Identity Management Universität Duisburg Essen

Transkript

1 Einheitlicher Zugang zu Diensten, Informationen und Kommunikationspartnern in einer serviceorientierten, integrierten Informations- und Kommunikationsinfrastruktur Thema 1

2 Bericht über die bisherige Umsetzung des Phasenmodells Phase 1: Grobkonzept i. Problemdefinition ii. Zieldefinition iii. Analyse der Geschäftsprozesse Phase 3: Aufbau eines ITIM-Prototypen / Schaffung der Voraussetzungen für die Implementierung / Phase 4: Ausblick Implementierung Agenda Agenda 2

3 Phase 1: Grobkonzept V E R W A L T U N G Fusion der Universitäten Duisburg und Essen mit zusammen Studierenden und 3500 Mitarbeitern Beteiligung am Ausschreibungsverfahren der DFG zu Leistungszentren für Forschungsinformation 2003 Neue Ideen werden benötigt -> Geburtsstunde von ZIM, IM, etc. Wer macht bereits was im Land? Beschäftigung mit dem Grobkonzept aus Bielefeld/Paderborn Phase 1: Grobkonzept Hintergrund 3

4 Probleme an den Unis V E R W A L T U N G Außerhalb der RZ sind neue netzbasierte Dienste entstanden (DV der Verwaltung, FB-Server, Webdienste/Portale von UB und...) Alle Dienste haben eigene Nutzerverwaltung Nutzer (Studenten, Mitarbeiter,...) müssen sich bei jedem Dienst einzeln registrieren Betreiber der Dienste möchten deshalb die Nutzerdatenbank des RZ zur Authentifizierung nutzen (z.b Verwaltung HISLSF, POS-QIS) Die RZ-Nutzerverwaltung ist nicht vollständig (z. B. Campus Essen nur 13 von 22 Tausend Studenten) Studenten- und Mitarbeiterdaten werden überhaupt nicht oder nur provisorisch mit der Verwaltung synchronisiert Phase 1: Grobkonzept Motivation 4

5 Zieldefinition für das Projekt Identity Management (IM) Verbesserung der Dienstleistungsprozesse Unterstützung des Neugründungsprozesses der Universität Duisburg-Essen Reduzierung der Infrastrukturkosten durch Schaffung von klaren eindeutigen Administrationsprozessen Verminderung von Datenredundanzen Automatische Synchronisation der Daten... Reduzierung der Administrationsaufwände für die Endbenutzer... Erhöhung der Sicherheit, Beschreibung der Datenflüsse Vereinheitlichung der Directories Vereinfachung der Integration zukünftiger Anwendungen Phase 1: Grobkonzept Zieldefinition 5

6 Dynamische IT 6 Quelle: Computerwoche

7 Was ist Identity Management? V E R W A L T U N G Einheitliche Verwaltung von Personen, Rollen, Adressen, (Zugriffs)Rechten, Ressourcen Phase 1: Grobkonzept Zieldefinition 7

8 Wozu Identity Management? Zur wirksamen Unterstützung von Forschung, Lehre, Studium, Verwaltung und Öffentlichkeitsarbeit soll jedem, der in oder mit der Hochschule zu tun hat, ein einheitlicher, direkter und vollständiger Zugang zu allen Diensten, Informationsquellen und Kommunikationspartnern angeboten werden unter Berücksichtigung der Rolle(n), Aufgaben und persönlichen Berechtigungen eines jeden. Notwendige Grundlage: IM Phase 1: Grobkonzept Zieldefinition 8

9 IM aus Nutzersicht I V E R W A L T U N G Nur eine Anlaufstelle Benutzerkennung und Initialpasswort sofort bei Einschreibung/Einstellung, damit Zugangsberechtigung auf allen DV-Systemen Self care Funktion Freischaltung von Zugängen Aktualisierung von Daten durch Nutzer Freigabe/Sperrung von Daten für Verzeichnisse Datenschutz/Datensicherheit Vollständiger Überblick über alle gespeicherten Daten (Inhalt, Ort, Zweck) und Datenflüsse Fachbereiche/Fakultäten Übernahme von Daten aus zentralen Verzeichnissen: keine Doppelerhebungen, Verwaltungsvereinfachung ->Portal Einheitlicher Dienstezugang Single Sign On Phase 1: Grobkonzept Zieldefinition 9

