Identity Management

Effektive Benutzerverwaltung mit
Housekeeper
Dötsch, Stefan. Consultant Collaboration Management
Agenda
1. Identity Management
Fachlicher Ansatz und Grundverständnis
2. IBM Domino
Welche Out-of-the-Box Möglichkeiten haben wir mit IBM Domino.
3. housekeeper by CENIT
Eine ganzheitliche Lösung mit Mehrwert!
Copyright CENIT AG
03.04.2014
2
Was ist eine Identität?
Identität
(lateinisch īdem ‚derselbe‘, ĭdem ‚dasselbe‘) ist
die Gesamtheit der eine Entität, einen
Gegenstand oder ein Objekt kennzeichnenden
und als Individuum von allen anderen
unterscheidenden Eigentümlichkeiten. Analog
wird der Begriff auch zur Charakterisierung
von Personen verwandt.
Echtheit einer Person oder Sache; völlige
Übereinstimmung mit dem, was sie ist oder als
was sie bezeichnet wird
(Psychologie) als »Selbst« erlebte innere
Einheit der Person
Copyright CENIT AG
03.04.2014
Seite 3
Identität in der digitalen Welt
Einer Identität werden in einem Identity Management System (IdM)
verschiedene Attribute zugeordnet.
Bekanntes Beispiel für eine IdM Lösung ist Facebook!
Eine Identität wird typischerweise durch eine Kombination generischer
Attribute bestimmt. Diese Attribute können als Bedingungen verwendet
werden.
Copyright CENIT AG
03.04.2014
Seite 4
Copyright CENIT AG
03.04.2014
Seite 5
Was ist Identity Management
Als Identitätsmanagement (IdM) wird der zielgerichtete und bewusste
Umgang mit Identität, Anonymität und Pseudoanonymität bezeichnet.
Ein weiteres bekanntes Beispiel ist der Personalausweis. Dieser steht für
eine staatlich vorgegebene Form der Identifizierung.
IdM beschreibt also das Management von individuellen Identitäten, ihrer
Authentifizierung, Autorisierung, Rollen und Rechten/Privilegien innerhalb
eines Unternehmens mit dem Ziel:
Sicherheit weiter zu erhöhen
Self Service
Automatisierung der Prozesse
Datenkonsistenz und Lean IT
Single Sign On
Produktivität weiter zu steigern,
bei sinkenden Kosten und
Downtimes
Compliance
Copyright CENIT AG
03.04.2014
Seite 6
Die Herausforderung
Die wachsende Anzahl an Notes-basierten Anwendungen, der stetige Wechsel
von Rollen in unterschiedlichen Communities (Abteilung, Netzwerken, Teams,
etc.) und die Mitarbeiterfluktuation stellen für Unternehmen eine große
Herausforderung dar.
Identity Management sollte somit eines der Ziele im Unterstützungsprozess
sein.
Copyright CENIT AG
03.04.2014
Seite 7
Identity Access Management
Ein erweiterter Ansatz, der sich neben dem Identity Management auch mit
dem Access Management beschäftigt. Diese Dinge sind zwangläufig
miteinander verwoben.
Identity Management sagt aus, wer Sie sind.
Identity Access Management involviert die Policies und bestimmt wie Sie
auf Ressourcen/Daten zugreifen.
Einer Identität werden Rollen zugeordnet, diese Rollen wiederrum haben
Rechte und Privilegien.
Copyright CENIT AG
03.04.2014
Seite 8
Warum benötigen wir IdM?
Unternehmen entwickeln und implementieren typischerweise in
individuellen Projekten eine oder mehrere Anwendungen, oft ohne das
vollständige Bewusstsein des Rechtemanagements.
Jede Applikation wird auf eine andere Art und Weise ausgerollt, verfügen
über eigene ACLs, mit eigenem Security Modell (z.B. Notes Rollen)
Unterschiedliche Rechtekonzepte für einzelne Anwendungen.
Oft genug haben Applikationsverantwortliche in den Fachabteilungen den
Überblick über das Rechtemodell verloren – und die Berechtigungen
werden nach besten Wissen und Gewissen gesetzt.
Copyright CENIT AG
03.04.2014
Seite 9
Warum benötigen wir IdM?
Inkonsistenter Prozess für Account Deaktivierung
Mehrere Organisationen verwalten die Rechte. Viele Köche..
