Identity Management: Prozessorientierung, Business Value, Einführungsstrategien

Transkript

1 Identity Management: Prozessorientierung, Business Value, Einführungsstrategien Martin Kuppinger Kuppinger Cole + Partner Digital ID Analysis + Evaluation mk@kuppingercole.de

2 Die Rolle von digitalen IDs und dem Identitätsmanagement Digitale IDs Identitätsspeicher: Verzeichnisdienste, Smartcards, RFID-Tags, Technisches Identitätsmanagement: Meta Directories, Kennwortsynchronisation, Prozessorientiertes Identitätsmanagement: Provisioning, Auditing, Federation, Identitäten in Anwendungen: Geschäftsprozesse, DRM, egovernment, Portale/Personalisierung, SCM+RFID, Keine Anwendung kommt ohne digitale Identitäten aus. Identitätsmanagement ist die Basis für Sicherheit und Individualisierung von Applikationen. Seite 2

3 Flexible Geschäftsprozesse brauchen eine flexible IT Flexible Geschäftsprozesse Flexible IT Prozessorientierung statt Funktionsorientierung Identitätsmanagement: Integrierte Identitäten über den gesamten Prozess Prozessorientiertes Systemmanagement: Status des Prozess, nicht des Server Anwendungsinfrastruktur: Die Basis für Anwendungen Prozesse (Service Oriented Architecture) Service Service Service Service Service Anwendung Anwendung Anwendung Seite 3

4 Business-Treiber für das Identitätsmanagement Die Forderung nach flexiblen Geschäftsprozessen (adaptive) ist heute der wichtigste Treiber für das Identitätsmanagement Compliance gewinnt immer mehr an Bedeutung Neue Anwendungen (z.b. DRM, Schutz von geistigem Eigentum) kommen - und basieren auf digitalen Identitäten Sicherheit Flexible Geschäftsprozesse Identitätsmanagement Ease of use Compliance Neue Anwendungen Kostenreduktion Seite 4

5 Einige aktuelle Studien und Umfragen IDC: Identity Management-Markt Westeuropa wächst von 170 Mio US$ 2002 auf 1,17 Mrd US$ 2007 Frost & Sullivan: Bis 2006 wächst der Identity Management-Markt durchschnittlich um 45% pro Jahr Information Security Magazine Heat Index April 2004: 1. Identity Management 2. User Provisioning 3. Single Sign-On Global CEO Study: the pendelum swings back to growth Responsiveness: the new key competence Seite 5

6 Identity Management Identity Management Auch Identity und Access Management Umfasst alle Dienste für das Management und die Speicherung von Identitäten (Verzeichnisdienste, ) die Nutzung dieser Identitäten, insbesondere für das Zugriffsmanagement das Management der Zugriffe Prozess und Infrastruktur für die Erstellung, Pflege und Nutzung von digitalen Identitäten (Identity Management Lifecycle) Technologie und Prozesse Verwaltung von IDs, Attributen, Zugriffsinformationen (Credentials), Berechtigungen Muss von internen Systemen bis hin zu externen, unternehmensübergreifenden Einsatzbereichen skalieren Seite 6

7 Teilelemente des Identity Management Authentifizierung Access Management Plattformspezifische Autorisierung Web Access Management Plattformen Anwendungen Web Services Andere Ressourcen User Provisioning Rights/ Resource Provisioning Single Sign On Passwordmanagement Identity Administration Provisioning-Dienste Auditing Meta Directory-Dienste Virtuelle Verzeichnisse Verzeichnisdienste Seite 7

8 Burton Group Referenzarchitektur Identity Management Quelle: Burton Group Seite 8

9 IBM s Strukturierung des Identity Management identity federation Unternehmensübergreifendes Identity Management identity lifecycle management Verwaltung von Identitäten, Provisioning identity control Autorisierung, Authentifizierung, Überwachung identity foundation Basistechnologien für das Identity Management Seite 9

10 Novell s Strukturierung des Identity Management Self Service Delegation Secure Logging Log storage Reporting Auditing Federation Policy Lifecycle Management Testing Versioning Ownership Evaluation Reconciliation Account Restrictions Authentication Strong Graded Chained Role-Based Administration Integrated Identity Principals Groups Roles Hierarchy Policies Role Engineering Best Practices Events Notifications Monitoring Workflow Triggers Database query External events Etc. Scheduling Systems Integration Help Desk ERP Portal, etc. Identity Automation Rules Engine SIM-specific systems integration logic Policy Decision Points Policy Enforcement Points Quelle: Novell Seite 10

11 Mehr als ein Schlagwort Identity Management ist nicht neu Identitäten werden heute genutzt Technologien werden heute eingesetzt Verzeichnisdienste, Authentifizierung, Access Management Was ändert sich: Reifegrad der Technologien Neue/neuere, integrierende Technologien (z.b. Provisioning, Virtual Directories) Anwendungsbereich (intern extern) Strategische Relevanz und Betrachtungsweise Seite 11

