La gestion d'identités: une nécessité sur les campus Numériques. Marie-Francoise Penta /Olivier Prompt Manuel Jaffrin

Transcription

1 La gestion d'identités: une nécessité sur les campus Numériques Marie-Francoise Penta /Olivier Prompt Manuel Jaffrin

2 Agenda Introduction et définition des concepts de la gestion intégrale d'identités numériques Les grandes étapes de la mise en place d'une solution globale Les solutions Sun Démonstration - Discussion Quelques exemples de projets en cours Vers un model Fédéré - Conclusion 2

3 Quelle définition pour la gestion de l'identité numérique? "La gestion des identités Numériques est la combinaison d'un ensemble de processus et d'une infrastructure technologique pour la création, la maintenance et l'utilisation de ces identités." The Burton Group 3

4 Les grandes fonctions de la gestion d'identités Provision d'accès & Propagation Création, modification des comptes et privilèges des utilisateurs Follow a standard workflow for tasks Authentification Confirmation de l'identité de l'utilisateur I'm John Doe and here's my ID and password to prove it Authorisation Autorise l'accès aux services et ressources en fonction de règles et roles All members of the group Prof_Smith_Physics_301 have access to Professor Smith's Physics 301 online lecture notes Protection des données et conformité avec les lois Hide personal data and track usage patterns for audit trail without tracking private usage information such as who checked out specific books from the library such as adding a new faculty member or deleting student access to course materials after a term has completed 4

5 Des besoins et des environnements très complexes Très grande nombre d'utilisateurs De nombreux roles: Des besoins d'accès différents Les utilisateurs ont souvent de multiples roles Ces roles changent fréquements Environnemt Multi-campus (Collaboration) Existance de multiples base de données d'identités fragmentées Nécessité de mettre en place une politique de Sécurité globale 5

6 Le cycle de vie des identités sur un Campus Faculty member leaves Student graduates or drops out Research contracts expire Non-digital resources retrieved and/or canceled User info entered via student admissions, faculty hiring, etc. Accounts provisioned to enterprise systems, applications, directories Non-digital resources assigned and/or initiated Faculty job/role/status changes Student classes change at end of term Password changes and resets Profile or contact information changes Additional requests for account access or non-digital resources 6

7 Les grandes étapes pour l'implémentation d'une solution globale 7

8 Etape 1 Services d'authentification centralisés Permet le Single Sign-on entre les applications connectées Les Applications ont accès aux meme services centraux d'authentification Support du single sign-on Web Initial Sign-On (Web ISO) Central Authentication Service 8

9 Etape 2 Services d'autorisation centralisés Permet la gestion centralisée des droits d'accès Les Applications ont accès à un service centralisé d'autorisation basé sur des roles et profiles Extension vers un modèl fédéré pour simplifier la collaboration entre institution Central Authorization Service 9

10 Etape 3 Gestion total automatisée Automatisation des flux d'information Administration Services Autorisation basée sur des roles et règles Sistème globale d'audit et de monitorisation Gestion autonome des mots de passe Fédération des identités Transaction Services Data Repositories Research e-learning ERP SIS Digital Library 10

11 Les avantages d'une solution globale Meilleure sécurité Capacité de monté en charge et réduction des couts/complexité Efficacité / Productivité Meilleure qualité de service Fédération Possibilité accrue de collaboration entre institutions 11

12 Le socle de Sun: Java Enterprise System Identity Management Suite 12

13 Les services d identité Administration Directory Service Access Management Identity Management Directory Services Single-Sign-On User Provisioning Proxy Security/Failover Access Control Password Management AD PW Synchronization Federation Synchronization Services Audit and Report 13

14 Démonstration Identity Manager Administration Délégation d administration Administration Identité-Rôle-Politique Gestion de l identité Auto Administration Audit Gestion du mot de passe Rapport Synchronisation de l identité Spécificités technologiques Identité virtuelle Réconciliation Règles métiers Workflow Dynamique SPML Toolkit Connectivité sans agent Annuaires SGBDR Mainframes Systèmes d exploitation Progiciels Applications maisons Entreprise Autres 14

