Identity & Access Management im SAP Umfeld

Transkript

1 Information and Communication Networks Identity & Access Management im SAP Umfeld IT Management Forum 10. Februar 2004, München Ralf Knöringer, Siemens AG

2 2 Enterprise Networks Positionierung Das Informationsdilemma Die Herausforderung Identity- und Passwort-Krise Das Siemens Angebot Intergiertes Identity & Access Management Identity Management im SAP Umfeld Case Studies Wertschöpfung in Identity & Access Management ICN EN SNS MDS/ / Seite: 2 / Knöringer/ Siemens AG 2003

3 3 Enterprise Networks Identity Management reduziert Kosten, steigert die Produktivität und erhöht die Sicherheit Supply Chain Management CRM mysap Knowledge Management Information Effizienz Sicherheit Process Management Kosten- Reduktion Eindeutige Identität Identity Management Performance Einheitliche Benutzerdaten Wettbewerbs -fähigkeit Produktivität Enterprise Portals Real Time Communications IT-Infrastructure ICN EN SNS MDS/ / Seite: 3 / Knöringer/ Siemens AG 2003

4 4 Enterprise Networks Die Nutzung unternehmenskritischer Informationen ist alltäglich Mitarbeiter Tagtäglich melden sich Anwender in Unternehmen an einer Vielzahl von Systemen an um s abzurufen oder auf Informationen zu zugreifen! Sales Partner Finance B2B Marketing Kunden Logistics ICN EN SNS MDS/ / Seite: 4 / Knöringer/ Siemens AG 2003

5 5 Enterprise Networks Die Nutzung unternehmenskritischer Informationen ist alltäglich Hierzu werden manuell eine Vielzahl von Benutzerverzeichnissen administriert. Mitarbeiter Sales Partner Finance B2B Marketing Kunden Logistics ICN EN SNS MDS/ / Seite: 5 / Knöringer/ Siemens AG 2003

6 6 Enterprise Networks Die Herausforderung Motivation für Identity Management Mitarbeiter Partner Vielzahl spezifischer Verzeichnisse für Benutzerdaten Datenqualität sicherstellen Wieviele Meier nutzen die verschiedenen Systeme? 10 Systeme 10 Schreibweisen: r_meier, RudiMeier, MeierR... Sales Finance B2B Marketing Kunden Logistics ICN EN SNS MDS/ / Seite: 6 / Knöringer/ Siemens AG 2003

7 7 Enterprise Networks Die Herausforderung Motivation für Identity Management Mitarbeiter Starker Zuwachs von Benutzern, die sofortigen Zugang zu Anwendungen oder Ressourcen brauchen Produktivität optimieren Sales Partner Wie schnell bekommt ein neuer Vertriebsmitarbeiter Zugang zur Kundendatenbank (CRM)? 1 Stunde - 1 Tag 1 Woche 1 Monat Finance B2B Marketing Kunden Vielzahl spezifischer Verzeichnisse für Benutzerdaten Datenqualität sicherstellen Logistics ICN EN SNS MDS/ / Seite: 7 / Knöringer/ Siemens AG 2003

8 8 Enterprise Networks Die Herausforderung Motivation für Identity Management Mitarbeiter Steigerung der Administrationsaufwände für die Benutzerverwaltung Kostenexplosion vermeiden Sales Partner Warum müssen viele Administratoren immer wieder die gleiche Arbeit tun? Bei einer Versetzung entstehen, höhere Aufwände als bei der Neueinstellung eine Mitarbeiters! Finance B2B Starker Zuwachs von Benutzern, die sofortigen Zugang zu Anwendungen oder Ressourcen brauchen Produktivität optimieren Marketing Kunden Vielzahl spezifischer Verzeichnisse für Benutzerdaten Datenqualität sicherstellen Logistics ICN EN SNS MDS/ / Seite: 8 / Knöringer/ Siemens AG 2003

