Identity Management Technology

Transkript

1 Identity Management Technology Version 1.0 Dr. Horst Walther, Software Integration GmbH: 16:15 17:00 Dienstag, , Achat Plaza Hotel in Offenbach

2 Technologie Evolution des Identity Managements Eine Identity Management Architektur Der Integrationsbedarf Spezialisierungen der Datenbanksysteme Integration über Verzeichnisdienste Entwicklung der Verzeichnisdienste X.500 vs. LDAP Entwicklung der X.500-Standards Daten und Verzeichnis-Integration Meta-Verzeichnisdienste Virtuelle Verzeichnisdienste Provisioning was ist das? Architektur eines Identity Management Systems Integration über Federation Federated Identity

3 Evolution des Identity Managements Unabhängige Quellen 1988 X RBAC 1996 PKI Historisch 3 unabhängige Strömungen... Die Idee der public key infrastructure (PKI) für eine zertifikatsbasierte starke Authentisierung kann bis in das Jahr 1976 zurück verfolgt werden, Die CCITT[1] heute ITU-T[2] hat ihre 1. Spezifikation eines X.500- Verzeichnisdienstes 1988 veröffentlicht. Die heute üblichen Verzeichnisdienste sind durch diese Entwicklung beeinflusst. 5 Jahre später startete das NIST[3] seine Arbeiten am role based access control (RBAC)[4] IDM [1] Comite Consultatif Internationale de Télégraphie et Téléphonie [2] International Telecommunications Union- Telecommunication [3] National Institute of Standards & Technology [4] RABC: Role Based Access Control Die verfügbaren Komponenten zeigen eine deutliche funktionale Überlappung und ergänzen sich nicht problemlos zu einer Identity Management Infrastruktur.

4 Eine Identity Management Architektur

5 Der Integrationsbedarf Das typische Fortune 500 Unternehmen wartet über 180 Verzeichnisse, wie Adressverzeichnisse, Telephonbücher... (Quelle: Forrester Research). Viele Anwendungen und Systeme verwalten ihre eigenen Identitätsspeicher... Betriebssysteme: Windows NT, 2003, XP,... Datenbanksysteme: ORACLE, DB2,.. Mail-Systeme: Outlook, Lotus NOTES,... Service-Systeme: RACF, Firewalls,... E-business-Systeme: Internet-Portale, e-banking-systeme,... Eigenentwickelte Geschäftsanwendungen.

6 Spezialisierungen der Datenbanksysteme OLTP- Datenbanksysteme Transaction processing häufige Updates, Kurze Datensätze, OLAP- Datenbanksysteme Analyse von vorverdichteten, redundant Massendaten Verzeichnisdienste, Häufiger Lesezugriff, Spezial-DBMS auf den Einzelzugriff auf (kurze) Einzeldatensätze optimiert. Ungeachtet aller Verwirrungen über die Natur von Verzeichnisdiensten Es sind schlicht spezialisierte Datenbanksysteme.

7 Integration über Verzeichnisdienste Ein Verzeichnisdienst bietet eine einheitliche Sicht auf die Identity Informationen... Er... wird von jeder Anwendung genutzt. ermöglicht die Pflege von Informationen an einer einzigen Stelle. bietet eine universelle, einfach zu bedienende Oberfläche für den Zugriff. ist im Intranet unverzichtbar. Workflow Video Conference Application Sharing Telefon Security Certification Authority Electronic Mail Terminkalender Verzeichnisdienste Multimedia WWW Netzwerk- Administration Groupware Fast jede Anwendung und jedes System verwalten heute noch ein eigenes Verzeichnis. Z.B.: SAP: Personalwesen, Benutzerverwaltung, Kreditoren, Debitoren, etc. RACF: Verwaltung der Zugriffsrechte von Personen und Rollen auf geschäftliche und technische Objekte Windows NT: Active Directory auch für MS Exchange Lotus Notes: Notes Namensund Adressbuch, Zugriffskontrollisten der Datenbanken, etc.

8 Entwicklung der Verzeichnisdienste Verzeichnisdienste gehen auf X.500-Standards zurück. Einflüsse für die weitere Entwicklung... Anfangs war die Implementierung für die Hardware zu anspruchsvoll. Ergebnis: Lightweight-DAP (X.500-Zugangsprotokoll), LDAP. Später war Hardwareleistung weniger der Engpass. Ein großer Teil der Identity Information war bereits in Nicht-LDAP- Repositories gespeichert. Chance für die Virtuellen Verzeichnisdienste... bewusster Verzicht auf die Leseoptimierung. Verzeichniszugriff wird nur simuliert statt dessen wird auf die Original Datenquellen zugegriffen Die Steigerung der Leistungsfähigkeit der Netze ließ die Bedeutung der X.500-Protokolle DSP und DISP sinken. Heute ist mit XML (und Dialekten) sogar LDAP ein veritabler Konkurrent erwachsen. Die meisten Verzeichnisdienste basieren auf X.500-Standards.

