Erweitertes Lizenzmanagement mit bi-cube IPM

Transkript

1 Inhalt 1 EINFÜHRUNG ERWEITERTES LIZENZMANAGEMENT MIT BI-CUBE Lizenzbilanz Re-Lizensierung Funktionskonzept der Basis Lizenzkontrolle LIZENZAUSLASTUNG ÜBER SSO Technische Lösung der Lizenzauslastung über SSO info@secu-sys.de Web:

2 1 Einführung Softwarelizenzen beanspruchen einen beachtlichen Teil der IT-Infrastrukturkosten. Ein effektives Lizenzmanagement kann dem Unternehmen also erhebliche Kosteneinsparungspotentiale bieten. Aber auch andere sicherheitsrelevante Ziele lassen sich mit einer Lizenzverwaltung im IT-Management erreichen: Haftungsrisiken für illegalen Softwareeinsatz reduzieren (persönliche Haftung der Geschäftsführung) Operationelle Risiken für illegalen Softwareeinsatz durch Ausfall von Ressourcen und Prozessen senken Effizienten Einsatz der verfügbaren Lizenzen sicherstellen Shelfware (ungenutzte Software) vermeiden Genutzte Lizenzmodelle optimieren Wartungsverträge in Zusammenarbeit mit Availability Management anpassen Lizenzierung unautorisierter Software mit Release Management verhindern Verursachergerechte Verrechnung der Softwarekosten steuern Anforderungen der Standards BS 7799 oder BSI-Grundschutz erfüllen Lizenzen verursachen nicht nur Kosten, sie stellen auch Werte dar, die häufig mangels Transparenz nicht umfassend genutzt werden. Wird Lizenzmanagement strategisch richtig eingesetzt, hilft es auch, die Effizienz des Softwareeinsatzes kontinuierlich zu verbessern. Analysen haben gezeigt, dass die Einsparungen bis zu 15% der Softwarekosten erreichen. Bei durchschnittlich mehreren 1000 Softwarekosten pro Arbeitsplatz ist dies ein beachtliches Potential. Dies macht Lizenzmanagement zu einem Prozess mit großer Bedeutung für die IT-Departments. bi-cube IPM bietet ab der Version 7 ein erweitertes Lizenzmanagement und unterstützt somit die unternehmenseigene Lizenzoptimierung. info@secu-sys.de Web:

3 2 Erweitertes Lizenzmanagement mit bi-cube Mit Hilfe der Basis-Lizenzkontrolle werden die für die in bi-cube verwalteten Systeme benötigten Lizenzen gezählt und bei Über- bzw. Unterschreitung entsprechender, vordefinierter Schwellwerte eine Benachrichtigung der zuständigen Systemadministratoren ausgelöst. Im Gegensatz zu vielen anderen Produkten, bei denen die Ermittlung der genutzten Lizenzen auf der Basis installierter Versionen erfolgt, ermittelt bi-cube diesen Wert aus den dem Nutzer tatsächlich zugewiesenen Anwendungen. Dieser liegt bei der zunehmenden Zahl der Moving User deutlich unter der Anzahl der Installationen. Durch die Einbindung des bi-cube Prozesses der Re-Lizenzierung sowie die Protokollierung der Nutzung der im Unternehmen verwendeten Anwendungen durch bi-cube SSO, können insbesondere die Anzahl der eingesetzten Lizenzen dem tatsächlichen Bedarf angepasst und somit das Lizenzmanagement optimiert werden. Weiterhin besteht die Möglichkeit, die ermittelten Daten an ein externes Lizenzmanagement zu übergeben. 2.1 Lizenzbilanz Auf Basis der durch bi-cube ermittelten Informationen wird folgende statische Funktionalität für das Lizenzmanagement bereitgestellt: 1. Ständige Überwachung der Über- bzw. Unterschreitung der angegebenen User-Zahlen. Wobei hier die zugewiesenen Accounts von den Personen unterschieden werden. Es kann eingestellt werden, nach welchem Verfahren zu zählen ist. Bei Aktivierung der Warnung bekommt der System-Owner oder /und der Lizenz-Verantwortliche eine entsprechende Mail. 2. Bei Überschreiten der lizenzierten Userzahl wird eine weitere Zuweisung unterbunden. Hierfür wird eine Prüffunktion im internen SDK bereitgestellt. 3. Eine spezielle Auswertung erlaubt es mehrfach zugewiesene Software (Accouts > Userzahl) auszuweisen. 4. Wenn ein lizenzpflichtiges System zugewiesen (bzw. entzogen) wird, geht eine Standardinformation an eine Schnittstelle (ASCII) zur internen Verrechnung. (optional) 5. Beim User zugewiesene aber gesperrte Systeme zählen in der Lizenzbilanz nicht. Bei einem Entsperren ist deshalb die Lizenzgrenze zu prüfen. Eine Lizenzbilanz wird für alle lizenzpflichtigen Systeme als Tabelle im IPM Web (mit Berechtigung) aufgebaut. 2.2 Re-Lizensierung Die Überwachung von lizenzpflichtiger Software wird mit einem Prozess der Re-Lizensierung verbunden. Für Systemberechtigungen eines oder mehrerer User kann über einen Antrag im IPM Web eine Wiederholungsfreigabe (Re-Lizenzierung) eingefordert werden. Mit der Re-Lizenzierung werden folgende Funktionen realisiert: 1. Der Leiter des betroffenen Users kann der erneuten Freigabe einer Systemzuweisung / Systemberechtigung zustimmen oder ablehnen. 2. Bei erteilter Freigabe bleibt die Systemzuweisung am User bestehen. 3. Bei nicht erteilter Freigabe wird das System entzogen. Wenn das betreffende System dem User über eine Rollenzuweisung zugeordnet wurde, wird die komplette Rolle entzogen. info@secu-sys.de Web:

