Planung einer Lebenszyklus-Workflow-Implementierung

Lebenszyklus-Workflows unterstützen Ihre Organisation durch mehr Automatisierung bei der Verwaltung von Microsoft Entra-Benutzern. Lebenszyklus-Workflows ermöglichen Folgendes:

• Erweitern Ihres personalbasierten Bereitstellungsprozesses mit anderen Workflows, die Aufgaben vereinfachen und automatisieren
• Zentralisieren Ihres Workflowprozess, um mühelos Workflows an einem zentralen Ort erstellen und verwalten zu können
• Behandeln von Problemen in Workflowszenarien mit minimalem Aufwand mithilfe von Workflowverlauf und Überwachungsprotokollen
• Verwalten des Benutzerlebenszyklus im großen Stil. Mit zunehmender Größer Ihrer Organisation sinkt die Notwendigkeit weiterer Ressourcen zum Verwalten von Benutzerlebenszyklen.
• Reduzieren oder entfernen Sie manuelle Aufgaben, die in der Vergangenheit mit automatisierten Lifecycle-Workflows durchgeführt wurden.
• Wenden Sie Logik-Apps an, um Workflows für komplexere Szenarien mithilfe Ihrer vorhandenen Logik-Apps zu erweitern.

Lebenszyklus-Workflows sind eine Microsoft Entra ID Governance-Funktionalität. Die anderen Funktionen sind Berechtigungsverwaltung, Zugriffsüberprüfungen, Privileged Identity Management (PIM) und Nutzungsbedingungen. Zusammen unterstützen sie Sie bei der Beantwortung der folgenden Fragen:

• Welche Benutzer sollen Zugriff auf welche Ressourcen haben?
• Wozu nutzen diese Benutzer den Zugriff?
• Gibt es eine effektive organisatorische Kontrolle zum Verwalten des Zugriffs?
• Können Prüfer feststellen, ob die Kontrollen funktionieren?
• Sind Benutzer gleich am ersten Tag einsatzbereit oder wird der Zugriff zeitnah entfernt?

Die Planung Ihrer Lebenszyklus-Workflowbereitstellung ist von entscheidender Bedeutung, um sicherzustellen, dass Sie die gewünschte Governancestrategie für Benutzer in Ihrer Organisation erfolgreich umsetzen.

Weitere Informationen zu Bereitstellungsplänen finden Sie unter Microsoft Entra-Bereitstellungspläne.

Lizenzanforderungen

Für die Verwendung dieses Features sind Microsoft Entra ID Governance- oder Microsoft Entra Suite-Lizenzen erforderlich. Die richtige Lizenz für Ihre Anforderungen finden Sie unter Microsoft Entra ID Governance-Lizenzierungsgrundlagen.

Planen Sie das Projekt zur Bereitstellung des Lebenszyklus-Workflows

Berücksichtigen Sie die Anforderungen Ihrer Organisation, um die Strategie für die Bereitstellung von Lebenszyklus-Workflows in Ihrer Umgebung festzulegen.

Einbeziehen der richtigen Beteiligten

Fehler in Technologieprojekten sind in der Regel auf nicht erfüllte Erwartungen auf den Gebieten Auswirkungen, Ergebnisse und Zuständigkeiten zurückzuführen. Um diese Fallstricke zu vermeiden, stellen Sie sicher, dass Sie die richtigen Beteiligten hinzuziehen und dass die Projektrollen klar sind.

An Lebenszyklus-Workflows können Mitglieder der folgenden Teams aus Ihrer Organisation beteiligt sein:

• Die IT-Administration verwaltet Ihre IT-Infrastruktur, Cloudinvestitionen und SaaS-Apps (Software as a Service). Dieses Team:

  • Überprüft Lebenszyklusworkflows für Infrastruktur und Apps, einschließlich Microsoft 365 und Microsoft Entra ID.
  • Planen und Ausführen von Lebenszyklus-Workflows für Benutzer
  • Sicherstellen, dass programmgesteuerte Lebenszyklus-Workflows (über GRAPH oder Erweiterbarkeit) gesteuert und überprüft werden

• Sicherheitsbesitzer: Stellt sicher, dass der Plan die Sicherheitsanforderungen Ihrer Organisation erfüllt. Dieses Team:

  • Sicherstellen, dass Lebenszyklusworkflows den Sicherheitsrichtlinien der Organisation entsprechen

• Compliance-Manager: Stellt sicher, dass die Organisation die internen Richtlinien und Vorschriften einhält. Dieses Team:

