Zugriff auf die Cloud: Identitäten sicher im Griff

Transkript

1 10. April,14:30 15:30 Uhr Zugriff auf die Cloud: Identitäten sicher im Griff Martin Santospirito, SSP Datacenter, Microsoft Deutschland GmbH Jean Hamacher, VTSP & GF, Objektultur Software GmbH

2 Wie verwalten Sie Ihre Schäfchen?

3 Was erwartet sie 1. Herausforderung Integration und Zugriffssteuerung von Cloud Anwendungen 2. Office 365 Integration in Single und Multi Domain Umgebungen 3. Office 365 Lizenzmanagement 4. Nachweis wer welche Rolle/ Berechtigung wann hatte/ hat 5. Zusammenfassung

4 Herausforderung: Integration von Cloud Anwendungen

5 Pain 1. Wer hat Zugriff auf das Azure Portal und die Anwendungen in Windows Azure 2. Keine transparente Authentifizierung von Unternehmenskonten bei Webanwendungen 3. Passwort Reset kann nicht selbständig durchgeführt werden 4. Public- und Private Clouds werden getrennt verwaltet 5. Kein zentrales Portal/ Reporting

6 Ein Blick auf die Architektur Contoso customer premises Microsoft Online Services IdP AD Active Directory Federation Server 2.0 MS Online Directory Sync Trust Federation Gateway IdP Azure Portal Exchange Online Authentication platform SharePoint Online HR FIM 2010 Service & Portal FIM User License Approver System Center PowerShell Script Provisioning platform Admin Portal Directory Store Azure IAAS - Virtual machines Lync Online Azure AD Cloud Services

7 Lösung für intern und extern genutzte Clouds Externe Dienste z.b. Kundenportal, für die man sich anmelden muss FIM bietet ein Portal/ Funktion bei dem sich ein neuer Kunde/ Partner selbstständig registrieren kann FIM stellt Möglichkeiten direkt/ indirekt (System Center) z.b. Sharepoint site zu technisch provisionieren Interne Dienste z.b. eine Unternehmensapplikation nutzt Daten in der Cloud z.b. Office 365, gehostete virtuelle Maschinen Konten werden automatisch synchronisiert FIM stellt sicher dass die Konten existieren und je nach Rolle provisioniert werden bzw. berechtigt werden

8 Office 365 Integration

9 Pain 1. Externe Accounts und interne Benutzer? 2. Jetzt noch Multi Domain Umgebungen? 3. Single Sign On? 4. Wie hält man das alles AKTUELL? 5. Und jetzt noch Lizenzverwaltung?

10 Single Domain: Office 365 Dir Sync Tool Koexistenz von Identity & Application Verwalten der Identitäten on-premise Sync von Benutzern, Gruppen und Kontakten Ermöglicht Single Sign On Exchange Hybrid Betrieb möglich GAL ist FULL Shared Einfaches Setup Zeitlich gesteuerte Synchronisation (3 Std. by Default) ABER: Sehr hohe Berechtigungen Kein Eingriff in die Agenten

11 Office 365 MultiDomain: Lösungsszenario Office 365 Exchange Online Windows Azure Active Directory SSO ADFS Res. Dom Federated Trust Provisionierung Kerberos Trust FIM R2 Provisionierung FIM Portal FIM Service FIM Synch Service Provisionierung SSO Kun de

12 Office 365 MD Systemlandschaft Office 365 arsysfim. onmicrosoft.com Internetdomain arsyso365.com (federated) User Server 4 ADFS Server FIM Sync Engine User, Admin Login, Kunden Login Server 5 FIM Portal Server 3 SQL Server FIM Service DB FIM Sync DB User, Kunden Login User, Admin Login Server 1 DC arsysfim.poc Exchange Server Server 2 DC kundefim.poc Exchange Server

