Zentrale vs. dezentrale Rollenverwaltung und extreme Role Engineering als alternatives Verfahren zur Rechteverwaltung

Transkript

1 Zentrale vs. dezentrale Rollenverwaltung und extreme Role Engineering als alternatives Verfahren zur Rechteverwaltung Treffen des Arbeitskreis Verzeichnisdienste des ZKI Dr.-Ing. Thomas Hildmann IT Dienstleistungszentrum der TU Berlin

2 Vorstellung von Person und Einrichtung

3 Motivation Das Fachgebiet

4 Motivation Rollen

5 Die richtige Rollenzahl

6 Geschäftsrollen Anwendungsrollen TUBIS Anwendung Statistiken 3-teiliges Modell Erfahrungen Was ist das Problem? Einsatzgebiet RBAC TUB-spezifisch Motivation Einleitung Normalisierung Rollenähnlichkeit Vorteile Autorisierung extreme Role Engineering Prototyp Demo Nachteile zentral Vorteile dezentral Nachteile Einsatzgebiet Vorgehensmodell Zahlen und Fakten schmutzige Details Usecases Komplexität

7 on Einleit Autorisierung al dezentral

8 Einsatzgebiet Was ist das Problem? Motivation

9 Nor Geschäftsrollen Anwendungsrollen TUBIS Anwendung Statistiken 3-teiliges Erfahrungen Modell RBAC TUB-spezifisch Einleitung

10 No Geschäftsrollen Anwendungsrollen TUBIS Anwendung Statistiken 3-teiliges Erfahrungen Modell C TUB-spezifisch

11 Einl Autorisierung dezentral

12 Vorteile zentral Nachteile Vorteile

13 Eins l dezentral Vorteile Nachteile

14 Rollenähnlichkeit ng extreme Role Engineering Prototyp Demo le Einsatzgebiet Vorgehensmodell Zahlen und Fakten schmutzige Details Komplexität Usecases

15 ng extreme Role Engineering Einsatzgebiet Vorgehensmodell schm De

16 Normalisierung g Rollenähnlichkeit extreme Role Engineering Prototyp Demo

17 extreme Role Engineering Prototyp Demo iet orgehensmodell schmutzige Details Zahlen und Fakten Komplexität Usecases

18 Geschäftsrollen Anwendungsrollen TUBIS Anwendung Statistiken 3-teiliges Modell Erfahrungen Was ist das Problem? Einsatzgebiet RBAC TUB-spezifisch Motivation Einleitung Normalisierung Rollenähnlichkeit Vorteile Autorisierung extreme Role Engineering Prototyp Demo Nachteile zentral Vorteile dezentral Nachteile Einsatzgebiet Vorgehensmodell Zahlen und Fakten schmutzige Details Usecases Komplexität

19 Klassisches RBAC Benutzer ID Name Rolle berechtigt zu Recht

20 Verteilte Administration Strukturtyp Benutzer ID Name Struktureinheit Name 1 1 Recht berechtigt zu Rolle

21 Kapselung der Anwendungsschicht Strukturtyp wird bereitgestellt wird bereitgestellt Benutzer ID Name Struktureinheit Name 1 1 verwaltet Zugriff auf Anwendungsrolle Name berechtigt zu Recht Geschäftsrolle 1 Anwendung

22 Eingangsbeispiel im Rollenmodell Strukturtyp wird bereitgestellt wird bereitgestellt Tabelle Studierende: lesen/schreiben Tabelle Räume: lesen/schreiben (eigene) Tabelle Noten: lesen/schreiben Benutzer ID Name Struktureinheit Name 1 1 verwaltet Zugriff auf Anwendungsrolle Name berechtigt zu Recht Geschäftsrolle 1 Anwendung

23 3-teiliges Modell mit Views Identität Organisation Anwendung Strukturtyp wird bereitgestellt wird bereitgestellt Benutzer ID Name Struktureinheit Name 1 1 verwaltet Zugriff auf Anwendungsrolle Name berechtigt zu Recht Geschäftsrolle 1 Anwendung

24 Erfahrungen im Bereich rollenbasiertes IdM an der TUB 2001 Campuskarte 2007 Webportal mit rollen-basierter Autorisierung AA-Gateway: Apache, Jetty/Servlet, PHP IdM/RBAC: J2EE Eigenentwicklung ~ Entitäten im IdM-System ~ 30 Anwendungen im Portal ~ 500 Einheiten (Fakultät, Institut, Referat...) ~ 3000 Rollen / durchschnittl. ~ 6 pro Einheit

25 Nutzungshäufigkeit von Diensten im persönlichen Portal für % 2% 2% 3% 4% 5% 5% 7% 16% 10% 13% Studierendendaten Super X Typo3 Editorbereich Konto und Rollen Softwareportal Personaldaten Rollenverwaltung Mailingliste beantragen LinF Rollenverwalter und IT-Betreuerliste PW-Änderung Noteneingabe Modulverwaltung (POS) Gastaccounts Hardwareportal (Sofort-PC) Antrag Typo3-Auftritt IP-Adressenverwaltung Externe Antrag Web-Auftritt (konventionell) Hardwareportal Antrag Hosting Antrag Housing

