Identity- und Access-Management

Transkript

1 Identity- und Access-Management Autoren: Heike Jürgensen, Kersten Mebus, Christian Patrascu, ORACLE Deutschland GmbH Identity- und Access-Management (IAM) ist ein noch relativ junger und dynamisch wachsender Markt, der in den vergangenen Monaten stark an Beachtung gewonnen hat und zunehmend als wesentlicher Teil der IT-Infrastrukturen in Unternehmen betrachtet wird. Identity- und Access-Management-Systeme bilden die Basis für die organisationsinterne Verwaltung von Mitarbeitern, Kunden und/oder Partnern. Die Daten sowie die Zugangsberechtigungen zu den Systemen werden in der Regel in Verzeichnisdiensten (LDAP-Servern) gespeichert und über das IAM verwaltet. Neu: Artikel aus früheren Ausgaben der DOAG News finden Sie unter Gründe für ein zentrales IAM Die IT-Landschaften vieler Unternehmen sind durch heterogene Systeme und Anwendungen geprägt. Diese Heterogenität verursacht enorme Kosten für die Benutzerund Zugriffsverwaltung. Die Identity- und Access-Management-Lösung von Oracle zielt darauf ab, eine einheitliche, systemübergreifende Plattform für ein zentralisiertes, rollenbasiertes Benutzer-, Gruppen- und Berechtigungsmanagement in heterogenen Umgebungen zu schaffen. Die Gründe dafür sind: Sicherheit Studien haben gezeigt, dass bis zu 30 % der Mitarbeiter, die das Unternehmen bereits verlassen haben, weiterhin Zugriff auf die Unternehmensapplikationen haben. Diese unberechtigten Zugriffe auf Informationen durch frühere, in Systemen nicht gelöschte Mitarbeiter/ Kunden/Partner gilt es zu verhindern. IAM-Systeme beheben dieses Problem durch eine zentrale Benutzerverwaltung für alle Anwendungen des Unternehmens. Compliance (Revisionssicherheit) In Zusammenhang mit der Sicherheit steht das immer wichtigere Feld der Compliance. Dahinter verbirgt sich die Einhaltung gesetzlicher, regulatorischer oder interner Rahmenbedingungen. Bei Nichteinhaltung drohen Nachteile wie die Zahlung von Bußgeldern, die persönliche Haftung von Führungskräften oder Imageschaden des Unternehmens. IAM-Systeme ermöglichen den revisionssicheren Nachweis ausreichender Risikovorsorge und dienen als Grundlage für ein professionelles Auditing von IT-Prozessen. Durch die Umsetzung von Compliance wird Revisionssicherheit ermöglicht. Zum einen müssen Unternehmen genau beschreiben, wer wann was machen darf, und zum anderen nachweisen, wer wann was gemacht hat. Nicht zuletzt durch die permanente Verschärfung und Zunahme der gesetzlichen und regulatorischen Rahmenbedingungen (Basel II, Sarbanes Oxley, BilKoG, Datenschutzrichtlinien der Europäischen Union, KonTraG) gewinnt das Thema Identity-Management immer mehr an Bedeutung. Daher sind viele Unternehmen unter anderem dazu verpflichtet, die Überwachung ihrer IT-gestützten Prozesse neu zu definieren. Ohne ausreichendes Risiko-Management und interne Überwachungsmechanismen stellt sich zunehmend für die verantwortlichen Manager im Unternehmen die Frage der persönlichen Haftung. Damit wird das nachweisbare Einhalten der Compliance zu einem der wichtigsten Treiber für Identity-Management und leistungsfähige Authentifizierungssysteme. Kosteneinsparung Die Vereinfachung von administrativen Prozessen wie das Anlegen/Ändern von Benutzern oder die Vereinfachung von Helpdesk-Aufgaben wie das automatisierte Zurücksetzen von Kennwörtern spart Kosten. Administratoren verbringen immer noch viel Zeit mit der Änderung von Benutzernamen und Passwörtern der Angestellten sowie mit dem Löschen von Accounts ehemaliger Mitarbeiter. Zudem sind Anwender mit einem verbesserten Identitätsmanagement produktiver, da ein Mitarbeiter durchschnittlich 16 Minuten pro Tag mit dem Einloggen