Dataintegration og Single Sign-On Dataintegration internt og eksternt via service enabled arkitektur på Dansk Landbrugs Internetplatform (DLI)

Transkript

1 Dataintegration internt og eksternt via service enabled arkitektur på Dansk Landbrugs Internetplatform (DLI) Udarbejdet december 2009

2 Indhold 1 Indledning Nytteværdig Eksempler på applikationer med federerede sikkerhed Perspektiv Brugerdatabasen Implementering af federeret sikkerhed Komponenter Fejl logning og overvågning Indledning Dette dokument beskrives hvilken nytteværdig og fremtidige perspektiver der er for dataintegration og federeret sikkerhed i denne forbindelse. Samt hvilke applikationstyper den federerede sikkerhed understøtter. Dokument er en fortsættelse til dokumentet SSO-rapport. Landbruget indsamler og generer store mængder data, som knyttes til den enkelte bedrift. Der indsamles data fra den animalske produktion om: fodermængder, foderpriser, drifts resultater, sygdomstilfælde, avl osv. I forbindelse med planteproduktionen indsamles der data om: markplaner, gødskning, sygdomsbekæmpelse, udbytter osv. Bedriften generer desuden løbende økonomidata i forbindelse med den daglige drift. Alle disse data gemmes i forskellige centrale databaser placeret ved Landscentret eller eksterne parter og tilgås af applikationer ved Landscentret eller eksterne parter. Data præsenteres for landmanden, landmandens konsulenter eller offentlige myndigheder. For at muliggøre denne struktur med centrale databaser, er der udviklet adgangsstyring på enkeltbrugerniveau. Adgangsstyringen giver mulighed for at håndtere individuelle forskelle på, hvad den enkelte bruger kan se af data og foretage sig med de registrerede data. Brugeren har kun et brugernavn og kodeord, som benyttes til alle systemer og skal ikke huske på flere brugernavne og kodeord. Federeret sikkerhed gør det desuden muligt at lave Single Sign-On (SSO) mellem Landscentrets applikationer og til eksterne applikationer. Dette betyder at brugeren kun skal logge på en gang, selv om brugeren tilgår flere forskellige webapplikationer. De federerede sikkerheds server komponenter er en del af Landscentrets driftmiljø og leverer i dag sikkerheden til en væsentlig del af Landscentrets applikations kompleks, samt til et antal eksterne parters applikationer. 2

