Das Paradigma des homogenen Enterprise Access Managements sowie ein Vorschlag zur unternehmensweit konsistenten Zugriffssteuerung

Transkript

1 Das Paradigma des homogenen Enterprise Access Managements sowie ein Vorschlag zur unternehmensweit konsistenten Zugriffssteuerung Dissertation zur Erlangung des akademischen Grades Dr. rer. pol. VORGELEGT: an der Fakultät Wirtschaftswissenschaften der Technischen Universität Dresden VON: Dipl.-Wirtsch.-Inf. RENÉ ROTTLEB

2

3 Dissertation zur Erlangung des akademischen Grades Dr. rer. pol. mit dem Thema: Das Paradigma des homogenen Enterprise Access Managements sowie ein Vorschlag zur unternehmensweit konsistenten Zugriffssteuerung von Dipl.-Wirtsch.-Inf. RENÉ ROTTLEB VORGELEGT AM: 14. Oktober 2002 VORGELEGT BEI: Technische Universität Dresden Fakultät Wirtschaftswissenschaften BETREUT DURCH: Prof. Dr. ERIC SCHOOP Zusammenfassung: Bei der Umsetzung moderner Managementkonzepte wie bspw. Supply Chain Management, Customer Relationship Management und Partner Relationship Management werden Anwendungssysteme wertschöpfungskettenübergreifend eingesetzt. Das bedeutet, dass sowohl interne als auch externe Benutzer auf verschiedene Anwendungssysteme eines Unternehmens zugreifen. Die daraus resultierenden Anforderungen werden als Paradigma des homogenen Enterprise Access Managements (heam) beschrieben. Zur Umsetzung dieser Anforderungen wird ein Referenzmodell zur anwendungssystemübergreifend konsistenten Zugriffssteuerung (MAKS) entwickelt. Eine entsprechende Realisierungsmöglichkeit in Form eines zentralen Rollen- und Rechtemanagementsystems (ZR²MS) ergibt sich aus der Referenzarchitektur zur anwendungssystemübergreifend konsistenten Zugriffssteuerung (A²KS). Schlagworte: Access Management, Enterprise Access Management, homogenes Enterprise Access Management, heam, Organisationsmodellierung, Rolle, Rollentyp, Referenzmodell, MAKS, Referenzarchitektur, A²KS, Zugriffssteuerung, Benutzermanagement, Zentrales Rollen- und Rechtemanagementsystem, ZR²MS, Verzeichnis, Verzeichnissystem, Verzeichnisdienste, Directory, Directory System, Directory Services, Enterprise Application Integration, Web Services, Extranet, Enterprise Portal

4 TAG DER PROMOTION: 8. Dezember 2003 GUTACHTER: Prof. Dr. Eric Schoop, Technische Universität Dresden Prof. Dr. Werner Esswein, Technische Universität Dresden Prof. Dr. Rainer Thome, Bayerische Julius-Maximilians Universität Würzburg

5 Inhaltsübersicht 1 Einleitung Motivation Einordnung des Themas Ziel und Aufbau der Arbeit 10 2 Das Paradigma des homogenen Enterprise Access Managements E-Business als Basis für ein neues Paradigma Relevante betriebswirtschaftliche Konzepte Homogenes Enterprise Access Management Beitrag des Kapitels zum Gesamtergebnis 54 3 Fachliche Anforderungen des homogenen Enterprise Access Managements Unternehmensmodellierung Organisationsmodellierung Metamodell zur Zugriffssteuerung Administrationsprozesse Prozessübergreifende Anforderungen Referenzmodell MAKS Beitrag des Kapitels zum Gesamtergebnis Technische Aspekte des homogenen Enterprise Access Managements Softwarearchitekturen Verzeichnisse im Kontext der Enterprise Integration Enterprise Access Management - Konzepte und Werkzeuge Beitrag des Kapitels zum Gesamtergebnis Realisierungsvorschlag Referenzarchitektur A²KS Eigenschaften des ZR²MS Einführung von A²KS und ZR²MS Beitrag des Kapitels zum Gesamtergebnis Zusammenfassung Schlussfolgerungen Nutzen Ausblick 214 Dipl.-Wirtsch.-Inf. René Rottleb I