9 9 Enterprise Networks Die Herausforderung Motivation für Identity Management Mitarbeiter Partner Zeitnaher Entzug von Zugriffsrechten Sicherheitsstandards beibehalten 43% von 543 Führungskräften geben an, Sicherheitsverletzungen erfolgten durch ehemalige Mitarbeiter, die ihre Steigerung Accounts weiter der Administrationsaufwände nutzen konnten. für Camelot/eWeek die Benutzerverwaltung Kostenexplosion vermeiden Sales Finance B2B Starker Zuwachs von Benutzern, die sofortigen Zugang zu Anwendungen oder Ressourcen brauchen Produktivität optimieren Marketing Kunden Vielzahl spezifischer Verzeichnisse für Benutzerdaten Datenqualität sicherstellen Logistics ICN EN SNS MDS/ / Seite: 9 / Knöringer/ Siemens AG 2003

10 Die Herausforderung Was sagt der Gesetzgeber? EU: Datenschutzrichtlinie Mitarbeiter Partner Persönliche Informationen müssen von unerlaubtem Zugriff geschützt werden. Es muss die Richtigkeit und die Aktualität sichergestellt werden können. Sarbanes-Oxley (USA) Sales Finance B2B CEO und CFO müssen die Korrektheit finanzieller Statements garantieren. Somit haften sie auch für die Auditierbarkeit der IT-Prozesse. HIPAA (USA) Marketing 10 Kunden Zum Schutz Patienten-bezogener Daten müssen Rollen-basierte Zugriffskontrollen geschaffen werden. Logistics ICN EN SNS MDS/ / Seite: 10 / Knöringer/ Siemens AG 2003

11 Die Herausforderung Motivation für Identity Management Mitarbeiter Sicherheit erhöhen Sales Partner Kosten reduzieren Produktivität steigern Finance B2B Qualität sichern Risiken managen und beseitigen! Marketing 11 Kunden Logistics ICN EN SNS MDS/ / Seite: 11 / Knöringer/ Siemens AG 2003

12 Identity und Password Krise GhK_µTD58xd Chaos: Ein typischer IT Benutzer hat 21 Passwörter 49% notieren Passwörter oder speichern es in Dateien* 50% benutzen leicht zu erratende Passwörter* 67% modifizieren das Passwort nie oder selten* Ca. 80 % aller Authentisierungen werden heute (April 2002) per Benutzername / Password vollzogen willie2004 qwertz passwort Kostenlawine Passwortmanagement Passwortmodifikation erzeugt Kosten zwischen $ 51 und $ 147 (falls nicht automatisiert) (Gartner Group, April 02) ca. 45% aller Supportfälle sind Passwort bezogen Durchschnittliche Kosten eines internen Angriffs belaufen sich auf $ 2,7 Mio (CSI/FBI, 2001) Eine typische IT Organisation benutzt mehr als 10 Anwendungen/Services zur Speicherung von Benutzerprofilen Ca. 60% der Accounts sind nutzlos, d.h. doppelt oder veraltet (IDC, 2001) 12 ICN EN SNS MDS/ / Seite: 12 / Knöringer/ Siemens AG 2003

13 Lösungsangebot von Siemens EIN Integriertes, automatisiertes Identity Management Mitarbeiter Bereinigt und führt Benutzerdaten aus einer Vielzahl von Verzeichnissen und Datenbanken zusammen Automatisiert die Verwaltung von Benutzern und deren Berechtigungen und Passwörtern in verschiedenen Systemen Sales Kunden B2B Identity Management Services Meta Directory DirXmetahub Smart Card Authentication Identity Directory DirX DirX Extranet Edition Provisioning DirXmetaRole Access Management Finance Marketing Partner Sichert die Identifizierung des Anwenders (Passwort, Public Key Infrastructure, SmartCard, Biometrie) Ermöglicht den Zugang zu einer Vielzahl von Anwendungen durch einmalige Anmeldung (SSO) Logistics 13 ICN EN SNS MDS/ / Seite: 13 / Knöringer/ Siemens AG 2003