3 2 Nytteværdig Landscentret udvikler applikationer af forskellige typer og til forskellige formål, som integreres og deler data. Applikationerne integreres på en generisk måde, med andre ord der etableres en Service Orienteret Arkitektur (SOA). Til præsentation af data benyttes applikationstyperne: web applikationer, Windows applikationer (Rige-klienter og ClickOnce) og mobile klient applikationer. Data og forretningslogik udstilles via webservices, som kan tilgås af andre applikationer og muliggør deling af data og forretningslogik. For at effektivisere applikationsudviklingen er der udviklet plumbing komponenter som gør det nemmere at implementere federeret sikkerhed i den enkelte applikation. Plumbing komponenterne gør det desuden nemmere at implementere fejlhåndtering og logning. Federeret sikkerhed i samspil med plumbing komponenterne kan både benyttes i applikationer udviklet internt i Landscentret såvel som af eksterne parter. Landscentret udvikler som udgangspunkt nye applikationer efter SOA tankegangen og benytter federeret sikkerhed. Applikationerne benytter som sagt webservices, der udstiller data og forretningslogik som services. Det betyder at Landscentret i dag har et væsentligt service lag, som giver adgang til store mænger data og forretningslogik. Efter hånden som Landscentret udvikler nye applikationer, øges service laget og dermed bliver platformen og mulighederne for nye applikationer gradvist større. Ved at samarbejde med eksterne partere, som benytter samme SOA strategi, bliver mulighederne for eksterne parter på samme måde større efterhånden, som service laget vokser. Ligeledes kan Landscentret drage nytte af eksterne parters services. At adgangen til data og forretningsfunktionalitet samles centralt, samtidig med at adgangen generaliseres og ensartes, betyder at det bliver nemmere, hurtigere og billigere at udvikle nye applikationer. Ideer til helt nye forretningsmuligheder bliver interessante, da det efterhånden, som service laget udvides, bliver muligt at implementere helt nye tværgående applikationssammenhænge. Vel at mærke både sammenhænge på tværs af service laget internt i Landscentret og eksterne services. Fælles arkitektur gør applikationerne ensartede, og det er dermed nemmere og billigere at flytte udviklere fra et projekt til et andet. Udvikleren har nemmere ved at sætte sig ind i applikationen og læse funktionaliteten, hvilket betyder at udvikleren hurtigere kan komme i gang med det egentlige udviklingsarbejde. Landbruget benytter og har brug for mange forskellige applikations typer. Nogle gange sidder landmanden ved en pc, andre gange er han i stalden med en håndholdt enhed. Malkemaskinen laver målinger, som skal gemmes eller traktoren opsamler data, som skal gemmes og behandles. Alle disse meget forskellige scenarier kan alle kalde services, som gemmer og behandler data eller returnerer data. Service laget udvikles, så det kan benyttes i alle situationer og gør dermed kompleksiteten samt vedligeholdelsesarbejdet væsentligt mindre. Samtidig bliver udnyttelsesgraden af service laget bliver stort. Applikationer til alle disse scenarier bliver ikke udviklet i.net, men da der benyttes standarder, kan webservices med federeret sikkerhed kaldes fra mange forskellige platforme. Landscentrets webservice og federeret sikkerhed er med et andet ord interoperabelt. 3

4 2.1 Eksempler på applikationer med federerede sikkerhed I det følgende gives eksempler på SOA applikationer, der er implementeret med federeret sikkerhed. Kvæg databasen Kvæg databasen indeholder detaljerede oplysninger om alt kvæg i Danmark. Databasen er implementeret på en Oracle platform og har været i drift i en årrække. Kommunikation mellem kvæg databasen og de applikationer, som gemmer og henter data har indtil nu benyttet en database nær protokol og forskelligartede kommunikationsmetoder. Der er udviklet et service lag ovenpå kvæg databasen, som giver adgang til kvæg data og forretningslogik. Service laget er udviklet i.net og udstilles via webservices. Service laget løfter abstraktions niveauet og leverer et generelt interface. Sikkerheden og adgangsstyringen af kvægs service laget leveres af den federerede sikkerhed, som er implementeret i de enkelte webservices. Kvæg service laget kaldes af forskelligartede applikationer på forskellige platforme. Eksemplevis benytter inseminører en håndholdt enhed, som gemmer data om inseminering via kvæg service laget. Landmanden eller landmandens konsulent kan herefter se data om inseminering, som en del af alle de andre data der er gemt for den enkelte ko. Landbrugsinfo Landbrugsinfo er en portal, som samler landmandens data og kan personaliseres i forhold til den enkelte bruger. Portalen er udviklet ovenpå Microsofts MOSS platformen og.net. Brugerne logger på Landbrugsinfo via den federerede sikkerhed, som derefter levere adgangsgivende informationer til MOSS platformen. MOSS adgangskonfigurationen kan hermed benyttes til at give f.eks. en bestemt brugergruppe adgang til et dokument. Når en bruger er logget på Landbrugsinfo er der SSO til Landscentrets øvrige web applikationer samt eksterne parter, som har implementeret den federerede sikkerhed. På samme måde er der også SSO til Landbrugsinfo, hvis brugeren først logger ind på en anden web applikation. RealEstateValue RealEstateValue er et system som lagrer ejendomsvurderings data. En konsulent laver f.eks. en ejendomsvurdering af et landbrug som skal sælges. Vurderingen gemmes og en medarbejder ved Realkredit instituttet kan herefter se konsulentens vurdering. RealEstateValue består af en ASP.NET web applikation og en.net ClickOnce Windows applikation med et fælles service lag implementeret som.net webservices med en bagvedliggende database. Service laget sikres ved hjælp af federeret sikkerhed og demed kan både RealEstateValues web og Windows applikationer kalde service laget, ligesom andre applikationer internt i Landscentret eller ved eksterne parter kan kalde servicelaget. Brugerne logger både på web applikationen og ClickOnce Windows applikation via den federerede sikkerhed. Der er SSO mellem RealEstateValues web applikation og øvrige web applikationer. RealEstateValue har valgt ikke at have SSO imellem web applikationen og ClickOnce Windows applikation, men hvis det ønskes er det også muligt at lave SSO mellem disse to applikations typer. 4

