SAP Compliant Identity Management Vertiefungsworkshop IdM. Volker Perkuhn SAP Senior Consultant Jens Sauer Consulting Manager t

Transkript

1 SAP Compliant Identity Management Vertiefungsworkshop IdM Volker Perkuhn SAP Senior Consultant Jens Sauer Consulting Manager t

2 Agenda Einführung in das Thema 13: SAP Identity Management (IdM) im Überblick 13:45 14:30 Pause für Erfrischungen & Expertengespräche 14:30 15:00 Architektur und Konnektoren 15:00 15:30 SAP Identity Management (IdM) in der Praxis 15:30 16:15 Herangehensweise und Erfahrungsbericht 16:15 16:45 Q & A 16:45 17:00 Abschluss und gemeinsamer Apéro Ab 17: SAP AG. All rights reserved. 2

3 Einführung in das Thema Allgemeine Begriffsdefinition und thematische Einordnung

4 Lebenszyklus einer Identität im Unternehmen Onboarding Re-Boarding Kündigung Einarbeitung Wiedereinstieg Identity Life Cycle Karriere Abteilungswechsel Elternzeit 2014 SAP AG. All rights reserved. 4

5 Lebenszyklus einer Identität im Unternehmen Account Access Unternehmens- Daten SAP Rolle LDAP-Eintrag Gruppenzugehörigkeit Mitarbeiter 2014 SAP AG. All rights reserved. 5

6 Lebenszyklus einer Identität im Unternehmen HCM Active Directory Offene Fragen: Wer hat Zugang zum System? Wozu Corporate ist er berechtigt? Directory Wer hat ihm das Recht gegeben? Was geschah in der Vergangenheit? - Accounting - Autorisierung - Administration - Audit Lotus Notes Lagerbestands- Datenbank 2014 SAP AG. All rights reserved. 6

7 Lebenszyklus einer Identität im Unternehmen SAP Rolle Berechtigungsvielfalt des Anwenders darf kein Risiko für das Unternehmen erzeugen Anwender benötigt im Sonderfall Ausnahmerechte Gegebenenfalls muss der Anwender kontrolliert werden Risiko-Kontrolle und Mitigation Anwender benötigt ein Anwenderkonto Anwender benötigt ganz bestimmte Berechtigungen, um produktiv zu sein Der Identitäts-Lebenszyklus des Anwenders muss auditierbar sein Genehmiger müssen über die Freigabe des Benutzerkontos entscheiden Management der Identität Datenkommunikation muss eigens verschlüsselt werden Anwender muss auf Authentizität überprüft werden Die Authentizität des Anwenders darf nicht gekapert werden Single Sign-On und Verschlüsselung 2014 SAP AG. All rights reserved. 7

8 Identity Management Compliant Identity Management und Single Sign-On Berechtigungsvielfalt des Anwenders darf kein Risiko für das Unternehmen erzeugen Anwender benötigt im Sonderfall Ausnahmerechte Gegebenenfalls muss der Anwender kontrolliert werden Risiko-Kontrolle und Mitigation Anwender benötigt ein Anwenderkonto Anwender benötigt ganz bestimmte Berechtigungen, um produktiv zu sein Der Identitäts-Lebenszyklus des Anwenders muss auditierbar sein Genehmiger müssen über die Freigabe des Benutzerkontos entscheiden Management der Identität Datenkommunikation muss eigens verschlüsselt werden Anwender muss auf Authentizität überprüft werden Die Authentizität des Anwenders darf nicht gekapert werden Single Sign-On und Verschlüsselung Compliant Identity Management 2014 SAP AG. All rights reserved. 8

9 Identity Management Compliant Identity Management und Single Sign-On Compliant Identity Management Compliance Governance Identity Management Authentication und Single Sign-On SAP Business Object Access Control SAP NetWeaver Identity Management SAP NetWeaver Single Sign-On SAP: komplette und integrierte Compliant Suite von Compliance, Identity Management Governance, Identity und Single Sign-On 2014 SAP AG. All rights reserved. 9

10 Identity Management Compliant Identity Management und Single Sign-On Compliant Identity Management Compliance Governance Identity Management Authentication und Single Sign-On SAP Business Object Access Control SAP NetWeaver Identity Management SAP NetWeaver Single Sign-On SAP: komplette und integrierte Compliant Suite von Compliance, Identity Management Governance, Identity und Single Sign-On 2014 SAP AG. All rights reserved. 10

