Business Whitepaper ActiveRights

Transkript

1 Business Whitepaper

2 Business Whitepaper 05/2003 Scope & Summary 3 Management Summary 3 Welcher Themenkreis wird behandelt? 3 Welche Anwendungsfälle sind betroffen? 3 Verzeichnis der verfügbaren Use Cases für 5 Welche Vorteile bietet? 5 Technische Kurzbeschreibung 6 Funktionale Beschreibung 7 Zusammenfassung 9 2

3 Scope & Summary Management Summary Mit zunehmender Integration interner Software-Anwendungen und der Öffnung solcher Anwendungen nach außen (Web), wird die Zuweisung, Verwaltung und Sicherung von Rechten und Rollen eines Anwenders im jeweiligen Anwendungskontext und die eindeutige und sichere Identifikation dieses Anwenders zu einem zentralen Thema. Die damit verbundenen Themen wie Authentifizierung, Single-Sign-On und Identity Management adressiert die BOV-Gruppe mit in einem integrierten Gesamtkonzept. Das Produkt bietet an der zentralen Schnittstelle zwischen Systemressourcen und Anwendungen neben den genannten Funktionen einen deutlich effektiveren Infrastrukturbetrieb und schafft eine stabile Basis für die zukünftige Generation kontextbezogener Anwendungen (z. B. Portale). Welcher Themenkreis wird behandelt? Das vorliegende Papier beschreibt einen integrierten Lösungsansatz für die verwandten und voneinander abhängigen Problemfelder: Zentrale und einheitliche Authentifizierung von internen und externen Benutzern gegenüber Softwaresystemen mit und ohne PKI-Infrastrukturen (Single-Sign-On). Management Summary Themenkreis? Zusammenführung der getrennten Rollen- und Rechteprofile dieser Benutzer gegenüber allen Softwareteilsystemen (Profiling). Rollenbasierte Bereitstellung von Anwendungen auf Serversystemen und/oder Clients, Auswertung des Benutzer- und Lastverhaltens, ggf. deren Abrechnung (Provisioning). Funktionalität und Anwendungsumgebung für die teilautomatisierte und dezentralisierte Ressourcenverwaltung, die Anwendern gemäß ihrer Rolle im Unternehmen ermöglicht, gewisse Aufgaben der Systemadministration selbst zu übernehmen (Self Administration). Plattform für die Entwicklung von Anwendungen mit benutzerspezifischer Funktionalität. Im Gegensatz zum Provisioning geht es nicht nur um die Verfügbarkeit einer Anwendung für einen Nutzer. Vielmehr werden Funktionalität, Aussehen und Datenumfang einer Anwendung beim Aufruf benutzerspezifisch erzeugt (Personalized Applications). Welche Anwendungsfälle sind davon betroffen? Eine saubere und zusammenhängende Adressierung dieser Themen ist eine unabdingbare Voraussetzung für eine große Klasse an aktuellen Anwendungsfällen: 3

4 Anwendungsintegration im weitesten Sinne. Die Zusammenführung der Informationen aus verschiedenen Systemen in einen gemeinsamen Kontext setzt voraus, dass sich der Nutzer über die integrierte Lösung gegenüber allen im Rahmen dieser Lösung angesprochen Datenquellen authentifizieren kann. Interne und externe ASP-Systeme. Die flexible Buchung von Anwendungen und Datenhaltung als zentrale Dienstleistung setzen eine verlässliche Authentifizierung des Benutzers über interne und externe Netze, eine von Fall zu Fall variable Nutzung des Funktionsumfangs und eine Auswertung des Nutzerverhaltens für späteres Billing voraus. Transparenz und Reduktion der Betriebskosten, die durch eine betriebsinterne und von der tatsächlichen Nutzung abhängige Umlage der Betriebskosten auf Unternehmensteile, durch die automatisierte Erzeugung und Pflege von Rechten und Rollen aus dem Personalverwaltungssystem (z. B. SAP R/3 HR) und durch eine Übernahme einfacher Tätigkeiten der Systemadministration durch einfache Selbstbedienungssysteme auf Anwenderebene erreicht werden kann. Anwendungsfälle? Portale und kontextbasierte Informationssysteme. Dieses Produktumfeld adressiert den Wunsch, die für einen Geschäftsprozess und/oder das Aufgabengebiet eines Mitarbeiters nötigen Informationen aus den heterogenen Systemlandschaften auf einer gemeinsamen Benutzeroberfläche zusammenzuführen. Informationen werden demnach nicht mehr im Kontext ihrer technischen Organisation ( gehören zur Anwendung X, stehen im System Y ), sondern im Kontext des Prozesses verwaltet. Ein derartiges Konzept setzt die saubere Verwaltung der Rechte und Rollen sowie die Authentifizierung gegenüber allen Systemen an einer zentralen Stelle zwingend voraus. Employee Self Service. Die Nutzung von internen Informationsnetzen und Portalsystemen für den direkten Zugang von Mitarbeitern zu administrativen Leistungen des Unternehmens setzt ebenfalls ein klares Rollen- und Rechtekonzept voraus. Besonders effizient ist es, die nicht der IT-Abteilung angehörigen Mitarbeiter oder Führungskräfte in eigener Verantwortung den Umgang mit Ressourcen der Informationstechnik zu überlassen (Zuweisung von Mail-Accounts, Veränderung von Nutzerprofilen, Zuweisung neuer Softwareprofile, Neuanlagen von Nutzern etc.). Dies setzt eine saubere Rechtestruktur und eine einfache Benutzerumgebung voraus. 4

