Hybrides IAM und weltweite PKI für eine NGO mit über 3.500 Benutzerkonten an 20 Standorten

Ausgangslage

Eine internationale Nichtregierungsorganisation arbeitet mit über 3.500 Benutzerkonten an 20 Standorten, lokal in Active Directory und in der Cloud. Sie unterliegt ISO/IEC 27001, dem Schweizer Datenschutzgesetz (DSG) und dem Informationssicherheitsgesetz des Bundes (ISG). Gesucht war ein Identitätsmodell, das alle Standorte abdeckt, Systeme untereinander sicher authentifiziert und Berechtigungen nachvollziehbar macht.

Vorgehen

WCS entwickelte in sieben Monaten das Zielbild und die Konzepte:

• Ein hybrides IAM-Modell mit Entra ID, Active Directory und Entra Connect. Active Directory wurde dafür auf Windows Server 2025 neu aufgebaut.
• Eine weltweit skalierbare PKI (Public Key Infrastructure), die Zertifikate für die Kommunikation und Authentifizierung zwischen Systemen ausstellt.
• Ein fachliches Rollenmodell (Business Roles): Berechtigungen hängen an der Funktion einer Person, und unvereinbare Rollen sind über Funktionstrennung (Segregation of Duties) ausgeschlossen.
• Die Abstimmung aller Konzepte mit ISO/IEC 27001, DSG, ISG und den Empfehlungen des Schweizer Nationalen Zentrums für Cybersicherheit (NCSC).
• Eine Evaluierung von Azure Local, früher Azure Stack HCI, für die dezentralen Rechenzentren der Organisation.

Ergebnis

Die Organisation verfügt über ein dokumentiertes Identitätsmodell für alle 20 Standorte. Benutzer werden an einer Stelle verwaltet, gleich ob sie lokal oder in der Cloud arbeiten. Die PKI-Architektur legt fest, wie Systeme sich gegenseitig ausweisen, und ist auf weitere Standorte ausgelegt.

Das Rollenmodell verbindet Berechtigungen mit fachlichen Funktionen. Wer eine neue Aufgabe übernimmt, erhält die Rechte der Rolle; unvereinbare Kombinationen sind von vornherein ausgeschlossen. Für die dezentralen Rechenzentren liegt mit der Bewertung von Azure Local eine Entscheidungsgrundlage vor.