Identity Rights Management System Produktübersicht Version 1.2

Transkript

1 Identity Rights Management System Produktübersicht Version 1.2

2 Die Angaben in dieser Präsentation sind unverbindlich und stellen weder Garantien noch Beschaffenheitszusagen oder -vereinbarungen dar. Ansprüche irgendwelcher Art, insbesondere Mängelansprüche, können hieraus nicht hergeleitet werden. Verbindlich sind nur die Vereinbarungen in den Dienstleistungs-, Verkaufs-, Liefer- und Lizenzbedingungen der qp42 DATA GmbH. Änderungen, die der technischen Weiterentwicklung dienen, bleiben vorbehalten. Die vorliegende Präsentation ist urheberrechtlich geschützt. Jede Bearbeitung, Weitergabe oder Vervielfältigung bedarf der schriftlichen Zustimmung der qp42 DATA GmbH. Kennzeichen und Logo der qp42 DATA GmbH sind eingetragene Marken. Ihre Nutzung ist ohne Zustimmung des Unternehmens nicht erlaubt. Alle übrigen Namen und Bezeichnungen können als Marke oder anderweitig geschützt sein und unterliegen den Rechten des jeweiligen Inhabers. Produkte anderer Hersteller, die in diesem Dokument genannt werden, unterliegen den Schutzrechten der jeweiligen Inhaber und sind mit einem gekennzeichnet. Produkte von qp42 DATA basieren auf Software und vorgeschriebenen Softwarestandards von Microsoft, sind aber weder im Auftrag noch in Zusammenarbeit mit Microsoft entwickelt worden. Microsoft und Windows sind eingetragene Marken von Microsoft Corporation, Inc. Stand: qp42 DATA GmbH Düppelstrasse Kiel Deutschland Kiel, im Dezember 2009 qp42 DATA GmbH 2009 Seite 1

3 Inhalt: 1 Prolog IRMS im Überblick Grundlagen Entitäten Verfahren Daten Berechtigungen Technische Übersicht Aufbau Datenanlieferung Auswertung Workflow Funktionalitätserweiterung des Basismoduls Berechtigungsänderungen Workflow-Steuerung Rollenmodellierung Automatisierte Einrichtung in Anwendungen...16 qp42 DATA GmbH 2009 Seite 2

4 1 Prolog Moderne Unternehmen arbeiten mit zahlreichen Computer-Programmen, deren Verwaltung oftmals kompliziert ist und Kapazitäten bindet. Benutzer müssen eingerichtet und entsprechende Zugriffsberechtigungen beantragt, erteilt, erweitert und permanent auf einem möglichst aktuellen Stand gehalten werden. Dabei gilt es zudem, Sicherheitsrisiken durch nicht gelöschte Benutzer und zuviel erteilte Berechtigungen sowie unerlaubte Zugriffe zu vermeiden. Das qp42 DATA Identity Rights Management Systems (IRMS) bietet eine übergreifende, automatisierte Lösung für diese komplexen und arbeitsintensiven Probleme. IRMS ist ein Client Server-System, das eine Gesamtübersicht über alle in Ihrem Unternehmen eingerichteten Benutzer und deren Zugriffsberechtigungen in den meisten Anwendungen bereitstellt.dabei zentralisiert IRMS eine Vielzahl von Schritten, von der Benutzerbeantragung über die Erteilung von Berechtigungen, bis hin zu den immer wieder anfallenden Änderungen von Zuordnungen, die bislang einzeln und häufig unabhängig voneinander und damit mit einem enormen administrativen Aufwand realisert werden mussten. Dazu setzt IRMS ein rollenbasiertes Modell ein, das systemübergreifende und standardiserbare Berechtigungszusammenfassungen für die Rechtevergabe ermöglicht. IRMS organisiert die Benutzerverwaltung und kontrolliert alle mit der Vergabe und der Verwaltung von Berechtigungen zusammenhängenden Arbeitsabläufe. Dabei ist eine Integration der meisten in einem Unternehmen vorhandenen Anwendungen schon im Rahmen der Einführung komplikationslos möglich. Das Programm arbeitet auf Basis von Microsoft Technologien und ist mit einer Vielzahl anderer Systeme kompatibel. Abgerundet wird der Leistungskatalog von IRMS durch Risikominimierung, automatisierte Risikoanalysen sowie umfangreiche Dokumentations- und Reportingmöglichkeiten. Die wichtigsten Aspekte dieser Rationalisierung sind Transparenz, schnelle Übersichten, sichere Abläufe und zuverlässige Resultate. IRMS sorgt in jeder Funktion für Zeit- und damit Kosteneinsparungen. Dabei werden gesetzliche Anforderungen wie Basel II, SOX und KontraG ebenso erfüllt wie interne Revisionsvorgaben. Die vorliegende Übersicht bietet eine Einführung in die umfangreichen Möglichkeiten dieser neuartigen Lösung für das Identity und Access Management. Detaillierte Informationen, die über diese kurze Darstellung hinausgehen, können der technischen Referenz entnommen werden. qp42 DATA GmbH 2009 Seite 3

