SCIM System for Cross-domain Identity Management

Transkript

1 SCIM System for Cross-domain Identity Management Sitzung des ZKI AK Verzeichnisdienste, Leipzig, Peter Gietz, Markus Widmer, DAASI International GmbH 1

2 Agenda Replikation vs. Provisionierung Der Vorläufer SPML SCIM Einführung SCIM vs. SPML OpenLDAP und Provisionierung SCIM und LDAP 2

3 Replikation vs. Provisionierung Replikation: Kopieren der Daten, wie sie sind Teilreplikate möglich Geht nur: innerhalb der gleichen Technologie (z.b. LDAP, RDB) Innerhalb der gleichen Implementierung (z.b. OpenLDAP, edirectory, MySQL, PostGres) Provisionierung: Daten können auf dem Weg umformatiert werden unterschiedliche Baumhierarchien, Formate, Werte Kopieren der Daten über Technologie- und Implementierungsgrenzen hinweg 3

4 Replikation Pro (am Beispiel von OpenLDAP): Sehr schnell Zuverlässig Teilreplikation Multi-Master-Szenarien Contra: Geht nur innerhalb der gleichen Technologie Keine Konvertierung der Daten 4

5 Provisionierung Pro: Anwendungen müssen die Daten nicht selbst beziehen (etwa über LDAP oder SAML) Datenmanipulation während der Provisionierung möglich Beliebige Zielsysteme anbindbar d.h. System ist flexibel erweiterbar Contra: Langsamer im Vergleich zur Replikation Komplexeres System 5

6 SCIM-Vorläufer SPML Service Provisioning Markup Language (SPML) version 2 OASIS Standard, April 2006 XML basierte Repräsentierung der Datenänderungen Unterstützt verschiedene Daten-Schemata, z.b.: DSMLv2 profile released 2006 April 1 Custom profiles Erweiterbarer Standard: Core Extensions 6

7 SPML SPML source read RA send PSP transform RA Requesting Authority PSP Provisioning Service Point write PST transform PST Provisioning Service Target PSOs PSO Provisioning Service Object 7

8 SPML-Beispiel: Modify Request <spml:modifyrequest xmlns:spml='urn:oasis:names:tc:2:0' xmlns:dsml='urn:oasis:names:tc:dsml:2:0:core'> <spml:psoid ID='cn=foo,ou=org1,dc=example,dc=org' targetid='testpst' /> <spml:modification> <dsml:modification name='cn' operation='replace'> <dsml:value>bar</dsml:value> </dsml:modification> </spml:modification> </spml:modifyrequest> 8

9 SPML Fazit SPML ist ein vollständiger Standard Flexibel einsetzbar Beliebiges Datenschema Protokoll erweiterbar SPML ist komplex XML basiert Fand nur wenige Implementierungen Hat sich als organisationsübergreifende Provisionierungstechnologie nicht durchgesetzt Organisationsintern eine Alternative zu einem proprietären Enterprise Service Bus 9

10 SCIM Ausgangslage Die Welt hat sich natürlich geändert Massiv verteilte Systeme Cloud-Computing erzeugte neuen Bedarf für organisationsübergreifendes Identity Management Große Cloud Provider hatten je eine eigene aber relativ ähnliche REST-API Google, Salesforce, etc. Interesse an gemeinsamen offenen Standard Q Draft von Ping, UnboundID und Salesforce Q Gründung einer OWF * Arbeitsgruppe mit Beiträgen von Cisco, Sailpoint und Google Q Interop bei IIW * * IIW: Internet Identity Workshop * OWF: Open World Forum

11 SCIM System for Cross-domain Identity Management Ursprünglich: Simple Cloud Identity Management Version 1.0 (Dezember 2011) Version 1.1 (Juli 2012) Version 2.0 augenblicklich im IETF- Standardisierungsprozess (scim-wg) Aktuelle Drafts (vgl. Draft-ietf-scim-api-03, Draft-ietf-scim-core-schema-03, Draft-ietf-scim-use-cases-01,

12 SCIM Grundsätze Einfach (S wie urspr. simple) Pragmatisch Nur für Nutzer- und Gruppeninformation JSON SCIM API ist eine typische REST API, die also direkt auf das HTTP-Protokoll aufsetzt. In essence, make it fast, cheap, and easy to move users in to, out of, and around the cloud. Abstract der drei ietf-scim-wg-drafts 12

13 SCIM Trigger Aktionen oder Aktivitäten, die einen SCIM Flow (nach use-case-draft) initiieren: Create SCIM Identity Resource Update SCIM Identity Resource Delete SCIM Identity Resource Single-Sign On (SSO) Trigger On the fly-provisionierung nach Authentifizierung War ursprünglich im Zusammenhang mit dem SAML- Profil vorgesehen, was aber in der API nicht mehr vorgesehen ist. Für Autorisierung ist zunächst nur noch auth2 Bearer Token vorgesehen 13

