Password Safe and Repository Demodatenbank Ent_VC_DE

Transkript

1 Beschreibung der Password Safe and Repository Demodatenbank Ent_VC_DE Stand: 13. August 2013 MATESO GmbH Daimlerstraße Gersthofen

2 Inhalt Vorwort... 3 Allgemeine Beschreibung... 4 User... 4 Gruppen... 4 Ordner... 5 Siegel... 6 Leichtes Siegel... 6 Formulare... 6 Labels... 7 Dokumente... 7 Datensatzsperre... 7 Passwort Richtlinien... 7 Workflowsystem*... 8 Automatisches Siegel auf einen Ordner... 8 Mehr-Augen-Prinzip... 8 Freigabe für Benutzer- und Gruppenverwaltung... 8 Interne Mail bei Passwortänderung / Ordner IT... 8 Passworteingabe zur Benutzeranmeldung... 8 Passworteingabe zum Öffnen von Softwarelizenzen... 8 Fallbeispiele... 9 Geschäftsführer mit exklusivem Bereich... 9 Abteilungsleiter IT mit besonderen Rechten... 9 Sicherheitsbeauftragter zur Kontrolle der Rechtestruktur... 9 Mitarbeiter der IT Abteilung... 9

3 Vorwort Password Safe bietet eine Vielzahl an Funktionen, welche sich am besten an Beispielen und Learning by doing beschreiben lassen. Um Ihnen einen möglichst einfachen und schnellen Einstieg zu ermöglichen, haben wir eine Demodatenbank aufgebaut, welche mehrere mögliche Konstellationen in einer fiktiven Firma abbildet. So können Sie die hier beschriebene Datenbank testweise ausführen und noch einen weiteren User hinzufügen. Die Begrenzung auf 20 Benutzer betrifft selbstverständlich nur die Testlizenzen. Die Demo Datenbank liegt in zwei Versionen vor: 1. Professional Edition Der Password Safe Client greift direkt auf die Datenbank zu, welche auf einem Netzwerk Share liegt. Der Zugriff auf die Datenbank erfolgt im Peer to Peer Verfahren. Um Performance Probleme zu vermeiden wurde die Professional Edition auf 20 Benutzer beschränkt. Empfohlen wird jedoch bereits ab 10 Benutzern die Enterprise Edition inkl. Enterprise Server zu verwenden. 2. Enterprise Server Edition Der Enterprise Client kommuniziert über eine verschlüsselte TCP-IP- Verbindung mit dem Enterprise Server, welcher die Datenbank bereitstellt. Sie können die Demodatenbank unter folgender Adresse herunterladen: Das Einbinden der Datenbank wird unter folgendem Link detailliert beschrieben: Das Datenbankpasswort, sowie alle anderen Passwörter in der Demodatenbank lauten: Test1234test! Die eigentliche Installation von Password Safe und das Erstellen der Datenbanken werden ausführlich in der Bedienungsanleitung beschrieben. Beschreibung Installation: Installation des Clients: Installation des Servers: Beschreibung Freischaltung und Aktivierung: Client: Server: Beschreibung zum Erstellen einer Datenbank:

4 Allgemeine Beschreibung In unserem Szenario gehen wir von einer fiktiven Firma Virtual Company VC aus. Jeder der Angestellten benötigt für seinen Aufgabenbereich andere Passwörter und andere Berechtigungen, welche wir in der Datenbank entsprechend abgebildet haben. So sieht jeweils ein Angestellter nur die Daten, die für Ihn notwendig sind. User Unter anderem sind folgende Mitarbeiter in der virtuellen Firma beschäftigt: Administrator Thomas Anderson Simon Brown Noah Johnson Emma Jones Adrian Moore David Smith Benjamin Taylor Aaron White Lena Wiliams Standardkonto für die Verwaltung (nicht löschbar) CEO Sicherheitsbeauftragter / Revision Leiter IT IT - Bereich Windows IT Bereich RDP und Lizenzen IT / Entwicklung Vertrieb Account Manager (Kundenbereich) Einkauf / Vertretung Account Manager Bereich King AG Gruppen Um die Rechte der User komfortabel zu verwalten sind folgende Gruppen angelegt: Administratoren Alle User Einkauf Entwicklung Geschäftsführung IT IT / RDP und Lizenzen IT / Windows Kunden Vertrieb Standardkonto (nicht löschbar) Beinhaltet alle Mitarbeiter Alle Mitarbeiter der Abteilung Einkauf Gruppe für Hr. Smith in seiner Tätigkeit als Entwickler Beinhaltet den Geschäftsführer Hr. Anderson Alle Mitarbeiter der Abteilung IT Mitarbeiter, welche Zugriff auf RDP und Lizenzen benötigen Mitarbeiter, welche die Windows Server administrieren Alle Key-Account Manager Beinhaltet die Mitarbeiter des Vertriebs

