ORACLE IDENTITY- UND ACCESS

ORACLE DATA SHEET
IDENTITY- UND ACCESS-MANAGEMENT
UNTERSTÜTZEN SIE IHRE
UNTERNEHMENSPROZESSE MIT ORACLE
IDENTITY- UND ACCESS-MANAGEMENT
AKTUELLE HERAUSFORDERUNGEN
 Anwenderkontenverwaltung
Wer hat Zugriff auf was?
Mit welchen Berechtigungen?
Sind die Zuordnungen aktuell gültig?
Ist Funktionstrennung umgesetzt, gibt es
ein einheitliches Rollenmanagement)?
 Zugriffsmanagement, z.B. Single Sign-
On, Federation, Betrugserkennung,
Risikomanagement?
 Auswertungserstellung, z.B. bzgl.
Corporate Governance)
 Einheitliche Systemadministration
Oracle bietet vielfältige Unterstützungsmöglichkeiten im Bereich Identity und
Access Management. Das vorliegende Dokument bietet eine kurze Einführung
in die Lösungen von Oracle zu diesem Thema.
In den letzten 20 Jahren hat die Informationstechnologie in nahezu jedem Unternehmen
Einzug gehalten. Durch die sukzessive Einführung neuer Systeme sind häufig viele
Einzellösungen entstanden, die oft ihre eigene Anwender- und Rechteverwaltung mitbringen.
Dies verursacht bei der Verwaltung einen hohen manuellen Aufwand und verhindert einen
zentralen Blick auf den aktuellen Stand der Anwenderverwaltung. Ebenso ist es schwierig,
Rechteveränderungen bei Aufgabenänderungen durch beispielsweise einen Abteilungswechsel
oder das Verlassen des Unternehmens und somit der Entziehung aller Berechtigungen schnell
und vollständig durchzuführen.
 Einhaltung von gesetzlichen Vorgaben
(BDSG, MaRisk,...)
 Verschlüsselung von persönlichen
Informationen (Kreditkarten-Nr., Gehalt,
Patientendaten,...)
 Applikationszugriff auf das
Personalverwaltungssystem nur zu den
gewöhnlichen Geschäftszeiten
 Unternehmensinformationen in
Dokumenten, wie pdf, doc, xls,.., gezielt
schützen - vor Zugriff, Veränderung,
Weiterleitung
 Entlastung des Helpdesks
Vorrangiges Ziel für die IT-Architektur jedes Unternehmens ist, dass die Daten zuverlässig
verfügbar sind (Ausfallsicherheit/Hochverfügbarkeit) sowie jederzeit nur von berechtigten
Personen einsehbar sowie zu bearbeiten sind. Weder sollen kritische Informationen aus dem
Firmennetz unberechtigt heraus gelangen, noch dürfen Daten von Unbefugten verändert
werden können. Bedrohliche Sicherheitslücken sind nicht nur von außen zu schließen, sondern
insbesondere auch von innen. Hier können vor allem Berechtigungskonzepte sowie eine
zentrale und durchgängige Anwenderverwaltung für alle Unternehmensanwendungen unterstützen. Das dazugehörige Berichtswesen und die Überwachungsmöglichkeiten erlauben den
Unternehmen heutzutage neben den eigenen Anforderungen ebenfalls gesetzlichen
Bestimmungen (BDSG, Euro-/SOX, KonTraG, PCI DSS) zu erfüllen.
ORACLE DATA SHEET
ORACLE
 „Alleine durch die Automatisierung der
Passwort-Verwaltung – was nur einen
kleinen Teil eines umfassenden
Programms für Identitätsmanagement
darstellt –können in einem Unternehmen
mit 10.000 Angestellten fast 650.000
US-Dollar eingespart werden.“
META Group
Das Identity und Accessmanagement (im folgenden kurz als IAM bezeichnet) Produktportfolio von Oracle erfüllt die Anforderungen, die heute von der Unternehmens-IT an eine
integrierte Lösungssuite gestellt werden. Gleichzeitig schafft Oracle Mehrwerte für das
Unternehmen wie

Kostenersparnis: Dank höherer Effizienz von Antrags- und Genehmigungsprozessen wird
der Verwaltungsaufwand über alle betroffenen IT-Systeme hinweg spürbar gesenkt.
Zusätzlich wirkt sich die durch IAM erreichte höhere Transparenz der
Administrationsaufwände kostensenkend aus, z.B. beim Berichtswesen.

Ease of Use: Für den Endnutzer bedeuten einfachere und flexiblere Antragsprozesse und
Anmeldeprozesse eine deutliche Entlastung. Authentifizierung und Kennwortmanagement
werden vereinfacht, das Beantragen, Genehmigen, Anlegen, Ändern und Löschen von
Benutzern und Rechten beschleunigt und verbessert. IAM macht darüber hinaus den
verstärkten Einsatz von Self-Service-Funktionen möglich.