14 SCIM Actors im use-cases-draft Actors sind die Agenten auf beiden Seiten des SCIM-Protokoll-Austauschs Cloud Service Provider (CSP) SaaS: Anwendungs provider oder IaaS/PaaS- Provider hält die Identitätsinformationen Ist letztendlich der Dienst, mit dem der Endnutzer interagiert Enterprise Cloud Subscriber (ECS) Aggregation von Endnutzern (z.b. ein Firmenkunde eines Cloud-Dienstes) Cloud Service User (CSU) Endnutzer eines Cloud-Dienstes 14

15 SCIM Actors im use-cases-draft Cloud Service Provider (CSP) v v Enterprise Cloud Enterprise Cloud Subscriber (ECS) Subscriber (ECS v v v v Cloud Service Cloud Service Cloud Service Cloud Service User (CSU) User (CSU) User (CSU) User (CSU)

16 SCIM Schema: Definitionen Service Provider: Eine HTTP Webanwendung, die Identitätsinformationen via SCIM Protokoll zur Verfügung stellt Client: Eine Website oder Anwendung, die über SCIM Identitätsdaten verwaltet, die ein Service Provider vorhält (schickt diesem SCIM HTTP requests) Resource: Die Artefakte, die verwaltet werden Resource Type: Die Art der Ressource. Spezifiziert den Ressourcennamen, Endpoint, URL, Schemas, und andere Metadaten, die definieren wo eine Ressource verwaltet wird, und wie sie zusammengesetzt wird. Schema: Sammlung von Attributdefinitionen, die den Inhalt von Ressourcen beschreiben, z.b. "urn:scim:schemas:core:2.0:user". 16

17 SCIM Schema: Attributdefinitionen Singular Attribute: Ein Ressourcenattribut, das 0..1 Werte enthalten kann, z.b. displayname" Multi-valued Attribute: Ein Ressourcenattribut, das 0..n Werte enthalten kann, z.b.: " s" Simple Attribute: Ein Ressourcenattribut (singular oder multi-valued), dessen Werte einen einfachen Datentyp wie z.b. "String" hat Complex Attribute: Ein Ressourcenattribut (singular oder multi-valued), dessen Werte aus einer Sammlung von einem oder mehrere Simple Attributes besteht, z.b.: addresses Sub-Attribute: Ein Simple Attribute, das in einem Complex Attribute enthalten ist. 17

18 SCIM Schema: Datentypen Es gibt eine festgelegte Anzahl von Datentypen. SCIM- Erweiterungen sollen keine neue Datentypen definieren Es werden JSON-conform (RFC4627) folgende Datentypen spezifiziert: String: 0..n Unicode Zeichen Boolean: Literale true oder false Decimal: reale Zahl mit mindestens einer Stelle hinter dem Punkt, z.b. 3.4 [=3,4] Integer: Dezimalzahl ohne Bruchteil DateTime: Datum/Zeit-Angabe im Format: T04:56:22Z Binary: beliebige Binäre Daten, base64-kodiert 18

19 SCIM Schema: Datentypen Weitere Datentypen: Reference (auch $ref): Eine Referenz zu einer SCIM-Ressource als absolute oder relative URI, z.b.: " 919d " (absolut) "Users/2819c223-7f76-453a-919d " (relativ) Complex: Ein Ressourcenattribut (singular oder multi-valued), dessen Werte aus einer Sammlung von einem oder mehrere Simple Attributes besteht 19

20 SCIM Schema: Datentypen Wenn nicht anders spezifiziert gelten folgende Defaults für Attribut-Datentypen: optional ("required=false") case insensitive ("caseexact=false"), veränderbar ("mutability=readwrite"), werden bei Anfragen zurückgegeben ("returned=default"), sind nicht eindeutig ("uniqueness=none") Haben den Datentyp String 20

21 Multivalued Attributes Auch Multivalued-Attribute können Sub-Attribute enthalten (also komplexe Attribute sein. Es gibt folgende normative Sub-Attributes: type: gibt die Funktion eines Attributs an, z.b. work oder home beim Attribut Telefonnummer primary: Boolscher Wert, der angibt, dass dieser Wert gegenüber anderen Werten des Attributs der bevorzugte Wert ist. Darf nur einmal vergeben werden display: menschlesbarer Name des Attributs operation: Die Operation die auf den multivalued Attribut in Änderungen (PATCH) durchgeführt werden sollen: Nur delete erlaubt 21

22 Multivalued Attributes Mit dem Subattribut value werden die Werte eines Multivalued Attribute anngegeben, z.b.: { } " s": [ {"value":"bjensen@example.com"}, {"value":"babs@example.com"} ] { } oder: " s": ["bjensen@example.com","babs@example.com"] 22

