Das I IA und I DT Extranet auf MOSS 2007 Basis

Transkript

1 Das I IA und I DT Extranet auf MOSS 2007 Basis Die 4 Säulen für den Betrieb von Extranet- Applikationen allgemein und Sharepoint Extranetz im speziellen sowie ihre technische Abdeckung durch die CIO IIP Siemens AG Änderungen vorbehalten

2 Die 4 Säulen des Extranets A u A u S e L e t h e n t h o r i e c u r i g a l i t i c a t i s a t i t y t y t i o n i o n Page 2 Rolf Matthaei, I IA CIO IIP Group / Region / Department Author Siemens AG Änderungen vorbehalten

3 Authentication: Der Schlüssel zum Extranet Authentifizierung Die geforderte Authentifizierung eines Anwenders grenzt das ExtraNetz vom anonym zugänglichen Internet ab. Mit dem Wissen um die Identität des Anwenders werden einige Szenarien erst ermöglicht Persönliche Begrüßung des Anwenders Erweiterter Zugriff auf Daten Rollenspezifische Datenbereitstellung Collaboration CIO IIP Lösung Die Identifikation eines Anwenders erfolgt über das A&D WEB Single Sign On System (A&D Web SSO) In ihm sind aktuell ca interne und externe User gespeichert User können über einen Self-Service ihren Account eigenständig anlegen oder ändern Internet Web-SSO Ein Anwender soll mit einem einzigen Account im Rahmen seiner Berechtigung auf allen angeschlossenen Verfahren authentifiziert sein. MALL S&S- Portal CMS SI TRAIN MOSS 2007 Page 3 Rolf Matthaei, I IA CIO IIP Group / Region / Department Author Siemens AG Änderungen vorbehalten

4 Authentication : Mein Weg zum SSO-Account Personal Account Management Ein neuer SSO Account kann durch den Anwender in jeder SSO-authentifizierten Applikation über Register angelegt werden. Pflege-Dialog Je nach Einstiegs-Applikation können die abgefragten Benutzerdaten abweichen z.b. Siemens Industry Automation and Drive Technologies Homepage Nach der Anlage können die Daten durch den Anwender modifiziert werden. Alle Siemens internen Anwender besitzen einen SSO-Account, der automatisch aus ihrem Windows Account abgeleitet wird Page 4 Rolf Matthaei, I IA CIO IIP Author Siemens AG Group Änderungen / Region vorbehalten / Department

5 Authentication : Das System erkennt mich Anmeldung im Internet Die Schnittstelle zum Authentifizierungs- System ist die Anmeldung Funktionsumfang Anmeldung beim SSO System Die Anmeldung erfolgt über den selbstgewählten Usernamen und das selbst vergebene Kennwort (Das Kennwort bei der Erstanmeldung wird per zugestellt) Passwort vergessen Registrierung Sie können einen neuen Account registrieren Page 5 Rolf Matthaei, I IA CIO IIP Author Siemens AG Group Änderungen / Region vorbehalten / Department

6 Authentication : Siemens Intranet-Benutzer haben mehr Möglichkeiten Anmeldung im Intranet Intranet-Anwender können sich ebenfalls über den angegebenen Dialog anmelden. Der Username ist im Allgemeinen die Livetime Adresse Das Initial-Passwort ist über den Dialog Passwort vergessen zu erfragen. Alternative Anmeldung Für das Sharepoint Extranetz System kann eine vereinfachte Anmeldung aus dem Intranet heraus konfiguriert werden. Rahmenbedingungen alternative Anmeldung Zustimmung von CIO PAP DIS für teilautomatisierte Anmeldung Windows Authentifizierung entspricht Standard SSO-Login PKI Authentifizierung entspricht starker SSO Authentifizierung (Erläuterung folgt) Page 6 Rolf Matthaei, I IA CIO IIP Author Siemens AG Group Änderungen / Region vorbehalten / Department

7 Authorisation regelt, das die richtige Information den richtigen Kunden erreichen Authorisierung Die Authorisierung regelt den Zugriff auf geschützte Informationen Sie stützt sich dabei auf Berechtigungsstrukturen an der Information sowie die über die Authentifikation i gewonnene Identität des Anwenders. Das Ergebnis der Authentifizierung ist entweder ein erfolgreicher Zugriff auf die Information oder eine Ablehnung des Zugriffes. Bei einer Ablehnung des Zugriffes erhält der Anwender einen aussage- fähigen Meldetext sowie situationsbezogene Handlungsanweisungen, wie er einen Zugriff beantragen kann. CIO IIP Lösung Bereitstellung eines übergreifenden Rollen bzw. Gruppen-Managements auf Basis der vom WEB-SSO bereitgestellten User- Informationen Ausnutzung des Sharepoint Berechtigungskonzeptes Page 7 Rolf Matthaei, I IA CIO IIP Group / Region / Department Author Siemens AG Änderungen vorbehalten