6

7 Inhaltsverzeichnis Inhaltsübersicht I Inhaltsverzeichnis III Abkürzungsverzeichnisse XI Abkürzungen verwendeter Fachbegriffe XI Abkürzungen sonstiger Begriffe XIV Definitionsverzeichnis XVII Abbildungs- und Tabellenverzeichnis XIX 1 Einleitung Motivation Szenario: Investment Banking Szenario: Telekommunikation Einordnung des Themas Begriffsklärung Paradigmenwechsel hinsichtlich des personellen Fokus Realisierungsbedarf Ziel und Aufbau der Arbeit Struktur der Arbeit Auswahl der Modellierungstechnik Formale Aspekte Axiome 16 2 Das Paradigma des homogenen Enterprise Access Managements E-Business als Basis für ein neues Paradigma Potenziale des e-business Gestaltungspotenzial Rationalisierungspotenzial Konsequenzen für das Benutzermanagement Benutzermanagement im Kontext des e-business Benutzermanagement für eigene Mitarbeiter Benutzermanagement auf der Beschaffungsseite Benutzermanagement auf der Absatzseite Benutzermanagement für Stakeholder Implikationen für das Enterprise Access Management 26 Dipl.-Wirtsch.-Inf. René Rottleb III

8 Verzeichnisse Subjekt-Objekt-Ambivalenzen im e-business Beispiele für Subjekt-Objekt-Ambivalenzen Phänomen der Subjekt-Objekt-Ambivalenzen Implikationen für das Enterprise Access Management Relevante betriebswirtschaftliche Konzepte Interorganisatorische Perspektive = Makroebene Netzwerkorganisation Zweckaspekt Gestaltungsaspekt Virtuelle Organisation Implikationen für das Enterprise Access Management Intraorganisatorische Perspektive = Mikroebene Gliederung von Organisationen Parallelisierung von Organisationsstrukturen Vernetzung von Organisationsstrukturen Virtualisierung von Organisationsstrukturen Implikationen für das Enterprise Access Management Homogenes Enterprise Access Management Fokus des Enterprise Access Management Aspekte der Homogenität Beitrag des Kapitels zum Gesamtergebnis 54 3 Fachliche Anforderungen des homogenen Enterprise Access Managements Unternehmensmodellierung Architektur integrierter Informationssysteme Semantisches Objektmodell CIMOSA-Architektur IFIP WG 8.1-Architektur Organisationsmodellierung Organisationsmodellierung nach ESSWEIN Eigenschaften des ROM Beurteilung des Ansatzes Organisationsmodellierung nach RUPIETTA Eigenschaften des ORMS Beurteilung des Ansatzes 73 IV

9 Inhalt Organisationsmodellierung nach GALLER Eigenschaften des Metamodells von GALLER Beurteilung des Ansatzes Organisationsmodellierung nach SCHEER Eigenschaften des Ansatzes Beurteilung des Ansatzes Gegenüberstellung der Ansätze Zwischenfazit Metamodell zur Zugriffssteuerung Organisationsmetamodell Aufgabenträger Stelle Organisationseinheit Rolle Geschäftsprozessorientierung Vertretung Berechtigungsmetamodell Bereichsabgrenzung Handlungsbeschränkung Regeln zur Auswertung der Berechtigungskonfiguration Deduktion aus Rollentypen Kompatibilität von Berechtigungen Auswertung der Rollentyphierarchie Akkumulation von Verwendungsrechten Anwendung von Handlungsspielräumen Normalisierung von Verwendungsrechten Deduktion aus der Aufgabenträgerzuordnung Grundberechtigungsmenge Erweiterte Berechtigungsmenge Zwischenfazit Administrationsprozesse Juristische Personen Organisationseinheiten Stellen 106 Dipl.-Wirtsch.-Inf. René Rottleb V

10 Verzeichnisse Aufgabenträger Rollentypen Berechtigungen Geschäftsprozesse Installation neuer bzw. geänderter Objekte und Methoden Zwischenfazit Prozessübergreifende Anforderungen Terminierung Genehmigung Archivierung Versionierung Zwischenfazit Referenzmodell MAKS Statische Sicht Dynamische Aspekte Anwendung des MAKS Nutzen des MAKS Szenario: Investment Banking Szenario: Telekommunikation Szenario: Abwicklung von Großprojekten Schlussfolgerungen Risiken einer MAKS-Einführung Beitrag des Kapitels zum Gesamtergebnis Technische Aspekte des homogenen Enterprise Access Managements Softwarearchitekturen Autonome Anwendungssysteme Rechnernetze Konvergenz der Netzwerktechnologien OSI-Referenzmodell Internet Internet-Technologie im betrieblichen Einsatz Konvergenz der Anwendungssysteme Client/Server-Architekturen Middleware-Konzepte 141 VI

