Directory Services. Ein Technology Report von CT IRC TIS. Zusammenfassung

Transkript

1 Directory Service Vieleitig genutzte Werkzeuge für da Datenmanagement in integrierten Löungen Ein Technology Report von CT IRC TIS Zuammenfaung Dr. Dietmar Fauth, CT IRC TIS Tel.: Dr. Waltraud Mayer-Amm, ICN EN SNS MDS Dr. Hermann Wagner, ICN EN SNS MDS Januar 2003

2 Technology Fauth, Mayer-Amm, Wagner Seite: 2 Inhaltverzeichni der Zuammenfaung 1 Management Summary An wen richtet ich dieer Technology Report? Baitechnologie Wa it ein Directory Service? Directory Service v. relationaler Datenbank Standard für Directory Service Anwendungzenarien White / Yellow Page: Siemen Corporate Directory (SCD) Meta Directory Service E-Buine Portale / Identity Management Authentifizierung Single Sign-On Pawort Synchroniation / Pawort Reet (Role-Baed) Acce Management / Proviioning Carrier / Telekommunikation / Service Provider Netzwerkmanagement / DEN Markt und Herteller Netzwerk-Betriebytem-Directory Enterprie Directorie Extranet Directory: Meta Directory Service Directory Service Die Zukunft Literatur...24

3 Technology Fauth, Mayer-Amm, Wagner Seite: 3 1 Management Summary Bei Directory Service handelt e ich um eine Software-Technologie zum Abpeichern nichtflüchtiger Informationen wie Adredaten, Berechtigungen oder Profilen von Peronen, Geräten oder Software-Applikationen, auf welche an vielen Orten durch die unterchiedlichten Anwendungen hauptächlich leend zugegriffen wird. Directory Service werden heute in den folgenden Anwendunggebieten eingeetzt: Information z.b. al Mitarbeiter-, Partner-, oder Kundenverzeichni in Unternehmen. Inbeondere bei Telekommunikationunternehmen (Carriern) werden Millionen von Einträgen verwaltet. Kommunikation z.b. zur Benutzerverwaltung in Löungen zu Unified Meaging, Voice over IP (VoIP) oder Billing und Accounting Benutzeradminitration zur Verwaltung von Benutzern und deren Rechten an den in einem Unternehmen eingeetzten Anwendungen Security al weentliche Komponenten in Firewall-, Single Sign-On oder Public Key Infratrukturprojekten E-Buine in Portal- oder Virtual Private Network-Löungen, wobei die o.g. Felder ebenfall eine bedeutende Rolle pielen. Bei dem Directory-Gechäft handelt e ich vorwiegend um ein Dientleitunggechäft. So bewegt ich der Markt für Directory-Produkte in den verchiedenen Einatzfällen laut den Analyten in dem Bereich einiger Hundert Millionen US $; der Geamtumatz für die Realiierung kompletter Löungen wird aber durchgehend auf ein 6-fache de o.g. Betrag gechätzt. Die Trend zum Einatz von Directory Service in den Unternehmen laufen auf die Untertützung einer volltändig elektronichen Abwicklung der Beziehungen zwichen den Unternehmen und ihren Kunden und Partnern owie zu deren Mitarbeitern hin. Weitere zukünftige Einatzfelder betehen in der Peronaliierung mobiler Diente oder im Umfeld von E-Government. E kann mit ziemlicher Gewiheit argumentiert werden, da alle Software-Produkte und -Löungen, welche eine der o.g. Gebiete abdecken, o konzipiert ein müen, da eine Integration mit einem zentralen Directory Service ohne Schwierigkeiten möglich it.

4 Technology Fauth, Mayer-Amm, Wagner Seite: 4 2 An wen richtet ich dieer Technology Report? Dieer Technology Report enthält au Sicht der Autoren intereante Informationen für den folgenden Leerkrei: Verantwortliche und Experten für Produkte, die in den Gebieten Information, Kommunikation, Benutzeradminitration, Security und E-Buine eingeetzt werden und welche omit mit Directory Service integrierbar ein müen Conultant für Löungen auf den o.g. Gebieten Mitarbeiter von Infratrukturabteilungen, die zur Optimierung ihre täglichen Betrieb einen Directory Service gewinnbringend einetzen können Peronen, welche über den Tellerrand ihrer eigenen Produkte und Löungen chauen und neue Potentiale und Einatzmöglichkeiten für dieelben erkennen wollen Intereierte Endanwender von Directory-baierten Produkten wie Siemen Corporate Directory, Telephonie-Anwendungen und dergleichen Die Gliederung dieer Zuammenfaung widerpiegelt auch die Struktur der nachfolgenden Literaturammlung. Im anchließenden Kapitel 3 werden die vielfältigen Nutzungmöglichkeiten von Directory Service au Sicht eine Endanwender aufgezeigt und e wird eine kurze Einführung in die Technologie von Directory Service gegeben. Kapitel 4 erläutert jeweil an Hand einiger Beipielzenarien, wie Directory Service in den bereit genannten Gebieten Information, Kommunikation, Benutzeradminitration, Security und E- Buine chon heute eingeetzt werden. E folgt in Kapitel 5 eine auführliche Betrachtung von Markt und Hertellern, ehe in Kapitel 6 ein Aublick auf zukünftige Nutzungmöglichkeiten von Directory Service gegeben wird. In der abchließenden Bibliographie 7 ind neben den Aufätzen und Report, welche in der Literaturammlung enthalten ind, noch weitere zitiert, welche über die Bibliothek oder CT IRC TIS zuätzlich bezogen werden können.