8 Authorisation: SSO Rollenmanagement mit Sharepoint Leistungen des SSO-Rollen Managements SSO - Sharepoint Dezentrale Rollen / Benutzergruppenverwaltung für SSO User angeschlossene Systeme Sharepoint Extranet Ersatzteilservice i (*) Internet-Portal (*) SSO Enterprise SSO Enterprise SSO Enterprise Rolle 1 Rolle 2 Rolle 3 Durchgängiges logisches Verwaltungsmodell unterstützt folgende hierarchische AP 1 AP 2 AP 3 Administrations-Rollen i ti External Admin WEB SSO Site / Application Owner Sharepoint System Administrator SSO-Administrator WSS Gruppe 1 WSS Gruppe 2 WSS Gruppe 3 Automatische Verknüpfung von SSO Rollen mit Sharepoint Gruppen * geplant Page 8 Rolf Matthaei, I IA CIO IIP Author Siemens AG Group Änderungen / Region vorbehalten / Department

9 Authorisation: Das SSO Rollenmanagement Page 9 Rolf Matthaei, I IA CIO IIP Group / Region / Department Author Siemens AG Änderungen vorbehalten

10 Authorisation: Das SSO Usermanagement Page 10 Rolf Matthaei, I IA CIO IIP Group / Region / Department Author Siemens AG Änderungen vorbehalten

11 Authorisation: Das Sharepoint Berechtigungskonzept im Extranetz Berechtigungsstufen (Permission level) Gruppen Die Rollen im Extranetz sind nicht änderoder erweiterbar! Rollen in Sharepoint definieren, welche Berechtigungen hi der Rollen-Inhaber hat und welche Aktionen er ausführen darf Standard-Rollen in Sharepoint Vollzugriff (Full Control) Entwerfen (Design) Teilnehmen (Contribute) Lesen (Read) Das Sharepoint Berechtigungssystem im Extranetz wird ausschließlich über Sharepoint Gruppen gesteuert! Einer verwendeten Sharepoint Gruppe wird eine Berechtigungsstufe zugeordnet, diese kann situationsbedingt bei der weiteren Verwendung angepasst werden. Jede Sharepoint Extranetz Site besitzt eine Standardrolle Siemens_SiteOwner mit der Berechtigungsstufe SiteOwner. Erweiterte Rollen Extranetz Authorisation SiteOwner WebDesigner Die Zugriffsberechtigung auf eine Information in Sharepoint ergibt sich aus den zugeordneten Gruppen in ihrer jeweiligen Berechtigungsstufe sowie der Zugehörigkeit des Benutzers zu einer oder mehrerer verwendeten Gruppen Page 11 Rolf Matthaei, I IA CIO IIP Author Siemens AG Group Änderungen / Region vorbehalten / Department

12 Authorisation : Erweiterte Berechtigungen g ->Sharepoint Berechtigungsstufen Website- berechtigungen Listen- berechtigungen Persönliche Berechtigungen Page 12 Rolf Matthaei, I IA CIO IIP Author Siemens AG Group Änderungen / Region vorbehalten / Department

13 Authorisation : Websiteberechtigungen Page 13 Rolf Matthaei, I IA CIO IIP Group / Region / Department Author Siemens AG Änderungen vorbehalten

14 Der Informationsinhalt legt fest, welche Security-Anforderungen für die Präsentation erforderlich sind Security Kommunikation im Extranetz unterliegt einer strengen Reglementierung Hinweise unter: InfoSec Regelwerk Informationen sind Sicherheitsklassen zugeordnet. Public (Sicherheitsstufe 0) Internal Use (Sicherheitsstufe 1) Confidential (Sicherheitsstufe 2) Strictly Confidential (Sicherheitsstufe 3) Der Site / Information-Owner ist für die korrekte Einstufung einer Information verantwortlich. Die höchste verwendete Sicherheitsklassen regelt die Anforderungen an das Ablagesystem wie auch an das verwendete Authentifizierungsverfahren CIO IIP Lösung Das A&D WEB SSO System unterstützt die Verwaltung von unterschiedlichen Sicherheitsanforderungen durch unterschiedliche Authentifizierungsverfahren Das SSO Rollenmanagement unterstützt Verwaltung von stark authentifizierten Rollen Sharepoint Extranetz unterstützt die Einrichtung von stark authentifizierten Informationsbereichen (*) * GJ 2009 Page 14 Rolf Matthaei, I IA CIO IIP Author Siemens AG Group Änderungen / Region vorbehalten / Department

