Status IDMone Sitzung ZKI Arbeitskreis Verzeichnisdienste, Universität Hamburg Hendrik Eggers

Status IDMone Sitzung ZKI Arbeitskreis Verzeichnisdienste, Universität Hamburg Hendrik Eggers

Ausgangssituation IDM 26.000 Studierende, 6.000 Beschäftigte, 10.000 Gäste pro Jahr Seit 1991 selbst entwickelte, gewachsene Benutzerverwaltung am RRZE Ca. 15 zentrale und x dezentrale Systeme, die mit Stammdaten arbeiten Keine globale Sicht auf Identitäten Manuelle Erfassung inhaltsgleicher Daten in verschiedenen Systemen (z.b. Adressen, Telefonnummern) Teilautomatisierter Datenaustausch bereits für Studierende, nicht für Beschäftigte und Gäste Eingeschränkte Anbindung dezentraler Systeme, d.h. oft kein Zugriff auf die zentrale Benutzerverwaltung Dezentrale Administratoren können zentrale Daten nicht bearbeiten 2

Anforderungen an IDMone Personenorientiert Mehrere Beschäftigungsverhältnisse pro Person Mehrere Accounts pro Person, Beschäftigungsverhältnis und Zielsystem sind möglich Eine Person ändert häufig sein Beschäftigungsverhältnis Es gibt eine hohe Fluktuation in der Organisationsstruktur Das RRZE rechnet seine Dienstleistungen ab mehrere 'Geldgeber' pro Ressource müssen möglich sein. Es muss möglich sein, Ressourcen hinzuzufügen und wegzunehmen 3

Anforderungen an IDMone II Der Aufbau des Meta-Directory sollte möglichst nah am gewählten Produkt orientiert sein, um es optimal auszunutzen Durch geeignete Doku soll Transparenz geschaffen werden Der Aufbau des Meta-Directory darf die Flexibilität nicht einschränken Das System sollte modular aufgebaut sein um Updates ohne Einwirkung auf andere Dienste zu ermöglichen Das System sollte die Administration unterstützen, d.h. es sollte ein 'selbstheilendes' System sein, das Fehler reparieren kann und Karteileichen verhindert. 4

Projektaufbauorganisation IDMone Projektverantwortlicher Thomas A. H. Schöck IDMone Lenkungsausschuss Dr. Gerhard Hergenröder, Dr. Stefan Turowski, Hendrik Eggers, Alexander Adam (Novell), ohne Stimmrecht : Dr. Peter Rygus, Daniel de West, Dr. Peter Holleczek Peter Rygus Projektleiter Consultant(s) Novell Lösungsarchitekt Christoph Singer Systemadministrator Gert Büttner Experte bestehende Systeme Frank Tröger Lösungsentwickler HiWis Lösungsentwickler Krasimir Zhelev Lösungsentwickler Patricia Meyer-Seidt Lösungsentwicklerin 5

Zielarchitektur Kontaktperson WLAN VPN Dial-in HIS SOS DIAPERS IDM-Service-Portal Service-Theke Benutzer Radius IDM Engine Orga-Pflege Pflege der Org.-Struktur MD Identity Provider E-Mail Telefonbuch UNIX NDS ADS UNIX RRZE Zeiterfassung RRZE SIPORT 6 RRZE dezentral Rechnungswesen Stamdatenbank

Initialer Zeitplan IV/06 I/07 II/07 III/07 IV/07 I/08 II/08 III/08 Projektleitung Fachkonzept Release 1 Support Produktion Wartungsrelease 1.1 Projektbegleitung Novell Release 2 Kickoff Produktivnahme R1 Systemupdate Produktivnahme R2 7

Korrigierter Zeitplan IV/06 I/07 II/07 III/07 IV/07 I/08 II/08 III/08 Projektleitung Fachkonzept Release Release 1 1 Support Produktion Projektbegleitung Novell Wartungsrelease 1.1 Release 2 Kickoff Produktivnahme R1 Systemupdate Produktivnahme R2 8

Vorgehensweise Projekt-Management Fachkonzept Release 1 Analyse & Feinkonzept Entwicklung Test Rollout Unterstützung Novell Kompletter Entwicklungszyklus 9