5 2 IRMS im Überblick Das qp42 Identity Rights Management System (IRMS) bietet durch den Einsatz seiner drei Module qp42 mine, qp42 flow und qp42 role eine zielsystemübergreifende Übersicht aller Berechtigungen die Möglichkeit, Sicherheitsrisiken durch nicht gelöschte Benutzer oder zuviel erteilte Berechtigungen zu vermeiden Auswertungsmöglichkeiten zur Reduzierung von Lizenzkosten einen Workflow zur Vermeidung langer Durchlaufzeiten bei der Beantragung und Erteilung von Berechtigungen eine Aufwand-Minimierung und zentralisierte Steuerung bei der Einrichtung von Berechtigungen eine Lösung, um die Historie von erteilten Berechtigungen nachzuvollziehen die Modellierung von standardisierten systemübergreifenden Berechtigungsrollen Durch seinen modularen Aufbau kann die Einführung des IRMS im Unternehmen schrittweise erfolgen. Das Basismodul qp42 mine, das die Grundlage für die Umsetzung eines Identity und Rights Management Systems bildet, wertet die Berechtigungen aus und sorgt für die Zusammenführung von Stammdaten und Berechtigungen aus den Anwendungen die Darstellung einer Gesamtübersicht aller Berechtigungen Kontrolle der Berechtigungsvergabe durch Klassifizierung der Berechtigungen und der Personen in einem dreistufigen Vertrauensmodell die Erstellung von Reports. Mit der erstmaligen Möglichkeit, eine Gesamtübersicht der vergebenen Berechtigungen pro Mitarbeiter zu erhalten, und der Option zur Erstellung von Reports kann gemeinsam mit den Verantwortlichen im Unternehmen eine Bereinigung der Berechtigungen realisiert werden. Durch einen regelmäßigen Import wird die Veränderung von Berechtigungen dokumentiert und revisionssicher archiviert. Durch das Basismodul qp42 mine werden außerdem inaktive Benutzer mit Berechtigungen erkannt Sicherheitsrisiken durch nicht genutzte Accounts oder unangemessene Berechtigungen vermieden und Lizenzkosten unter Umständen minimiert. qp42 DATA GmbH 2009 Seite 4

