Verzeichnisdienst

Was ist ein Verzeichnisdienst?

Ein Verzeichnisdienst ist eine zentrale Datenbank, die Identitäten, Gruppen, Geräte und deren Attribute speichert und Anwendungen für Authentifizierung und Autorisierung bereitstellt. Active Directory, Microsoft Entra ID, das Google-Workspace-Verzeichnis, Okta Universal Directory und jeder LDAP-Server sind Verzeichnisdienste. Es ist das System, das beantwortet, wer in der Organisation existiert.

So funktioniert ein Verzeichnisdienst

• Objekte wie Benutzer, Gruppen und Geräte werden mit Attributen wie Abteilung, Führungskraft und Stellenbezeichnung abgelegt.
• Anwendungen fragen das Verzeichnis über LDAP, SCIM oder eine Hersteller-API ab.
• Die Gruppenzugehörigkeit steuert die Autorisierung, was die übliche Umsetzung rollenbasierter Zugriffskontrolle darstellt.
• Die Attribute stammen meist aus dem HR-System, womit HR zur vorgelagerten Quelle der Wahrheit wird.
• Änderungen gelangen über Synchronisation oder SCIM-Provisionierung in die angebundenen Anwendungen.

Zu wissen wer existiert ist nicht zu wissen worauf zugegriffen wird

Ein Verzeichnis beantwortet, wer hier arbeitet und welchen Gruppen jemand angehört. Es beantwortet nicht, welche Anwendungen diese Personen tatsächlich nutzen, welche davon das Unternehmen bezahlt, und welche nie daran angebunden wurden. In einem Bestand von 100 oder mehr SaaS-Tools liegt genau im Abstand zwischen diesen beiden Fragen die Lizenzverschwendung, liegen die verwaisten Konten und die Auditfeststellungen.

Beispiele und Anwendungsfälle

Ein IT-Leiter exportiert vor einem ISO-27001-Audit das Verzeichnis und findet 214 aktive Konten bei 198 Mitarbeitenden. Die 16 überzähligen entpuppen sich als Dienstkonten, externe Dienstleister und zwei nie vollständig abgeschlossene Austritte. Das Verzeichnis hat das in Minuten sichtbar gemacht. Was es nicht zeigen konnte, waren die 40 Anwendungen, auf die dieselben Personen mit lokalen Zugangsdaten zugriffen, aufgedeckt erst durch eine Discovery über Ausgabendaten und OAuth-Berechtigungen. Diese zweite Ebene über dem Verzeichnis deckt Corma ab.

Verwandte Begriffe

• Identity- und Access-Management-Plattform
• Benutzer-Provisioning
• Automatisiertes On- und Offboarding für HR-Teams

FAQ

Worin unterscheiden sich ein Verzeichnisdienst und ein Identitätsanbieter?

Das Verzeichnis speichert die Identitäten. Der Identitätsanbieter authentifiziert sie und stellt Tokens für Anwendungen aus. Moderne Produkte wie Entra ID und Okta leisten beides zugleich.

Ist LDAP ein Verzeichnisdienst?

LDAP ist das Protokoll zur Abfrage eines Verzeichnisses, nicht das Verzeichnis selbst. OpenLDAP und Active Directory sind Verzeichnisdienste, die LDAP sprechen.

Kann ein Unternehmen mehrere Verzeichnisse betreiben?

Ja, und die meisten tun es. Ein üblicher Aufbau kombiniert Active Directory vor Ort, Entra ID oder Google Workspace in der Cloud, und separate Benutzerbestände in einzelnen SaaS-Anwendungen.

Verwaltet ein Verzeichnisdienst SaaS-Lizenzen?

Nein. Er verwaltet Identitäten und Gruppen. Diese Identitäten mit bezahlten Plätzen, tatsächlicher Nutzung und Verlängerungsterminen abzugleichen ist Aufgabe des SaaS-Managements, nicht des Verzeichnisses.

Demo anfragen