13 Office 365 Multi Domain mit FIM Demo

14 Lizenzmanagement Office 365

15 Pain 1. Lizenzen zuweisen via: Web Interface (Manuell) Bulk Import aus Textfile

16 PowerShell Script License Assignment # RETRIEVE MSONLINE ADMIN PASSWORD FROM FILE param([string]$mail = "mail") $MsolAdmUser = msolid@domain.onmicrosoft.com $pwd = Get-Content c:\temp\credsvcfim.txt ConvertTo-SecureString $cred = New-Object System.Management.Automation.PSCredential $MsolAdmUser, $pwd # CONNECT TO 365 Import-Module MSOnline Connect-MsolService -Credential $cred # RETRIEVE ACCOUNT INFORMATION $ActSku = Get-MsolAccountSku $AvailableUnits = $ActSku.ActiveUnits - $ActSku.ConsumedUnits

17 PowerShell Script License Assignment # VERIFY IF USER IS ALREADY LICENSED $O365User = Get-MsolUser -UserPrincipalName $mail if ($O365User.isLicensed) { return $TRUE } elseif ($AvailableUnits -gt 0) { Set-MsolUser -UserPrincipalName $mail -UsageLocation "US" Set-MsolUserLicense -UserPrincipalName $mail AddLicenses $ActSku.AccountSkuId $O365UsrResult = Get-MsolUser -UserPrincipalName $mail return $O365UsrResult.isLicensed } else { return $FALSE }

18 ODER Lizenzmanagement mit FIM! 1. Plan 2. Prepare 3. Establish federation and/or coexistence 4. License Users (Read doc) Add and Verify SMTP domains Configure Services Set up Identity Federation Enable Tenant for coexistence/ds Install DirSynch Configure and perform DirSynch Admin Portal GO DNS Administration Online Services Configuration Microsoft Online Identity Tool Admin Portal Microsoft Online DirSynch Tool FIM

19 Transparenz: Nachweis, wer hat welche Rolle/Berechtigung und seit wann?

20 Role Based Access (FIM/BHOLD) Rollenmodell über alle Systeme Vermeiden von TOXIC COMBINATIONS System analysiert bestehende Rechte und ermittelt Basis - Unternehmensmodell Organizational Structure System Role Business Role System Role Permission Permission Permission IT Resources Application A System B Groups Profile Resources Resource

21 FIM Reporting Historie / Auditing Gruppenmanagement Bsp.: Marketing hat große Dokumente und bekommt deshalb O365 Postfächer. Benutzerprofile / Objekte Bsp.: Alle Änderungen sind Transparent

22 Fazit Jeder redet von der Cloud, doch wenn es um die Benutzerverwaltung geht, hört es meistens auf. Microsoft bietet eine Lösung, die seit Jahren bewährt ist und ideal bei allen Cloud-Umgebungen ist. Wer xxx Benutzer in jeglicher Cloud betreut, braucht FIM Wer xxxx Benutzer in mehreren Domänen hat, braucht FIM Wer einen automatischen Prozess bei neuen oder ausgeschiedenen Mitarbeitern möchte, braucht FIM Ein glücklicher IT Verantwortlicher braucht FIM ;-)

23 Haben Sie Fragen?

24 References 1. Office 365 Sign-In Assistant: 2. Microsoft Online Services Module for Windows Powershell: 3. Fill form at link below to extend existing Office 365 trial: 8E74-18AA-48E4-A257-B061E0C7AB4D%7d&RootFolder 4. FIM WAL: 5. Azure

25 2013 Microsoft Corporation. All rights reserved. Microsoft, Windows, Windows Vista and other product names are or may be registered trademarks and/or trademarks in the U.S. and/or other countries. The information herein is for informational purposes only and represents the current view of Microsoft Corporation as of the date of this presentation. Because Microsoft must respond to changing market conditions, it should not be interpreted to be a commitment on the part of Microsoft, and Microsoft cannot guarantee the accuracy of any information provided after the date of this presentation. MICROSOFT MAKES NO WARRANTIES, EXPRESS, IMPLIED OR STATUTORY, AS TO THE INFORMATION IN THIS PRESENTATION.