über verschiedene Passwörter verbringt. Darüber hinaus ist der Grund bei 45 Prozent aller Helpdesk-Anrufe ein Passwort-Reset. Mit einem effizienten Passwort-Management und entsprechender Verwaltung können Unternehmen den Zeitaufwand stark reduzieren, den ein Administrator normalerweise mit Identitätsmanagement verbringt. Einfache und schnelle Integration neuer Anwendungen Die flexible und kostengünstige Umsetzung von sicheren Geschäftsprozessen über mehrere Anwendungen oder über Unternehmensgrenzen hinweg lässt sich nur realisieren, wenn Identitäten über die Systemgrenzen hinweg "beherrschbar" sind. Benutzerzufriedenheit und einheitliche, vereinfachte Administration Anwender äußern den Wunsch nach Vereinfachung durch weniger Benutzer-IDs, weniger Kennwörter und Self-Service-Applikationen für personenbezogene Daten. Daneben spielen die Erhöhung der Prozessgeschwindigkeit und -qualität sowie der Wunsch von IT-Verantwortlichen und Administratoren nach Vereinfachung und verringerten Ausfallzeiten eine wichtige Rolle. IAM-Lösungen für diese vielfältigen und komplexen Anforderungen müssen sich in die bestehende IT-Infrastruktur einfügen, vorhandene Komponenten nutzen und 14

2 bestehende Anwendungen verbinden. Das Angebot von Oracle im Identity- und Access-Management umfasst, wie in Abbildung 1 dargestellt, acht Kernbereiche: Benutzerverwaltung (Identity-Management) Zugangssteuerung/-kontrolle (Access-Management) Revisionssicherheit & Gesetzeskonformität Benutzerverzeichnisse Synchronisation von Benutzeridentitäten (Provisioning) mit anderen Systemen Sicherer Zugriff bei Bund/Ländern/Kommunen/ Partnern durch föderierte Systeme Web-Services-Sicherheit von Prozessen Verschlüsselung von Daten/Mandantenfähigkeit Abbildung 1: Die Identity- und Access-Management-Lösung von Oracle im Benutzerverwaltung und Zugangskontrolle In komplexen, vernetzten Umgebungen wird das Thema einer Vereinfachung beim Anmelde- und Rechte-Management aus Benutzersicht immer kritischer. Oracle Access Manager ermöglicht die sichere Verwaltung von User-Accounts und die einheitliche Identifizierung von Benutzern und Ressourcen in Unternehmensnetzen. Der Abgleich zusätzlicher Benutzer-Identitäten mit anderen Systemen wird mit Oracle Identity Manager durchgeführt. Näheres dazu unter "Synchronisation von Benutzer-Identitäten (Provisioning) mit anderen Systemen". Die IAM-Lösung ist sofort einsetzbar mit LDAP-kompatiblen Directory Servern wie: Oracle Internet Directory (OID) Microsoft Active Directory Sun One Siemens DirX Novell edirectory IBM Directory Server Oracle Virtual Directory Das Identity-Management von Oracle bietet vordefinierte Funktionalitäten zum Administrieren von Benutzern, Gruppen und Organisationseinheiten auf Attribut-Ebene. Es liefert eine delegierte Administration von Benutzerprofilen (z.b. Weitergabe von Rechten wie für das Erstellen, Ändern oder Löschen von Benutzern) und eine integrierte Workflow-Engine für das Management von Benutzern, Gruppen und Organisationen. Über die anpassbare, mehrstufige Workflow-Engine können Benutzergruppen oder Organisationsprozesse automatisiert über Regeln (Policies) und Genehmigungen ausgeführt werden. Beispiele für solche Business-Prozesse sind: Anlegen, Löschen und Änderungen von Benutzern, Gruppen, Organisationen Selbstregistrierung von Benutzern und Organisationen Mehrstufige Genehmigungsverfahren für das Anlegen von Benutzern, etc. Subscribe (Beantragung) und Unsubscribe von Gruppen Hinzu kommen weitere Funktionen wie Passwort-Management sowie ein dynamisches Gruppen-Management. Die Oracle Access-Management-Lösung beinhaltet die gesamte Sicherheitsadministration und Zugriffssteuerung für