Identity Manager. Benutzer- und Identita tsverwaltung fu r SAP- und nicht SAP Systeme

Transkript

1 Identity Manager Der Identity Manager ist Bestandteil unseres Softwarepakets SUIM-AIM und wurde von SAP zerti iziert. Benutzer- und Identita tsverwaltung fu r SAP- und nicht SAP Systeme

2 Big Picture Der Identity Manager (IM) ist ein zentrales User Management System. Der Identity Manager bildet alle relevanten Prozesse des User Managements ab. Dazu geho - ren: Identita t anlegen Mutationen durchfu hren Eigenschaften (Feldwerte) der Identita t p legen Identita t sperren / entsperren Gu ltigkeiten setzen / a ndern Passwort Management Reconciliation Diese Aktionen erfolgen zentral durch einen Antrag im IM. Daraus erfolgt eine Verteilung der Daten auf die gewu nschten Zielsysteme. Die Identita ten werden auf unterschiedlichen Systemen nach de inierten Regeln (Mapping) und Kundenprozessen laufend synchronisiert. Das Mapping de iniert, welches System fu r welchen Parameter unter welchen Bedingungen der Master ist. Der Beantragungs- und Genehmigungsprozess einer Identita t kann durch einen Work low unterstu tzt werden. Papierformulare werden deshalb u ber lu ssig. Der Work low bildet die Grundlage fu r eine mo gliche Dezentralisierung des User Managements. Dank der Integration von Access Manager/Access Manager for Support Organisations kann die Berechtigungsvergabe an Fach- und CC SAP User ebenfalls zentral erfolgen. Dank der Integration von Compliance Enforcer ko nnen vorde inierte Risiken der SAP Benutzer aus sa mtlichen Systemen gepru ft werden. Dem User Administrator stehen umfassende Auswertungsfunktionen und Administrationsprogramme zur Verfu gung.

3 Highlights IM Modularita t nach Organisation Das Unternehmen kann in beliebige Unterorganisationen gesplittet und verwaltet werden. Jede Unterorganisation hat ihre eigene Kapselung (erlaubte Feldwerte, eigene Prozesse, eigene Regeln, eigene Verantwortliche, eigener Identita tsstamm). Bei Identita tswechsel von einer Organisation in eine andere werden automatisch die Standardwerte (Drucker, Rechte, etc.) der neuen Organisation zugeordnet. IM Prozess Integration (API) Mittels vorde inierter Schnittstellen und Ereignisse lassen sich die kundeneigenen Wu nsche und Prozesse innerhalb des Identita tsmangements pro System de inieren. Was wird bspw. bei einem Austritt angestossen? Welche Identita ten (SAP-Benutzer, Business Partner, Zentrale Personen) werden beein lusst bei einer Mutation? IM Metadirectory Mit Hilfe des Metadirectory kann man beliebige Attribute, Langtexte, Bina rdaten und Anha nge in einer Identita t de inieren und verknu pfen. Diese Attribute ko nnen innerhalb der API s verwendet werden. IM Customizingwizards Ein einfacher und strukturierter Customizing-Leitfaden wird mitgeliefert. Damit lassen sich die Organisationen, die Mapping-Regeln sowie die API-Prozesse individuell de inieren. IM HR Trigger/Integration Durch die HR-Ereignisse kann man Stammdaten der Identita t automatisch aus dem HR u bernehmen. Merkmale wie Ein-, Aus und U bertritt oder Namensa nderungen ko nnen automatisch einen Ein luss auf den Benutzerstamm haben. IM Active Directory/Drittprodukte Integration Mit Hilfe des LDAP-Connectors kann man ein oder mehrere Active Directories mit dem IM verbinden. Gewu nschte Attribute des AD s ko nnen gelesen oder auch verwaltet werden. Drittprodukte wie bspw. Lotus Notes ko nnen mittels Connector angebunden werden. IM Work lows und Rekonziliation Das IM stellt einen zentralen Antrag zur Verfu gung. Echte oder getriggerte A nderungen ko nnen mittels Work low bewilligt werden. IM Historie Durch die zentrale Verwaltung steht immer eine systemweite Antrags und A nderungs-historie bereit. IM Integration von AM, AMSO und CE IM ermo glicht die Integration des AM und des AMSO direkt in einen Identita tsantrag. Durch diese Integration werden die vorde inierten Berechtigungsprozesse unterstu tzt. Durch die Compliance Enforcer Integration ko nnen vorde inierte Risiken und SoD-Regeln systemweit pro Identita t gepru ft werden.