5 Business to Business und Business to Consumer Hubs. Jede Art von Dienstleistungsknoten des Electronic Business setzt eine Festlegung der Rechte und Rollen der Nutzer voraus. Dies gilt insbesondere dann, wenn interne Anwendungen direkt für den Zugriff von außen geöffnet werden sollen. Als Beispiel soll hier der Zugriff auf das betriebseigene Inventory für Lieferanten und Kunden genannt werden (Vendor / Supplier Managed Inventory). Jeder Zugriff erfolgt mit unterschiedlichen Rechten. Je nach Rolle und Bedeutung stehen Kunden und Lieferanten unterschiedliche Informationstiefen zur Verfügung. Diese Problematik führt direkt zum Wunsch, eine Anwendung zu erzeugen, die ihr Verhalten von der Rolle des jeweils angemeldeten Anwenders abhängig macht. Diese Liste gibt nur eine exemplarische Übersicht über Anwendungsfälle, die direkt oder indirekt mit dem hier behandelten Thema in Zusammenhang stehen. Eine detaillierte Beschreibung für den Einsatz einer integrierten Lösung für Single-Sign-On, Profiling, Provisioning, Personalized Applications und Self Administration ist für einzelne Projektfälle in getrennt verfügbaren Use Cases beschrieben. Anwendungsfälle? Use Cases & Vorteile Verzeichnis der verfügbaren Use Cases für : 1. Kontexterhaltung zwischen lokalen Client-Anwendungen und zentral bereitgestellten Anwendungen 2. und die Integration von PKI- Strukturen 3. Zugriffsrechte auf Mainframe-Systeme und Host Access Lists 4. Provisioning lokaler und zentraler Applikationen 5. Self Administration mit 6. Portalintegration mit und darin Repositories Welche Vorteile bietet? Ganzheitlicher Ansatz: 5 Themen aus einer Hand eignet sich als zentrale Plattform für die Lösung aller Probleme an der Schnittstelle zwischen Identitäts- und Ressourcenmanagement. bietet ein von Basisfunktionen über Single-Sign-On bis hin zu komplexen Systembausteinen reichendes Leistungsspektrum in einer Plattform. macht die gewünschte Integrationsleistung zwischen bestehenden Systemen nicht vom Aufbau neuer und wiederum nicht integrierter Systeme abhängig. 5