Mitarbeiter sind heute flexibler. (Elternzeit, unbezahlter Sonderurlaub,
Wechsel innerhalb des Unternehmens, neue Rollen, neue Funktionen,
neue Projekte)
Entlastung der Administration
Senkung des TCO
Copyright CENIT AG
03.04.2014
Seite 10
Identity Management
Identity Management Lösungen sollten somit folgende Dinge beherrschen:
Directory Services
Rechtemanagement
Identity Life-Cycle Management
Account Provisionierung und Deaktivierung/Löschung
Rollen Management
Copyright CENIT AG
03.04.2014
Seite 11
Identity
Lifecycle
Management
•Benutzer Daten
•Management
•Audit
•Report
•Provisionierung
Access
Management
Directory
Services
Rollen
Management
Copyright CENIT AG
•Authentifizierung
•Autorisierung
•Audit
•Attribute
•Gruppen
•Delegation
•Rollenverwaltung
•Governance
•Compliance
03.04.2014
Seite 12
Erfolgreiche Projektmethode
1. Inventarisierung:
Informationen über Benutzer
sammeln. Notwendige
Zugriffsrechte und Applikationen
Report
2. Realisierung: Roadmap,
Assoziiere Benutzer & Gruppen
mit ACLs und entwickle operative
Support- und Workflow Prozesse.
3. Go Live: Prozesse und Workflows
leben!
Inventarisierung
Step 1
Step 2
Step 3
Definiere
Map
Zuweisen
Optimierung
4. Optimierung: Entwickeln von
automatisierten, delegierten
Prozessen.
Realisierung
Go Live
5. Report: Ermitteln Sie nun den
Return of Invest und die
aktuellen Aufwände.
Copyright CENIT AG
03.04.2014
Seite 13
Agenda
1. Identity Management
Fachlicher Ansatz und Grundverständnis
2. IBM Domino
Out-of-the-Box mit IBM Domino.
3. housekeeper by CENIT
Eine ganzheitliche Lösung mit Mehrwert!
Copyright CENIT AG
03.04.2014
14
Accountanlage
Probleme:
Wir müssen eine größere Anzahl
Accounts erstellen.
Wir müssen unregelmäßig oft
Accounts anlegen.
Schreibfehler, Verwechslungen..
Copyright CENIT AG
03.04.2014
Seite 15
Accountanlage
Lösung 1:
Registration Policy
Spart massiv Zeit!
Hilft uns dabei einen Standard zu
schaffen.
Macht das Registrieren einfacher
und schneller.
Copyright CENIT AG
03.04.2014
Seite 16
Accountanlage
In der Registration Policy können wir
Vorgaben wie z.B. Mail Server / Mail
File / Quota / etc. vorgeben.
Nachteil:
Diese Dinge können nur von einem
Administrator verwaltet werden!
Weiterhin können nur
Administratoren Accounts anlegen.
Keine Integration mit MarvelClient
oder anderen Werkzeugen.
Copyright CENIT AG
03.04.2014
Seite 17
Accountanlage
Lösung 2:
Text File Import
Wenn wir viele Benutzer anlegen
müssen, so kann dies helfen,
darüber hinaus haben wir die
Möglichkeit Registration Policies zu
selektieren.
Copyright CENIT AG
03.04.2014
Seite 18
Accountanlage
Nachteile entstehen vor allem durch das manuelle Erstellen von TEXT
Files.
Es erfolgt in der Regel kein Abgleich mit einem anderen Directory, somit
fehlen Daten oder sind fehlerhaft.
Wir sehen nicht wer, wann, was, wie angelegt hat.
Compliance
Der Administrator ist weiterhin in der Verantwortung für die Accountanlage.
Evtl. existierender Workflow wird durch manuelle Schritte unterbrochen.
Schlechte Workflow Performance aufgrund Ressourcenengpässe.
Copyright CENIT AG
03.04.2014
Seite 19
Account Deaktivierung
Problem:
Der Benutzer ist zeitweise nicht mehr im Unternehmen aktiv, aber weiterhin
angestellt.
(z.B. Elternzeit, längere Krankheit, Theorie Phase von Studenten, etc.)
Lösung:
Deny Access Group
Benutzer ist weiterhin Adressierbar.
Email Forwarding
Man verliert jedoch unheimlich schnell den Überblick.