15 Gestion d Identité 15

16 Gestion d identité : constat Partenaires Clients Employés Où sont les risques? Anciens Employés/pr estataires Qui accède à quoi? Quelles sont les tâches répétitives et coûteuses? Quel est le coût fragmentée? Ressources de cette gestion Humaines Exchange/Active Directory Oracle Finance Centre de support Siebel CRM Help Desk Gestion des équipements Équipements Téléphone mobile Compte de Conf. Call Carte de crédit Autres équipements Bureau Téléphone Portable 16

17 Gestion d identité : proposition de Sun Responsable RH Partenaires Employés Réduction des risques Vue globale de l identité d un utilisateur Efficacité et automatisation Exchange/Active Directory Oracle Finance Clients Anciens employés/pr estataires Approbation hiérarchique Siebel CRM Équipements Téléphone mobile Compte de Conf. Call Carte de crédit Autres équipements Bureau Téléphone Portable 17

18 Gestion du mot de passe 18

19 Environnement Processus Utilisateurs Gestion du mot de passe : constat Processus manuels Partenaires Employés Support aux utilisateurs disponible uniquement aux heures d ouverture L utilisateur doit gérer plusieurs mots de passe/processus de changement de mot de passe Clients Prestataires Help Desk Help Desk Exchange / Active Directory Siebel CRM Unix PeopleSoft Système RH Oracle Finance RACF 19

20 Partenaires Environnement Prestataires Clients Employés Processus Utilisateurs Gestion du mot de passe : apports SJSIM Automatisation des processus de changement du mot de passe (IVR) Disponible en permanence Un seul point central de gestion Exchange / Active Directory Siebel CRM Unix PeopleSoft Système RH Oracle Finance RACF 20

21 Synchronisation 21

22 Les besoins de synchronisation Migration vers une infrastructure d annuaire Garantir la cohérence des données d identité dans le référentiel et dans les applications concernées Gestion des profils et des droits d accès Gestion de la synchronisation de donnée 22

23 Synchronisation : Identity Manager RACF Windows NT SGBDR Oracle Lotus Notes LDAP LDAP LDAP Construction du référentiel annuaire, migration des données d identité depuis les sources de données existantes Liste & jointure des identités, nettoyage, création de l identité virtuelle Création du référentiel annuaire : inscription dans des groupes, des arborescences Opérations de migration, de chargement en masse Assure une transition souple dans le cadre de la migration en alimentant en parallèle l ancien et le nouveau référentiel Active Directory Sun Java System Directory Server Sun Java System Directory Server 23

24 Gestion des profils et des changements 24

25 Gestion de profils : constat Employée Partenaires Partenaires Mariée Change de nom Change d adresse Dirigeants Commerciaux Help Desk RH Application d embauche Exchange / Active Directory Marketing? Siebel CRM Système HR Client Opérations Source d erreurs Beaucoup d intervenants Qualité de l information Oracle Fiance? Paie 25

26 Gestion de profils : apports Employée Partenaires Partenaires Mariée Change de nom Change d adresse Dirigeants Commerciaux Marketing Client Opérations Self Service Automatisation Rapidité Qualité de service et qualité des données Satisfaction utilisateur Responsable RH Application d embauche Exchange / Active Directory Siebel CRM Système HR Oracle Fiance Paie 26

27 Administration 27

28 Administration : constat Les sources de données sont souvent la propriété individuelle d un service et administrées manuellement Les mises à jour manuelles sont source d erreurs et de perte de temps Risques importants d incohérences de l information d identité dans les différents systèmes Exchange / Active Directory Annuaire Extranet CRM Système RH ERP Applications propriétaires Système de paie 28

29 Administration centralisée : apports Une promotion Nouveau Titre Nouveau Job Code Nouveau Coefficient Nouveau Département Modification Département, Job Code, Titre pour les pages blanches Annuaire d entreprise Système de paie Exchange / Active Directory Modification du Département, Titre, Job Code Modification home directory et déplacement des fichiers Modification du message db account size pour l employé ERP Système RH Modification du Job Code Modification des accès Modification du Coefficient pour révision du salaire de base 29

30 Sun Java System Identity Manager Administration Délégation d administration Administration Identité-Rôle-Politique Gestion de l identité Auto Administration Audit Gestion du mot de passe Rapport Synchronisation de l identité Spécificités technologiques Identité virtuelle Réconciliation Règles métiers Workflow Dynamique SPML Toolkit Connectivité sans agent Annuaires SGBDR Mainframes Systèmes d exploitation Progiciels Applications maisons Entreprise Autres 30

