Identitätsmanagement: Die Universität als dienstorientiertes Bündnis

Transkript

1 Identitätsmanagement: Die Universität als dienstorientiertes Bündnis Prof. Dr. Hannes Hartenstein Die Kooperation von Forschungszentrum Karlsruhe GmbH und Universität Karlsruhe (TH)

2 Gliederung Kurze Einführung Was ist Identitätsmanagement? Warum ist IDM wichtig? IDM-Konzept der Universität Karlsruhe Umsetzung Erfahrungen und Empfehlungen Fazit 2 Hannes Hartenstein Vortrag in Potsdam 20. Juni 2007 KIM

3 Identitätsmanagement: Problemstellung Natürliche Person (allg. Entität ) Digitale Identitäten Benutzerverwaltung {U3412, meier, max,... } rz474 MeierM MM21 Integration? Effizienz, Sicherheit? Dienste, Ressourcen SVA RZ UB IWR 3 Hannes Hartenstein Vortrag in Potsdam 20. Juni 2007 KIM

4 Einige Feststellungen Hier: Identitätsbegriff ist relativ Leibniz sches Gesetz der Identität des Ununterscheidbaren nur in Bezug auf Nutzerpopulation (nicht universell) Haltung von Attributen zur Unterscheidbarkeit der Nutzer und als Basis zur Berechtigungsüberprüfung Identität als Basis für Personalisierung von Diensten Zugriffskontrolle Erreichbarkeit Compliance Verschiedene Sichten Nutzersicht: persönliches IDM Betreibersicht: IDM von Mitarbeiter und Kunden 4 Hannes Hartenstein Vortrag in Potsdam 20. Juni 2007 KIM

5 Integriertes IDM: Aufgaben und Mehrwerte Mindestanforderung: die lokalen digitalen Identitäten einer Person (Entität) können wenn erlaubt und gewünscht in Beziehung zueinander gebracht werden Provisionierung, Deprovisionierung, Synchronisation über lokale Einrichtungsgrenzen hinweg Personalisierung, Zugriffskontrolle und Single-Sign-on für übergreifende Diensterbringung Basis für lebendige Dienstevielfalt Effektives und effizientes Arbeiten Sicherheitsgewinn 5 Hannes Hartenstein Vortrag in Potsdam 20. Juni 2007 KIM

6 Nicht ob sondern wie ist die Frage... Change equation (Beckhard, Gleicher): D V F > R D: Dissatisfaction with how things are now V: Vision of what is possible F: First steps that can be taken R: Resistance to change Dienste Umsetzbarkeit 6 Hannes Hartenstein Vortrag in Potsdam 20. Juni 2007 KIM

7 Keine (allgemeine) Lösung: komplette Zentralität 2. Generation : alle Daten in ein Verzeichnis Metadirectory zur Synchronisation Nachteile F : schrittweise Umsetzung und Adaption ist schwierig R : Datenschutzrechtliche Bedenken Erhöhung des Widerstands 7 Hannes Hartenstein Vortrag in Potsdam 20. Juni 2007 KIM

8 Unser Ansatz: die Universität als dienstorientiertes Bündnis ZUV RZ Identitätsmanagement Services Accounts Identity Information Provisionierung Synchronisation Single Sign-On Authentifikation UB Services Accounts Identity Information Login FZK Password Services Accounts Identity Information Services Accounts Identity Information 8 Hannes Hartenstein Vortrag in Potsdam 20. Juni 2007 KIM

9 Föderation Föderation Zusammenschluss unabhängiger organisatorischer Einheiten (Satelliten) mit eigener Identitätsbasis Vertrauensstellung zwischen den Satelliten Universität als Föderation ihrer Satelliten Autarkie und Expertise der Satelliten bleibt erhalten Hohe Akzeptanz, da bestehende Intra-Satellitenprozesse bestehen bleiben können Verantwortung / Zugriffsberechtigung der Daten bleibt bei Satelliten (Datenschutz) Flexibel bzgl. organisatorischen Änderungen Schrittweise Umsetzbarkeit 9 Hannes Hartenstein Vortrag in Potsdam 20. Juni 2007 KIM

10 Dienstorientierung Service-orientierte Architektur (SOA) Paradigma für die Organisation und Nutzung von verteilten Fähigkeiten und Ressourcen Fähigkeiten und Ressourcen können unter Kontrolle verschiedener administrativer Bereiche stehen Prüfung beantragen Voraussetzungen? Termin Raum... Identitätsbezogene Daten und Dienste über dezentrale Dienstschnittstellen 10 Hannes Hartenstein Vortrag in Potsdam 20. Juni 2007 KIM