11 SAP Identity Management (IdM) im Überblick Überblick Identity Lifecycle Management Rollen- und regelbasiertes Provisionieren Compliance und IT Risk Management Genehmigungs-Workflows

12 Idealbild einer zentralisierten Benutzerverwaltung HCM Active Directory Compliant Identity Management Corporate Directory Lotus Notes Lagerbestands- Datenbank 2014 SAP AG. All rights reserved. 12

13 Idealbild einer zentralisierten Benutzerverwaltung HRinitiiert HCM Active Directory Compliant Identity Management Corporate Directory Lotus Notes Lagerbestands- Datenbank 2014 SAP AG. All rights reserved. 13

14 Idealbild einer zentralisierten Benutzerverwaltung HCM ITinitiiert Active Directory Compliant Identity Management Corporate Directory Lotus Notes Lagerbestands- Datenbank 2014 SAP AG. All rights reserved. 14

15 Idealbild einer zentralisierten Benutzerverwaltung HCM Initiiert durch Fachbereich Compliant Identity Management Active Directory Corporate Directory Lotus Notes Lagerbestands- Datenbank 2014 SAP AG. All rights reserved. 15

16 Zentrale Benutzerverwaltung mit SAP IdM e.g. on-boarding Compliance Checks Reporting SAP Business Suite Integration SAP BusinessObjects Access Control (GRC) Regelbasierte Zuweisung von Businessrollen SAP NetWeaver Identity Management Passwordmanagement Genehmigungs- Workflow Web-basierend Single Sign-On Zentrale Identitätsablage Provisionierung SAP und nicht-sap Systeme 2014 SAP AG. All rights reserved. 16

17 Die vier Segmente des Identity Managements Identity Lifecycle Management Rollen & Regel-basiertes Provisioning Identity-Erstellung, Synchronisation und Administration Wem ist wann was gestattet? Accounting Autorisierung Compliance & IT Risk Management Audit & Reporting, Interfacing mit Risiko-Analyse SAP Netweaver Identity Management Genehmigungs- Workflows Beantragung von Berechtigungen, Genehmigung / Ablehnung Audit Administration 2014 SAP AG. All rights reserved. 17

18 Die vier Segmente des Identity Managements Identity Lifecycle Management Identity-Erstellung, Synchronisation und Administration Accounting Kontrollierte Benutzerkonten-Verwaltung Automatische Daten-Synchronisation SAP Netweaver SAP Identity Netweaver Management Kontrolliertes und verlässliches Identity Management Provisionieren Kontrolliertes und verlässliches Deprovisionieren User-Selbstadministration inklusive Password-Verteilung und Helpdesk- Funktionalität 2014 SAP AG. All rights reserved. 18

19 Die vier Segmente des Identity Managements Identity Lifecycle Management Identity-Erstellung, Synchronisation und Administration Rollen & Regel-basiertes Provisioning Wem ist wann was gestattet? Accounting Autorisierung SAP Netweaver Identity Management 2014 SAP AG. All rights reserved. 19

20 Identity Management: Rolle vs. Berechtigung SAP NetWeaver Identity Management Zielsystem Rollen-Management System Management Business Rolle Technische Technische Rolle Rolle Technische Rolle Technische Rolle Technische Rolle Berechtigungs- Objekt Hat Zugriff auf Kann ausführen Darf lesen Konnektor 2014 SAP AG. All rights reserved. 20

21 Rollendefinition und Berechtigungsprovisionierung SAP NetWeaver Identity Management Business-Rollen Manager Wenige Business-Rollen Vertrieb Lohnbuchhaltung Bestellwesen Finanz- Buchhaltung Mitarbeiter Abteilungsleiter Viele Einzel-Rollen Act. Dir- Portal Gruppen User Mitarb.Rolle User - User User Technische Rollen Kostenst. Portalrolle User Manager ABAP-Rolle User 2014 SAP AG. All rights reserved. 21

22 Kontextbasiertes Rollenmanagement Zusätzlicher Kontext auf Attribut Ebene für die Userrollen-Vergabe SAP NetWeaver Identity Management User Kontext B Business Rolle Technische Rolle A Technische Rolle D Kontextbasiertes Provisionieren von Rollen Position Lokation Kostenstelle Technische Rolle B Technische Rolle C Technische Rolle E Kontext-basierte Zuweisung Managed System Business Rolle Reduktion der Anzahl von Rollen Reduzierte Komplexität Höhere Granualität Höhere Datenverlässlichkeit Technische Rolle D Technische Rolle B Technische Rolle E 2014 SAP AG. All rights reserved. 22