5 Ordner Die Datensätze werden in folgenden Ordnern abgelegt, wobei die verschiedenen Mitarbeiter - rechteabhängig - nur bestimmte Ordner angezeigt bekommen. Eigene Passwörter Hier bekommt jeder Mitarbeiter einen privaten Ordner auf den nur er Zugriff hat. Über den Menüpunkt Bearbeiten -> Datenbankeinstellungen -> Ordner wurde realisiert, dass das Erstellen der jeweiligen Ordnerautomatisch geschieht. Geschäftsführung Vollzugriff nur für Geschäftsführung (kein Zugriff durch Administratoren) Geschäftsführung -> Türschlösser Hier wurde das Formular Zahlenkombination verwendet um die Zugangscodes elektronischer Türschlösser zu speichern IT Rechte zum Lesen und Bearbeiten für IT / Vollzugriff für den Leiter der IT, welcher den Ordner IT verwaltet. IT -> Domänenpasswörter Hier werden die Passwörter für Domänen gespeichert und automatisch versiegelt. (Siehe Siegel ) IT -> Kundendatenbank Ordner für Zugangsdaten für Kundendatenbanken IT -> Remote Desktop Remote Desktop Daten. Kein Zugriff für die Gruppe IT, jedoch Rechte zum Lesen und Bearbeiten für die Gruppe IT RDP und Lizenzen IT -> Softwarelizenzen Auf diesen Unterordner darf nur die Gruppe IT / RDP und Lizenzen sowie Hr. Johnson zugreifen. Gespeichert werden Lizenzschlüssel der im Unternehmen eingesetzten Programme. IT -> Windows Server Unterordner mit exklusiven Rechten für IT / Windows Kunden Lesen und Bearbeiten für die Kundenbetreuung Kunden -> King AG Auf diesen Unterordner hat zusätzlich auch Lena Wiliams lesend als Vertretung Zugriff Vertrieb Ordner der Abteilung Vertrieb Vertrieb -> SAP In diesem Ordner werden SAP Logins verwaltet. Hierfür wurde ein Formular erstellt Suchordner Auf die beiden Suchordner Alle Passwörter und Favoriten sind alle User berechtigt

6 Siegel Datensätze können zum Schutz mit einem Siegel versehen werden und sind dann nicht mehr einsehbar. Um die Datensätze anzusehen, ist es nötig das Siegel zu brechen. Der Siegelbruch kann optional von Freigaben abhängig gemacht werden. Verschiedene Datensätze wurden versiegelt, wobei die Siegel verschiedene Ausprägungen haben: Der Datensatz Mailserver im Ordner IT -> Remote Desktop kann erst nach einem Siegelbruch geöffnet werden. Um das Siegel zu brechen sind die Zustimmung von Hr. Brown und Hr. Johnson nötig. Das Siegel kann nur durch Hr. Johnson bearbeitet werden. Beim Siegelbruch werden Hr. Brown und Hr. Johnson benachrichtigt. Der Lizenzschlüssel von Office 2010 kann ebenfalls erst nach einem Siegelbruch eingesehen werden. Hier ist jedoch nur eine Zustimmung entweder von Hr. Johnson oder Hr. Smith nötig. Das Siegel kann sowohl von Hr. Johnson als auch von Hr. Smith bearbeitet werden. Die Benachrichtigung beim Bruch des Siegels geht an Hr. Johnson Leichtes Siegel Datensätze welche mit einem leichten Siegel versehen sind, können von einem eingeschränkten Personenkreis ohne Siegelbruch eingesehen werden. Die Zugangsdaten zum Gäste W-Lan wurden mit einem leichten Siegel versehen. Der Datensatz kann daher von Hr. Johnson, Hr. Moore und Hr. Smith ohne Siegelbruch geöffnet werden. Alle anderen Mitarbeiter müssen das Siegel brechen. Hierfür ist die Zustimmung von Hr. Anderson und Hr. Johnson nötig. Die Benachrichtigung geht nur an Hr. Johnson. Dieser darf das Siegel auch bearbeiten. Formulare In Formularen werden die Datensätze gespeichert. Über 40 vordefinierte Formulare stehen in Password Safe bereit. Sie können diese nach Ihren Bedürfnissen abändern oder eigene Formulare neu gestalten.