5 Technology Fauth, Mayer-Amm, Wagner Seite: 5 3 Baitechnologie 3.1 Wa it ein Directory Service? Um e direkt auf den Punkt zu bringen: Ein Directory Service (deutch: Verzeichnidient) it eine pezielle Datenbanktechnologie, demzufolge alo Software [1], [2], [3], [4]. Auch wenn Directory Service nicht annähernd den Bekanntheitgrad relationaler Datenbanken haben, o nimmt deren Bedeutung doch fortwährend zu. Obwohl e Directory Service chon ehr lange gibt die erten Standard für Directory Service wurden im Jahr 1988 verabchiedet hat die Directory-Technologie bilang eher ein Schattendaein gefritet. Anbieter von Directory Service, die in kurzer Folge und mit großem Marketingaufwand neue Verionen ihrer Produkte ankündigen, owie eine tetig wachende Zahl von Hertellern directory-baierter Anwendungen laen Directory Service mehr und mehr in Rampenlicht der Öffentlichkeit gelangen. Hinzu kommt, da Microoft in ein alleit bekannte Betriebytem Window einen eigenen Directory Service integriert hat (Microoft Active Directory ADS), wa Directory Service zuätzlich in den Blickwinkel rückt (. Kapitel 5.1 owie die dort aufgeführte Literatur). Wozu dienen Directory Service? Anhand eine Beipiel ei die Arbeitweie eine Directory Service erläutert: Herr Klein loggt ich jeden Morgen auf der Web Site einer bevorzugten Tagezeitung ein. Dort tudiert er zunächt lokale, nationale und internationale Nachrichten, liet die tägliche Kurzgechichte und erkundigt ich nach den Wetterauichten an einem Wohnort. Der Web Server identifiziert (via Cookie) Herrn Klein und präentiert ihm exakt die Informationen, die er präferiert. Herrn Klein Präferenzen ind dabei in einem Directory Service hinterlegt (Nachrichten lokal, national und international, aber keine Sportnachrichten, Kurzgechichte, Wetterauichten am Wohnort). In dem Augenblick, in dem ich Herr Klein beim Web Server einer Tagezeitung anmeldet, erfragt der Web Server beim Directory Service blitzchnell die Präferenzen von Herrn Klein und präentiert dieem dann eine perönliche Tagezeitung mit Nachrichten ohne Sport, mit Kurzgechichte und Wetterauichten. Der Directory Service agiert alo in dieem Fall völlig tranparent. Er it nur ehr mittelbar wahrzunehmen. Nach dem Studium einer perönlichen Zeitung fährt Herr Klein in Büro. Dort loggt er ich an einem Arbeitplatz-PC in Netzwerk eine Arbeitgeber ein. Neue und ein aktualiierter Kalender werden automatich vom Netzwerk heruntergeladen. Außerdem erhält Herr Klein Ad-Hoc-Nachrichten, z. B., da die Beantragung einer Video-Standleitung mit einer gewien Bandbreite für eine Videokonferenz mit Kollegen in den USA genehmigt und eingerichtet wurde und die Teilnehmer der Konferenzchaltung benachrichtigt wurden. Während einer Arbeit kann Herr Klein mit allen Reourcen arbeiten, die er benötigt. Ein erneute Einloggen an den Reourcen it nicht erforderlich. Inbeondere mu ich Herr Klein nicht unzählige Pawörter zum Einloggen in die Reourcen merken. Am Abend wieder zu Haue fällt Herrn Klein ein, da eine Tochter in wenigen Tagen Geburttag hat. Er weiß, da ie ich da neuete Buch ihre Lieblingautor wüncht. Herr Klein loggt ich bei einem bevorzugten Internet-Buchhändler ein und ucht nach dem entprechenden Autor und einem neueten Werk. Innerhalb kürzeter Zeit it da Buch ermittelt und Herr Klein chickt eine Betellung zur Lieferung an eine Tochter ab. Die Betellapplikation de Internet-Buchhändler weit die Betellung jedoch zurück, da Herrn Klein Kreditkarte abgelaufen it. Herr Klein loggt ich bei einer Bank ein und mit wenigen Mauklick und einer Sicherheitüberprüfung per Smartcard hat Herrn Klein eine Kreditkarte erneuert und da Buch it auf dem Weg zu einer Tochter. In jedem dieer Szenarien pielen Directory eine zentrale Rolle. Bei der Peronaliierung von Web Site, o wie im erten Beipielzenario dargelegt, werden im Directory Service Informationen zu inhaltlicher Präferenz, Benutzerprofilen oder perönlichen Link verwaltet. Im zweiten Szenario verwaltet ein Directory Service alle betriebytem-relevanten Informationen, beipielweie Netzwerkeintellungen inkl. und Kalender, Zugriffrechte für Applikationen, Dektop- Konfiguration. Im dritten Szenario verwaltet der Internet-Buchhändler mit einem Directory Service eine Kunden (Kundenprofil inkl. Kundenpräferenzen und Kreditkarteninformationen). Außerdem etzt Herrn Klein Bank einen Directory Service zur Verwaltung ihrer Kunden und zur