23 Beispiel Kontext-Zuweisung Kontext-Zuweisung auf Basis der Länder-Kennung SAP NetWeaver Identity Management Mitarbeiter Kontext Land Mitarbeiter Mitarbeiter Mitarbeiter 2014 SAP AG. All rights reserved. 23

24 Businesscase-Betrachtung Rollenmanagement Rollen & Regel-basiertes Provisioning Wem ist wann was gestattet? Kontrollierte Berechtigungs- Vergabe durch Rollen Autorisierung Rollenmodellierung über kontextbasierte Businessrollen Zentrale Verwaltung von Berechtigungen Funktionale bzw. organisatorische Rollenmodellierung Organisation der Berechtigungen 2014 SAP AG. All rights reserved. 24

25 Die vier Segmente des Identity Managements Identity Lifecycle Management Identity-Erstellung, Synchronisation und Administration Rollen & Regel-basiertes Provisioning Wem ist wann was gestattet? Accounting Autorisierung SAP Netweaver Identity Management Genehmigungs- Workflows Beantragung von Berechtigungen, Genehmigung / Ablehnung Administration 2014 SAP AG. All rights reserved. 25

26 Workflow in der Identity Management Architektur?? Provisionierung Archivierung und Protokollierung Beantragen Analysieren Genehmigen Provisionieren Protokollieren 2014 SAP AG. All rights reserved. 26

27 Workflow in der Identity Management Architektur Start Workflow Beantragen, z.b. Beantragen Analysieren Genehmigen Provisionieren Datenänderungen, z.b. Änderungen von eigenen/fremden Stammdaten, Passwörtern usw. Berechtigungsvergabe, z.b. Zugriff auf ein Dokumenten-Share oder eine SAP-Transaktion Erweiterter Berechtigungsvergabe, z.b. Notfalluser Erstellung eines Reports, z.b. Wo hat der Mitarbeiter überall einen Account IDM-System-Trigger, z.b. Erreichen eines Verfalls-Datums Zielsystem-Trigger, z.b. Anlage eines neuen Mitarbeiters im HR Lizenz-Trigger, z.b. Last-Login exceeds period Organisations-Trigger, z.b. einzelner Umorganisation im Unternehmen Bulk-Änderungen, z.b. Massen-Änderung bei größerer Umorganisation im Unternehmen 2014 SAP AG. All rights reserved. 27

28 Workflow in der Identity Management Architektur Control Workflow Analyse, z.b. Beantragen Analysieren Genehmigen Provisionieren Gültige Rollen-Kombination, z.b Darf Rolle A mit Rolle B vergeben werden?. Gültige Berechtigungs-Kombination*, z.b. Darf Berechtigung A mit Berechtigung B vergeben werden? Gültige Transaktions-Kombination*, z.b. Darf Transaktion A mit Transaktion B vergeben werden? Untersuchung auf Risiko*, z.b. Ergibt die Vergabe der Rolle eine Kritikalität? Generische Unternehmens-Policy, z.b. Müssen Lizenzen gekauft werden? * Grün: GRC Access Control 2014 SAP AG. All rights reserved. 28

29 Workflow in der Identity Management Architektur Beantragen Analysieren Genehmigen Provisionieren Control Workflow Genehmigen, z.b. Null- bis X-stufiger Prozess, z.b Durchwinken vs. Prüfen. Vertreter-Regelung, z.b. Urlaubs-Vertretung Weiterleitungs-Möglichkeit, z.b. nicht sicher, ob das so stimmt! Eskalations-Regelung, z.b. Task bleibt liegen wird automatisch eskaliert Whitelist/Blacklist-Szenarien, z.b. Order Mufti vs. Veto -Regel Ablauf-Genehmigung, z.b. Automatischer Prozess nach Ablaufdatum Attestierungs-Genehmigung z.b. Wiedervorlage nach Ablaufdatum 2014 SAP AG. All rights reserved. 29

30 Workflow in der Identity Management Architektur Beantragen Analysieren Genehmigen Provisionieren Process Workflow Provisioning, z.b. Einrichten, Modifizieren, Deaktivieren, z.b Richte Identität auf AD ein. Vergabe von Berechtigungen, z.b. Bekommt Rolle A Deprovisionieren, z.b. Stillegen eines Mitarbeiter über HR-Prozess Notfall-Lock, z.b. Direktes Deaktivieren eines Mitarbeiters über Notfall-Knopf 2014 SAP AG. All rights reserved. 30