6 Erweitert um das Workflowmodul qp42 flow besteht die Möglichkeit einer Prozessoptimierung bei der Beantragung von Berechtigungen. Darüber hinaus wird damit die Beantragung und eine eventuell notwendige mehrstufige Genehmigung sowie die Einrichtung in jedem Schritt nachvollziehbar eine automatisierte Steuerung der verfügbaren Berechtigungen basierend auf der Vertrauensstufe des Mitarbeiters ermöglicht Eine Notfall Deaktivierung sämtlicher User-IDs eines Mitarbeiters in allen angeschlossenen Systemen bereitgestellt die Revisionssicherheit durch flexible Genehmigungsstufen gewährleistet und die Nachvollziehbarkeit von Veränderungen gewährleistet. So wird die Antragsbearbeitung zeitsparend unter gleichzeitiger Einhaltung des Genehmigungsverfahrens und der revisionssicheren Nachvollziehbarkeit im Unternehmen abgewickelt. Das Rollenmodul qp42 role vervollständigt das qp42 Identity Rights Management System und bietet die Möglichkeit einer flexiblen, zielsystemübergreifenden Modellierung standardisierter aufgabenbezogener IRMS Rollen Zuweisung gebündelter Anwendungsberechtigungen. Die Beantragung von Berechtigungen erfolgt nicht mehr auf Basis von anwendungsbezogenen Einzelzulassungen, sondern durch die Zuweisung von standardisierten Rollen. Die hier dargestellten Punkte sind nur ein Auszug aus den breiten Funktionen des Produktes. Daneben stehen umfassende Reporting- und Dokumentationsmöglichkeiten zur Verfügung. So gibt es Optionen für die Zentralisierung der Benutzerdaten überprüfbare und definierte Berechtigungsstrukturen die Ermittlung kritischer Berechtigungen die Durchführung von Risikoanalysen. Die mit dem qp42 IRMS automatisierten Prozesse eliminieren potenzielle Fehlerquellen bei der Einrichtung steigern die Effizienz und Effektivität bei der Beantragung und Vergabe von Berechtigungen senken die Kosten durch Minimierung des administrativen Aufwands. Somit ist das qp42 IRMS eine umfassende und ganzheitliche Lösung für das Identity und Access Management - von der Auswertung der Berechtigungen über deren Beantragung bis zur Modellierung von aufgabenbezogenen Berechtigungsrollen. qp42 DATA GmbH 2009 Seite 5

7 Durch das Zusammenspiel aller Module wird die Sicherheit im Unternehmen erhöht und Lizenzkosten können aufgrund der Analysemöglichkeiten minimiert werden. 3 Grundlagen 3.1 Entitäten Im Wesentlichen Mitarbeiter des Unternehmens, externe Beschäftigte sowie bei Bedarf auch Kunden oder Maschinen, die Berechtigungen benötigen. Die notwendigen Identifizierungen werden über die Stammdaten angeliefert. Benutzer, User ID oder Konto: Ein User in einer Anwendung. Dem Benutzer werden die Berechtigungen in der Anwendung zugeordnet. Personalisiertes Konto: User ID, die einer Identität zur eigenen Verwendung zugeordnet ist. Funktionsuser Konto: Wird zur Verwendung von mehreren Identitäten eingerichtet (Schulung, Auskunftssysteme). Diese Kontenart wird immer einem Verantwortlichen zugeordnet und ist daher eine Sonderform des personalisierten Kontos. Unterschied: Funktionsuser Konten können im Gegensatz zu personalisierten Konten per Antrag auf einen anderen Verantwortlichen übertragen werden. Dienstkonto: User ID, die zur technischen Verwendung eingerichtet ist (Anmeldung von Services/Daemons, technischer User für den Clientzugriff vor der Authentisierung, Batchjobs). 3.2 Verfahren Vertrauensmodell: Das Vertrauensmodell stellt eine Funktionalität zur zusätzlichen Kontrolle und Steuerung der Berechtigungsvergabe bereit. Treibender Faktor dafür sind die Compliance Anforderungen an ein Unternehmen. Der Identität wird bei Anlieferung eine von drei Vertrauensstufen zugewiesen oder aus dem Stammdatensystem übernommen. Bei den Berechtigungen wird eine Risikostufe hinterlegt, der diese Berechtigung einer Vertrauensstufe zuordnet. Aufgrund der nun vorhandenen Informationen kann IRMS Verletzungen basierend auf der Vertrauensstufe anzeigen bzw. im Workflow bei der Berechtigungsvergabe verhindern. qp42 DATA GmbH 2009 Seite 6

