SAP Identity Management (IdM) è una soluzione per la gestione delle identità degli utenti e dei diritti di accesso all’interno di environment SAP.

Con l’annuncio della fine del suo ciclo di vita da parte di SAP, le organizzazioni che utilizzano SAP IdM saranno costrette a pianificare la transizione verso soluzioni IAM/IAG differenti. 

Quali sono i punti da tenere conto in questo passaggio, quali sono le alternative, ne vediamo una (One Identity Manager by Quest) in una serie di tre articoli sull'argomento.

Qual è lo scenario a cui occorre prepararsi?

La manutenzione per SAP IdM terminerà nel 2027 e, con l'avvicinarsi della fine di questo periodo transitorio, ogni azienda che utilizza la piattaforma dovrà inevitabilmente affrontare la sua sostituzione.

Le aziende devono quindi scegliere attentamente un prodotto IdM alternativo con caratteristiche simili, preparare un piano di migrazione e implementarne le varie fasi.

È vero che, come estremo piano di emergenza, le aziende potranno accordarsi per una estensione di supporto fino al 2030, ma, come risulta ovvio, questa opzione non può essere considerata come una soluzione strutturale: trattasi semplicemente di temporaneo workaround ad un costo aggiuntivo inoltre.

Le sfide di una migrazione Identity

Perché se sei in questa situazione dovresti pensare a piani di migrazione fin da subito? Un progetto di migrazione, può essere molto complesso considerata la vasta gamma di aree aziendali che trasversalmente impatta. 

Nei casi più complessi, potrebbe essere necessario un periodo di almeno 24/36 mesi per la preparazione e l’effettiva migrazione.

Il completamento delle attività, inoltre, dovrebbe opportunamente esser stimato 6 mesi prima della dismissione definitiva di SAP IdM (data del 31 dicembre 2027). 

Ecco quali macro attività dovrebbe contenere un piano di migrazione:

1. Valutazione e Pianificazione
   • Inventario dell'ambiente attuale (documentare tutti gli account utente, i ruoli e i diritti di accesso gestiti allo stato di partenza)
   • Analisi del “delta” ovvero identificare le differenze fra le funzionalità disponibili di SAP IdM e della eventuale piattaforma scelta
   • Piano di transizione ovvero sviluppare un piano di migrazione dettagliato, che includa tempi, allocazione delle risorse e strategie di mitigazione dei rischi
     
     
2. Installazione e Configurazione
   • Requisiti di sistema. Assicurarsi che l'infrastruttura soddisfi i requisiti di sistema per la nuova piattaforma secondo le direttive del nuovo vendor.
   • Installazione. Ovvero seguire le reference ufficiali per configurare i componenti “core” come database, server applicativi, presentation layer, e così via
   • Configurazione: configurare il sistema in ogni componente (es: schedulazioni, trigger, notifiche, workflow e policy di sicurezza)
     
     
3. Migrazione dei dati
   • Estrazione. Export degli account utente, ruoli e diritti di accesso
   • Trasformazione. Eventuale manipolazione dei dati estratti per adattarli allo schema e ai requisiti della nuova piattaforma
   • Caricamento. Garantendo la loro integrità e coerenza
     
     
4. Integrazione con i sistemi SAP
   • Configurazione: preparazione del connettore nella nuova piattaforma per abilitare la movimentazione dei dati in base a regole di mapping
   • Provisioning e deprovisioning: configurare flussi di lavoro automatizzati per gestire le identità in tutta la loro life cycle
     
     
5. Test e validazione

1. • Test funzionale, ovvero testare tutte le funzionalità ed i workflow definiti nella fase precedente

   • Test di conformità. Assicurarsi che le politiche di SoD e i requisiti di conformità siano correttamente applicate

   • User Acceptance Testing: condurre l'UAT per validare il sistema con utenti finali e stakeholder

Quali le opzioni proposte da SAP?

La proposta di SAP non prevede al momento una unica soluzione per la gestione delle identità aziendali a tutto tondo. Infatti, esistono diversi servizi cloud che coprono il ciclo di vita delle utenze. Tra questi i seguenti:

• SAP IAS Identity Authentication Service e SAP IPS Identity Provisioning Service più in generale "SAP Cloud Identity Services" 
• SAP IAG Identity Access Governance. Che, a dispetto del nome, non risulta essere un sistema sostituto del SAP Identity Management. Infatti è la versione cloud del SAP GRC Access Control

Microsoft Entra può essere una valida alternativa?

All'inizio del 2024, SAP ha anche annunciato una partnership strategica con Microsoft per accelerare la transizione dei clienti dalla gestione on-premise di SAP IdM verso Microsoft Entra ID.

Questa collaborazione sembra promuovere Microsoft Entra ID come uno dei migliori candidati per sostituire SAP IdM.

Nonostante il potenziale di questa iniziativa, molte lecite perplessità rimangono riguardo l’integrazione e la “readiness” di Entra ID.

È anche importante notare che, in generale, le funzionalità di Entra ID non hanno ancora raggiunto lo stesso livello di maturità di una piattaforma IdM/IGA.

Entra ID, infatti, offre framework di provisioning di base e supporto per nuove API cloud, ma manca dell’ampio range di features disponibili negli ambienti on-premise di SAP.

6 fattori chiave per una scelta

Dopo le considerazioni fatte è lecito valutare tutte le possibili alternative in aggiunta a quelle suggerite da SAP.

Non troverai qui la soluzione che sia applica magicamente al tuo contesto aziendale. Come accennato in precedenza, è cruciale condurre una valutazione dettagliata delle esigenze specifiche prima di poter prendere una decisione finale.

One Identity Manager può essere una valida alternativa?

Confrontando i requisiti appena elencati con l'offerta dei principali vendor leader nell'ecosistema IAM/IGA, la risposta è certamente sì.

One Identity Manager è uno dei principali fornitori in questo campo grazie alla sua ben consolidata presenza sul mercato ed al supporto certificato per soluzioni SAP.

Il connettore SAP di One Identity Manager supporta:

1. SAP ECC ed S/4HANA
2. SAP Human Capital Management (HCM)
3. SAP Business Intelligence (BI)
4. SAP GRC Access Control (tramite chiamate ai web services)
5. Applicazioni cloud SAP (tramite la soluzione One Login Cloud)

Considera le integrazioni sopra sono incluse nella licenza standard del prodotto.
La piattaforma ha poi raggiunto una nota fama per la sua completezza in ambito IAM/IGA sia nella sua componente on-premise sia nell’offerta in SaaS (One Login).

Nei prossimi due articoli della serie:

• Overview di quale sia l’esperienza di utilizzo di One Identity
• Alcune sue feature che facilitano la governance e la compliance in SAP (ma non solamente)
  
  

Approfondisci le tecnologie Quest e competenze Itway su:

• Cyber Security e Resiliency
• Itway