Ausgangslage
Ein führendes Versicherungsunternehmen mit über 2.000 Mitarbeitern betrieb Oracle E-Business Suite (EBS) als zentrales ERP-System für Finanzbuchhaltung, Schadenmanagement und Policenverwaltung. Parallel nutzte das Unternehmen Microsoft Active Directory (AD) für die Verwaltung aller Benutzerkonten und Zugriffsrechte.
Das Problem: Zwei getrennte Identitätswelten.
- Mitarbeiter mussten sich zweimal anmelden — einmal am Windows-Arbeitsplatz (AD), einmal in Oracle EBS mit separaten Credentials
- Passwort-Resets für Oracle EBS waren der häufigste Helpdesk-Ticket-Typ (23 % aller Tickets)
- Provisioning war manuell: Wenn ein neuer Mitarbeiter startete, musste die IT Oracle-Benutzer separat anlegen, Rollen zuweisen und Zugriffsrechte konfigurieren — Durchlaufzeit: 2-3 Tage
- Deprovisioning war riskant: Bei Austritt wurde der AD-Account sofort deaktiviert, aber Oracle-Zugänge blieben oft tage- oder wochenlang aktiv — ein Compliance-Risiko
- Keine zentrale Audit-Spur über Benutzeraktivitäten über beide Systeme hinweg
Herausforderung
Die Integration musste mehrere Anforderungen gleichzeitig erfüllen:
- SSO: Ein Login für alles — Windows-Anmeldung öffnet automatisch Oracle EBS
- Automatisches Provisioning: Neuer AD-Benutzer → automatisch Oracle-Benutzer mit korrekten Rollen
- Automatisches Deprovisioning: AD-Account deaktiviert → Oracle-Zugang sofort gesperrt
- Rollenbasierte Zugriffskontrolle (RBAC): AD-Gruppen steuern Oracle EBS-Responsibilities
- Audit-Trail: Jede Anmeldung, jede Rollenänderung lückenlos protokolliert
- Zero Downtime: Die Integration durfte den laufenden Oracle EBS-Betrieb nicht unterbrechen
Lösung
Architektur
Wir implementierten eine dreischichtige Integrationsarchitektur:
1. Identity Bridge (Oracle Access Manager)
- Oracle Access Manager (OAM) als zentrale Authentifizierungsschicht
- Kerberos-basiertes SSO: Windows-Anmeldung wird als Oracle-Authentifizierung durchgereicht
- Fallback auf formularbasierte Anmeldung für externe Zugriffe (VPN)
2. Directory Synchronisation (Oracle Internet Directory)
- Oracle Internet Directory (OID) synchronisiert Benutzer und Gruppen aus Active Directory
- Bidirektionaler Sync alle 15 Minuten
- Mapping-Regeln: AD-Gruppen → Oracle EBS Responsibilities (z. B. „FIN-Accounting-DE” → „General Ledger User”)
3. Lifecycle Automation
- Automatische Benutzererstellung in Oracle EBS bei AD-Account-Anlage
- Automatische Rollenzuweisung basierend auf AD-Gruppenmitgliedschaft
- Sofortige Sperrung bei AD-Account-Deaktivierung (Event-basiert, nicht Batch)
- Self-Service-Passwort-Reset über AD-Portal — Oracle-Passwort entfällt komplett
Migrationsansatz
Die Migration erfolgte in drei Phasen ohne Betriebsunterbrechung:
- Parallelbetrieb (4 Wochen): Beide Anmeldemethoden aktiv, SSO optional
- Soft Cutover (2 Wochen): SSO als Standard, Legacy-Login noch möglich
- Hard Cutover: Legacy-Login deaktiviert, nur noch SSO
Ergebnisse
| Metrik | Vorher | Nachher |
|---|---|---|
| Anmeldevorgänge pro Tag | 2 (AD + Oracle) | 1 (nur AD) |
| Passwort-Reset-Tickets | 23 % aller Tickets | 0 % (kein Oracle-Passwort mehr) |
| Provisioning-Zeit | 2-3 Tage | Automatisch (Minuten) |
| Deprovisioning-Zeit | 1-5 Tage | Sofort (Event-basiert) |
| Compliance-Befunde (Audit) | 3-4 pro Jahr | 0 seit Einführung |
| Helpdesk-Volumen | Baseline | −18 % |
Lessons Learned
1. Rollen-Mapping ist die eigentliche Komplexität
Die technische SSO-Integration dauerte 3 Wochen. Das Mapping von 120 AD-Gruppen auf 85 Oracle EBS Responsibilities — inklusive Konsolidierung, Bereinigung und Genehmigung durch die Fachbereiche — dauerte 8 Wochen.
2. Event-basiertes Deprovisioning ist Pflicht
Batch-basiertes Deprovisioning (einmal täglich) ist in regulierten Branchen nicht ausreichend. Wir implementierten Event-basiertes Deprovisioning: AD-Deaktivierung löst sofortige Oracle-Sperrung aus.
3. Self-Service reduziert Helpdesk-Last dramatisch
Die Eliminierung des separaten Oracle-Passworts war ein unerwarteter Quick Win: 23 % weniger Helpdesk-Tickets, ohne dass die Benutzer etwas aktiv tun mussten.