6 Technology Fauth, Mayer-Amm, Wagner Seite: 6 Durchführung von Internet-Banking ein (Kundenprofil, Rechte der einzelnen Kunden im Internet- Banking). Wie da zuvor behandelte Beipiel zeigt, ind Directory Service heute allgegenwärtig, allerding in völlig tranparenter Form. Diee Tranparenz it mit ein Grund dafür, da Directory Service bilang weitgehend im verborgenen geblieben ind. Directory Service tellen eine leitungfähige Technologie dar, welche die logich zentrale Verwaltung von phyikalich verteilten Reourcen ermöglicht. Al olche dienen Directory Service der icheren Adminitration komplexer Syteme von zuammenhängenden Informationen und der verteilten und chnellen Bereittellung dieer Informationen. 3.2 Directory Service v. relationaler Datenbank Wie zu Beginn erläutert, handelt e ich bei Directory Service rein technologich um pezielle Datenbanken [5]. In einem Directory Service werden die Informationen hierarchich gepeichert und nicht, wie in einer relationalen Datenbank, al Lite. Die hierarchiche Speicherung von Informationen it beipielweie vom Telefonbuch her bekannt: Land Ort, PLZ Ort, PLZ Ort, PLZ Name, Vorname St raße Tel.- Nr. Name, Vorname St raße Tel.- Nr. Name, Vorname St raße Tel.- Nr. Abbildung 1: Hierarchiche Datentruktur eine Directory Service Eine derartige hierarchiche Struktur der Informationen it immer dann von Vorteil, wenn e darauf ankommt, Informationen chnell zu finden und zu leen [6]. Demgegenüber ind die litenartig organiierten relationalen Datenbanken von Vorteil, fall in erter Linie da Ziel verfolgt wird, Informationen oft und chnell in die Datenbank zu chreiben, mithin alo in Szenarien, in denen ich die Informationen / Daten oft ändern. De weiteren ind Directory Service, bedingt durch die baumartige Struktur, ehr leicht über ein Netzwerk verteilbar (Verteilen de ganzen Baume oder von Teilen davon ab einer Verzweigung,. z.b. [3]). Die ermöglicht, da die in einem Directory Service hinterlegten Informationen ohne weitere vielen verchiedenen Reourcen, die über viele verchiedene Orte verteilt ind, verfügbar gemacht werden können, ohne da die Performance de geamten Directory Service darunter leidet. Relationale Datenbanken eigenen ich eher in Szenarien, in denen viele Reourcen gleichzeitig chreibend auf die Datenbank zugreifen und die Integrität der Tranaktionen owie die ofortige Verfügbarkeit aller Änderungen eine zentrale Rolle pielt. Relationale Datenbanken ind alo immer dann beonder gut geeignet, fall die in der relationalen Datenbank hinterlegten Informationen ich oft ändern, viele verchiedene Reourcen gleichzeitig Informationen in der Datenbank ändern, Veränderungen an den in der Datenbank hinterlegten Informationen ofort allen Reourcen zur Verfügung tehen müen, die Integrität der Tranaktionen abolute Priorität beitzt. Beipiele für Szenarien, in denen eine relationale Datenbank erte Wahl it, ind

7 Technology Fauth, Mayer-Amm, Wagner Seite: 7 da Buchungytem einer Fluglinie, da Buchungytem einer Bank, da Ticket-Betellytem eine Verantalter. Relationale Datenbanken eigenen ich alo in erter Linie al Bai für eher tranaktionorientierte Applikationen. Directory Service ind hingegen immer dann erte Wahl, fall eine hierarchiche Struktur der hinterlegten Informationen von Vorteil it, da Verhältni leender Zugriff auf die hinterlegten Informationen zu chreibendem Zugriff hoch it, chnelle Suchen und Finden von hinterlegten Informationen allerhöchte Priorität beitzt, die hinterlegten Informationen vielen verchiedenen Reourcen an vielen verchiedenen Orten zugänglich gemacht werden müen. Beipiele für Szenarien, in denen ein Directory Service bevorzugt zum Einatz kommen ollte, ind Elektroniche Telefonbücher / Gelbe Seiten; (White und Yellow Page), Verwaltung von Benutzerprofilen, Applikation- und Reourcenprofilen, Sicherheitprofilen, Verwaltung von Netzwerkparametern und -profilen (Netzwerk-Policie). Directory Service bieten demzufolge einen zentralen Integrationpunkt für eine Vielzahl von Applikationen und Dienten. Organiationen, die einen Directory Service al zentralen Integrationpunkt für ihre Applikationen und Diente benutzen, berichten über einen Return on Invetment von weit über 100 % in den erten beiden oder ogar im erten Jahr nach Implementierung de Directory Service [7], [8]. 3.3 Standard für Directory Service Die Entwicklung von Directory Service hat ich in der Vergangenheit nicht unkontrolliert vollzogen. Vielmehr gibt e zwei fet definierte und kontinuierlich gepflegte Standard, welche die Entwicklung von Directory Service fetlegen: 1. Der X.500 Standard [3], [4]: Dieer Standard wurde in den 80er Jahren von der ITU (International Telecommunication Union) entworfen. X.500 definiert den Aufbau eine Directory Service, da Datenmodell owie Zugriff- und Replikationprotokolle. 2. Der LDAP Standard [9], [10]: Dieer Standard wurde Anfang der 90er Jahre von der IETF (Internet Engineering Tak Force) entworfen. LDAP definiert auchließlich den Zugriff auf einen Directory Service (nicht jedoch den Aufbau de Directory Service an ich) und tellt eine Vereinfachung de im X.500 Standard fetgelegten Zugriff dar. LDAP hat ich al Zugriffprotokoll auf Directory Service heute allgemein durchgeetzt. Ein Directory Service beruht damit auf zwei Standard: Dem X.500 Standard, der den Aufbau de Directory Service an ich definiert (d. h. wie Informationen zu hinterlegen ind), und dem LDAP Standard, der fetlegt, wie auf die in einem Directory Service hinterlegten Informationen zugegriffen werden kann.

8 Technology Fauth, Mayer-Amm, Wagner Seite: 8 4 Anwendungzenarien Da eingang gechilderte Beipiel lät erahnen, da die Einatzmöglichkeiten für Directory Service vielfältiger Natur ind. Nachfolgend eine chematiche Dartellung der unterchiedlichen Einatzfelder für Directory Service: Information Information Partner / upplier cutomer / ubcriber directorie Enterprie Information Management Reource management Knowledge Management White/Yellow Page Adminitration Billing & Accounting Network management Uer privilege Security Mobile Acce Single Sign-On Remote Acce Uer Profile Virtual Private Network Voice over IP, CTI, Call Center Firewall Unified Meaging e-buine Digital Signature / PKI e-procurement e- Commerce Portal Solution / CRM Communication Abbildung 2: Einatzzenarien von Directory Service Auf eine Reihe dieer Einatzfelder wird im Folgenden näher eingegangen. Mit zwei Sonderfällen wollen wir wegen derer allgemeinen Bedeutung bzw. ihrer Bedeutung für Siemen die Betrachtungen beginnen. 4.1 White / Yellow Page: Siemen Corporate Directory (SCD) Ein weit verbreitete Anwendungzenario für Directory Service it die Bereittellung eine Webbaierten elektronichen Telefonbuch oder, allgemeiner, eine Web-baierten elektronichen Aukunftytem für die Mitarbeiter eine Unternehmen. Auch Siemen macht hier keine Aunahme. Da Siemen Corporate Directory (SCD) it da unternehmenweite Information Center für Siemen Mitarbeiter. E it ein Directory Service, der viele unterchiedliche Informationen zu allen Mitarbeitern - aber auch intitutionellen Kommunikationpartnern - zuammenführt, peichert, chnell verarbeitet und abgleicht. E ermöglicht über eine bedienungfreundliche Oberfläche einen leichten und chnellen Zugriff auf die inzwichen ca Einträge. Die mittlerweile unternehmenweit bekannte und genutzte Oberfläche für die Suche nach Mitarbeitern it in der Abbildung 3 widergegeben.