15 Security: Auswirkung der Schutzklasse im Extranetz Dokumenten-Schutzklassen entspricht Schutzklasse Authentifizierung Randbedingung Extranetz 0 Public keine - Ja 1 Internal Use schwach - Ja 2 Confidential stark Vertrag über elektronische (Ja)** Daten-kommunikation ti * 3 Strictly Confidential stark zusätzlich zu Schutzklasse 2 Anforderungen verschlüsselte Ablage der Daten Nein -> Einstufungshinweise für Dokumentenklassifikation (Intranet) -> Weiterführende Informationen: InfoSec Regelwerk * Geschäftspartnervertrag oder ein vom VB DIS als gleichwertig akzeptierter Vertrag ** Nach Update auf Starke Authentifizierung Page 15 Rolf Matthaei, I IA CIO IIP Author Siemens AG Group Änderungen / Region vorbehalten / Department

16 Security: Abbildung der Authentifizierungs-Methoden Schwache Authentifizierung Jedes Anmelde-Verfahren, das sich ausschließlich auf Username und Password abstützt gilt als schwache Authentifizierung Starke Authentifizierung Starke Authentifizierung ist gekennzeichnet durch die Kombination von Wissen und Besitz Die starke Authentifizierung von WEB SSO erfordert zuerst eine schwache Authentifizierung. Die starke Authentifizierung erfolgt über Einmal-Passwort, das per SMS auf ein registriertes Mobile Phone übertragen wird Page 16 Rolf Matthaei, I IA CIO IIP Group / Region / Department Author Siemens AG Änderungen vorbehalten

17 SSO Rollenmanagement unterstützt die Verwaltung von stark authentifizierten Informationsbereichen SSO Rollenmanagement SSO Rollen können durch den zuständigen Administrator zur Verwendung in stark authentifizierten Informationsbereichen eingerichtet werden. SSO User können durch den zuständigen Administrator zur starken Authentifizierung befähigt werden. Das SSO Rollenmanagement stellt automatisch sicher, das in eine stark authentifizierten Rolle auch ausschließlich stark authentifizierbare User aufgenommen werden. Das SSO Rollenmanagement stellt sicher, das ein stark authentifizierter Anwender auch noch alle schwach authentifizierten Inhalte sehen kann. SSO Secure Role Handling SSO User Sharepoint_Chevron_ Customer_Reader SSO Standard Rolle Sharepoint_Chevron_ Customer_Reader_Secure SSO Secure Rolle AP 1 AP 2 Stark authentifizierbar i Schwach authentifizierbar Page 17 Rolf Matthaei, I IA CIO IIP Author Siemens AG Group Änderungen / Region vorbehalten / Department

18 Sharepoint Extranet unterstützt die Einrichtung von stark authentifizierten Informationsbereichen Sharepoint Berechtigungssystem Sharepoint Der Zugriffsschutz in Sharepoint erfolgt ausschließlich über Sharepoint Gruppen Schwach authentifiziert Stark authentifizierbare SSO Rollen haben ihre Entsprechung in 2 Sharepoint Gruppen. Eine davon trägt ein Postfix _Secure Rolf Die Secure Sharepoint Gruppe ist zum Zugriffsschutz für stark zu authentifizierende Informationen zu nutzen. Internal use Confidential Sharepoint Extranet stellt sicher, das auf derart geschützte Informationen nur nach starker Authentifizierung zugegriffen werden kann. Customer_Reader Stark authentifiziert Rolf Customer_Reader_Secure Internal use Confidential Customer_Reader Customer_Reader_Secure Page 18 Rolf Matthaei, I IA CIO IIP Author Siemens AG Group Änderungen / Region vorbehalten / Department

19 Security: Sharepoint Support für starke Authentifizierung Page 19 Rolf Matthaei, I IA CIO IIP Group / Region / Department Author Siemens AG Änderungen vorbehalten