8 3.3 Daten Anwendung: Software auf einem oder mehreren Servern bzw. Datenbanken, die eine eigene Berechtigungsverwaltung besitzt. Windows ADS ist in diesem Kontext z.b. eine Anwendung. Stammdaten: Informationen zu Identitäten. Diese Daten kommen vornehmlich aus Personalanwendungen wie unter anderem SAP HR, ATOSS Staff Efficiency Suite, Lexware Lohn Office. Es kann sich im einfachsten Fall um eine manuell gepflegte Tabelle als Datenquelle handeln. Anwendungsdaten: Anwendungsdaten beinhalten Informationen wie User IDs und Berechtigungen sowie deren Zuordnungen. 3.4 Berechtigungen In den Anwendungen werden unterschiedliche Bezeichnungen für Berechtigungen verwendet. Es können eine oder mehrere Berechtigungsarten zur Verfügung stehen. Für IRMS ist eine Berechtigung immer das Objekt in einer Anwendung, welches dem Benutzer zugewiesen wird. Sie werden in diesem Dokument auch als Berechtigungsknoten oder Konzentrationspunkte für Berechtigungen bezeichnet. In Windows werden beispielsweise Dateiberechtigungen nicht direkt den Benutzern zugewiesen, sondern in Gruppen mit aussagekräftigen Namen zusammengefasst. Beispielhaft werden hier einige Bezeichnungen und Informationen aufgeführt. Gruppe: Eine User-ID wird einer Gruppe hinzugefügt, um die an die Gruppe vergebenen Berechtigungen zu erhalten. Beispiele: Globale/Universalgruppen in Microsoft Windows ADS, Gruppen in IBM Lotus Notes. Gruppen können wiederum andere Gruppen enthalten (Gruppenverschachtelung). Profil: Profile werden z.b. in SAP als Einzelberechtigungen zur Verfügung gestellt, die Benutzern zugewiesen werden können. Rolle: Rollen sind z.b. in SAP Sammlungen von Profilen, um dem Benutzer nicht die Profile einzeln zuordnen zu müssen. Sie sind vergleichbar mit der Gruppenverschachtelung. Der Begriff Rolle wird auch im IRMS verwendet, darf aber mit den hier beschriebenen Rollen nicht verwechselt werden. qp42 DATA GmbH 2009 Seite 7

9 IRMS-Rolle IRMS Rollen sind die Objekte für die Berechtigungsvergabe gemäß dem Standard für RBAC (ANSI INCITS , Role Based Access Control) Es werden drei grundsätzliche Rollen verwendet: Elementarrecht (ER) als Verbindungsglied zur Berechtigung in den Anwendungen und Steuerelement Technische Rolle (TR) zur Erstellung von administrativ bedingten Zusammenfassungen von ER Organisatorische Rolle (OR) zur Erstellung von organisatorisch bedingten Zusammenfassungen von ER, TR und bei Bedarf anderen OR (Verschachtelung) Weitere Berechtigungsarten (Beispielaufzählung): Lizenzen Codifier Kombinationen von Instituts und Abteilungsbezeichnungen 4 Technische Übersicht 4.1 Aufbau IRMS ist ein Client Server System, das auf Datenbanken aufsetzt. Die Datenbanken werden zentral auf einem oder mehreren Servern zur Verfügung gestellt. Die Benutzer greifen über eine Client Komponente von ihren Arbeitsstationen auf IRMS zu. IRMS besteht aus drei aufeinander aufbauenden Modulen mit jeweils eigener Datenbank: 1. Basismodul qp42 mine 2. Workflow Modul qp42 flow 3. Rollenmodul qp42 role Bei verteiltem Einsatz auf mehreren Servern ist das Basismodul der zentrale Zugriffspunkt für die IRMS Clients. Als weiteres Ausbauelement wird die automatisierte Einrichtung der beauftragten und genehmigten Berechtigungsänderungen angeboten. Diese Funktionalität ist abhängig von der Schnittstelle der einzubindenden Anwendungen. qp42 DATA GmbH 2009 Seite 8

10 4.2 Datenanlieferung Abbildung 1: IRMS -Aufbau Zur Integration des IRMS müssen Stammdaten, die allgemeine Informationen zu den Identitäten des Unternehmens wie Namen (bei Personen Vor- und Nachname) sowie Abteilung enthalten, und Anwendungsdaten, die die Berechtigungsinformationen liefern, bereitgestellt werden. Dies kann auf drei Arten erfolgen: 1. Anbindung über eine verfügbare Schnittstelle (API 1 ): IRMS liest z.b. über LDAP die Informationen direkt aus der Anwendung aus. 2. Sicht: Die Information wird aus einer Datenbank Anwendung vom IRMS über den Zugriff auf eine definierte Schnittstelle abgeholt. (View/Sicht und technischer User mit entsprechender Leseberechtigung) 3. Datei: Die Information wird aus der Anwendung in eine Textdatei exportiert und IRMS zum Import per Dateitransfer zur Verfügung gestellt. IRMS stellt die oben beschriebenen Schnittstellen als Standard zur Verfügung. Die Integration der meisten im Unternehmen vorhandenen Anwendungen ist damit im Rahmen der Einführung problemlos möglich. 1 API: Application Programming Interface, Programmierschnittstelle qp42 DATA GmbH 2009 Seite 9

