1... Einleitung... 17 1.1... Überblick und Einordnung... 18 1.2... Projektvorgehensmethoden und Fallbeispiele... 20 1.3... Technische Details und Referenzen... 20 2... Identity Management in Unternehmen... 23 2.1... Motivationen für die Einführung von Identity Management... 25 2.1.1... Gesetzeskonformität und Wirtschaftsprüfung... 25 2.1.2... Sicherheitsrisiken reduzieren... 27 2.1.3... Kostenreduktion durch Automatisierung und Prozessoptimierung... 30 2.2... Lifecycle einer Identität im Unternehmen... 32 2.3... Sammelkonten und priorisierte Accounts... 35 2.4... Vergabe von Systemberechtigungen... 37 2.5... Identity-Management-Lösungen... 41 2.5.1... Anforderungen an das Identity Management... 42 2.5.2... Leistungen einer Identity-Management-Lösung... 44 2.5.3... Abgrenzung des Identity Managements vom Systemmanagement... 55 2.5.4... Organisatorische Integration von Identity Management... 55 2.6... Aspekte der Projektierung... 56 2.6.1... Modelle der Herangehensweise... 57 2.6.2... Fragestellungen in Bezug auf die Zielarchitektur... 59 2.6.3... Betriebskonzept... 60 2.7... Zusammenfassung... 64 3... SAP NetWeaver Identity Management im Kontext von SAP NetWeaver... 65 3.1... Von der SAP-Basis zu SAP NetWeaver... 66 3.2... Verwaltung von Identitäten in SAP NetWeaver... 69 3.3... SAP NetWeaver Application Server Java... 69 3.4... User Management Engine... 70 3.5... SAP NetWeaver Administrator... 71 3.6... SAP NetWeaver Portal... 72 3.7... Zentrale Benutzerverwaltung... 74 3.8... SAP NetWeaver Process Integration... 74 3.8.1... System Landscape Directory... 75 3.8.2... Enterprise Services Repository... 76 3.8.3... Enterprise Services Directory... 76 3.9... SAP Human Capital Management... 76 3.9.1... Personalmanagement... 77 3.9.2... Organisationsmanagement... 77 4... SAP NetWeaver Identity Management im Überblick... 79 4.1... Historie... 79 4.2... Architektur... 82 4.2.1... Identity Center... 83 4.2.2... SAP Virtual Directory Server... 89 4.2.3... Gesamtarchitektur Identity Center und SAP VDS... 90 4.3... Daten- und Rollenmodell... 91 4.3.1... Daten-und Rollenmodell im Identity Store... 93 4.3.2... Datenmodellierung und Workflows... 97 4.3.3... Datenmodellierung und Reporting... 98 4.4... Datensynchronisation und Provisioning... 98 4.4.1... Prinzipien der Datensynchronisation... 99
4.4.2... Quell-und Zielsysteme... 100 4.4.3... Technische Adapter... 101 4.4.4... Provisionierungslogik und Workflows... 103 4.4.5... Provisionierungscontent... 105 4.4.6... Password Management... 106 4.5... Weitere Integrationsthemen... 107 4.5.1... Business-Suite-Integration... 108 4.5.2... Integration mit SAP BusinessObjects Access Control... 110 4.5.3... Middleware zum Austausch von Daten... 111 4.5.4... UI-Integration... 113 4.6... Monitoring... 114 4.7... Reporting... 116 5... Tipps und Tricks im Identity-Management-Projekt... 119 5.1... Organisatorische Fallstricke... 121 5.1.1... Vielzahl von Beteiligten und Betroffenen... 121 5.1.2... Zielkonflikte... 127 5.1.3... Persönliche Widerstände... 129 5.1.4... Organisatorisch begründete Widerstände... 131 5.1.5... Mangelnde organisatorische Reife... 134 5.2... Komplexitätsrisiken... 135 5.2.1... Ungeklärte Begriffe... 135 5.2.2... Dynamisches Umfeld... 136 5.2.3... Unklare Abgrenzung des Projektumfangs... 140 5.2.4... Viele Schnittstellen... 141 5.2.5... Komplexe Prozesse... 143 6... Identity Management bei der Industrie GmbH... 145 6.1... Ausgangssituation... 146 6.2... Systemlandschaft... 150 6.2.1... SAP-Umgebung... 151 6.2.2... Windows-Umgebung... 154 6.3... Anforderungen... 155 6.3.1... Stammdaten... 155 6.3.2... Prozesse und Antragswesen... 155 6.3.3... Berechtigungsverwaltung... 