11 Inhalt Web Services Web-Anwendungen Schlussfolgerungen Integration Integrationsszenarien Integrationstechnologien Integrationsergebnis: Enterprise-Portal Schlussfolgerungen Zwischenfazit Verzeichnisse im Kontext der Enterprise Integration Historie der Verzeichnissysteme Konsolidierung betrieblicher Verzeichnisse Das Metaverzeichnissystem Zielarchitektur eines zentralen Verzeichnissystems LDAP als Quasi-Standard Modelle Operationen/Methoden Verzeichnisschema Standardisierungsumfang Zusammenfassende Beurteilung Technologien zur Verzeichnissystemintegration LDIF DSML JNDI Verzeichnissysteme beim Enterprise Access Management Einsatzmöglichkeiten Zentralisierung von Authentifizierungsinformationen Zentralisierung von Personalisierungsinformationen Zentralisierung der Rollenverwaltung Anwendungssystem vs. Verzeichnissystem Funktionale Defizite von Verzeichnissystemen Abbildung der Aufbauorganisation Unterstützung dynamischer Aspekte Prozessübergreifende Anforderungen 177 Dipl.-Wirtsch.-Inf. René Rottleb VII

12 Verzeichnisse Zwischenfazit Enterprise Access Management - Konzepte und Werkzeuge Grundlagen der Zugriffskontrolle Grundidee der Zugriffskontrolle Zugriffskontrolle nach Lau Zugriffskontrolle nach Stiemerling et al Zwischenfazit Arten der Zugriffskontrolle Diskrete Zugriffskontrolle Vorgeschriebene Zugriffskontrolle Rollenbasierte Zugriffskontrolle Zwischenfazit Architektur von Zugriffskontrollsystemen Zugriffskontrolle in heterogenen Systemen Zugriffskontrolle in Groupware-Systemen Zusammenfassender Vergleich der Konzepte Architekturvarianten für das Enterprise Access Management Zentralisierung von Authentifizierungsinformationen Zentrale Rollenzuweisung Zentrale Rollenkonfiguration Zwischenfazit Basistechnologien zur Zugriffssteuerung SAML XACML Praxisansätze Sign-on-orientierte Konzepte Novell SecureLogin Evidian AccessMaster PortalXpert Provisionierungsorientierte Konzepte Siemens DirX Access360 enrole eprovision Netegrity Secure Relationship Management Zusammenfassende Beurteilung der Praxisansätze 199 VIII

13 Inhalt Zwischenfazit Beitrag des Kapitels zum Gesamtergebnis Realisierungsvorschlag Referenzarchitektur A²KS A²KS-Komponenten Verzeichnissystem Access-Management-System Nutzungsszenario eines A²KS-Systems aus Anwendersicht Anwendungsfall Anwendungsinfrastruktur nutzen Anwendungsfall Präsentationsobjekt verwenden Anwendungsfall Geschäftsobjekt bearbeiten Eigenschaften des ZR²MS Aufgaben des ZR²MS Funktionale Anforderungen Einführung von A²KS und ZR²MS Beitrag des Kapitels zum Gesamtergebnis Zusammenfassung Schlussfolgerungen Nutzen Ausblick 214 Literaturverzeichnis 217 Glossar 235 Anhang 239 Dipl.-Wirtsch.-Inf. René Rottleb IX