10 IM aus Nutzersicht II V E R W A L T U N G Telefon- und Adressbücher, verteiler Darstellung Organisationsstruktur System Management Entzug von Berechtigungen bei Ausscheiden Auslösen von Folgeprozessen bei Verwaisen von wichtigen Rollen (Administratoren) durch Ausscheiden Übersicht über wichtige Rollen (z.b. Administratoren) Phase 1: Grobkonzept Zieldefinition 10

11 Marktanalyse Anbieter Phase 1: Grobkonzept Bildung einer Arbeitsgruppe Einheitlicher Dienstezugang und Verzeichnisdienste aus Rechenzentren, Bibliotheken, Verwaltungen Ein Anforderungspapier (Anlage) wird an mehrere Anbieter (IBM, SUN, Siemens, Siebel) versandt mit der Bitte, Vorstellungen zur Realisierung zu entwickeln Präsentationen der Hersteller mit Grobkonzepten zur Projektgestaltung (Phasen, Inhalte, Organisation), zur (herstellerneutralen) Systemarchitektur und zur Realisierung mit bestimmten Produkten. Auswahl eines Vorschlags/Grobkonzept als Basis für Feinkonzept Phase 1: Grobkonzept Marktanalyse 11

12 Phase 2: Auswahl Anbieter Feinkonzept Antrag an das Ministerium für Wissenschaft und Forschung NRW auf Förderung eines ersten Teilprojekts (Analyse von Administrationsprozessen, Informationsflüssen, Datenstrukturen, Rollenkonzepten, Berechtigungen, detaillierte Vorschläge für Systemarchitektur, Implementierung, Produkte) Bewilligung des Antrags in Höhe von , Beschränkte Ausschreibung Präsentationen der Anbieter und Bewertung Zuschlag und Vertragsabschluss Marktanalyse 12

13 Projektführungsstruktur V E R W A L T U N G Projektleitung Universität Herr Blotevogel (zentraler Ansprechpartner) Projektleitung Gunter Jahn (IBM) Qualitätssicherung Dr. Oliver Ziehm (IBM) Fachbereich MA Universität HRZ MA Universität Verwaltung MA Universität Bibliothek MA Universität Prozesse Margarete Nikol (IBM) Meta- Directory Gunter Jahn (IBM) Provisioning Reinhard Stamms (IBM) Projektbeteiligte 13

14 Projektplan V E R W A L T U N G Phasen / Kalenderwoche Kick-Off Vorbereitung und Durchführung - Kick-Off Vorbereitung und Fragebögen IST-Aufnahme - Prozesse - Rollen - Directories IT-Architektur, Soll-Prozesse und - Directories -IT-Architektur, SOLL-Prozesse und -Aufbau Directories Weiteres Vorgehen - Konzepte Standardberechtigungen und Datenbereinigung - weiteres Vorgehen und Priorisierung Präsentation - Abschlusspräsentation und Übergabe Abschlussdokumentation Kick-Off KW 49 IST-Prozesse und IST-Directories KW 51 IT Architektur SOLL-Prozesse und Directories Abschlusspräsentation Projektplan 14

15 Arbeitspakete V E R W A L T U N G Ist-Analyse- Directories Ist-Analyse- Prozesse Soll- Empfehlung Directories Soll- Empfehlung Prozesse Rollen Empfehlung der Soll- Datenflüsse Empfehlung einer Soll- Architektur Produktempfehlung Implementierungsvorschlag Projektplan Empfehlung für zentrales Directory Einheitliche Benutzer-ID & Kennwort Arbeitspakete 15

16 Einschreibung eines Studenten - Standort Essen Student lässt sich einschreiben als Ersthörer, grosser Zweithörer, Sommeruni HISSOS V E R W A L T U N G Antrag auf Einschreibung Student Eingabe studentische Daten lt. Einschreibebogen Student ist eingeschri eben Studentisches Sekretariat bzw. AAA And täglich - gesamter Studentenbestand ohne Ex-Ma Weiterleitung von Studentendaten an Bibliothek Weiterleitung von Studentendaten an ASTA, Fachschaften, Bafög etc Weiterleitung von Studentendaten an HRZ Weiterleitung von Studentendaten an Fachbereich Studentendaten für Bibliothek XOR Duisburg tägliche Datenlieferung für neue Accounts 1xpro Semester 1x pro Semester alle Im- und ExMa Bibliothek Studentendaten für HRZ Studentendaten für Fachbereich Student beantragt "dieuniversale.de" ohne Nutzung SB-Station Student beantragt "dieuniversale.de" mit allen Funktionen HRZ Fachbereich And Studierendenaus weis Ausstellung "die universale.de" Student IST-Analyse Prozesse 16