  • Anfordert oder plant neue Lebenszyklus-Workflow-Überprüfungen
  • Das Bewerten von Prozessen und Verfahren zur Überprüfung von Lebenszyklus-Workflows, einschließlich Dokumentation und Aufzeichnung für Zwecke der Einhaltung von Vorschriften.
  • Überprüfen der Ergebnisse früherer Überprüfungen für die wichtigsten Ressourcen

• HR-Mitarbeiter: Unterstützt die Attributzuordnung und -auffüllung in HR-Bereitstellungsszenarien. Dieses Team:

  • Hilft bei der Bestimmung der Attribute, die verwendet werden, um „employeeHireDate“ und „employeeLeaveDateTime“ zu füllen.
  • Sicherstellen, dass Quellattribute aufgefüllt werden und über Werte verfügen
  • Identifizieren und Vorschlagen alternativer Attribute, die „employeeHireDate“ und „employeeLeaveDateTime“ zugeordnet werden können

• Entwicklungsteams erstellen und verwalten Anwendungen für Ihre Organisation. Dieses Team:

  • Entwickeln benutzerdefinierter Workflows mithilfe von GRAPH
  • Die Integration von Lebenszyklus-Workflows in Logik-Apps erfolgt über Erweiterbarkeit.

Kommunikationsplanung

Kommunikation ist ein entscheidender Faktor für den Erfolg jedes Geschäftsprozesses. Kommunizieren Sie Benutzern, wie und wann sich ihre Benutzererfahrung ändert. Teilen Sie Ihren Benutzern mit, wie sie Unterstützung erhalten, wenn Probleme auftreten.

Kommunizieren von Änderungen bei der Zuständigkeit

Lebenszyklus-Workflows unterstützen die Verlagerung der Verantwortung für manuelle Prozesse auf Geschäftsinhaber. Schaffen Sie einen klaren Prozess und Verständnis für die Verantwortlichkeiten jedes einzelnen Teams. Durch die Entkopplung dieser Prozesse von der IT-Abteilung werden Genauigkeit und Automatisierung verbessert. Diese Umstellung stellt eine kulturelle Veränderung bei der Verantwortlichkeit und Zuständigkeit des Ressourcenbesitzers dar. Kommunizieren Sie eine solche Änderung proaktiv, und stellen Sie sicher, dass die Ressourcenbesitzer geschult werden und die Erkenntnisse umsetzen können, um gute Entscheidungen zu treffen.

Einführung in Lebenszyklus-Workflows

In diesem Abschnitt werden Konzepte von Lebenszyklus-Workflows erläutert, mit denen Sie vor der Planung Ihrer Bereitstellung vertraut sein sollten.

Voraussetzungen für die Bereitstellung von Lebenszyklus-Workflows

Im Folgenden finden Sie wichtige Informationen zu Ihrer Organisation und zu den Technologien, die vor der Bereitstellung von Lifecycle-Workflows vorhanden sein müssen. Stellen Sie sicher, dass Sie jeden der Punkte mit „Ja“ beantworten können, bevor Sie versuchen, Lebenszyklus-Workflows bereitzustellen.

Grundlegendes zu den Komponenten eines Workflows

Bevor Sie mit der Planung einer Lebenszyklus-Workflowbereitstellung beginnen, sollten Sie sich mit den Komponenten des Workflows sowie mit der Terminologie im Zusammenhang mit Lebenszyklus-Workflows vertraut machen.

Im Dokument Grundlegendes zu Lebenszyklus-Workflows werden die Komponenten eines Workflows anhand des Portals erläutert. Im Dokument API-Referenz zu Lebenszyklus-Workflows für Entwickler*innen werden die Komponenten eines Workflows anhand eines Graph-Beispiels erläutert.

Sie können dieses Dokument verwenden, um sich vor der Bereitstellung mit den Komponenten des Workflows vertraut zu machen.

Einschränkungen und Beschränkungen

Die folgende Tabelle enthält Informationen, die beim Erstellen und Bereitstellen von Lebenszyklus-Workflows berücksichtigt werden müssen:

Beachten Sie die folgenden zusätzlichen Informationen.

• Sie können den Zeitplan für das Echtzeit-Leaver- und Mover-Szenario nicht aktivieren. Es handelt sich hierbei um ein beabsichtigtes Verhalten.

Prüfliste für die Erstellung von Lebenszyklus-Workflows

Die folgende Tabelle enthält eine kurze Prüfliste mit Schritten, die Sie beim Entwerfen und Planen Ihrer Workflows verwenden können:

Bestimmen Sie Ihr Szenario

Bevor Sie im Portal einen Lebenszyklus-Workflow erstellen, müssen Sie bestimmen, welches Szenario oder welche Szenarien Sie bereitstellen möchten. Die folgende Tabelle enthält eine aktuelle Liste der verfügbaren Szenarien. Diese basieren auf den Vorlagen, die im Portal verfügbar sind, und listen jeweils die zugehörigen Aufgaben auf.

