AD und Entra ID anbinden: SSO, Gruppen und Offboarding

Versions- und Quellenstand: Qlik Cloud (SaaS), 23.10.2026. Kein festes Qlik-Sense-Client-Managed-Release. Cloudoberfläche und Funktionsumfang können sich auch bei kleineren Updates ändern; regionale Rollouts, Subscription und Tenantkonfiguration vor Umsetzung prüfen. Installierte Gateway-/Connectorversionen separat protokollieren. Redaktionell gegen Herstellerhilfe geprüft, nicht im Kundentenant ausgeführt.

Namensbeispiel lesen: VERTRIEB-ENTWICKLUNG-APPS bedeutet Fachbereich Vertrieb → Entwicklungsumgebung → Analyse-Apps. Entsprechend steht VERTRIEB-PRODUKTION-APPS für freigegebene produktive Apps. Die Namen sind frei gewählte Beispiele; sie erzeugen keine Berechtigungen. Verwende in Skripten und im Register exakt den Namen eures tatsächlich angelegten Bereichs.

Erst verstehen: Anmeldung ist noch keine Berechtigung

Active Directory (AD) ist das lokale Identitätsverzeichnis; Microsoft Entra ID ist in diesem Referenzmodell der Cloud-Identitätsanbieter. SSO sorgt dafür, dass sich eine Person über diesen Anbieter anmeldet. SAML ist hier das gewählte Protokoll, mit dem die Identitätsinformationen an Qlik übergeben werden. SCIM ist ein eigener Weg, um Benutzer und Gruppen bereitzustellen und ihren Lebenszyklus zu verwalten. Ein Claim ist eine übermittelte Identitätseigenschaft, etwa die E-Mail-Adresse oder eine Gruppenzuordnung.

Die Kette lautet in unserem Beispiel: lokale AD-Identität → betreute Synchronisierung nach Entra → SAML-Anmeldung an Qlik → geprüfte Gruppenzuordnung → Space-Rolle → gegebenenfalls Section Access innerhalb der App. Kein Pfeil ersetzt den nächsten. SCIM läuft daneben als Provisionierungsweg; es ist nicht der Transport des eigentlichen Login-SAML-Tokens.

Eine Gruppe mit dem Namen „Qlik Vertrieb“ ist erst eine Menge von Identitäten. Sie wird nicht durch ihren Namen zur Qlik-Rolle. Wir müssen prüfen, welche Gruppenkennung Qlik tatsächlich erhält, und diese Gruppe anschließend im richtigen Bereich mit der richtigen Rolle verbinden.

Gruppenplan für den Beispiel-Tenant

Die folgenden Namen sind unsere Konvention. Die tatsächlichen Claim-Werte und Objekt-IDs werden aus dem Tenant ermittelt. Diese Tabelle wird vor der Einrichtung von IAM und Qlik-Betrieb gemeinsam ausgefüllt.

Klartextberechtigung kommt als gesonderte, zweckgebundene Entscheidung hinzu. Eine Aufnahme in VIEW darf nicht stillschweigend zu dieser Sonderfreigabe führen. Ebenso wird eine Entra-Gruppenverschachtelung nicht als sicher funktionierende Qlik-Zuordnung angenommen: direkte Pilotmitgliedschaft und tatsächlich empfangene Gruppen zuerst nachweisen.

Arbeitsblatt für die SAML-Konfiguration

Keinen Beispielwert erfinden, um einen Dialog zu vervollständigen. Fehlt eine Information, bleibt der Schritt im Pilot offen. Token und vollständige Assertion werden nicht in die Story, ein öffentliches Ticket oder ein ungeschütztes Prüfprotokoll kopiert. Dokumentiere die Zuordnung, ohne das Authentifizierungsartefakt offenzulegen.

Schritt für Schritt: ein Gruppenwechsel als vollständiger Durchlauf

1. Weise das Pilotkonto ausschließlich der Entwicklungsgruppe zu. Melde es neu an und prüfe, welche Identität und Gruppenzuordnung Qlik kennt. Notiere Zeitpunkt und Herkunft der Kennung.
2. Füge die verifizierte Gruppe in VERTRIEB-ENTWICKLUNG-APPS mit der gewünschten Bearbeitungsrolle hinzu. Das Konto muss die Labor-App ändern können. VERTRIEB-PRODUKTION-APPS soll dadurch nicht zugänglich werden.
3. Entferne die Entwicklung-Mitgliedschaft an der maßgeblichen Quelle und nimm das Konto in die Consumer-Gruppe auf. Bei SCIM prüfe zusätzlich den Provisionierungslauf und eventuelle Fehler. Dokumentiere, ob die Gruppen aus dem IdP oder einer anderen unterstützten Verwaltung stammen.
4. Wiederhole Anmeldung und Zugriffsprüfung mit frischem Kontext. Prüfe Entwicklung und Produktion getrennt sowie einen direkten App-Link. Öffentliche Sammlungen sind kein Ersatz für diesen Test.
5. Falls Entwicklung weiterhin erreichbar ist, untersuche Direktzuweisungen, zweite Gruppen, Eigentum und Sitzung vor jeder weiteren Rechtevergabe. Ein Gruppenentzug entfernt keine unabhängig vorhandene Direktfreigabe.
6. Wiederhole den Fall als Austritt und kontrolliere zusätzlich Tokens, Reload-Eigentum und im Script geladene Section-Access-Berechtigungen. Lege eine gemessene Entzugsfrist je Teilweg fest; nicht pauschal „SCIM ist sofort“ schreiben.

