sig identity management technology version 1.0 dienstag, 04.10.2005, achat plaza hotel in offenbach...
Post on 05-Apr-2015
103 Views
Preview:
TRANSCRIPT
SiG
„Identity Management Technology ”Version 1.0
Dienstag, 04.10.2005, Achat Plaza Hotel in Offenbach
Dr. Horst Walther, SiG Software Integration GmbH:
16:15 – 17:00
SiG
Technologie
Evolution des Identity Managements
Eine Identity Management Architektur
Der Integrationsbedarf Spezialisierungen der
Datenbanksysteme Integration über Verzeichnisdienste Entwicklung der Verzeichnisdienste X.500 vs. LDAP Entwicklung der X.500-Standards Daten und Verzeichnis-Integration Meta-Verzeichnisdienste Virtuelle Verzeichnisdienste Provisioning – was ist das? Architektur eines Identity
Management Systems Integration über Federation Federated Identity
SiG
Unabhängige Quellen …Unabhängige Quellen …
Evolution des Identity Managements
Historisch 3 unabhängige Strömungen ...
Die Idee der public key infrastructure (PKI) für eine zertifikatsbasierte starke Authentisierung kann bis in das Jahr 1976 zurück verfolgt werden,
Die CCITT[1] heute ITU-T[2] hat ihre 1. Spezifikation eines X.500- Verzeichnis- dienstes 1988 veröffentlicht.
Die heute üblichen Verzeichnisdienste sind durch diese Entwicklung beeinflusst.
5 Jahre später startete das NIST[3] seine Arbeiten am role based access control (RBAC)[4].
[1] Comite Consultatif Internationale de Télégraphie et Téléphonie
[2] International Telecommunications Union-Telecommunication
[3] National Institute of Standards & Technology [4] RABC: Role Based Access Control
Die verfügbaren Komponenten zeigen eine deutliche funktionale Überlappung und ergänzen sich nicht problemlos zu einer Identity Management Infrastruktur.
1996 PKI
1988 X.500
1993 RBAC
2001 IDM
SiG
Eine Identity Management Architektur
SiG
Der Integrationsbedarf
Das typische Fortune 500 Unternehmen wartet über 180 Verzeichnisse, wie
Adressverzeichnisse, Telephonbücher ... (Quelle: Forrester Research).
Viele Anwendungen und Systeme verwalten ihre eigenen Identitätsspeicher... Betriebssysteme: Windows NT, 2003, XP, ... Datenbanksysteme: ORACLE, DB2, .. Mail-Systeme: Outlook, Lotus NOTES, ... Service-Systeme: RACF, Firewalls, ... E-business-Systeme: Internet-Portale, e-Banking-
Systeme, ... Eigenentwickelte Geschäftsanwendungen.
SiG
Spezialisierungen der Datenbanksysteme
OLTP- Datenbanksysteme Transaction processing häufige Updates, Kurze Datensätze,
OLAP- Datenbanksysteme Analyse von
vorverdichteten, redundant Massendaten
Verzeichnisdienste, Häufiger Lesezugriff, Spezial-DBMS auf den
Einzelzugriff auf (kurze) Einzeldatensätze optimiert.
Ungeachtet aller Verwirrungen über die Natur von Verzeichnisdiensten – Es sind schlicht spezialisierte Datenbanksysteme.
SiG
Integration über Verzeichnisdienste
Ein Verzeichnisdienst bietet eine einheitliche Sicht auf die Identity Informationen ...
TelefonTelefon
VideoConference
VideoConference
ApplicationSharing
ApplicationSharing
Electronic Mail
Electronic Mail
MultimediaWWW
MultimediaWWW
GroupwareGroupware
Netzwerk-Administration
Netzwerk-Administration
WorkflowWorkflow
Termin-kalenderTermin-kalender
SecuritySecurityCertification
AuthorityCertification
Authority
Verzeichnis-dienste
Verzeichnis-dienste
Er ...
wird von jeder Anwendung genutzt.
ermöglicht die Pflege von Informationen an einer einzigen Stelle.
bietet eine universelle, einfach zu bedienendeOberfläche für den Zugriff.
ist im Intranet unverzichtbar.
