Identity Management Offen. Sicher. Effizient. Ohne Agenten und doppelte Daten.

Transkript

1 Xionet empowering technologies AG Massenbergstraße 15 D Bochum Germany Phone Fax Internet +49 (0) (0) info@xionet.de Identity Management Offen. Sicher. Effizient. Ohne Agenten und doppelte Daten. Identity Management Austausch zwischen Wissenschaft und Praxis 23. Januar 2008 Michael Korn

2 Agenda Begrüßung / Vorstellung Identity Management (IdM) Einführung und Überblick IdM mit Sun Microsystems Kundenreferenzen / Projekterfahrung Live Demo Fragen + Antworten / Diskussion 24. Januar by Xionet empowering technologies AG, Bochum, Germany Seite 2

3 Die 4 A des Identity Management (IdM) Authentisierung Wer sind Sie? Autorisierung Wozu sind Sie berechtigt? Administration Wer vergibt diese Rechte? Audit Wie wird ausgewertet und überprüft? 24. Januar by Xionet empowering technologies AG, Bochum, Germany Seite 3

4 Typische Fragen zum Thema Wieviele Kennungen und Kennwörter haben die Benutzer? In wie viele Systeme (Verzeichnisdienst, Personalsystem, , ERP usw.) müssen Benutzerdaten eingepflegt werden? Wie viele Nutzer werden verwaltet? (intern/extern) Wie lange dauert es, neue Nutzer einzupflegen? Wie lange dauert es, alte Konten abzuschalten? Wie viele Administratoren verwalten die Nutzer? Ist die nachvollziehbare Einhaltung gesetzlicher Bestimmungen verlangt? Wann war das letzte Sicherheitsaudit? Wie hoch sind die Helpdesk-Kosten für vergessene Passwörter? Gibt es eine wechselnde Zahl temporärer Mitarbeiter? (Externe, Praktikanten, CallCenter-Agenten, ) 24. Januar by Xionet empowering technologies AG, Bochum, Germany Seite 4

5 IdM am Beispiel eines möglichen Kundenszenarios Herr Gerhard Schäfer wird zum Monatsersten bei der Braumeister GmbH neu eingestellt. Er muß auf unterschiedlichen Systemen angelegt und mit den notwendigen Zugriffsrechten ausgestattet werden. Nach einiger Zeit wird Herr Schäfer befördert und erhält dadurch zusätzliche Berechtigungen, zudem wird er Mitglied in einer speziellen Sicherheitsgruppe. Die Geschäfte der Braumeister GmbH laufen gut, aus Expansionsgründen wird die Malzmeister GmbH übernommen: In Folge dessen werden zwei Active Directories zusammengeführt. Außerdem sollen die Benutzer über Domainengrenzen hinweg auf Anwendungen und Dateien zugreifen können. Herr Schäfer lernt Frau Susanna Wolff von der Malzmeister GmbH kennen, sie heiraten, Frau Wolff wird Frau Schäfer. Herr Schäfer verschafft sich unberechtigten Systemzugriff, erzeugt einen fiktiven Anwender und berechtigt diesen zur Einsicht auf Gehaltslisten. Das Vergehen wird entdeckt, Herrn Schäfer fristlos gekündigt. Seine Zugriffsrechte werden direkt komplett gesperrt. Frau Schäfer lässt sich scheiden und nimmt wieder ihren Mädchennamen an. 24. Januar by Xionet empowering technologies AG, Bochum, Germany Seite 5

6 Identity and Access Management Provisionierung Berechtigungs- und Passwort-Management Compliance Einhaltung gesetzlicher Vorschriften und Regelungen Auditing Nachvollziehbarkeit und Prüfung aktueller und vergangener Zugriffsrechte eines Anwenders auf IT-Ressourcen Synchronisierung Zugangskontrolle Federation 24. Januar by Xionet empowering technologies AG, Bochum, Germany Seite 6