Ergebnis: eine Zuordnungstabelle von Quellgruppe, empfangenem Claim, Qlik-Gruppe, Bereich und Rolle sowie ein dokumentierter Wechseltest. Mit diesem Arbeitsblatt gehst du in die folgenden SAML-/SCIM-Einrichtungsschritte.

Die drei Aufgaben auseinanderhalten

Lokales Active Directory ist nicht automatisch ein direkt angebundener Qlik-Cloud-Verzeichnisdienst. Bei diesem Muster synchronisiert die zuständige Identitätsplattform geeignete AD-Identitäten nach Microsoft Entra ID. Entra übernimmt SSO; SCIM übernimmt separat den Lebenszyklus von Nutzern und Gruppen. Die AD-Synchronisation selbst bleibt ein Microsoft-/IAM-Projekt und wird hier nicht durch einen vermeintlichen Qlik-LDAP-Dialog ersetzt.

Vorbereitung: berechtigte Tenant- und Entra-Administratoren, zwei Testnutzer, geplante Gruppen, abgesicherter Wiederzugang und ein dokumentiertes Wartungsfenster. SSO und Provisionierung nicht gleichzeitig tenantweit umstellen.

Schritt für Schritt: SAML als konkreter SSO-Weg

1. Im Tenant Originalhostname und bestehende IdP-Konfiguration notieren. Einen erreichbaren Recovery-Weg gemäß Qlik-Hilfe sichern. Eine offene Adminsession allein ist kein getesteter Wiederzugang.
2. In Entra eine Enterprise Application für die Qlik-SAML-Anmeldung erstellen. Entity ID und Reply URL aus der aktuellen Qlik-Anleitung mit dem eigenen Originaltenant übernehmen. Die Reply URL verwendet den dort beschriebenen /login/saml-Pfad; keine Werte eines Screenshots kopieren.
3. Name, E-Mail und Gruppenclaims passend definieren. Für Gruppen eine stabile, eindeutige Zuordnung planen. Objekt-ID, Anzeigename und tatsächlich empfangener Claim sind nicht automatisch identisch. Nur die Pilotnutzer und Pilotgruppen zuweisen.
4. In Qlik Administration → Identity provider → Create new den SAML-Weg für Microsoft Entra ID wählen. Die Entra-Metadaten importieren und Claims zuordnen. Erst die Zertifikats- und Signaturkonfiguration aus der aktuellen Anleitung vollständig abschließen, dann validieren und aktivieren.
5. Mit einem frischen privaten Browserkontext die zwei Testnutzer anmelden. In den empfangenen Profildaten Subject, E-Mail und Gruppen prüfen; keine Token in Tickets veröffentlichen. Einen nicht zugewiesenen Nutzer als Negativtest verwenden. Die Aktivierung kann den bisherigen interaktiven IdP deaktivieren: den Wechsel ausdrücklich freigeben.

Schritt für Schritt: Provisionierung separat ergänzen

6. Die Qlik-Voraussetzungen für SCIM prüfen. Die verlinkte Entra-Anleitung nennt unter anderem Entra P1 oder höher und getrennte Anwendungen für die vorgesehenen Aufgaben. Lizenz und Tenantfunktion vor dem Rollout bestätigen.
7. SCIM auf Qlik-Seite vorbereiten; die dort ausgegebenen Endpoint-/Tokenwerte im Entra-Provisionierungsdialog eintragen. Das Token im Secret-Verfahren ablegen und rotieren. Erst mit einer kleinen Zuweisung einen On-demand-Provisionierungstest fahren.
8. Create, Gruppenänderung und Deaktivierung einzeln testen. Ein erfolgreicher SSO-Login beweist keine erfolgreiche SCIM-Synchronisation. Provisionierungsprotokoll und Qlik-Mitgliedschaft nebeneinander prüfen.
9. Eine Person aus der Quellgruppe entfernen. Nach dem dokumentierten Synchronisationslauf neue Anmeldung, Space-Zugriff, bestehende Sessions, Section-Access-Reload und persönliche API-Schlüssel prüfen. Die maximale Entzugszeit aus den tatsächlich gemessenen Teilzeiten bestimmen.
10. Connection- und Reload-Eigentum vor dem endgültigen Offboarding übertragen beziehungsweise kontrolliert neu erstellen. Ausschalten des menschlichen Kontos darf keinen unsichtbaren Produktionsausfall verursachen.

Testmatrix

Offizielle Bildschirmbeispiele und Video

Quelle: Qlik Help, externe Originalabbildung zur SAML-Anleitung. Sie zeigt einen Beispielstand, nicht diesen Tenant. Screenshots können nach Cloud-Updates anders aussehen.

Das verlinkte Qlik-Help-YouTube-Video von 2021 erklärt einen älteren Azure-AD-Weg. Es dient der Orientierung, nicht als aktuelle SAML-/SCIM-Klickfolge. Für neue Einrichtung gilt die oben verlinkte aktuelle Hilfe. Weiter mit Spaces und Sammlungen.

Quellen, Hilfe und Lernmaterial

• Qlik: Microsoft Entra ID / SAML
• Qlik: Entra ID SCIM
• Qlik: Custom and IdP groups
• Qlik Help / YouTube: Azure AD IdP (2021)
• Qlik: What is new / staged rollouts

Bei Videos hat die aktuelle schriftliche Hilfe Vorrang. Externe Medien werden vom jeweiligen Anbieter bereitgestellt.