4. AK-IDM Treffen. Identity & Access Management an der Universität Stuttgart

Transkript

1 Identity & Access Management an der Universität Stuttgart AK-IDM Treffen Frank Beckmann Björn Eich Michael Stegmüller Thomas Wolfram

2 Agenda 1. Stand der Accountkonsolidierung 2. Nutzerverwaltung mit dem UniAdmin-Portal für Instituts- und Einrichtungsbeauftragte 3. Organigramm der Universität 4. Erreichbarkeitsverzeichnis 5. Ausblick 6. Diskussion

3 Stand Accountkonsolidierung Teil der Einführung eines zentralen IAM-Systems: Schrittweise Ablösung der bisherigen getrennten, dienstspezifischen Benutzerverwaltungen Einführung einheitlicher, automatisch generierter und verwalteter Nutzerkonten Tagesaktuell basierend auf Stammdaten (SVA, SOS) für alle relevanten Personengruppen: Studierende, Mitarbeiter, Angehörige, Gäste usw. Für die zentralen IT-Dienste des RUS bzw. offen für Universität Konsolidierung existierender Nutzerkonten in einer Datenbasis Eine zentraler Verzeichnisdienst als Basis für Access Management Zentraler Active Directory Service, ein Forest

4 Stand Accountkonsolidierung (2) Stand Ablösung bisheriger Benutzerverwaltungen: Umstellung Authentifizierung für Mailservice, WLAN/eduroam, VPN auf zentrales AD abgeschlossen (ohne OpenVPN, wg. Ablösung) Migration Alt-Accountbestände ins AD abgeschlossen Stand Konsolidierung der Alt-Accounts: Alt-Accounts gesamt, alle Altsysteme, ohne Studenten: Zusammengeführt: Personen mit mehr als einem Account: 524 Davon im IDM realen Personen (SVA) zugeordnet bzw. nicht existent: Mailservice + WLAN + VPN: 76 % Nur WLAN + VPN: 26 % (!) Davon bereits IDM-synchronisiert: 10 % Kontakt: siam-support@rus.uni-stuttgart.de

5 Agenda 1. Stand der Accountkonsolidierung 2. Nutzerverwaltung mit dem UniAdmin-Portal für Instituts- und Einrichtungsbeauftragte 3. Organigramm der Universität 4. Erreichbarkeitsverzeichnis 5. Ausblick 6. Diskussion

6 SIAM-Datenmodell: Kontotypen und UUIDs In SIAM werden auf oberster Ebene Entitäten verwaltet Entitäten sind z.b.: Reale Personen, Funktionsnutzer, Systemnutzer, Gruppen (geplant) Haben ein oder mehrere Beziehungen zu universitären Organisationseinheiten (OEs) Besitzen ein oder mehrere Konten unterschiedlicher Typen AK-IDM

7 SIAM-Datenmodell: Kontotypen und UUIDs (2) Automatisch generierte Nutzerkontennamen: xxnnnnnn x: Kleinbuchstabe (a z) N: Ziffer (0 9) Namensräume für Kontotypen: Präfix Namensraum ac st gs fn Mitarbeiter / Mitglieder / Angehörige Studierende Externe / Partner / Gäste Funktionskonten Lange Form: xxnnnnnn@uni-stuttgart.de U.a. für eduroam, VPN, Windows-Desktop, bei Mailservice: xxnnnnnn@maildomain AK-IDM

8 SIAM-Datenmodell: Kontotypen und UUIDs (3) Trennung Nutzerkontonamen von Identifikatoren Format: Universally Unique Identifier (UUID) [ITU-T Rec. X.667] Vorzeichenlose 128 Bit Zahl die dezentral konfliktfrei generierbar ist Großer Wertvorrat (dauerhaft / keine Wiederverwendung) Als Primärschlüssel für relationale Datenmodelle geeignet, nicht sprechend Standardnotation: hexadezimal mit 36 Zeichen Beispiel: C9C0F03A-5A8A F5C-B76DF9B723AE Jede Entität und jedes zugeordnete Nutzerkonto hat in SIAM einen eindeutigen, unveränderlichen Identifikator: Entitäten haben eine UUID: SIAM-ID und besitzen ein oder mehrere Konten mit je einer UUID: SIAM-Konto-ID Werden auch im LDAP-Schema Diensten zur Verfügung gestellt