7 IAM Abgrenzung und Überblick Administratoren Mitarbeiter Partner Kunden Applikations-Interface Web-Interface Portal-Interface Identity Management (Selbst-)Registrierung Delegierte Administration Passwort-Management Passwort-Synchronisation Berechtigungsmanagement Rollen, RBAC Rollentrennung (SoD) Access Management Authentisierung Autorisierung Desktop SSO Web SSO Konten verknüpfen Identitäten synchronisieren Provisionierung Session Management Prozessautomatisierung / Workflow Genehmigungsprozesse (dynamisch) Federation Richtlinienverwaltung Audit, Compliance, Governance Systeme und Anwendungen HR Systeme Betriebssysteme ERP-Systeme Kundenanwendungen & Datenbanken CRM-System Lohn & Gehalt LDAP-Server Host-Systeme 24. Januar by Xionet empowering technologies AG, Bochum, Germany Seite 7

8 Anforderungen an Identity Management Extranets Portale interne Richtlinien Interne Bedrohungen Web Services Zugang und Service verbessern Sicherheit erhöhen Externe Bedrohungen Dynamic User Base Kosten reduzieren gesetzliche Vorgaben Operations Help Desk Development Integration 24. Januar by Xionet empowering technologies AG, Bochum, Germany Seite 8

9 Anforderungen an Identity Management Einfacher sicherer Zugang für interne und Unterstützung bei der Umsetzung gesetzlicher externe Nutzer Vorgaben Ermöglicht ebusiness und Portale Sperren/Löschen interne aller Accounts eines firmenübergreifende Zusammenarbeit ausscheidenden RichtlinienBenutzers Extranets Interne Höhere Flexibilität und schnellere Regelmäßige Anpassung der Berechtigungen Umsetzung neuer Geschäftsideen an das Job-Profil Bedrohungen Unterstützung Web bei Reorganisation Zugang und bei und Zentrales Sicherheit Identity-Auditing und Reporting Merger & Akquisitions Services Service erhöhen Externe Umsetzung der Sicherheitsrichtlinien des verbessern Unternehmens Bedrohungen Dynamic Kosten gesetzliche User Reduzierung Base administrativer Kosten reduzieren durch Vorgaben effizientes Passwort- und Berechtigungsmanagement Automatisierung, Operations Selbstverwaltung und DelegationIntegration Help Wegfall mehrfacher Datenpflege Desk & Verbesserung Development der Datenqualität Effektivere Benutzermanagementprozesse und medienbruchfreie Genehmigungsprozesse Reduzierung der Entwicklungs- und Integrationskosten durch offene, integrierbare Architektur 24. Januar by Xionet empowering technologies AG, Bochum, Germany Seite 9

10 IDM Die Realität in vielen Unternehmen Langwierige manuelle Prozesse, in die viele Abteilungen involviert sind Fehlende Übersicht wer auf welche System mit welchen Berechtigungen zugreifen darf Berechtigungen werden nicht regelmäßig dem Job-Profil angepasst Passwort-Management schwierig und aufwendig Mehrfache Erfassung der Benutzerdaten notwendig Unzureichende Nachvollziehbarkeit administrativer Tätigkeiten Neuer Mitarbeiter Gerhard Schäfer Helpdesk HR Abteilung Administratoren Anwendungsbetreuung Support/ IT-Service legt an legt an legt an legt an HR System Sun Solaris AD, Exchange SAP CRM Helpdesk Telefonanlage 24. Januar by Xionet empowering technologies AG, Bochum, Germany Seite 10

11 Top 10 Verstöße bei Audits* # 1 # 2 # 3 # 4 # 5 # 6 # 7 # 8 # 9 #10 Rollen nicht klar verteilt oder Zuständige nicht identifiziert Zugangskontrollen des Betriebssystem (z.b. Unix) zu Applikation oder Portal unsicher Zugangskontrollen der Datenbank zu Anwendungen (SAP, Peoplesoft) unsicher Entwickler können Transaktionen in Produktionsumgebung auslösen Viele Benutzer haben Zugriff auf Administrator -Transaktionen in Produktion Ausgeschiedene Mitarbeiter oder Berater haben immer noch Zugriff Berichtszeiträume in Berichtsanwendung nicht klar abgegrenzt Programmanpassungen, Tabellen und Schnittstellen sind nicht sicher Prozeduren für manuelle Prozesse sind nicht dokumentiert oder fehlen ganz Systemdokumentation und tatsächliche Prozesse divergieren Weitere Motivatoren: Corporate Governance: ITIL, BSI IT GSHB, RBAC... Innere Risiken: Industriespionage, inaktive Konten... Äußere Bedrohungen: Hacker, Identitätsdiebstahl... *Quelle: Ken Vander Wal, Partner, E&Y, ISACA Sarbanes Conference, April 2004 Gesetzliche Vorschriften: KonTraG, Sarbanes Oxley, Basel II, Datenschutz Januar by Xionet empowering technologies AG, Bochum, Germany Seite 11

