Rollenbasierte Identitätsund. Autorisierungsverwaltung an der TU Berlin

Transkript

1 Rollenbasierte Identitätsund Autorisierungsverwaltung an der TU Berlin Christopher Ritter OdejKao Thomas Hildmann Complex and Distributed IT Systems CIT / IT Dienstleistungszentrum tubit Technische Universität Berlin Germany

2 Was ist tubit? C.Ritter Rollenbasierte Identitäts- und Autorisierungsverwaltung an der TU-Berlin 2

3 Agenda Motivation TUBIS: Rollenbasiertes Identitätsmanagement System Integration in die IT-Infrastruktur und Prozesse TU-Portal Ausblick extremerole Engineering Workflowmanagement Zusammenfassung C.Ritter Rollenbasierte Identitäts- und Autorisierungsverwaltung an der TU-Berlin 3

4 Motivation C.Ritter Rollenbasierte Identitäts- und Autorisierungsverwaltung an der TU-Berlin 4

5 Motivation C.Ritter Rollenbasierte Identitäts- und Autorisierungsverwaltung an der TU-Berlin 5

6 Motivation C.Ritter Rollenbasierte Identitäts- und Autorisierungsverwaltung an der TU-Berlin 6

7 Motivation C.Ritter Rollenbasierte Identitäts- und Autorisierungsverwaltung an der TU-Berlin 7

8 Motivation C.Ritter Rollenbasierte Identitäts- und Autorisierungsverwaltung an der TU-Berlin 8

9 Motivation C.Ritter Rollenbasierte Identitäts- und Autorisierungsverwaltung an der TU-Berlin 9

10 Motivation C.Ritter Rollenbasierte Identitäts- und Autorisierungsverwaltung an der TU-Berlin 10

11 Motivation C.Ritter Rollenbasierte Identitäts- und Autorisierungsverwaltung an der TU-Berlin 11

12 Motivation - Anforderungen C.Ritter Rollenbasierte Identitäts- und Autorisierungsverwaltung an der TU-Berlin 12

13 Inhalt C.Ritter Rollenbasierte Identitäts- und Autorisierungsverwaltung an der TU-Berlin 13

14 Organisation C.Ritter Rollenbasierte Identitäts- und Autorisierungsverwaltung an der TU-Berlin 14

15 Identity Management System C.Ritter Rollenbasierte Identitäts- und Autorisierungsverwaltung an der TU-Berlin 15

16 Authentisierung C.Ritter Rollenbasierte Identitäts- und Autorisierungsverwaltung an der TU-Berlin 16

17 Erst die halbe Miete C.Ritter Rollenbasierte Identitäts- und Autorisierungsverwaltung an der TU-Berlin 17

18 Autorisierung C.Ritter Rollenbasierte Identitäts- und Autorisierungsverwaltung an der TU-Berlin 18

19 Rollenbasiertes IdM an der TU Berlin - TUBIS C.Ritter Rollenbasierte Identitäts- und Autorisierungsverwaltung an der TU-Berlin 19

20 Klassisches RBAC Modell C.Ritter Rollenbasierte Identitäts- und Autorisierungsverwaltung an der TU-Berlin 20

21 RBAC-Modell nach Maranda C.Ritter Rollenbasierte Identitäts- und Autorisierungsverwaltung an der TU-Berlin 21

22 Stanford Modell C.Ritter Rollenbasierte Identitäts- und Autorisierungsverwaltung an der TU-Berlin 22

23 TUBIS-Modell C.Ritter Rollenbasierte Identitäts- und Autorisierungsverwaltung an der TU-Berlin 23

24 Rollenverwaltung Drei Typen von Rollen Geschäftsrollen Anwendungsrollen Zugriffsrollen Gewaltenteilung auf Modellebene Vier Varianten der Rollenzuweisung Standardrollen Strukturverwaltung (dynamische Rollen) Vertretungen / Delegation Teambildung C.Ritter Rollenbasierte Identitäts- und Autorisierungsverwaltung an der TU-Berlin 24

25 Rollenverwaltung forts C.Ritter Rollenbasierte Identitäts- und Autorisierungsverwaltung an der TU-Berlin 25

26 Metadirectory Vermeidung von Datenredundanzen Referenzen auf primäre Datenquelle Zu Zeit eingebundene primäre Datenquellen Personalverwaltung Studierendenverwaltung Finanzverwaltung (Kostenstellen) Verfügbarkeit der Daten für autorisierte Dienste über unterschiedliche Schnittstellen Web-Services LDAP Datei Export Dienste authentisieren sich per Zertifikat am TUBIS C.Ritter Rollenbasierte Identitäts- und Autorisierungsverwaltung an der TU-Berlin 26

27 (De-)zentrales System Zentrales Modell Zentrales System Zentrale Sicherheitspolitik Dezentrale Administration Dezentrale Nutzung C.Ritter Rollenbasierte Identitäts- und Autorisierungsverwaltung an der TU-Berlin 27

28 Integration Provisionierung Prozess zur initialen Erfassung einer Person Kartenausgabestelle (KAS) / RA Datenimport über TUBIS Anlegen der Person im TUBIS Benutzerverwaltung Vorbereitung eines Nutzerkontos Web-Interface zur Kontoaktivierung Freie Wahl des Nutzernamens Propagieren der Daten LDAP Kerberos AD C.Ritter Rollenbasierte Identitäts- und Autorisierungsverwaltung an der TU-Berlin 28

29 TU Portal Zentraler Einstiegspunkt C.Ritter Rollenbasierte Identitäts- und Autorisierungsverwaltung an der TU-Berlin 29

30 Integrierte Anwendungen CMS Typo3 Loga HCM SuperX QIS/POS Prüfungsanmeldung Software Onlineshop (ASKnet) Hardware Onlineshop (TU Eigenentwicklung) Online Anträge TUBIS Schnittstelle zur informationellen Selbstbestimmung Weitere in Vorbereitung C.Ritter Rollenbasierte Identitäts- und Autorisierungsverwaltung an der TU-Berlin 30

31 Erweiterung extremerole Engineering Erweiterung klassischer Role Engineering Verfahren durch Methoden der agilen Software Entwicklung C.Ritter Rollenbasierte Identitäts- und Autorisierungsverwaltung an der TU-Berlin 31

32 Erweiterung Workflow Management Systeme Elemente des IdM als Prozesse definieren Abbilden von Verwaltungsprozessen in Workflows des IdM Unterstützungswerkzeuge zur Rollendefinition und Delegation Vollständige Migration der alten Benutzerverwaltung Automatische Synchronisation der Verzeichnisdienste Erhöhung der Transparenz für den Benutzer Anschluss ans Shibboleth C.Ritter Rollenbasierte Identitäts- und Autorisierungsverwaltung an der TU-Berlin 32

33 Zusammenfassung Gute Erfahrungen mit rollenbasierten IdM Derzeit werden etwa Identitäten verwaltet Entscheidenden Faktoren: Zentrales IdM/RBAC-System für alle Dienste Dezentrale Administration des Modells Teilung des Systems in verschiedene Sichten Zentrales Metadirectory für Daten der Universitätsverwaltung Noch weiter Weg vor uns extremerole Engineering Workflow Management System Integration in Shibboleth C.Ritter Rollenbasierte Identitäts- und Autorisierungsverwaltung an der TU-Berlin 33

34 Kontakt Web: mailto: Vielen Dank! C.Ritter Rollenbasierte Identitäts- und Autorisierungsverwaltung an der TU-Berlin 34

35 C.Ritter Rollenbasierte Identitäts- und Autorisierungsverwaltung an der TU-Berlin 35