2. AK-IDM Treffen. Identity & Access Management an der Universität Stuttgart

Transkript

1 Identity & Access Management an der Universität Stuttgart AK-IDM Treffen Frank Beckmann Björn Eich Jürgen Jähnert Michael Stegmüller Thomas Wolfram

2 Vorstellung Admin-Portal Agenda Architektur / Integration mit Identity Management Projekt SIAM Geplante Funktionalitäten Aktueller Stand / Zeitplanung / Weiteres Vorgehen / Diskussion Formale Personengruppen der Universität Stuttgart Aktueller Stand / Diskussion Vorlage Rollendokument / Rollenfragebogen des RUS Diskussion LDAP-Schema Vorstellung geplante Schemata Vorgehen bei Schemaerweiterung Diskussion AK IDM

3 Admin-Portal Vorstellung - Agenda Ausgangssituation / Projektziele / Historie Architektur Geplante Funktionalitäten Aktueller Stand Zeitplanung / Weiteres Vorgehen Diskussion

4 Ausgangsituation IT relativ stark dezentral organisiert Basis-IT-Infrastruktur / - Dienste bereitgestellt durch RUS Netz, Mail, Storage, Datenbanken, Backup, DNS, LDAP, usw. Studentische Dienste (E-Learning usw.) Seit 2008: Beantragung von RUS-Diensten / dezentrale Administration usw. nur noch durch Institutsbeauftragte Schriftliche Benennung der Beauftragten durch Institutsleitung bzw. Einrichtungsleitung Nach Diensten: Netz/DNS/IP, Mail/VPN/WLAN, Web, Telefon, AD/Windows, Backup, usw. Seit 2009: Projekt SIAM Einführung eines zentralen Identity und Access Management Systems

5 Projektziele SIAM Einführung eines zentralen IAM-Systems Einführung einheitlicher, automatisch generierter und verwalteter Nutzerkonten Für die zentralen IT-Dienste des RUS bzw. der Universität Für alle relevanten Personengruppen Studierende, Mitarbeiter, Angehörige, Gäste Abbildung des Lebenszyklus der Identitäten in den IT-Systemen vom Eintritt bis zum Ausscheiden ( Identity Lifecycle Mangement ) Tagesaktuell basierend auf den Stammdaten der Verwaltung Schrittweise Ablösung der bisherigen Benutzerverwaltungen Konsolidierung existierender Nutzerkonten in einer Datenbasis Soweit möglich und sinnvoll

6 Projektziele SIAM (2) Automatisierte Bereitstellung von Nutzerdaten und Zugriffsrechten in zentralen Zielsystemen (Provisionierungsdienst) Zentraler Authentisierungs- und Autorisierungsdienst LDAP mit erw. Schemata (eduperson / dfneduperson / ) Rollenverwaltung Rollen für campusübergreifende Dienste / Applikationen / Ressourcen Gästeverwaltung Single-Sign-On-Dienst für Intranet Kerberos Beitritt zu Föderationen (DFN-AAI) Shibboleth IDP

7 Projektziele SIAM (3) Admin-Portal: Webbasierte Verwaltungsschnittstelle für IDM / RUS-Dienste für Nutzer und Einrichtungen Prozessverbesserungen mittels delegierte Administration durch die dezentralen Beauftragten der Einrichtungen Nutzer- / Rollen- / Gästeverwaltung usw. auf Basis des tagesaktuellen, konsolidierten SIAM-Datenbestandes Zeitnähere / unkompliziertere Prozesse, z.b.: Rücksetzen von Passwörtern, Druck Zugangsdatenbriefe usw. durch Institutsadmins Self-Service Verwaltung eigener Attribute, Rücksetzen des eigenen Passworts usw

8 Historie Vorläufer: UniAdmin-Portal 2007 / 2008 Entworfen im Kontext Projekt Erreichbarkeitsverzeichnis (EVE) Andere Anforderungen / Voraussetzungen: EVE war IDM-Ersatzprojekt UniAdmin daher mit eigener Nutzerverwaltung / Rollenverwaltung ohne Anbindung an IDM-System, ohne Konsolidierung Benutzerverwaltungen usw. ( standalone ) Durch Übernahme IT-Support für ebologna bzw. IDM-Projekt SIAM: Technische Neuplanung des Portals im Kontext der zu entwickelnden SIAM-Plattform zwingend Ergebnisse EVE: Grundlagen: Datenschutzrechtliche Vereinbarungen (Personalrat), Einführung einheitlicher Mailadressen, automatisiertes Datenaustauschverfahren über MetaHub

9 Admin-Portal in der SIAM Basisarchitektur weitere LDAP Prov. LDAP rus usadr AD Prov. LDAP / Kerberos stud Prov. Mail VPN LSF Mail / VPN / LSF / ILIAS AP / NetApp Shibboleth / eduroam / VPN / ILIAS / Shibboleth / RADIUS / 802.1x / VPN / Shibboleth IDP / CG Pro / imail / Sharepoint / OpenCMS / ILIAS / Vitero / QIS (LSF) / UniAdmin RUS- Intranet SVA Upload SOS Upload ZV WS TDS TDS WS Sun IDM SPML MetaHub JDBC ActiveSync / Prov. SIAM SIAM-Task Upl IDM- Repository (waveset) SIAMService HR : Identitäten + Accounts UniStruktur2 (Org.) DIM