Erhöhte Sicherheit: Der korrekte Umgang mit personenbezogenen Daten und das Einhalten
von Sicherheitsrichtlinien wird durch den Einsatz von effektivem IAM erheblich erleichtert.
Dank eindeutiger Identifikation aller Beteiligten wird das „Sicherheitsbewusstsein“ im
Unternehmen gestärkt.

Compliance: IAM ermöglicht den revisionssicheren Nachweis ausreichender
Risikovorsorge und dient als Grundlage für automatisiertes Auditing von IT-Prozessen.
Dadurch kann das Haftungsrisiko verringert und das Vertrauen in Systeme und Prozesse
gestärkt werden.
 Die Gartner-Experten stufen die Oracle
Provisioning-Lösung als ebenso führend
ein wie die Oracle IAM-Lösung selbst.
(Quadranten zu Provisioning und WebAccess 2009/10)
Oracle ist aufgrund seiner eigenen Innovationsstrategie sowie durch den gezielten Zukauf von
führenden Spezialanbietern in der Lage, eine vollständige Lösungs-Suite im Identity und
Access Management anzubieten, die von der Zugangskontrolle über Identity Federation,
Provisioning, Directory Services einschließlich Virtual Directories sowie Web Services
Management reicht und sich dank seiner Offenheit sehr gut in bestehende Systemlandschaften
integrieren lassen. Mit seinem Gesamtportfolio und seiner über Jahre hinweg gesammelten
Lösungskompetenz ist Oracle der richtige Partner, wenn es darum geht, die Unternehmens-IT
fit für die IAM-Anforderungen von morgen zu machen.
Dabei wird das Konzept der serviceorientierung innerhalb der Produkte und an den
Schnittstellen nach außen umgesetzt. Die Software stellt Ihre Funktionen als unabhängige
Services mit den standardbasierten Schnittstellen bereit (“Identity as a Service“).
2
ORACLE DATA SHEET
ÜBERBLICK
Womit beginnen?
 Identity Administration: Identity Lifecycle
Management (Provisionierung,
Reconciliation), Workflows, Selfservices, Berichtswesen
 Authentication und Trust Management:
Multifaktor, starke Authentifizierung,
Identity Assertion, Single Sign-On,
Föderationen
 Access Control: Risk-basierte
Authorisierung; feingranulare
Berechtigungen, Web-Services Security
 Identity und Access Governance: Audit
und Compliance Berichte, Segregation
of Duties, Attestations, Rolemining und
Rollenmanagement. Identity und
Fraudprevention, Analysefunktionen
Der Fokus beim Einsatz ist natürlich abhängig von den Zielen und Anforderung eines
Unternehmens und immer individuell. Häufige Anforderungen, die genannt werden, sind:

eine zentrale Anwenderkontenverwaltung aufbauen,

ein übergreifendes Rollenmodell und -management einzuführen,

ein aktuelles und zentrales Berichtsweseneinführen, um z.B. Governance-Anforderungen zu
erfüllen undUnterstützung im Bereich Auditing und Compliance. Oracle
Lösungsansätze
Oracle unterstützt eine Vielzahl von Lösungsansätzen und Herangehensweisen, exemplarisch
sind das:

Verschiedene Datentöpfe mit Anwenderinformationen für die Anmeldung virtuell, d.h. ohne
Synchronisaton und redundante Datenhaltung, zusammenführen (Oracle Virtual Directory)

Den Zugriff auf Web-Applikationen konsolidieren einschließlich Single Sign-On
ermöglichen (Oracle Access Manager)

Single Sign-On auch für Client-Server Applikationen, die nicht web-fähig sind ermöglichen
(Oracle Enterprise Single Sign-On)

Betrugserkennung und Risiko-management bei Applikationszugriffen (Oracle Adaptive
Access Manager)

Anwenderkontenverwaltung erleichtern sowie ein zentrales Berichtswesen aufbauen – wer
hat was? (Oracle Identity Manager)

Aufbau unternehmensübergreifender Netzwerke; kompatibel mit Standards wie SAML,
WS-Federation, Liberty Alliance (Oracle Identity Federation)

Bereitstellung unternehmensweiter Verzeichnisdienste, die über Replikationen auch an
andere Standorte repliziert werden können(Oracle Internet Directory und Oracle Directory
Server Enterprise Edition)