6 Modularer Produkt- und Projektaufbau in geeigneten Skalierungsstufen erlaubt eine schrittweise Erweiterung der Funktionalität. Schnittstellen zu externen Systemen basieren auf Plugins und können nachträglich hinzugefügt werden. Eine Liste der unterstützten Directory-Systeme und der Schnitt-stellen ist im Abschnitt Technische Kurzbeschreibung zusammengestellt. Ein typischer Projektverlauf erlaubt die schnelle Adressierung drängender Themen (z. B. Single-Sign-On) und einen darauf basierenden stufenweisen Ausbau des Konzepts. Plattform- und herstellerunabhängige, vollständig transparente Lösung basiert auf offenen Standards und ist herstellerunabhängig. kann auf einer Vielzahl von Plattformen betrieben werden und eine Vielzahl externer Plattformen ansprechen. Ein Verzeichnis der unterstützten Plattformen ist im Abschnitt Technische Kurzbeschreibung aufgeführt. Die Lösung ist völlig transparent. Für Unternehmen mit maximalen Sicherheitsanforderungen bietet die BOV-Gruppe Vertragsbedingungen, unter denen der komplette Sourcecode zur Verfügung gestellt und geprüft werden kann. Use Cases & Vorteile Technische Kurzbeschreibung Skalierbar und erprobt Das Produkt ist Teil einer Produktfamilie des Software Frameworks ActiveFrame, auf dessen Basis die BOV-Gruppe eine große Anzahl komplexer Softwareprojekte realisiert hat. (Auf Wunsch stellen wir gerne unsere Referenzliste zur Verfügung). Das Gesamtsystem ist auf gute Skalierbarkeit und Performance auch bei hohen Benutzerzahlen und umfassenden Datenstrukturen ausgelegt. Unabhängigkeit von Lizenzmodellen Jede auf der Basis von entwickelte Lösung ist nach Projektabschluss Eigentum des Kunden. Es fallen keine regelmäßigen Lizenzkosten an. Der Kunde entscheidet selbst über Zeitpunkt und Umfang funktionaler Erweiterungen. Idealer Mittelweg aus Standardsystem und Individuallösung Das Ergebnis eines Projekts mit ist ein standardisiertes Einzelstück, das die Sicherheit eines erprobten Standardprodukts mit idealtypischen Vorteilen einer Individualentwicklung vereint. Technische Kurzbeschreibung ist Bestandteil des Frameworks ActiveFrame und stellt in seiner Grundfunktionalität eine Standardkomponente für die Vergabe von applikatorischen und Nutzer-Rechten dar. 6

7 ActiveFrame stellt dabei den infrastrukturellen Rahmen sowie die Entwicklungsumgebung und auch die Entwicklungsrichtlinie. Der modulare Aufbau von ermöglicht die individuelle Anpassung an verschiedenste infrastrukturelle Umgebungen mit einem sehr hohen Wiederverwendungswert. Die Konnektoren zu Benutzerverzeichnissen, Datenbanksystemen, Verzeichnisdiensten, Security-Providern und Fremdanwendungen werden als Plugins mit dem Kernel verbunden. ist eine Client Server-Anwendung, deren Source in Java vorliegt. Als Benutzerinterface kommen zwei grafische Benutzeroberflächen zum Einsatz, eine Rich- GUI und eine Webbrowseroberfläche. Die Rich-GUI ist als javabasierender Client, abgeleitet vom SWT-Client des Eclipse Projekts, und die Weboberfläche als dynamische Servlet-Implementierung ausgeführt, standardmäßig basierend auf einer Tomcat Servlet-Engine und einen Apache Webserver. Die Kommunikationsprotokolle und Sicherheitsmechanismen von basieren auf offenen Standards und sind vollkommen transparent ausgelegt. Unterstützte Standardmechanismen für Kommunikation und Authentifizierung sind LDAP, KERBEROS und X.509 Zertifikate. Technische & funktionale Beschreibung Die flexible Architektur von ermöglicht wahlweise ein verteiltes oder zentralisiertes System und kann jederzeit den sich ändernden Randbedingungen angepasst werden. Funktionale Beschreibung Grundbegriffe Jedes moderne IT-System enthält eine zumindest elementare Komponente für das Rechte-, Rollen- und Zugangsmanagement. Eine solche Komponente bildet eine Reihe von Grundvoraussetzungen für den Betrieb eines Netzwerks aus Arbeitsplätzen und zentralen Datenverarbeitungssystemen ab (Server, Hostsysteme): Zuordnung von Daten auf gemeinsam genutzten Speichermedien (Fileserver) zu verschiedenen Nutzern und Schutz dieser Daten gegen unbefugten Zugriff (Schaffung eines virtuellen, privaten Speichersystems). Zugangskontrolle zu kritischen Systemressourcen und kritischen Systemfunktionen (Administratorenrechte). Damit wird verhindert, dass Anwender unabsichtlich durch Zugriff auf systemkritische Parameter die Funktionsfähigkeit des Gesamtnetzes gefährden und nur solche Personen kritische Systemkonfigurationen vornehmen können, die dafür authorisiert und qualifiziert sind. 7