12 Die Treiber für das Identity Management Positive und negative Treiber Wandel der IT Portale Neue Geschäftsmodelle (Web) Schutz von Intellectual Property Identity Management Administrative Kosten Compliance Privacy Sarbanes-Oxle HIPAA Seite 12

13 Business Driver für Identity Management Business Drivers Business Facilitation Service Level Cost Reduction & Productivity Security Regulatory Compliance Reach global customers Tighter supplier relationships More productive partnerships Focused, personalized content Comprehensive profile view Self-service Eliminate redundant administration tasks Reduce helpdesk burden Fast employee ramp-up Consistent security policy Immediate systemwide access updates Consistent identity data Sarbanes-Oxley HIPAA European Data Privacy Regulation Graham-Leach- Bliley Quelle: Novell Seite 13

14 Der Business Need Unternehmen müssen flexibel auf neue Anforderungen reagieren können Märkte Kunden Partner Die IT ist Dienstleister und muss flexibel, schnell und kostengünstig auf die Business-Anforderungen reagieren Das geht nur durch die Prozessorientierung der IT IT-Prozesse funktionieren aber nur, wenn es eine einheitliche Sicht auf die Identitäten über den gesamten Prozess hinweg gibt Seite 14

15 Buzzwords of the year On Demand Adaptive Enterprise Realtime Enterprise Agile, dynamic, Seite 15

16 meinen alle das Gleiche Sam Palmisano, IBM: An enterprise whose business processes integrated end-to-end across the company and with key partners, suppliers and customers can respond with speed to any customer demand, market opportunity or external threat Seite 16

17 On Demand- und Realtime- Strategien Unternehmen müssen externe Einflüsse Abweichungen vom Normalzustand neue Chancen schnell erkennen und Schnell darauf reagieren können Agile Unternehmen sind in der Lage, schnell auf sich ändernde Situationen zu reagieren und damit flexibler am Markt zu agieren und produktiver zu sein On Demand (IBM): Anforderungen können schnell umgesetzt werden. Realtime (Gartner): Abweichungen werden frühzeitig erkannt und adressiert. Seite 17

18 Was On-Demand für die IT bedeutet Die Sicht verändert sich von der Anwendung und ihrer Funktion zum Prozess Änderungen der Business-Anforderungen müssen schnell und zuverlässig durch die IT umgesetzt werden Die IT bewegt sich in einem immer komplexeren Raum Die Zahl an Anwendungen wächst Der Kostendruck auf die IT ist hoch Die IT muss Lösungen für konkrete Unternehmensprobleme liefern die oft erforderlichen Infrastruktur-Anpassungen lassen sich nur in diesem Rahmen durchsetzen Die Anforderungen an Compliance und Risiko-Management steigen kontinuierlich nicht nur in den USA ebusiness ist vom Hype zur Realität geworden. Mehr und mehr Anwendungen sind unternehmensübergreifend (Partner, Kunden), nutzen zunehmend Web Services. Intern müssen Anwendungen und ihre Daten integriert werden. Seite 18

19 Konkrete Herausforderungen für das Identitätsmanagement der On Demand-IT Mehr Identitäten: Nicht mehr nur Mitarbeiter, sondern Partner und Kunden Einheitliche Identitäten: Wenn in Prozessen und nicht in Anwendungen gedacht wird, muss es eine Identität im Prozess geben und nicht viele in den beteiligten Anwendungen Sicherheit: Gerade die Öffnung von Prozessen über das Unternehmen hinaus erhöht die Anforderungen an die Sicherheit was durch fehlende, zentrale Identitäten behindert wird Flexibilität: Benutzer, Profile und Berechtigungen müssen zuverlässig und schnell vergeben und entzogen werden können Seite 19

20 Schlüsselelemente des Identity Management für On Demand-IT Identity Integration/Federation: Einheitliche Identitäten für mehrere Systeme, gemeinsame/verteilte Nutzung von Identitäten im Unternehmen und über die Unternehmensgrenze hinweg Provisioning: Prozessorientierte Bereitstellung von Ressourcen (Identitäten, Systemressourcen, Anwendungen, ) übergreifende Funktion, mehr als nur digitale Identitäten Access Management: Sicherung des Zugriffs von internen und externen Benutzern die Trennung zwischen Web Access Management und internem Access Management ist künstlich und wird mit zunehmend vernetzten Prozessen verschwinden Auditing: Nachvollziehbarkeit als Basis für die Compliance-/Risk Management-Anforderungen Seite 20

21 Geschäftsprozesse sind nicht identitätslos Lieferanten Unternehmen Kunden Geschäftsprozesse Anwendungen Benutzer Wer darf was im Geschäftsprozess? Seite 21

22 Generelle Auswahlkriterien für Identity Management-Lösungen Umfassende Unterstützung heterogener Infrastrukturen die IT ist heterogen (und wird es bleiben) Lösungskompetenz des Anbieters kein System kann alle vorhandenen Bausteine standardmäßig unterstützen Interoperabilität mit Standards Verständnis des Zusammenhangs Identity Management Business Needs Heterogenität der bestehenden IT und Investitionsschutz Seite 22

