyklus fällt sonst erst beim nächsten Eintritt auf

Lizenz & Verfügbarkeit

Automatisches Provisioning von Benutzern in SaaS-Apps ist laut Microsoft auch in Entra ID Free enthalten, Gruppen-Provisioning und Provisioning in lokale Anwendungen erfordern Entra ID P1/P2. API-driven Inbound Provisioning ist mit Entra ID P1, P2 und ID Governance verfügbar. Lifecycle Workflows erfordern Microsoft Entra ID Governance oder Microsoft Entra Suite. Stand: Oktober 2026.

Fazit

User Provisioning ist die technische Grundlage für sauberes Identitätsmanagement. Lege HR als führende Quelle fest und nutze SCIM-Connectors, wo die Anwendung sie anbietet.

Weiterführende Links

Verwandte Artikel