14 Die Siemens DirX Produktfamilie Identity Management aus einer Hand Alle DirX Produkte besitzen offene Schnittstellen (LDAP, XML, DSML..) und sind modular einsetzbar DirXmetaRole Provisioning Rules and policy based Role Based - RBAC Verfügbar auf Windows NT, 2000, 2003 und UNIX Plattformen. Konsequente Orientierung an Standards für Webservices. DirX / DirX Extranet Edition DirXmetahub Built-in Agents ASCII, LDAP DirXweb Web Client DirXmobile Mobility Client DirXdiscover Windows Client Directory Service Meta Directory Agents for Web Services XML, XSLT, DSML, SOAP Application-specific Agents ERP, CRM, databases, operating systems,... SPML-based Agent Integration Framework 14 ICN EN SNS MDS/ / Seite: 14 / Knöringer/ Siemens AG 2003

15 DirXmetaRole Produkt-Highlights DirXmetaRole DirXmetahub DirX und DirX EE Extranet Edition Provisionierung und Rollen-basierte Berechtigungsverwaltung Identity-Integration: Synchronisation mit beliebigem Corporate Directory als Identity Management Master Grafische Administrationsoberfläche für die Verwaltung von Benutzern, Rollen, Rechten und Zielsystemen Unterstützung der NIST RBAC Definitionen von Anwendern, Rollen und Rechten und der allgemeinen Rollenhierarchie (Parametrierte Rollen / Rechte). Schnittstelle zum Import von Rollen und Berechtigungen aus Modellierungs-Tools anderer Hersteller (z. B. ARIS, IDS Scheer) Delegierbare Benutzerverwaltung und Web-basierter Genehmigungs-Workflow zur Abwicklung des Antrags- und Genehmigungsverfahrens (4-Augen-Prinzip) Provisionierung von Benutzern / Accounts, Benutzergruppen und Berechtigungen in Zielsystemen (z. B. SAP R/3, MS ADS, IBM RACF..) Sicherheit ( Policy Enforcement) Automatisierte Validierung von Zielsystemen, Erstellen von Reports 15 ICN EN SNS MDS/ / Seite: 15 / Knöringer/ Siemens AG 2003

16 DirXmetahub Produkt-Highlights DirXmetaRole DirXmetahub DirX und DirX EE Extranet Edition Meta Directory: Integration von heterogenen Verzeichnissen und Datenbanken in ein LDAP Verzeichnis mit höchster Konsistenz und Datenintegrität. Einstufige, skriptfähige Join Engine mit dedizierten und generischen Agenten (ETML - Extract, Transform, Move, Load) Leistungsstarke Java-basierte grafischer Administrationsoberfläche (Steuerung über XML-basierte Metadaten). Bi-direktionale Synchronisation mit beliebigen Quellen und/oder strukturierten Dateien (XML, DSML, LDIF, CSV) Erzeugen von Globalen Identifiern GID Generator Event-basierte Workflows und Synchronisationen Offene Architektur unabhängig von speziellem Datenhaltungssystem (Support für Siemens, SUN ONE, MS ADAM) Verschlüsselung und Datensicherheit Sichere Verschlüsselung für die Passwort Synchronisation DirXmetahub Kommunikation über (strong) SSL 16 ICN EN SNS MDS/ / Seite: 16 / Knöringer/ Siemens AG 2003

17 DirX und DirX Extranet Edition Produkt-Highlights DirXmetaRole DirXmetahub DirX und DirX EE Extranet Edition Hochleistungs-Directory Service zum Einsatz als Identity Store in Enterprise und Service-Provider Umgebungen Standard-basierte offene Architektur (LDAP, DSML / SOAP and X.500, X.500-IDM). Stark vereinfachte Administration mit leistungsstarken, grafischen (JAVA) und Kommando-orientierten Administrationswerkzeugen. Performance: Optimale Zugriffszeiten und hoher Durchsatz paralleler Anfragen durch Cache-Einsatz. EE: Patentierte DBAM- Technologie für höchste Performance bei linearer Skalierbarkeit. Skalierbarkeit: Lineare Skalierbarkeit im Enterprise und Service Provider Einsatz bis zu mehreren Millionen Einträgen. Spezielle EE Features: Hoch performantes, initiales Laden von vorhandenen Daten, Datenbank-Nachindizierung, Reorganisation, Sicherung und Wiederherstellung im laufenden Betrieb. Verschlüsselung und Datensicherheit Sichere Verschlüsselung für die Passwort Synchronisation und Unterstützung der LDAPV3-Passwort Policies. DirX LDAP Kommunikation über (strong) SSL Zugriffssicherung der Directory Daten über ACLs Extensive Auditing-, Monitoring- und Logging-Funktionen 17 ICN EN SNS MDS/ / Seite: 17 / Knöringer/ Siemens AG 2003

