On- und Offboarding von Mitarbeitern neu gedacht IAM- und HR-Systeme mit Active Directory koppeln

Anbieter zum Thema

Lenovo Global Technology Germany GmbH

Southern Tech GmbH

FirstAttribute AG

Das Onboarding von neuen Benutzern bedeutet in vielen Netzwerken das mehrfache Anlegen von Benutzerkonten in verschiedenen Datenbanken. Das ist kompliziert, aufwändig, unsicher und sehr unflexibel. Es geht aber auch einfacher, der Beitrag zeigt, wie.

Vor allem in mittleren und großen Unternehmen ist das Onboarding von neuen Mitarbeitern oft sehr komplex, weil die neuen Mitarbeiter erst umständlich in verschiedenen Systemen angelegt werden müssen. Dabei spielen auch verschiedene Abteilungen im Unternehmen eine Rolle, meistens die Personalabteilung (HR) und die IT sowie teilweise noch verschiedene Fachabteilungen.

Oft ist es notwendig, die Benutzer im HR-System anzulegen, parallel noch in Active Directory und beim Einsatz einer Cloudlösung auch hier noch. Obwohl es sich um die gleichen Daten, den gleichen Benutzer und die gleichen Anforderungen handelt, müssen mehrere Mitarbeiter im Unternehmen Zeit verschwenden, um Daten mehrfach zu pflegen.

Bildergalerie

Dabei schleichen sich dann oft noch Schreibfehler und andere Probleme ein, die später nur umständlich zu korrigieren sind. Außerdem haben neue Mitarbeiter eine wesentlich längere Wartezeit, bis in allen Systemen die notwendigen Daten eingetragen sind und die Rechte entsprechend funktionieren. Sind an den Benutzerkonten Änderungen notwendig, geht der Vorgang von vorne los und kostet wieder verschiedene Mitarbeiter jede Menge Zeit, da Kontaktdaten und andere Informationen erneut an verschiedenen Stellen mehrfach gepflegt werden müssen.

Nutzen Unternehmen nicht die Synchronisierung zwischen Active Directory und Azure AD, sind auch hier mehrere Aktionen für das Anlegen notwendig. Es geht aber einfacher und besser. Grundlagen sollten ein vernünftiges Identity Access Management-System (IAM) und Active Directory sein. Wir zeigen nachfolgend, was das bringt.

Identity Access Management und Active Directory für einfache Benutzerverwaltung

Mit einem Identity Access Management (IAM) ist es einfacher, zentral Benutzer anzulegen und dabei primär auf eine ideale Datenbasis zu setzen. Active Directory ist hier das ideale Werkzeug. Sind die Benutzerkonten in Active Directory verfügbar, lassen sie sich optimal, sicher und flexibel für alle Anwendungen nutzen, die eine AD-Authentifizierung unterstützten. Hier spielt natürlich auch ein User Lifecycle Management eine wichtige Rolle, das Benutzerkonten von der Erstellung bis zum Löschen oder Archivieren unterstützt.

Ein IAM-System sollte zunächst über eine benutzerfreundliche Oberfläche verfügen, mit der auch Anwender arbeiten können, die nicht mit IT-Lösungen vertraut sind. Ein Beispiel dafür ist das IDM-Portal von Firstware. Ein Vorteil dieses Systems ist, dass nicht eine weitere Datenbank zum Einsatz kommt, sondern das IDM-Portal direkt auf Active Directory setzt. Dabei lassen sich die Aufgaben zum großen Teil auch vollständig automatisieren und mit Skripten optimieren. Die Pflege läuft über ein einfach zu bedienendes Webportal.

Hier können alle wichtigen Informationen eingetragen werden, die für das Onboarding eines Benutzerkontos notwendig sind. Das gilt übrigens auch für andere IAM-Systeme, die eine solch flexible Nutzung ermöglichen. Die HR-Abteilung kann in diesem Fall zum Beispiel über das IAM-System ein Benutzerkonto mit allen notwendigen Daten anlegen. Die IAM-Lösung, in diesem Fall das IDM-Portal speichert anschließend das Konto direkt in Active Directory. Der Vorteil dabei ist, dass der Benutzer gleich mit seiner Arbeit beginnen kann. In der IAM-Lösung sind alle Regeln hinterlegt, in welchen Gruppen ein Benutzer sein soll und welche Rechte er dabei erhält.

Anschließend kann das IAM-System im Hintergrund die Daten mit dem HR-System synchronisieren, damit auch hier die Daten erfasst sind. Dabei findet aber keine manuelle Pflege statt, sondern die Daten werden aus dem AD synchronisiert. Wichtig bei diesem Vorgang ist, dass das notwendige Benutzerkonto ohne komplexe Pflege schnell und unkompliziert zur Verfügung steht.