26 Rollenverwaltung

27 Rollenverwaltung

28 Zentrale Lösung Was verstehe ich darunter? [Szenario-Modell unvollständig] Identifiziere und modelliere (neues) Benutzungsszenario Leite Zugriffsrechte vom Szenario ab Identifiziere Nebenbedingungen Verfeinere das Szenario- Modell [Änderungsfall] Definiere RBAC Model Leite vorläufige Rollenhierarchie ab Definiere Aufgaben und Arbeitsprofile [Szenario-Modell vollständig] Benutzer Rollen Rechte

29 Vorteile einer zentralen Lösung Klassischer RBAC-Ansatz: Verteilung der Verantwortung Es existieren Role-Engineering Methoden für eine zentrale Lösung, die zu strukturierten Modellen führen Know-How über Autorisierungsmodell gebündelt Überblick über das gesamte System IT-Dienstleister = Rollendienstleister (Service) Klassischer Weg: Anforderung, Analyse, Implementierung Rollenadministratoren können beraten und prüfen flache Lernkurve als Einstieg für Nicht-Experten Constraints können organisatorisch umgesetzt werden Vertretungsregelungen bei Admins durch Dienstleister

30 Dezentrale Lösung Was verstehe ich darunter? Benutzer Rollen Rechte

31 Erfahrungen im Bereich rollenbasiertes IdM an der TUB Kein Bittstellergefühl Reduzierung der Bearbeitungszeit Backuprollen in übergeordneten Einheiten Rollenvertretungen von jedem verwaltbar Flexible selbst gestaltete Struktur Transparenz Verteilung der Verantwortlichkeiten Entlastung der Administratoren Fehlinterpretation durch dritte entfällt Fehler sind lokal beschränkt Sehr guter Überblick über die verwaltete Einheit

32 Nachteile einer dezentralen Lösung und Maßnahmen Nachteil für lokalen Admin Fehlender Überblick über Rollenmodell Fehlendes Wissen um neue Anwendungen Folgenabschätzung und Konsequenzen Abwesenheit des lokalen Rollenadministrators Fehlendes Anwendungswissen Hohe Komplexität des Modells Maßnahmen Mehrteiliges Modell Anwendungs-, dezentrale/zentrale Rollenadmins Informationspolitik Support Schulungen, Informationen Support Selbst definierte Vertretungen Backuprollen, zentrale Rollenadmins Informationen Anwendungsrollen vordefiniert / Templates Schulung und Support Werkzeuge: GUIs, extreme Role Engineering

33 extreme Role Engineering Rollendruide :Testmodell :Snapshot [Story nicht umsetzbar] [Fehler im Testfall] Story erstellen Testfälle definieren Verfeinerung Sandboxdefinition Release [Fehler im Wirkbetrieb] Rollback :Story :Testmatrix Templates suchen

34 Ähnlichkeit von Rollen P 1 P 2 P 3 P 4 C 1 C 2 C 3 read write edit delete d(x, y) = def n x i y i i=1 x/y P 1 P 2 P 3 P 4 C C C

35 Normalisierung des Abstands dn(x, y) = n i=1 x 1 y i n gleich unterschiedlich

36

37 Komplexität begrüßung() {O(1)} modellladen() {O(p)} storydefinieren() {O(1)} testmatrixerstellen() {O kandidatenerstellen +O vereinigegleichekandidaten = O(2no 2 )} verfeinerung() {O verfeinerung = O(opn)} sandboxtest() {O(1)} modellspeichern() {O(p)} O xreprozess = O(max(O(no 2 ),O(opn))) O(opn) fürp o

38 Erfolgreiche Tests xre: Prototyp, Tests mit Echtdaten, eine Testperson, Vergleich mit Handarbeit xre ermöglicht intelligentes Hinzufügen von Rollen für kleine Organisationseinheiten

39 Geschäftsrollen Anwendungsrollen TUBIS Anwendung Statistiken 3-teiliges Modell Erfahrungen Was ist das Problem? Einsatzgebiet RBAC TUB-spezifisch Motivation Einleitung Normalisierung Rollenähnlichkeit Vorteile Autorisierung extreme Role Engineering Prototyp Demo Nachteile zentral Vorteile dezentral Nachteile Einsatzgebiet Vorgehensmodell Zahlen und Fakten schmutzige Details Usecases Komplexität

40 Zusammenfassung Erfahrungen an der TU Berlin zeigen Eignung des dezentralen Identitätsmanagements. Anfänglich hoher Schulungsaufwand und Kritik. Inzwischen hohes Maß an Transparenz, Flexibilität und Selbstbestimmung. Fehler und Lücken sind auf Werkzeuge zurückzuführen. Daher Verbesserung und Erweiterung von Methoden und Werkzeugen. Nächster entscheidender Schritt: extreme Role Engineering

41 Quellen und Kontaktdaten