Federated Identity Management. Dr. Wolfgang Hommel, Leibniz-Rechenzentrum

Transkript

1 Federated Identity Management Dr. Wolfgang Hommel, Leibniz-Rechenzentrum

2 Überblick Die treibende Kraft hinter Identity Management Unternehmensweites Identity & Access Management Die Motivation für Identity Federations Funktionsweise von Federated Identity Management (FIM) FIM in der Praxis Herausforderung Datenschutz Ausblick auf die zukünftige Entwicklung Wolfgang Hommel: Federated Identity Management 2

3 Überblick Die treibende Kraft hinter Identity Management Unternehmensweites Identity & Access Management Die Motivation für Identity Federations Funktionsweise von Federated Identity Management (FIM) FIM in der Praxis Herausforderung Datenschutz Ausblick auf die zukünftige Entwicklung Wolfgang Hommel: Federated Identity Management 3

4 Aus der Perspektive eines neuen Mitarbeiters B2B-Portal Kaffee-Strichliste Gruppenkalender Visitenkarten Home Office Intranet File Server VoIP-Telefon Arbeitsplatz-PC Print Server Viele verschiedene Ansprechpartner Jede Menge neue Passwörter Wolfgang Hommel: Federated Identity Management 4

5 Aus der Perspektive des Systemadministrators Frau Meier will Zugriff auf das Projektlaufwerk Atlas darf sie das überhaupt? Lästige Routinetätigkeiten Oft Verzögerungen durch Abwesenheit und Überlastung Schon wieder neue Groupware-Accounts für 27 Mitarbeiter anlegen Müller mit 4 GB Datentransfer in zwei Tagen gab es in meinem Urlaub nicht eine Rundmail, dass ihm fristlos gekündigt wurde? Wolfgang Hommel: Federated Identity Management 5

6 Aus der Perspektive des Vorstands... Welcher meiner Mitarbeiter darf welche IT-Dienste nutzen? Wer hatte am Zugriff auf die Kundendatenbank? Wer war dafür verantwortlich? Können wir das in Audits und internen Revisionen nachweisen? Halten wir die Datenschutzgesetze ein? Werden meine Sicherheitsrichtlinien von der IT überhaupt richtig umgesetzt? Wolfgang Hommel: Federated Identity Management 6

7 Überblick Die treibende Kraft hinter Identity Management Unternehmensweites Identity & Access Management Die Motivation für Identity Federations Funktionsweise von Federated Identity Management (FIM) FIM in der Praxis Herausforderung Datenschutz Ausblick auf die zukünftige Entwicklung Wolfgang Hommel: Federated Identity Management 7

8 Enterprise Identity & Access Management (I&AM) Telefonanlage Personalverwaltung Policies Korrelation Accountvergabe Content Management System Kundendatenbank Zentraler Datenbestand Gruppenkalender Besucherverwaltung Management- Frontend Protokolldatenbank File Server Intranet Autoritative Datenquellen Enterprise Identity & Access Management System Angebundene und gespeiste IT-Dienste Wolfgang Hommel: Federated Identity Management 8

9 Enterprise Identity & Access Management (I&AM) Abbildung von Geschäftsprozessen (Optional) Nur ein Passwort für alle Dienste Telefonanlage Keine manuelle Mehrfach-Erfassung Keine Inkonsistenzen Personalverwaltung Kundendatenbank Besucherverwaltung Autoritative Datenquellen Korrelation Policies Zentraler Datenbestand Zentrale Berechtigungsverwaltung mit Historie Accountvergabe Management- Frontend Protokolldatenbank Enterprise Identity & Access Management System File Server Content Management System Automatisiertes Anlegen und Löschen der Accounts Keine Verzögerungen Kein manueller Aufwand Intranet Gruppenkalender Angebundene und gespeiste IT-Dienste Wolfgang Hommel: Federated Identity Management 9