23 Teilsegmente des Identity Management Verzeichnisdienste Meta Directory-Dienste Virtuelle Verzeichnisse Identity Administration Access Management-Systeme Single Sign-On-Lösungen Passwordmanagement Provisioning (Starke) Authentifizierungslösungen Überwachung Federation (Profilierung, Personalisierung, ) Seite 23

24 Verzeichnisdienste Speicher für Identitäten Personen, Organisatorische Einheiten, Gruppen, Rollen, Profile werden durch Attribute definiert Basis für das Identitätsmanagement Authentifizierung basiert auf Verzeichnisinformationen Autorisierung basiert auf Benutzerattributen (Rollen, Gruppen) Personalisierung basiert auf Attributen Verschiedene Ausprägungen Enterprise Directories: Unternehmensinformationen ebusiness Directories: Kunden- und Partnerinformationen Anwendungsverzeichnisse: Spezifische Informationen für einzelne Anwendungen NOS Directories: Verzeichnisse für Netzwerk-Betriebssysteme (Active Directory, Novell edirectory) one size doesn t fit all Anbieter: Microsoft, Novell, Sun, Siemens, CriticalPath, IBM, Seite 24

25 Die Rolle von Verzeichnisdiensten Verzeichnisdienste sind ein Speicher für digitale Identitäten von Mitarbeitern Kunden Partnern Objekten und Gütern Verzeichnisdienste stellen Identitätsinformationen bereit Anwendungen nutzen diese Informationen Vernetzte Anwendungen erfordern eine Vernetzung von Verzeichnisdiensten Seite 25

26 Arten von Verzeichnisdiensten Instanzen (disparate Installationen) Instanzen (pro Installation) Objekte (Benutzer, Gruppen, ) Komplexität NOS- Verzeichnisse 1 bis wenige Oft sehr viele (Domänencontroll er, ) Bestimmt durch Anzahl der Mitarbeiter Hoch, vor allem durch Verteilung und Replikation Anwendungsverzeichnisse Meist sehr viele 1 bis sehr wenige Bestimmt durch Anzahl der Nutzer der Anwendung Abhängig von Anwendung, oft gering, aber sehr spezifisch ebusiness- Verzeichnisse Idealerweise wenige, oft aber zu viele Oft mehrere, Lastverteilung Bestimmt durch Anzahl der Partner oder Kunden Schema kann komplex sein Unternehmensverzeichnisse 1 bis wenige 1 bis sehr wenige, Lastverteilung, lokale Zugriffe Bestimmt durch Anzahl der Mitarbeiter Schema kann komplex sein Seite 26

27 Meta Directory-Dienste Dienste, die Informationen aus verschiedenen Verzeichnissen integrieren Verwenden ein zentrales Repository (Verzeichnis oder Datenbank) Synchronisation von Informationen zwischen den verschiedenen Verzeichnissen Eine oder mehrere autoritative Quellen Anbieter: Siemens, Microsoft, Novell, CriticalPath, IBM, Maxware, Seite 27

28 Virtuelle Verzeichnisse Logische Sicht auf Informationen in verschiedenen Verzeichnissen Schemata der Verzeichnisse werden in die jeweils benötigte Struktur gebracht Dynamische Zugriffe auf die Informationen in den Verzeichnissen Mehr Flexibilität in der Strukturierung von Verzeichnisinformationen für unterschiedliche Anwendungen, schneller und pragmatischer Lösungsansatz Anbieter: Radiant Logic, Octet String, Maxware, Seite 28

29 Identity Administration Verwaltung von Identitäten über mehrere Verzeichnisse hinweg Zentrale Werkzeuge für das Management von Identitäten, ohne dabei aber Workflows des Provisioning zu unterstützen Benutzer-, Gruppen-, Rollenmanagement Delegierte Administration, Self Service Anbieter: Sun, Oblix, Calendra, Seite 29

30 Access Management-Systeme Richtlinien für die Steuerung von Zugriffen auf Ressourcen Web Access Management Access Management für interne Anwendungen Web Access Management Identifikation von Objekten meist über URLs Integration mit unterschiedlichen Authentifizierungsmechanismen Dynamische Mechanismen (z.b. Berücksichtigung von Buchungsbeträgen) Anbieter: IBM, Sun, Oblix, Netegrity, Open Network, Seite 30

31 Single Sign-On-Lösungen Zentrale Verwaltung von Credentials Credentials werden in einem zentralen Repository gespeichert Beim Zugriff auf andere Anwendungen werden die jeweils erforderlichen Credentials übergeben Technisch komplexe Implementierungen, erfordern in den meisten Fällen eine aufwändige Integration mit den Zielsystemen Wichtig, wenn Synchronisation oder Standardverfahren für die Authentifizierung (X.509) nicht eingesetzt werden können Anbieter: Protocom, Passlogix, IBM, Seite 31