12 IdM Prozess Neuer Mitarbeiter Neuer Mitarbeiter Gerhard Schäfer HR z.b. als führendes System für Mitarbeiter-Informationen. Veränderung im HR-Datenbestand initiiert Provisionierungs-Transaktion HR Abteilung Genehmigungen & Rollenzuordnung Fachbereiche Provisioniert Ressourcen legt an Identity Manager Liefert Profildaten CRM SAP AD Exchange Schneller, kosteneffizienter Prozess Keine Mehrfacherfassung von Benutzerdaten Medienbruchfreie Einbindung der Fachbereiche und Administratoren in Genehmigungsprozesse Automatische Umsetzung von Unternehmensrichtlinien (z.b. Namen, Berechtigungen) Nachvollziehbarkeit wird gewährleistet Wer kann auf welche Anwendungen zugreifen? Wer hat Genehmigungen erteilt? 24. Januar by Xionet empowering technologies AG, Bochum, Germany Seite 12

13 IdM Prozess Änderung des Mitarbeiters Mitarbeiter wird befördert und HR-Daten werden aktualisiert: Titel, Position, Gehaltsklasse, Abteilung Genehmigungen & Rollenzuordnung Fachbereiche Provisioniert Ressourcen Lohnbuchhaltung Gehaltsklasse aktualisieren für Lohnzahlung SAP Position aktualisieren Rechte an Mandanten anpassen Identity Manager Liefert Profildaten AD, Exchange AD aktualisieren mit neuer Abteilung, Titel, Position Home-Verzeichnis ändern und Dateien verschieben Quota für Mailkonto anpassen Intelligente Datenverteilung Profildaten & Berechtigungen in Zielsystemen werden automatisch dem aktuellen Job-Profil angepasst Erhöht die Sicherheit und vereinfacht die Umsetzung regulativer Vorgaben Vermeidung überhöhter Berechtigungen Schafft die Basis für eine Rollentrennung Verbessert die Datenqualität Schneller kosteneffizienter Prozess 24. Januar by Xionet empowering technologies AG, Bochum, Germany Seite 13

14 IdM Prozess Ausscheiden des Mitarbeiters Mitarbeiter verläßt Unternehmen zum Genehmigungen Fachbereiche Identity Manager Liefert Profildaten Alle Accounts einer Person werden zum Stichtag gesperrt Erhöht die Sicherheit enorm Vermeidung von Leichen Notwendig für die Umsetzung regulativer Vorgaben Reduziert Kosten z.b. für Lizenzen und Service-Level- Agreements Sperrt Accounts CRM SAP AD Exchange 24. Januar by Xionet empowering technologies AG, Bochum, Germany Seite 14

15 Ermitteln, wer worauf Zugriff hat Verknüpft Accounts in den Zielsystemen mit Benutzer Direkt erkennbar, wer auf welche Anwendungen Zugriff hat Verwaiste Konten können erkannt und gesperrt werden Logische Verwaltung verteilter Identitäten > z.b. Accounts ändern, sperren, Profilpflege, Passwort- Management... Virtuelle Identität Benutzerdaten: Vorname: Nachname: Gerhard Schäfer Account-ID: Ressource-Daten: CRM: gschaefer SAP: AD: gesch01 Exchange: gschaefer CRM SAP gesch01 AD Exchange 24. Januar by Xionet empowering technologies AG, Bochum, Germany Seite 15

