TUBIS-Sphäre Identitätsmanagement an der TU Berlin

Transkript

1 TUBIS-Sphäre Identitätsmanagement an der TU Berlin AK Verzeichnisdienste, 27. Februar 2009 Thomas Hildmann und Christopher Ritter IT Dienstleistungszentrum der TU Berlin

2 Vortragsziele Darstellung der Arbeiten an der TU Berlin im Bereich Identitätsmanagement und Verzeichnisdiensten. Skizzierung unserer Ansätze und Lösungen (Herausstellungsmerkmale des Systems an der TU Berlin) Vorstellung der Hauptakteure zum Zwecke des Erfahrungsaustauschs, Diskussion und gegenseitiger Unterstützung.

3 Agenda tubit und Arbeitsgruppe Identity Management Das Webportal der TU Berlin (aus Anwendersicht) TUBIS - zentrale, verteilte Rollenvewaltung und Metadirectory (aus Technikersicht) Verzeichnisdienste (für den AK Verzeichnisdienste) Ausblick / Aktuelle Arbeiten Zusammenfassung / Kontakte

4 tubit Arbeitsgruppe Identity Management

5 Was ist tubit?

6 Was ist tubit? berlin.de/

7 tubit: Identitymanagment Leiter: Christopher Ritter ( ) Stellvertreter: Thomas Hildmann ( ) oder 7 Personen (Festangestellte) Entwicklung Support Tagesgeschäft Aufgaben Benutzerverwaltung Verzeichnisdienste (Inhalt) Authentisierung/Autorisierung Anwendungsintegration in das AAI

8 Das Webportal der TU Berlin und integrierte Anwendungen

9 Authentisierung mittels Passwort oder Chipkarte

10 Integrierte Anwendungen CMS Typo3 (Webauftritt) Loga HCM (Personalverwaltung) SuperX (Reportsystem) LINF (Leistungsindikatoren in der Forschung) QIS/POS (Prüfungsanmeldung) asknet-portal (Software Onlineshop) Hardware Onlineshop (TU Eigenentwicklung) Online Anträge (z.b. IP, Gäste, Exchangekonten) TUBIS Rollenverwaltung Schnittstelle zur informationellen Selbstbestimmung Selbstverwaltung (Passwörter, TANs etc.) weitere in Vorbereitung

11 Webcluster (vereinfacht) Campusnetz ACE Web-Server Web-Server Web-Server Web-Server Web-Server Webcluster AFS-Netz ACE DBMS-Netz AAGW Client Storage Storage Storage Storage AAGW Client DBMS Server DBMS Server DBMS Server DBMS Server Server/ Backend LDAP Server Loga HCM-Portal TUBIS T. Hildmann, C. Ritter AK Verzeichnisdienste, Frühjahr 2009

12 Technik der Authentisierungs-/ Autorisierungs-Gateways aagw2.tubit.tu berlin.de Linux Debian 4.0 (Etch) Dell Blade (Poweredge 1955) 2 DualCore Xeon a 1,6GHz 3GB Hauptspeicher. Standort: EN K033 Rackslot: bs5b6