10 Überblick Die treibende Kraft hinter Identity Management Unternehmensweites Identity & Access Management Die Motivation für Identity Federations Funktionsweise von Federated Identity Management (FIM) FIM in der Praxis Herausforderung Datenschutz Ausblick auf die zukünftige Entwicklung Wolfgang Hommel: Federated Identity Management 10

11 Organisationsübergreifende Zusammenarbeit Verschiedene Händler Fluggesellschaft Online-Flugbuchung B2B / B2D Webportal Automobilhersteller Verschiedene Zulieferer Autovermietung Wolfgang Hommel: Federated Identity Management 11

12 Organisationsübergreifende Zusammenarbeit Verschiedene Händler Erfassung externer Benutzer? Fluggesellschaft Benutzerfreundlichkeit? Online-Flugbuchung Hoher Aufwand Dateninkonsistenzen Zusätzliche Passwörter B2B / B2D Webportal Automobilhersteller Drei unabhängige Webseiten 3x Kundendaten eintippen 3x neues Passwort Verschiedene Zulieferer Autovermietung Wolfgang Hommel: Federated Identity Management 12

13 Herkömmliche Ansätze funktionieren nicht Zentraler Datenbestand Gegenseitiger I&AM-Zugriff Fluggesellschaft Fluggesellschaft Verschiedene Händler Verschiedene Händler B2B/B2D Webportal I&AM- System Flugbuchung I&AM- I&AM- I&AM- I&AM- System System System System I&AM- System I&AM- I&AM- I&AM- I&AM- System System System System I&AM- System Automobilhersteller Automobilhersteller Verschiedene Zulieferer Autovermietung Verschiedene Zulieferer Autovermietung Datenschutzproblem Mangelnde Dynamik Extrem hoher Aufwand Sicherheitsproblem Wolfgang Hommel: Federated Identity Management 13

14 Überblick Die treibende Kraft hinter Identity Management Unternehmensweites Identity & Access Management Die Motivation für Identity Federations Funktionsweise von Federated Identity Management (FIM) FIM in der Praxis Herausforderung Datenschutz Ausblick auf die zukünftige Entwicklung Wolfgang Hommel: Federated Identity Management 14

15 FIM Basis-Rollen und -Workflows ruft Daten über Benutzer ab Benutzer Heimateinrichtung Identity Provider (IDP) möchte Dienst nutzen Service Provider (SP) Delegierte Authentifizierung Passworteingabe nur beim IDP Organisationsübergreifendes Single Sign-On Optional delegierbare Autorisierung IDP kann Einfluss auf Benutzerrechte beim SP haben Selektiver Benutzerdaten-Transfer Hohe Benutzerfreundlichkeit (aber: Datenschutz!) Zuverlässige Datenquelle Wolfgang Hommel: Federated Identity Management 15

16 Föderationen Föderation 1 Föderation 2 Verschiedene Händler Verschiedene Zulieferer Automobilhersteller Fluggesellschaft Autovermietung Betriebsmodelle nach Liberty Alliance: Gründerzentriert Konsortial Dedizierter Betreiber Bildquelle: [Liberty Alliance Contractual Framework Outline for Circles of Trust, 2007] Wolfgang Hommel: Federated Identity Management 16

17 FIM Standards und Einflüsse Forschungsansätze, z.b. BBAE AuthXML S2ML Web 2.0 Ansätze, z.b. OpenID, CardSpace User Centric Identity Management OASIS Security Assertion Markup Language Liberty Alliance Identity Federation Framework Microsoft / IBM WS-Federation Grid Middleware, z.b. Globus Toolkit GridShib Internet2 Shibboleth XML-basierte Nachrichtenformate Request-/Response-Protokolle z.t. Organisationsmodelle, Datenschutz, FIM-basierte Dienste Wolfgang Hommel: Federated Identity Management 17