16 Account Inventarisierung NT Exchange RACF AD SecurID Oracle Jberry Esiegel Jrowland Mfriedel Sbenson Thanks Jwayne Tcarrol Sharris Bwhite Ddailey Eheiden Lball Hwiggins Cjohnson Cwillis gersch Mthomas Browland Mprehn Ggoodnow Slake Bblake Fjohnson salger ralnc493 Bbanks Lsulley Lbitmore Ltimble Aboyle Bcoldwel Dparis Clriot Etear Smackay Mturner Mmclain Mcpasch Jpasch gerds2 Tdean Jtorville Cdean Nreagan Rnixon Gbush Jvance Jcarpent Mstewart Lchristia ralnc493 A49320 A39943 A49454 A93934 A39485 A49382 A48382 A49382 A39485 A29483 A49583 A49382 A49302 A42845 A20184 A49284 A49248 A50824 A42948 A49274 A37520 A49294 A03749 A49274 A33993 ralnc493 Cooperl Tinleyj Harrisd schaefer2 Rowlandr Bensons Quinleys Harminb Travolta Francek Lipperd Skatee Marinoe Flamingo Russiak Crowd Pazzaz Daoudc Louf Peizerat Anissina Ferrisb Lupers Lobach dellm ralnc493 Skeeti Frenetc Smileys Entrald Novacho Alvarag Narlersh Woodst Nicklausj Hoganb Palmera Dimarcoc Perryk Beards gs33 Fusar Poli Margaglio Lithowan Vanagas Lightes Naugano Footman Figureas Lupesh ralnc493 Sequensh Welchj Pettyr Robertsj Julianr Nantpre Enaget Jhancock Johnh Hanwayv Composi Initalialy gsch Stickler Bourne Fusar Margoliao Navka Koskoma Hackinsa Newjers Shara Alexander Sasha Reuben ralnc493 Identity Management Konten finden Konten zuordnen Konten erstellen Konten Leichen finden Konten deaktivieren / entfernen Gerhard Schäfer NT gersch Exchange gerds2 RACF A49382 AD schaefer2 SecurID gs33 Oracle gsch 24. Januar by Xionet empowering technologies AG, Bochum, Germany Seite 16

17 Selbstverwaltung und Delegation Administrator Helpdesk Mitarbeiter Selbstverwaltung für interne & externe Nutzer Identity Manager Verzeichnisse Datenbanken ERP-Systeme Host Reduzierung der Helpdesk Kosten Passwort-Rücksetzung und Profildatenpflege durch Benutzer möglich UHD: eine Web-basierte Oberfläche für das Management aller Zielsysteme Mandantenfähiges Administrationskonzept Selbstregistrierung für z.b. Partner & Kunden Minimiert Erfassungsaufwand und vermeidet Erfassungsfehler 24. Januar by Xionet empowering technologies AG, Bochum, Germany Seite 17

18 Identity Manager Architektur/Protokolle End User Self-Service Workflow Unix Systems HTTPS SSH Custom Apps HR Help Desk JCO/ABAP/JDBC Authoritative Source TROUBLE TICKET CREATION SMTP HTTPS J2EE Container J2EE Application Konten, Kennwörter verwalten Identity Manager Identity Manager Profile, Policies verwalten Profile Management JDBC Identität synchronisieren Identity Synchronization Auditscans PAR, Password SoD, Management Compliance RDBMS Custom JDBC API/JDBC JNDI 3270 ADSI SOAP/ XMLRPC LDAP/ JDBC RDBMS Package Apps Directories Mainframe NT/ADS Partner Web App Conference Call Account Credit Card Approving Manager Auditing, Workflow Transaktionen & Virtual ID Store Asset Database/Directory Laptop Serial Number Office Number Mobile Service Plan Mobile Phone Model 24. Januar by Xionet empowering technologies AG, Bochum, Germany Seite 18

19 Sun Identity Management Produkte Nutzerverwaltung Kennwortmanagement Synchronisierung Richtlinienkontrolle Automatische Validierung SEM Integration Identity Manager Identity Auditor Zugangskontrolle Single Sign-On Federation Nutzerverwaltung/ Synchronisierung Verknüpfte Provisionierung Carrier Skalierbarkeit Access Manager Identity Manager SPE Verzeichnisdienste Sicherheit/Verfügbarkeit AD Synchronisation Partner Single Sign-on Kontenverknüpfung Global Logout Directory Server Enterprise Edition Federation Manager 24. Januar by Xionet empowering technologies AG, Bochum, Germany Seite 19