13 TITEL NETZWERKSTRUKTUR TYPO3 / DB CLUSTER BESCHREIBUNG Netzwerkstruktur des Applikationsclusters in den Teilen Typo3 Haupt und Neben sowie MySQL ERSTELLT VON MICHAEL FLACHSEL ÜBERARBEITET AM GRÖSSE FAX-NR. ZEICHN.NR. REV. NW T3 / MySQL MASSSTAB 1:1 BLATT 1 VON 1 DBH-C DBN-C DBN-A DBH-A bnx0(lan0).35 bnx1(lan1).3 e1000g2(lan2).67 e1000g3(lan3).131 e1000g0(lan4).115 e1000g1(lan5) DRAC(DRAC) bnx0(lan0).36 bnx1(lan1).3 e1000g2(lan2).100 e1000g3(lan3).131 e1000g0(lan4).67 e1000g1(lan5) Ext-T3-H (VLAN 3800) DRAC(DRAC) bnx0(lan0) DB-Neben-CL DBN-Repl (VLAN 3815) DBN-Int-1 (VLAN 3805) DBN-Int-2 (VLAN 3843) DB-Haupt-Cl DBN-Ext VLAN(3803) DBH-Ext(VLAN 3802) Ext-AFS (VLAN 3442) Ext-T3N (VLAN 3801) bnx1(lan1).2 e1000g2(lan2).98 e1000g3(lan3).130 e1000g0(lan4).66 e1000g1(lan5) DRAC(DRAC) bnx0(lan0) bnx1(lan1) e1000g2(lan2) e1000g3(lan3) DBH-Repl (VLAN 3814) DBH-Int-1 (VLAN 3804) DBH-Int-2 (VLAN 3844) e1000g0(lan4).114 e1000g1(lan5) DRAC(DRAC)!"#$%&'%&(!"#4%56 )*+,+-,)-,. +33,+33,+33,++0 )*+,+-,)-,/+ +33,+33,+33,++0 )*+,+-,)-,-0 +33,+33,+33,++0 )*+,+-,)-,1- +33,+33,+33,++0 )*+,+-,+/,. +33,+33,+33,)+2 )*+,+-,+0,. +33,+33,+33,)+2 )*+,+-,)-,)1+ +33,+33,+33,+0. )*+,+-,)-, ,+33,+33,+0. )*+,+-,)-, ,+33,+33,+0. )*+,+-,)-, ,+33,+33,+0. )*+,+-,)*,. +33,+33,+33,++0 )*+,+-,)*,/+ +33,+33,+33,++0 )*+,+-,)*,-0 +33,+33,+33,)1+ )*+,+-,)*,)+2 +33,+33,+33,)+2 )*+,+-,).,. +33,+33,+30,. )*+,+-,)2,))+ +33,+33,+33,+0. )*+,+-,)2,-0 +33,+33,+33,+0. )*+,+-,)2,2. +33,+33,+33,+0. )*+,+-,+.,. +33,+33,+33,)+2 )*+,+-,+.,)+2 +33,+33,+33,)+2 )*+,+-,+),. +33,+33,+33,)+2 )*+,+-,+),)+2 +33,+33,+33,)+2 )*+,+-,+/,)+2 +33,+33,+33,)+2 )*+,+-,+0,)+2 +33,+33,+33,)+2 )*+,+-,++,. +33,+33,+33,)+2 )/.,)01,+.3,/+ +33,+33,+33, ! /2.. /2.) /2.+ /2./ /2.0 /2.3 /2.- /2.* /2.2 /2.1 /2). /2)) /2)+ /2)/ /1)) /2)0 /2)3 /2)- /2/1 /20. /20) /20+ /200 /20/ /203 / /23 bnx0(lan0) bnx1(lan1) e1000g2(lan2) e1000g3(lan3) e1000g0(lan4) e1000g1(lan5) DRAC(DRAC) bnx0(lan0) bnx1(lan1) e1000g2(lan2) e1000g3(lan3) e1000g0(lan4) e1000g1(lan5) DRAC(DRAC) bnx0(lan0) bnx1(lan1) e1000g2(lan2) e1000g3(lan3) e1000g0(lan4) e1000g1(lan5) DRAC(DRAC) bnx0(lan0) bnx1(lan1) e1000g2(lan2) e1000g3(lan3) e1000g0(lan4) e1000g1(lan5) DRAC(DRAC) bnx0(lan0) bnx1(lan1) e1000g2(lan2) e1000g3(lan3) e1000g0(lan4) e1000g1(lan5) DRAC(DRAC) / T3-H-C T3-H-D T3-N-D T3-N-B T3-H-A Produktivstandort ACE ACE Backupstandort http https - ACE reicht Ports durch - ACE terminiert AFS