23 Core Schema: gemeinsame Attribute Folgende Attribute müssen bei allen Ressourcen vorhanden sein: id: eindeutige stabile ID, die nicht wiederverendet werden darf und vom Service Provider vergeben wird ExternalId: Id, die vom Client vergeben wird und die der Client benutzen darf, sodass der Service Provider ein Mapping vorhalten muss 23

24 24 Core Schema: gemeinsame Attribute Meta: ein Complex Attribute, dass folgende Metadaten der ressource enthält: resourcetype: Name des Ressource Type (ist "readonly") created : Zeitstempel (DateTime) an dem die Ressource zum Service Provider hinzugefügt wurde ("readonly") lastmodified: Zeitstempel (DateTime) an dem die Ressource vom Service Provider zuletzt geändert wurde ("readonly") location: Die URI der Resource ("readonly") Version: Version der Resource ("readonly") Attributes: Attribute, die bei einer Änderungsoperation (PATCH) gelöscht werden

25 Core Schema User Festes Schema für Ressourcen, die einen Nutzer beschreiben, z.b.: Singular Attribute: username, displayname, title... Singular Complex Attribut name: Formatted, familyname, givenname, middlename, honorificprefix, honorificsuffix Multivalued Attribute: s, phonenumbers, ims, photos groups, entitlements, roles, x509certificates Multivalued complex Attribut: addresses: Formatted, streetaddress, locality, region, postalcode, country 25

26 Enterprise User Schema Extension Erweiterung für Ressourcen, die einen Nutzer beschreiben, der zu einem Unternehmen gehört, z.b.: Singular Attribute: EmployeeNumber, costcenter, organization, division, department, Singular Complex Attribut manager:: value, $ref, displayname 26

27 Core Schema Group Festes Schema für Ressourcen, die einen Gruppe beschreiben, z.b.: Singular Attribute: displayname Multivalued Attribute: members 27

28 Weitere Schemata Für folgende Ressourcen wird weiteres Schema spezifiziert, auf die hier nicht näher eingegangen wird: Service Provider Configuration Schema ResourceType Schema Schema Schema 28

29 SCIM Vererbung 29

30 JSON Repräsentierung Minimale Repräsentierung eines User { } "schemas": ["urn:scim:schemas:core:2.0:user"], "id": "2819c223-7f76-453a-919d ", "username": "bjensen@example.com", "meta": { "resourcetype": "User", "created": " T04:56:22Z", "lastmodified": " T04:42:34Z", "version": "W\/\"3694e05e9dff590\"", "location": " 2819c223-7f76-453a-919d " } 30

31 SCIM API Endpoints/Ressourcetypes Es gibt zwei als well known definierte endpoints für Provisionierungsdaten: /Users für Personeninformationen /Groups für Gruppeninformationen Andere endpoints für Daten sind denkbar, müssen aber als Extension definiert werden 31

32 32 SCIM API Endpoints/Ressourcetypes Weitere vorgeschriebene endpoints: /ServiceProviderConfigs um die SP- Konfiguration zu erfragen /RessourceTypes um die Liste der unterstützten Endpoints/RessourceTypes zu erfragen /Schemas um die Liste der unterstützten Schemas zu erfragen /Bulk (optional) endpoint an den mehrere Datenänderungen auf einmal geschickt werden können /.search Pfad, der an einen endpoint angehängt wird um zu spezifizieren, dass eine Suchanfrage geschickt wird

33 SCIM API HTTP-Befehle Die HTTP-Befehle werden wie folgt interpretiert: GET Hole eine Ressource komplett oder teilweise POST Erzeuge eine neue Ressource, oder führe eine Suche durch oder führe eine Massenoperation durch PUT Ersetze eine bestehende Ressource durch eine komplett spezifizierte Ressource (replace). PATCH Modifiziere eine Ressource mittels einer Reihe von atomaren Änderungen (partial update). DELETE Lösche eine Ressource 33

34 Beispiel Ressource erzeugen request POST /Users HTTP/1.1 Host: example.com Accept: application/json Content-Type: application/json Authorization: Bearer h480djs93hd8 Content-Length:... { "schemas":["urn:scim:schemas:core:2.0:user"], "username":"bjensen", "externalid":"bjensen", "name":{ "formatted":"ms. Barbara J Jensen III", "familyname":"jensen", "givenname":"barbara" } } 34

35 Vgl. SCIM 1.1 vs. aktuelle Drafts Schema: 1.1 hatte zusätzlich zu JSON auch eine XML- Repräsentierung API: SAML Profile nicht weiter verfolgt SSO (Pull) nicht mehr da 35