32 Password Management Management von Kennwörtern Potenzial für schnellen und hohen ROI durch Reduktion von Helpdesk-Kosten (signifikanter Anteil der Helpdesk-Kosten für Password Resets) Zwei Ansätze: Kennwort-Synchronisation (bis hin zu Credential- Synchronisation) Kennwort-Reset Nur Synchronisation löst das Problem wirklich. Technisch aber komplex in der Implementierung. Einheitliche Richtlinien für Kennwörter über verschiedene Anwendungen müssen durchgesetzt werden Self Service für Resets müssen handhabbar sein Anbieter für Synchronisation: Courion, Blockade, Proginet, Seite 32

33 Provisioning Provisionierung = Bereitstellung, Versorgung Provisioning stellt Informationen für das Identity Management (und nicht nur das) für unterschiedliche Systeme bereit Zwei Ansätze: Workflow-orientiert, Fokus Provisioning: Definition von zentralen Workflows, mit denen sowohl Benutzer angelegt, Berechtigungen vergeben als z.b. auch Mobiltelefone bestellt werden können Identity-orientiert, Fokus User und Access Management: Benutzer wird angelegt, anschließend werden ihm alle erforderlichen Berechtigungen gegeben (RBAC-orientiert, role based access control) Prozess-orientierter Ansatz im Gegensatz zu den Technologieorientierten Meta Directory-Diensten Anbieter: Netegrity, Sun, Thor, HP, Courion, IBM, Siemens, Seite 33

34 Provisioning mehr als nur Identitätsmanagement Provisioning ist ein wichtiger Teil des Identitätsmanagements aber es geht darüber hinaus Provisioning ( Bereitstellung ) definiert die Bereitstellung - von Systemressourcen, Informationen, Benutzern IBM hat beispielsweise ThinkDynamics für die System-Provisionierung gekauft, RedHat hat ein Provisioning-Modul für seine Linux-Systeme vorgestellt Provisioning wird sich in einen Workflow-orientierten und einen Umsetzungsorientierten Teil gliedern Provisioning Identitätsmanagement Provisioning-Workflow Adapter Adapter Adapter Adapter Seite 34

35 Die Rolle des Provisioning im On Demand-Identitätsmanagement Prozessorientiert statt technisch Aber nicht ausreichend ohne Infrastruktur Es geht nicht ohne, es reicht aber auch nicht Seite 35

36 Authentifizierungslösungen Technologien für die Authentifizierung von Benutzern Insbesondere starke und mehrstufige/differenzierte Authentifizierungsverfahren PKIs (Public Key Infrastructures) sind heute Standardtechnologie Biometrische Verfahren, Zertifikatsdienste, Zielsetzung: Eine zentrale Authentifizierung für alle Dienste Viele etablierte Verfahren und Anbieter, aber kein wirklicher Standard Anbieter: RSA Security, Entrust, Novell, (Microsoft), Seite 36

37 Überwachung Überwachung der Ereignisse Im Zusammenhang mit Compliance zunehmend bedeutendes Thema Ereignisse müssen in den Kontext des Geschäftsvorfalls gesetzt werden Warum wurde eine bestimmte Aktivität wie die Zuordnung eines Benutzers zu einer Gruppe durchgeführt? Fokus ändert sich von Revision zu Aktion wenn bestimmte Ereignisse auftreten, müssen diese erkannt werden und Handlungen ausgelöst werden Fast jedes Produkt kann mittlerweile auch ein Protokoll anlegen Tendenz zu zentralen Auditing-Lösungen: Novell Nsure Audit, Microsoft MACS (Microsoft Audit Collection System), NetVision s Ansatz für Richtlinienmanagement und - überwachung Seite 37

38 Identity Federation Nutzung von Identitäten über System- und Unternehmensgrenzen hinweg Benutzer meldet sich am Unternehmensportal an, bestellt ein neues Notebook, Bestellung wird mit einigen Informationen über den Benutzer an den Dienstleister gesendet, der dann überprüft, ob dieser Benutzer (aufgrund seiner Rolle) das Notebook bekommt. Authentifizierung und Autorisierung werden hier verteilt Diverse Standards definiert, wenige etabliert Einige Anbieter (z.b. Sun, Netegrity, Oblix) haben Technologien in ihre Produkte integriert, insbesondere SAML, weitere haben das angekündigt. Sun hat die Liberty Alliance initiiert, an der mittlerweile mehr als 150 Unternehmen teilnehmen IBM, Microsoft und andere treiben insbesondere das Thema WS-* (Web Service Security, Trust, Federation) Seite 38

39 Agenda Identity Management Begriffsklärung Marktsegmente Anbieter im Markt Komplett anbieter Best-of-Breed Trends, Hype, Anforderungen Trends und Hypes Putting it all together Identity Management und Web Services Keine Web Services ohne Identity Management Standards, Lösungen, Anbieterstrategien Seite 39