14 Durch TUBIS versorgte Dienste, die nicht im Portal sind konto Radius (ISDN/Modem-Zugang) VPN-Zugang Windows- / Linux-Account AFS-Verzeichnis EDUROAM / WLAN Exchange

15 TUBIS rollenbasiertes Identitätsmanagement und Metadirectory

16 TUBIS-Modell

17 Rollenverwaltung

18 Rollenverwaltung

19 Rollenverwaltung

20 Herausstellungsmerkmale Drei Typen von Rollen Geschäftsrollen Anwendungsrollen Zugriffsrollen Gewaltenteilung auf Modellebene (Sichten) Web-GUI massgeschneidert vollständige Integration ins Webportal Unterstützung versch. Authentisierungsmethoden Vier Varianten der Rollenzuweisung Standardrollen (automatisch) Strukturverwaltung (dynamische Rollen) Vertretungen / Delegation Teambildung Unterstützung von Pushund Pull-Architekturen Umfassende Nutzung (viele Dienste)

21 Benutzte Werkzeuge Entwicklungsumgebung Java / JEE (My)Eclipse Subversion / CVS JPox Applicationserver Tomcat Jetty Glasfish Scriptsprachen (Glue) Perl Python PHP Datenanbindung (Glue) Sequoia Penrose Ticketsystem / Support OTRS Dokumentation Wordpress OmniGraffle / Visio div. Textverarbeitungen Freemind DBMS (relational) PostgreSQL MySQL Verzeichnisdienste PKI OpenLDAP ActiveDirectory MIT Kerberos OpenSSL Charismatics Middleware Webserver / Contentmanagement Apache (mod_rewrite, mod_*) Typo3

22 Verzeichnisdienste an der TU Berlin

23 Benutzt -Hierarchie unter den Verzeichnissen AD TUBIS Kerberos LDAP vldap

24 Verzeichnisdienste Anmeldung in PC-Pools und Unterdomänen AD Windows TUBIS Exchange Kerberos Portal Typo3 Zentrale Benutzer- und Rollenverwaltung + Metadirectory Mailserver Moses Moodle LDAP Unix SSH Radius vldap Benutzerkonten-DB für alle tubit-dienste (keine eigene Benutzerverwaltung) Gäste

25 Datenfluss: Verzeichnisdienste Primärdatenquellen werden von TUBIS mit aktualisierten Daten versorgt. vldap Kartenausgabestelle 1: TUBIS 3: 2.1: LDAP Aktivierungs- GUI 2: tubv 2.2: 2.4: Active Directory 2.3: Kerberos

26 Ausblick: TUBISx, XRE und Shibboleth

27 Merkmale der nächsten Version Existierendes Datenmodell Neue Architektur Erweiterung der Pull- und Push-Dienste für Verzeichnisse Ereignissteuerung (zeitlich, Objektänderung, etc.) Neue Benutzungsschnittstelle (Webelemente können in Typo3 genutzt werden, Python-Interface für Scripte) Erstes RBAC-System mit xre-unterstützung

28 extreme Role Engineering :Testmodell :Snapshot [Story nicht umsetzbar] [Fehler im Testfall] Story erstellen Testfälle definieren Rollenoptimierung Sandboxdefinition Release [Test negativ] [Optimierung gefunden] [Fehler im Wirkbetrieb] Rollback :Story :Testmatrix Templates Suchen

29 Shibboleth Zur Zeit Testföderation beim DFN Aufbau einer Standardinstallation Es folgt dann Einbindung in die TUBIS-Sphäre

30 Zusammenfassung und Kontaktdaten

31 Zusammenfassung Identitätsmanagement an der TU Berlin Derzeit werden etwa Identitäten verwaltet. IdM/RBAC-System für alle Dienste Metadirectory für Daten der Universitätsverwaltung Aktuelle Arbeiten extreme Role Engineering TUBISx basierend auf JEE mit Pull- und Push- Architektur Anbindung an Shibboleth Optimierung verschiedener organisatorischer Abläufe

32

33 Vielen Dank für die Aufmerksamkeit! Fragen, Anmerkungen