9 Technology Fauth, Mayer-Amm, Wagner Seite: 9 Abbildung 3: Suchmake de Siemen Corporate Directory Zu einem im Directory hinterlegten Eintrag gehören beipielweie Telefonnummern, - Adreen oder auch Abteilung, Standort, Vertretung, Sekretariat oder Mobiltelefon. Auch laen ich direkt im SCD per Mauklick weiterführende Quellen wie Standortpläne oder einzelne Homepage aufrufen. laen ich per Klick verchlüeln und ignieren. Hierzu werden im SCD Public Key hinterlegt; die Private Key erhalten die Mitarbeiter z.b. auf ihrem Firmenauwei. Weitere Zuatzdiente ind ScreenIt, Mailhopper, NetMeeting und vcard, welche die Übernahme einer Adree in ein perönliche Adrebuch ermöglicht. Benutzer von PDA können Datenätze au dem SCD im Kontakte-Ordner von Outlook peichern und von dort auf den PDA ynchroniieren. Weitere weentliche Vorteile werden durch die Verwendung in anderen Applikationen gewonnen; o verwendet u.a. da Siemen Employee Portal eit Februar 2002 ein SCD-baierte Login. 4.2 Meta Directory Service Wie bereit mehrfach dargelegt, ind Directory heute allgegenwärtig. Eine Unteruchung de renommierten Analytenhaue Forreter Reearch hat gezeigt, da jede Unternehmen heute durchchnittlich 180 Directory Service im Einatz hat. In dieen vielen verchiedenen Directory Service verwaltet ein Unternehmen Informationen über Mitarbeiter und Kunden, über Netzwerke, Geräte, Anwendungen und viele mehr. Sie ind einereit Nachchlagewerke wie Telefon- oder -liten, anderereit aber auch Bai für immer zahlreicher werdende Anwendungen: e- Buine, Mobile Buine, Security-Anwendungen, Computer Telephony Integration (CTI) etc. Die meiten dieer Directory Service werden einzeln gepflegt, obwohl häufig ein und dieelben Daten in mehreren Directory Service parallel benötigt werden. Da Reultat: eine hohe Redundanz, eine hohe Fehleranfälligkeit und jede Menge verlorene Zeit. Ein Meta Directory ordnet dieen Datendchungel. Au vorhandenen Directory Service ucht e ich automatich die Teile zuammen, die e für genau einen Eintrag mit allen Angaben zu einem Mitarbeiter, einem Rechner, Netz oder Kunden braucht:

10 Technology Fauth, Mayer-Amm, Wagner Seite: 10 Enterprie und Carrier Applikationen E-Buine Applikationen Direkter Zugriff durch Benutzer und Geräte Meta Directory Service Exchange NT Window 2000 / ADS X.509 / PKI Trut- Center Divere Directorie: Lotu, Novell, Netcape u.a. Netzwerk Directorie Human Reource Anwendungen PBX Directorie Relationale / Legacy Datenbanken Abbildung 4: Grundgedanke de Meta Directory Service Dabei werden neue Daten nur noch einmal eingegeben und automatich in allen gewünchten Directory Service aktualiiert (ynchroniiert). Und egal ob man gerade unter MS Exchange, Lotu Note, im Web oder anderwo arbeitet man findet die Informationen unternehmenweit chnell und zuverläig. Weiterführende Literatur zu dieem wichtigen Anwendungfall findet ich z.b. unter [11] und [12]. 4.3 E-Buine E-Buine, d. h. die Abwicklung gechäftlicher Prozee über ein Netzwerk, it auch weiterhin einer der ganz großen Treiber der geamten IT-Welt. E it allerding zu beobachten, da die Euphorie im E-Buine einem gewien Realimu, zum Teil ogar Ernüchterung gewichen it. In der Vergangenheit haben viele Anbieter von E-Buine-Löungen ihren Kunden Kotenenkungen von 70 % und mehr verprochen. Diee 70 % ind icher in einzelnen Fällen auch nicht übertrieben; meiten ind diee Kotenvorteile aber ganz erheblich niedriger augefallen, wa zu beagter Ernüchterung geführt hat.