webbasierte und Enterprise-Applikationen in heterogenen Umgebungen (siehe Abbildung 2). Der Access-Server stellt alle grundlegenden Sicherheitsservices zur Verfügung, die in einer Unternehmensnetzwerk-Umgebung mit mehreren Benutzern erforderlich sind. Dazu zählen: Authentifizierung Das Sicherheitssystem prüft, ob der Benutzer (oder ein anderes System), der Applikationen oder Daten anfordert, gültig ist. Bei der Authentifizierung kann hinterlegt werden, ob es sich um eine einfache Login-Seite mit Benutzernamen und Passwort oder um eine starke Authentifizierung beispielsweise über Zertifikate handelt. Ferner können Smart Cards bzw. biometrische Verfahren zur Authentifizierung genutzt werden. Autorisierung Das System bestimmt, ob ein Benutzer zur Ausführung der angeforderten Aufgaben berechtigt ist. Nach erfolgreicher Authentifizierung wird geprüft, ob der Benutzer berechtigt ist, auf die angeforderten Informationen zuzugreifen. Zugriffskontrolle Das System stellt sicher, dass der Zugriff auf Applikationen (Ressourcen) nur auf die Weise erfolgt, die den für diese Ressourcen definierten Sicherheitsregeln (Policies) entspricht. Die Kontrolle über die Anwendung wird nur erteilt, wenn die Identität des Benutzers durch die Authentifizierung verifiziert und seine Privilegien durch die Autorisierung bestätigt sind. Audit (Überprüfung) Das Sicherheitssystem überwacht die Verwendung des Systems und seiner Ressourcen durch Benutzer, die auf das System zugreifen. Dieser Service erkennt die Systemnutzung und zeichnet sie auf, sodass ein zuwiderhandelnder Benutzer identifiziert wird und gegebenenfalls Maßnahmen gegen ihn ergriffen werden können. Über Auditing wird Compliance sichergestellt, das heißt, die Zugangsrechte und das Zugriffsverhalten müssen aus Gründen der Revisionssicherheit für staatliche Behörden nachvollziehbar sein. Diese Sicherheitsservices gewährleisten Datenschutz, indem das Access-Management-System den Zugriff auf sensible Applikationen/Daten durch Anwender schützt, die keine autorisierten Benutzer des Systems sind. Neben der regelbasierten Autorisierung bietet das Access-System auch ein webbasiertes Single Sign-On. Dabei kann ein Benutzer nach einer einmaligen Authentifizierung auf alle Applikationen zugreifen, für die er berechtigt ist, ohne sich erneut anmelden zu müssen. Das Client/Server Single 16

3 Security Sign-On erledigt derzeit ein Partnerprodukt. Dieses soll zukünftig mit in das Produktportfolio von Oracle aufgenommen werden, damit ein komplettes Enterprise Single Sign-On (ESSO) möglich ist. Synchronisation von Benutzer-Identitäten mit anderen Systemen (Provisioning) Provisioning (zu deutsch: bereitstellen) ist ein Teil des Identitätsmanagements, bei dem erforderliche Ressourcen für die Anwender automatisch bereitgestellt werden. Da es heute immer häufiger in Unternehmen um digitale Zugangsberechtigungen geht, wird in diesem Zusammenhang auch von "eprovisioning" gesprochen. Oracle Identity Manager ermöglicht das unternehmensweite sowie plattformübergreifende Management von Zugriffskennungen und Rechten über alle Bereiche des Identity-Management hinweg. Oracle Identity Manager gilt als besonders anpassungsfähig und zwingt Unternehmen nicht dazu, in teueren Anpassungsaufwand zu investieren, um lückenlos in bestehende Geschäftsprozesse und Workflows integriert zu werden. Dies gilt auch für die Integration mit SAP. So weist der Identity-Manager beispielsweise Konnektoren zu mehr als 30 Standard-Anwendungen auf (siehe Abbildung 3). Abbildung 2: Oracle Access Management bietet eine sofortige Unterstützung der Zugriffssteuerung für Anwendungen auf unterschiedlichen Plattformen Abbildung 3: Sofort einsetzbare