9 UniAdmin-Portal Webbasierte Verwaltungsschnittstelle für IDM / RUS-Dienste für Nutzer und Einrichtungen Prozessverbesserungen über delegierte Administration durch die dezentralen Beauftragten der Einrichtungen Zeitnähere / unkompliziertere Prozesse, z.b. Bei Rücksetzen von Passwörtern Druck von Zugangsdatenbriefen Schneller, keine Hauspost-Probleme usw. Nutzer- / Rollen- / Gästeverwaltung usw. auf Basis des tagesaktuellen, konsolidierten SIAM-Datenbestandes

10 SIAM Datenflüsse IT-Dienste Stammdaten Mitarbeiter Stammdaten Studenten weitere LDAP Prov. LDAP rus usadr AD Prov. LDAP / Kerberos stud Prov. Mail VPN LSF Mail / VPN / LSF / ILIAS NetApp Shibboleth / eduroam / VPN / ILIAS / Shibboleth / RADIUS / 802.1x / VPN / Shibboleth IDP / CG Pro / imail / Sharepoint / OpenCMS / ILIAS / Vitero / QIS (LSF) / UniAdmin- Portal RUS- Intranet SVA Upload SOS Upload ZV WS WS Sun IDM SPML MetaHub JDBC ActiveSync / Prov. SIAM SIAM-Task Upl. Universitärer Active Directory Forest IDM- Repository (waveset) Identity Management System (Regeln/ Richtlinien) SIAMService HR -DB: Identitäten inkl. Gäste Täglicher Datenabgleich SIAM SVA/SOS UniStruktur (Organigramm) AK-IDM

11 Adresse: Anmeldung Portalsystem: SharePoint Foundation 2010 XHTML Browser: Firefox 4.x oder neuer, IE 8.0 oder neuer Voraussetzung: Mindestens ein Beauftragter für die Benutzerverwaltung (BV) ist offiziell beim RUS gemeldet kann dann Rollen weitergeben Automatische Freischaltung aller BV-Beauftragten ab Anmeldung mit langer Form des Nutzerkontonamens:

12 Nutzer verwalten Nutzer (Entitäten) und/oder Konten suchen und anzeigen Feldauswahl, Status, Details, Historie, generierte adressen, Kontoname, Init- Passwort, Typ, Gültigkeit, Merkmale, Aktionen Sync: Status der IDM-Synchronisation: A : Aktiviert, Konto wird durch IDM synchronisiert D : Deaktiviert, Konto wird (noch) nicht durch IDM synchronisiert, nur rein formale Rollenzuweisungen und Briefdruck möglich; Sync kann aber jederzeit aktiviert werden S1 : In Vorbereitung/Nachprüfung, wie D kann aber nicht aktiviert werden Standard für SVA-zugeordnete Konten ist A, außer für Alt-Konten aus dem AD Zugangsdatenbriefe drucken, einzeln oder Serienbriefdruck Wenn ein Brief dezentral gedruckt wird, wird er vom RUS nicht mehr verschickt Nutzer-Passwörter zurücksetzen, Nutzer sperren / entsperren Sofortige Provisionierung wenn IDM-Sync aktiviert von bis : bedeutet Status aus den Stammdaten abzuleiten [Demo]

13 Dienste für Nutzer beantragen Für alle in UniAdmin existierenden und sichtbaren Konten D.h. für alle Mitarbeiter / Hiwis, auch im Voraus, soweit sie in der Personalverwaltung (SVA) eingetragen worden sind (Regelfall) und daher automatisch ac-konten bekommen Auch für alle sonstigen IDM-synchronisierten Konten für Sonstige/Gäste/Funktionen/usw. wird WLAN/eduroam, VPN standardmäßig freigeschaltet, d.h. keine Anträge mehr nötig wird MSDNAA ebenfalls automatisch freigeschaltet, wenn berechtigt Nur für ac-konten kann Mailservice beantragt werden, wenn Maildomain beim RUS betrieben wird [Demo] Anlage neuer Konten für Sonstige/Gäste/Funktionen/usw. (noch) nicht über UniAdmin Vorläufig weiter beantragen über: Erscheinen dann nach Anlage durch RUS in UniAdmin Briefdruck LSF-Zugänge weiterhin beantragen über CUS (vorm. ebologna-team) Verwendet die ac-konten, aber noch zusätzliche Freischaltung in LSF erforderlich