31 Spécificités technologiques 31

32 Les services d Identity Manager Une approche non intrusive pour faciliter le déploiement et améliorer la gestion de l identité Moteur de règles Workflow dynamiques Auto-discovery Gestionnaire d Identité virtuelle Adaptateurs de ressources «sans agent» 32

33 Spécificité technique : Identité virtuelle Représentation logique des identités réparties dans les différentes sources de données Jsmith Réduction/Détection des comptes «orphelins» Applications jms SGBD smitty Joe Smith Identité Virtuelle Annuaires 33

34 Apports Réduction de la durée de propagation Réduction des risques de désynchronisation Gestion centralisée, exécution et application localisée Applications SGBD Applications Web Gestionnaire D Identité virtuelle Annuaires SGBD/Annuaires des équipements 34

35 Connectivité Sans agents Réduction des contraintes de déploiement Pas de gestion de la configuration des agents Réduction des contraintes opérationnelles Système UNIX Applications «maison» SGBDR Applications entreprise Assistant de configuration et de développement d adaptateur Annuaires NT/ADS Mainframe Sans agent Application «propriétaire» Connecteur Agent 35

36 Sun Java System Identity Manager Administration Délégation d administration Administration Identité-Rôle-Politique Gestion de l identité Auto Administration Audit Gestion du mot de passe Rapport Synchronisation de l identité Spécificités technologiques Identité virtuelle Réconciliation Règles métiers Workflow Dynamique SPML Toolkit Connectivité sans agent Annuaires SGBDR Mainframes Systèmes d exploitation Progiciels Applications maisons Entreprise Autres 36

37 Console de gestion des identités unifiée 37

38 Console de gestion d identité unifiée Interface client léger pour les administrateurs gestionnaires et les utilisateurs Utilisation des «Smart Forms» : des formulaires web dynamiques et interactifs pour assister l utilisateur dans sa navigation Administration déléguée - granularité élevée : portée, capacités, sources de données, données Auto-administration : gestion des comptes, du mot de passe, des équipements, des attributs personnels Administrateurs / Gestionnaires Définissent et gèrent : les rôles, les politiques, les niveaux de délégation Visualisent et gèrent les identités Génération de rapports détaillés et graphiques Audit des identités de bout en bout 38

39 Démonstration 39

40 Démonstration Les différentes interfaces Interface d Administrateur Interface de gestionnaire Interface Utilisateur Les Ressources Les Rôles Les Capacités Les Approbations La synchronisation L auto-administration 40

41 Architecture Logique LDAP Administrateur/Gestionnaire Windows 2000 (AD) Administrateur/Gestionnaire Prestataires Responsable Sécurité Sécurité 1 serveur Windows Annuaire LDAP Sun 1 Active Directory 1 Serveur d application (Tomcat) 3 bases de données (MySQL) 1 Identity Manager V5 41

42 Démo 42

43 De la théorie à la pratique 43

44 Building the Digital Campus University of Salford February 2005

45 The Vision: the Integrated Information Infrastructure HR / Payroll Contacts SIS VLE LMS CTT Schools local Finance Payments Integration Layer Processes / Activities / Functions The Univ. of Salford Students Partners Staff Researchers Others

46 Proof of Concept Methodology PoC Stage 1 Stage 1 Scoping Assess Current State of Commercial Offerings Potential Solution Identified Preferred Suppliers Relationship Stage 2 Investigation Design Test & Evaluate Solution Business & Technical Architecture Recommendations Report Stage 3 Evaluation Projects Strategic Road Map Future Impacts Fully Analysed Implementation Strategy UoS Implementation

