Virtuelle Benutzerverwaltung mit dem Sun Java System Identity Manager

Transkript

1 Virtuelle Benutzerverwaltung mit dem Sun Java System Identity Manager ZKI-Arbeitskreistreffen, Dr. Wilfried Stüttgen Marktentwicklung Forschung & Lehre Sun Microsystems GmbH

2 Agenda Produktübersicht Identity Manager Live Demonstration

3 Unvollständig, manuell, unsicher Das Identity Chaos Alumni Mitarbeiter Studenten Ehemalige Mitarbeiter, Studenten Was ist unser Risiko? Wer hat worauf Zugriff? Wer sollte Zugriff haben? Portal Personaldatenbank Studentendatenbank Help Desk Welche Anlagen nutzen wir? Was kostet uns das? Exchange, LDAP, Active Directory, RDBMS,... SAP R/3 HIS Andere Anlagen Büro Telefon Laptop WiFi Weitere Systeme Institutsrechner Laborzugangssystem Mensa Bibliothek

4 Einheitlich, automatisiert und sicher Das Ziel: Sicheres Identity Management Alumni Mitarbeiter Studenten Ehemalige Mitarbeiter, Studenten Freigabe durch Manager Anlegen Ändern Sperren Entsperren Löschen Passwort Reset Passwort Sync Soll-Ist-Abgleich Exchange, LDAP, Active Directory, RDBMS,... SAP R/3 HIS Andere Anlagen Büro Telefon Laptop WiFi Weitere Systeme Institutsrechner Laborzugangssystem Mensa Bibliothek

5 Komplexität in mehreren Dimensionen Identity Management Suite IT Administratoren Mitarbeiter Alumni Studenten Client-Server Interface Portal Interface Application Interface HIS MS AD Oracle LDAP Messaging Identity Management Provisioning Identity synchronization Password Management Identity Audit User Administration Policy Management Genehmigungsverfahren Access Management Single Sign-On Authentication Services Authorization Services Federation Services Directory Services Directory Visualization Directories Load Balancing Security Sun Java System Identity Manager (eh. LightHouse) Sun Java System Access Manager (eh. Identity Server) Sun Java System Directory Server, Enterprise Edition (Directory + Proxy + PwdSync)

6 Identity Life Cycle Management Benutzerservice -Passwort Reset -Passwort Sync Anlegen Ändern Sperren Entsperren Löschen Passwort Reset Passwort Sync Soll-Ist-Abgleich Benutzer Administratoren Administration -Zentral -Dezentral Delegation -Abteilungsadmin Sicherheitsanalysen Rollenbilder Historie Applikationen Datenbanken Web Applikationen Directories Richtlinien -User ID -Passwort -Rollen Antragsverfahren Berichte / Revision

7 Sun Java System Identity Manager Delegierte Administration Einheitliche Identity Konsole Verwaltung Rollen und Regeln Audit Reports Self-Service Interfaces Nutzer Provisioning Password- Management Identity Synchronisation Auto- Discovery ActiveSync Identity-Plattform Dienste Virtual Identity Manager Rules Engine Adapter ohne lokale Agenten Dynamischer Workflow Directories Databanken Mainframes Betriebssysteme SAP R/3 HIS, etc. Eigene Anwendungen

8 Identity Manager Physical Architecture End User Self-Service Personalverwaltung, HIS, SAP HR Help Desk Web Browser HTTPS JMAC/ABAP/JDBC Authoritative Source Adapters TROUBLE TICKET CREATION SMTP HTTPS Externer Workflow WSBPEL J2EE Application Application Server JDBC/LDAP Virtual ID Store SSH Custom JDBC Servlet LDAP 3270 ADSI SOAP/ XMLRPC LDAP/ JDBC Agent-less Gateway Unix Systeme Eigene Anwendungen RDBMS Groupware Directories Mainframe Windows/ADS Partner Web App Approving Manager Web Browser RDBMS oder LDAP Directory Asset Database/Directory Laptop Serial Number Office Number Mobile Service Plan Mobile Phone Model

9 Virtuell versus Zentrales Verzeichnis Virtuell Logisches Management verteilter Profildaten Geringeres Risiko verwaister Rechte Alternativer Ansatz: Zentrales Repository (Meta-Dir) Schwer zu implementieren Technisch, politisch MetaDirectory lastig Schwer zu warten Synchronisierung Wilfried Stüttgen Virtuelle (unique) Identität Provisioning Server Wstue WS4711 willi Anwendungen Datenbanken Directories Anwendungen Datenbanken Web Applications Direc1tories

10 Automatische Provisionierung Neuer Student, Mitarbeiter,... Eintrag in HIS Modul, SAP,... (HIS Staging Tabelle) Verantwortlicher Sun Identity Manager entdeckt neuen Eintrag Identity Manager Authoritative Source Adapter Genehmigung Benachrichtigung Betriebssysteme Bibliothek System LDAP Directories Anlegen des neuen Benutzers Automatischer Start des Genehmigungs verfahren Identity Manager wendet Regeln, Rollen und Policies auf den neuen Eintrag an. Überwachung von Änderungen und Reporting

11 Resources Adapter Directory Servers Sun JS Dir.Server, LDAP V3, MS AD, Novell edir, Novell NDS, Oracle Internet-Dir. Database Servers IBM DB2, Informix, MS SQL, MySQL, Oracle 8i / 9i, Sybase Applications HIS, Oracle 11 ebusiness Suite, Peoplesoft, SAP R/3 Enterprise, SAP HR, Siebel CRM Helpdesk Peregrine Service Center, Remedy Helpdesk Message Plattforms Lotus Notes, MS Exchange, Novell Groupwise Operating Systems Red Hat, Solaris, HP-UX, HP OpenVMS IBM OS/400, IBM AIX, W2k / 2003, NT4 Security Managers CA ACF2, CA TopSecret, ntrust RACF, RSA SecureID Web-Access Control-Platforms Sun JS Identity-Server, ntrust GetAccess, Tivoli Access Manager Netegrity Siteminder, Oblix NetPoint, Open Network Directory Smart, RSA Cleartrust

12 Customizing alle Module / Forms etc. in Repository alles in XML / Java eigene Sprache: XPress integrierter Debugger intensives Logging (in Repository) eigene Resource-Adapter leicht in Java zu erstellen

13 Alleinstellung Adapter ohne lokale Agenten Kein Eingriff ins Quell-/Zielsystem Geringer Wartungsaufwand Virtual Identity Manager Daten bleiben bei den 'Besitzern' Datenschutz eher unkritisch Basis Java und XML Verwendung ausschliesslich von Standards

14 Demo Szenario Neuer Student, Mitarbeiter,... Eintrag in HIS Staging Tabelle basierend auf Postgres Neuer Eintrag oder Modifikation Ableich über Postgres Adapter Verantwortlicher Suse Linux Genehmigung Benachrichtigung Identity Manager LDAP Directory Anlegen des neuen Benutzers Automatischer Start des Genehmigungs verfahren Neue Regeln: address Suse login shell Home Directory Password Login Anpassungen: Konfiguration Postgres und LDAP Adaptor Konfiguration der Regeln Konfiguration der UserForm Konfiguration HIS_role LDAP Attribute Studentnumber Aufwand inkl. Installation, Anpassungen, Tests ca. 1.5 Tage

15 Haben Sie Fragen?