17 Soll-Prozessvorschlag - Einschreibung Studierende Studierende/r Studierende/r lässt sich einschreiben oder wird zugelassen V E R W A L T U N G Antrag auf Einschreibung And HIS-SOS Eingabe studentische Daten lt. Einschreibebogen Ermittlung ob bereits Benutzer IDs der Uni vorhanden sind Private Adresse nachfragen Studentensekretariat XOR keine Benutzer IDs vorhanden Benutzer IDs vorhanden Benutzer ID Provisioning System erzeugen BenutzerID aus dem Provisioning System zurückgemeldet And Benutzer ID und ggf.startpasswort Ausgabe Benutzer ID an Studierenden Weiterleitung von Daten an das Provisioningsystem Studentendaten für Provisioning Studierende/r SOLL-Analyse Prozesse Provisioning System 17

18 Ergebnisse der Ist-Analyse der Prozesse Untersucht und dokumentiert wurden insgesamt 39 Prozesse HISSOS Essen Duisburg 4 Prozesse 4 Prozesse HISSVA Essen Duisburg 3 Prozesse 4 Prozesse Aleph 500 (Bibliotheks- System) Bibliothek Duisburg und Essen gesamt 15 Prozesse AUM / NIS Benutzerverwaltung Essen Duisburg 5 Prozesse 4 Prozesse Prozessanalyse 18

19 Zusammenhang IST- und SOLL-Prozesse IST-Prozesse Anlage neuer Mitarbeiter / Studierende SOLL-Prozesse Anlage neuer Mitarbeiter/ Studierende Provisioning System Bibliothek HRZ Accounts Telefon Viele manuelle und teilautomatische Prozesse. Bibliothek Accounts Telefon Die Mehrzahl der manuellen und teilautomatischen Prozesse wird durch automatische Prozesse über das Provisioning System ersetzt, Prozesse wurden zusammengefasst. IST- und Soll Prozesse 19

20 Studierende V E R W A L T U N G Ist-Prozess: Wie kommen Studierende zu ihren Berechtigungen? Einschreibung Benutzerkennung und Passwort (DU) für HRZ Studentensekretariat HISSOS tägliche Datenüberleitung (DU) 1x pro Semester Benutzer Account, (E) für HRZ Web Formular HRZ Benutzerbüro Benutzerverwaltung / NIS Tägliche Datenüberleitung (E/DU) Fachbereich/ Fakultät Fachbereich Bibliothek Vorsprache in der Bibliothek und Freischaltung des Ausweises durch die Bibliothek Prozessanalyse 20 Aleph 500

21 IST-Prozess: Wie kommt ein/e Mitarbeiter/in zu ihren/seinen Berechtigungen Mitarbeiter/in Mitarbeiter/in wird eingestellt HISSVA Wöchentliche Weiterleitung Daten an BuiSy (Du) BuiSy FM Telefonantrag Telefon Verwaltungs account Verwaltung MS AD Verwaltung Antrag Dienstausweis (E) Personalverwaltung Studentensekretariat Benutzer Account, (E) Bibliotheksantrag HRZ Benutzer büro Bibliothek Aleph 500 AUM/NIS Benutzer verwaltung Prozessanalyse 21

22 Soll-Prozess: Wie kommen MitarbeiterInnnen und Studierende zu ihren Mitarbeiter/in Berechtigungen Studierende Verwaltung Initialkennung und Passwort HISSVA HISSOS Identity Management System Telefon- /Raumdaten Erfassung -Daten Erfassung IS Passwort setzen Self Care MS AD Verwaltung Aleph 500 Telefon BuiSy Prozessanalyse 22