18 Siemens Service Portfolio Einführungsworkshop Entwicklung einer kundenspezifischen Strategie unter Berücksichtigung der Prioritäten des Kunden Analyse & Design Implementierung der Datenstrukturen und der IDM Prozesse Installation und Inbetriebnahme Analyse des Ist-Zustandes: Datenflussmodell und Prozesse Analyse Sicherheitsanforderungen Rollenbasiertes Berechtigungskonzept Implementierung Betriebs- und Sicherheitskonzepte Anpassung an veränderte Prozesse beim Kunden Bei Bedarf: Outsourcing / Outtaking Betrieb 18 Hotline und Tele-Service Software Updates und Datenpflege Weltweiter Support ICN EN SNS MDS/ / Seite: 18 / Knöringer/ Siemens AG 2003

19 Von der Benutzerverwaltung zum Identity Management Benutzerverwaltung Manuell und dezentral Unternehmensspezifische Anwendungen Zielsysteme Identity & Access Management Automatisiert und zentral Mitarbeiter Windows 2000 Exchange SAP Corporate Directory Sicurity & DirX Solutions Mitarbeiter Partner B2B Database Web Services EAI File Services SSO Legacy Identity Management DirX Siemens Identity & Access Partner B2B 19 Kunden Trust Center Management Kunden ICN EN SNS MDS/ / Seite: 19 / Knöringer/ Siemens AG 2003

20 Siemens bietet Identity Management- Lösungen mit nachweisbarem Return on Invest Schnelle Produktivierung neuer Mitarbeiter Durchgängige unternehmensübergreifende Prozesse Automatisierte Einrichtung von Accounts in verschiedenen Systemen Zentrale Benutzerverwaltung Reduzierung der Kosten für Helpdesk Services (Passwörter) Genaue Kostenzuordnung und Kostentransparenz Unternehmensweite Transparenz von Zugriffsberechtigungen Zeitnaher Entzug von Zugriffsrechten Extakte Kontrolle der Zugriffe auf Unternehmensressourcen Sicherheit erhöhen Kosten reduzieren Produktivität steigern Qualität sichern Risken managen 20 ICN EN SNS MDS/ / Seite: 20 / Knöringer/ Siemens AG 2003

21 21 ICN EN SNS MDS/ / Seite: 21 / Knöringer/ Siemens AG 2003

22 Kernaussagen SAP Siemens bietet SAP Kunden: Zentrales Management und Bereitstellung der Identitätsinformation. Automatisierte Verwaltung der Benutzerstammdaten Anlage, Modifikation, Sperren, Löschen Delegierte Administration Workflow-Support Rollenbasierte Rechteverwaltung (RBAC) Standardisierte Identity-Schnittstellen LDAP, SOAP, SPML, XML Support von PKI und externen -Lösungen Reporting und Logging Zertifizierte Produkte 22 Kostensenkung und erhöhte Sicherheit ICN EN SNS MDS/ / Seite: 22 / Knöringer/ Siemens AG 2003

23 Siemens deckt mit seinen DirX Solutions die gesamte Prozesskette des Identity Management ab Identity-Management-Prozess Funktionen Identity-Pflege Berechtigungs- und Richtlinienverwaltung Benutzer- und Zugriffsverwaltung Identity-Import aus maßgeblichen Instanzen z. B. HR ink. OM, CRM. Bereinigung, Vereinheitlichung und Zusammenführung der importierten Identities zu einer eindeutigen Identity pro Benutzer Verwaltung von Berechtigungen: Rollen, Rechte, Gruppenzugehörigkeit Automatische Zuordnung der Berechtigungen: Regelund richtlinien-basiert Provisionierung von Benutzern und Zugriffsrechten zu SAP-CUA und Portal Passwort-Management Zielsystem-Validierung Einbindung von Single Sign- On DirXmetahub DirXmetaRole DirX / DirX Extranet Edition Consult Design Build Operate 23 Identity-Management-Prozess Produkte und Services ICN EN SNS MDS/ / Seite: 23 / Knöringer/ Siemens AG 2003

