Identitet & katalog – navet som allt hänger på¶

Byter man inte navet byter man i praktiken ingenting – varje nytt system kopplas ändå till Entra.

Detta kapitel förklarar varför identitet och katalog måste tas på allvar – och varför »byt Office« inte räcker.

Vad navet håller ihop¶

I en typisk organisation är Entra ID (tidigare Azure AD) och lokala Active Directory navet för:

Windows-inloggning på varje dator (domänanslutning, Windows Hello).
Microsoft 365 och Teams (licenser, grupper, delning).
Intune och enhetsidentitet (compliance, Autopilot).
Villkorad åtkomst (Conditional Access): »bara hanterade enheter från Sverige med MFA får nå systemet«.
MFA via Microsoft Authenticator.
SSO till verksamhetssystem via OIDC/SAML (ärendesystem, HR, ekonomi, e-tjänster) – ofta konfigurerat mot Entra specifikt.
VPN och nätverksåtkomst (RADIUS/NPS, Entra-integrerade brandväggar).
Azure-resurser och API:er (Graph API används av integrationer, e-postutskick, kalenderbokning).
PKI och certifikat (AD Certificate Services för maskin- och användarcertifikat).
Grupprinciper (GPO) för konfiguration och säkerhetsinställningar.

Konsekvens: varje nytt system som köps kopplas till Entra – beroendet växer av sig självt. Byter man inte navet byter man i praktiken ingenting; man lägger bara till nya kopplingar till samma nav.

Risk: Entra är en molntjänst under amerikansk jurisdiktion. Om kontot/tenanten stängs (sanktioner, felaktig flaggning, tvist) slutar inloggning fungera överallt samtidigt. Lokala AD har inte den risken men bär samma låsning.

Så byggs ett eget nav – mönstret från openDesk¶

Målarkitekturen för ett eget identitetsnav är exakt det mönster som Tyskland valt i openDesk (ZenDiS) och Schleswig-Holstein. Allt kopplas hit: e-post, filer, chatt, verksamhetssystem, VPN, Linux- och Windows-klienter. Öppen källkod hela vägen, driftad hos svensk leverantör eller i egen hall.

Katalog¶

Univention UCS eller Nubus (OpenLDAP + Univention Directory Manager), Bremen, AGPL. Nubus är samma IAM-kärna paketerad för Kubernetes. UCS 5.2-6 (juni 2026), Nubus 1.18 (mars 2026). Referenser: openDesk, Bundespolizei, Hannover, Köln, Kassel, Schleswig-Holsteins nya katalogtjänst (Dataport). Alternativ: Samba AD DC direkt (mindre domäner) eller FreeIPA (Linux-miljöer, Red Hat/IBM).

Windows-domän under övergången¶

Samba AD DC (GPLv3, version 4.24 mars 2026) serverar domän, Kerberos och GPO till kvarvarande Windows-klienter. Kända begränsningar: ingen inbyggd Sysvol-replikering (rsync/osync), trusts experimentella, GPO-redigering kräver Windows RSAT.

IdP/SSO¶

Keycloak (OIDC/SAML/SCIM, Apache 2.0, CNCF incubating, kvartalsreleaser; 26.7 juli 2026 med SCIM-API och passkeys). Alternativ: Zitadel (CAOS AG, Schweiz, AGPL) – obs amerikanskt riskkapital.

MFA¶

privacyIDEA (NetKnights, Kassel, AGPL) som central MFA-server; FIDO2-nycklar från Yubico (Yubico AB, Stockholm, Nasdaq Stockholm) eller Nitrokey (Teltow, öppen hårdvara); TOTP-appar (FreeOTP, Aegis). För medborgare/medarbetare i Sverige: Freja eID+ och BankID via Keycloak-federation.

PKI¶

EJBCA (utvecklat i Stockholm av PrimeKey, numera Keyfactor, USA – öppen LGPL-utgåva) eller OpenXPKI (Tyskland, Apache 2.0). step-ca (Smallstep, USA, Apache 2.0) för ACME internt.

Enheter¶

opsi (uib GmbH, Mainz, AGPL) för PC-utrullning/patchning; Relution (MWAY, Stuttgart) för mobil-MDM; Ansible för konfiguration.

Provisionering¶

SCIM från katalogen till alla tjänster; Univention Integration Catalog (100+ kopplingar, juli 2026).

Svagaste länken: villkorad åtkomst¶

Villkorad åtkomst (Conditional Access) saknar 1:1-motsvarighet. Keycloak har step-up-autentisering, organisationer och policyer, men ingen direkt motsvarighet till Entra Conditional Access. Det kompenseras med enhetskontroll (opsi/Relution), nätverkspolicy (OPNsense/WireGuard) och riskbaserade regler i Keycloak – inte lika bekvämt, men fullt möjligt.

Bevisat i drift¶

openDesk (ZenDiS): Nubus + Keycloak + OpenLDAP hos Bundeswehr/BWI (7-årigt ramavtal apr 2025), Robert Koch-institutet, ICC och tyska förbundsmyndigheter.
Schleswig-Holstein: ny katalogtjänst på UCS för ~30 000 arbetsplatser (Dataport).
Sunet/SWAMID: federerad inloggning för svenska lärosäten sedan länge (Shibboleth/SimpleSAMLphp).

Komponent för komponent, med kontroll, licens, mognad och fas: Lager 3 – identitet & katalog.

Källor¶

Talarmanuset anger inga särskilda källor för detta kapitel. Komponentuppgifterna (versioner, licenser, ägare) har källhänvisning i bilaga A1, återgiven i Lager 3 – identitet & katalog: samba.org release notes 4.24; docs.opendesk.eu/operations/architecture; univention.com (UCS 5.2-6, Nubus 1.18); keycloak.org 26.7; ejbca.org/license; netknights.it.
De europeiska driftsättningarna (openDesk, Schleswig-Holstein) har källor i kapitel 09.