Unterstützung bei Audits, Rezertifizierungen und Prozessen bzgl.
Complianceanforderungen (z.B: SOX, MaRisk) (Oracle Identity Analytics)
 Directory Services: Verzeichnisdienste,
Identity Virtualisierung, Synchronisation;
Database User Security.
 Manageability: Service-level
Konfiguration, Environment Monitoring;
Performance Überwachung, Patch
Management, Diagnose und Tuning
Die nachfolgenden Seiten zeigen auf, welche Lösungen bei welchen Anforderungen hilfreich
sind.
Produktüberblick
Folgende Produkte finden sich zum Thema Identity und Access Management in Portfolio von
Oracle. Das Thema Provisionierung, Audit und Compliance ist dabei ausführlicher dargestellt.
3
ORACLE DATA SHEET
Der Oracle Identity Manager adressiert die Anforderungen hinsichtlich Provisionierung,
Identity Administration, Antrags- und Genehmigungsverfahren, Rollenmanagement und
Berichtswesen/Auditierung. Er vereinfacht und automatisiert das zentrale Management von
Benutzern, den Rollen und den dazugehörigen Legitimationen in allen Systemen. Die Lösung
bietet eine zentrale Plattform mit der die IT und die Benutzer, Manager und Administratoren
in die Lage versetzt werden, die Benutzerprofile, Benutzer Legitimationen und den Zugriff auf
Ressourcen zu managen. Dabei hinterliegt das Prinzip der delegierten Administration, eine
Protokollierung der Aktionen für Revision/Auditierung und eine flexible Workflowengine.
Die Audit Reporting-Engine stellt für entsprechende Benutzergruppen wie Administratoren,
Manager und Auditoren eine transparente Sicht auf die relevanten operationalen und
historischen Informationen zur Verfügung. Antworten zu den Fragen „Wer hat welchen
Zugriff?” oder “Wer hatte welchen Zugriff?” oder „Wie sehen die Veränderungen eines
Benutzers/Systems der letzten 3 Monate aus?“. Gartner führt Oracle zum wiederholten Male
als „Leader“ im „Magic Quadrant User Provisioning“ (Gartner, 10/2010).
Der Funktionsumfang von Oracle Identity Analytics (ehemals Sun Role Manager) umfasst
Role Mining, Role Management, Access Certification, Compliance und Segregation of Duties
(SoD bzw. Funktionstrennung). Somit können Unternehmen sicher und effizient die
Nutzerverwaltung gestalten, indem sie Rollen (und Aufgaben) definieren, Nutzer zuordnen
und deren Berechtigungen überprüfen sowie insgesamt die Einhaltung von Gesetzen,
Vorgaben und Richtlinien überwachen. Das Produkt hat in seiner Kategorie am Markt die
längste Historie und größte Verbreitung (Quelle: Forrester). Der Funktionsumfang bietet die
weiteste und tiefste Abdeckung hinsichtlich der Funktionalitäten im Identity Management
(Quelle: Gartner).
Oracle Access Manager ist eine webbasierte Single Sign On Lösung für Authentifizierung
und Autorisierung, die auch im Extranet, d.h. mit Millionen von Usern verwendet werden
kann. Die hohe Anzahl unterstützter Web- und Applikationsserver erlaubt den Einsatz auch in
stark heterogenen Umgebungen. Hierbei trägt die zentrale Steuerung der auf den dezentralen
Webserver geltenden Zugriffsrichtlinien zur effizienten Verwaltung bei. Die
Zugriffsrichtlinien können u.a. folgende Parameter berücksichtigen