Das hybride Modell Provisionierungsbaum Administrationsbaum IDM Service-Portal Sync -- -- -- -- -- -- -- -- -- -- -- 10

hendrik.eggers@rrze.uni-erlangen.de 11 ZKI vd-ak Der Provisionierungsbaum Person= x123 scopedaffiliation = HiWi@875 Start= 01.05.2007 End= 31.07.2007 ou=people dc=uni-erlangen, dc=de ou=resource Descriptors ou=resources r03 x122 x126 x125 x124 x123 x121 ou=organizational Relationships ou=organizational Structure Person= x123 scopedaffiliation = Student@387 Start= 01.03.2007 End= 31.08.2007 Person= x126 res= r01 Start= 01.03.2007 End= 31.08.2007 Account= hemy PW= x97rjki Quota=10GB Person= x126 res= r02 Start= 01.03.2007 End= 31.08.2007 Account= igate groupid=123 Start= 01.05.2007 End= 31.08.2007 groupid=293 Start= 01.03.2007 End= 30.04.2007 Account= hemy PW= x97rjki Start= 01.03.2007 End= 31.08.2007 Quota=10GB Groups=123,293 r02 r01 Proxy-Objekt Resource Descriptor Resource Extension (optional) Org-ID=456 Name= abc Parent=398 defaulttemplate= Org-ID=398 Name= xyz Parent=001 defaulttemplate= Org-ID=387 Name= hjd Parent=001 defaulttemplate= Org-ID=875 Name= oik Parent=398 defaulttemplate= ou=templates Name= default387 Resources=email Resources=unixRrze Resources=ndsRrze Name= extemail Resources=email Name= exthpc Resources=email Resources=hpc Resources=unixRrze Name= default875 Resources=email Resources=hpc Resources=ndsRrze o=services

x123 Admin newbie Person= x123 scopedaffiliation= HiWi@456 Start= 01.05.2007 End= 31.07.2007 Person= x123 res= UserApp Start= 01.05.2007 End= 31.07.2007 Account= hemy PW= x97rjki Quota=10GB Account= hemy PW= x97rjki Start= 01.05.2007 End= 31.07.2007 Quota=10GB Person= x123 res= hpc Start= 01.05.2007 End= 31.07.2007 Account= hemy PW= x97rjki Quota=10GB Resource Descriptor Proxy-Objekt Account= hemy PW= x97rjki Start= 01.05.2007 End= 31.07.2007 Quota=10GB 1 2 2 3 4 5 6 7 8 9 10 11 12 13

Aktuelle Showstopper Fehlende zentrale Pflege der Organisationsstruktur Dienstleistungskatalog erst im Aufbau begriffen Spät gewonnene Erkenntnis, wie die Software intern funktioniert Hohe Ansprüche im Bezug auf das Zusammenspiel der Treiber und Objekte im Meta-Directory 13

Wie geht es weiter? 31.10.2007 Fertigstellung des ersten Testsystems mit einem Quell- und zwei Zielsystemen 01.12.2007 Zwischenbericht an Staatsministerium 09/2007 02/2008 Anbindung und Test aller im Release 1 enthaltenen Systeme 02/2008 Roll-Out von Release 1 02/2008 09/2008 Release 2 30.09.2008 Projektabschlußbericht 14

Kooperationsangebot Partner für Open Source Referenz Implementierung Verwendung von Open Source Komponenten, z.b. Apache DS http://directory.apache.org/ OpenLDAP JBOSS Portal http://www.jboss.org/products/jbossportal Wissensaustausch Wiki-Zugriff Schulung neuer MA Regelmäßiger Austausch per VC 15

Links IDMone Webseite http://www.rrze.uni-erlangen.de/forschung/laufende-projekte/idm.shtml IDMone Blog http://www.blogs.uni-erlangen.de/idm/ IDMone im P&P Wiki https://www.pp.wiki.uni-erlangen.de/index.php/grundlagen_idmone https://www.pp.wiki.uni-erlangen.de/index.php/grundlagen_idm_service_portal https://www.pp.wiki.uni-erlangen.de/index.php/use_cases 16

Danke! Vielen Dank für Ihre Aufmerksamkeit! 17

Dr. Peter Rygus Projektleiter Identity Management RRZE Martensstrasse 1 D-91058 Erlangen Tel.: +49 9131 85-28899 Fax: +49 9131 302941 http://www.rrze.uni-erlangen.de Friedrich-Alexander-Universität Erlangen-Nürnberg (FAU) 18

19