31 Businesscase-Betrachtung Genehmigungs-Workflow Kontrollierte Berechtigungs- Vergabe über Genehmiger Verantwortliche übernehmen Verantwortung IT-gestützter und dokumentierter Workflow Antrags- und Genehmigungs- Verfahren Automatisierung durch zeitliche Trigger Genehmigungs- Workflows Beantragung von Berechtigungen, Genehmigung / Ablehnung Administration 2014 SAP AG. All rights reserved. 31

32 Die vier Segmente des Identity Managements Identity Lifecycle Management Rollen & Regel-basiertes Provisioning Identity-Erstellung, Synchronisation und Administration Wem ist wann was gestattet? Accounting Autorisierung Compliance & IT Risk Management Audit & Reporting, Interfacing mit Risiko-Analyse SAP Netweaver Identity Management Genehmigungs- Workflows Beantragung von Berechtigungen, Genehmigung / Ablehnung Audit Administration 2014 SAP AG. All rights reserved. 32

33 Audit und Reporting Erfassung von Daten-Istbeständen, historischen Daten Vollständige Erfassung von Genehmigungs-Prozessen bis hin zu atomaren Entscheidungen Erstellung von maßgeschneiderten Berichten über vordefinierte Templates Risiko-Analyse mit externem SAP BO Access Control System-Logs der Zielsyteme sind separat zu betrachten 2014 SAP AG. All rights reserved. 33

34 Businesscase-Betrachtung Audit und Reporting Revisionssichere Protokollierung aller Prozess-Schritte Compliance & IT Risk Management Audit & Reporting, Interfacing mit Risiko-Analyse Kompletter Audit-Trail Berichte on demand Integration mit SBO Access Control Deutliche Verbesserung der Datensicherheit Audit 2014 SAP AG. All rights reserved. 34

35 Die vier Segmente des Identity Managements Identity Lifecycle Management Rollen & Regel-basiertes Provisioning Identity-Erstellung, Synchronisation und Administration Wem ist wann was gestattet? Accounting Autorisierung Compliance & IT Risk Management Audit & Reporting, Interfacing mit Risiko-Analyse SAP Netweaver Identity Management Genehmigungs- Workflows Beantragung von Berechtigungen, Genehmigung / Ablehnung Audit Administration 2014 SAP AG. All rights reserved. 35

36 Umfassendes Identity Management SAP Netweaver Identity Management Vier-Säulen-Prinzip Identity Management Identity Lifecycle Management Accounting Rollen & Regel-basiertes Provisioning Autorisierung Genehmigungs-Workflows Administration Antworten zu den Fragen: Wer hat Zugang zum System? Wozu ist er berechtigt? Wer hat ihm das Recht gegeben? Was geschah in der Vergangenheit? - Accounting - Autorisierung - Administration - Audit Compliance & IT Risk Management Audit 2014 SAP AG. All rights reserved. 36

37 Pause für Erfrischungen & Expertengespräche 14:30 15:00

38 Architektur und Konnektoren Architektur und Integration in SAP NetWeaver Konnektivität in die heterogene Systemlandschaft SAP Business Suite Konnektoren Techniken beim User Interface

39 Idealbild einer zentralisierten Benutzerverwaltung HCM Active Directory Compliant Identity Management Corporate Directory Lotus Notes Lagerbestands- Datenbank 2014 SAP AG. All rights reserved. 39

40 Architektur Identity Center Datenbank Identitäten/Konfigurations/Rollen-Speicher, Prozess-Logik Workflow Benutzerschnittstelle Haupt-Interface für User und Manager, Monitorung und Audit Interface für Administratoren Konfigurations-Oberfläche Konfigurations-Schnittstelle Laufzeitsystem und Dispatcher Prozess- und Provisioning-Logik inklusive Konnektoren SAP NetWeaver Identity Management 7.2 Workflow and Monitoring UI (AS Java) Dispatcher Runtime Engine Identity Center Identity Center Database Management Console Event Agent Service Virtual Directory Server SAP GRC Web services Ereignisüberwachung Überwacht angeschlossene Systeme und initiiert Datensynchronization bei Feststellung von Änderungen Read / write Detect changes 2014 SAP AG. All rights reserved. 40