Standard-Konnektoren Application Development Application Performance Management Business Communication Business Intelligence Managed Services Security Training Trivadis ist ein erfolgreicher, expandierender und unabhängiger Anbieter von IT Lösungen und Services. Trivadis ist für mehr als 450 Kunden an 11 Standorten in der Schweiz und in Deutschland tätig. Das Dienstleistungsportfolio umfasst Anwendungsentwicklung, Consulting, Systemmanagement, Projektmanagement und Schulung. Trivadis vereint exzellentes technologisches Know-how in den Basistechnologien Oracle, Microsoft, IBM und Open Source mit einer breiten Lösungskompetenz. Trivadis bietet Ihnen ein vielseitiges Aufgabengebiet, viel Freiraum für die Umsetzung eigener Ideen, gute Weiterbildungsund Entwicklungsmöglichkeiten sowie ein spannendes Knowhow-Netzwerk, in dem Sie Ihr Wissen mit anderen Spezialisten austauschen können. Attraktive Anstellungsbedingungen, moderne Hilfsmittel und ein leistungsorientiertes Einkommen runden unser Angebot ab. Zur Unterstützung unserer Teams in den Niederlassungen Düsseldorf, Frankfurt, Hamburg, München und Stuttgart suchen wir motivierte und belastbare Persönlichkeiten. Consultant Applikationsentwicklung (m/w) Ihre möglichen Aufgaben: - Leitung von Projekten oder Teilprojekten - Coaching und Unterstützung in Kundenprojekten - Entwicklung von datenbanknahen Anwendungen (Java,.NET, SQL, PL/SQL) - Unterstützung von Kunden bei Einführungen von Content Management Systemen (CMS / Oracle Content DB) oder von XML-basierten Dokumentensystemen (Java, JSP, XML, XSLT, XSL-FO, AFP) Was Sie bereits mitbringen sollten: - Fundierte Informatik-Ausbildung - Gute Datenbankkenntnisse (Oracle, SQL-Server) - Fundierte Kenntnisse in objektorientierter Programmierung - Umfangreiche und vielfältige Projekterfahrung Telefonische Auskünfte erteilt Ihnen gerne Herr Olaf Messinger (Tel ). Ihre Bewerbungsunterlagen inkl. IT-Skill-Liste senden Sie bitte an jobs@trivadis.com oder an nebenstehende Adresse. Frau Diana Hubschmid, Human Resources, freut sich darauf! Trivadis AG. Human Resources. Täfernstr. 5. CH-5405 Baden-Dättwil Basel. Baden. Bern. Lausanne. Zürich. Düsseldorf. Frankfurt/M.. Freiburg i.br.. Hamburg. München. Stuttgart 17

4 Abbildung 4 zeigt beispielhaft einen Prozess, in dem ein Benutzer in SAP angelegt wird. Die Identitätsdaten werden nach Active Directory, Exchange und RSA mit anschließendem, direktem Zugriff auf die Systeme übermittelt. Die Reconcilation Engine (zu deutsch: Abgleich) prüft, ob ein neuer Eintrag/Änderung in SAP vorgenommen wird und sendet diese Daten dem Provision-Manager (Punkt 1 und 2). Daraufhin erstellt dieser ein Benutzerprofil. Dem Profil werden anhand von Berechtigungen Gruppen und Regeln zugeordnet (Punkt 3). Anschließend werden die Identitätsinformationen über die Adapter Factory mittels Konnektoren an die abzugleichenden Systeme transferiert (siehe Punkt 4). Web-Services in Echtzeit miteinander, um zuverlässige Zugangskontrolle für Applikationen, Verfahren und Prozesse zu ermöglichen. Außerdem lassen sich Verzeichnisdaten für administrative und andere Anwendungen in fast beliebiger Weise strukturieren. Wenn zum Beispiel Unternehmen auf gemeinsame Applikationen zugreifen, stellt sich das Problem, wie der sichere Zugriff gewährleistet werden kann, wenn die Identity-Informationen jeder Abteilung und jedes Partners in separaten Unternehmens-Directories gespeichert sind und verschiedene Schemata, Produkte und Technologien zum Einsatz kommen. Mit dem virtuellen Directory bietet Oracle eine Lösung, um die Anfragen von der Applikation zum entsprechenden Directory zu leiten. Die Antwort des originären Directories wird