Planen om at lukke det lokale Active Directory og kun bruge Entra ID tager tid at gennemføre, og i mellemtiden lever begge miljøer. Det er i den periode, en penetrationstest skal planlægges med omtanke. Microsofts vejledning om vejen fra Active Directory til Entra ID beskriver overgangen som en række trin, hvor brugere og grupper, programmer og enheder hver især kan flytte i deres eget tempo. Svaret på, hvornår og hvordan I tester, hviler derfor på at vide, hvad der faktisk er tilbage i det lokale miljø, og hvad der er flyttet med.
Overgangen er ikke ét skifte
Microsoft beskriver fem trin: fra et lokalt katalog med en cloudidentitet tilknyttet, over en hybrid opsætning og et stadie, hvor nye brugere, grupper, programmer og enheder oprettes i skyen som standard, til et stadie, hvor det lokale katalog er reduceret til undtagelser, og til sidst et miljø uden lokalt katalog. På tværs af trinene bevæger tre spor sig uafhængigt af hinanden: brugere og grupper, programmer og enheder.
For testen betyder det, at “hvor langt er vi?” ikke har ét svar. Brugerne kan være flyttet, mens enhederne stadig er meldt ind i domænet, og et gammelt fagsystem stadig spørger det lokale katalog om gruppemedlemskaber. Den stabile hybride opsætning, hvor begge miljøer er tænkt at leve videre, er beskrevet for sig. → Hybrid identitet
Det, der bliver tilbage
Når brugerne arbejder i skyen, kan det lokale katalog se lille ud. Men det, der bliver tilbage, er netop de dele, ingen har nået at flytte:
- Servere og fagsystemer · programmer, der bruger det lokale katalog til login eller til at slå grupper op.
- Printere og scannere · udstyr, der gemmer filer på en lokal server med en konto i domænet.
- Tjenestekonti · konti, der kører opgaver og integrationer, og som ingen har ansvaret for at flytte. → Tjenestekonti
- Gruppepolitikker · regler, der stadig gælder for de maskiner, der er meldt ind.
- Filservere · delte mapper, der venter på at blive flyttet eller lukket.
Sammen kan de udgøre et mindre, men dårligere passet miljø. Opmærksomheden flytter med brugerne til skyen, mens administratorkonti, domænecontrollere og gamle rettigheder i det lokale katalog stadig findes.
Konti og rettigheder, der flytter med
Udfasningen flytter ikke kun konti. Den flytter også beslutninger om, hvem der styrer hvad. Microsoft beskriver fx, at kilden til en gruppe kan flyttes fra det lokale katalog til Entra ID, så gruppen derefter administreres i skyen. Hvis et lokalt program stadig har brug for gruppen, kan den sendes tilbage til det lokale katalog fra skyen.
Det er praktisk, men det ændrer, hvem der kan give adgang. Før kunne en administrator i det lokale katalog ændre medlemskabet. Nu er det en rolle i Entra ID. Testen skal derfor se på, hvem der har de roller, og om en gruppe, der giver adgang til et lokalt system, kan ændres af flere, end I regner med. → Administrative roller i Entra ID
Det modsatte gælder også. Konti og gruppemedlemskaber, der blev oprettet lokalt for år tilbage, kan være synkroniseret til skyen og have rettigheder dér, som ingen har set på siden. → Inaktive konti og gamle computere i kataloget
Hvornår testen skal ligge
Der er ikke ét rigtigt tidspunkt, men tre tidspunkter giver hver sit svar:
- Før de store skridt · en test af det lokale katalog og forbindelsen til skyen giver et billede af, hvad der skal ryddes op, før det flyttes. Svagheder, der flyttes med, er sværere at finde bagefter.
- Når et spor er flyttet · fx når enhederne er flyttet til administration fra skyen. Testen kan vise, om de gamle adgangsveje er lukket, og om de nye regler holder. → Entra ID-test
- Før det sidste lukkes · en afgrænset test af det, der er tilbage, kan bekræfte, at intet afhænger af det lokale katalog på en måde, I ikke kender.
Undgå at lægge en bred test af det lokale miljø lige før en del lukkes. Så bruges testtiden på noget, der forsvinder, i stedet for på det, der bliver. Planlægger I flere test i løbet af overgangen, så brug det samme udgangspunkt hver gang, fx en almindelig medarbejders konto, så resultaterne kan sammenlignes, og I kan se, om overgangen har gjort miljøet stærkere.
Det, testeren skal vide
Testeren kan kun afprøve overgangen, hvis billedet af den er beskrevet:
- Status pr. spor · hvor langt brugere og grupper, programmer og enheder hver især er nået.
- Tilbageværende afhængigheder · listen over systemer, der stadig bruger det lokale katalog.
- Flyttede grupper · hvilke grupper der nu styres fra skyen og sendes tilbage til det lokale katalog.
- Synkroniseringen · hvilke servere og konti der står for den, og om det ændrer sig undervejs. → Synkroniseringsserveren som testområde
Når det sidste skal lukkes
At lukke det lokale katalog er en oprydning i sig selv. Synkroniseringskonti, tillid til andre domæner, konti på servere og gemte adgangsoplysninger i scripts skal fjernes eller flyttes. Brug testens fund som tjekliste, og bekræft, at de konti og forbindelser, der gav fund, faktisk er væk. → Oprydning i Active Directory efter testen
Tænk også på det, der flytter med væk fra det lokale miljø. Logningen fra domænecontrollerne forsvinder, når de slukkes, og overvågningen skal være på plads i skyen, før det sker. Nødadgang, der i dag bygger på en lokal administratorkonto, skal erstattes af en løsning, der virker uden det lokale katalog. Og den viden, der ligger hos de få, der kender det gamle miljø, skal skrives ned, mens de stadig er der. → Nødadgangskonti
Det skal I lade være med
- At antage, at det lokale katalog er uden betydning, fordi brugerne er flyttet.
- At flytte gamle grupper og rettigheder uden at rydde op først.
- At glemme tjenestekonti og udstyr, der stadig logger på lokalt.
- At teste noget, der lukkes i næste måned, i stedet for det, der bliver.
- At lade overgangen stå i årevis uden en plan. Et halvt flyttet miljø har svaghederne fra begge sider.
Hvad kan og ikke kan konkluderes
En test i overgangen viser, hvordan begge miljøer og forbindelsen mellem dem stod i testperioden. Den kan ikke sige noget om et senere trin, og resultatet forældes, når et spor flytter. En test efter udfasningen kan bekræfte, at de kendte afhængigheder er væk. Den kan ikke garantere, at intet glemt system stadig forventer det lokale katalog.
Tjekliste til udfasningen
- ☐ Er status beskrevet for brugere og grupper, programmer og enheder?
- ☐ Findes der en liste over tilbageværende afhængigheder?
- ☐ Ved I, hvilke grupper der nu styres fra skyen?
- ☐ Er det besluttet, på hvilket trin testen skal ligge?
- ☐ Er tjenestekonti og udstyr med i planen?
- ☐ Er der en plan for at bekræfte oprydningen, når det lokale katalog lukkes?
Kilder
- Microsoft Learn: Road to the cloud, introduction to moving identity and access management from AD to Microsoft Entra ID: de fem trin og de tre spor, der kan flytte uafhængigt.
- Microsoft Learn: Embrace cloud-first posture and convert Group Source of Authority (SOA) to the cloud: flytning af gruppers kilde til Entra ID og levering af grupper tilbage til det lokale katalog.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler til IT-afdelingen
Læs også: Tillid mellem domæner · Administrerede enheder i Intune
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
