Vereinfachtes Identity Management bei der Henkel KGaA

Transkript

1 Vereinfachtes Identity Management bei der Henkel KGaA Computacenter führt Projekt zur Einrichtung eines konsolidierten Directory-Datenbestandes durch Die Henkel KGaA ist als führender Anbieter von Klebstoffen und Reinigungsmitteln mit seinen Marken und Technologien in 125 Ländern vertreten. Von den rund Mitarbeitern sind über 70 Prozent im Ausland tätig. Die verschiedenen Unternehmensbereiche setzen unterschiedliche Personalverwaltungssysteme ein. Personendaten fließen aus einer Vielzahl an unterschiedlichen Datenquellen in die Benutzerverwaltung ein. Diese Tatsache stellt besondere Ansprüche an eine effiziente Benutzerverwaltung. Die bei Henkel bisher eingesetzte hostbasierte Applikation konnte die immer komplexeren Anforderungen an die Benutzerverwaltung, vor allem im Hinblick auf die IT-Sicherheit und die weit reichenden gesetzlichen Anforderungen an die Systeme, nicht mehr erfüllen. Alles sprach für einen Wechsel zu einer intelligenten Identity-Management- Lösung. Diese musste nicht nur dem internationalen Charakter der Henkel Gruppe Rechnung tragen, sondern gleichzeitig eine historisch gewachsene, komplexe und heterogene IT-Infrastruktur im Bereich Usermanagement abdecken. Für die neue zukunftssichere Lösung benötigten wir eine flexible und standardisierte Architektur. Durch verbesserte Datenqualität sollte diese die Durchlauf- und Bearbeitungszeit nachhaltig reduzieren, erklärt Projektleiter Martin Andersen, System Engineer Directory Services bei Henkel. Zur Erfüllung dieser Anforderungen implementierte die Henkel KGaA eine Identity-Management-Lösung mit einem Meta Directory als Basis. Die Konzeption und Implementierung führte das Unternehmen mit Computacenter, Europas führendem herstellerübergreifend tätigen IT- Dienstleister, durch. Überzeugende Lösung Identity-Management-Lösungen zielen darauf ab, eine einheitliche, systemübergreifende Plattform für die Verwaltung von Mitarbeitern, deren Benutzerkonten und ihren Berechtigungen innerhalb des Unternehmensnetzwerkes zu schaffen. Dabei können einer Person mehrere Benutzer zugeordnet werden, beispielsweise eigene Identity Management bei Henkel Seite 1 von 5

2 Mailadressen und SAP-Accounts. Die Personenstammdaten der einzelnen Dienste fortlaufend miteinander abzugleichen, bedeutet einen hohen administrativen Aufwand. Um diesen Vorgang zu vereinfachen, setzen Unternehmen Identity- Management-Lösungen ein. Dabei werden Datenänderungen über Synchronisationsmechanismen zum Identity-Management übermittelt, das die Änderung an alle beteiligten Systeme weiterleitet. Meta Directory: Die Verknüpfung vorhandener Informationen Die Basis für das intelligente Identitätsmanagement bildet ein Meta Directory. Als übergeordneter Verzeichnisdienst konsolidiert und synchronisiert das Meta Directory Personendaten aus unterschiedlichen Quellen und verknüpft sie zu einer umfassenden Datenbasis. Als Datenquellen dienen bei der Henkel KGaA alle SAP- HR-Systeme sowie die Abrechnungssysteme und das weltweit eingesetzte Lotus-Notes-Mailsystem. Genutzt werden die Personendaten des Meta Directory wiederum von den Datenlieferanten selbst und von einem SAP-Portal mit seinen zahlreichen Webanwendungen. Dieses gibt den Mitarbeitern weltweit Auskunft über Kommunikationsdaten und die interne Struktur. Eine besondere Stellung unter den angeschlossenen Systemen nimmt das User Provisioning der Identity-Management-Lösung ein. Das User Provisioning hilft bei der Vergabe, Änderung oder Löschung von Zugriffsrechten auf ein Unternehmensnetz. Automatisiert weist es Nutzern bestimmte Rechte zu. Dies geschieht mittels der Definition von Anwenderprofilen, so genannten Rollen, die mit bestimmten Rechten verbunden werden. Bekommt der Anwender eine Rolle zugewiesen, erhält er automatisch die rollenspezifischen Rechte innerhalb des Systems. Das heißt ein neuer Mitarbeiter erlangt in Echtzeit Zugang zu allen für seine Rolle freigegeben Unternehmensbereiche. Person versus Benutzer Ein bei der Benutzerverwaltung generell auftretendes Problem war auch bei Henkel zu lösen: Das Personalverwaltungssystem adressiert eine Person, repräsentiert durch einen oder mehrere Personaleinträge. Identity Management bei Henkel Seite 2 von 5