8 Zuordnung physikalischer Systemressourcen zu Benutzern. Dies können Drucker-, Rechnersysteme etc. sein. Da in einem IT-Netz das Betriebssystem für die Kontrolle über die physikalischen Ressourcen wie Speicher, Rechenleistung, Plattenplatz etc. der jeweiligen Systeme zuständig ist, ist die genannte Basisfunktionalität meist als Bestandteil des Betriebssystems umgesetzt. Mit zunehmender Komplexität der Systemumgebung wachsen die Anforderungen an das Rechte-, Rollen- und Zugangsmanagement: Ein -System benötigt ein eigenes Verzeichnis mit den Mailadressen der Benutzer, deren Rechte auf von Arbeitsgruppen gemeinsam genutzte Funktionen (Kalender, Groupware), deren Faxnummern (Faxserver) und zahlreiche anderen Informationen. Ein automatisiertes Softwaresystem benötigt ein eigenes Verzeichnis aller Benutzer und der für sie vorgesehenen Softwarekomponenten. Auf diese Art und Weise kann Software automatisch in individueller Konfiguration für jeden Benutzer verteilt und gewartet werden. Funktionale Beschreibung Ein Human Resources System wie z. B. SAP R/3 HR bildet ein komplettes Verzeichnis von Mitarbeitern und deren organisatorischen Rollen zu reinen Verwaltungszwecken ab. Es enthält viele Informationen doppelt, die zeitgleich und redundant in anderen Verzeichns-Systemen vorgehalten werden. Systeme für die Gruppenarbeit verlangen nach einem Verzeichnis der Benutzer, das die hierarchischen Rollen der Mitarbeiter in einem organisatorischen Kontext abbildet. So kann der in einem Workflow erfasste Ablauf Urlaubsantrag abschicken nur dann umgesetzt werden, wenn für jeden Mitarbeiter, der einen solchen Antrag aufbaut, hinterlegt ist, welche Rolle in der Organisation für die Genehmigung eines solchen Antrags zuständig ist. Dies kann nicht für jede Person getrennt erfasst werden, da der nötige Pflegeaufwand bei Veränderungen nicht zu leisten ist. Vielmehr erfordert es eine Abbildung auf Rollen, die dann wieder auf Personen abgebildet sind. Umfangreichere und komplexere Aufgaben für die Abbildung von Rollen und Rechten werden als Directory Services bezeichnet. Solche Services entstehen parallel und unabhängig voneinander an verschiedenen Stellen des Unternehmens: 8

9 Verzeichnis-Dienste als Teil eines Mailsystems (X.400, LDAP etc.) Verzeichnis-Dienste als Teil eines Netzwerkbetriebssystems (Active Directory von Microsoft, Novell Directory Services NDS) Verzeichnis-Dienste als Teil einer Hostanwendung (RAG-F auf Mainframe) Verzeichnis-Dienste in non-it Produkten, wie Schließanlagen, Telefonsystemen, Kassensystemen Das Problem heterogener und unsynchronisierter Verzeichnisdienste wird zudem durch die wachsende globale Integration über die Unternehmensgrenzen hinweg verschärft. Auch im öffentlichen Internetworking des World Wide Web spielt die Authentifizierung eines Benutzers gegenüber einem Rechte- und Rollensystem eine wichtige Rolle: Sichere Anmeldung eines Nutzers im Web an eine unternehmensinterne Anwendung Benutzer-, kunden- und partnerabhängige Bereitstellung von Funktionen in Websystemen (z. B. Preis- und Lieferinformationen, Preisstaffeln etc.) Vereinfachung des Einkaufs im Netz durch ein zentrales Bankenprofil des Benutzers, der sich nicht mit seinen Kreditkarten-Informationen an jeder Seite neu anmelden muss Funktionale Beschreibung Zusammenfassung Zusammenfassend lässt sich zu heterogenen Systemen für Rechte-, Rollen und Zugangsmanagement sagen: Sie sind unhandlich, da sie eine mehrfache Anmeldung des Anwenders erfordern Sie sind schwer zu pflegen, da sich Veränderungen, wie Kündigungen, Neueinstellungen und Reorganisationen auf eine Vielzahl von Verzeichnis-Diensten auswirken, die alle manuell nachgepflegt werden müssen Sie sind ein Problem bei der Absicherung der Systeme gegen unbefugten Zugriff 9