Fast jede Anwendung undjedes System verwalten heute noch ein eigenes Verzeichnis. Z.B.:
SAP: Personalwesen, Benutzerverwaltung, Kreditoren, Debitoren, etc.
RACF: Verwaltung der Zugriffsrechte von Personen und Rollen auf geschäftliche und technische Objekte
Windows NT: Active Directory auch für MS Exchange
Lotus Notes: Notes Namens- und Adressbuch, Zugriffs-kontrollisten der Datenbanken, etc.
SiG
Entwicklung der Verzeichnisdienste
Verzeichnisdienste gehen auf X.500-Standards zurück. Einflüsse für die weitere Entwicklung ...
Anfangs war die Implementierung für die Hardware zu anspruchsvoll.
Ergebnis: Lightweight-DAP (X.500-Zugangsprotokoll), LDAP.
Später war Hardwareleistung weniger der Engpass. Ein großer Teil der Identity Information war bereits in
Nicht-LDAP-Repositories gespeichert. Chance für die Virtuellen Verzeichnisdienste ...
bewusster Verzicht auf die Leseoptimierung. Verzeichniszugriff wird nur simuliert statt dessen wird auf die Original Datenquellen zugegriffen
Die Steigerung der Leistungsfähigkeit der Netze ließ die Bedeutung der X.500-Protokolle DSP und DISP sinken.
Heute ist mit XML (und Dialekten) sogar LDAP ein veritabler Konkurrent erwachsen.
Die meisten Verzeichnisdienste basieren auf X.500-Standards.
SiG
X.500 vs. LDAP
X.500 ...
Der erste Standard – wurde 1993 veröffentlicht.
ist ein ISO- (International Standards Organisation) und ITU- (International Telecommunications Union) Standard.
beschreibt, wie globale Verzeichnisse strukturiert werden sollten.
sieht eine hierarchische Organisation mit Levels für jede Informations-kategorie ( z.B. Land, Stadt, Organisation, ... ) vor.
unterstützt X.400 Systeme. ist das Ergebnis von Gremien-Arbeit
der Telekommunikationsgesell-schaften.(Top-Down-Prinzip)
LDAP ...
Der pragmatische Zugang der Internet-Gemeinde zu X.500.
steht für Lightweight Directory Access Protocol und soll X.500/DAP ersetzen.
entstand aus dem Bedarf, „schlanken“ Clients Zugriff auf X.500 zu ermöglichen.
nutzt nicht das X.500 zugrundeliegende (mächtige) OSI-Protokoll, sondern das weit verbreitete TCP/IP.
wird betreut durch die Internet Engineering Task Force (IETF). Interessierte können ihre Lösungen zur Standardisierung einreichen.(Bottom-Up-Ansatz )
Der allumfassende Standard -- vs. -- der schnelle Zugriff
SiG
X.500 und LDAP - Wie kam es dazu?
LDAP stellt 90% der DAP-Funktionalität bei 10% der Kosten zur Verfügung
LDAP besitzt Vorteile gegenüber dem X.500-DAP durch: Transport über TCP -> stark reduzierter Overhead Verzicht auf selten benutzte Funktionen, die Verwendung einfacherer zu verarbeitender
Zeichenkettenformate als die hochstrukturierten X.500-Formate sowie
eine einfachere Codierung der Daten für den Transport.