18 Überblick Die treibende Kraft hinter Identity Management Unternehmensweites Identity & Access Management Die Motivation für Identity Federations Funktionsweise von Federated Identity Management (FIM) FIM in der Praxis Herausforderung Datenschutz Ausblick auf die zukünftige Entwicklung Wolfgang Hommel: Federated Identity Management 18

19 Motivation für FIM im deutschen Hochschulumfeld Gemeinsame Studiengänge und Bologna-Prozess Hochschulbibliotheken: Elektronische Medien E-Learning Softwaredistribution Forschungsprojekte und Industriekooperationen Grid-Computing Wolfgang Hommel: Federated Identity Management 19

20 Die DFN-AAI Authentifizierungs- und Autorisierungsinfrastruktur des Deutschen Forschungsnetzes: DFN-Verein übernimmt zentrale Aufgaben: Mitgliederverwaltung Föderationsweite Richtlinien Vertragsgestaltung Testumgebung Info-Portal und Dokumentation Schulungen Wolfgang Hommel: Federated Identity Management 20

21 Integration neuer Dienste am Beispiel E-Learning Föderationsweit gemeinsames Datenmodell erforderlich Modularität durch dienstspezifische Profile Aktuell in Arbeit: DFN-AAI E-Learning Profil Personalisierung Anrede Bevorzugte Sprache(n) Geschlecht Kostenstelle Titel und akademische Grade Studiengangsinformationen Fächergruppe Fachsemester Matrikelnummer Studienabschluss Studienbereich Studienfach Studiengangsbezeichnung Umsetzung durch Identity Provider und Learning Management Systeme Wolfgang Hommel: Federated Identity Management 21

22 Überblick Die treibende Kraft hinter Identity Management Unternehmensweites Identity & Access Management Die Motivation für Identity Federations Funktionsweise von Federated Identity Management (FIM) FIM in der Praxis Herausforderung Datenschutz Ausblick auf die zukünftige Entwicklung Wolfgang Hommel: Federated Identity Management 22

23 FIM und Datenschutz: Motivation Unterschiedliche Benutzerdaten je Dienst bzw. Dienstleister: -Adresse Lieferanschrift Kreditkartendaten Studiengangsdaten Matrikelnummer Pseudonym für Forum Prinzip der Datensparsamkeit ( 3a BDSG) FIM-Möglichkeiten wie delegierte Autorisierung nutzen! Wolfgang Hommel: Federated Identity Management 23

24 Datenfreigabe-Regeln und Informationelle Selbstbestimmung Selektion zu übertragender Daten durch Filterregeln: Gesetzliche Auflagen Föderationsweite Vorgaben Identity Provider Defaults Benutzergesteuerte Freigaben Visitenkarten-Metapher: Wolfgang Hommel: Federated Identity Management 24

25 Ungelöste FIM-Datenschutzprobleme Profilbildung durch Identity Provider möglich Kontrolle der Einhaltung der Zweckbindung Wolfgang Hommel: Federated Identity Management 25

26 Überblick Die treibende Kraft hinter Identity Management Unternehmensweites Identity & Access Management Die Motivation für Identity Federations Funktionsweise von Federated Identity Management (FIM) FIM in der Praxis Herausforderung Datenschutz Ausblick auf die zukünftige Entwicklung Wolfgang Hommel: Federated Identity Management 26

27 Ausblick Integration nicht web-basierter Anwendungen Bidirektionaler Datenaustausch zwischen IDP und SP Datenaktualisierung außerhalb der Dienstnutzungszeiten Interoperabilität in heterogenen Föderationen Benutzergesteuerte Delegation Wolfgang Hommel: Federated Identity Management 27

28 Vielen Dank für Ihre Aufmerksamkeit! Kontakt: Dr. Wolfgang Hommel, Leibniz-Rechenzentrum der Bayerischen Akademie der Wissenschaften Boltzmannstraße 1, Garching b. München Wolfgang Hommel: Federated Identity Management 28