Iden%ty & Access Management: Das Rückgrat der Hochschul- IuK- Infrastruktur

Transkript

1 Iden%ty & Access Management: Das Rückgrat der Hochschul- IuK- Infrastruktur IntegraTUM Teilprojekt Verzeichnisdienst 24. September 2009 Dr. Wolfgang Hommel, Leibniz- Rechenzentrum

2 IntegraTUM IdenJty & Access Management Architektur Mehr als 50 dezentral betriebe Dienste Auth-VZD DFN-AAI Identity Provider Systemadministration Exchange NetApp Filer Bibliothek Sysadmin-VZD E-Learning Applikations-VZD Active Directory SAP HR TUMonline Meta-Directory HIS SOS 24. September 2009 IntegraTUM IdenJty & Access Management 2

3 Mehrwert durch die I&AM- Architektur Mehr als 50 dezentral betriebe Dienste Systemadministration Auth-VZD DFN-AAI Identity Provider Nur eine Kennung (Loginname und Passwort) für alle IT- Dienste im Umfeld der TUM Exchange NetApp Filer Bibliothek Sysadmin-VZD SAP HR TUMonline E-Learning Applikations-VZD Meta-Directory Active Directory Alle Dienste ab dem ersten offiziellen Tag an der TUM nutzbar HIS SOS Für die Benutzer Für die Verwaltung Stamm- /Kontaktdatenänderungen automajsch und schnell an alle IT- Dienste propagiert Für die Dienstanbieter 24. September 2009 IntegraTUM IdenJty & Access Management 3

4 Mehrwert durch die I&AM- Architektur Mehr als 50 dezentral betriebe Dienste Auth-VZD DFN-AAI Identity Provider Nur noch ein einziges verwaltungsexternes System mit Benutzerdaten zu versorgen Systemadministration Exchange NetApp Filer SAP HR HIS SOS TUMonline Bibliothek E-Learning Sysadmin-VZD Active Directory Applikations-VZD Meta-Directory Klare Zuständigkeiten durch Schni]stellenvereinbarung zwischen Verwaltung und technischem IdenJty Management Für die Benutzer Für die Verwaltung Für die Dienstanbieter Nahtlose IntegraJon in das Campus Management 24. September 2009 IntegraTUM IdenJty & Access Management 4

5 Mehrwert durch die I&AM- Architektur Mehr als 50 dezentral betriebe Dienste Auth-VZD DFN-AAI Identity Provider AutomaJsierung von Anlegen, Freischalten, Aktualisieren und Löschen von Kennungen Systemadministration Exchange NetApp Filer SAP HR HIS SOS TUMonline Bibliothek E-Learning Sysadmin-VZD Active Directory Applikations-VZD Meta-Directory Alle benöjgten Benutzerdaten im richjgen Format und aus einer einzigen, autoritajven, dauerhab verfügbaren Quelle Für die Benutzer Für die Verwaltung Für die Dienstanbieter Verringerter Supportaufwand (z.b. vergessene Passwörter) 24. September 2009 IntegraTUM IdenJty & Access Management 5

6 Design und ImplemenJerung Datenmodellierung pro Verzeichnisdienst: Personen, Gruppen, FunkJonskennungen, OrganisaJonsstruktur und Studiengangs- informajonen; ZugriffsberechJgungen Produkte: Novell edirectory und OpenLDAP Konnektoren zwischen I&AM- System und Quellen/Zielen: Uni- oder bidirekjonal, event- oder intervallgesteuert, Komple]- oder Delta- Transfer; Datenvolumen und - format Produkt: Novell IdenJty Manager (DirXML) 24. September 2009 IntegraTUM IdenJty & Access Management 6

7 Herausforderungen im Betrieb Unvollständige, in sich widersprüchliche oder veraltete Personendatensätze (Datenqualität) Zurücksetzen vergessener Passwörter, Registrieren von Gästen, Überprüfen von BerechJgungen (TUM IT Service Desk) Performance an SJchtagen zur Account- Freischaltung, IniJalabgleiche mit neuen Zielsystemen, ResynchronisaJon nach Ausfall 24. September 2009 IntegraTUM IdenJty & Access Management 7

8 Sicherheit und Datenschutz IntegraJon ins LRZ- Serverbetriebskonzept (Zutri]skontrolle, OS- Updates, Patch- Management,...) LDAP Access Control Lists (ACLs) LDAP- Zugriff bevorzugt im User- Kontext (ohne Proxy- User) Datensparsamkeit: Auslieferung nur wirklich benöjgter Benutzerdaten ans jeweilige Zielsystem Verfahrensbeschreibungen, Zusammenarbeit mit TUM Datenschutzbeaubragtem und Gesamtpersonalrat Selbstauskunb über TUMonline 24. September 2009 IntegraTUM IdenJty & Access Management 8

9 Mehr als nur Technik IntegraJon in die Hochschulprozesse Individuelle Unterstützung bei der DiensJntegraJon Erfahrungsaustausch und KooperaJonen mit anderen europäischen Hochschulen IntegraJon der ThemaJk in Lehrveranstaltungen, wissenschabliche Arbeiten 24. September 2009 IntegraTUM IdenJty & Access Management 9

10 Ziele für die Weiterentwicklung Flächendeckender Rollout Anbindung aller Fakultäten an die Verzeichnisdienste zur SystemadministraJon IntegraJon weiterer dezentraler IT- Dienste Münchenweite Prozesse Durchgängige DatensynchronisaJon mit dem LRZ IdenJty Management Gezielte Unterstützung hochschulübergreifender Studiengänge Ausbau von Single Sign- On und DFN- AAI- Nutzung Shibboleth- Anpassung weiterer zentraler und dezentraler Dienste Öffnung ausgewählter Dienste für externe Nutzer 24. September 2009 IntegraTUM IdenJty & Access Management 10