LDAP bietet damit einen einheitlichen Zugriff und eine einheitliche Kommunikation mit Verzeichnisdiensten
LDAP
DAP
Funktionalität Kosten
nochStandardisierungs-
bedarf
SiG
X.500 11/93 Überblick über Konzepte, Modelle und Dienste X.501 11/93 Modelle X.509 11/93 Authentisierungs-Framework X.511 11/93 Abstrakte Dienste Definition X.518 11/93 Verfahren für verteilte Verarbeitung X.519 11/93 Protokoll Spezifikationen X.520 11/93 Ausgewählte Attribut Typen X.521 11/93 Ausgewählte Objekt Klassen X.525 11/93 Replizierung X.581 11/95 Verzeichnis-Zugriffs Protokoll X.582 11/95 Verzeichnis-System Protokoll
Quelle: http://www.itu.ch/itudoc/itu-t/rec/x/x500up.html
X.500 - Die Standard-Serie
Auch außerhalb von Auch außerhalb von X.500 gebräuchlich
SiG
Der X.500-Standard definiert bereits 17 Basis-Objekt-Klassen …
X.500 - Standardobjekte
Objekt-Klassen: Alias Country Locality Organization Organizational Unit Person
Gemeinsame Attribute: Common Name (CU) Organization Name (O) Organizational Unit Name
(OU) Locality Name (L) Street Address (SA) State or Province Name (S) Country (C)
Weitere Objektklassen und Attribute lassen sich hinzufügen.
SiG
1995 1996 1997 199819941993 1999 2000
X.500 Konzepte, Modelle und DiensteX.501 ModelleX.509 Authentifizierungs-FrameworkX.511 Dienste DefinitionX.518 Verteilte VerarbeitungX.519 Protokoll SpezifikationenX.520 Attribut TypenX.521 Objekt KlassenX.525 Replizierung
X.581 Zugriffs Protokoll (DAP)
X.582 System Protokoll (DSP)
Working Group LDAPext
Working Group LDUP
RFC1487 X.500 LDAP v1RFC1488 String Representation
RFC1777 LDAP v2RFC1788 String Representation for AttributesRFC 1779 String Representation for DN
RFC1823 LDAP API
RFC1959 LDAP URLRFC1960 String Representation for Search Filters
RFC2164 X.500/LDAP MIXER address mappingRFC2247 Domains in X.500/LDAP DN
RFC2251 LDAPv3RFC2252 Attribute Syntax DefinitionRFC2253 UTF-8 String Representation of DNRFC2254 String Representation for Search FiltersRFC2255 URL FormatRFC2256 X.500 User Schema for use with LDAPv3
RFC2307 LDAP as Network Information Service
RFC2559 X.509 - LDAPv2
DRAFT LDIFinetOrgPerson
X.530 Zugriffs Protokoll
Entwicklung der Standards
SiG
Daten und Verzeichnis-Integration
Die Daten- und Verzeichnisintegrationslösung dient auch als Fundament für Sicherheitsanwendungen wie: Single Sign-On Password Management PKI Digitale Zertifikatsdienste User Provisioning
“Die Konsolidierung der Benutzerdatenbestände könnte zu einer Verbesserung der Datenkonsistenz um 44%, Güte um 36% und Sicherheit um 33% führen.”—META Group
SiG
Synchronisierung von Verzeichnisdiensten (1)
IBMRACF
Sec.WaySAPR/3
LotusNotes
MSADS
z.B.SunOne
C/S UnixHost
UnkoordinierteSchemata
Kein automatisierter Abgleich zwischenVerzeichnissen
(Aufwand steigt unkalkulierbar)
Horizontale
Koordination
Tivoli,TME10
Netw./SystemManagement
SiG
Synchronisierung von Verzeichnisdiensten (2)
IBMRACF
Sec.WaySAPR/3
LotusNotes
MSADS
z.B.SunOne
C/S UnixHost
GemeinsamesSchema
GemeinsamesSchema zzgl.systemspez.Erweiterungen
. . .
Paarweiser Abgleich zwischenVerzeichnissen
(Aufwand steigt quadratisch)
Horizontale
Koordination
Tivoli,TME10
Netw./SystemManagement
SiG
Synchronisierung von Verzeichnisdiensten (3)
IBMRACF
Sec.WaySAPR/3
LotusNotes
MSADS
z.B.SunOne
Abgleich überMeta-
Verzeichnis
C/S UnixHost
GemeinsamesSchema
GemeinsamesSchema zzgl.systemspez.Erweiterungen
Horizontale
Koordination
Tivoli,TME10
Netw./SystemManagement
SiG
Virtuelle Verzeichnisdienste
Virtuelle Verzeichnisdienste sind eine Untermenge von Metaverzeichnisdiensten ... Sie synchronisieren nicht, sondern sie bieten eine
vereinheitlichte Sicht der Informationen. Sie ...
wandeln die LDAP-Anfragen in Anfragen an die originalen Datenquellen um,
nehmen die Ergebnismengen in Empfang und stellen sie als vereinheitlichte Sicht dem Anfrager zur
Verfügung. Da sie auf die originalen Datenquellen zugreifen, sind die zu
lesenden Informationen auch nicht leseoptimiert gespeichert.
