HOCH automatisiert seine Rollenvergabe mit OpenText IGA

HOCH Health Ostschweiz hat gemeinsam mit IPG sein Identity und Access Management erneuert. Im Mittelpunkt standen die Automatisierung der Rollen- und Rechtevergabe, ein standardisiertes Datenmodell und eine wartbare technische Basis. Eine besondere Aufgabe war die Konsolidierung und Migration von rund 2,5 Millionen Rollenzuweisungen. Heute steuern HR-Informationen einen großen Teil der Berechtigungsvergabe automatisch. Erfahren Sie, wie HOCH und IPG die gewachsene Sonderlogik zurück zum Produktstandard geführt haben.

 Ein IAM-System bleibt selten bei seinem ursprünglichen Zweck: Über die Jahre kommen neue Aufgaben, Prozesse und Systeme hinzu. So auch bei HOCH. Dort war seit 2012 eine Lösung auf Basis der Omada Identity Suite im Einsatz, ursprünglich beschafft für das Management des Active Directory. Aus der zunächst begrenzten Anwendung entwickelte sich eine umfassende IAM-Lösung.

Mit dem Ausbau wuchs die individuelle Logik. Anforderungen der Spitalregionen, insbesondere Mehrfachanstellungen innerhalb eines Instituts, führten zu einem Datenmodell, das vom Produktstandard abwich. Zahlreiche Funktionen und Prozesse entstanden als Custom Code. Das beeinträchtigte Release-Fähigkeit, Performance, Stabilität und Wartbarkeit.

Für die Erneuerung, bei HOCH als Projekt IAM2 geführt, definierte das Departement IT klare Ziele:

• die bestehende Lösung bei erhaltenem Funktionsumfang ablösen
• Rollen und Rechte auf Basis von HR-Informationen weitgehend automatisch vergeben
• manuelle Rollenanträge und Mutationen in Fachbereichen und Kliniken reduzieren
• Standardfunktionen nutzen, um Release-Fähigkeit und Wartbarkeit zu sichern
• Usability und Self Service verbessern
• die Migration für Endanwender:innen störungsarm gestalten

Die Hauptphase bis zum Rollout des Projekts lief über zwei Jahre. Als neue technologische Basis wählte HOCH OpenText Identity Manager und OpenText Identity Governance.

Im neuen Modell ist die Rollen- und Rechtevergabe eng an das HR-System gekoppelt. Aus den dort gepflegten Attributen leitet die Lösung ab, welche Berechtigungen Beschäftigte aufgrund ihrer Funktion benötigen. Das funktioniert für interne wie für externe Accounts.

Die IAM-Plattform stellt die Berechtigungen anschließend für angebundene Systeme bereit, darunter Active Directory, Exchange, SAP, Telefonie und das Klinikinformationssystem. Wo eine technische Integration nicht sinnvoll möglich ist, greifen definierte manuelle Provisioning-Prozesse.

Ein Schwerpunkt des Projekts lag auf der Migration. Rund 2,5 Millionen Rollenzuweisungen mussten aus der bisherigen IAM-Lösung konsolidiert und in die neue Umgebung übertragen werden.

Die Migration betraf dabei nicht nur technische Datensätze. Die Rollenzuweisungen bildeten gewachsene Organisationsstrukturen ab und mussten in das neue Daten- und Rollenmodell überführt werden.

Für diesen Initial Load entwickelten HOCH und IPG ein Framework auf Basis einer Datenbank und Python-Skripten. Damit ließ sich die Migration mehrfach unter vergleichbaren Bedingungen durchführen. Soll-Ist-Vergleiche machten Abweichungen im laufenden Betrieb sichtbar und sicherten die Qualität vor der endgültigen Übernahme.

Mit der neuen Lösung verwaltet HOCH Rollen und Berechtigungen auf einer vereinheitlichten Grundlage. Der Nutzen zeigt sich vor allem im täglichen Betrieb. Für HOCH bedeutet das:

• Weniger manuelle Schritte: HR-Attribute steuern einen größeren Teil der rollenbasierten Vergabe automatisch. Fachbereiche und Kliniken benötigen weniger Rollenanträge und Mutationen.
• Einheitliche Prozesse: Die IAM-Prozesse laufen über die verschiedenen Spezialistenteams hinweg nach denselben Regeln.
• Standardisierte Datenmodelle: Mehrfachanstellungen sind im Produktstandard abgebildet statt in Sonderlogik.
• Bessere Wartbarkeit: Weniger Custom Code erleichtert Wartung und Versionswechsel. Neue Funktionen entstehen möglichst mit den vorhandenen Mitteln der IAM-Software.
• Erweiterbare Basis: Zusätzliche Schnittstellen und Governance-Funktionen lassen sich ergänzen, ohne Sonderlogik fortzuschreiben.

Die Umstellung war für die Anwender:innen nicht in jedem Punkt sofort selbstverständlich. Vor allem die neue Oberfläche galt in den Fachbereichen und Kliniken zunächst als gewöhnungsbedürftig. Mit zunehmender Nutzung zeigte sich, wie viele Abläufe automatisiert ablaufen, und die Akzeptanz nahm zu. Innerhalb der IT kam die neue Plattform von Beginn an gut an.

Nach dem Rollout folgte zunächst die Stabilisierung. Seitdem baut HOCH die Umgebung schrittweise aus. Dazu gehören Schnittstellen zu SAP Cloud, zum Lernmanagementsystem (LMS) und zu Microsoft Entra ID sowie eine Rezertifizierungslösung für Admin-Accounts.

Als nächste Themen stehen PAM und VAM auf der Roadmap. Der Ausbau folgt dem Prinzip der Erneuerung: neue Anforderungen möglichst nah am Produktstandard umsetzen.

Der Wechsel der IAM-Plattform war für HOCH nur ein Teil der Aufgabe. Entscheidend war, ein über Jahre individualisiertes Daten- und Rollenmodell neu zu ordnen.

Mit OpenText Identity Manager und Identity Governance verfügt HOCH über eine Basis, auf der HR-Informationen die Rollen- und Rechtevergabe steuern und Sonderlogik die Ausnahme bleibt.