41 Konnektivität in die heterogene Systemlandschaft Generische Schnittstellen SPML (Services Provisioning Markup Language) LDAP ODBC / JDBC / OLE-DB RFC LDIF Datei XML Datei CSV Datei Directory Servers Andere SAP Application Server Microsoft Windows NT MS-ILM (vorm. MIIS) Unix/Linux Shell Execution Custom Java Konnektor API Script-basierte Konnektor API Datenbanken Microsoft SQL Server Microsoft Access Oracle Databank IBM UDB (DB2) MySQL Sybase Anwendungen SAP Business Suite SAP Access Control (GRC) SAP HANA Lotus Domino / Notes Microsoft Exchange RSA ClearTrust RSA SecurID Partner Konnektoren * ENDRA (Kogit) Blackberry Ent. Server (Kogit) IBM Cognos (Kogit) IBM i5 (Identity Forge) CA-ACF2 (Identity Forge) CA-Top Secret (Identity Forge) Cisco Call Manager (Conet) FlexiTrust CA (FlexSecure) IBM RACF (Kogit) IBM RACF (Identity Forge) Sharepoint (Asconsit) Sharepoint (Kogit) Secure TrustManager (Secude) Peoplesoft (Asconsit) * Nicht Bestandteil des SAP NetWeaver Identity Management Lieferumfangs Directory Server Microsoft Active Directory IBM Tivoli Directory Novell edirectory SunONE Java Directory Oracle Internet Directory Microsoft Active Directory Application Mode (ADAM) Siemens DirX OpenLDAP eb2bcom View500 Directory Server CA etrust Directory SAP NetWeaver IDM Virtual Directory Server Jeder LDAP v3 compliant Directory Server 2014 SAP AG. All rights reserved. 41

42 SAP Business Suite Konnektoren SAP Supplier Relationship Management SAP Human Capital Management Key Benefits Automated creation of Business Partner in SAP CRM, SAP SCM Link from Business Partner to user SAP Supplier Customer Management SAP Portfolio and Product Management SAP Product Lifecycle Management SAP ERP Financials SAP Transportation Management SAP Extended Warehouse Management SAP Service Parts Planning SAP Supply Network Collaboration 2014 SAP AG. All rights reserved. 42

43 Compliant Identity Management GRC Integration SAP NetWeaver Identity Management Provisioning Workflow Trigger Approval Workflow Non-SAP & SAP OR Risk Analysis Remediation SAP Anwendungen SAP GRC 2014 SAP AG. All rights reserved. 43

44 Compliant Identity Management GRC Integration SAP Netweaver Identity Management SAP Business Objects Access Control Genehmiger 1 Compliance- Beauftragter 1. Anforderung 2. Risiko-Prüfung 3. Genehmigungsprozess 4. Provisionierung 2014 SAP AG. All rights reserved. 44

45 Compliant Identity Management GRC Integration SAP Netweaver Identity Management 2 SAP Business Objects Access Control Genehmiger 1 Compliance- Beauftragter 1. Anforderung 2. Risiko-Prüfung 3. Genehmigungsprozess 4. Provisionierung 2014 SAP AG. All rights reserved. 45

46 Compliant Identity Management GRC Integration 3 SAP Netweaver Identity Management 2 SAP Business Objects Access Control Genehmiger 1 Compliance- Beauftragter 1. Anforderung 2. Risiko-Prüfung 3. Genehmigungsprozess 4. Provisionierung 2014 SAP AG. All rights reserved. 46

47 Compliant Identity Management GRC Integration 3 SAP Netweaver Identity Management 2 SAP Business Objects Access Control Genehmiger 4 1 Compliance- Beauftragter 1. Anforderung 2. Risiko-Prüfung 3. Genehmigungsprozess 4. Provisionierung 2014 SAP AG. All rights reserved. 47

48 SAP Identity Management (IdM) in der Praxis Anwendungsszenarien Live-Demo Kundenbeispiel

49 Idealbild einer zentralisierten Benutzerverwaltung HCM Active Directory Compliant Identity Management Corporate Directory Lotus Notes Lagerbestands- Datenbank 2014 SAP AG. All rights reserved. 49

50 Demo-Szenario 1: Onboarding-Szenario Personalabteilung Neuer Mitarbeiter Stammdatenerfassung Personal- Sachbearbeiter HR- System 2014 SAP AG. All rights reserved. 50

51 Demo-Szenario 1: Onboarding-Szenario Personalabteilung Neuer Mitarbeiter Personal- Sachbearbeiter HR- System Bekanntgabe im Unternehmen 2014 SAP AG. All rights reserved. 51