Weiterleitung->Weiterleitung-> Dead End..?!
Zugriff auf altes Mail File
Mühsam von Hand
Copyright CENIT AG
03.04.2014
Seite 20
Account Deaktivierung
Wenn wir ehrlich sind, wählen wir in der Regel den Weg mit dem geringsten
Widerstand.
Das heißt:
Wir löschen den Benutzer
Geben oft noch Zugriff auf das Postfach
Wir der Benutzer wieder aktiv, legen wir ihn „halt“ neu an.
Doch..
..was ist wenn der Benutzer nicht wieder kommt?
..was ist mit dem Mail File?
..warum machen wir das mit der „Hand am Arm“?
..warum dokumentieren wir nicht?
Copyright CENIT AG
03.04.2014
Seite 21
Account löschen
Nur eine Lösung:
Admin Client – Personen – Benutzer
löschen
Nachteil:
Wir müssen manuell Zugriff auf die
Mail Datei geben.
Resultat: Umständlich und auf lange
Sicht Datenmüll.
Wenn wir archivieren wollen,
müssen wir das von Hand machen.
-> Mögliche Lösung ICC
Nur der Admin kann löschen.
Keine Dokumentation des Vorgangs
(wer, wann, warum, etc.)
Copyright CENIT AG
03.04.2014
Seite 22
Gruppen Verwaltung
Problem:
Wir möchten die Gruppenverwaltung
an die Fachabteilungen abgeben.
Lösung:
Im Gruppendokument im Reiter
Administration können
Administratoren festgelegt werden.
Diese können dann die
Gruppenmitgliedschaften verwalten.
Copyright CENIT AG
03.04.2014
Seite 23
Gruppen Verwaltung
Nachteil:
Fehlendes Logging.
Wozu wird diese Gruppe verwendet?
(MarvelClient… ACL.. Mail… gar nichts?)
Sehr umständlich für Benutzer.
Die Realität: Der Benutzer ruft an, und braucht Hilfe.
Workflow wäre eigentlich nett.
Sehr fokussiert auf einzelne Gruppen, und eben nicht auf ein
Rollenmodell.
Copyright CENIT AG
03.04.2014
Seite 24
Password reset
Lösung 1:
Password Digest
Sie können das Passwort des Benutzers zurücksetzen, in dem Sie das
Password digest Field im Personendokument löschen.
http://www.ibm.com/developerworks/lotus/library/ls-password_checking/index.html?ca=drs
Copyright CENIT AG
03.04.2014
Seite 25
Password reset
Lösung 2:
ID Vault.
Copyright CENIT AG
03.04.2014
Seite 26
Password reset
Lösung 3:
Wiederherstellungskennwort
Einfach nur umständlich!
http://publib.boulder.ibm.com/infocenter/domhelp/v8r0/index.jsp?topic=%2Fcom.ibm.notes85.help.doc%2Fsec_id_recov_t
.html&lang=de
Copyright CENIT AG
03.04.2014
Seite 27
Agenda
1. Identity Management
Fachlicher Ansatz und Grundverständnis
2. IBM Domino
Welche Out-of-the-Box Möglichkeiten haben wir mit IBM Domino.
3. housekeeper by CENIT
Eine ganzheitliche Lösung mit Mehrwert!
Copyright CENIT AG
03.04.2014
28
housekeeper
housekeeper by CENIT
Ganzheitliche Identity Management Lösung.
Quick Specs:
Prozessbasierte Lösung
Einzelne Administrationsschritte
verlagern
Compliance
Schnittstellen zu MarvelClient
Darüber hinaus:
Erweitertes Toolset für
Administratoren und Service Desk
Copyright CENIT AG
03.04.2014
Seite 29
Verwendete Standards
Wir verwenden die IBM Standards um effektiv auf Release Wechsel
reagieren und ein Customizing zu ermöglichen.