20 Legality: Im Extranet wichtiger den je Legality Das Extranet ist ein rechtlich extrem sensibler Informationsraum. Dies betrifft insbesondere die Bereiche: Systemzugang Informations-Eigentum Netiquette Allgemeine Geschäftsbedingungen Spezielle Vertragsbeziehungen Für alle diese Belange gibt es entsprechende Festlegungen CIO IIP Lösung Konfigurierbare Policy erfordert für den erstmaligen Zugang die Bestätigung der AGBs für die Collaboration Extranet Plattform Site/Applikationsspezifische AGBs müssen vor dem erstmaligen Zugriff auf das entsprechende Extranetz vom Anwender bestätigt werden. (*) Das SSO Rollenmanagement stellt die Verwaltung für Sitespezifische AGBs bereit, die mehrsprachig abgelegt werden können Bei der Freischaltung der starken Authentifizierung für einen Anwender wird der entsprechende Siteowner, der für die Verfügbarkeit der Vertragsbeziehung verantwortlich ist, getrackt. Page 20 Rolf Matthaei, I IA CIO IIP Group / Region / Department Author Siemens AG Änderungen vorbehalten

21 Legality: Was ich sonst noch wissen muss Systemzugang Für jegliche im Extranetz veröffentlichte Information ist bekannt, wer auf sie zugreifen darf. Dies wird durch eine gezielte Registrierung des Anwenders erreicht. Diese kann durch Einladung per Mail, einen Link in einem öffentlichen Informationsbereich, Zusendung eines Links in einen geschlossenen Informationsbereich oder durch direkte Zuordnung eines Anwenders zu einer SSO Rolle ausgelöst werden. CIO IIP Lösung Das SSO Rollenmanagement unterstützt die Behandlung von Zugriffsanträgen, die über die unterschiedlichen Wege hinterlegt werden. Dabei werden Site spezifische Policies i unterstützt Manuelle Bewertung AutoAccept AutoDecline Site spezifische AGBs Abhängig von der Art der gewünschten Kommunikation benötige ich dafür noch eine entsprechende Vertragsbeziehung Page 21 Rolf Matthaei, I IA CIO IIP Group / Region / Department Author Siemens AG Änderungen vorbehalten

22 Legality: Was ich sonst noch wissen muss Informations-Eigentum Alle Informationen innerhalb des Extranetzes gehören dem SiteOwner Der SiteOwner ist verantwortlich für alle innerhalb seines Informationsbereiches hinterlegten Informationen, egal, ob sie von Siemensinternen Quellen oder externen Partnern kommen. Dieser Zusammenhang muss einem externen Partner im Rahmen von AGBs oder einem expliziten Vertrag kenntlich gemacht werden. CIO IIP Lösung Der Siteowner ist in der Lage, über das SSO- Rollenmanagement seine Site spezifischen Rollen zu erstellen und zu pflegen. Er kann einen externen Admin benennen und dessen Wirkungskreis definieren Er kann im SSO Rollenmanagement Site spezifische AGBs hinterlegen Der SiteOwner ist verantwortlich für die Zusammensetzung seiner Benutzergruppen, sowohl intern wie auch extern. Er kann, sofern das Extranetz nur einen externen Kunden/ Partner bedient die Tätigkeit auch an einen externen Admin delegieren. Page 22 Rolf Matthaei, I IA CIO IIP Author Siemens AG Group Änderungen / Region vorbehalten / Department

23 Legality: Was ich sonst noch wissen muss Vertragsbeziehungen CIO IIP Lösung Die Spielregeln in einem Extranetz werden eher durch explizite Verträge denn durch Siemens-interne Regelungen definiert. Die Regelungen der Netiquette erfolgen in den allgemeinen Nutzungsbedingungen, die Bestandteil jedes Seiten Fußes sind Sitespezifische AGBs, deren Annahme Voraussetzung für den Zugriff auf die angebotenen Informationen sind, müssen vom Anwender explizit bestätigt werden, bevor er Zugang zu den entsprechenden Informationen erhält. Für den Zugriff auf Dokumente der Sicherheitsstufe 2 (confidential) ist immer das Vorhandensein eines Vertrages erforderlich, das den Umgang mit derartigen Informationen regelt. Standard ist der Geschäftspartnervertrag der A&D Page 23 Rolf Matthaei, I IA CIO IIP Author Siemens AG Group Änderungen / Region vorbehalten / Department

24 Danke Sprechen Sie uns an: I IA CIO IIP Rolf Matthaei Rolf.matthaei@siemens.com A&D Portal Team portal.aud@siemens.com Siemens AG Änderungen vorbehalten