40 Best-of-Breed oder Suite? Best-of-Breed: Die besten Lösungen und Technologien für die verschiedenen Teilprobleme werden verwendet Suite: Ein Anbieter liefert die gesamte Technologie für das Identity Management Je nach Position der Anbieter werden die Vorteile des einen oder anderen Ansatzes betont Seite 40

41 Argumente für Suiten Ein Anbieter ein Ansprechpartner bei Problemen. Klare Zuständigkeiten Anbieter beherrscht die Integration der verschiedenen Teilkomponenten der Suite Potenziell größere Interoperabilität und eine Verwaltungsschnittstelle Suiten-Anbieter sind große Unternehmen mehr Sicherheit für Entscheider und die Projektumsetzung Seite 41

42 Argumente gegen Suiten Kein Anbieter kann heute das komplette Portfolio bereitstellen auch IBM nicht Die Suiten sind in den meisten Fällen durch den Zukauf von vielen Einzelprodukten entstanden und sind zumeist mehr schlecht als recht integriert Integrationsprobleme werden durch Manpower gelöst Abhängigkeit von einem Anbieter Identity Management-Strategie wird stärker vom Hersteller bestimmt Seite 42

43 Argumente für Best-of-Breed Technisch beste Lösungen können ausgewählt werden und in vielen Bereichen kommen die besten Lösungen von kleineren Anbietern Identity Management-Projekte lösen heute zumeist kleinere Fragestellungen und versuchen nicht, das Problem komplett zu adressieren und dann bietet es sich an, mit einer kleineren, schlankeren Software zu beginnen, um schnell ein Ergebnis vorweisen zu können Es gibt mehr und mehr Standards für die Interoperabilität (auch wenn die meisten davon noch nicht etabliert sind) Identity Management ist ein so dynamischer Markt, dass man heute noch nicht die endgültige Lösung für einen längeren Zeitraum definieren kann also kann man auch an einem Punkt beginnen Die meisten kleineren Anbieter haben eine oder mehrere strategische Partnerschaften mit anderen Anbietern, die oft auch die tatsächliche Integration von Produkten beinhaltet Seite 43

44 Argumente gegen Best-of-Breed Potenzielle Integrationsprobleme zwischen verschiedenen Systemen Umgang mit mehreren Herstellern, keine eindeutige Zuordnung von Problemen und Verantwortlichkeiten Etliche Hersteller sind noch Venturefinanziert und etliche sind in den roten Zahlen Seite 44

45 Interoperabilität entscheidet Generell ist die Interoperabilität von Systemen von zentraler Bedeutung Unterstützung modularer Authentifizierungsmechanismen Nutzung unterschiedlicher Verzeichnisdienste als Repository Integration mit bestehenden Workflows in Unternehmen Bereitstellung von umfassenden Audit- Informationen für unterschiedliche Auditing- Systeme Unterstützung von spezifischen Standards für das Identity Management (SAML, SPML, ) Seite 45

46 Die Key-Player IBM: Breitestes Portfolio aller Anbieter am Markt, allerdings noch Defizite bei der Integration zwischen den verschiedenen Teilkomponenten Microsoft: Kein wirkliches Komplettangebot, stark fokussiert auf Windows- Kerntechnologien (z.b. Kerberos), vor allem bei einer pure Microsoft - Strategie interessant Novell: Positioniert sich als Anbieter von Identity Management für heterogene Umgebungen, Fokus auf Linux, Windows, NetWare, sehr breites Portfolio Sun: Stärken vor allem rund um Verzeichnisse, Identity Management, Provisioning, Access Management durch die Akquisition von Waveset zu einem Key Player aufgestiegen CA: Hat unlängst die Integration der etrust-komponenten zu einer Suite angekündigt BMC: Kein komplettes Portfolio, kooperiert z.b. auch mit Oblix, aber starke Position aus dem Systemmanagement heraus Siemens/Oblix: Siemens mit Stärken bei Verzeichnisdienst und Meta Directory, Oblix im Bereich Identity Administration und Web Access Management in der Kombination ein umfassendes Angebot HP: Durch die Akquisition von Trulogica sowie Teilen von Baltimore mittlerweile ernstzunehmen, Identity Management als Teil der Adaptive Enterprise -Strategie Seite 46

47 Die etablierten Spezialisten Meta Directory-Anbieter: MaXware, Critical Path Provisioning-Spezialisten: Netegrity, Beta Systems, aber auch Courion Web Access Management: Netegrity, Oblix, aber auch RSA Security, Entrust Authentifizierung/Security: RSA Security, Entrust, Courion Entwicklung hin zum Web Access Management oder Provisioning Seite 47

