Migrar desde Active Directory y LDAP sin tiempo de inactividad

Migrar desde Active Directory o LDAP se siente arriesgado por una razón simple: la identidad lo sostiene todo. Cada aplicación, cada inicio de sesión y cada decisión de acceso pasan por ella, así que un corte torpe no solo incomoda a los usuarios — los deja fuera. La manera de migrar sin tiempo de inactividad es evitar el corte por completo y avanzar en su lugar mediante federación y aprovisionamiento.

Por qué falla el corte de golpe

El instinto es elegir una fecha, mover a todos al nuevo sistema y apagar el viejo. En la práctica ese enfoque concentra todo el riesgo en un único momento. Si algo está mal — un grupo omitido, un atributo mal mapeado, una aplicación que nadie recordaba que estaba conectada al directorio viejo — el fallo es total e inmediato, y la vuelta atrás es tan disruptiva como la propia migración.

Una migración sin tiempo de inactividad hace lo contrario. Deja que el directorio viejo siga funcionando mientras el nuevo modelo se levanta a su lado, de modo que ambos coexisten durante la transición y el acceso nunca depende de un único interruptor.

Federa primero, migra de forma gradual

El primer movimiento con Veripass no es reemplazar el directorio — es federar con él. Veripass federa por OIDC con Microsoft Entra ID y Google Workspace y admite SAML y OIDC para la autenticación. Para una organización cuya identidad ya vive en Entra ID, eso significa que los usuarios siguen autenticándose contra su directorio existente mientras Veripass asume la federación entre aplicaciones, la autorización y la auditoría.

Esto desacopla dos cosas que un corte de golpe obliga a juntar: cambiar dónde se autentican los usuarios y cambiar cómo se gobierna el acceso. Con Veripass puedes adoptar primero el nuevo modelo de gobernanza, con el directorio existente todavía autoritativo, y mover la fuente de verdad más tarde — o dejarla donde está.

Deja que SCIM lleve el ciclo de vida

La parte de una migración de directorio que más a menudo sale mal es el ciclo de vida de las cuentas: usuarios que nunca se crearon en el nuevo sistema, o que quedaron habilitados en el viejo. SCIM es la respuesta. Veripass aprovisiona cuentas por SCIM, de modo que la creación, las actualizaciones y el desaprovisionamiento fluyen automáticamente en lugar de reconciliarse a mano.

Durante una migración esto importa doblemente. Mantiene consistente el estado de las cuentas mientras transicionas, y garantiza que cuando retires el directorio viejo, el desaprovisionamiento se gestione de forma limpia en lugar de dejar cuentas huérfanas.

Un camino por etapas

Una migración sin tiempo de inactividad con Veripass tiende a seguir la misma forma:

• Federa. Conecta Veripass al conjunto de Active Directory o LDAP existente por OIDC/SAML para que los usuarios se autentiquen como siempre lo han hecho.
• Adopta la gobernanza. Lleva la autorización al modelo componible — claims, capacidades, roles, perfiles de acceso — y activa la política consciente del contexto y el step-up donde importa.
• Aprovisiona por SCIM. Pon el ciclo de vida de las cuentas bajo SCIM para que la creación y el desaprovisionamiento estén automatizados.
• Cambia la fuente de verdad cuando estés listo. Mueve el directorio autoritativo en tu propio calendario, sabiendo que la federación y el aprovisionamiento ya llevan la carga.
• Retira el directorio heredado solo cuando nada dependa de él, con SCIM asegurando un desaprovisionamiento limpio.

En ningún punto de esta secuencia hay un único momento en que el acceso dependa de que se accione un interruptor correctamente. Cada etapa es reversible, cada una es observable a través de la traza de auditoría inmutable, y el directorio viejo sigue funcionando hasta que genuinamente ya no lo necesites. Eso es lo que significa “sin tiempo de inactividad” en la práctica — no un corte impecable, sino una migración que nunca requirió uno.