23 Identity Feed Prozess: HISSOS 1/2 Bei der Einschreibung wird eine Initialkennung und ein Initialkennwort generiert. Im Rahmen des Self Care erzeugt sich der Student seinen Account-Name und die Adresse. Nach der Erzeugung des Accounts und seiner Mail wird die Initialkennung verworfen. Da der Account und die Adresse nur auf Anforderung erzeugt wird, werden keine ungenutzten Accounts und s erzeugt. Prozessanalyse 23

24 Identity Feed Prozess: HISSOS 2/2 V E R W A L T U N G Zwischen HISSOS und HISSVA gibt es keine Verfahren um Personengleichheit zu erkennen Der Identity Feed Job versucht selbst einen Abgleich über Name, Vorname, Geburtsdatum, Geburtsort zu schaffen. Falls keine wirkliche Eindeutigkeit vorhanden ist, werden die Personen nicht zusammengeführt. Bei Änderungen erfolgt die eindeutige Zuordnung über die Matrikelnummer. Ehemalige Studenten werden zu Alumnis und bleiben weiterhin gespeichert. Bei der Einschreibung oder Zulassung werden den Studenten entsprechende Rollen zugeordnet, diese sind abhängig vom Studentenstatus und der Zuordnung zum Fachbereich. Prozessanalyse 24

25 Technische Analyse der Directories Es wurden etwa 40 Directories darauf hin untersucht, ob sie in der ersten Phase des Identity Management-Projektes berücksichtigt werden sollen. Davon wurden 23 intensiver mit einem Analyse-Dokument beleuchtet. 12 Directories wurden einer Soll-Betrachtung unterzogen. Es werden in der ersten Phase etwa 20 Ziel- und Quellsysteme am Identity Management teilnehmen. Analyse der Directories 25

26 Gesamtüberblick Datenfluss V E R W A L T U N G Nicht übereinstimmend StudSek HISSOS HISSOS Aleph Bibliothek 500 Adr Rü HISSVA Dez1 Dez2 GLAZ Adr HISPOS E nur FB1 MA EX 1xper Sem wöch NIS Benutzer Verwaltung HRZ / AUM MA Verwa Dez 2 ltung Account Bei Anlage des MA HISMBS Dez3 Dez5 Dez4 Glaz Stu MA Ex Die Die? Tel 1xper Sem 1xper Sem 1.6/1.12 Fachbereich/ Fachbereich Fakultät BuiSy Telefon Prozessanalyse 26

27 Legende zu den Überblicksfolien StudSek Organisation Glaz Gleitzeitantrag HISSOS Anwendungssystem Tel Telefonantrag Die Antrag Dienstausweis HISSVA Anwendungssystem Rü Rückläufer Post Datenfluss Essen Adr Meldung neuer Adresse Datenfluss Duisburg Dezx Dezernat mit Dezernatsnummer MA Antrag Mitarbeiter EX Antrag Externe Person Prozessanalyse Stu Antrag Student 27

28 Gesamtüberblick Essen StudSek Adr Nicht übereinstimmend Dez1 HISSOS Aleph 500 Rü HISSVA Dez2 GLAZ Adr 1xper Sem MA Ex MA Bei Anlage des MA Dez3 Dez5 Glaz HISPOS E nur FB1 AUM Verwa ltung Account HISMBS Dez4 Stu MA Ex Die 1xper Sem Fachbereich Telefon Prozessanalyse 28

29 Gesamtüberblick Duisburg StudSek Adr HISSOS Aleph 500 Rü HISSVA GLAZ Adr 1xper Sem MA Ex MA Bei Anlage des MA Glaz HISPOS wöch NIS Benutzer Verwaltung Verwa ltung Account HISMBS MA Ex Die? Tel 1xper Sem 1.6/1.12 Fakultät BuiSy Telefon Prozessanalyse 29

30 HISSVA Personalverwaltung Essen HISMBS Antrag: Bibliothekssys Mitarbeiter Antrag Dienstausweis Aleph 500 (Bibliothek) Wird im Studenten Sekretariat erstellt Bibliotheks ausweis Dienstausweis Kostenstellen werden in HISSVA übernommen HISSVA Formular Personalveränderungen Antrag/ Verlängerung Account Antrag Account Antrag GLAZ Antrag KeyCode Karte AUM Verwaltung Account Gleitzeitsystem / Schliess System (Personalabteilung) Web Account - Adresse -Plattenplatz Verwaltung Account GLAZ Karte Raumzugangs karten Antrag/Änderung Telefon 30 Telefon Prozessanalyse Telefon gerät