14

15 Abkürzungsverzeichnisse Abkürzungen verwendeter Fachbegriffe A²KS...Referenzarchitektur zur anwendungssystemübergreifend konsistenten Zugriffssteuerung AAA... Authentication, Authorization, Accounting ACL...Access Control List API...Application Programming Interface ARIS... Architektur integrierter Informationssysteme ARP...Address Resolution Protocol AS... Anwendungssystem ASP...Application Service Providing B2B... Business-to-Business B2C... Business-to-Consumer B2E... Business-to-Employee BO... Geschäftsobjekt (Business Object) BV... Benutzerverwaltung CGI... Common Gateway Interface CIMOSA... Open Systems Architecture for Computer Integrated Manufacturing CORBA... Common Object Request Broker Architecture CRM... Customer Relationship Management CRM... Candidate Relationship Management DAC... Discretionary Access Control DCOM...Distributed Component Object Model DDS... Dynamic Directory Services DEC...Digital Equipment Corporation DIT...Directory Information Tree DN...Distinguished Name DNA... Distributed internet Applications Architecture DNS... Domain Name Service DSD...Dynamic Separation of Duty DSML... Directory Services Markup Language DSMLv1... Directory Services Markup Language (Version 1.0) DSMLv2... Directory Services Markup Language (Version 2.0) DTD... Data Type Definition DV...Datenverarbeitung EAI...Enterprise Application Integration Dipl.-Wirtsch.-Inf. René Rottleb XI

16 Verzeichnisse e-crm... electronic Customer Relationship Management e-hrm...electronic Human Resources Management EO... LDAP Extended Operations FTP...File Transfer Protocol heam...homogenes Enterprise Access Management HRM... Human Resources Management HTML...Hypertext Markup Language HTTP... Hypertext Transfer Protocol HTTPS... Hypertext Transfer Protocol Secure HVM...Handlungsvollmacht IBM... International Business Machines ICMP... Internet Control Message Protocol IETF... Internet Engineering Task Force IFIP...International Federation for Information Systems IMAP... Internet Mail Access Protocol IP... Internet Protocol IS... Informationssystem ISO... International Standards Organisation J2EE...Java 2 Enterprise Edition JNDI... Java Naming and Directory Interface KAROL...A Framework for Access Control Models KDC...Key Distribution Center KI...Künstliche Intelligenz KM... Kontaktmöglichkeit LAN... Local Area Network LDAP...Lightweight Directory Access Protocol LDAPv2... Lightweight Directory Access Protocol (Version 2) LDAPv3... Lightweight Directory Access Protocol (Version 3) LDIF...LDAP Data Interchange Format MAC... Mandatory Access Control MAKS...Referenzmodell zur anwendungssystemübergreifend konsistenten Zugriffssteuerung MIME... Multipurpose Internet Mail Extensions MIS... Management-Informationssystem NCSC... National Computer Security Center (der Vereinigten Staaten) NDS... Novell Directory Service NIS... Network Information Service NIST...National Institute for Standards and Technology (der Vereinigten Staaten) NNTP... Network News Transfer Protocol XII

17 Abkürzungen OASIS... Organization for the Advancement of Structured Information Standards ORMS...Organisations- und Ressourcen-Management-System OSI...Open Systems Interconnection PC...Personalcomputer PKI...Public-Key-Infrastruktur PO... Präsentationsobjekt (Presentation Object) POP...Post Office Protocol PRM... Partner Relationship Management QoS... Quality of Service RAS...Remote Access Service RBAC... Role-Based Access Control rcp...remote copy RDN...Relative Distinguished Name RFC...Request for Comments RMI...Remote Method Invocation ROM... Rollenmodell der Organisation SAML...Security Assertion Markup Language SASL...Simple Authentification and Security Layer SGE...Strategische Geschäftseinheit SGML...Standard Generalized Markup Language SMTP...Simple Mail Transfer Protocol SOAP...Simple Object Access Protocol SOM...Semantisches Objektmodell SPC... Statistical Process Control SRM...Secure Relationship Management SRVS...Service SSD... Static Separation of Duty SSL...Secure Socket Layer SSO...Single Sign-on TCP... Transport Control Protocol TGT...Ticket Granting Ticket TKT... Ticket TLS... Transport Layer Security UDDI...Universal Description, Discovery and Integration UDP...User Datagram Protocol UML...Unified Modelling Language URL...Universal Resource Locator V-Modell... Vorgehensmodell Dipl.-Wirtsch.-Inf. René Rottleb XIII