11 Technology Fauth, Mayer-Amm, Wagner Seite: 11 Wa ind die Gründe für da Scheitern der zum Teil hoch geteckten Kotenenkungziele infolge der Einführung von E-Buine? Viele Unternehmen haben vor allem im Bereich E-Buine Front-End invetiert, beipielweie ein Portal für Kunden, Partner oder Zulieferer implementiert. Identity-baed, authenticationbaed and authorization-baed acce Supplier Partner Cutomer Web ervice E-buine application Employee Legal / Public Authoritie Advancced e- buine infratructure Identity management Authentication Directory and meta directory ervice Acce / Authorization Reource proviioning E-buine proce integration Baic infratructure Baic I & C infratructure (hardware, network, operating ytem, tranport, meaging, databae, PBX, CTI) Abbildung 5: Directory Service in der E-Buine Anwendungpyramide Aber E-Buine it weentlich mehr al nur die Einrichtung eine Portal. E-Buine bedeutet die Tranformation ämtlicher dazu geeigneter Gechäftprozee in Netz und zwar o, da die Gechäftprozee frei von Brüchen ablaufen können. Die erfordert eine adäquate Infratruktur, die die Tranformation de Gechäft hin zu netzbaierten Prozeen wirkam untertützt. Zum einen handelt e ich dabei um Syteme, die den automatichen und bruchfreien Ablauf der netzbaierten Gechäftprozee ermöglichen. Zum anderen it ein Infratrukturkomponente vonnöten, welche die Frage Wer darf wa womit und zu welchem Zeitpunkt? beantwortet. Eine derartige Infratruktur beteht au verchiedenen Teilen: einem Identity Management zur Regitrierung aller Benutzer (Anmeldung am Portal), einer Authentifizierung zur Überprüfung der Echtheit eine Benutzer (it Herr Müller auch wirklich Herr Müller Sicherheitapekt), einem Berechtigungmanagement zur Fetlegung von Rollen, Berechtigungen und damit verbundenen Zugriffrechten (Single Sign-On, Role-Baed Acce Management), einem Reource Proviioning, um die Informationen über Benutzer und deren Rollen und Berechtigungen den verchiedenen Applikationen und Reourcen zur Verfügung zu tellen (E-Proviioning). Directory und Meta Directory Service tehen al zentrale Intanz für Benutzer und deren Profile, Rollen und Berechtigungen zur Verfügung und orgen für die Verteilung und laufende Aktualiierung dieer Informationen; eine auführliche Würdigung der Rolle von Directory in E- Buine-Löungen findet ich in [13]. Im folgenden werden die Elemente betrachtet, welche für die Realiierung einer E-Buine-Löung unumgänglich ind. 4.4 Portale / Identity Management Nahezu jede Organiation private Unternehmen wie auch öffentliche Einrichtungen ind heute im Internet mit einer eigenen Webeite vertreten. Da Betreten einer Organiation auf dem Weg de Internet durch da World Wide Web (WWW) erfolgt dabei meit durch og. Portale, die

12 Technology Fauth, Mayer-Amm, Wagner Seite: 12 netzeitig da Pendant zum realen Gebäudeeingang der Organiation dartellen. Neben einem völlig anonymen Zugang getatten derartige Portale aber auch den mehr oder weniger peronifizierten Zugang zu den Webinhalten einer Organiation. Dabei mu ich der Beucher dieer Webeiten am Portal anmelden, ganz o, al ob er ich am realen Gebäudeeingang einer Organiation beim Pförtner anmelden mu. Verchiedene Grade der Peronifizierung ind möglich: Name und Adree: Zur Akquiition zuätzlicher potentieller Kunden, zum Beipiel um Werbematerial / Produktkataloge zu verchicken. Name, Adree und Präferenzen: Um dem Beucher ofort eine bevorzugten Webinhalte zu präentieren, beipielweie dem Beucher der Webeiten eine Reiebüro gleich Angebote für Reien in eine betimmte Region, für die er ich beonder intereiert. Name, Adree und Zahlungverbindung: Zum Beipiel beim On-Line-Einkauf im Internet. Name, Adree und perönliche Merkmal zur Identifikation (z. B. Benutzername und Pawort, digitaler Schlüel oder Fingerabdruck): Zur eindeutigen und icheren Identifikation de Beucher der Webeiten einer Organiationen, z. B. bei der Abwicklung von Bankgechäften über da Internet. Eine Michung dieer verchiedenen Peronifizierunganätze it möglich und üblich (. [14] oder [15]). Im Rahmen einer derartigen Peronifizierung übernehmen Directory Service die Rolle, die entprechenden Benutzerinformationen aufzunehmen (zum Beipiel Name, Adree, perönliche Vorlieben, Benutzername, Pawort, digitaler Schlüel oder Fingerabdruck), icher aufzubewahren und bei Bedarf bereitzutellen. 4.5 Authentifizierung Wie bereit im vorigen Kapitel kurz dargelegt, reicht e i.a. nicht au, wenn ich ein Benutzer an einem Portal oder einer Applikation nur mit einem Namen anmeldet. In der Regel mu ich der Benutzer zuätzlich authentifizieren, d. h. nachweien, da er der er it, der er vorgibt zu ein. Diee Echtheitüberprüfung eine Benutzer erfolgt auf verchiedene Arten: Benutzername plu Pawort tellen die einfachte, aber auch am wenigten icherte Methode zur Echtheitüberprüfung dar. Diee Verfahren it da derzeit mit Abtand am meiten genutzte Verfahren zur Authentifizierung. Eine og. Public Key Infratructure (PKI), ein Verfahren, bei dem die Echtheit eine Benutzer mit Hilfe zweier eindeutig zueinander paender Schlüel überprüft wird (einem öffentlichen Schlüel, der für jedermann zugänglich it und einem privaten Schlüel, den nur der Benutzer elbt beitzt, in der Regel auf einer Chipkarte). Eine derartige PKI gewährleitet ein hohe Maß an Sicherheit, erfordert aber auch einen gewien Aufwand. Fingerabdruck und ontige biometriche Merkmale zum Beipiel Iri (Auge) oder Geichtabdruck. In allen Fällen kommt einem Directory Service die Aufgabe zu, die Identifikationmerkmale eine Benutzer (Benutzername plu Pawort, digitale Schlüel, biometriche Merkmale) aufzunehmen, icher aufzubewahren und bei Bedarf für die Echtheitüberprüfung bereitzutellen. Eine beondere Rolle pielen Directory Service im Rahmen der angeprochenen Public Key Infratructure (PKI). Derartige PKI beinhalten gemäß PKI-Standard einen Directory Service, der für die Bereittellung der öffentlichen Schlüel zutändig it. Die folgende Abbildung 6 bechreibt da PKI-Prinzip.

13 Technology Fauth, Mayer-Amm, Wagner Seite: 13 Private key A Trut Center Certification Authority (CA) Private key B Firma A Public Key A Public Key B Firma B Directory Service Abbildung 6: PKI Anwendungzenario Eine auführliche Dartellung von PKI findet ich in [16]. 4.6 Single Sign-On Single Sign-On Syteme tellen eine oberhalb de Sytem- und Applikationlayer liegende SW- Schicht dar. Ein Benutzer mu ich nur noch bei dieer gemeinamen Schicht ein einzige Mal authentifizieren, um nach erfolgreicher Authentifizierung mit allen Sytemen und Applikationen zu arbeiten, für die er eine Berechtigung beitzt.