4 Identity Manager: Funktionale U bersicht Identita tsantrag Der IM Antrag ermo glicht eine dezentrale Administration der Benutzer mit der Option, einen oder mehrere Bewilligungs- und Qualita tssicherung-schritte durchzufu hren, bevor ein Benutzer auf einem System angelegt oder modi iziert wird. Mit Hilfe des IM-Antrags kann man den aktuellen Stand (Existenz, Sperrung, Status, Attribute,..) eines Benutzers auf einer U bersichtsmaske der gesamten Systemlandschaft einer IM-Organisation sehen. Hauptfunktionen Benutzera nderungen beantragen: - Auswahl der Benutzer Attribute (Name, Firma, gewu nschte Systeme usw.) sowie der gewu nschten Aktion (anlegen, sperren, Passwortreplizieren usw.) - Verteilung des Antrags; bzw. Verteilung des Antrags nach Bewilligung Benutzernamen ko nnen entsprechend einer de inierten Namenskonvention der IM-Organisation gepru ft werden. Risiko/SoD Verletzungen der SAP Benutzer pro System direkt im IM pru fen Beantragen und Verteilen der Access Manager/Access Manager for Support Organisations-Berechtigungen Actionlog: Anzeige der A nderungsbelege sowie des Anwendungslogs der gewa hlten IM-Identita t. IM nutzt zu diesen Zweck die umfangreichen Risiko und SoD-Pru fungsmechanismen des Compliance Enforcers. Die im Compliance Enforcer de inierten Regeln und Risiken stellen sicher, dass ein potentielles Risiko erkannt wird. IM generiert im Risikofall eine Work low- Message, welche an den zusta ndigen Entscheider weitergeleitet wird.

5 User Lifecycle: IM-Work low IM-Standardantragsprozess Im optionalen Standardprozess wird der Work low angestossen, wenn der Super User einen Antrag fu r einen neuen Benutzer stellt. Im Eingangskorb des Vorgesetzten erscheint der Antrag fu r die neue Mitarbeiterin. Er pru ft den Antrag und erga nzt mo glicherweise die Angaben. Durch das Sichern wird der Antrag freigegeben. Das Workitem verschwindet aus dem Eingangskorb. Je nach Customizing-Einstellungen vergibt der Vorgesetzte gleichzeitig die beno tigten Rechte im integrierten Access Manager. Die Mitarbeiterin verfu gt jetzt u ber ein Mail mit sa mtlichen Accounts der verschiedenen SAP und Non-SAP-Systemen sowie den generierten Initialpasswo r- tern.

6 IM Customizing Organisatorische Kapselung IM kann die organisatorische Kapselung vollsta ndig auf unterschiedliche Bedu rfnisse in Ihrer Unternehmung anpassen. Die Einteilung ist anhand unterschiedlich kombinierbarer Parameter, wie Abrechnungsnummer oder Personalteilbereich mo glich und erlaubt eine pra zise Abbildung der organisatorischen Realita t. Durch die vollsta ndige Unterstu tzung der Organisationsabha ngigkeit von IM kann die Benutzeradministration problemlos dezentral erfolgen und somit die zentralen Dienste entlasten. Mapping Regeln Mit Hilfe des IM-Kontext-De initions-wizzards erlaubt IM Attribute von unterschiedlichen Anwendungen zu verknu pfen. Dies ist die Grundaufgabe eines Abgleichmechanismus, um die Konsistenz aller Attribute einer Identita t sicher zu stellen. Das Vorgehen fu r die Verteilung der Identita t wird im Kontext jedes Attributes de iniert. Zum Beispiel wird das Attribut Vorname aus dem HR-System (Infotyp 0002) ins IM importiert (Feld CIM-FIRST_NAME). Dieses wird auf die angeha ngten SAP Systeme (Feld ADDR -NACHN) exportiert und als Vorschlagswert ins Active Directory (Feld given_name) geschrieben. Diese De inition wird fu r jedes gewu nschte Attribut durchgefu hrt. Mit dieser Philosophie ist es mo glich, das IM nicht das Zentralsystem fu r jedes Attribut werden muss. Bei einigen Attributen macht es Sinn, den Lead einem bestehenden System zu u berlassen. IM gewa hrleistet damit, dass alle verwalteten Attribute auf dem neusten Stand bleiben. IM wird aber sicherstellen, dass spezi ische Attribute konsistent in der Gesamtsystemlandschaft bleiben.