18 Verzeichnisse VO... Wertobjekt (Value Object) WSDL...Web Service Definition Language WSUI... Web Services User Interface Wide Web XACML... extensible Access Control Markup Language XML...Extensible Markup Language ZOPE... Z Object Publishing Environment Abkürzungen sonstiger Begriffe Abb....Abbildung Abs.... Absatz Anm. d. Verf....Anmerkung des Verfassers bspw.... beispielsweise bzgl....bezüglich bzw.... beziehungsweise d. h....das heißt diesbzgl.... diesbezüglich et al....et alii (und andere) etc....et cetera (und so weiter) Herv. d. Verf....Hervorhebung des Verfassers Herv. i. Orig....Hervorhebung im Original i. A.... im Allgemeinen i. d. R....in der Regel i. e. S.... im engeren Sinne i. H. v.... in Höhe von i. S....im Sinne i. S. v....im Sinne von i. w. S....im weitesten Sinne inkl.... inklusive insbes.... insbesondere mind.... mindestens Nr....Nummer o. Ä....oder Ähnliches S.... Seite s. o.... siehe oben... eingetragenes Warenzeichen (Trademark) XIV

19 Abkürzungen u. a....unter anderem vgl....vergleiche vs.... versus (entgegen) z. B....zum Beispiel Dipl.-Wirtsch.-Inf. René Rottleb XV

20

21 Definitionsverzeichnis Def. 1.1: Anwendungsinfrastruktur... 6 Def. 1.2: Enterprise Access Management... 7 Def. 1.3: Anwendungssystemübergreifend konsistente Zugriffssteuerung... 9 Def. 2.1: Homogenes Enterprise Access Management Def. 3.1: Aufgabenträger Def. 3.2: Stelle Def. 3.3: Organisationseinheit Def. 3.4: Rollentyp Def. 3.5: Rolle Def. 3.6: Vertretung Def. 4.1: Intranet Def. 4.2: Extranet Def. 4.3: Middleware Def. 4.4: Enterprise Integration Def. 4.5: Business Integration Def. 4.6: Enterprise-Portal Def. 4.7: Intra-Enterprise-Portal Def. 4.8: Inter-Enterprise-Portal Def. 4.9: Verzeichnissystem Dipl.-Wirtsch.-Inf. René Rottleb XVII

22

23 Abbildungs- und Tabellenverzeichnis Abb. 1.1: Bisheriger personeller Fokus des Enterprise Access Management... 7 Abb. 1.2: Neuer personeller Fokus des Enterprise Access Management... 8 Abb. 1.3: Facetten des Enterprise Access Management... 8 Abb. 1.4: Struktur der Arbeit Abb. 2.1: Facetten des e-business Abb. 2.2: Benutzerrollen im Kontext des e-business Abb. 2.3: Benutzermanagement im Rahmen des e-hrm Abb. 2.4: Rollen- und Systemverständnis beim e-hrm Abb. 2.5: Benutzermanagement auf der Beschaffungsseite Abb. 2.6: Benutzermanagement auf der Absatzseite Abb. 2.7: Standardszenarien beim Customer Relationship Management im Mobilfunk Abb. 2.8: Benutzermanagement für Stakeholder Abb. 2.9: Philosophie des Benutzermanagements herkömmlicher Anwendungssysteme Abb. 2.10: Subjekt-Objekt-Ambivalenz im Benutzermanagement Abb. 2.11: Informations- und Leistungsflüsse entlang der Wertschöpfungskette eines Unternehmens Abb. 2.12: Netzwerke als eine von vier Ausprägungen wirtschaftlicher Koordination (in Anlehnung an [Klei95], S. 329) Abb. 2.13: Netzwerktypen nach KLEIN (siehe [Klei95], S. 346) Abb. 2.14: Vielfach kombinierte Aufbaugliederung nach KOSIOL (siehe [Kosi62], S. 174) Abb. 2.15: Beispiel einer Projektorganisation zur Softwareeinführung Abb. 2.16: Personeller Fokus des heams Abb. 3.1: House of Business Engineering inkl. Phasenkonzept (vgl. [Sche98], S. 41) Abb. 3.2: CIMOSA-Framework (vgl. [Espr89], S. 46) Abb. 3.3: Organisationsmetamodell von ADONIS (siehe [Jung + 00], S. 397) Abb. 3.4: Begriffsdiagramm des ROM (siehe [Essw93], S. 555) Abb. 3.5: Metamodell der Organisationssicht in Anlehnung an das ROM (siehe [Gall97], S. 56) Abb. 3.6: Modell des ORMS (vgl. [Rupi92], S. 28 ff.) Abb. 3.7: Datenmodell des ORMS (siehe [Rupi92], S. 33) Abb. 3.8: Metamodell der Organisationssicht in Anlehnung an das ORMS (siehe [Gall97], S. 54) Abb. 3.9: Metamodell der Organisationssicht von GALLER (vgl. [Gall97], S. 49) Abb. 3.10: ARIS-Organisationssicht (siehe [Sche92], S. 92) Dipl.-Wirtsch.-Inf. René Rottleb XIX

