FIOL (Fødereret Identitets og Organisationsløsning ) & RBAC (Rollebaseret adgangsstyring)

Transkript

1 FIOL (Fødereret Identitets og Organisationsløsning ) & RBAC (Rollebaseret adgangsstyring) Mini-arkitekturkonference i Odense It-arkitekt Lars Nico Høgfeldt It-arkitekt Peter Hauge Jensen

2 Udfordringerme Flere og flere applikationer i skyen Systemer inden for firewall og uden for firewall medarbejdere som ikke havde en IT konto

3 Fødereret Identitets og OrganisationsLøsning FIOL Løsningen ODKNET (internt) AD ADFS TRUST DMZ ADFS (proxzy) SMS App. DFS (proxzy) Internettet To faktor login vha. SMS NemID / Nemlogin TRUST Identity Provider (idp) SAML 2.0 Medarbejderportalen APOS FIOL SAML 2.0 Applikation 1 SAML 2.0 Applikation 2 IT-adgange og rettigheder for brugere TRUST NemID / Nemlogin SKAT / CSC Komponenter med gråt eksisterer allerede i dag Komponenter/forbindelser som skal etableres

4 Claims - eksempel

5 Case Intranet til brugere OIOSAML token med lokal attribut[nemid eller AD bruger] AD brugere får SSO NemId og NemLogin

6 Login for alle medarbejdere

7 Fordelene Let at tilkoble nye applikationer Nemmere at specificere i udbud Bygger og understøtter de fælles offentlige standarder OIOSAML OIOIDWS Føderation på tværs af domæner

8 Rollebaseret brugerstyring omsider?

9 Klassiske problemer <brugere> x <systemer> x <rettigheder> = ALT FOR MEGET ADMINISTRATION Ændringstyper: Rule based, Role based, Request based - SVÆRT AT BESTILLE, når brugeren ikke forstår teknisk sprog - SVÆRT AT OVERSÆTTE high level -bestilling til systemadgange Blind kopiering af en anden brugers samlede adgange udbredt nødløsning - MEN DÅRLIG PRAKSIS, USIKKERT Svært at gennemskue sammenhænge -typisk bruger har FOR MANGE RETTIGHEDER & SLETNING GLEMMES

10 Hellere administrere roller end brugere I stedet for <brugere> x <systemer> x <rettigheder> MANGE ÆNDRINGER Hvad så med <brugere> x <roller> <roller> x <system_rettigheder> ÆNDRES SJÆLDENT KONSTANT

11 IdM-paradigmer Kontekstafhængig identifikation Føderation Provisionering

12

13 Roller Rollehierarkier -fordel: mere sikker og forenklet administration - svært at oversætte fra forretningsniveau til tekniske adgange - omfattende at skabe og vedligeholde FORM vedligeholdes i forvejen (af staten) Organisationshierarki og org. placering af personer vedligeholdes i forvejen af HR/APOS-ansvarlige Hvad mangler: FORM-koder i APOS (afdelingsniveau, evt. personniveau)

14 Designprincipper <rolle-profil> = <FORM-kode> + <org. placering> <rolle> = <rolle-profil 1> + <rolle-profil 2> + <rolle-profil n> Nedarvning i begge dimensioner (FORM+ORG) for rolleprofiler default, kan fraviges, giver fleksibilitet, men også administraion

15 Rolle-profiler Nedarvning i begge dimensioner [1] FORM-koder nedarves på org. enheder. En org. enhed med 14 Arbejdsmarked har også de underliggende FORM-koder: Arbejdsmarkedsforhold Ansættelses- og lønvilkår Ansættelsesvilkår

16 Rolle-profiler Nedarvning i begge dimensioner [2] Org. enheder arver overliggende enheders FORM-koder: Hvis Odense Kommune >> Social-og Arbejdsmarkedsforvaltningen >> Beskæftigelsescentret tildeles Arbejdsmarkedsforhold vil underliggende org.enhederfå samme FORM-kode (+ underliggende)

17 Opret rolle-profil mock up Roller bør lables ved inddatering Eks. viser FORM v. 2.0 Nuv. ver. er 2.1

18 Resultat af én FORM-ORG registrering: Beskæftigelsescentret: 14.35

19 To rolle-profiler

20

21

22 Roller Forskellige typer roller - systemnære, f.eks. attributten INST u/bilag i ØS Indsigt: - forretningsorienterede (enterprise roles), f.eks. <chef> <fuldmægtig> <tillidsrepræsentant> Strategier for opbygning af roller - top down - konstrueret, baseret på forretningsbehov -buttom up -baseret på AS-IS, f.eks. analyse af AD-grupper

23 Rollehierarkier

24 Logisk datamodel

25 RBAC i applikationer I stedet for at administre brugere kan vi nu administrere roller

26 Provisionering eller føderation? Skal enterprise rollerne påtrykkes applikationen eller fødereres for den enkelte bruger? SAML-token kan bruges til transport af rolleattributter fra IdP en til applikationen

27 Autorisation Rolleattributter Brugertype Medarbejdere med AD Medarbejdere uden AD Eksterne konsulenter Repr. f. offentlige myndigheder ADFS X APOS ansat? X APOS ekstern /pol. Politikere? Borgere i Odense Borgere i DK?? APOS Odenseborger? X

28 Autentifikation Brugertype Credential Medarbejdere med AD Medarbejdere uden AD Eksterne konsulenter Repr. f. offentlige myndigheder ADFS X NemID (borger) (X) X SMStoken???? Politikere?? Borgere i Odense Borgere i DK X X

29 Autentifikation og autorisation Brugergruppe Credentials ADFS NemID (borger) SMStoken APOS ansat? APOS ekstern /pol. APOS Odenseborger? Medarbejdere med AD Medarbejdere uden AD Eksterne konsulenter Repr. f. offentlige myndigheder X (X) X?????? Politikere??? Borgere i Odense Borgere i DK X X X

30 Rolleattributter i APOS I dag få roller: - ansat (tidligere ansat) -it-bruger -ekstern -chef Kan let (fra DWH) udvides med - borgere bosiddende i Odense Kommune Kan udvides med flere roller - APOS, en naturlig kandidat til at opbevare roller -primær anvendelse: provisionering, adgangsstyring, præsentation, kommunikationslister, andet?

31 Læs mere om digitalisering i Odense Borgersagsportal odense.dk/bsp APOS odense.dk/apos e2012 odense.dk/e2012 FIOL odense.dk/fiol Google Apps odense.dk/googleapps It-governance odense.dk/it Benchmarking af it-drift odense.dk/it-drift