7 Labels Mit Labels können Sie die Datensätze farblich kennzeichnen und so gut voneinander unterscheiden. Auch eine Gruppierung nach Label ist in der Listenansicht möglich. Hr. Johnson und Fr. Wiliams haben das Recht Label zu erstellen. Die erstellten Label können von allen Mitarbeitern genutzt werden. So ist z.b. der Datensatz Entwicklerforum mit dem Label Wichtig versehen. Der Datensatz Hans Turner im Ordner wurde mit dem Label Wiedervorlage markiert. Hr. Johnson hat den Ordner nach Labels gruppiert, um die Datensätze mit Wiedervorlage-Label in einer Gruppe anzeigen zu lassen. Dokumente Sie können beliebige Dokumente in Password Safe ablegen. Diese werden verschlüsselt gespeichert und sind somit optimal geschützt. Zum Bearbeiten werden Sie entschlüsselt. Es wurden als Beispiel mehrere Dokumente eingebunden. Das Dokument Doc ist mit dem Datensatz Programmierertreff verknüpft, das Formular Lizenzdatei verfügt über eine Verknüpfung mit dem Datensatz PDF Converter 7. Datensatzsperre Die Datensatzsperre bietet die Möglichkeit, dass Mitarbeiter Passwörter zwar nutzen aber nicht einsehen können. Der Datensatz Amazon im Ordner Einkauf -> Onlineshops ist gesperrt. Der Datensatz kann folglich nicht geöffnet und das Passwort kann nicht eingesehen werden. Fr. Lena Wiliams kann den Datensatz jedoch im Rahmen einer automatischen Eintragung verwenden ohne das Passwort zu kennen. Um diese Sperre einfach und unkompliziert auf andere Datensätze anwenden zu können, wurde Sie als Sperrvorlage hinterlegt. Passwort Richtlinien Passwortrichtlinien können zum Erstellen und auch zur Prüfung von Passwörtern verwendet werden. Die Richtlinien werden zentral erstellt und können dann komfortabel ausgewählt werden. Somit kann sichergestellt werden, dass keine unsicheren Passwörter erzeugt werden können.

8 Workflowsystem* 1 Das Workflowsystem bietet unzählige Möglichkeiten bestimmte Aktionen wie z.b. das Senden von s oder das Versiegeln von Datensätzen in Abhängigkeit von Events wie z.b. dem Öffnen eines Passworts zu planen. Automatisches Siegel auf einen Ordner Dieser Workflow sorgt dafür, dass alle Datensätze welche im Ordner Domänenpasswörter angelegt werden, automatisch versiegelt werden. Hierfür wurde eine Siegelvorlage namens Vorlage für Domänenpasswörter erstellt. Diese Vorlage bedient sich wiederrum der Freigabe Anderson und Gruppe IT. Mehr-Augen-Prinzip Der Ordner Kundendatenbanken ist über den Workflow Mehr-Augen-Prinzip geschützt. Möchte ein IT Mitarbeiter einen Datensatz in diesem Ordner öffnen oder bearbeiten, so ist es nötig, dass Hr. Johnson und Hr. Brown am gleichen Computer durch die Eingabe Ihres Passworts zustimmen. Analog hierzu wurde auch das Workflowsystem selbst geschützt. Hier ist die Zustimmung von Hr. Anderson und Hr. Brown nötig. Freigabe für Benutzer- und Gruppenverwaltung Die Benutzer- und Gruppenverwaltung ist ebenfalls durch einen Workflow geschützt. Vor dem Öffnen muss Hr. Anderson eine Freigabe erteilen. Interne Mail bei Passwortänderung / Ordner IT Wird im Ordner IT ein Passwort bearbeitet wird dank diesem Workflow eine Benachrichtigungsmail an Hr. Johnson geschickt. Im festgelegten Text sorgt der Platzhalter Von Benutzer dafür, dass der Username des Mitarbeiters mit ausgegeben wird. Ebenfalls kann der Datensatz in der Nachricht über einen verschlüsselten internen Link geöffnet werden. Passworteingabe zur Benutzeranmeldung Um die Anmeldung mit des Revisionsbenutzers Hr. Brown durch ein zweites Passwort zu schützen, wurde ein entsprechender Workflow angelegt. Hierbei wurde ein Passwort direkt im Workflowsystem vergeben, welches nach dem Benutzerpasswort abgefragt wird. Passworteingabe zum Öffnen von Softwarelizenzen Die Datensätze im Ordner Softwarelizenzen sind ebenfalls über einen Workflow passwortgeschützt. Soll der Zugriff (beispielsweise aus administrativen Gründen) kurzfristig geändert werden, kann der Administrator durch das Hinterlegen eines unbekannten Passworts im Workflow, den Zugriff sperren. 1 Nur bei der Enterprise Edition in Kombination mit dem Enterprise Server