20 Warum Sun? Ausgereiftes Produkt und erfolgreiche Kunden Mehr als 400 produktive Identity Manager Kunden Ausgereifte Projektmethodik, Best Practices Marktführer Nach Analysten wie Forrester, Gartner 22,5% Marktanteil Provisionierung Integrierter, ganzheitlicher Ansatz zu IdM Management und Auditing für Enterprise und Extranet Vollständige Lösung: Nutzermanagement, Identity Synchronisierung, Access Management, Föderation, Verzeichnisse, Audit und Berichtswesen Flexibel integrierbares Portfolio Basiert auf offenen Standards (Liberty, LDAP, SAML, ) Fertige Adapter für Partneranwendungen >40 Ressourcenadapter für Provisionierung und Synchronisierung >30 für policybasierte Zugriffskontrolle und SSO Plattformunabhängig 24. Januar by Xionet empowering technologies AG, Bochum, Germany Seite 20

21 Unbestrittener Marktführer Forrester Wave: User Account Provisioning 2006 Führend nach: Marktanteilen Konnektoren-Funktionalität Richtlinienverwaltung Audit Architektur 24. Januar by Xionet empowering technologies AG, Bochum, Germany Seite 21

22 Sun hat die beste Identity Audit Lösung Burton Group Identity Audit Report 2005 to date, no solution meets the full set of requirements. Sun s Identity Auditor product comes closest 24. Januar by Xionet empowering technologies AG, Bochum, Germany Seite 22

23 Sun Identity Management Kunden (Auszug) 24. Januar by Xionet empowering technologies AG, Bochum, Germany Seite 23

24 Sun IdM - Kundenbeispiele allgemein Eine Investmentbank Entdeckte und deaktivierte mit der Sun Identity Manager Auto Discovery Funktion verwaiste Accounts ehemaliger Mitarbeiter Ein Transportunternehmen Setzte innerhalb von 45 Tagen ein komplettes Identity Management für Nutzer in hunderten Niederlassungen auf und senkte durch delegierte Administration die IT-Kosten um 30%. Eine Kapitalanlagegesellschaft Verwaltet 14 verschiedene Anwendungen für derzeit verwaltete Nutzer. Senkte drastisch die laufenden Kosten durch Nutzung flexibler, mehrstufiger Freigabe-Workflows. Ein Fertigungsunternehmen Beschleunigte die Kontenbereitstellung für neue Nutzer von 15 Tagen nach auf 2 Tage vor Antritt der neuen Rolle, durch agentenlose Integration von HRund Supportanwendungen. 24. Januar by Xionet empowering technologies AG, Bochum, Germany Seite 24

25 Sun IdM Kunden in Deutschland Henkel KGaA > Nutzer Schnelle Implementierung (Mannmonate statt Jahre) Einfach (eine Konsole für mehrere Anwendungen) Zentrale Kontrolle und Verwaltung (Lokale Administration über Workflows und Self Service) Reduzierte Verwaltungskosten Alle Anforderungen erfüllt dwpbank > Nutzer Mehrere Mandanten Authentifizierung und Authorisierung zur Kontenverwaltung im Wertpapiergeschäft BHF Bank Zentraler Rechtebericht mindert Risiken, erleichtert Audit und steigert Transparenz Flexible Workflows ermöglichen Abbildung aller Berechtigungsanträge über eine zentrale Verwaltung 24. Januar by Xionet empowering technologies AG, Bochum, Germany Seite 25

26 Live-Demo 24. Januar by Xionet empowering technologies AG, Bochum, Germany Seite 26

27 Verwendete Systeme in der Demo-Umgebung und Integration des Sun IdM VMWare Image 1 Sun Identity Manager 6 (Tomcat 5 und MySQL 5) Sun Directory Server 5.2 HR Applikation HR-System: Beispiel-HR-Anwendung Admin Interface MS Active Directory AD Admin Interface MySQL-Datenbank HTTP(S) VMWare Image 2 Netzwerk: Windows 2003 Server mit Active Directory -System: Exchange 2003 mit Outlook 2003 Approver Interface User Interface (Self Service) Sun Identity Manager LDAP Custom XML LDAP Admin Interface Custom Admin Interface Januar by Xionet empowering technologies AG, Bochum, Germany Seite 27