14 Technology Fauth, Mayer-Amm, Wagner Seite: 14 Web-Applikation / Dektop-Applikation Einmaliger Login (z. B. per Benutzername / Paword). SSO überwacht / etzt ggf. Paword Policie durch. SSO al zentrale Acce Control. Directory Service Benutzerprofile, Policie Single Meta Sign-On Directory (SSO) engine Sytem 1 Sytem 2 Sytem... Sytem... Sytem n Abbildung 7Single-Sign-On Anwendungzenario In der Regel erfolgt die Authentifizierung an der gemeinamen Schicht nicht nur via Benutzername und Paword, ondern mindeten noch aufgrund eine weiteren Verfahren (z. B. Smart Card, Biometrie, PKI, Token). Diee Vorgehenweie erhöht gegenüber reinen Paword Synchronization Sytemen die Sicherheit, da hier ein Paword allein nicht reicht, um Zugang zu allen Zielytemen zu erhalten (vgl. da nachfolgende Kapitel 4.7). Bei Single Sign-On Sytemen untercheidet man heutzutage zwichen Web Single Sign-On Sytemen, die ein Single Sign-On lediglich für Web-Applikationen ermöglichen (iehe [17] und [18]), und Legacy Single Sign-On Sytemen, die ein Single Sign-On für nicht-web-baierte Applikationen ermöglichen, wobei Michformen im Markt erhältlich ind (zu Produkten. [19] und [20]). Single Sign-On Syteme benutzen einen Directory Service zur Hinterlegung von Informationen über Benutzer und deren Profile (Rollen, Rechte, Benutzername plu Pawort). Außerdem verwenden Single Sign-On Syteme zur Verwaltung gewier Regelungen und Richtlinien (og. Policie) einen Directory Service (z. B. Richtlinien zum Umgang mit Paworten oder Richtlinien im Umgang mit ich ertmalig anmeldenden Benutzern). Eine auführliche Betrachtung von SSO kann in dem Report [17] der Burton Group nachgeleen werden. 4.7 Pawort Synchroniation / Pawort Reet Wie im Abchnitt über Authentifizierung bereit erläutert, it da Verfahren Benutzername plu Pawort da mit Abtand am meiten genutzte Verfahren zur Echtheitüberprüfung von Benutzern. Jeder Benutzer arbeitet heute mit einer Vielzahl an Pawörtern, die nur allzu leicht vergeen werden und dann bei den zutändigen Anlauftellen (Hotline, Helpdek) bzw.

15 Technology Fauth, Mayer-Amm, Wagner Seite: 15 Adminitratoren für einen hohen Arbeitaufwand orgen. Au dieem Grund ind zum einen Löungen enttanden, welche die Pawörter eine Benutzer in allen Sytemen gemäß vorher verabchiedeter Richtlinien (og. Policie) auf einen einheitlichen Wert etzen: Paword Meta Synchronization Directory engine Engine (PSE) Web-Applikation Benutzer kann einheitliche Paword elbt fetlegen / ändern. PSE überwacht / etzt Paword Policie durch. Acce Control verbleibt bei lokalen Sytemen / Applikationen. Sytem 1 Sytem 2 Sytem... Sytem... Sytem n Abbildung 8: Pawort Synchroniation Zum anderen exitieren Löungen, die da automatiche, vom Benutzer elbt augelöte Zurücketzen vergeener Paworte auf ein Standardpawort getatten: Web-Applikation / Telefon Benutzer kann Paword elbt zurücketzen (Standard-Paword). Acce Control verbleibt bei lokalen Sytemen / Applikationen. Paword Meta Directory Reet Engine engine (PRE) Sytem 1 Sytem 2 Sytem... Sytem... Sytem n Abbildung 9: Vereinheitlichung von Pawörtern Durch diee Löungen laen ich vergeene Pawörter weitgehend vermeiden, wenngleich, wie bei der Pawort Synchroniation üblich, ein einzige einheitliche Pawort pro Benutzer für alle Syteme und Applikationen ein gewie Sicherheitriiko birgt. Directory Service übernehmen im Zuammenhang mit Pawort Synchroniation bzw. Pawort Reet die Aufgabe, Benutzerinformationen inkl. ynchroniierter Pawörter, Standardpawörter owie die Richtlinien zum Umgang mit Pawörtern zur Verfügung zu tellen. Derartige Löungen werden i.a. al kundenpezifiche Dientleitungen z.b. von Anbietern wie Siemen ICN EN SNS MDS unter Einbeziehung der jeweil genutzten Anwendungen realiiert. 4.8 (Role-Baed) Acce Management / Proviioning Bei der Verwaltung von Benutzern kommt e nicht nur darauf an, die Identität eine Benutzer fetzutellen und die Echtheit dieer Identität zu überprüfen (Authentiierung). Vielmehr geht e