36 SCIM 1.1 Implementierungen Listet 19 v1.1- Implemenierungen Closed Source: CA, Cisco, IdentityIQ, McAfee, NeXus, Ping, RadiantOne, Salesforce, UnboundID Open Source CloudFoundry, Gluu, Ingy dot Net, OpenSCIM, python-scim, SCIM Easy, Unbound, WSO2 36

37 SCIM 2.0 Implementierungen Viele der haben oder arbeiten an einer SCIM 2.0 Implementierung Listet folgende: Nur Open Source: Django, escimo, OSIAM In der IETF-Scim-WG sind u.a. engagiert: Atlassian, Cisco, DAASI, Huawei, Microsoft, nexus, Oracle, Sailpoint, Tarent Wir haben bisher nur mit escimo Erfahrungen gesammelt 37

38 SPML vs SCIM SPML wurde konzipiert um Einträge und Änderungen von einer Quelle (e.g. Metadirectiory) an viele Ziele zu provisionieren SCIM wurde konzipiert um Einträge und Änderungen von einer Quelle zu einem Ziel zu provisionieren SPML ist XML-basiert, SCIM basiert auf JSON SPML kann asynchron provisionieren, SCIM nicht 38

39 SPML vs SCIM SPML definiert eine große Anzahl von Funktionalitäten, SCIM konzentriert sich auf einen einfachen Use-Case SPML unterstützt beliebige XML-Formate, SCIM konzentriert sich auf JSON-Schema für (Enterprise)-User und Gruppen SPML unterstützt unterschiedliche Transportprotokolle (SOAP, HTTP, , ), SCIM definiert eine HTTP-REST-API SPML versucht umfassend Use-Cases zu unterstützen, SCIM nur einen einfachen 39

40 Provisionierung und LDAP Sowohl bei SPML als auch bei SCIM wird von LDAP-Servern ausgegangen, die Nutzerinformationen enthalten SPML mit DSML-Daten ist wesentlich interoperabler zu LDAP 40

41 Provisionierung und OpenLDAP Das OpenLDAP-Backend accesslog eignet sich hervorragend für trigger-basierte Provisionierung Enthält LDAP-Einträge für jeden(schreib)- Zugriff: objectclass: auditmodify reqauthzid: cn=manager,dc=example,dc=org reqdn: uid=test,ou=people,dc=example,dc=org reqstart: Z reqend: Z reqmod: cn:= Foo Bar reqold: cn: Test reqresult: 0 reqtype: modify 41

42 Provisionierung und OpenLDAP Nützliche Information für Provisionierung source ID change type changed attribute values old attribute values Result Können transformiert werden zu: SPML modifyrequest / addrequest / deleterequest SCIM PATCH / POST / DELETE 42

43 DAASI-Provisionierungssystem Python DSML SPML OpenLDAP 43 Python

44 DAASI-Provisionierungssystem Python DSML SPML 44 OpenLDAP PSP 5 Python SCIM

45 SPML vs. SCIM: Fazit SPML wurde wenig für Organisationsüber-greifende Provisionierung genutzt Der Use Case Cloud hat gefehlt? SPML hat sich aber innerhalb der Organisation als Alternative zum Enterprise Service Bus bewährt: Einfache Integration neuer Provisionierungsziele, die weder LDAP noch SAML unterstützen In Clouds wird sich SCIM durchsetzen Vielleicht gibt es ja einen Sitz im Leben für beide Standards? 45

46 SCIM und LDAP IETF-Draft: SCIM Directory Services, P. Hunt, Ed. Oracle Corporation, August 01, 2013, draft-hunt-scimdirectory-01 Ein neuer Draft war in der scim-wg geplant Wegen Säumigkeit eines Volunteers, muss das erst einmal außerhalb der Gruppe gemacht werden: Neuer Draft zu Schema, Filter und LDAP-Errorcode- Mapping 46

47 SCIM und LDAP Ein Problem sind complex multivalued Attribute Bekanntes Problem in der LDAP-Welt Mögliche Lösungen: ' $ ' für complex attributes wie z.b. postaladdress Einfach attributes und OpenLDAP style ordering ({1} Wert eins, {2} Wert 2) 47

48 SCIM und LDAP Ein weiteres Problem ist das SCIM type-konzept z.b. type work oder home Mögliche Lösungen: Ein LDAP attribute je type, z.b.: hometelephonenumber Attribute Options (as specified in RFC 4512 par ), z.b.: telephonenumber;home 48

49 Vielen Dank für Ihre Aufmerksamkeit! Fragen? Leider bin ich heute abend und morgen nicht mehr hier Kontakt und weitere Informationen: DAASI International GmbH Europaplatz 3 D Tübingen Web: Mail: info@daasi.de 49 Bei späteren Fragen zum Vortrag: Mail: peter.gietz@daasi.de