10 Presentation Tier 3rd Party Apps WS Clients (Bulk Tasks etc.) PresentationTier Browser-based UI UniAdmin UI HTTP/HTML Multitier Architecture View Application (Business Logic) Tier Java EE Containers / SharePoint 2010 WS (HTTP/SOAP) UniAdmin Portalserver (SP2010) WS SIAMService (Java EE App) SPML Sun IDM WS (HTTP/SOAP) JDBC (TDS) ADO.NET (TDS) ActiveSync / JDBC (TDS) Data Tier MS SQL Server HTTP/SQL Endpoint SQL SIAM HTTP/HTML (Phase 1) JDBC (TDS) IDM- Repository (waveset) RA / IDC

11 Plattform Portalsystem: SharePoint Foundation 2010 XHTML, Browser: Firefox, IE, Safari Topologie: 3 Tier -Farm: Frontend, Application Server, DB-Server Farm skalierbar, kann bei Bedarf ausgebaut werden: DB: Microsoft SQL Server 2008 R2 NetApp SnapManager OS: Windows Server 2008 R2 x64 HW: Virtualisiert auf VMware vsphere 4 Cluster / NetApp SAN

12 Geplante Funktionalitäten Rollenbasierte Zugriffsrechte, grundsätzlich gilt: Nutzbare Funktionen sind abhängig von den Rollen des angemeldeten Nutzerkontos Sichtbarkeit ist jeweils eingeschränkt auf die zugehörige Einrichtung Nutzerverwaltung Passwörter zurücksetzen Sperren / Entsperren von Nutzern Zugangsdatenbriefe drucken, auch Serienbriefdruck Prozessverbesserung: Ersatz der manuellen Account-Anträge Vorlagen für Zugangsdatenbriefe hinterlegbar Einsehbarkeit ausgewählter Attribute Z.B. Generierte adressen für Mail-Admins

13 Geplante Funktionalitäten (2) Bearbeitung ausgewählter Attribute Rollenverwaltung für die Nutzer der eigenen Einrichtung Alle Einrichtungsleiter werden Benutzerverwaltungs- Administratoren, können Rolle weitergeben Gästeverwaltung Unterschiedliche Gästetypen mit unterschiedlichen Rechten Gäste anlegen / löschen usw. Self-Service Eigenes Passwort zurücksetzen Ausgewählte eigene Attribute ändern Passwort-Vergessen-Funktion Username-Vergessen-Funktion

14 Später: Geplante Funktionalitäten (3) Ausbau für weitere dezentrale Administration weiterer RUS-Dienste TBD

15 Zeitplanung / Weiteres Vorgehen Phase 0: Abgeschlossen Oktober 2009 Self-Service-Funktionalitäten für Nutzer Admin-Funktionalitäten für RUS-Administratoren In erster Version umgesetzt mit UI des Sun IDM Phase 1a: Abgeschlossen April 2010 RUS-Interne Nutzerverwaltung produktiv (Initial-)Passwortverwaltung, Rollenverwaltung / Rollensuche, Briefdruck / Serienbriefdruck Für RUS-Nutzerverwaltungs-Administratoren

16 Alle IDM-Webschnittstellen können über XPRESS-Forms angepasst und erweitert werden Self-Service-Schnittstelle

17 Admin-Schnittstelle

18 Zeitplanung / Weiteres Vorgehen (2) Phase 1b: Geplant Mitte Q4 Schrittweise Konsolidierung existierender RUS-Nutzerverwaltungen, Inbetriebnahme Tool zur Organigrammverwaltung für ZV Voraussetzung zur Inbetriebnahme der dezentralen Nutzerverwaltung (wg. Rollenzuweisungen usw.) Basisfunktionen Nutzerverwaltung Passwörter zurücksetzen Sperren / Entsperren von Nutzern Zugangsdatenbriefe drucken Auch Serienbriefdruck Einsehbarkeit ausgewählter Attribute Generierte adressen für Mail-Administratoren

19 Zeitplanung / Weiteres Vorgehen (3) Integration Self-Service-Funktionalitäten ins Portal Betatest geplant für Ende Q3 Mitte Oktober Phase 2: ab 2011 Weiterer Ausbau des Portals Gästeverwaltung Für unterschiedliche Gästearten Anonym / Personalisiert, Klassifizierung erforderlich Studenten Weitere Self-Service-Funktionen

20 Diskussion

21 Vorstellung Admin-Portal Agenda Architektur / Integration mit Identity Management Projekt SIAM Geplante Funktionalitäten Aktueller Stand / Zeitplanung / Weiteres Vorgehen / Diskussion Formale Personengruppen der Universität Stuttgart Aktueller Stand / Diskussion Vorlage Rollendokument / Rollenfragebogen des RUS Diskussion LDAP-Schema Vorstellung geplante Schemata Vorgehen bei Schemaerweiterung Diskussion AK IDM