24 Verzeichnisse Abb. 3.11: Funktionszuordnung (vgl. [Sche92], S. 112)...77 Abb. 3.12: Transaktionszuordnung zu konkreten Benutzern (vgl. [Sche92], S. 113)...78 Abb. 3.13: Abbildung von Benutzerberechtigungen (vgl. [Sche92], S. 128)...78 Abb. 3.14: Metamodell der Aufbauorganisation von SCHEER (vgl. [Sche01], S. 56)...78 Abb. 3.15: Konfiguration von Benutzerberechtigungen (siehe [Sche01], S. 110)...79 Abb. 3.16: Klasse AUFGABENTRÄGER im Organisationsmetamodell...87 Abb. 3.17: Klasse STELLE im Organisationsmetamodell...88 Abb. 3.18: Klasse ORGANISATIONSEINHEIT im Organisationsmetamodell...90 Abb. 3.19: Klasse ROLLENTYP im Organisationsmetamodell...90 Abb. 3.20: Klasse GESCHÄFTSPROZESS im Organisationsmetamodell...92 Abb. 3.21: Klasse GESCHÄFTSOBJEKT im Organisationsmetamodell...93 Abb. 3.22: Klasse METHODE im Organisationsmetamodell...93 Abb. 3.23: Klasse VERTRETUNG im Organisationsmetamodell...94 Abb. 3.24: Klasse BERECHTIGUNG im Berechtigungsmetamodell...95 Abb. 3.25: Realisierung der Bereichsabgrenzung im Berechtigungsmetamodell...96 Abb. 3.26: Abbildung von Handlungsvollmachten im Berechtigungsmetamodell...96 Abb. 3.27: Metamodell zur Zugriffssteuerung Abb. 3.28: Basisstatuskonzept für juristische und natürliche Personen Abb. 3.29: Basisstatuskonzept für den Genehmigungsprozess Abb. 3.30: Referenzmodell zur anwendungssystemübergreifend konsistenten Zugriffssteuerung (MAKS) Abb. 3.31: Architektur des E³-Modell (siehe [Grei + 01], S. 7) Abb. 4.1: OSI-Referenzmodell (vgl. [Tane92], S. 18) Abb. 4.2: Beispiel einer einfachen Client/Server-Architektur mit zentralem Server (siehe bspw. [Selz98], S. 7) Abb. 4.3: Verteilungsmöglichkeiten für Client/Server-basierte Anwendungssysteme mit 3-Schichten-Architektur Abb. 4.4: Ausweitung bzw. Verlagerung des Benutzermanagements aus der Datenbank in höherer Schichten Abb. 4.5: Verständnis des Middleware-Begriffs Abb. 4.6: Evolution der Integrationsszenarien (in Anlehnung an [Kosa + 99], S. 84) Abb. 4.7: EAI im Kontext der Anwendungsintegration (vgl. [Mant + 02], S. 172) Abb. 4.8: Stufen der Anwendungsintegration und dementsprechende Kopplungsarchitekturen Abb. 4.9: Softwarearchitektur mit Integrationsschicht Abb. 4.10: Anwendungssysteme mit eigenen Verzeichnissen Abb. 4.11: Zentralisierung der Verzeichnisinformationen XX