14 Dienste für Nutzer beantragen (2) Nutzung ac-konten zur Anmeldung an Windows-Desktops: Grundsätzlich möglich für alle Institute deren Windows-Clients bereits am universitären AD angeschlossen sind ac-konten werden nicht in OU des Instituts verschoben, bleiben unter Verwaltung der IDM-Sychronisation Rechte über Gruppenmitgliedschaften zuweisen Bitte koordinieren mit RUS: SIAM und Abteilung SAS Alternativ können weiter lokale Konten für Windows-Desktop in Instituts-OU angelegt werden Können nicht über IDM verwaltet/sychronisiert/usw. werden Erhalten keine Rechte, die an Zuordnung zu realen Personen gebunden sind (z.b. MSDNAA, DFN-AAI, bwidm usw.)

15 Rollen zuweisen, Rollensuche Rollenbasierte Zugriffsrechte, grundsätzlich gilt daher: Nutzbare Funktionen sind abhängig von den Rollen des angemeldeten Nutzerkontos Benutzerverwaltungsbeauftragte (BV) können allen berechtigten Konten Rollen für ihre Organisationseinheiten (OEs) zuweisen Also auch an Konten von Nutzern außerhalb der eigenen OE(s) Rollensuche Wer hat welche Rolle in der eigenen OE? [Demo]

16 Passwort-Self-Service für Nutzer Allgemeine Adresse: Gilt für alle Konten IDM-synchronisierte und nicht-synchronisierte IDM-synchronisierte werden umgeleitet auf: Bei Problemen mit Browser o.ä. die lange Form des Nutzerkontonamens verwenden:

17 Fragen?

18 Agenda 1. Stand der Accountkonsolidierung 2. Nutzerverwaltung mit dem UniAdmin-Portal für Instituts- und Einrichtungsbeauftragte 3. Organigramm der Universität 4. Erreichbarkeitsverzeichnis 5. Ausblick 6. Diskussion

19 Organigrammverwaltung Organigramm der Universität Verwaltung des Organigramms der Universität Technischer Betrieb durch RUS im Rahmen des IDM Inhaltliche Pflege durch Dez. I/6 Organigramm-Browser Baumansicht und tabellarische Ansicht Einsehbarkeit der Daten des Organigramms Kontrolle der Aktualität: Adresse / Kürzel / Maildomain / Leiter usw. Inhaltliche Änderungswünsche an Dez. I/6 Export nach Excel Identisch mit [DEMO]

20 Agenda 1. Stand der Accountkonsolidierung 2. Nutzerverwaltung mit dem UniAdmin-Portal für Instituts- und Einrichtungsbeauftragte 3. Organigramm der Universität 4. Erreichbarkeitsverzeichnis 5. Ausblick 6. Diskussion

21 Stand Erreichbarkeitsverzeichnis (EVE) Umsetzung Erreichbarkeitsverzeichnis (EVE) als uni-internes, LDAP-basiertes -Adressverzeichnis Kann in -Programmen, wie z.b. Microsoft Outlook als Adressbuch eingebunden werden Nur authentifizierter Zugriff, nur Campusnetz Mit allen IDM-synchronisierten Accounts Aktuell Betatest (u.a. mit Dez. V/3 und Dez. I/1) Tests mit verschiedenen -Clients Formlose Anmeldung zum Test möglich unter Angabe -Client:

22 Agenda 1. Stand der Accountkonsolidierung 2. Nutzerverwaltung mit dem UniAdmin-Portal für Instituts- und Einrichtungsbeauftragte 3. Organigramm der Universität 4. Erreichbarkeitsverzeichnis 5. Ausblick 6. Diskussion

23 Weiteres Vorgehen / Ausblick UniAdmin Bis Ende September IDM-Synchronisation aller zugeordneten Alt-Konten Institutsleiter erhalten automatisch Rolle BV-Beauftragter Bis Ende Oktober Sonstige/Gäste/Funktionen direkt in UniAdmin anlegbar, ohne Antrag Ab Anfang November: Mailbox-Anträge nur noch über UniAdmin-Portal Versand von Zugangsdatenbriefen durch RUS nur noch für BV- Beauftragte Bis Ende Dezember Synchronisation LSF mit SVA über IDM

24 Agenda 1. Stand der Accountkonsolidierung 2. Nutzerverwaltung mit dem UniAdmin-Portal für Instituts- und Einrichtungsbeauftragte 3. Organigramm der Universität 4. Erreichbarkeitsverzeichnis 5. Ausblick 6. Diskussion

25 Fragen?