Änderungen der Gruppenmitgliedschaft von Mitarbeitern

• Änderung des Stellenprofils von Mitarbeitern

Weitere Informationen zu den integrierten Vorlagen finden Sie unter Vorlagen für Lebenszyklus-Workflows.

Bestimmen der Ausführungsbedingungen

Nach der Bestimmung Ihrer Szenarien müssen Sie sich ansehen, für welche Benutzer in Ihrer Organisation die Szenarien gelten.

Eine Ausführungsbedingung ist der Teil eines Workflows, der den Umfang dessen, wer und wann ein Workflow ausgeführt wird, sowie den Auslöser definiert.

Der Umfang bestimmt, für wen der Workflow ausgeführt wird. Dies wird durch eine Regel definiert, die Benutzer basierend auf einer Bedingung filtert. Bei der Regel "rule": "(department eq 'sales')" wird die Aufgabe beispielsweise nur für Benutzer ausgeführt, die Mitglieder der Vertriebsabteilung sind.

Der Auslöser bestimmt, wann der Workflow ausgeführt wird. Die Ausführung kann entweder bei Bedarf (also sofort) oder nach einem Zeitplan erfolgen. Die meisten vordefinierten Vorlagen im Portal werden basierend auf einem Zeitplan ausgeführt, wenn der jeweilige Trigger ausgelöst wird.

Attributinformationen

Der Anwendungsbereich eines Workflows nutzt Attribute im Regelabschnitt. Sie können die folgenden zusätzlichen Bedingungen hinzufügen, um noch präziser zu steuern, auf wen die Aufgaben angewendet werden:

• Und
• Und nicht
• oder
• Oder nicht

Außerdem können Sie aus den zahlreichen Benutzerattributen wählen.

Bevor Sie allerdings ein Attribut auswählen, das in Ihrer Ausführungsbedingung verwendet werden soll, müssen Sie sich vergewissern, dass das Attribut mit Daten aufgefüllt ist oder Sie es mit den erforderlichen Daten auffüllen können.

Nicht alle diese Attribute werden standardmäßig aufgefüllt. Überprüfen Sie dies daher gemeinsam mit Ihrem Personaladministrator oder mit Ihren IT-Administratoren, wenn Sie nur die cloudbasierte eingehende Personalbereitstellung, Microsoft Entra Connect oder die Cloudsynchronisierung verwenden.

Zeitinformationen

Hier finden Sie einige wichtige Informationen zu Zeitzonen, die beim Entwerfen von Workflows zu beachten sind.

• Workday und SAP SF senden Zeitangaben immer in koordinierter Weltzeit (UTC).
• Wenn Sie sich in einer einzelnen Zeitzone befinden, empfiehlt es sich, den Zeitteil an etwas festzucodieren, das für Sie funktioniert. Ein Beispiel wäre 5 Uhr für Neueinstellungen und 22 Uhr für letzte Arbeitstage.
• Es wird empfohlen, bei der Verwendung des temporären Zugriffscodes (TAP) die maximale Lebensdauer auf 24 Stunden zu beschränken. Dadurch wird sichergestellt, dass der TAP nicht abgelaufen ist, nachdem er an einen Mitarbeiter gesendet wurde, der sich unter Umständen in einer anderen Zeitzone befindet. Weitere Informationen finden Sie unter Konfigurieren des befristeten Zugriffspasses in Microsoft Entra ID für die Registrierung von kennwortlosen Authentifizierungsmethoden.

Weitere Informationen finden Sie unter Synchronisieren von Attributen für Lebenszyklus-Workflows.

Überprüfen der Aufgaben

Nachdem Sie nun das Szenario und die Wer und wann bestimmt haben, sollten Sie überlegen, ob die vordefinierten Aufgaben ausreichend sind oder ob Sie zusätzliche Aufgaben benötigen. Die folgende Tabelle enthält eine Liste der vordefinierten Aufgaben, die derzeit im Portal verfügbar sind. Verwenden Sie diese Tabelle, um zu entscheiden, ob Sie weitere Aufgaben hinzufügen möchten:

Weitere Informationen zu Aufgaben finden Sie unter Lebenszyklus-Workflow-Aufgaben.

Gruppen- und Teamaufgaben

Wenn Sie eine Gruppen- oder Teamaufgabe verwenden, müssen Sie für den Workflow die Gruppe bzw. die Gruppen angeben. Im folgenden Screenshot ist die Aufgabe, für die Informationen fehlen, mit einem gelben Dreieck gekennzeichnet.

