An Automatisierung kommt man in der Identitätsverwaltung heute kaum noch vorbei. Vor allem größere Microsoft-365- und Azure-Tenants brauchen strukturierte Prozesse für Joiner, Mover und Leaver. In vielen Umgebungen, die ich begleite, nehmen die Lifecycle Workflows aus Entra ID Governance den Administratoren inzwischen spürbar Arbeit ab. Das gilt allerdings nur, wenn die Voraussetzungen stimmen und die Abläufe realistisch geplant sind.

Lifecycle Workflows koppeln HR-Ereignisse an automatische Aktionen

Seit 2023 fragen Kunden immer häufiger nach dieser Funktion. Sie verknüpft die wichtigsten Stationen im Arbeitsleben eines Mitarbeitenden, also Eintritt, Wechsel und Austritt, automatisch mit passenden Aktionen. Grundlage sind Attribute wie employeeHireDate und employeeLeaveDateTime, die entweder per Provisioning aus einem externen HR-System kommen oder über Microsoft Graph gepflegt werden. Ihre Stärke spielen Lifecycle Workflows dadurch aus, dass sich mehrere Workflows über Scope-Regeln gezielt steuern und jeweils mit eigenen Tasks bestücken lassen. Die Standardaufgaben reichen vom Versand eines Temporary Access Pass an den Manager (mehr dazu im Beitrag Temporary Access Pass) über das Hinzufügen zu Gruppen oder Teams bis zum Entzug von Lizenzen, zum Entfernen aus Gruppen und zum Deaktivieren oder Löschen des Benutzers. Eigene Aktionen bindet man über Logic Apps als Task Extension ein. Eine vollständige Liste der verfügbaren Aufgaben enthält die Microsoft-Dokumentation unter Lifecycle Workflow Tasks.

Attributbasierte Trigger starten Standardaufgaben und Custom Extensions

Die Automatisierung startet über Trigger, die sich an Attributwerten orientieren, etwa „drei Tage vor employeeHireDate“ für einen Joiner-Workflow oder „am Tag von employeeLeaveDateTime“ für einen Leaver-Prozess. Das funktioniert nur, wenn die HR-Daten zuverlässig ankommen, und genau diesen Punkt unterschätzen viele Projekte. Danach wählt man die Aufgaben im Detail aus. Manche Organisationen setzen auf den Temporary Access Pass für eine sichere Erstauthentifizierung, anderen geht es vor allem darum, Gruppenmitgliedschaften oder Lizenzen automatisch zu pflegen. Für Sonderfälle und Abläufe, die sich mit Bordmitteln nicht abbilden lassen, ergänzt man Custom Task Extensions per Logic App. Das lohnt sich besonders, wenn externe Systeme benachrichtigt oder aufwendigere Abläufe orchestriert werden sollen.

Gerade beim Austritt merkt man, wie wichtig eine saubere Trennung und eine lückenlose Nachverfolgung sind. In vielen Tenants finden sich verwaiste Konten, vergessene Gruppenmitgliedschaften oder Lizenzen, die ohne Grund weiterlaufen. Mit Aufgaben wie „Disable User“, „Remove from all groups“, „Remove all licenses“ und „Delete User“ bringen Lifecycle Workflows hier Ordnung hinein.

flowchart TD
  HRDaten["HR-Datenpflege"] --> WorkflowTrigger["Workflow-Trigger"]
  WorkflowTrigger --> Aufgaben["Standardaufgaben"]
  WorkflowTrigger --> CustomTasks["Custom Task Extension"]
  Aufgaben --> KontoAktion["Kontoaktionen"]
  Aufgaben --> GruppenAktion["Gruppen/Lizenzen"]
  CustomTasks --> Extern["Externe Systeme"]
  KontoAktion --> Audit["Run History/Audit"]
  GruppenAktion --> Audit
  Extern --> Audit

Abbildung: So greifen HR-Daten, Trigger, Aufgaben und Audit-Trail bei Lifecycle Workflows ineinander.

Jeder verwaltete Benutzer braucht eine Entra-ID-Governance-Lizenz

Lifecycle Workflows gehören zur Entra-ID-Governance-Lizenz. Sie muss jedem Benutzer zugewiesen sein, der direkt über Workflows verwaltet wird. Über Scope-Regeln lässt sich ein Workflow sehr genau auf bestimmte Personengruppen oder Attribute eingrenzen, was in komplexen Umgebungen mit unterschiedlichen Benutzertypen unverzichtbar ist. Die integrierte Historie und das Audit-Log machen jede Aktion nachvollziehbar. Welchen Wert das für Compliance und interne Kontrollen hat, wird oft unterschätzt. Wer tiefer in das Zusammenspiel von Attributen und Workflows einsteigen möchte, findet unter Attribut-Sync in Lifecycle Workflows hilfreiche Hinweise.

Mit einem einfachen PowerShell-Befehl lassen sich die Attributwerte schnell prüfen:

Get-MgUser -Filter "employeeLeaveDateTime ne null" | Select-Object DisplayName, employeeLeaveDateTime

Mein Tipp aus der Praxis: Zuerst dafür sorgen, dass HR-Attribute wie employeeHireDate und employeeLeaveDateTime sauber und zuverlässig ankommen, und erst danach mit der Automatisierung beginnen. Fehler in der Datenquelle lösen sonst unerwartete Trigger aus und reißen Lücken in den Ablauf.

Der Leaver-Prozess eignet sich am besten für den Einstieg

In Projekten erlebe ich oft, dass man zunächst alle Joiner-, Mover- und Leaver-Prozesse auf einmal automatisieren will. Besser fährt man aber fast immer, wenn man mit dem Leaver-Prozess anfängt. Dort macht sich der Nutzen am schnellsten bemerkbar, denn die Risiken sinken, Lizenzen und Ressourcen werden frei, und man lernt rasch, wie sich die Workflows verhalten. Anschließend nimmt man sich nach und nach die übrigen Prozesse vor, etwa interne Wechsel oder Neueintritte, und lässt die Erfahrungen aus der Leaver-Automatisierung einfließen. Die meisten Fehlerquellen und Stolpersteine zeigen sich ohnehin erst, wenn echte Daten und Abläufe auf die Workflows treffen.

Diese Aufgaben haben sich im Alltag besonders bewährt:

  • Gruppenmitgliedschaften und Lizenzen beim Austritt entfernen
  • Konten automatisch sperren und löschen
  • Temporary Access Pass für die sichere Erstanmeldung versenden
  • Custom Tasks flexibel ins Onboarding einbinden (z. B. Hardware-Provisionierung)

Lifecycle Workflows lohnen sich, wenn man sie mit Augenmaß einführt

Ein Selbstläufer sind Lifecycle Workflows in Microsoft Entra ID nicht, wohl aber ein sehr nützliches Werkzeug, sofern die Grundlagen stimmen. Wer automatisieren will, sollte wissen, dass die technische Umsetzung meist schneller gelingt als die organisatorische. Ohne saubere Prozesse und gepflegte HR-Daten wird selbst der beste Workflow zur Fehlerquelle. Vielen Unternehmen bringt die Leaver-Automatisierung am schnellsten einen spürbaren Nutzen, deshalb eignet sie sich gut als Einstieg. Mit den flexiblen Custom Tasks und der einfachen Nachverfolgung heben sich Lifecycle Workflows deutlich von klassischen Identity-Lösungen ab. Tipps für sichere Onboarding-Prozesse gibt es im Artikel Temporary Access Pass: Passwortloses Onboarding.