52 Demo-Szenario 1: Onboarding-Szenario Personalabteilung Active Directory Exchange Neuer Mitarbeiter Personal- Sachbearbeiter HR- System 2 Mailadress und GUID im HR eintragen 1 GUID-Erzeugung Mailaddress- Erzeugung 2014 SAP AG. All rights reserved. 52

53 Demo-Szenario 1: Onboarding-Szenario Personalabteilung Active Directory Exchange Neuer Mitarbeiter Personal- Sachbearbeiter HR- System Virtual PC Bekanntgabe im Unternehmen Portal CRM LDAP- Directory 2014 SAP AG. All rights reserved. 53

54 Demo-Szenario 1: Onboarding-Szenario Personalabteilung Active Directory Neuer Mitarbeiter Stammdatenerfassung Personal- Sachbearbeiter Exchange HR- System Bekanntgabe im Unternehmen Virtual PC manuell Portal CRM LDAP- Directory 2014 SAP AG. All rights reserved. 54

55 Demo Compliant Identity Management in einer Life-Umgebung

56 Demo-Szenario 2: Abteilungswechsel Personalabteilung Active Directory Neuer Mitarbeiter Stammdatenerfassung Personal- Sachbearbeiter Exchange HR- System Bekanntgabe im Unternehmen Virtual PC manuell Portal Risiko-Prüfung CRM LDAP- Directory ERP 2014 SAP AG. All rights reserved. 56

57 Demo Compliant Identity Management in einer Life-Umgebung

58 Demo-Szenario 3: Beantragung auf Berechtigung HR-System Active Directory Exchange Außenstelle Mitarbeiter (Order Management) Virtual PC Portal Order Management CRM LDAP- Directory Lieferanten- stammdaten- Pflege??? ERP 2014 SAP AG. All rights reserved. 58

59 Demo-Szenario 3: Beantragung auf Berechtigung Zentrale HR-System Active Directory Exchange Außenstelle 1: Beantragen Mitarbeiter (Order Management) Abteilungsleiter 3: Genehmigen Virtual PC 4: Provisionieren Portal 2: Risiko-Prüfung CRM LDAP- Directory ERP 2014 SAP AG. All rights reserved. 59

60 Demo Compliant Identity Management in einer Life-Umgebung

61 Demo-Szenario 4: Neuer externer Mitarbeiter Abteilung XY HR-System Active Directory Exchange Abteilungsleiter Neuer externer Mitarbeiter Virtual PC ABAP- Developer System CRM LDAP- Directory Portal ERP 2014 SAP AG. All rights reserved. 61

62 Demo Compliant Identity Management in einer Life-Umgebung

63 Herangehensweise und Erfahrungsbericht Zielsetzungen & Vorgehen Phasen Lessons Learned

64 Datenaufbereitung Datenbereinigung Datenharmonisierung Attribute-Mapping 2014 SAP AG. All rights reserved. 64

65 Rollenmodellierung Bestandsaufnahme Role Mining Organisations- Abbildung 2014 SAP AG. All rights reserved. 65

66 Genehmigungskonzept Prozessanalyse Prozessmodellierung Genehmigungsworkflow 2014 SAP AG. All rights reserved. 66

67 Businesscase-Erstellung Identity Lifecycle Management Identity-Erstellung, Synchronisation und Administration Accounting Fachbereich Öffnen der Abteilungen für administrative Prozesse Infrastruktur Harmonisierung der Daten Datenbereinigung Einrichten von Provisionierungs-Prozessen Fachbereichsübergreifend Administration (Sicherung/Protokolle ) Infrastruktur 2014 SAP AG. All rights reserved. 67

68 Businesscase-Erstellung Fachbereich Festlegung eines abgestimmten Rollenkonzeptes Fachbereichsübergreifende Abstimmung von Berechtigungsvorgaben Ausarbeitung von Governance-Richtlinien Rollen & Regel-basiertes Provisioning Wem ist wann was gestattet? Autorisierung Infrastruktur Technische Umsetzung der Berechtigungs- Vorgaben Fachbereichsübergreifend Infrastruktur 2014 SAP AG. All rights reserved. 68