48 Newcomer im deutschen Markt Eine Vielzahl von Anbietern sind derzeit vor allem in den USA (oder anderen Ländern) präsent und kommen erst langsam auf den deutschen Markt viele sind aber auch bereits akquiriert worden: Maxware: Meta Directories, Virtuelle Verzeichnisse Octet String, Radiant Logic: Virtuelle Verzeichnisse M-Tech: Password Management, Provisioning Blockade: Password Management, Provisioning Hier sind die deutschen Strukturen (Consultants, Implementierung) und das Zusammenspiel mit den Herstellern entscheidend wann und zu welchen Kosten werden beispielsweise Spezialisten aus den USA eingeflogen, wenn die deutschen Ressourcen nicht ausreichen? Anbieter haben in vielen Fällen ausgesprochen interessante Ansätze und viele große Kunden in USA Seite 48

49 Exoten Anbieter, die entweder nur spezielle Teillösungen bieten oder für die Identity Management nur ein Teilbereich ist: Netvision: Historisch mit Fokus auf Punkt-zu- Punkt-Synchronisationslösungen, heute Schwerpunkt auf zentralem Richtlinienmanagement und -überwachung Völcker Informatik: Benutzer managen und Ansätze in Richtung Provisioning, primär aber Fokus auf Komplettplattform für die Automatisierung von IT-Aufgaben (Helpdesk, Outsourcer) Eurekify: Rollengenerierung auf Basis vorhandener Informationen Seite 49

50 Marktsegmentierung: Falsche Schubladen Der Identity Management-Markt ist derzeit sehr dynamisch Etablierte Technologien haben einen gewissen Reifegrad erreicht (Single Sign-On) Neuere Technologien entwickeln sich erst (Provisioning, Virtuelle Directories) Das birgt die Gefahr, dass Anbieter entweder keine Schublade für ein eigentlich durchaus sinnvolles Produkt finden oder dass sie falsch eingruppiert werden Es führt auch dazu, dass die Marketing-Aussagen vieler Hersteller (z.b. beim Web Access Management) fast identisch sind und die eigentlichen Stärken kaum herausgearbeitet werden, weil die Checkliste (auch für die Produktweiterentwicklung) z.b. ein Magic Quadrant ist. Kunden müssen identifizieren, was sie tatsächlich wollen und brauchen Anbieter detailliert analysieren, wobei Interoperabilität und Erweiterbarkeit von zentraler Bedeutung sind Seite 50

51 Agenda Identity Management Begriffsklärung Marktsegmente Anbieter im Markt Komplett anbieter Best-of-Breed Trends, Hype, Anforderungen Trends und Hypes Putting it all together Identity Management und Web Services Keine Web Services ohne Identity Management Standards, Lösungen, Anbieterstrategien Seite 51

52 Trends Gesamtsicht auf das Identity Management Erweiterung auf externe Benutzerkreise Lösungs- statt Technologieansatz Pragmatismus Datenqualität wird zum Thema Mehr als ein Verzeichnis Seite 52

53 Gesamtsicht auf das Identity Management Identity Management ist kein neues Thema, sondern ein Überbegriff für eine Vielzahl bestehender Technologien und Lösungsansätze Erst jetzt beginnt aber die Gesamtsicht auf das Thema Bezüglich von Projekten gilt es auf einer strategischen Ebene mit Fokus auf das Identity Management insgesamt zu arbeiten auf der operativen Ebene aber kleinere, schnell lösbare, budgetierbare Probleme mit einem potenziell schnellen und hohen ROI anzupacken (kein Unternehmensdatenmodell ) Dabei gilt immer: Wer heute relativ weit beim Identity Management ist, wird später dennoch manches ändern müssen, weil der Einsatzbereich größer wird, neue Ansätze (Virtuelle Verzeichnisse) hinzukommen und sich Technologien verändern werden (Provisioning) Seite 53

54 Erweiterung auf externe Benutzerkreise ebusiness ist tot aber in der Realität werden immer mehr interne Anwendungen in Teilbereichen auch für externe Benutzer (Partner, Kunden) geöffnet Identitäten müssen über die Grenzen von Systemen und Unternehmen hinweg beherrscht werden Interne Web Services: Viele Anwendungen mit eigenen Autorisierungsverfahren stellen Dienste bereit Identitätsmanagement muss anwendungsübergreifend sein Partner: Federated Web Services und Identities, bei denen Partner die Autorisierung, das Unternehmen aber die Authentifizierung übernimmt Kunden: Zusammenspiel auch mit externen Identity Management-Lösungen (Liberty, Passport) Seite 54

55 Lösungs- statt Technologieansatz Kein Budget für IT-Infrastruktur IT-Projekte müssen konkrete Lösungen für Probleme bieten Lösungsorientierte Projekte mit ROI- Versprechen sind einfacher durchsetzbar Oft fehlt aber die nötige Infrastruktur: Wie bekommt man die unterschiedliche Datenqualität in Verzeichnissen in den Griff, um darauf Provisioning oder Password-Management aufzusetzen? Macht es Sinn, viele Verzeichnisse zu provisionieren oder diese zumindest teilweise zu integrieren? Seite 55