11 Integrationsübersicht 11 Hannes Hartenstein Vortrag in Potsdam 20. Juni 2007 KIM

12 Klassifizierung der identitätsbezogenen Dienste 12 Hannes Hartenstein Vortrag in Potsdam 20. Juni 2007 KIM

13 Umsetzung am Beispiel Karlsruhe User logged in MOSS 2007 LDAP SQL Server 2005 SUN Identity Manager HIS SVA BV AD KIM IDM ZUV RZ FZK 13 Hannes Hartenstein Vortrag in Potsdam 20. Juni 2007 KIM

14 Erster Schritt: Account Linking Wie werden lokale digitale Identitäten, die zu einer Entität gehören, miteinander in Beziehung gesetzt? Optionen Automatisch Manuell vom Administrator Manuell vom Nutzer Nutzer meldet sich am Portal an (unter zentralem Account) und authentifiziert sich gegen ZUV, RZ, FZK Lediglich die Abbildungen werden zentral abgelegt Anreiz z.b. Freischaltung einer neuen adresse der Form oder usw. 14 Hannes Hartenstein Vortrag in Potsdam 20. Juni 2007 KIM

15 Account Linking: Workflow 15 Hannes Hartenstein Vortrag in Potsdam 20. Juni 2007 KIM

16 Datenschutz Mitbestimmung: Einbindung des Personalrats Etwa: Nutzung des Geburtsdatums als zusätzliches Identifikationsmerkmal bei der Erstregistrierung Stellungnahme der ZENDAS zur Nutzung von Studierendendaten innerhalb einer Hochschule (2007) Etwa: Einrichtung eines Benutzerkontos bei RZ/UB Zitat: Die Frage ist, ob die Daten für diesen Zweck noch zu Verwaltungszwecken im Sinne der Hochschul- Datenschutzverordnung genutzt werden. [...] Zitat: [...] Daher erachten wir die Datenweitergabe an diese Stellen für zulässig. 16 Hannes Hartenstein Vortrag in Potsdam 20. Juni 2007 KIM

17 Erfahrungen und Empfehlungen (1) Menschliche Probleme lassen sich nicht durch technische Mittel lösen Prof. Dr. Joseph Weizenbaum IDM ist vorrangig eine organisatorische Aufgabe Erarbeitung und Aushandlung von Richtlinien Festlegung von (Zugriffs-) Rechten Prüfung des Datenschutzes etc. IDM ist kein Produkt Gute Werkzeuge sind nützlich, aber Integrationsaufgabe in jedem Fall vorhanden Verlangt effektive Strukturen und Koordination Vielzahl von Gruppierungen beteiligt Prozessverantwortliche/r nötig 17 Hannes Hartenstein Vortrag in Potsdam 20. Juni 2007 KIM

18 Erfahrungen und Empfehlungen (2) Flacher Namensraum etwa für E- Mail-Adressen möglich Auf technischer Ebene trotz SOA viele Interoperabilitätsherausforderungen Verlangt hochqualifiziertes Personal IT nicht immer als Kostensenker, sondern als Enabler betrachten Anbindung der HIS-Systeme aufwändig Kollisionen keine Anzahl Hannes Hartenstein Vortrag in Potsdam 20. Juni 2007 KIM

19 Über den Tellerrand geschaut (1) Microsoft: Windows CardSpace 19 Hannes Hartenstein Vortrag in Potsdam 20. Juni 2007 KIM

20 Über den Tellerrand geschaut (2) epa: der elektronische Personalausweis European Citizen Card Geplante Einführung 2008/2009 Verantwortlich: Bundesministerium des Innern Ermöglicht elektronische Identifizierung ( eid ) für E- Government und E-Business Funktionen zur elektronischen Identifikation, Authentisierung und Signatur (IAS) Möglichkeit, weitere qualifizierte digitale Signaturen nachzuladen 20 Hannes Hartenstein Vortrag in Potsdam 20. Juni 2007 KIM

21 Fazit Integriertes Identitätsmanagement: ein Muss für Universitäten Die Universität als dienstorientiertes Bündnis Dienstorientiertheit und Föderation auch Basis für IDM Umsetzungsbeispiel: Föderation von ZUV, RZ, FZK Investition in Koordination und Qualifikation Hausaufgabe (Basis) für Nutzung von DFN-AAI und zukünftigen Entwicklungen im Bereich E-Government 21 Hannes Hartenstein Vortrag in Potsdam 20. Juni 2007 KIM