in das spezifische Format umgewandelt, das die Applikation benötigt. Anschließend erfolgt die Weiterleitung an die Applikation. Für diese Lösung ist weder eine doppelte Datenhaltung wie bei Meta Directories notwendig, noch entstehen neue Delegated Administrationskosten. Der Zugriff auf ein virtuelles Directory erfolgt standardisiert über LDAP-v3-Mechanismen. Abbildung 4: Automatisierter Identitätsabgleich (Provisioning) zwischen unterschiedlichen Systemen Benutzerverzeichnisse (LDAP-Directories) Benutzerverzeichnisse (Directories) spielen in jeder IAM- Strategie eine zentrale Rolle. Das Oracle Internet Directory (OID) ist eine bewährte Lösung, die auf der Oracle- Datenbank-Technologie aufsetzt und unter anderem LDAP v3 unterstützt, das führende Protokoll für den Zugriff auf Verzeichnisdienste. LDAP vermittelt die Kommunikation zwischen Client (z.b. Mail-Server, Authentifizierungsdienst oder Adressverzeichnis) und Directory-Server, um auf die gespeicherten Identitätsinformationen zugreifen oder diese modifizieren zu können. In den meisten Unternehmen gibt es heute neben vielen LDAP-basierenden Verzeichnisdiensten noch proprietäre Lösungen ohne LDAP-Unterstützung. In der Praxis führt dieses Nebeneinander zu Doppel- und Dreifachaufwand sowie zu Mehrkosten und Fehlern bei der Eingabe und Verwaltung der Benutzerdaten. Oracle bietet mit seinem OID einen leistungsfähigen Verzeichnisdienst, gleichzeitig aber auch die Integrationslösungen für die Verbindung mit bestehenden Verzeichnisdiensten als Meta Directory an. Damit hat der Kunde die nötige Offenheit bei seiner Verzeichnisdienst-Strategie und gleichzeitig einen Lösungsansatz, um die Datenqualität über verschiedene Verzeichnisse hinweg zu verbessern und den administrativen Aufwand zu verringern. Neben diesem klassischen Integrationsansatz eines Meta Directories bietet Oracle auch ein virtuelles Verzeichnis an, um Integrationslösungen in einer komplexen Anwendungslandschaft zu anderen parallel betriebenen Datenspeichern wie LDAP-System und Datenbanken zu realisieren. Das Oracle Virtual Directory verbindet Identitätsdaten aus Verzeichnisdiensten, Datenbanken und Abbildung 5: Viele unterschiedliche Konzepte sind realisierbar Sicherer Zugriff durch föderierte Systeme (Federation Identity) Federation eröffnet Unternehmen (Serviceprovider) die Möglichkeit, ihren Geschäftspartnern (Identitätsprovider) sicheren Zugriff auf Informationen zu gewähren, auch wenn diese auf unterschiedlichen Systemen über Unternehmensgrenzen hinweg gespeichert sind. Oracle Federation Server verwendet weltweit standardisierte Federationsprotokolle wie SAML, Liberty Alliance und WS Federation, um mehrere Nutzerkonten mit unterschiedlichen Online-Anbietern zu verbinden. Dies sorgt für eine sichere Authentifizierung und bietet dem User den Vorteil, dass er sich nur einmal anmelden muss. Navigiert ein Nutzer auf unterschiedlichen Websites, die zur selben Federation gehören, erkennt die Software seine Identität und kann auf Basis seiner persönlichen Präferenzen eine sichere Umgebung bereitstellen. Ein weiterer Vorteil liegt in der einmaligen Speicherung und Pflege der Identitätsdaten, die in der Regel durch den Identitätsprovider (Partnerunternehmen) vorgenommen wird. Oracle ist seit 2004 Sponsor der so genannten Liberty Alliance, einem industrieübergreifenden Standardgremium, dessen Ziel es ist, die Grundlagen für Identity Federation zu schaffen. 18