47 Technical Scope Live Arc (SIS) Blackboard (VLE) Manual creation required for period between registration and synching via Accman. <<Manual>> AccountDetails ModuleDetails VLE Administrator <<Manual>> PersonDetails Accounts on Banner and BI Query only created after of authorised request form, and SIS training completed. BI Query (Reporting) <<Manual>> AccountDetails <<Batch>> ModuleDetails Various Agents Banner (SIS) Grey Membership <<Manual>> StudentDetails <<Batch>> PersonDetails <<OnRequest>> BarcodeDetails <<Manual>> AccountDetails SAP (HR) <<Manual>> PersonDetails <<Batch>> PersonDetails <<Batch>> PersonDetails <<Batch>> AddressBooks Pegasus (Academic Staff Only) (POP3) Administrator <<OnRequest>> <<OnRequest>> ContactDetails ContactDetails Approvals <<OnRequest>> AuthDetails <<OnRequest>> AuthDetails <<Batch>> AuthDetails Accman User White Pages Main Directory <<Manual>> EmployeeDetails HR Administrator <<Batch>> BarcodeDetails HR Agent <<OnRequest>> BarcodeDetails Single Username/Pwd on SAP or Oracle <<OnRequest>> AuthDetails <<OnRequest>> AuthDetails Qmail (Academic Mail) <<Batch>> BarcodeDetails Student Administrator Accounts on SAP only created after receipt of authorised request form. IMP (Students Only) (IMAP) <<Batch>> AuthDetails <<Manual>> AccountDetails SIS Administrator How are accounts created for staff with editing permissions for courses? <<Manual>> AccountDetails ID Card System Talis Administrator <<Manual>> AccountDetails Accounts on Agresso only created after receipt of authorised request form. Agresso <<Batch>> PersonDetails ISDADS (Active Directory) <<Batch>> <<Batch>> Details AthensAccountDetails Business Objects? (Reporting) <<Manual>> AccountDetails <<Manual>> ContactDetails <<Batch>> PersonDetails <<OnRequest>> PersonDetails AuthDetails Contact Directory Details MIS (Active Directory) <<OnRequest>> PersonDetails AuthDetails Exchange (Support Mail) Talis <<OnRequest>> BarcodeDetails (Staff Only) AthensBatch <<Manual>> AccountDetails Athens CMIS Administrator Finance Administrator Library Assistant CMIS

48 Technical Scope Demonstrated Access Manager Novell Client (System Login) SAP R/3 Enterprise HR SAP R/3 (HR) Blackboard Outlook ( , Calendar) Novell edirectory (User Accounts, Groups) Active Directory ( ) Identity Manager Access Details Staff Consolidation/Provisioning Logic Identity Repository Novell Accounts Exchange Accounts SAP Accounts

49 Identified Business Benefits of IdM Greater Flexibility & Control / Improved Efficiency Allows for Organisational Changes Improved Support Efficiency and Increased Customer Satisfaction Streamlining Processes Across the Organization Cost Benefits

50 Cost Benefits Reduced user creation time (through automation) Single log-on for users Improved security and control (audit trail) Reduced and improved working practices (simplified processes) Improved integration and business agility (faster change implementation) Reduction of Helpdesk activities (reset passwords) and error handling (less manual intervention) Enhanced IT service / image to potential customers

51 ROI Examples Actual Password Reset costs for Novell only: Average cost per password reset: 1.04 Average number of resets per system / year: 3,960 With 10 systems at UoS, average cost of password resets/year: 41,184

52 Contact Martine Carassik Head of Application Development University of Salford

53 Identity Management at UC Merced Identity solution requirements: Assign a single UCMNetID to each person Eliminate multiple directories (and maintenance) Automatically provision & allow use of appropriate services Adjust or remove access as roles change Provide mappings between systems The solution: Directory Server Identity Manager Provisioning Module Identity Manager Meta Directory Module Identity Manager Password Management Module Resource adapters for LDAP,Oracle and Active Directory 53

54 Vers un model Fédéré 54

55 Federation Requirements Federation Enables Sharing Identity Information Outside the Firewall While Protecting Privacy Federation is necessitated by collaborative research and other inter-institution collaboration There are 2 implementation approaches: The Liberty Alliance Project An alliance of more than 150 companies, non-profit and government organizations developing an open standard for federated network identity ( Shibboleth An open source implementation of federated identity information that has gained a lot of momentum in education Shibboleth and Liberty are working on interoperability through SAML 2.0, expected in months 55

56 Federation in Java System Access Manager Standards-based Approach Allows Integration With Shibboleth Supports Federation using Liberty specification Interoperability with Shibboleth through SAML 2.0 Java System Access Manager SAML 2.0 Applications Firewall (expected in months) Shibboleth Server Applications 56

57 La gestion d'identités: une nécessité sur les campus Numérique