156 6.3.4... Reporting... 157 6.3.5... Provisionierung... 157 6.3.6... Authentisierung/Single Sign-on... 157 6.4... Herausforderungen... 158 6.5... Integriertes Projektvorgehen... 160 6.5.1... Roadmap und Phasenansatz... 161 6.5.2... Kick-off-Workshop... 165 6.5.3... Installation einer zweistufigen Systemlandschaft... 165 6.5.4... Detaillierung des Fachkonzepts... 167 6.5.5... Vorbetrachtung des Zielprozesses zur Anlage neuer Identitäten... 167 6.5.6... Vorbereitende Maßnahmen zur Datenkonsolidierung... 168 6.5.7... Geplante Nutzung des Organisationsmanagements in SAP HCM... 170 6.5.8... Erstellung der Feinkonzeption... 171 6.6... Umsetzung der Identity-Management-Lösung... 172 6.6.1... Phase 1: Aufbau einer konsistenten Datenbasis... 172 6.6.2... Phase 2: Self-Services und Genehmigungsprozesse... 182
6.7... Zusammenfassung und Ausblick... 191 6.7.1... Phase 3: Vollständige Integration der Berechtigungsverwaltung... 192 6.7.2... Phase 4: Integration von SAP BusinessObjects Access Control... 194 6.8... Wertbetrachtung der Einführung von SAP NetWeaver IdM... 195 7... Identity Management bei Mechatronic... 197 7.1... Entwicklung der IT bei Mechatronic... 199 7.2... Projektinitiierung... 204 7.3... Projektvorbereitungen... 207 7.4... Erste Schritte Meilenstein 1.0... 211 7.4.1... Konzeptionsphase... 211 7.4.2... Implementierungsphase... 213 7.4.3... Stabilisierungsphase... 218 7.5... Weitere Integrationen Meilenstein 2.0... 219 7.5.1... Anforderungen der Fachbereiche nach Meilenstein 1.0... 220 7.5.2... Implementierung von Meilenstein 2.0... 222 7.5.3... Stabilisierungsphase... 226 7.6... Zwischenphase Meilenstein 2.1... 227 7.6.1... Erfassung der Folgeanforderungen... 228 7.6.2... Implementierung von Meilenstein 2.1... 230 7.6.3... Stabilisierung... 234 7.7... Zwischenphase Meilenstein 2.2... 236 7.7.1... Implementierung von Meilenstein 2.2... 238 7.7.2... Stabilisierungsphase... 243 7.8... Projektende mit Meilenstein 3... 244 7.9... Lessons Learned... 246 8... Installation und Setup... 249 8.1... Vorbereitungen... 249 8.1.1... Planung der Systemumgebung... 249 8.1.2... Bereitstellung des AS Java... 251 8.1.3... Bereitstellung der IC-Datenbank... 251 8.2... Installation... 252 8.2.1... Installation der IC-Datenbank... 253 8.2.2... Installation der IC Runtime... 255 8.2.3... Installation der IC Console... 256 8.2.4... Installation des SAP NetWeaver Identity Management User Interfaces... 257 8.2.5... Installation des SAP Virtual Directory Servers... 258 8.3... Einrichtung und Bereitstellung... 260 8.3.1... Einrichtung der Identity-Center-Konfiguration... 260 8.3.2... Einrichtung von Dispatcher und Event Agent Service... 261 8.3.3... Bereitstellung des SAP NetWeaver Identity Management UIs in SAP NetWeaver Portal... 262 9... Grundlegende Konzepte von SAP NetWeaver Identity Management... 265 9.1... Datenhaltung... 265 9.1.1... Datenmodell des Identity Centers... 266 9.1.2... Globale Konfiguration: Repositorys, Konstanten und Variablen... 273 9.2... Rollen und Berechtigungen... 275 9.2.1... Berechtigungen im Identity Center... 275 9.2.2... Rollen... 277 9.2.3... Aufbau von Rollenhierarchien... 281 9.2.4... Änderung von Rollen oder Rollenhierarchien... 283