11 4.3 Auswertung Funktion: Zuordnung der personalisierten Konten zu den Identitäten. Anzeige der Berechtigungen und User-IDs der Identitäten. Nach der Implementierung des Vertrauensmodells Anzeige von nicht adäquaten Berechtigungen Anzeige von nicht personalisierten Konten und deren Berechtigungen. Anzeige von Benutzern, die nicht Identitäten zugeordnet werden können sowie ausgeschiedener Identitäten mit aktiven User IDs und Berechtigungen (Bereinigung). Archivierung von Benutzer Zuordnungen und Berechtigungen. IRMS importiert die Stammdaten (Identitäten im Unternehmen) und Anwendungsinformationen (User IDs und Berechtigungen) in definierbaren Intervallen über Schnittstellen. Den neuen Identitäten wird eine von drei Vertrauensstufen zugewiesen oder aus dem Stammdatensystem übernommen. Die Vertrauensstufe kann einer bestehenden Identität im IRMS entzogen werden. Anschließend werden die verschiedenen User IDs den Identitäten zugeordnet. Abbildung 2: Userzuordnung Die Zuordnung findet primär durch den Abgleich von Namen und Vornamen der Identitäten aus den Stammdaten mit den Angaben aus den Anwendungsdaten statt. Zusätzlich können weitere automatische Zuordnungsmechanismen genutzt werden. So kann z.b. in einem zweiten qp42 DATA GmbH 2009 Seite 10

12 Schritt die User ID von Windows als primäre ID definiert werden, um die Zuordnung aus anderen Anwendungen mit gleicher User ID zu unterstützen. Nicht personalisierte Konten werden entweder manuell einer Identität zugeordnet (Verantwortlicher für das Konto) oder als Dienstkonto markiert. Bei Nutzung des Basismoduls werden die eingelesenen Berechtigungsinformationen aus den Anwendungen bei jeder Neuanlieferung aktualisiert. Dabei erfolgt kein Abgleich mit dem bisherigen Stand im IRMS, sondern ein Überschreiben der bisherigen Informationen bei gleichzeitiger Archivierung der Altdaten. Auf diese Weise kann schnell und einfach der aktuelle Stand der Berechtigungen dargestellt werden. Die angelieferten Berechtigungen aus den Anwendungen werden als Elementarrechte bereitgestellt. Sie entsprechen dem Berechtigungsknoten in der integrierten Anwendung, z.b. Windows Gruppen oder SAP Rollen. Nach Implementierung des Vertrauensmodells werden vergebene Berechtigungen gegen die Vertrauensstufe der Identität überprüft und fehlerhafte Vergaben angezeigt Es ist zusätzlich eine Analyse von sich ausschließenden Berechtigungen möglich. Dazu stehen zwei Einträge in den Elementarrechten zur Verfügung: Ausschluss von Berechtigungskombinationen (Vergabe in Kombination mit anderen Elementarrechten) Risikoeinstufung der Berechtigung mit drei Eintragsmöglichkeiten Abbildung 3 Elementarrechte Auswertung Diese Einträge werden von den Administratoren der Anwendung gepflegt. Aufgrund dieser Zuordnung und Aktualisierung stellt IRMS die Berechtigungen und Änderungen der User IDs bezogen auf die Identität dar. Damit ist eine anwendungsübergreifende Berechtigungsanalyse und Kontrolle möglich. qp42 DATA GmbH 2009 Seite 11