3 Notes, Datei- und Druckdienste stellen aber einen Benutzer in den Mittelpunkt. Nicht selten verfügt beispielsweise die Rezeption eines Unternehmens über einen Mail-Account und wird über eine Kostenstelle abgerechnet, obwohl sie in keinem Personalverwaltungssystem erscheint. Auch externe Mitarbeiter finden sich typischerweise nicht in der Personalverwaltung wieder, benötigen dennoch einen zuverlässigen Zugriff auf die IT-Infrastruktur. Solche Diskrepanzen zwischen Personen- und Benutzerdaten werden durch das Meta Directory aufgelöst. Das Henkel Meta Directory (HMD) auf Basis von Novell edirectory und Nsure Identity Manager empfängt die personenbezogenen Daten aus allen HR-Systemen, die bei Henkel im Einsatz sind. Es konsolidiert und strukturiert die Personen- und Benutzerdaten, so dass es für jeden Mitarbeiter nur noch einen einzigen Datensatz und somit eine eindeutige Identifikation gibt. Über Konnektoren sind die verschiedenen Anwendungssysteme wie SAP oder MS-AD (Microsoft Active Directory) mit dem HMD verbunden. Die Verwaltungstools dieser Systeme erhalten zentral vom HMD die Stammdaten der Anwender. Zudem werden über die an das HDM angeschlossene Provisioninglösung die Benutzerrechte in den Zielsystemen gesetzt. Neben den verbindenden Programmen, die über den Policy Editor von Novell konfiguriert werden, werden auch die Novell-spezifischen Housekeeping-Treiber eingesetzt, die die Personendaten mit zusätzlichen relationalen Beziehungen versehen. Vorgänge automatisieren, Freiräume schaffen Dank des Provisioning und des Meta Directory gewinnt das IT- Personal viel Freiraum für andere Aufgaben, da es nur noch ein System mit einem übersichtlichen Werkzeug administrieren muss. Das Identity Management entlastet die Mitarbeiter und die Kosten für den IT-Betrieb. Darüber hinaus schafft es mehr Sicherheit im System. Denn nicht nur der Erfassungsaufwand eines neuen Mitarbeiters reduziert sich. Auch beim Ausscheiden eines Mitarbeiters kann Henkel durch eine einzige Aktion im HMD einen Deaktivierungsprozess anstoßen. Dadurch werden systemübergreifend alle zugehörigen Accounts mitsamt ihren Berechtigungen überprüft und gelöscht. So verhindert Henkel, dass ehemalige Mitarbeiter Monate nach ihrem Identity Management bei Henkel Seite 3 von 5

4 Ausscheiden noch immer Zugriff auf das Mailsystem oder andere gesicherte Bereiche haben. Das entsprechende Benutzerobjekt im Verzeichnisdienst wird mit seiner weltweit und historisch eindeutigen Kennung automatisch im System archiviert. Zur Archivierung werden Novell-spezifische Global-Unique-IDs (GUID) verwendet. Reibungslose Implementierung Die Implementierung der Lösung und die Migration der vorhandenen Datenbestände erfolgten bei Henkel in acht Monaten innerhalb des geplanten Budgets. Anfang 2005 konnte das Unternehmen seine Identity-Management-Lösung in Betrieb nehmen. Die neue, zuverlässige Datenbasis bildet die Grundlage für zukünftige Erweiterungen, insbesondere für die Verwaltung von Kunden, die Erfüllung von Compliance-Regelungen sowie die Verwirklichung weiterer User Self Services. Die Kombination und das nahtlose Ineinandergreifen aller Komponenten ermöglichen ein effizientes, sicheres und aktuelles Identitätsmanagement über internationale Grenzen hinweg. Wir sind sehr froh, dass wir die Integration der Personen- und Benutzerstammdaten in nur einem Directory realisieren konnten, sagt Martin Andersen. Dank der ausgereiften Technologie von Novell, gepaart mit den Projekterfahrungen von Computacenter konnten wir eine Lösung schaffen, die einen echten Mehrwert für unser Unternehmen darstellt. ((7.655 Zeichen)) Identity Management bei Henkel Seite 4 von 5

5 ((Kasten: Produkte)) Identity-Management-Lösungen von Novell Nsure Identity Manager Nachfolger von Novell DirXML Zentrale Verwaltung von Nutzerdaten wie Passwörter und Mailadressen über ihren gesamten Lifecycle hinweg. Bestimmte Richtlinien für das gesamte Netzwerk müssen von Administratoren festgelegt werden. Die Synchronisation von Personen- und Nutzerdaten erfolgt automatisiert, ohne Hilfe des Supports. Administratoren können Nutzern Selbstverwaltungsrechte für Passwörter erteilen. edirectory edirectory vereinfacht das Management von Usern, Zugriffsrechten und Ressourcen in einem Netzwerk mit Windows NT/2000, Netware und Unix/Linux. Der Dienst unterstützt bestehende Standards wie LDAP, DNS, LDIF (Lightweight Data Interchange Format), XML, XSL, XSLT, ADSI (Active Directory Service Interface, Microsofts proprietäre API), ODBC sowie JDBC. ((834 Zeichen)) Identity Management bei Henkel Seite 5 von 5