56 Pragmatismus Knappe Budgets machen pragmatische Lösungen erforderlich Identity Management-Projekte an einer Stelle beginnen, um ein Problem zu lösen und dann von dort aus weiter arbeiten Das Risiko ist, dass Inseln entstehen, Entscheidungen für Hersteller determiniert werden oder die pragmatische Lösung aufgrund von Schwächen der Infrastruktur schlicht nicht umsetzbar ist Pragmatismus auf Lösungsebene aber in einem strategischen Gesamtbild Seite 56

57 Datenqualität wird zum Thema Informationen in verschiedenen Verzeichnissen sind oft sehr heterogen Unterschiedliche eindeutige IDs für Benutzer Unterschiedliche Werte für Attribute, ohne dass zwingend ein führendes Verzeichnis definiert werden könnte Datenqualitätstechnologien aus dem EAI-Bereich können helfen, einen ersten Abgleich von Informationen durchzuführen und gegebenenfalls auch in späteren Phasen (Ist ein Benutzer mit diesem Namen schon vorhanden?) unterstützen. Das gilt für interne Verzeichnisse, noch mehr aber für Kundenverzeichnisse. Nicht umsonst haben die Technologien im CRM-Umfeld schon heute eine hohe Bedeutung. Seite 57

58 Mehr als ein Verzeichnis Die Idee eines einzigen, zentralen Verzeichnisdienstes ist tot Microsoft hat ADAM (Active Directory Application Mode) als Ergänzung zum Active Directory herausgebracht Es gibt verschiedene Anforderungen an Verzeichnisse: Enterprise Directories: Schnell bei Abfragen, wenige zentrale Instanzen ebusiness Directories: Hoch skalierbar, Änderungen und Abfragen müssen auf dedizierte Server verteilt werden können Anwendungsverzeichnisse: Oft durch Anwendungen vorgegeben und nicht beliebig austauschbar, spezifische Anforderungen an das Schema NOS-Verzeichnisse: Müssen die speziellen Anforderungen von Netzwerken und dem Client-Management unterstützen Gruppenrichtlinien Softwareverteilung Jede Variante von Verzeichnissen hat spezifische Anforderungen. Das erfordert unterschiedliche Technologien Implementierungen Seite 58

59 Hypes Provisioning Virtuelle Verzeichnisse Agent-Less Passwordmanagement Kontexte statt Rollen Seite 59

60 Provisioning Provisioning macht Sinn Aber Provisioning ist kein Allheilmittel Workflow-Perspektive: Integration mit bestehenden Workflows (Bestellung von Mobiltelefonen) ist unverzichtbar Provisioning von Benutzern, Ressourcen, Systemen (IBM, HP) Identity-Perspektive: Macht es Sinn, einen Prozess zu haben, bei dem ein Benutzer angelegt wird und im Anschluss daran auch direkt Zugriffsrechte gesetzt werden? Oder ist nicht die Provisionierung von Ressourcen ein völlig anderer Prozess als die Provisionierung von Benutzern? Seite 60

61 Virtuelle Verzeichnisse Virtuelle Verzeichnisse sind interessant, weil sie eine flexible Gestaltung von Sichten auf Verzeichnisinformationen ermöglichen sie damit viele Projekte, die Verzeichnisinformationen benötigen, schneller und günstiger realisierbar machen Virtuelle Verzeichnisse sind kritisch, weil die Verfügbarkeit von der Verfügbarkeit der angeschlossenen Systeme abhängt Performance zu einem kritischen Faktor werden kann das Mapping von Informationen aus verschiedenen Verzeichnissen komplex sein kann Virtuelle Verzeichnisse sind ein Ansatz, aber nicht die einzige Lösung Seite 61

62 Agent-less Agents: Eigentlich Module, die auf einem anderen System relativ autonom ablaufen und dort Aktivitäten ausführen Kommunizieren mit zentralen Systemen, werden auch von diesen parametrisiert Varianten: Lokale Agents: Laufen auf dem Zielsystem (z.b. ein Verzeichnisserver) Remote Agents : Greifen über das Netzwerk auf das Zielsystem zu Agent less: Keine lokalen Agents, i.e. nur Remote Agents Für lokale Agents spricht die oft effizientere Arbeitsweise und dass bestimmte Aktivitäten nur darüber abgewickelt werden können (z.b. im Bereich der Kennwortsynchronisation) Dagegen sprechen Verteilungsaufwand Managementaufwand Eingriff in die entfernten Systeme Implementierungsaufwand Keine Glaubensfrage, sondern eine, die auf Basis der vorhandenen Infrastruktur und der Anforderungen beantwortet werden muss Seite 62

63 Passwordmanagement Password-Reset ist kein Passwordmanagement Viele Hersteller sprechen von Passwordmanagement, obwohl sie nur einfache Mechanismen zum Zurücksetzen von Kennwörtern haben Kritische Punkte: Kennwortänderungen, die über andere Mechanismen erfolgen, werden nicht erkannt Kennwortrichtlinien müssen definiert und durchgesetzt werden und dürfen dabei nicht mit den Einstellungen auf Zielsystemen kollidieren Passphrase-Schnittstellen sind oft sehr umständlich Seite 63