9 Fallbeispiele Geschäftsführer mit exklusivem Bereich Der Geschäftsführer Herr Anderson hat (wie alle anderen Mitarbeiter auch) Zugriff auf den Ordner Eigene Passwörter. In diesem Ordner hat er einen Unterordner erstellt. Diesen Unterordner kann ausschließlich er sehen und bearbeiten. Auch alle Datensätze welche in diesem Ordner gespeichert sind, sind exklusiv für ihn verfügbar. Weiterhin besitzt Hr. Anderson den Ordner Geschäftsführung. Auch auf diesen Ordner hat exklusiv er Zugriff, um hier sicherheitskritische Datensätze zu speichern. Auch die Administration ist von diesem Ordner ausgeschlossen. Abteilungsleiter IT mit besonderen Rechten Der Leiter der IT Abteilung, Hr. Johnson, hat ebenfalls einen privaten Ordner im Ordner Eigene Passwörter angelegt. Weiterhin hat er Vollzugriff auf den Ordner IT. Er darf folglich in diesem Ordner Lesen, Bearbeiten, Löschen, Verschieben, Drucken, Exportieren und Freigaben verwalten. Die anderen Mitarbeiter der IT-Abteilung haben lediglich die Rechte zum Lesen und Bearbeiten in diesem Ordner. Weiterhin hat Hr. Johnson die Rechte Labels zu verwalten. Er kann also neue Label anlegen, bestehende Label ändern oder löschen. Als Leiter der IT ist Hr. Johnson mitunter auch für die Versiegelung der Datensätze zuständig. Zum Brechen eines Siegels wird, unter anderem, seine Zustimmung benötigt. Nach dem Siegelbruch wird er informiert und muss das Siegel wieder neu anbringen, um die Sicherheit zu gewährleisten. Sicherheitsbeauftragter zur Kontrolle der Rechtestruktur Der Sicherheitsbeauftragte ist Hr. Simon Brown. Er ist als restriktiver Benutzer angelegt. Er kann folglich so gut wie alle Datensätze sehen, da er Mitglied in der Gruppe Administratoren ist. Lediglich die privaten Ordner im Ordner Eigene Passwörter sowie die Datensätze im Ordner Geschäftsführung sind für Ihn nicht sichtbar. Als restriktiver Benutzer kann er jedoch die Datensätze nicht öffnen oder benutzen. Er hat lediglich die Rechte die Datensätze hinsichtlich Berechtigung und Freigaben zu prüfen und deren Rechte zu bearbeiten. Mitarbeiter der IT Abteilung Hr. Moore ist Mitarbeiter der IT Abteilung hat Zugriff auf den Ordner IT sowie dessen Unterordner. Da er für seine Arbeit auf Remote Desktop Verbindungen angewiesen ist, hat er auch Zugriff auf den Unterordner Remote Desktop. Auf den Ordner Softwarelizenzen ist er ebenso berechtigt.

10 Diese Demodatenbank soll Ihnen einen groben Überblick über die Funktionen von Password Safe bieten und Ihnen den Einstieg in die Software erleichtern. Eine Dokumentation des vollen Funktionsumfangs würde den Rahmen einer Demodatenbank sowie deren Beschreibung sprengen. Aus technischen Gründen, ist es zudem nicht möglich alle Funktionalitäten (wie z.b. die Synchronisation mit mobilen Geräten oder die Anbindung an ein Active Directory) in einer Demodatenbank abzubilden. Weitere Informationen sowie eine Beschreibung aller weiteren Funktionen, finden Sie in den entsprechenden Onlinehilfen: Client: Server: Wir empfehlen, diese Datenbank nicht abzuändern und produktiv einzusetzen, da Sie durch das Erstellen einer eigenen Datenbank den Funktionsumfang besser kennen lernen werden.