31 Identity Management Architektur 31

32 Geschätzter Personalaufwand für die Projektphase 20 PT Projektmanagement 5 PT Anforderungsanalyse 5 PT 5 PT Administrationsprozesse 20PT Datenfeldmatrix Rollen 2 PT Hardware 10PT IDS 27 PT IDI 25 PT TIM 25 PT TIM Gesamt: 196 PT 10 PT 15 PT Self Care TAM Personalaufwand Phase 4 32

33 NRW Landeslizenz Die RWTH Aachen schließt Ende 2004 als Konsortialführer ein fünfjähriges Lizenzabkommen mit IBM - 11Hochschulen in NRW beabsichtigen IM auf der Basis der IBM Produkte einzuführen 1. DSH Köln, 2. Uni Bonn, 3. RWTH Aachen, 4. Uni Bielefeld, 5. Uni Duisburg-Essen, 6. Uni Paderborn, 7. Uni Münster, 8. FH Lippe und Höxter, 9. FH Bielefeld, 10. FH Köln, 11. FH Dortmund Phase 3: Aufbau eines ITIM Prototypen Ressourcen 33

34 Wo stehen wir heute? Phase 3: Aufbau eines ITIM-Prototypen / Schaffung der Voraussetzungen für die Implementierung Phase 4: Implementierung Phase 3: Aufbau eines ITIM Prototypen Agenda 34

35 Phase 3: Aufbau eines ITIM-Prototypen / Schaffung der Voraussetzungen für die Implementierung Landesweite Abstimmung / Dokumente auf dem BSCW-Server UNI-DUE Einrichtung von Arbeitsgruppen z.b. Gästeverwaltung, eindeutige ID, Vorabkontrolle, Koordinierungd der Anfragen an die HIS Testinstallation TIM, Arbeiten mit dem Tivoli Directory Integrator, Schulung Rektoratsbeschluss zur Implementierung Beteiligung Datenschutz (Vorabkontrolle) und (Haupt)Personalräte Beteiligung Fachbereiche und Organisationseinheiten Projektpartner IBM: Herr Stamms Phase 3 Phase 3: Aufbau eines ITIM Prototypen 35

36 Testinstallation TIM und Arbeiten mit dem Tivoli Directory Integrator Aufbau eines Prototypen / Unterstützung durch IBM / Hr. Stamms Analyse der Stagingtabellen c:\daten\stagingtabellen.mmap Feldname, Feldname_flag,. Operationtype (MOD, ADD, DEL) givenname Oliver 1 givenname_flag Einarbeitung in den Tivoli Directory Integrator Erstellung einer AssemblyLine Einarbeitung in JavaScript (auch weitere Sprachen einbindbar) Telefonbuch und Mailverzeichnis der fusionierten Hochschule Aufbau einer Pilotumgebung operationtype flag MOD 1 ADD 1 DEL 1 Phase 3: Aufbau eines ITIM Prototypen Phase 3 36

37 HISSOS HISSVA IBM Directory Integrator IDI IDI TIM LDAP IDI HISPOS HISLSF Identity Management Architektur 37

38 Phase 3 38

39 Phase 3 39

40 Phase 3 40

41 Phase 3 41

42 Phase 3: Aufbau eines ITIM Prototypen 42

43 Wo stehen wir am Ende des Jahres? Phase 4: Implementierung hat stattgefunden 1. Schritte Einrichtung TIM Produktivsystem Feeds: AUM(Benutzerverwaltung HRZ), SOS, SVA Autorisierung/ Zugang zu -HRZ Diensten ( , login) -LSF, -QIS-POS White-Pages der Universität Ziel bis Ende des Jahres Selfcare ist umgesetzt Bibliotheksanbindung (Aleph) ist vorhanden Anbindung von Pilotfachbereichen (AD) ist erfolgt Phase 4: Impementierung Ausblick 43

44 Für die Nutzung von Folien IBM Herr Nastoll / HRZ Danksagung Für Ihre Mitarbeit in dem Projekt Herr Stamms IBM Herr Nastoll / HRZ Herr Wald / HRZ Herr Conradshaus / DV der Verwaltung Danksagung 44