24 Siemens Identity & Access Management Architektur für SAP Portal 6 Identity-Management-Prozess Funktionen Identity-Pflege Berechtigungs- und Richtlinienverwaltung Benutzer- und Zugriffsverwaltung SAP HR MA Meta Directory Identity Integration DirXmetahub SCD DirX User User Identity Store Global ID DirX Extranet Roles Policies Permission Permission Permission Provisionierung Transaktionen, Workflows Synchronisation DirXmetahub Identity Store mysap CUA ebiz Apps MS ADS Sales EXT CRM User User Web-basierte Administration Benutzer, System, Rollen, Berechtigungs-Management DirXmetaRole AMS UME-S Single-Sign-On 24 ICN EN SNS MDS/ / Seite: 24 / Knöringer/ Siemens AG 2003

25 Projektbeispiel 1 - Audi AG SAP HR Audi AG INKAS Benutzer- Verwaltung Telefonie Ungarn SAP HR Vertriebs- Gesellschaft mbh Audi- Tochter HR Standort Györ ZEBRA Zentrales Benutzer- und Ressourcen- Verzeichnis für AUDI 45 Schnittstellen für interne Kunden Datenbereitstellung RACER Benutzer- Verwaltung Mainframe Spiider Authentisierungs- Server u. a. für Mitarbeiter-Portal 25 ICN EN SNS MDS/ / Seite: 25 / Knöringer/ Siemens AG 2003

26 Projektbeispiel 2 Deutsche Steinzeug Personalsystem SAP R/3 HR Single Point of Administration für alle Mitarbeiterdaten Unterstützung der Unternehmenskommunikation Windows NT HiPath Zentrale Datenpflege und automatische Synchronisation der angeschlossenen Systemen für 2500 Mitarbeiter Exchange HiPath Xpressions ICN EN SNS MDS/ / Seite: 26 / Knöringer/ Siemens AG 2003

27 Phasen der Integration Drei Dimensionen der IDM Wertschöpfung Kostenreduktion Return on Invest Integriertes Identity Management reduziert Kosten und steigert die Wettbewerbsfähigkeit Meta Directory Datenbereinigung Synchronisation Corporate Directory unternehmensweites Benutzerverzeichnis User & Access Management Zuordnung der Rechte und Rollen Provisionierung Automatisierte Benutzerverwaltung der Zielsysteme Single Sign On Portale & Web Services Integration Auskunftssystem Eindeutige und aktuelle Benutzerdaten Wettbewerbsfähigkeit Help Desk Automatisierung Vergabe und zeitnaher Entzug geschäftsrelevanter Berechtigungen Authentisierungsdienste und Passw ortmanagement Effiziente Administration Produktivität & Flexibilität 27 ICN EN SNS MDS/ / Seite: 27 / Knöringer/ Siemens AG 2003

28 Folgen Sie guten Beispielen: Referenzen für Identity Management Öffentliche Auftraggeber Telefonanbieter / ISP s Europäische Union Deutsche Telekom Deutsches Innenministerium Italienisches Innenministerium Stadtw erke München Schw eizer Bahn Gesundheitsnetz Stockholm Ontario Provincial Police Industrie Volkswagen AG Banken / Versicherungen AOK Bayern LVA (deutscher Sozialversicherungsfonds) 28 Weitere Deutsche Gesellschaft für Technische Zusammenarbeit Hong Kong ICN EN SNS MDS/ / Seite: 28 / Knöringer/ Siemens AG 2003

29 Kontakt: (89) Danke! 29 ICN EN SNS MDS/ / Seite: 29 / Knöringer/ Siemens AG 2003