25 Abbildungen und Tabellen Abb. 4.12: Verzeichnissystem innerhalb einer unternehmensweiten IT-Architektur Abb. 4.13: Informationstypen im zentralen Verzeichnis Abb. 4.14: Zielarchitektur für ein betriebliches Verzeichnissystem Abb. 4.15: Überblick der LDAP-Standardisierung Abb. 4.16: JNDI-Architektur (siehe [Morg + 01], S. 177) Abb. 4.17: RBAC-Kernkonzept (vgl. [Ferr + 01], S. 232) Abb. 4.18: Zugriffskontrolle nach LAU (vgl. [Lau95], S. 76 sowie S. 78 ff.) Abb. 4.19: Zugriffskontrolle nach STIEMERLING ET AL. (siehe [Stie + 00], S. 319) Abb. 4.20: Generische Architektur von Zugriffskontrollsystemen Abb. 4.21: Anwendungssysteme mit eigener Benutzerverwaltung Abb. 4.22: Access Management: Architekturvariante A Abb. 4.23: Access Management: Architekturvariante B Abb. 4.24: Access Management: Architekturvariante B Abb. 4.25: Access Management: Architekturvariante C Abb. 4.26: SAML Domain Model (siehe [Hall + 02], S. 7) Abb. 4.27: Das XACML Datenflussmodell (siehe [Godi + 02], S. 16) Abb. 4.28: Evidian AccessMaster PortalXpert (siehe [Brow + 02], S. 7) Abb. 4.29: Identity und Access Management mit DirX (siehe [Siem01], S. 3) Abb. 4.30: NETEGRITY Secure-Relationship-Management-Plattform (siehe [Nete02]) Abb. 5.1: A²KS Abb. 5.2: Grundprinzip von Kerberos (vgl. [Brit01], S. 158 f.) Abb. 5.3: Nutzung einer A²KS-basierten Anwendungsinfrastruktur Abb. 5.4: Aktivitätendiagramm: Anwendungsinfrastruktur nutzen Abb. 5.5: Aktivitätendiagramm: Präsentationsobjekt verwenden Abb. 5.6: Aktivitätendiagramm: Geschäftsobjekt bearbeiten Tab. 1.1: Strukturmodellierung mit UML (vgl. [Booc + 99], S. 104 f.) Tab. 1.2: Verhaltensmodellierung mit UML (vgl. [Booc + 99], S. 105 ff.) Tab. 3.1: Gegenüberstellung der von ESSWEIN, GALLER, RUPIETTA und SCHEER verwendeten Begriffe Tab. 3.2: Beispiele für Handlungsvollmachten Tab. 3.3: Administration des Zugriffssteuerungsmodells Tab. 4.1: Internet, Intranet und Extranet aus Sicht des Enterprise Access Managements Tab. 4.2: Historie der Verzeichnissysteme (vgl. [Rott02], S. 6 ff.) Dipl.-Wirtsch.-Inf. René Rottleb XXI

26

27 1 Einleitung Die Absicherung von Informationssystemen gegen unzulässige Nutzung hat bereits seit dem Beginn ihres betrieblichen Einsatzes große Bedeutung. Die wissenschaftliche Diskussion zu diesem Thema wird unter den Begriffen Access Management, Security, Safety etc. geführt (vgl. bspw. [Rann00], S. 489). Hierbei entstanden Authentisierungskonzepte, Autorisierungskonzepte, Sign-On-Konzepte, Rollen- und Rechtekonzepte etc. Bei der Besprechung von Web-Content-Management-Systemen weisen JABLONSKI und MEILER darauf hin, dass neben dem eigentlichen Schutz vor unerlaubten Zugriffen (Security i. e. S.) der Aspekt berücksichtigt werden muss, wer welche Zugriffe aus fachlichen Aspekten benötigt (vgl. [Jabl + 02], S. 114). Diese Differenzierung lässt sich für beliebige Anwendungssysteme verallgemeinern. Während der Entwicklungsstand von Verfahren und Methoden zur Sicherstellung von Security i. e. S. als sehr weit fortgeschritten betrachtet werden kann, gibt es aus Sicht der Wirtschaftsinformatik offene Fragestellungen. Einem dieser offenen Themen, anwendungssystem- und unternehmensübergreifenden Aspekten des Access Managements, d. h. dem Paradigmenwechsel von einer anwendungssystemzentrierten hin zu einer anforderungsorientierten, anwendungssystemübergreifenden Betrachtung der Rollen- und Rechteproblematik (siehe [Rott02], S. 28), widmet sich die vorliegende Arbeit. Technische Schutzziele, Sicherheitstechniken und -verfahren etc. (vgl. [Rann00], [Röhr + 00]) liegen hingegen außerhalb des Fokus dieser Arbeit. Access Management wird mehrheitlich für einzelne Anwendungssysteme betrieben. Single-Sign-on-Konzepte verfolgen zwar einen anwendungssystemübergreifenden Ansatz i. S. eines Enterprise Access Managements, konzentrierten sich aber nur auf die Realisierung der Einmalanmeldung von Benutzern für mehrere Anwendungssysteme. Dabei wird jedoch vorrangig eine Reduktion des Aufwands für die Benutzerbetreuung angestrebt (vgl. bspw. [Uebe + 01], S. 18 oder [Höde02], S. 20), die Umsetzung eines anwendungssystemübergreifenden Rollen- und Rechtemanagements sowie die Nutzung des damit verbundenen Optimierungspotenzials sind hingegen nicht Gegenstand dieser Betrachtungen. Aufgrund des Fortschritts in der Informationstechnologie in den vergangenen Jahren entstanden neue Managementkonzepte, die dem Paradigma des e-business zuzuordnen sind. Aus der Realisierung entsprechender e-business-konzepte wie dem e-procurement, dem e-crm (electronic Customer Relationship Management), dem e-hrm (electronic Human Resources Management) etc. ergeben sich neue Ansatzpunkte für das Enterprise Access Management. Die Herleitung eines entsprechenden Paradigmas sowie eines technischen Realisierungsvorschlags sind Gegenstand der vorliegenden Arbeit. Der Verfasser intendierte bei der Dipl.-Wirtsch.-Inf. René Rottleb 1