Auszug aus den eingesetzten Standards:
XPage
AdminP
Config File
ID Vault
Domino Directory
LDAP, JDBC, RDBMS, Notes, SOAP, TTP, SQL, SAP, XML, Excel, TXT
Systemanforderungen
Keine zusätzlichen Add In‘s oder Servertasks notwendig
Clusterfähig
Ab Domino 8.0
XPage Extension Library
HTTP Task
COPYRIGHT CENIT AG // WWW.CENIT.DE
03.04.2014
30
Benefits für den Administrator
Effektive Accountverwaltung
Seperates initales Kennwort oder Standard Kennwort
Template-basierende Account Registrierung
Kein Zugriff auf certifier notwendig
Dadurch Workflow fähig
Helpdesk/Selfservice Password Reset
Erstellt automatisiert das Config File und legt es auf ein Share
Gruppenverwaltung mittels Gruppenadministratoren
Revisionssichere Dokumentation
XPage Basierend
COPYRIGHT CENIT AG // WWW.CENIT.DE
03.04.2014
31
Benefits für den Administrator
Umbennenungen über AdminP
Re/Umzertifizierung über AdminP
User zeitgesteuert umziehen (inkl. von bis)
Löschung eines Accounts, Zugriff auf Mail Datenbank
festlegen, und Lösch/Archivierungsdatum festlegen.
„Elternzeit-Funktion“
User für einen bestimmten Zeitraum sperren
Datenbanken Merger
Dokumente einer Datenbank in eine/mehrere
Datenbanken kopieren
Aus mehreren Datenbanken in eine Datenbank kopieren
Ordner wieder herstellen
COPYRIGHT CENIT AG // WWW.CENIT.DE
03.04.2014
32
Benefits für das Unternehmen
Durch effektive Prozessoptimierung werden die Aufwände und
somit der TCO gesenkt.
Entlastung der Administration
Dokumentation der Prozessschritte
Durch die Standardisierung wird eine Prozesssicherheit
geschaffen
Integration an externe Systeme erlangt einen hohen Grad der
Automatisierung
Datensicherheit wird erhöht.
Sie sparen effektiv Lizenzkosten!
Single Sign On
COPYRIGHT CENIT AG // WWW.CENIT.DE
03.04.2014
33
Benefits für das Unternehmen
Theming/CI möglich!
Workflowmanagement
User Self Services
Servicedesk optimieren -> Lösungen können schneller
gefunden werden.
Höhere Benutzerakzeptanz
Fokussierung auf das eigentliche Business!
COPYRIGHT CENIT AG // WWW.CENIT.DE
03.04.2014
34
Erweitertes Toolset
Modul Database
Maintenance auf Datenbanken
Mit Command Optionen
Datenbank Merger
Doppelte Dokumente finden
Mail IN Datenbanken anlegen
Löschen des Calendar Profiles
Zeige Administrationsserver der Datenbanken
MailFile Owner/Profile Document/Personen Document
uvm.
COPYRIGHT CENIT AG // WWW.CENIT.DE
03.04.2014
35
Erweitertes Toolset
Modul Group
Rollenbasierte ACL Verwaltung
Verwaltung von Gruppen durch „Group Administrators“
Leere Gruppen finden
Zeige alle Gruppen an die nicht in ACLs gelistet sind
Finde Gruppen über 32k Grenze
Ein Member in mehrere Gruppen hinzufügen
uvm.
COPYRIGHT CENIT AG // WWW.CENIT.DE
03.04.2014
36
Erweitertes Toolset
Modul Cluster
Finde abweichende Quotas
Finde abweichende/fehlende ACL
Zeige fehlende Repliken
Replication Validierung
Vergleicht Dokumente in 2 Datenbanken
Finde alle Repicas
Vergleiche Replica Größen
uvm.
COPYRIGHT CENIT AG // WWW.CENIT.DE
03.04.2014
37
Schnittstellen
panagenda MarvelClient
Für volle umfassende Account Provisionierung und
Client Management.
GBS App Builder
Workflow Integration
IBM Connections
Als iFrame
COPYRIGHT CENIT AG // WWW.CENIT.DE
03.04.2014
38
LIVE DEMO
Neues BETA Release
Bitte machen Sie keine Fotos oder Videos!
COPYRIGHT CENIT AG // WWW.CENIT.DE
03.04.2014
40
Fragen und Antworten
Module Houskeeper
COPYRIGHT CENIT AG // WWW.CENIT.DE
03.04.2014
42
Copyright CENIT AG
03.04.2014
Seite 43
Vielen Dank!
Stefan Dötsch
Consultant Collaboration Management
Telefon +49 (0151) 527 45 476
E-Mail [email protected]
CENIT AG
Industriestraße 52-54
70565 Stuttgart
www.cenit.com