22 Personengruppen - Aktueller Stand Nach Treffen RUS-Leitung, SIAM und Leitung Dezernat I (Dr. Engler): [Excel: Aktualisierte Liste der Personengruppen]

23 Diskussion

24 Vorstellung Admin-Portal Agenda Architektur / Integration mit Identity Management Projekt SIAM Geplante Funktionalitäten Aktueller Stand / Zeitplanung / Weiteres Vorgehen / Diskussion Formale Personengruppen der Universität Stuttgart Aktueller Stand / Diskussion Vorlage Rollendokument / Rollenfragebogen des RUS Diskussion LDAP-Schema Vorstellung geplante Schemata Vorgehen bei Schemaerweiterung Diskussion AK IDM

25 Stammrollen Mitarbeiter Studierende Sonstige Angehörige der Universität Stuttgart Alumni Gäste AK IDM

26 Rollen für Dienste des RUS Active Directory/Windows Support / VPN / W-LAN Backup Netz / DNS / IP Benutzerverwaltung Telefon Server-Zertifikate Web Lizenzen AK IDM

27 Weitere Rollen Kostenstellen-Administrator (Anforderung Dez. 1) Welche weiteren Rollen sind Ihrer Meinung nach noch erforderlich? AK IDM

28 Rollenfragebogen Name der vorgeschlagenen Rolle Beschreibung der vorgeschlagenen Rolle Wer kann die Rolle besitzen? Rolleneigentümer Zuweisung Gültig von, gültig bis Wie wird die Rolle gepflegt? Muss die Rolle besetz sein? Wie viele Personen dürfen die Rolle max. besitzen? Bereitstellung des Rollenfragebogens auf der SIAM-Intranet-Seite nach AK IDM: AK IDM

29 Diskussion

30 Vorstellung Admin-Portal Agenda Architektur / Integration mit Identity Management Projekt SIAM Geplante Funktionalitäten Aktueller Stand / Zeitplanung / Weiteres Vorgehen / Diskussion Formale Personengruppen der Universität Stuttgart Aktueller Stand / Diskussion Vorlage Rollendokument / Rollenfragebogen des RUS Diskussion LDAP-Schema Vorstellung geplante Schemata Vorgehen bei Schemaerweiterung Diskussion AK IDM

31 LDAP-Schema Bereitstellung LDAP-Schnittstelle Attribute aus Schemata: eduperson siamperson Sind Attribute aus anderen Schemata erforderlich? SCHac? AK IDM

32 siamentityid siamperson Campusweit eindeutiger Identifikator (ID) der Entität (Identität) Typ: 128 Bit UUID siamaccountid Campusweit eindeutige Identifikator (ID) des Nutzerkontos Typ: 128 Bit UUID siamrole Rollen Typ: String (Multi-value Attribut) AK IDM

33 Anforderungen der UB an die Schemaerweiterung edupersonentitlement URI (URN oder URL), der die Rechte auf bestimmte Ressourcen angibt. Typ: directorystring (Multi-value Attribut) edupersonscopedaffiliation Gibt die Zugehörigkeit einer Person zu einer Domäne an. Typ: directorystring (Multi-value Attribut) edupersontargetedid Identifikator für einen Benutzer zwischen Identity Provider und Service Provider Typ: 256 char. UUID AK IDM

34 Schemafragebogen Kontaktdaten und Organisation des Bearbeiters Gewünschtes Attribut Aus welchem vorhandenen Schema kommt dies? Was wird darunter verstanden? Führendes System- und Ansprechpartner (Quellsystem) Wer darf das Attribut lesen? LDAP-Syntax und Semantik Bereitstellung des Schemafragebogens auf der SIAM-Intranet- Seite nach AK IDM: AK IDM

35 Diskussion

36 Weiteres Vorgehen Folgetermin: :00 Uhr, Allmandring 30, großer Seminarraum Themen: Admin-Portal Klassifizierung der Gästegruppen Rechte aller Benutzergruppen Feedback auf Rollen- und Schema-Fragebögen AK IDM

37 Folien-Backup AK IDM

38 Rollenfragebogen: Beispiel (1/2) Name der vorgeschlagenen Rolle Studierender Beschreibung der vorgeschlagenen Rolle , VPN, WLAN, LSF, ILIAS, UB, Storage, MSDN-AA Wer kann die Rolle besitzen? Immatrikulierte Studenten der Uni Stuttgart Rolleneigentümer Dezernat 3, RUS Zuweisung Gültig von, gültig bis Von Immatrikulation bis Exmatrikulationsdatum + 3 Monate AK IDM

39 Rollenfragebogen: Beispiel (2/2) Wie wird die Rolle gepflegt? Initiale Zuweisung: Automatisch bei Immatrikulation Zuweisung: nicht Möglich Entzug: Automatisch nach Exmatrikulation Muss die Rolle besetz sein? Nein Wie viele Personen dürfen die Rolle max. besitzen? Beliebig AK IDM