5 SSO til ASP web applikationer Landscentret har en stor mængde gamle web applikationer baseret på ASP teknologi. Der linkes ofte imellem de gamle web applikationer og de nye.net web applikationer. Det er derfor vigtigt at undgå at brugerne skal logge på flere gange. Der er udviklet SSO mellem ASP web applikationer og.net web applikationer via en integration mellem det gamle logon system og den federerede sikkerhed. På denne måde skal brugeren kun logge på en gang, selv om brugeren bevæger sig rundt imellem web applikationer udviklet på forskellige platforme. 3 Perspektiv Dette afsnit beskriver de fremtidige perspektiver for udnyttelse af den federerede sikkerhed og næste generation af applikationer. Applikationssammenhængene for den enkelte bruger er ikke nødvendigvis begrænset til de applikationer, som ligger indenfor Dansk Landbrugsrådgivnings domæne. Den federerede sikkerhed åbner også mulighed for, at der kan etableres trust til andre firmaer. Dermed kunne man f.eks. forestille sig, at en landmand der er logget på DLI, vil kunne trække oplysninger direkte fra sit mejeri s interne system uden eksplicit at skulle logge sig på mejeriets systemer. Generelt kan der laves trust mellem organisationer som selv har en STS. Det betyder at Landscentret kan lave trust til alle eksterne parter der har en STS. Der er ikke mange firmaer som i dag har en STS og Landscentret har derfor heller ikke pt. oprettet trust til nogle eksterne parter, men det forventes at der i fremtiden kan oprettes trust til flere eksterne parter. Når der oprettes trust mellem landscenteret og en ekstern part, kan brugernes rettigheder enten placeres i Landscentrets brugerdatabase eller decentralt ved den eksterne part. Det åbner mulighed for at rettighedsstyringen kan uddelegeres til den support enhed, som er tættest på brugeren. Dette gør både rettighedsstyringen mere fleksibel og minimerer risikoen for fejl. Et andet eksempel er at skabe SSO for landmandens konsulenter ved Landscentret eller et lokalt center. Dette kan etableres ved at skabe forbindelse mellem konsulentens medarbejder login og hans DLI-login. Dermed bliver det muligt for brugeren at tilgå DLI-baserede applikationer, beskyttet af den federerede sikkerhed, på baggrund af sin medarbejderlogin. Dvs. at en konsulent ved et lokal center, logger på sin arbejdsplads og kan derefter uden yderligere login, tilgå applikationer ved Landscentret eller ved eksterne parter. Hvis der er trust til et firma, kan firmaets medarbejder opnå samme SSO mellem firmaets interne logon system og til applikationerne beskyttet af federeret sikkerhed. I fremtiden forventes det at de danske landbrug bliver stører og dermed får et internt sikkerhedssystem, hvorfra der også kan laves SSO til applikationer der beskyttes af den federerede sikkerhed. Endelig er der som tidligere nævnt myndighederne, som på lignende vis på baggrund af et trustforhold, vil kunne gives adgang til landmandens data. Ligesom et trustforhold også vil kunne anvendes til at udveksle data den modsatte vej. Som nye tværgående applikationer kan nævnes applikationer, der laver data mining til bensmarking, hvilket f.eks. kan gøre det muligt at sammenligne den enkelte bedrift i forhold til øvrige bedrifter. Eller der kan laves analyser af bedriftens data, som den enkelte bedrift kan benytte til planlægning og vurdering af fremtidige investeringer. Der kan på samme måde laves analyser på tværs af alle 5