9.3... Regelbasierte Rollenzuweisung... 283 9.4... Tasks und Prozesse... 286 9.4.1... Passes... 289 9.4.2... Scripting... 292 9.4.3... Jobs... 292 9.4.4... Tasks... 293 9.4.5... Scheduling von Standardjobs... 296 10... Datenmodellierung... 297 10.1... Standard-Schema... 297 10.1.1... Allgemein verwendete Attribute... 298 10.1.2... Entry Type»MX_PERSON«... 302 10.1.3... Entry Type»MX_PRIVILEGE«... 305 10.1.4... Entry Type»MX_ROLE«... 308 10.1.5... Entry Type»MX_DYNAMIC_GROUP«... 311 10.1.6... Entry Type»MX_PENDING_VALUE«... 312 10.1.7... Entry Type»MX_REPORT«... 313 10.2... Erweiterung des Datenmodells... 313 10.2.1... Datenmodellierung für SAP NetWeaver IdM... 314 10.2.2... Definition neuer Attribute... 317 10.2.3... Definition neuer Entry Types... 322 10.2.4... Attributdefinitionen anpassen... 324 10.2.5... Tipps zur Datenmodellierung... 325 10.3... Tabellen in der IC-Datenbank... 326 10.3.1... Repräsentation von Nutzdaten und Systemkonfiguration... 327 10.3.2... Tabellen für Laufzeitinformationen... 330 10.3.3... Besonderheiten für das Reporting... 332 11... Modellierung von Provisionierungstasks... 335 11.1... Pass-Konfiguration... 335 11.1.1... Vorlagen und Platzhalter... 338 11.1.2... Repositorys, Variablen und Konstanten... 339 11.1.3... Source konfigurieren... 340 11.1.4... Destination konfigurieren... 340 11.1.5... ToIdentityStore-Pass... 345 11.1.6... Ablauf einer Jobausführung... 347 11.1.7... Einsatz von Skripten... 348 11.1.8... ToGeneric-Pass... 353 11.2... Jobkonfiguration... 356 11.2.1... Einstellungen... 356 11.2.2... Ergebnisbehandlung... 358 11.3... Task-Konfiguration... 359 11.3.1... Ablaufsteuerung... 360 11.3.2... Ergebnisbehandlung... 361 11.3.3... Repository... 362 11.4... Fehlerbehandlung und Ausfallsicherheit... 363 11.4.1... Wiederholungen von Tasks... 365 11.4.2... Fehlerskripte... 365 11.4.3... Tasks bei Fehlern aufrufen... 367 11.5... Ausgewählte eingebaute Funktionen für Skripte... 367 11.5.1... Informationen über die Laufzeitumgebung ermitteln... 368 11.5.2... Zugriff auf Entrys im Identity Store... 368
11.5.3... Steuerung der Jobausführung... 370 11.5.4... Hilfsfunktionen... 370 11.5.5... Zugriff auf Konstanten und Variablen... 372 12... Frontend-Gestaltung des SAP NetWeaver IdM User Interfaces... 373 12.1... Konfiguration im Frontend... 373 12.1.1... Generelle Konfiguration von Task Groups... 374 12.1.2... Direkter Aufruf von Task Groups und Approval Tasks... 378 12.2... Anordnung von Attributen und Elementen... 379 12.3... Darstellung von Werten... 382 12.4... Zugriffssteuerung... 387 12.4.1... Zugreifende Identität festlegen... 387 12.4.2... Zugriff auf Identitäten festlegen... 389 13... Prozessmodellierung... 391 13.1... Modellierung von Provisionierungsprozessen... 391 13.1.1... Gruppieren von Provisionierungstasks... 392 13.1.2... Verzweigungen... 396 13.1.3... Genehmigungsschritte in Prozesse einfügen... 401 13.1.4... Member Events... 407 13.1.5... Starten von (Sub-)Prozessen... 412 13.2... Modellierung von Batch-Prozessen... 415 13.2.1... Importprozesse... 416 13.2.2... Exportprozesse... 423 13.2.3... Zeitabhängige Prozesse... 424 13.2.4... Scheduling... 425 13.2.5... Delta-Mechanismus... 428 14... SAP Provisioning Framework... 433 14.1... Überblick über das SAP Provisioning Framework... 434 14.1.1... Bestandteile des SAP Provisioning Frameworks... 434 14.1.2... SAP Provisioning Framework in den Projektphasen... 436 14.2... Importprozesse... 437 14.2.1... Importprozesse erstellen... 437 14.2.2... Übersicht der Templates für Importjobs... 440 14.2.3... Aufbau und Funktionsweise von Initial Load Templates... 442 14.2.4... Aufbau und Funktionsweise von Update Templates... 452 14.2.5... Datenkonsolidierung mit Importprozessen... 455 14.2.6... Weitere Standardjob-Templates... 460 14.3... Provisionierungsprozesse... 462 14.3.1... Konfiguration der Provsionierungsprozesse... 462 14.3.2... Ablauf von Provisionierungsprozessen... 463 14.3.3... Task-Struktur des SAP Provisioning Frameworks... 466 14.3.4... Rule-Based Provisioning mit dem SAP Provisioning Framework... 468 14.3.5... Provisionierung in die Zielsysteme... 473 14.3.6... Vordefinierte Frontend-Masken... 482 14.3.7... Erweitern der Provisionierungsprozesse... 484 15... Weiterführende Integrationsthemen... 491 15.1... Typische Anwendungsfälle für die Anbindung von Systemen... 492 15.1.1... SAP HCM-Integration... 494 15.1.2... SAP NetWeaver Portal-Umgebung... 495 15.1.3... Erweiterte SAP Business Suite-Integration... 496