28 1 Einleitung Erarbeitung der hier vorgestellten Lösung eine deutliche Praxisnähe. Um dieser Intention gerecht zu werden, befasst sich der folgende Abschnitt 1.1 mit zwei einleitenden Beispielen, mit denen die Arbeit im betrieblichen Kontext positioniert wird. Im Abschnitt 1.2 (S. 5 ff.) schließt sich eine ausführliche Einordnung des Themas in den Kontext der Wirtschaftsinformatik an, bevor im Abschnitt 1.3 (S. 10 ff.) Ziel und Aufbau der Arbeit beschrieben werden. Ausgehend von der Zielsetzung werden die Struktur des Dokuments erläutert und die Wahl der zum Einsatz kommenden Modellierungstechnik begründet. Die Erläuterung formaler Aspekte und ein Hinweis auf die der Argumentation zu Grunde liegenden Axiome komplettieren diesen Abschnitt. 1.1 Motivation Die folgenden zwei Szenarien entstammen dem Erfahrungsschatz des Autors aus seiner Tätigkeit als IT-Berater. Die Beispiele beschreiben reale Situationen repräsentativer betrieblicher Umfelder in Dienstleistungsunternehmen. Auf eine Benennung der Unternehmen wurde verzichtet, weil die beschriebenen Szenarien auf eine Vielzahl weiterer Unternehmen der jeweiligen Branche sowie anderer Branchen zutreffen Szenario: Investment Banking Das Investment Banking hat sich zu einem der führenden und ertragreichsten Geschäftsfelder von Banken entwickelt. Unter dem Begriff Investment Banking werden in der Literatur die Bereiche Corporate Finance und Trading/Sales verstanden (vgl. [Schi01], S. 382). Insbes. im Bereich Trading werden heutzutage eine Vielzahl an elektronischen Handelssystemen eingesetzt. Die komplette Anwendungsinfrastruktur für das Investment Banking wird in der vorliegenden Arbeit als Handelsplattform bezeichnet. Eine Handelsplattform besteht aus spezifischen Handelsinformationssystemen (Reuters, Bloomberg, Telerate etc.), Handelssystemen i. e. S. (Xetra, Eurex, Bloomberg Trading etc.), einem Positionsführungssystem sowie diversen Unterstützungssystemen für die Aufbereitung und Abwicklung (Textverarbeitung, Tabellenkalkulation, Groupware, Internet- Browser etc.). Typischerweise haben die verschiedenen Benutzer einer Handelsplattform unterschiedliche Verfügungsrechte sowohl bzgl. der benutzten Software als auch bzgl. des damit gehandelten Kapitals. Der Arbeitstag eines Investment Bankers beginnt normalerweise damit, sich morgens am System anzumelden. Besser ausgedrückt: an den Systemen. Für fast jedes Anwendungssystem hat er ein eigenes Benutzerkürzel mit dem er sich gesondert autorisiert. Undisziplinierte Investment Banker melden sich am Vortag nicht ordnungsgemäß vom System ab, heben morgens nur die Sperrung ihrer Workstations auf und stellen wesentlich schneller 2