Wenn Sie die Aufgabe auswählen, wird eine Navigationsleiste zum Hinzufügen oder Entfernen von Gruppen angezeigt. Wählen Sie den Link „x Gruppen ausgewählt“ aus, um Gruppen hinzuzufügen.

Benutzerdefinierte Aufgabenerweiterungen

Lebenszyklus-Workflows ermöglichen das Erstellen von Workflows, die auf der Grundlage von Szenarien vom Typ „Einsteiger“, „Wechsler“ oder „Ausscheider“ ausgelöst werden können. Lebenszyklus-Workflows bieten zwar mehrere integrierte Aufgaben für die Automatisierung gängiger Szenarien im gesamten Lebenszyklus von Benutzern, irgendwann stoßen Sie jedoch möglicherweise an die Grenzen dieser integrierten Aufgaben. Mit dem Erweiterbarkeitsfeature können Sie das Konzept benutzerdefinierter Aufgabenerweiterungen nutzen, um externe Systeme im Rahmen eines Lebenszyklus-Workflows aufzurufen.

Bei der Erstellung benutzerdefinierter Aufgabenerweiterungen gibt es drei mögliche Szenarien für die Interaktion mit Lebenszyklus-Workflows:

• Fire-and-Forget-Szenario (Auslösen und Vergessen): Die Logik-App wird gestartet, und die sequenzielle Aufgabenausführung wird umgehend fortgesetzt, ohne auf eine Antwort der Logik-App zu warten.
• Sequenzielle Aufgabenausführung mit Warten auf eine Antwort der Logik-App: Die Logik-App wird gestartet, und die sequenzielle Aufgabenausführung wartet auf die Antwort der Logik-App.
• Sequenzielle Aufgabenausführung mit Warten auf die Antwort eines Drittanbietersystems: Die Logik-App wird gestartet, und die sequenzielle Aufgabenausführung wartet auf die Antwort eines Drittanbietersystems, die veranlasst, dass die Logik-App an die benutzerdefinierte Aufgabenerweiterung meldet, ob die Ausführung erfolgreich war.
• Weitere Informationen zu benutzerdefinierten Erweiterungen finden Sie unter Erweiterbarkeit des Lebenszyklus-Workflows.

Erstellen Ihres Workflows

Nachdem Sie Ihren Workflow entworfen und geplant haben, können Sie ihn im Portal erstellen. Ausführliche Informationen zum Erstellen eines Workflows finden Sie unter Erstellen eines Lebenszyklus-Workflows.

Planen eines Pilotprojekts

Wir empfehlen Kunden, Lebenszyklus-Workflows zunächst mit einer kleinen Gruppe von Benutzern oder mit einem einzelnen Testbenutzer zu testen. Mithilfe von Pilotversuchen können Sie Prozesse und Kommunikation nach Bedarf anpassen. Dadurch können Sie die Fähigkeit von Benutzern und Prüfern erhöhen, Sicherheits- und Complianceanforderungen zu erfüllen.

In Ihrem Pilotprojekt empfehlen wir, dass Sie:

• Beginnen Sie mit Lebenszyklus-Workflows, bei denen die Ergebnisse auf eine kleine Teilmenge von Benutzern angewendet werden.
• Prüfen Sie Überwachungsprotokolle, um sicherzustellen, dass alle Ereignisse ordnungsgemäß überwacht werden.

Weitere Informationen finden Sie unter Bewährte Methoden für einen Pilotversuch.

Testen und Ausführen des Workflows

Nachdem Sie einen Workflow erstellt haben, sollten Sie ihn testen, indem Sie ihn bei Bedarf ausführen.

Mit dem Feature zum Ausführen bei Bedarf können Sie testen und bewerten, ob der Lebenszyklus-Workflow wie beabsichtigt funktioniert.

Nach Abschluss des Tests können Sie entweder den Lebenszyklus-Workflow überarbeiten oder ihn weiter verteilen.

Überwachungsprotokolle

Sie können auch weitere Informationen aus den Überwachungsprotokollen beziehen. Auf diese Protokolle kann im Portal unter „Microsoft Entra ID“ > „Überwachung“ zugegriffen werden. Weitere Informationen finden Sie unter Überwachungsprotokolle in Microsoft Entra ID sowie unter Lebenszyklus-Workflowverlauf (Vorschau).

Beispielplan für einen Lebenszyklus-Workflow

Nächste Schritte

Erfahren Sie mehr über die folgenden verwandten Technologien:

• Synchronisieren von Attributen für Lebenszyklus-Workflows
• Grundlegendes zu Lebenszyklus-Workflows
• Vorlagen für Lebenszyklus-Workflows