28 Anwendungsfälle der Live-Demo Benutzer anlegen und provisionieren Benutzer im Active Directory anlegen Zuteilung eines Vorgesetzten Erweiterung der Zugriffsrechte Neuer Benutzer erhält Zugriff auf zusätzliche Systeme Benutzer Self-Service Der Benutzer aktualisiert seine Daten Benutzer deaktivieren/löschen Dem Benutzer werden die Berechtigungen entzogen Abruf eines Berichtes/Reports Erfüllung von Compliance 24. Januar by Xionet empowering technologies AG, Bochum, Germany Seite 28

29 1. Benutzer anlegen und provisionieren Schritt 1: Personalabteilung Neuer interner Mitarbeiter wird gemäß Stellenbeschreibung (Angestellter in der Buchhaltung) angelegt Basisdaten Klassifizierung: Position Angestellter, Abteilung Buchhaltung Schritt 2: Sun Identity Manager Erkennt neuen Mitarbeiter Stößt Provisionierungsworkflow an Zugehörigen Rollen zur Position werden automatisch zugeordnet Für Active Directory ist eine Genehmigung notwendig Schritt 3: Active Directory-Administrator Erhält eine Benachrichtiguns- Gemäß des geltenden Berechtigungskonzeptes muss der Administrator eine Freigabe für das Anlegen eines neuen Benutzerkontos in Active Directory erteilen Schritt 4: Sun Identity Manager Legt eine virtuelle Identität für den neuen Mitarbeiter an Erstellt gemäß der Klassifizierung die benötigten Benutzerkonten in den angebundenen Systemen 24. Januar by Xionet empowering technologies AG, Bochum, Germany Seite 29

30 2. Zugriffsrechte erweitern Schritt 1: Personalabteilung Im HR-System wird die neue Position Abteilungsleiter erfasst Schritt 2: Sun Identity Manager Erkennt geänderte Position Abteilungsleiter Stößt Provisionierungsworkflow für die zusätzlichen Gruppenzugehörigkeiten im Active Directory an Schritt 3: IdM-Administrator Zuordnung eines Vorgesetzten Gemäß des geltenden Berechtigungskonzeptes muss der Vorgesetzte eine Freigabe für den erweiterten Zugriff erteilen Schritt 4: Sun Identity Manager Trägt im Benutzerkonto des jeweiligen Mitarbeiters im Sun Directory Server erweiterte Attribute ein 24. Januar by Xionet empowering technologies AG, Bochum, Germany Seite 30

31 3. Benutzer ändert seine Daten Schritt 1: Benutzer Anmeldung an der Endanwender-Oberfläche Aktualisierung seiner Daten Schritt 2: Sun Identity Manager Trägt im Benutzerkonto des jeweiligen Mitarbeiters im Sun Directory Server die geänderten Attribute ein und synchronisiert die Änderungen auf die Ressourcen 24. Januar by Xionet empowering technologies AG, Bochum, Germany Seite 31

32 4. Mitarbeiter deaktivieren Schritt 1: Benachrichtigung eines Identity Manager-Administrators Anweisung, dass alle Benutzerkonten eines Mitarbeiters sofort zu sperren sind Schritt 2: Ein Administrator sperrt auf Knopfdruck alle Konten Über die Konsole des Identity Managers wird die Sperrung aller Konten vorgenommen 24. Januar by Xionet empowering technologies AG, Bochum, Germany Seite 32

33 Sun Microsystems ist führend, mit mehr als 20 Prozent Marktanteil. Unternehmen Sun 2. Platz 3. Platz 4. Platz 5. Platz Sonstige Gesamt Marktanteil % 16.8% 15.1% 11.4% 9.4% 24.7% 100.0% Tabellendarstellung von Sun generiert Wachstum (04 05) 43.2% 17.1% 11.8% 11.7% 8.7% 17.5% 19.7% Quelle: Gartner Dataquest Market Share: User Provisioning, Worldwide, 2005, Nicole S. Latimer-Livingston, 10 Aug 2006 Vielen Dank für Ihre Aufmerksamkeit Sprechen Sie uns an, wir freuen uns auf Ihre Fragen! info@xionet.de Michael Korn michael.korn@xionet.de Mathias Böhm mathias.boehm@xionet.de 24. Januar by Xionet empowering technologies AG, Bochum, Germany Seite 33