5 Security Web-Services-Sicherheit von Prozessen Web-Services sind Software-Bausteine, die mit Anwendungen über das Internet oder Intranet kommunizieren können. Mithilfe von Web-Services-Management können Unternehmen Web-Services interner und externer Anbieter zu komplexen neuen Anwendungen kombinieren. Der Oracle Web-Services-Manager bietet Werkzeuge für die Erstellung, Anwendung und Durchsetzung von Sicherheitsregeln (Security-Policies) und für die Transaktionsverwaltung von Web-Services sowie Dashboard-Überwachungsfunktionen für Web-Applikationen und -Services basierend auf Standards. Unterstützte Standards sind XML-Encryption, XML-Digital-Signature (Web-Service- Security), SAML oder X509-Zertifikate. Durch grafische Tools lassen sich diese Regeln oder Policies definieren und verwalten. Damit ergeben sich deutliche Erleichterungen, da durch diesen regelbasierten Ansatz Sicherheitsregeln durchgängig umgesetzt werden, eine einfachere Überwachung solcher Sicherheitsregeln möglich wird und Sicherheitsregeln zentral definiert und nicht für jede Applikation spezifisch implementiert werden müssen. Damit haben Unternehmen eine bessere Kontrolle über ihre Web-Services und den Nachweis über die Einhaltung von regulatorischen Vorschriften (Compliance). Serviceorientierte Architekturen (SOA) und Business Integration rücken zunehmend in den Mittelpunkt der Bemühungen bei den meisten Unternehmenskunden. SOA beschreibt eine Software-Infrastruktur, in der die wesentlichen Funktionen einer Anwendung beziehungsweise Software-Module als Service organisiert sind. Services können beliebig verteilt sein und lassen sich dynamisch zu Geschäftsprozessen verbinden. SOA legt hierbei die Schnittstellen fest, über die andere Systeme via Netzwerk diese Dienste nutzen können. Services tauschen dadurch unabhängig von den zugrunde liegenden technischen Plattformen Daten aus und werden mit dem Oracle Web- Services-Manager sicher gestaltet. Fazit Das IAM-Produktportfolio von Oracle erfüllt die Anforderungen, die heute von der Unternehmens-IT an eine integrierte Lösungs-Suite gestellt werden. Gleichzeitig entsteht nachweis- und messbarer Mehrwert auf folgenden Gebieten: Kosten Dank höherer Effizienz von Antrags- und Genehmigungsprozessen wird der Verwaltungsaufwand über alle betroffenen IT-Systeme hinweg spürbar gesenkt. Zusätzlich wirkt sich die durch IAM erreichte höhere Transparenz der Administrationsaufwände kostensenkend aus. Ease of Use Für den Endnutzer bedeuten einfachere und flexiblere Antragsprozesse eine deutliche Entlastung. Authentifizierung und Kennwort-Management werden vereinfacht (z.b. durch ESSO). Das Beantragen, Genehmigen, Anlegen, Ändern und Löschen von Benutzern und 19

6 Rechten ist beschleunigt und verbessert. IAM macht darüber hinaus den verstärkten Einsatz von Self-Service- Funktionen möglich. Sicherheit Der korrekte Umgang mit personenbezogenen Daten und das Einhalten von Sicherheitsrichtlinien werden durch den Einsatz von effektivem IAM erheblich erleichtert. Dank eindeutiger Identifikation aller Beteiligten wird auch das "Sicherheitsbewusstsein" im Unternehmen gestärkt. Compliance IAM ermöglicht den revisionssicheren Nachweis ausreichender Risikovorsorge und dient als Grundlage für professionelles Auditing von IT-Prozessen. Dadurch kann das Haftungsrisiko verringert und das Vertrauen in Systeme und Prozesse gestärkt werden. Oracle ist aufgrund seiner eigenen Innovationsstrategie sowie durch den gezielten Zukauf von führenden Spezialanbietern wie Oblix, Thor Technologies und OctetString in der Lage, eine vollständige Lösungs-Suite im Identity- und Access-Management anzubieten, die von der Zugangskontrolle über Identity Federation, Provisioning und Directory-Services einschließlich Virtual Directories bis hin zum Web-Services-Management reicht und sich dank seiner Offenheit sehr gut in bestehende System-Landschaften integrieren lassen. Kontakt: Heike Jürgensen 20