69 Businesscase-Erstellung Fachbereich Fachbereichsübergreifende Abstimmung von Prozessen für Genehmigungen, Reports, Datenschutz Infrastruktur Einbeziehung von Betriebsrat, Anwendern, Prozess-Beauftragten, Applikationsbeauftragten Ausarbeitung von Compliance-Richtlinien Infrastruktur Umsetzung der Prozess-Vorgaben in technische Flowcharts Technische Realisierung der Prozess-Integration Fachbereichsübergreifend Genehmigungs- Workflows Beantragung von Berechtigungen, Genehmigung / Ablehnung Administration 2014 SAP AG. All rights reserved. 69

70 Businesscase-Erstellung Fachbereichsübergreifend Infrastruktur Fachbereich Vorgaben von der Revision Mitwirkungspflicht der Fachabteilungen Ausarbeitung von Compliance-Richtlinien Compliance & IT Risk Management Audit & Reporting, Interfacing mit Risiko-Analyse Infrastruktur Sicherung und Restore Technische Realisierung der Berichtserfassung und Verteilung Audit 2014 SAP AG. All rights reserved. 70

71 Projekt-Aktivitäten Datenbereinigung Planung, Konzeption Implementierung 2014 SAP AG. All rights reserved. 71

72 Projektumfang Automatisierung Y-realistisch Z-realistisch Der Umfang von Identity & Access Management Projekten wird maßgeblich durch drei Dimensionen bestimmt: Umfang Rollen & Workflows Integrierte Benutzer/Fachbereiche Anzahl der Systeme X-realistisch Anzahl der Benutzer Initialer Scope Finaler Scope Empfehlung: Identity Management Scope Workshop 2014 SAP AG. All rights reserved. 72

73 Was ist eine SAP Rapid Deployment Solution? Vor-definierte Szenarien schnell und einfach implementiert Software Schnelle Lösung für die wichtigsten Prozesse Content SAP Best Practices mit Vorlagen und Werkzeugen um die Lösung schnell produktiv zu nutzen Enablement Anleitungen und Schulungsmaterial unterstützen die Benutzer und Administratoren Service Festgelegter Umfang und Preis schützen vor unkalkulierbaren Risiken im Projekt SAP Rapid Deployment Solutions Service Software Enablement Content SAP NetWeaver Identity Management Rapid Deployment Solution Die paketierte Lösung reduziert die Einführungs- und die Betriebskosten durch vorkonfigurierte Einstellungen, die das einfache Zuordnen von Rollen und Rechten zu Benutzern erlauben. Dazu kommen Standard Reports und weitere Funktionalitäten SAP AG. All rights reserved. 73

74 Bestandteile der Rapid Deployment Solution Beispielhafte Geschäftsvorfälle Anforderung: Verfügbarkeit von automatisierter, positionsbezogener und gesetzkonformer Berechtigungsvergabe Lösung: Reduzierte Betriebskosten durch automatisierte Benutzerdatenanlage und Berechtigungsvergabe basiert auf Daten aus dem Personal-Verwaltungssystem Reduzierte Risiken durch Compliance Checks und Segregation-of-Duty Kontrolle Manuelle Prozesse werden automatisiert durch Integration mit SAP Business Suite Applikationen Neueinstellung Positionsbasierte Zuweisung von Berechtigungen Compliance check Automatisierter Genehmigungsprozess Ja Erzeuge Benutzer und Vergabe von Berechtigungen SAP ERP Human Capital Management Solution SAP NetWeaver Identity Management Komponente SAP Access Control (nicht Teil der RDS) Nein Vorgesetzter Erzeuge Benutzer und Vergabe von Berechtigungen Erzeuge Benutzer und Vergabe von Berechtigungen System Landschaft 2014 SAP AG. All rights reserved. 74

75 Die Evolution des Liefermodells von SAP Services Liefermodelle im Vergleich Experten-Basiert Design-Basiert Assemble-to-Order Industrialisiert Hoch qualifizierte Experten liefern einzigartige Resultate Traditionelles Projektvorgehen mit starker Bindung zum Business Blueprint Vordefinierten Servicebausteine helfen die Anforderung umzusetzen Hoch standardisierte Servicepakete mit fixem Scope & Preis Lokal, Nearshore, Offshore REMOTE LIEFERANTEIL 10% 50% 70% 90% LIEFERMODELL Build to Order Assemble to Order ASPIRATION Evolution von SAP Services 2014 SAP AG. All rights reserved