4 2.3 Funktionskonzept der Basis Lizenzkontrolle Direkt an dem von bi-cube verwalteten System wird die maximal zu vergebende Anzahl von Lizenzen definiert. Dazu müssen im bi-cube Object Manager unter der Ansicht Objekte die Systemdaten des ausgewählten Systems aufgerufen werden. Dort können dann im Register Lizenzkontrolle die entsprechenden Daten eingetragen werden. Abbildung 1 Einstellungen im Object Manager Im Feld Anzahl der Lizenzen wird die Anzahl der vorhandenen Lizenzen für das ausgewählte System angegeben. Wird dabei der Wert = 0 eingetragen, findet keine Lizenzkontrolle statt. Im Feld Anzahl der Berechtigungen wird die Anzahl der aktuell vergebenen Berechtigungen für das ausgewählte System automatisch angezeigt.. Im Feld Interne Kostenverrechnung werden die Kosten einer Berechtigung für das ausgewählte System zum Zweck der internen Verrechnung angegeben. bi-cube zählt die aktuell vergebene Anzahl von Lizenzen kontinuierlich mit. Im Profil werden der maximale und der minimale Alarmwert hinterlegt. Dieser gilt für alle Systeme gleichermaßen. Beim Überschreiten des maximalen Alarmwerts (z.b. 95%) und beim Unterschreiten des Minimalwertes (z.b. 50%) wird eine Message generiert, die eine Mail an den zuständigen Systemadministratoren schickt. Gleichzeitig werden die beiden Daten im bi-cube User Manager am System und im IPM Web in der Statistik angezeigt. Wenn dann jeweils 50% bzw. 95% unter- bzw. überschritten sind, wird für den Systemadministrator eine Aufgabe in den Task-Manager im IPM Web eingestellt. info@secu-sys.de Web:

5 Die Basis-Lizenzkontrolle wird einmal täglich vom bi-cube Archivierer übernommen. Die Einstellung der Alarmwerte für eine Unter- bzw. Überschreitung der Lizenzen erfolgt im bi-cube Configuration Manager in der Ansicht License im Register License. Abbildung 2 Einstellung im Configuration Manager info@secu-sys.de Web:

6 3 Lizenzauslastung über SSO Weiterhin unterstützt bi-cube SSO die Protokollierung der Nutzung der im Unternehmen verwendeten Anwendungen in der bi-cube Datenbank. Dadurch können insbesondere die Anzahl der eingesetzten Lizenzen dem tatsächlichen Bedarf angepasst und somit dann ebenfalls Lizenzkosten gespart werden. Diese Protokollierung funktioniert für Anwendungen auf herkömmlichen Arbeitsstationen sowie in Terminalumgebungen (Citrix). Die Protokollierung umfasst Daten zum Benutzer und zur Arbeitsstation/Terminal. So wird u.a. die MAC- Adresse des Netzwerkadapters gespeichert, was für bestimmte Lizenzierungsmodelle, wie sie z.b. bei Microsoft Office Produkten gefordert sind, notwendig sein kann. Die Auswertung der Lizenzkontrolle erfolgt durch Auslesen der entsprechenden Tabelle in der bi-cube Datenbank z.b. mit den Report-Tools des bi- Cube IPM Web Portals. Welche Programme bzw. Applikationen für die Protokollierung überwacht werden sollen, kann über Registry- Einstellungen bzw. Policies (Windows Richtlinien) definiert werden. Wenn bi-cube SSO im Einsatz ist, können weitere dynamische Nutzungsdaten durch den SSO-Client bereitgestellt werden: 1. Anzahl der tatsächlich genutzten Software-Kopien 2. (angenäherte) Anzahl der gleichzeitigen Ausführungen (Concurrent User) 3. Zeiten, in denen die Hauptnutzung stattfindet 4. Vorschlag für die Anzahl erforderlicher Lizenzen bei neuen Verhandlungen 5. Informationen darüber, ob ein Benutzer ein verbotenes Programm ausführt 3.1 Technische Lösung der Lizenzauslastung über SSO Allgemein Werden von einem Citrix-Client Programme bzw. Applikationen auf dem Citrix-Server gestartet, werden die relevanten Daten von der Lizenzkontrolle erfasst und in die Datenbanktabelle EVENTLOG gespeichert. Dazu überwacht die Lizenzkontrolle des SSO Clients, ob auf dem Citrix-Client ein neues Fenster geöffnet wird. Ist das der Fall, wird über eine Liste in der Windows-Registry geprüft, ob der dazugehörige Prozess protokolliert werden soll. Wenn ja, bekommt der ZAM-Server eine Meldung, dass er den entsprechenden Datensatz in die Datenbanktabelle EVENTLOG speichern soll. Auch beim Schließen der Anwendung wird ein Datensatz in die EVENTLOG Tabelle geschrieben Listen für die Prozessüberwachung Es existieren zwei Listen, in denen geprüft wird, ob eine Anwendung protokolliert werden soll oder nicht. Welche Liste für die Prozessüberwachung genutzt werden soll, wird über den Parameter LicenceCheckingMode definiert. In einer Liste (white list) können Sie die Anwendungen erfassen, die protokolliert werden sollen. Befinden sich in der white list keine Einträge, wird keine Anwendung protokolliert. Web:

7 In der anderen Liste (black list) können die Anwendungen erfasst werden, die nicht protokolliert werden sollen. Befinden sich in der black list keine Einträge, werden alle Anwendungen protokolliert, die vom User gestartet werden Protokollierung Für das Starten und Schließen einer Anwendung schreibt der ZAM-Server jeweils einen Datensatz in die Datenbanktabelle EVENTLOG. Mit einem Datensatz werden folgende Daten gespeichert. VERWID SysUs_ID ClientName ClientIP EventMemo ModuleName eventdate eventtitle processname MProductVersion MFileVersion PProductVersion PFileVersion clientmac thinclientip thinclientmac Feldname Inhalt Verwaltungsnummer Windows Benutzername des angemeldeten Users Name der Arbeitsstation IP der Arbeitsstation Beschreibung des Ereignisses Name der Anwendung, aus der die Nachricht kommt Zeitpunkt des Ereignisses Kurzbezeichnung des Ereignisses Produktname (Word, Excel etc.) Produktversion der sendenden Anwendung Dateiversion der sendenden Anwendung Produktversion des zu protokollierenden Prozesses Dateiversion des zu protokollierenden Prozesses MAC-Adresse des Clients IP-Adresse des Thin Clients MAC-Adresse des Thin Clients Web:

8 3.1.4 Auswertung Die Auswertung erfolgt über die Datensätze, die der ZAM-Server in die Datenbanktabelle EVENTLOG gespeichert hat. Dazu können über das IPM Web Reports erstellt werden. Beispiel: SQL-Statement für einen Report. Dieser Report gibt die Anzahl der Clients aus, welche verschiedene Anwendungen nutzen. select processname,count(processname) as anzahl from (select processname,thinclientmac from db2admin.eventlog where status=3 group by processname,thinclientmac) as test group by processname Abbildung 3: Beispiel für die Definition eines SQL Reports im IPM Web Web: