Identity Management an der Universität Augsburg

Transkript

1 Identity Management an der Universität Augsburg Maria Schmaus, Rechenzentrum 14. September 2017

2 Überblick IT-Landschaft der Universität Augsburg Identity Management an der Uni Augsburg Weiterentwicklungen und Zwischenfazit Campus Card Augsburg Ausblick und Fazit

3 IT-Landschaft der Universität Augsburg Die Dienstleistungen des Rechenzentrums nutzen Ca Anwender an rund Computer-Arbeitsplätzen Keine homogene Betriebssystemstruktur Windows in verschiedenen Versionen Diverse Linux- und Unix-Derivate MacOS und diverse mobile Betriebssysteme (ios, Android, ) Vielzahl personalisierter IT-Dienste CMS, Digicampus, Campus-Management, Groupware und viele weitere personalisierte Webanwendungen , RAS, Drucken, Datenbanken, Lizenzserver, Cloud-Dienste

4 Identity Management Historie 1999 Beginn des Plattformübergreifenden Benutzer- und Datenmanagements 2006 Beschluss System abzulösen: Identity Management 2007 Erstes Treffen mit DAASI International GmbH 2009 Auftragsvergabe an DAASI 2011 Beginn der IdM Einführung 2012 IdM vollständig eingeführt 2013 Einführung der Campus Card Augsburg 2014 Anbindung der Lehr- und Lernplattform 2017 Schrankenöffnung Parkdeck

5 Identity Management an der Uni Augsburg Es war einmal der kleine Alois (Augsburger Leichtgewichtiges Offenes Identity-Management-System)

6 Identity Management Grundsätze Fokus auf Zugang zu unseren IT-Systemen Selbstbeschränkung auf identitätsstiftende Daten Keine Adressen, Telefonnummern, -Adressen, Modular erweiterbare Funktionalität Keine Abbildung eines formalen Organigramms Strukturierung anhand der Kooperationsbedürfnisse IdM-Struktur wird zur Delegation administrativer Aufgaben genutzt Kein allumfassendes Auskunftssystem

7 Identity Management an der Uni Augsburg In Kooperation mit der DAASI GmbH entwickelt OpenLDAP-basierte Lösung In Python programmiert Open Source In Eigenentwicklung weitergeführt

8 Identity Management Architektur

9 Erfahrungen mit dem IdM-System Erfolgreiche Integration von neuen Diensten, z.b. Mail-System und Groupware Prüfungsverwaltung Schrankenöffnung Parkdeck Cloud-Dienste mittels DFN-AAI HISinOne am Entstehen Neue Entwicklungen seit den IdM-Anfängen Einführung der Campus Card Augsburg Integration Lehr- und Lernplattform Digicampus

10 Identity Management in Zukunft Der kleine Alois auf dem Weg zu Alois Almighty?

11 Identity Management an der Uni Augsburg Zwischenfazit IdM hat sich bewährt und etabliert Gute Basis für die Entwicklungen der letzten Jahre Akzeptanz bei Datenschützer und Personalrat Mehr Daten im IdM würde manches vereinfachen Fortwährendes Ringen um Balance Aufwand vs. Datenschutz und Sicherheit

12 Campus Card Augsburg Einführung einer multifunktionalen Chipkarte 2013 Eine Karte für alles im akademischen Alltag Studierendenausweis, Beschäftigtenausweis, Gästeausweis Bibliotheksausweis Semesterticket und Zutrittsfunktionalität Bargeldloses Bezahlen im Hochschulbereich (Mensa, Kopieren, ) Entstanden in einem gemeinsamen Projekt der Universität Augsburg der Hochschule Augsburg des Studentenwerks Augsburg Entwicklung und Betrieb in eigener Regie und Hoheit

13 Campus Card Augsburg Anforderungen an die Chipkarte Hoheit über die Karte weitgehende Herstellerunabhängigkeit Auswahl einzelner/verschiedener Technologieanbieter Umfang, Struktur und Abbildung der Daten auf dem Chip Offenheit für selbstbestimmte Anpassungen und Erweiterungen größtmögliche Unabhängigkeit zwischen den Kooperationspartnern Integration in bestehende Infrastruktur und Prozesse Student-Lifecycle (Studentenkanzlei) Personalverwaltungsprozesse Bibliothek und Haushaltsabteilung IT-Architektur, insbesondere Identity-Management