9 X.500 vs. LDAP X Der erste Standard wurde 1993 veröffentlicht. ist ein ISO- (International Standards Organisation) und ITU- (International Telecommunications Union) Standard. beschreibt, wie globale Verzeichnisse strukturiert werden sollten. sieht eine hierarchische Organisation mit Levels für jede Informationskategorie ( z.b. Land, Stadt, Organisation,... ) vor. unterstützt X.400 Systeme. ist das Ergebnis von Gremien-Arbeit der Telekommunikationsgesellschaften. (Top-Down-Prinzip) LDAP... Der pragmatische Zugang der Internet- Gemeinde zu X.500. steht für Lightweight Directory Access Protocol und soll X.500/DAP ersetzen. entstand aus dem Bedarf, schlanken Clients Zugriff auf X.500 zu ermöglichen. nutzt nicht das X.500 zugrundeliegende (mächtige) OSI- Protokoll, sondern das weit verbreitete TCP/IP. wird betreut durch die Internet Engineering Task Force (IETF). Interessierte können ihre Lösungen zur Standardisierung einreichen. (Bottom-Up-Ansatz ) Der allumfassende Standard -- vs. -- der schnelle Zugriff

10 X.500 und LDAP - Wie kam es dazu? LDAP stellt 90% der DAP-Funktionalität bei 10% der Kosten zur Verfügung LDAP besitzt Vorteile gegenüber dem X.500-DAP durch: Transport über TCP -> stark reduzierter Overhead Verzicht auf selten benutzte Funktionen, Funktionalität LDAP DAP die Verwendung einfacherer zu verarbeitender Zeichenkettenformate als die hochstrukturierten X.500-Formate sowie eine einfachere Codierung der Daten für den Transport. noch Standardisierungsbedarf LDAP bietet damit einen einheitlichen Zugriff und eine einheitliche Kommunikation mit Verzeichnisdiensten Kosten

11 X Die Standard-Serie X /93 Überblick über Konzepte, Modelle und Dienste X /93 Modelle X /93 Authentisierungs-Framework X /93 Abstrakte Dienste Definition X /93 Verfahren für verteilte Verarbeitung X /93 Protokoll Spezifikationen X /93 Ausgewählte Attribut Typen X /93 Ausgewählte Objekt Klassen X /93 Replizierung X /95 Verzeichnis-Zugriffs Protokoll X /95 Verzeichnis-System Protokoll Auch außerhalb von Auch außerhalb von X.500 gebräuchlich Quelle:

12 X Standardobjekte Der X.500-Standard definiert bereits 17 Basis-Objekt-Klassen Objekt-Klassen: Alias Country Locality Organization Organizational Unit Person Gemeinsame Attribute: Common Name (CU) Organization Name (O) Organizational Unit Name (OU) Locality Name (L) Street Address (SA) State or Province Name (S) Country (C) Weitere Objektklassen und Attribute lassen sich hinzufügen.

13 Normen vordefinierte X.500-Attribute Welche Attributtypen sind nach X.520 bereits formuliert? Systemattribute: Knowledge Information Bezeichnungsattribute: Name, Vorname, Nachname, Initialien, Generation Qualifier, Unique Identifier, DN Qualifier, Seriennummer Geographische Attribute: Land, Lokalität, Staat, Straße, Hausnummer Organisationsattribute: Organisationseinheit, Titel Beschreibende Attribute: Beschreibung, Suchhilfe, Erweiterte Suchhilfe, Geschäftskategorie Post-Adress-Attribute: Post-Adresse, Postleitzahl, Postfach, Physical Delivery Office Name Telephon-Adress-Attribute: Telephonnummer, Telexnummer, Teletext- Terminal, Faxnummer, X.121-Adressen, ISDN-Nummer, Registered Adress, Desination Indicator Preferences Attribute: Bevorzugte Versandmethode OSI-Anwendungs-Attribute: Präsentationsadresse, Unterstützter Anwendungskontext, Protokollinformation Relationale Attribute: Distinguished Name, Unique Member, Besitzer, Role Occupant, Siehe_Auch Domain Attribute: DMD Name