76 Die Evolution des Liefermodells von SAP Services Assemble to Order als Projekt-Beschleuniger Design-Basiert Projektvorb, Blueprint Umsetzung Produktionsvorbereitung Assemble 2 Order Projektvorb. Start Lean Delta Blueprint Deploy RDS Umsetzung Industrialisiert Start Deploy Run Paketierter Aufwand Nicht-Paketierter Aufwand Go Live & Support Kostensenkungspotentiale in der Realisierungsphase können durch Hinzunahme unserer Near- & Offshore SAP Experten erreicht werden SAP AG. All rights reserved. 76

77 Step-by-step Migrations-Szenario Beispiel SAP NW IdM ZBV LDAP-Directory Userdaten- Abgleich Provisionierung für ABAP-Systeme SAP Portal mit UME FI ABAP HR ABAP ERP ABAP 2014 SAP AG. All rights reserved. 77

78 Step-by-step Migrations-Szenario Beispiel Schritt 1: Wichtigste drei Applikationen integrieren: HR Active-Directory Corp-Directory Schritt 2: zwei strategische Applikationen integrieren: ZBV Portal Schritt 3: Usability für Anwender verbessern: Passwort-Mgmt. SSO Schritt 4: Rollen u.genehm.- prozesse optimieren: Org-Modell Autom. Prozesse Schritt 5: Integration weiterer Personengruppen: Externe MA Praktikanten 2014 SAP AG. All rights reserved. 78

79 Fragen und Antworten Fragerunde, Summary und Abschluss

80 Vielen Dank! Jens Sauer Consulting Manager SAP (Schweiz) AG M Volker Perkuhn Senior Consultant SAP (Schweiz) AG M

81 Appendix

82 2014 SAP AG oder ein SAP-Konzernunternehmen. Alle Rechte vorbehalten. Weitergabe und Vervielfältigung dieser Publikation oder von Teilen daraus sind, zu welchem Zweck und in welcher Form auch immer, ohne die ausdrückliche schriftliche Genehmigung durch SAP AG oder ein SAP-Konzernunternehmen nicht gestattet. SAP und andere in diesem Dokument erwähnte Produkte und Dienstleistungen von SAP sowie die dazugehörigen Logos sind Marken oder eingetragene Marken der SAP AG (oder von einem SAP-Konzernunternehmen) in Deutschland und verschiedenen anderen Ländern weltweit. Weitere Hinweise und Informationen zum Markenrecht finden Sie unter Die von SAP AG oder deren Vertriebsfirmen angebotenen Softwareprodukte können Softwarekomponenten auch anderer Softwarehersteller enthalten. Produkte können länderspezifische Unterschiede aufweisen. Die vorliegenden Unterlagen werden von der SAP AG oder einem SAP-Konzernunternehmen bereitgestellt und dienen ausschließlich zu Informationszwecken. Die SAP AG oder ihre Konzernunternehmen übernehmen keinerlei Haftung oder Gewährleistung für Fehler oder Unvollständigkeiten in dieser Publikation. Die SAP AG oder ein SAP-Konzernunternehmen steht lediglich für Produkte und Dienstleistungen nach der Maßgabe ein, die in der Vereinbarung über die jeweiligen Produkte und Dienstleistungen ausdrücklich geregelt ist. Keine der hierin enthaltenen Informationen ist als zusätzliche Garantie zu interpretieren. Insbesondere sind die SAP AG oder ihre Konzernunternehmen in keiner Weise verpflichtet, in dieser Publikation oder einer zugehörigen Präsentation dargestellte Geschäftsabläufe zu verfolgen oder hierin wiedergegebene Funktionen zu entwickeln oder zu veröffentlichen. Diese Publikation oder eine zugehörige Präsentation, die Strategie und etwaige künftige Entwicklungen, Produkte und/oder Plattformen der SAP AG oder ihrer Konzernunternehmen können von der SAP AG oder ihren Konzernunternehmen jederzeit und ohne Angabe von Gründen unangekündigt geändert werden. Die in dieser Publikation enthaltenen Informationen stellen keine Zusage, kein Versprechen und keine rechtliche Verpflichtung zur Lieferung von Material, Code oder Funktionen dar. Sämtliche vorausschauenden Aussagen unterliegen unterschiedlichen Risiken und Unsicherheiten, durch die die tatsächlichen Ergebnisse von den Erwartungen abweichen können. Die vorausschauenden Aussagen geben die Sicht zu dem Zeitpunkt wieder, zu dem sie getätigt wurden. Dem Leser wird empfohlen, diesen Aussagen kein übertriebenes Vertrauen zu schenken und sich bei Kaufentscheidungen nicht auf sie zu stützen SAP AG. All rights reserved. 82