15.2... Stammdatenverteilung und Synchronisation... 497 15.2.1... SAP HCM-Standardintegration... 497 15.2.2... Erweiterte SAP Business Suite-Integration... 507 15.2.3... Nutzung von SAP NetWeaver Process Integration... 511 15.3... SAP Virtual Directory Server und Identity Services... 514 15.3.1... Standardprotokolle und Identity Services... 514 15.3.2... Konfiguration und Deployment... 516 15.3.3... Identity Services Beispiele... 521 15.4... SAP BusinessObjects GRC-Integration... 524 15.4.1... Überblick über die GRC-Produkte der SAP... 524 15.4.2... Compliance-Phasen des Berechtigungsmanagements... 528 15.4.3... Compliant Identity Management... 532 15.4.4... Kommunikation zwischen den Komponenten... 536 15.4.5... Compliant Identity Management Konfiguration der Komponenten... 540 16... Betrieb von SAP NetWeaver IdM... 545 16.1... Infrastruktur... 545 16.1.1... Sizing und Hochverfügbarkeit... 545 16.1.2... Sicherheit... 551 16.1.3... Upgrades... 553 16.2... Transportwesen... 554 16.2.1... Transport der IC-Datenbank... 554 16.2.2... Transport der Identity-Center-Konfiguration... 556 16.2.3... Transport der SAP Virtual Directory Server-Konfiguration... 560 16.3... Monitoring... 562 16.3.1... Jobprotokoll... 562 16.3.2... Systemprotokoll und Trace-Protokoll... 566 16.3.3... Genehmigungswarteschlange, Provisionierungswarteschlange und Provisionierungsaudit... 568 16.3.4... Historie von Einträgen... 571 16.3.5... Monitoring des SAP Virtual Directory Servers... 573 17... Reporting... 577 17.1... Report Samples... 578 17.1.1... Entry Report... 578 17.1.2... Line Manager Report... 580 17.1.3... Privilege Report... 581 17.1.4... Role Report... 582 17.2... Setup der Reporting-Funktionalität... 583 17.2.1... Installation und Konfiguration der Runtime Library... 583 17.2.2... Erstellen eines Report Tasks im Identity Center... 584 17.2.3... Anfordern von Reports im IdM UI... 588 17.2.4... Anzeigen von Reports... 589 17.3... Eigene Reports erstellen... 591 17.3.1... Corporate Identity Report... 592 17.3.2... Conditional Format Report... 594 17.3.3... Data Transformation Report... 596 17.3.4... Query Report... 598 18... Zusammenfassung und Ausblick... 599 18.1... Aktueller Stand... 599 18.1.1... Identity Center... 600 18.1.2... SAP Virtual Directory Server... 600
18.1.3... SAP NetWeaver IdM User Interface... 601 18.1.4... SAP NetWeaver IdM und SAP BusinessObjects Access Control... 601 18.1.5... SAP NetWeaver IdM und SAP BusinessObjects Crystal Reports... 602 18.1.6... Verfügbare Konnektoren im Identity Center... 602 18.1.7... SAP NetWeaver IdM und SAP HCM... 603 18.2... Ausblick und»wunschliste«für zukünftige Produktversionen... 603 18.2.1... Integration in den SAP Solution Manager... 603 18.2.2... Verschmelzung mit SAP BusinessObjects Access Control... 604 18.2.3... SAP NetWeaver Composition Environment und Business Process Management... 604 18.2.4... Vorgefertigtes, sofort einsatzbereites Berichtswesen... 605 18.3... Organisatorische Herausforderungen... 605 18.3.1... Schaffung der organisatorischen Akzeptanz von SAP NetWeaver IdM... 605 18.3.2... Etablierung eines durchgängigen und aktuellen Fachrollenmodells... 606 18.4... Schluss... 606 A... Weiterführende Literatur... 609 A.1... Bücher und Artikel... 609 A.2... Onlinequellen nach Kapiteln... 610 B... Die Autoren... 619... Index... 623