14 Normen vordefinierte X.500-Objekte Welche Objektklassen sind nach X.521 bereits formuliert? Land: Name, Beschreibung, Suchhilfe Lokalität: Beschreibung, lokale Attribute, Siehe_Auch Organisation: Name, Organisationsattribute Organisationseinheit: Name, Organisationsattribute Person: Name, Vorname, Telephonnummer, Paßwort, Siehe_Auch Unterklassen: Person organisatorisch, Residential Person Rolle: Name, Beschreibung, lokale Attribute, Name Organisationseinheit, Post-Attribute, Bevorzugte Versandmethode, Role Occupant, Siehe_Auch, Telekommunikationsattribute Gruppe: Name, Mitglied, Name Organisation, Name Organisationseinheit, Besitzer, Siehe_Auch, Geschäftskategorie Group of Unique Names: Name, Unique Member, Beschreibung, Name Organisation, Name Organisdationseinheit, Besitzer, Siehe_Auch, Geschäftskategorie Anwendungsprozess: Name, Beschreibung, Name Lokalität, Name Organisationseinheit, Siehe_Auch Application Entity: Name, Präsentationsadresse, Beschreibung, Name Lokalität, Name Organisation, Name Organisationseinheit, Siehe_Auch, Unterstützter Anwendungskontext Gerät: Name, Beschreibung, Name Lokalität, Name Organisation, Name Organisationseinheit, Besitzer, Siehe Auch, Seriennummer Strong User Authentification: Benutzerzertifikat User Security Information: unterstützte Algorithmen Certification Authority: CA-Zertifikat, Zertifikat-Sperrliste, Authority-Sperrliste, Cross Certificate Pair

15 Entwicklung der Standards X.500 Konzepte, Modelle und Dienste RFC2251 X.501 Modelle RFC2252 X.509 Authentifizierungs-Framework RFC2253 X.511 Dienste Definition RFC2254 X.518 Verteilte Verarbeitung RFC2255 X.519 Protokoll Spezifikationen RFC2256 X.520 Attribut Typen RFC2164 X.521 Objekt Klassen RFC2247 X.525 Replizierung X.581 Zugriffs Protokoll (DAP) RFC2307 RFC1487 RFC1488 X.582 System Protokoll (DSP) X.530 Zugriffs Protokoll DRAFT X.500 LDAP v1 String Representation RFC1777 LDAP v2 Working Group RFC1788 String Representation for Attributes RFC 1779 Working Group String Representation for DN RFC1823 LDAP API LDAPv3 Attribute Syntax Definition UTF-8 String Representation of DN String Representation for Search Filters URL Format X.500 User Schema for use with LDAPv3 X.500/LDAP MIXER address mapping Domains in X.500/LDAP DN RFC2559 LDAP as Network Information Service X LDAPv2 LDIF inetorgperson LDUP LDAPext RFC1959 RFC1960 LDAP URL String Representation for Search Filters

16 Daten und Verzeichnis-Integration Die Daten- und Verzeichnisintegrationslösung dient auch als Fundament für Sicherheitsanwendungen wie: Single Sign-On Password Management PKI Digitale Zertifikatsdienste User Provisioning Die Konsolidierung der Benutzerdatenbestände könnte zu einer Verbesserung der Datenkonsistenz um 44%, Güte um 36% und Sicherheit um 33% führen. META Group

17 Synchronisierung von Verzeichnisdiensten (1) Horizontale Koordination Kein automatisierter Abgleich zwischen Verzeichnissen (Aufwand steigt unkalkulierbar) Unkoordinierte Schemata MS ADS IBM RACF Sec.Way z.b. Sun One SAP R/3 Lotus Notes Tivoli, TME10 C/S Host Unix Netw./System Management

18 Synchronisierung von Verzeichnisdiensten (2) Horizontale Koordination Gemeinsames Schema Paarweiser Abgleich zwischen Verzeichnissen (Aufwand steigt quadratisch)... Gemeinsames Schema zzgl. systemspez. Erweiterungen MS ADS IBM RACF Sec.Way z.b. Sun One SAP R/3 Lotus Notes Tivoli, TME10 C/S Host Unix Netw./System Management

19 Synchronisierung von Verzeichnisdiensten (3) Horizontale Koordination Gemeinsames Schema Abgleich über Meta-Verzeichnis Gemeinsames Schema zzgl. systemspez. Erweiterungen MS ADS IBM RACF Sec.Way z.b. Sun One SAP R/3 Lotus Notes Tivoli, TME10 C/S Host Unix Netw./System Management