Gruppen/Rollenzugehörigkeit des Zugreifenden

Standort (IP Adressbereich) wie Internet, Extranet, Intranet

Datum (z.B. Zugriff auf Applikation A nur Mo-Fr während der Geschäftszeiten)
Der Oracle Adaptive Access Manager stellt eine risikobasierte Zugriffskontrolle inkl.
forensischer Auswertung bei Zugriffsversuchen. Zusätzlich werden
Authentifizierungsmechanismen wie Einmal-Password für SMS, interaktive
Sprachauthentifizierung, via E-Mail und via Instant Messaging zur Verfügung gestellt.
Oracle Identity Federation ist zusammen mit Oracle OpenSSO STS ein Multi-Protokoll
Federation Server der sich in ihre Access Lösung mit der Bereitstellung von weiteren
Protokollen integriert und so „Cross-Domain“ User Zugriff ermöglicht (z.B. durch Protokolle
des Liberty Standards).
4
ORACLE DATA SHEET
Oracle Enterprise Single Sign-On Suite Plus stellt ein sogenanntes Desktop Single Sign On
zur Verfügung, das häufig dann genutzt, wird wenn sich eine Applikationen nicht über einen
SSO Standardmechnismus (vgl. Access Manager) integrieren lässt. Beispielsweise Mainframe
Applikationen über Terminalemulationen.
Oracle Entitlements Server bietet das standardbasierte Auslagern von Berechtigungen und
Policies für Anwendungen und Webservices eines Unternehmens (Stichwort XACML) . So
können feinstgranualare Berechtigungen modelliert und zentral bereitgestellt werden.
Oracle Directory Services Plus sind die Directory Services, die das Herzstück jeder Identity
Management Architektur sind. Dies sind LDAP-basierte Directories und das Virtual Directory
bzw. ein Directory Proxy.
Fokus Datenbanken
Oracle Advanced Security kombiniert Netzwerkverschlüsselung, Databankverschlüsselung
und starke Authentifizierung. Mit OAS, können Applikationsdaten oder spezifische Spalten
wie Kreditkartennummern transparent verschlüsselt werden.
Oracle Database Firewall – ist eine Firewall für Datenbanken, die auch nicht Oracle
Produkte abdeckt. Sie monitort die Aktivität auf dem Netz und schützt vor unauthorisiertem
Zugriff, SQL Injections und anderen Angriffen. Sie nutzt positive (white list) und Ausschluß
(black list) Securitymodelle um SQL Kommandos zu validieren bevor sie die Datenbank
erreichen.
Oracle Database Vault adressiert den Schutz von Daten durch privilegierte User (DBA),
setzt Separation of Duty um und liefert Steuerungsmöglichkeiten wer, wann und wie auf
Daten zugegriffen werden kann.
Oracle Data Masking maskiert sensitive oder vertrauliche Daten beim Übertrag in andere
Umgebungen, z.B. Development, Test oder Staging. Ein irreversibler Prozess ersetzt sensitive
Daten über Masking Regeln.
Oracle Total Recall stellt den Audit von historischen Daten zur Verfügung. OTR speichert
diese Daten in manipulationssichern Datenbanken und ermöglicht Applikationen den Zugriff
Oracle Secure Backup stellt ein regelbasiertes Backup, dass die Daten verschlüsselt.
Gestohlene Bänder/Backupmedien können so nicht gelesen werden.
Oracle Audit Vault sammelt die Logdaten von Systemen in einem Datawarehouse. Darüber
können dann einfach Reports und Analysen erstellt werden und Threats oder
Auditverletzungen entdeckt werden.
Management/Monitoring
Eine wichtige Komponente ist das Monitoring der eingesetzten Produkte. Dies wird durch den
Oracle Enterprise Manager bereitgestellt. Jedes Produkt „pluggt“ sich in diese Umgebung
ein und kann diagnostiziert, getunt und gepatcht werden.
5
ORACLE DATA SHEET
Auswertungen
Jede Lösungskomponente von Oracle bietet ausgezeichnete integrierte Reportingmöglichkeiten. Verschiedene Lösungen stellen dabie auch zusätzlich Reports im BI Publisher
Format zur Verfügung. Das Reporting deckt je nach Produkt unterschiedliche Aspekte ab wie:

Berichte über die verwalteten Daten und Änderungen

Informationen als Basis für Audits und Compliancenachweise

Logginginformationen bzgl. Bewegungsdaten, z.B. Logins, Aufrufe

Logginginformationen mit dem Fokus Troubleshooting und Entwicklung
Sicherheitsfunktionalitäten für Entwickler
Wenn spezielle Funktionalitäten bei der Anwendungsentwicklung benötigt werden, können
bestehende Libaries zum Einsatz kommen um die oben aufgeführten Funktionen auch als
„Backbone“ verwenden zu können. Parallel dazu kann auch die jeweilige (Webservice)
Schnittstelle verwendet werden wie z.B. SAML, XACML, DSML, LDAP.
Weiterführende Informationen
Identity Management:
http://www.oracle.com/us/products/middleware/identity-management/index.html
http://www.oracle.com/technology/products/id_mgmt/index.html
zentrale Administration der Infrastruktur mit Oracle Enterprise Manager:
http://www.oracle.com/technology/products/oem/index.html
Kontakt
For more information visit oracle.com or call +1.800.ORACLE1 to speak to an Oracle representative.
Copyright © 2011, Oracle and/or its affiliates. All rights reserved.
This document is provided for information purposes only and the contents hereof are subject to change without notice. This document is not warranted to be error-free, nor subject
to any other warranties or conditions, whether expressed orally or implied in law, including implied warranties and conditions of merchantability or fitness for a particular purpose.
We specifically disclaim any liability with respect to this document and no contractual obligations are formed either directly or indirectly by this document. This document may not
be reproduced or transmitted in any form or by any means, electronic or mechanical, for any purpose, without our prior written permission.
Oracle and Java are registered trademarks of Oracle and/or its affiliates. Other names may be trademarks of their respective owners.
AMD, Opteron, the AMD logo, and the AMD Opteron logo are trademarks or registered trademarks of Advanced Micro Devices. Intel and Intel Xeon are trademarks or registered
trademarks of Intel Corporation. All SPARC trademarks are used under license and are trademarks or registered trademarks of SPARC International, Inc. UNIX is a registered
trademark licensed through X/Open Company, Ltd. 1010
6