64 Kontexte statt Rollen Rollen sind komplex ein Rollenmodell für Unternehmen aufzubauen, ist ein fast aussichtloses Unterfangen RBAC als Ansatz ist relativ theoretisch Viele Implementierungen (Microsoft Authorization Manager) sind noch nicht ausgereift Aber: Es gibt Werkzeuge für die automatisierte Generierung von Rollen Rollenmodelle können auch pragmatisch und Schritt für Schritt aufgebaut werden Einen Kontext oder Regeln statt Rollen zu definieren, wird irgendwann auch komplex Entscheidend ist weniger das Modell per se als die Implementierung und Herangehensweise im Projekt Praktisch alle Hersteller unterstützen heute sowohl Rollen als auch Regeln (oder andere Modelle, die eigentlich nicht wirklich anders sind) Seite 64

65 Agenda Identity Management Begriffsklärung Marktsegmente Anbieter im Markt Komplett anbieter Best-of-Breed Trends, Hype, Anforderungen Trends und Hypes Putting it all together Identity Management und Web Services Keine Web Services ohne Identity Management Standards, Lösungen, Anbieterstrategien Seite 65

66 Identity Management in a Web Services World Fest gekoppelt Persistent Intern Lose gekoppelt Dynamisch Extern Interne Systeme Extranets Internet Mitarbeiter Partner Kunden? Seite 66

67 Das Zusammenspiel mit Partnern Autorisierung Bestellsystem Unternehmen B Zugriff auf das Bestellsystem Informationen zum Benutzer Authentifizierung Portal Unternehmen A Benutzer Seite 67

68 Die wichtigsten Standards WS-*: Web Service Security, Web Service Trust, Web Service Federation SAML: Security Assertion Markup Language SPML: Service Provisioning Markup Language XACML: extensible Access Control Markup Language XKMS: extensible Key ManagementService Seite 68

69 WS-* Standards, die von IBM, Microsoft und einigen anderen Anbietern getrieben werden WS-Security: Sichert SOAP, kann eine Fülle von Tokens verarbeiten WS-Trust: Definition von Vertrauensstellungen zwischen Anbietern und Nutzern von Web Services WS-Federation: Integration von Identitäten über mehrere Systeme hinweg Sind nicht unbedingt konträr zu anderen Standards wie SAML Werden sich mit Sicherheit durchsetzen, sind aber gerade erst definiert und in den ersten Implementierungsstufen (Microsoft plant 2005 eine vollständige Umsetzung) Seite 69

70 SAML XML-Standard für den Austausch von Authentifizierungs- und Autorisierungsdaten zwischen Sicherheitssystemen Einziger derzeit etablierter Standard, wird für die Nutzung von unternehmensübergreifenden Web Services genutzt Seite 70

71 SPML Auf SAML aufsetzender Standard Verwendet SAML zum Austausch von Authentifizierungs- und Autorisierungsinformationen zwischen Systemen SPML sorgt dann für die Provisionierungsaktivitäten auf den angeschlossenen Systemen Seite 71

72 XACML XML-Standard für den Austausch von ACL-Informationen zwischen verschiedenen Systemen Kann genutzt werden, um Zugriffsberechtigungen auf Zielsystemen detailliert zu steuern Seite 72

73 XKMS XML-basierender Mechanismus, um Aufgaben einer PKI abzuwickeln Kann genutzt werden, um beispielsweise eine Authentifizierung gegen ein Zertifikat durchzuführen Seite 73

74 Der richtige Ansatz ist die Kombination aus pragmatischen Lösungen für konkrete, drängende Probleme mit einem potenziell schnellen und hohen ROI mit der Entwicklung einer Gesamtsicht und Strategie für das Thema Identity Management als Teil einer Gesamtstrategie für eine On Demand -IT Seite 74

75 Ohne Identitätsmanagement funktioniert die IT der Zukunft nicht Eine Strategie für das Identitätsmanagement und den Umgang mit digitalen IDs ist erforderlich Diese Strategie muss von der Integration heterogener Systeme statt einer zwanghaften Homogenisierung geprägt sein letzteres scheitert aus Kosten- und Praktibilitätsgründen Eine Identitätsmanagement-Infrastruktur ist unumgänglich mit integrierenden Systemen, aber auch mit klaren Regeln für die Anwendungsentwicklung In Zeiten knapper Budgets gilt es dabei, an den richtigen Punkten zu beginnen dort, wo der Druck und die Einsparungspotenziale am größten sind, also z.b. Provisioning Password Management Einige Bereiche des Identitätsmanagements versprechen einen kurzfristigen ROI. Ohne Identitätsmanagement lässt sich die Kostenspirale der IT aber auf Dauer nicht beherrschen, weil die Integrationskosten überproportional steigen werden. Wer eine flexible IT möchte, muss den Umgang mit digitalen Identitäten beherrschen. Seite 75