20 Virtuelle Verzeichnisdienste Virtuelle Verzeichnisdienste sind eine Untermenge von Metaverzeichnisdiensten... Sie synchronisieren nicht, sondern sie bieten eine vereinheitlichte Sicht der Informationen. Sie... wandeln die LDAP-Anfragen in Anfragen an die originalen Datenquellen um, nehmen die Ergebnismengen in Empfang und stellen sie als vereinheitlichte Sicht dem Anfrager zur Verfügung. Da sie auf die originalen Datenquellen zugreifen, sind die zu lesenden Informationen auch nicht leseoptimiert gespeichert. Das Zeitverhalten wird also durch das der langsamsten Datenquelle bestimmt. Sie ermöglichen den Verbleib der Daten-Kontrolle in den Abteilungen (keine politischen Grabenkämpfe) Zuverlässigkeit: Das schwächste System bestimmt die Zuverlässigkeit des gesamten Systems.

21 Beispiel: MaXware DSE - Funktionen WinNT Quelle LDAP/LDIF Quelle Generische Quelle XML ASCII Quelle Datenbank Quelle Web services From-pass From-pass From-pass From-pass From-pass From-pass Identity Speicher Datenbank Join Engine Daten Tranformation Audit trail Delta Datenbank Config & Log XML To-pass To-pass To-pass To-pass To-pass To-pass WinNT updates LDIF/DSML Ausgabe Generische Ausgabe Web services XML ASCII Ausgabe Database Ausgabe LDAP Verzeichnis Quelle: MaXware

22 Provisioning Benutzer können so über verschiedene Systeme hinweg angelegt und verwaltet werden. Ressourcen können für sie in über Workflows mit Genehmigungsprozessen bereit gestellt werden. Veränderungen bei den Benutzern lassen sich automatisch umsetzen. Verlässt ein Benutzer das Unternehmen, werden die Benutzerkonten automatisch gelöscht oder gesperrt. Die Administrationsprozesse durch Provisioning-Lösungen sind auch unter dem Aspekt von Sicherheit und Risiko-Management wichtig. Auch bei mittelständischen Unternehmen ergibt ein deutlicher Mehrwert solcher Lösungen. Provisioning-Lösungen bieten ein erhebliches Potenzial bei der effizienteren Gestaltung von Administrationsprozessen..

23 Web-Access Sie regeln zentral den Zugriff auf vorhandene Anwendungen mit Web-Schnittstellen. Gerade bei älteren Anwendungen ist das Web Enablement ein Mittel, sie in neue Infrastrukturen zu integrieren. Web Access Management ist für die Sicherheit dann unverzichtbar. Zusätzlich sind in der Automobilindustrie auch SOAs (Service Oriented Architectures) nötig, um Geschäftsprozesse flexibel abbilden zu können. Damit können Funktionen vorhandener Anwendungen als Dienste in neue Anwendungen integriert werden. Wegen der zentralen Rolle von Portalen sind Web Access Management- Lösungen auch für den internen Einsatz wichtig.

24 Architektur eines Identity Management Systems Human Resource Vorgesetzter Angestellter Antragsteller Antrags-Workflow Rollenverwaltung ID Verwaltung Zentraler Speicher für Identitäten, Rollen, Gruppen und Policies. Verzeichnisdienst Provisioning workflow Audit & Abstimmung Zielsysteme

25 Integration über Federation Zentral-Modell Netz-Identity und Benutzerinformation in einer einzigen Ablage, Zentralisierte Steuerung, Single point of failure, Verbindet gleichartige Systeme. Federated Modell Netz-Identity und Benutzerinformation in verschiedenen Ablagen Keine zentrale Steuerung Kein Single point of failure Verbindet gleichartige und unterschiedliche Systeme

26 Federated Identity Das Verwalten und Aushandeln der Vertrauensbeziehungen über Organisationsgrenzen hinweg mittels sogenannter föderierte Identitäten. Föderierte Szenarios: Benutzerbequemlichkeit Verwandte industry Gruppierungen Geschlossene, hoch-verteilte Organisationen Strategische B-to-B Beziehungen. Über opt-in zum heterogenen Single Sign on Federation liefert die Verbindung.

27 Fragen, Vorschläge, Hinweise? Danke

28 Achtung Anhang Hier kommen die berüchtigten back-up-folien...