13 4.4 Workflow Funktion: Bereitstellung einer standardisierten Beauftragung für Berechtigungen (User Provisioning) Automatisches Erstellen von Aufträgen bei definierten Änderungen Kontrolle der Berechtigungsänderungen und Warnung bei nicht genehmigten Änderungen in Anwendungen Verhinderung der Vergabe von Berechtigungen, die ein Mitarbeiter aufgrund seiner Vertrauensstufe nicht erhalten darf Schnelle und automatisierte Deaktivierung aller User-IDs eines Mitarbeiters (Notfall Deaktivierung) Information der Beteiligten Archivierung von Aufträgen Der Standard Workflow besteht aus mehreren Schritten: 1. Änderungsbeauftragung (z.b. durch den Abteilungsbeauftragten) 2. Genehmigung der Änderungen (z.b. durch den Abteilungsleiter) 3. Durchführung der Änderung in der Anwendung durch den Administrator und automatische Benachrichtigung des Auftraggebers der Änderung. Bei festgelegten unternehmenskritischen Änderungen in den Stammdaten oder Berechtigungen wird die Beauftragung umgangen und die Änderung sofort durchgesetzt. Ein Beispiel hierfür ist der Entzug des Vertrauenseintrages einer Identität Funktionalitätserweiterung des Basismoduls Mit Aktivierung des Workflow Moduls werden die Zuordnungen der Benutzer und Berechtigungen nach der Bereinigung als Soll Zustand in die IRMS Datenbank übernommen. Bei erneutem Import der Stamm- und Anwendungsdaten (Update) wird der Ist Zustand (Stammdaten/Anwendung) mit dem Soll Zustand (IRMS) verglichen. Treten hier Unterschiede auf, löst IRMS automatisch verschiedene Aktionen aus. Eine mögliche Aktion ist die Benachrichtigung des verantwortlichen Bearbeiters. Dieses Verfahren ist eine der Grundlagen für die automatische Unterstützung der Beauftragung. Folgende Änderungen werden berücksichtigt: Änderungen in den Stammdaten: o Neue Identität o Identität scheidet aus (temporär oder endgültig) o Namensänderungen qp42 DATA GmbH 2009 Seite 12

14 o Abteilungswechsel o Änderung der Vertrauensstellung Anwendungsänderungen: o Neue User ID (wird automatisch zugeordnet) o Änderung der User ID o Änderungen in Berechtigungen der User-ID o Änderung der Risikostufe oder Ausschlusseinträge an Berechtigungen Berechtigungsänderungen IRMS nutzt ein formales Antragsverfahren im Workflow Modul. Wenn ein Antrag vollständig abgearbeitet ist, wird die entsprechende Änderung in die IRMS Datenbank geschrieben. Damit ist der nächste Ist Zustand beim Import aus der betroffenen Anwendung identisch mit dem Soll Zustand. Gleichzeitig wird der Antragsteller über die Fertigstellung sowie wichtige Einzelheiten (z.b. User ID bei neu eingerichteten Usern) informiert. Wenn ein Antrag im Rahmen des Genehmigungsverfahrens oder auf administrativer Ebene abgelehnt wird, bekommt der Antragsteller diesen Antrag zur Überarbeitung erneut vorgelegt und kann ihn dann korrigieren oder verwerfen. Abbildung 4: Antragsablauf qp42 DATA GmbH 2009 Seite 13

15 4.4.3 Workflow-Steuerung Für die Workflowsteuerung werden an dem Elementarrecht im IRMS durch die Administratoren zusätzliche Informationen hinterlegt. Zu den bereits im Basismodul vorhandenen Informationen werden an dem Elementarrecht folgende Eintragsmöglichkeiten zur Verfügung gestellt: Nutzer der Elementarrechte (Abteilungen oder andere Organisationsebenen) Genehmigungsstufen (4 Augen Prinzip oder 6 Augen Prinzip) Maximale Anzahl der Vergabe der Berechtigung (z.b. für Lizenzen) Abbildung 5: Elementarrechte Workflow Bei Aktivierung von qp42 flow werden diese Einträge in den bereits bestehenden Elementarrechten gemäß dem aktuellen Ist-Zustand und definierbaren Standardeinstellungen durch IRMS gefüllt. 4.5 Rollenmodellierung Aufgabe: Bereitstellung der anwendungsübergreifenden rollenbasierten Berechtigungsvergabe (Role based access control) Massenänderungen für alle Identitäten, denen eine bestimmte Rolle zugeordnet ist. Erweiterte automatische Antragsgenerierung. Archivierung von Rollen. IRMS verwendet ein Modell, das die Einrichtung und Verwaltung der Benutzer und Berechtigungen in zwei Ebenen unterteilt: Organisatorische Ebene Administrative Ebene Auf der organisatorischen Ebene arbeiten die Antragsteller (Beauftragten) und Genehmiger für Berechtigungen der einzelnen Abteilungen eines Unternehmens. qp42 DATA GmbH 2009 Seite 14