Das Zeitverhalten wird also durch das der langsamsten Datenquelle bestimmt.
Sie ermöglichen den Verbleib der Daten-Kontrolle in den Abteilungen (keine politischen Grabenkämpfe)
Zuverlässigkeit: Das schwächste System bestimmt die Zuverlässigkeit des gesamten Systems.
SiG
Provisioning
Benutzer können so über verschiedene Systeme hinweg angelegt und verwaltet werden.
Ressourcen können für sie in über Workflows mit Genehmigungs-prozessen bereit gestellt werden.
Veränderungen bei den Benutzern lassen sich automatisch umsetzen.
Verlässt ein Benutzer das Unternehmen, werden die Benutzerkonten automatisch gelöscht oder gesperrt.
Die Administrationsprozesse durch Provisioning-Lösungen sind auch unter dem Aspekt von Sicherheit und Risiko-Management wichtig.
Auch bei mittelständischen Unter-nehmen ergibt ein deutlicher Mehrwert solcher Lösungen.
Provisioning-Lösungen bieten ein erhebliches Potenzial bei der effizienteren Gestaltung von Administrationsprozessen..
SiG
Web-Access
Sie regeln zentral den Zugriff auf vorhandene Anwendungen mit Web-Schnittstellen.
Gerade bei älteren Anwendungen ist das „Web Enablement“ ein Mittel, sie in neue Infrastrukturen zu integrieren.
Web Access Management ist für die Sicherheit dann unverzichtbar.
Zusätzlich sind in der Automobilindustrie auch SOAs (Service Oriented Architectures) nötig, um Geschäftsprozesse flexibel abbilden zu können.
Damit können Funktionen vorhandener Anwendungen als „Dienste“ in neue Anwendungen integriert werden.
Wegen der zentralen Rolle von Portalen sind Web Access Management-Lösungen auch für den internen Einsatz wichtig.
SiG
Provisioning workflowProvisioning workflow
Architektur eines Identity Management Systems
Verzeichnisdienst
Audit &Abstimmung
Audit &Abstimmung
Antrags-WorkflowAntrags-Workflow
Human ResourceHuman Resource VorgesetzterVorgesetzter AngestellterAngestellter
Zentraler Speicher für Identitäten,
Rollen, Gruppen und
Policies.
Zielsysteme
Antragsteller
RollenverwaltungRollenverwaltung
ID VerwaltungID Verwaltung
SiG
Integration über Federation
Zentral-Modell Netz-Identity und
Benutzerinfor-mation in einer einzigen Ablage,
Zentralisierte Steuerung, Single point of failure, Verbindet gleichartige
Systeme.
Federated Modell Netz-Identity und
Benutzerinfor-mation in verschiedenen Ablagen
Keine zentrale Steuerung Kein Single point of failure Verbindet gleichartige und
unterschiedliche Systeme
SiG
Federated Identity
Das Verwalten und Aushandeln der Vertrauensbeziehungen über Organisationsgrenzen hinweg mittels sogenannter föderierte Identitäten.
Föderierte Szenarios: Benutzerbequemlichkeit Verwandte industry
Gruppierungen Geschlossene, hoch-
verteilte Organisationen
Strategische B-to-B Beziehungen.
Über opt-in zum heterogenen Single Sign on – Federation liefert die Verbindung.
SiG
Fragen, Vorschläge, Hinweise?
Danke
SiG
Achtung
Anhang
Hier kommen die berüchtigten back-up-Folien ...
top related