7 Reorganisation und Qualita tsmanagement der Benutzerattribute Durch Projektrollouts, Reorganisationen, Fusionen oder U bernahmen ko nnen in der Benutzeradministration grosse Aufwa nde entstehen. Diese sind als kritisch fu r den Erfolg des Vorhabens einzustufen. IM stellt fu r derartige Massenverarbeitungen hochef iziente Werkzeuge zur Verfu gung. Qualita tsmanagement und Konsistenzpru fung der Benutzer Die IM-Reconciliation und Massenverteilung generiert alle Benutzer, unter Beru cksichtigung der im IM-Customizing de inierten Struktur und Organisationselemente, ohne manuellen Aufwand. Drei Reconciliationtrigger sind verfu gbar; SAP, HR und Active Directory Reconciliation. Jeder dieser Trigger kann durch den IM-Kontextde initionswizzard und die Implementation von kundeneigenen Methoden, individuelle Prozesse des Kunden abdecken. Das Massenverteilungsprogramm kann die Identita ten auf alle gewu nschten Zielsysteme verteilen. Ein systemu bergreifender Vergleich der SAP-Benutzer ermo glicht einen U berblick des Ist-Standes (inkl. letzter Anmeldung, Status des Passworts, Status der Sperrung usw.) der Benutzer. Firmenadresse systemweit replizieren Durch ein IM-Administrationsprogramm kann man den Stand und die Existenz der Firmenadresse systemweit pru fen und verteilen. Benutzergruppen systemweit replizieren Durch ein IM-Administrationsprogramm kann man den Stand und die Existenz der Benutzergruppen und Kurztexte systemweit pru fen und verteilen. System im IM integrieren / entfernen Die Systemlandschafen und Organisationen eines Kunden a ndern sich sta ndig. System Verwendungsnachweise sowie Wizzards ermo glichen es, ein System einfach in das IM-Customizing zu integrieren. Wizzards ermo glichen auch, IM-Organisationen in der gesamten Identity Management Lo sung zu integrieren oder zu entfernen.

8 unsere Softwareprodukte Unsere Softwareprodukte sind Zusatzmodule fu r SAP. Wir fokussieren auf Governance, Risk & Compliance (GRC), User- & Identity Management (UIM) und IT Service Management (ITSM). Das GRC wird durch unsere Werkzeuge sowohl im Bereich Access Control als auch im Bereich Process Control unterstu tzt. Neben dem Risk Management stellen wir auch das Access - und Emergency Management sowie die Compliance sicher. Unsere UIM Werkzeuge decken das Identity Management, das User Login und die Netzwerksicherheit ab. Im Bereich ITSM unterstu tzen wir vom Service Design u ber die Kalkulation, die Vereinbarung und das Reporting bis zur Verrechnung alle kundenorientierten Prozesse. Die typischen Anwender sind externe und interne Revisoren, IKS- und Prozessverantwortliche, IT-Organisationseinheiten und Shared Services Centers. Patrick Tambourgi Geschäftsführer SUIM «Die Anforderungen im Bereich Sicherheit sind komplex. Halbe Lösungen führen nicht ans Ziel». Lutz Kengelbacher Geschäftsführer ormeko «Effektivität und Effizienz sind die Ursachen, tiefere Kosten und höhere Qualität sind die Wirkungen unserer Lösungen». Heini Schmid Geschäftsführer HSMD «Angesichts von Hindernissen mag die kürzeste Linie zwischen zwei Punkten die krumme sein». Zitat Galilei unsere Zusammenarbeit Die Auswahl der Partnerunternehmen unterliegt klaren Richtlinien. Neben ausgezeichneten und sehr leistungsorientierten Mitarbeitern, muss jede Unternehmung eine eindeutige und eigene strategische Fokussierung aufweisen. Entscheidend ist deren Unique Selling Proposition. Diese notwendige Einzigartigkeit gestattet es uns, echte Synergien zu generieren und unser Wachstum auf langfristigen Erfolg auszurichten. Mirjam Stalder Projektleiterin CCE AG «Zusammenkunft ist ein Anfang. Zusammenhalt ist ein Fortschritt. Zusammenarbeit ist der Erfolg». Zitat Henry Ford SUIM LTD Eigentümer & Beratungspartner Chemin du Marguery Corseaux, Switzerland info@suim.ch ormeko GmbH Vertriebspartner & Beratungspartner Kublystrasse St.Gallen Switzerland info@ormeko.ch HSMD GmbH Entwicklungspartner Kreuzstrasse Romanshorn Switzerland info@hsmd.ch CCE AG Beratungspartner Neumattstrasse 5A 3422 Rüdtlingen Switzerland info@cce-ag.ch Version _01 Status freigegeben