16 Auf der administrativen Ebene befinden sich die Administratoren oder Anwendungsbetreuer der integrierten Anwendungen. Auf organisatorischer Ebene wird im Normalfall anwendungsübergreifend gearbeitet, während auf der administrativen Ebene die Zuständigkeit meist nach Anwendungen getrennt ist. Die grundlegende IRMS Einheit im Rollenmodul qp42 role ist das im Abschnitt Antragssteuerung beschriebene Elementarrecht. Elementarrechte werden nicht manuell eingerichtet, sondern basierend auf den über die Import Schnittstellen aus den Anwendungen angelieferten Berechtigungen automatisch angelegt und stehen damit im IRMS zur Verfügung. Um die Zuweisung der Berechtigungen zu vereinfachen und zu standardisieren, bietet IRMS weitere Rollenarten an, die immer aus einem Zusammenfügen von mindestens zwei Elementarrechten bestehen. Es wird zwischen der Bildung von technischen Rollen für Administratoren und organisatorischen Rollen für die Abteilungsbeauftragten unterschieden. Die Kontrolle der Berechtigungen am Benutzer erfolgt immer auf Basis der Elementarrechte. Beispielsituation: In einer Abteilung XY gibt es zwei Teams (A und B), die mit verschiedenen Berechtigungen in Windows (Gruppen) und SAP (Profile und Rollen) ausgestattet werden. Die benötigten organisatorischen Rollen werden vom Abteilungsbeauftragten erstellt. Windows liefert mehrere Elementarrechte, von denen jeweils zwei immer zusammen genutzt werden. Diese können daher zur Unterstützung aller Abteilungsbeauftragten schon vom Administrator der Anwendung zu technischen Rollen zusammengefasst werden. Das unterstützende Rollenmodell sieht dann wie folgt aus: Organisatorische Rolle Rolle Team A Rolle Team B Technische Rolle TR1 TR2 Elementar- Recht ER 1 ER 2 ER 3 ER 4 ER 1 ER 2 Anwendung Gruppe 1 Gruppe 2 Windows Gruppe 3 Gruppe 4 Profil 1 Rolle 1 SAP Abbildung 6: Einfaches Rollenbeispiel qp42 DATA GmbH 2009 Seite 15

17 Vorteile : Die Berechtigungen für die Teams sind standardisiert. Einem neuen Mitarbeiter in einem der Teams braucht jetzt nur noch die organisatorische Rolle des entsprechenden Teams zugewiesen werden. IRMS listet automatisch im Antrag die zugehörigen Elementarrechte aus allen Anwendungen auf. Das bedeutet bei Berechtigungsbeantragung für mehrere Anwendungen eine enorme Zeitersparnis beim Abteilungsbeauftragten. Wenn ein Teil einer organisatorischen IRMS Rolle für alle Teammitglieder gelöscht oder eine neue IRMS Rolle einem Team hinzugefügt werden muss, wird die Änderung nur einmal an der IRMS Rolle durchgeführt. IRMS identifiziert automatisch alle Identitäten, die diese Rolle haben und stellt das Löschen bzw. Hinzufügen der entsprechenden Elementarrechte für die betroffenen User IDs in einem Antrag zusammen. Auch hier ist die Zeitersparnis bei Massenänderungen zu beachten. Der Administrator kann Berechtigungen über das Elementarrecht zu technischen Rollen zusammenfassen und zur Verfügung stellen. Damit sind Massenänderungen auch auf dieser Ebene für alle betroffenen Identitäten mit geringem Aufwand möglich. 4.6 Automatisierte Einrichtung in Anwendungen Basierend auf dem Workflowmodul bietet sich die Möglichkeit, genehmigte Änderungen oder Neueinrichtungen in den Anwendungen nach Freigabe durch die Administratoren automatisch durchzuführen. Voraussetzung hierfür ist die Implementierung einer entsprechenden Schnittstelle mit schreibendem Zugriff auf die Benutzerverwaltung der Anwendung. Grundsätzlich sind die Wege hierbei die gleichen wie bei der Anlieferung der Daten. qp42 DATA GmbH 2009 Seite 16