16 Technology Fauth, Mayer-Amm, Wagner Seite: 16 auch darum, den Benutzern Ihre Berechtigungen zuzuweien, d. h. fetzulegen (ggf. anhand vorgegebener Richtlinien), auf welche Syteme und Applikationen ein Benutzer zu welcher Zeit Zugriff haben oll. Dieer al Acce Management bezeichnete Vorgang kann entweder individuell erfolgen, d. h. jedem einzelnen Benutzer werden nacheinander eine verchiedenen Rechte zugeordnet, oder in einem rollenbaierten Anatz. Dabei werden, augehend von den Gechäftprozeen einer Organiation, Rollen definiert, die innerhalb dieer Gechäftprozee vorhanden ind, beipielweie Entwickler, Vertriebmitarbeiter oder Kaufmann. Diee Rollen wiederum werden gewie Zugriffrechte auf Syteme und Applikationen zugeordnet, für eine Rolle Vertriebmitarbeiter zum Beipiel Zugriff auf ein Vertriebtool oder eine Cutomer Relationhip Management Applikation (CRM). Sind einem Benutzer nun gewie Zugriffrechte einzuräumen, o hat man dieem Benutzer nur noch entprechende Rollen zuzuweien, die dann automatich die richtigen Zugriffberechtigungen implizieren. Durch ein derartige rollenbaierte Verwaltung von Zugriffrechten verringert ich der adminitrative Aufwand bei der Zuordnung von Benutzern und deren Rechten enorm, da Zugriffrechte hier nicht mehr individuell angeprochen werden, ondern über da Medium Rolle augehend von der Platzierung de Benutzer in den Gechäftprozeen vergeben werden. Nachdem einem Benutzer die nötigen Zugriffrechte für Syteme und Applikationen zugewieen wurden (rollenbaiert oder individuell), müen diee Informationen den lokalen Sytemen und Applikationen mitgeteilt werden. Dieen Proze der automatichen Bereittellung bzw. Verteilung von Benutzer- und Zugriffrechteinformationen bezeichnet man im allgemeinen al Proviioning (manchmal auch E-Proviioning, Reource Proviioning oder Service Proviioning). Die folgende Abbildung verdeutlicht da Prinzip de Acce Management und Proviioning: Directory Service Uer, identitie role, permiion, acce right Meta Proviioning Directory Engine engine Acce Management Aigning uer and role / permiion / acce right Sytem 1 Sytem 2 Sytem... Sytem... Sytem n Abbildung 10: Rollenbaierte Vergabe von Zugriffrechten Eine Reihe von Analyten halten Acce Management und Proviioning für die Killer- Anwendungen für Directory Service [21], [22] und [23]. Die Aufgabe von Directory Service im Rahmen von Acce Management und Proviioning beteht darin, die Benutzer und deren Rollen

17 Technology Fauth, Mayer-Amm, Wagner Seite: 17 und Zugriffrechte zu verwalten und diee Informationen in einem Proviioning-Proze den entprechenden Sytemen und Applikationen zur Verfügung zu tellen. Da bei Siemen ICN angewandte Verfahren it in [24] bechrieben. Dartellungen zu Technik und Produkten finden ich in [25], zu Architekturen in [26], und zum Return of Invetment in [27]. 4.9 Carrier / Telekommunikation / Service Provider Carrier, Unternehmen der Telekommunikation und Service Provider (Internet Service Provider ISP, Application Service Provider ASP) benutzen Directory Service zur Adminitration ihrer geamten Betriebmittel: Subcriber Management Service Management Uer Namen & Profile Policie Secure ID/ Paword Directory Service Serviceübergreifende, einheitliche Kundenprofil Single Point of Adminitration Operational Support Service Voice over IP Broadband Acce Mobile Internet Cutomer Care & Billing Authentication Authorization UMTS Uer Management VPN Support Value Added Service Abbildung 11: Directory Service in der Telekommunikation Directory Service, die im Carrierumfeld eingeetzt werden, müen ganz beondere Anforderungen erfüllen im Hinblick auf Skalierbarkeit (Speicherkapazität), Performance, Zuverläigkeit und Verfügbarkeit. So hat ein Carrier in der Regel viele Millionen Kunden, wodurch ich die Anforderung nach hoher Speicherkapazität erklärt. Eine chlechte Performance de Directory Service, mangelhafte Zuverläigkeit bzw. Verfügbarkeit (d. h. fortwährende Aufälle de Directory Service) hätten für den Carrier den Stilltand einer Betriebmittel und damit eine geamten Gechäft zur Folge. Daher ind Performance owie Zuverläigkeit und Verfügbakeit eine Directory Service für einen Carrier wichtige Directory-Parameter. Siemen it der derzeit einzige Anbieter eine Directory Service peziell für Carrier, Unternehmen der Telekommunikation und Service Provider Netzwerkmanagement / DEN Vor einigen Jahren machte ich die Standardiierungorganiation Ditributed Management Tak Force (DMTF) daran, eine Methode zu entwickeln, mit deren Hilfe e möglich ein ollte, ein komplette Netzwerk inkl. einer Parameter, Benutzer und deren Profile in einen Directory Service abzubilden und omit zentral zu verwalten. Diee Bemühungen der DMTF ind unter dem Namen Directory-Enabled Network (DEN) bekannt. Wenngleich die DMTF immer noch an DEN arbeitet, hat ich DEN al Standard mittlerweile ziemlich erledigt. Zu viele Netzbetreiber haben nicht auf die Verabchiedung eine offiziellen DEN-Standard gewartet und tatt deen ihre eigenen directory-enabled Netze aufgebaut. Auch die im vorherigen Unterpunkt genannten Einatzzenarien von Directory Service bei Carriern, Unternehmen der Telekommunikation und Service Providern können DEN im weiteren Sinne zugeordnet werden (zu DEN allgemein iehe [28] und [29] ).

18 Technology Fauth, Mayer-Amm, Wagner Seite: 18 5 Markt und Herteller Der Markt für Directory Service wird heute allgemein in vier Segmente unterteilt: 1. Netzwerk-Betriebytem-Directorie: Hierbei handelt e ich um Directory Service, die zur Adminitration eine Netzwerk genutzt werden. In der Regel ind die Netzwerk-Betriebytem-Directorie fet mit dem Netzwerk- Betriebytem verbunden. 2. Enterprie Directorie: Die ind Directory Service, die in erter Linie unternehmeninterne Aufgaben übernehmen, z. B. Bereittellung eine unternehmenweiten elektronichen (Web-baierten) Telefonbuch (Beipiel: Siemen Corporate Directory SCD) oder Integration der unternehmeninternen Applikationinfratruktur im Hinblick auf die von dieen Applikationen gemeinam genutzten Informationen. 3. Extranet Directorie (biweilen auch Carrier Directorie genannt): Directory Service, die hinichtlich Skalierbarkeit (Speicherkapazität), Performance, Zuverläigkeit und Verfügbarkeit optimiert ind für den Einatz in unternehmenkritichen Umgebungen, z. B. bei Telekommunikationunternehmen (Carriern) oder Service Providern oder im Bereich On-Line-Banking / On-Line-Brokerage. 7 x 24-Verfügbarkeit it hier in aller Regel ein Mu. 4. Meta Directory Service: Hier handelt e ich um eine Technologie, die dazu dient, die in verchiedenten Directory Service hinterlegten Informationen miteinander abzugleichen (zu ynchroniieren), d. h. für die Konitenz der in unterchiedlichen Directory Service hinterlegten Informationen zu orgen. Ein Aublick auf da Jahr 2003 owohl die Technologien al auch die Herteller betreffend it in [54] zu finden. 5.1 Netzwerk-Betriebytem-Directory Der Weltmarkt für Netzwerk-Betriebytem-Directorie tellt ich quantitativ wie folgt dar (in Mio. US-$): [Mio US-$] [Jahr] Abbildung 12: Markt für Netzwerk Directory SW-Lizenzen (Quelle: The Radicati Group 2002)