14 Campus Card Augsburg LEGIC advant Transponder-Chips Speicherbereich des LEGIC-Chips ist in voneinander unabh. Segmente aufgeteilt - pro Applikation (z.b. Bezahlen, Bibliothek) ein Segment Segment ist durch jeweils eigenen kryptographischen Schlüssel geschützt Nur Leser, die getauft wurden und den entsprechenden Schlüssel haben, können auf das jeweilige Segment zugreifen (lesen und/oder schreiben) Master-Token System: Statt Passwörter physisches Token = Chipkarte mit besonderen Autorisierungsfunktionen Hierarchisches Sicherheitskonzept: Mit Master-Token kann man sich seinen eigenen Teilbaum bauen (Sub-Master-Token) Alles unter unserer eigenen Kontrolle: Kryptographische Schlüssel Strukturierung in Hoheitsbereiche Chipdesign/Segmentierung

15 Campus Card Augsburg Kartenausstattung Studierendenausweis Funktionen: Sichtausweis (Bild optional), Semesterticket, Bibliotheksausweis, Private Bezahlkarte (Geldbörse), Zutrittskontrolle Daten auf dem Chip: CCA-ID, Kennziffern für Ausweistyp (Studierende, Beschäftigte, Gäste, Kostenstelle, anonym) und herausgebende Einrichtung (Uni, Hochschule, Studentenwerk), Gültigkeitsdatum, Bibliotheksnummer, Matrikelnummer, Zutrittsnummer Beschäftigtenausweis Sichtausweis (Bild optional), Bibliotheksausweis, Private Bezahlkarte (Geldbörse), Dienstliche Bezahlkarte (Kostenstellen), Zutrittskontrolle Chip: CCA-ID, Kennziffern für Ausweistyp und herausgebende Einrichtung, Gültigkeitsdatum, Bibliotheksnummer, Zutrittsnummer

16 Campus Card Augsburg Kartenausstattung Gästeausweis Funktionen und Chip: analog zu Beschäftigten Bibliotheksausweis (Ortsleser und Handapparat) Funktionen: Bibliotheksausweis, Private Bezahlkarte, Zutrittskontrolle Chip: analog zu Beschäftigten Kostenstellenkarte Funktionen: Dienstliche Bezahlkarte Chip: CCA-ID, Kennziffern für Ausweistyp und herausgebende Einrichtung Anonyme Bezahlkarte und Gästekarte Funktionen: Private Bezahlkarte Chip: CCA-ID, Kennziffern für Ausweistyp und herausgebende Einrichtung

17 Campus Card Augsburg Anmerkungen Was im IdM kunstvoll zusammengeführt wird, muss für die KMS- Instanzen wieder mühevoll getrennt werden CCA-ID ist eindeutige ID über alles Standorte hinweg Bibliotheksnummer wird bereits für alle im KMS generiert Sperrlisten werden verbundweit zusammengeführt Nutzungsbedingungen der Börse müssen vor der erstmaligen Nutzung einmalig akzeptiert werden

18 Campus Card Augsburg Fazit Großteil ist kein IT-Projekt Alle Bereiche der Uni müssen zusammenarbeiten Mehrere Kooperationspartner mit jeweils unterschiedlichen Dienstleistern müssen zusammenarbeiten Wille der Unileitung war Voraussetzung für erfolgreiche Umsetzung Kartenhoheit erfordert Aneignung von Wissen Thermostreifen ist problembehaftet Vor-Ort-Einschreibung mit direkter Ausgabe der Campus Card verläuft erfreulich gut Hohe Akzeptanz, nicht mehr wegzudenken

19 Ausblick Identity Management Identity Management unterliegt ständig neuen Anforderungen, bei uns ggf. Zutrittskontrolle allgemein Zeiterfassung Weitere Kommunikationssysteme (VoIP, + DFN-PKI) Anforderungen einer Medizinischen Fakultät Mögliche Folgerungen CCA-ID + Bibliotheksnummer doch ins IdM? Berechtigungs-Management in Verbindung mit formalem Organigramm inkl. Verantwortlichen? Doch -Adressen im IdM speichern? Vierte HR-Quelle? Auf dem Weg zu einem allumfassendem Auskunftssystem? Alois Almighty?

20 Fazit Identity Management ist kein Produkt, sondern ein fortwährender Prozess.

21 Noch Fragen?