Nachträgliches Anpassen von Benutzerkonten ist problemlos möglich

Wenn anschließend noch Pflegemaßnahmen bezüglich einzelner Daten notwendig sind, zum Beispiel das Eintragen von Kontaktinformationen oder zusätzlichen Daten, die in einem Active-Directory-Konto hinterlegt werden können, kann das Sekretariat oder auch jede andere Abteilung mit entsprechenden Rechten im IAM-System diese Daten über das Portal direkt in Active Directory pflegen.

Auch hier ist der Benutzer nicht betroffen, er kann problemlos arbeiten, während notwendige Daten an einer zentralen Stelle eingetragen werden. Sind Synchronisierungen notwendig, läuft das im Hintergrund ab. Diese ganzen Vorgänge sparen deutlich Kosten und Zeit ein. Gleichzeitig erhöht sich die Zufriedenheit der Mitarbeiter, da das Anlegen einfacher und schneller geht. Neue Mitarbeiter sind zufriedener, da sie sofort mit ihrer Arbeit beginnen können. Gleichzeitig lassen sich dadurch auch Governance-Richtlinien besser einhalten.

Mitarbeiterdaten nur einmal in Active Directory pflegen

Durch die Möglichkeit, Benutzerdaten nur einmal pflegen zu müssen, ist das Onboarding mit einem IAM-System schneller und fehlerfreier abgeschlossen. Auch das Offboarding läuft schneller und sicherer ab. Doppelte Datenpflege ist nicht mehr notwendig, da alle Daten zentral im Active Directory gespeichert sind und von da auch in andere Dienste, wie zum Beispiel mit dem HR-System synchronisiert werden.

Wenn auch noch Clouddienste wie Microsoft Azure oder Microsoft 365 zum Einsatz kommen, können auch diese über kostenlose Tools von Microsoft direkt aus dem Active Directory synchronisiert werden. Auch hier lassen sich die Daten aus dem IAM-System übernehmen, da diese nicht in einer externen Datenbank gespeichert sind, sondern das Active Directory der zentrale Mittelpunkt aller Benutzerdaten ist. Die primäre Datenpflege erfolgt in diesem Fall direkt über das IAM-System in Active Directory.

HR-Datenbanken mit IAM-Systemen verbinden – SAP HR/HCM

Ein flexibles IAM-System bietet aber nicht nur die Möglichkeit, Daten über das eigene Portal direkt in AD anzulegen und in das HR-System zu synchronisieren. Das HR-System kann sich auch nach dem Anlegen über das IAM-System mit dem AD synchronisieren und die Vorgänge zum Anlegen von neuen Benutzerkonten automatisiert abwickeln. Auch hier ist das IDM-Portal ein gutes Beispiel dafür, wie ein IAM-System flexibel agieren kann und als Datenbasis auf Active Directory setzt.

Beim Einsatz von Systemen wie SAP HR/HCM ist es auch möglich, die Daten mit automatisierter Synchronisierung über das IAM-System mit Active Directory und anschießend zu Azure Active Directory zu synchronisieren. Wenn es IT-relevante Daten gibt, die das HR-System nicht kennt, ist es auch möglich, die Daten nach der Synchronisierung mit Active Directory über das IDM-Portal nachzupflegen. Dabei kann es sich um Berechtigungsgruppen handeln, um Lizenzen oder um Postfächer für Exchange oder Exchange Online in Microsoft 365.

Die nachträgliche Pflege dieser Daten kann wiederum zu Azure AD synchronisiert werden. Das HR-System benötigt diese Daten nicht, daher findet in diese Richtung keine Synchronisierung statt. Wichtig ist nur, dass der Benutzer nur einmal im HR-System angelegt wird und danach die Synchronisierung über das IAM-System mit dem Active Directory erfolgt.

Fazit

Um das Onboarding von neuen Benutzern effektiver, schneller und fehlerunanfälliger durchzuführen, ist ein Identity Access Management ideal – vor allem, wenn Active Directory als Datenbasis zum Einsatz kommt. Die Synchronisierung zum HR-System kann dann entweder durch das Identity Access Management erfolgen, oder das HR-System nutzt das Identity Access Management zum automatisierten Anlegen von Benutzerkonten in Active Directory. Das schafft eine einheitliche Datenbasis und stellt sicher, dass neue Mitarbeiter so schnell wie möglich arbeiten können, die gespeicherten Daten zu den Mitarbeitern in den richtigen Systemen korrekt gespeichert sind und gleichzeitig die Mitarbeiter durch das Anlegen neuer Benutzer nicht unnötig belastet werden.

(ID:48397615)