19 Technology Fauth, Mayer-Amm, Wagner Seite: 19 Bei dieen Zahlen handelt e ich um die reinen Software-Lizenzen. Die Radicati Group chätzt, da ich der Geamtmarkt für Netzwerk-Betriebytem-Directorie (Software-Lizenzen plu Dientleitungen) auf den Faktor ech beläuft. Den Markt für Netzwerk-Betriebytem-Directorie teilen zwei Anbieter fat volltändig unter ich auf: Novell, mit einem Marktanteil von 49 % derzeit noch mit leichtem Vorprung Marktführer, hat al erter Anbieter eine Netzwerk-Betriebytem einen Directory Service in ein Netzwerk- Betriebytem integriert (. [30] und [31]). In der Folge it e Novell gelungen, den Directory Service (Novell edirectory) von einem Netzwerk-Betriebytem (Novell NetWare) zu entkoppeln. Beim zweiten Anbieter handelt e ich um Microoft mit einem Netzwerk-Betriebytem Window 2000 (Marktanteil 46 %) [32]. Microoft hat Anfang 2000 zum erten Mal einen Directory Service (Active Directory Service ADS) in ein Betriebytem Window 2000 integriert. ADS übernimmt in Window 2000 die von Window NT her bekannte Rolle eine DNS Server. Aufgrund der zunehmenden Verbreitung von Window 2000 it davon auzugehen, da ADS in Zukunft au keinem Directory Szenario mehr wegzudenken it. Eine beipielhafte Auwahl von Büchern zum Einatz von ADS findet ich in der Bibliographie unter [33], [34], [35] und [36]. In [37] und [38] werden Novell NDS und Microoft ADS einander und weiteren Directory gegenübergetellt. Zu Netzwerk-Directory im Unix-Umfeld gibt e z.b. die Bücher [39], [40] [41]und [42]. 5.2 Enterprie Directorie Der Weltmarkt für Enterprie Directorie tellt ich quantitativ wie folgt dar (in Mio. US-$): [Mio US-$] [Jahr] Abbildung 13: Markt für Enterprie Directory SW-Lizenzen (Quelle: The Radicati Group 2002) Wiederum handelt e ich bei dieen Zahlen nur um die reinen Software-Lizenzen. Laut Radicati Group it davon auzugehen, da der Geamtmarkt für Enterprie Directorie (Software-Lizenzen plu Dientleitungen) ich auf den Faktor ech beläuft. Führend im Markt für Enterprie Directorie it derzeit Sun / iplanet mit einem Marktanteil von 43 %. iplanet it eine ehemalige Allianz von Sun und Netcape. Im März 2002 wurde iplanet volltändig in Sun integriert. Die beinhaltet auch die völlige Integration von iplanet Software-Produkten in die Sun ONE Platform (Sun ONE = Sun Open Net Environment). Au dieem Grund heißt der iplanet Directory Server nun Sun ONE Directory Server. iplanet hat ich in der Vergangenheit hauptächlich auf da reine Produktgechäft konzentriert und weniger auf directory-baierte Löungen. Mit einem Marktanteil von 16 % folgt Siemen auf dem zweiten Rang (Produkt: DirX). Siemen betreibt eit über 10 Jahren Gechäfte mit Directory Service und it einer der erfahrenten Anbieter auf dem Markt. Siemen fokuiert ich vor allem auf directory-baierte High-End-Löungen. Auf dem dritten Rang folgt chließlich Critical Path mit einem Marktanteil von 10 %. Critical Path betreibt hauptächlich Meaging-Gechäft und bietet in dieem Zuammenhang auch einen Directory Service an (CP Directory Server). Einen Überblick über die Herteller von Enterprie und Extranet Directory vermittelt die Gartner Studie [43]; [44] gibt eine Übericht über die Einatzmöglichkeiten de Siemen-Produkt DirX.

20 Technology Fauth, Mayer-Amm, Wagner Seite: Extranet Directory: Der Weltmarkt für Extranet Directory ieht quantitativ wie folgt au (in Mio. US-$): [Mio US-$] [Jahr] Abbildung 14: Markt für Extranet Directory SW-Lizenzen (Quelle: The Radicati Group 2002) Auch hier handelt e ich nur um den Markt für Software-Lizenzen. Die Radicati Group chätzt, da der Geamtmarkt (Software-Lizenzen plu Dientleitungen) ebenfall um den Faktor ech höher liegt. Marktführer bei Extranet Directorie it wiederum Sun / iplanet mit einem Sun ONE Directory Server und einem Marktanteil von 39 %. Auf Rang zwei folgt Siemen mit einem Anteil von 26 % (Produkt: DirX Extranet Edition). Den dritten Rang chließlich hat, wie chon bei Enterprie Directorie, Critical Path mit einem Produkt CP Directory Server und einem Marktanteil von 20 % inne. Zu den drei genannten Anbietern gilt inngemäß da chon im Abchnitt Enterprie Directorie Geagte (iehe auch hierzu [43]). 5.4 Meta Directory Service Der Weltmarkt für Meta Directory Service ieht quantitativ wie folgt au (in Mio. US-$): [Mio US-$] [Jahr] Abbildung 15: Markt für Meta Directory SW-Lizenzen nach Radicati (Quelle: The Radicati Group 2002)