6 bedrifternes data til overordnede analyser, hvor den enkelte bedrifts data er anonymiseret og analysen leverer resultater af generel karakter. Procesudstyr kan indsamle data fra den enkelte bedrift og gemme data i centrale databaser. Det giver mulighed for at der f.eks. kan laves et system, hvor der tages mælkeprøver på bedriften og yderligere mælkeprøver af samme mælk på mejeriet. Alle prøverne gemmes centralt, og landmanden kan herefter se prøverne via en webapplikation og dermed monitorere udviklingen. 4 Brugerdatabasen Brugerdatabasen er Landscentrets centrale bruger repositorie som indeholder alle brugerne. Her samles relevante bruger oplysninger, som den federerede sikkerhed kan videregive til de applikationer brugeren logger på. I brugerdatabasen styres den enkelte brugeres adgange til applikationer og her gemmes oplysninger om brugerens tilhørsforhold. Strukturen i Brugerdatabasen modellerer sammenhængen mellem en landmand og hans konsulenter, og kan dermed levere information om hvilke landmænd en given konsulent har adgang til. For at muliggøre bruger rettighedsstyringen i brugerdatabasen og logon via federeret sikkerhed er det vigtigt at kunne stole på datakvaliteten i brugerdatabasen. En bruger må kun findes en gang i brugerdatabasen med mindre brugeren har to tilhørsforhold til f.eks. to bedrifter eller en bedrift og et center. I et sådan tilfælde oprettes der en bruger til hvert tilhørsforhold, der er ikke en øvre grænse for antallet af tilhørsforhold. Da projektet startede indeholdt brugerdatabasen mange dublerede brugere. Det viste sig at de dublerede brugere for en reel bruger, samlet set indeholdte brugerens oplysninger, rettigheder og tilhørsforhold. Alle brugerens data blev derfor samlet på en af de dublerede brugere og de øvrige brugere blev slettet. Under oprydningen blev dublerede brugere slettet. Det er forventeligt, at der stadig kan findes eksempler på dublerede brugere, men antallet er bragt ned på et antal, som forventeligt kan håndteres manuelt i den supportfunktion, som dækker DLI. Der oprettes til stadighed nye brugere i brugerdatabasen og her sikres det at der ikke igen oprettes dublerede brugere. For at sikre at der ikke oprettes dublerede brugere er oprettelses processen samt brugerdialogen forbedret. Der ud over checkes alle brugerne i brugerdatabasen kontinuert af OMIKON Data Quality Server (DQS), som finder dubletter ud fra avancerede søgematricer. Når der findes potentielle dubletter, præsenteres disse for supporten i et administrationsværktøj og supporten kan herefter håndtere dubletterne. Hermed opretholdes brugerdatabasens datakvalitet også i fremtiden. Administrationsværktøjerne er desuden udvidet så nye administrations opgaver i forbindelse med federeret sikkerhed understøttes, som f.eks. at oprette mapning til andre systemer samt håndtering af claims. 5 Implementering af federeret sikkerhed Landcenteret benytter federeret sikkerhed i SOA applikationer. Federeret sikkerhed bygger på WS-* og SAML standarterne, som gør det muligt både at levere logon og SSO til applikationer der er lavet interne i Landscentret eller ved eksterne parter. Da federeret sikkerhed bygger på gængse standarder, er det desuden muligt at levere logon til webservices lavet på andre platforme, som f.eks. Java og dermed lave dataintegration til eksterne parter der benytter en anden platform end.net. 6

7 Brugerne logger på med et DLI-brugernavn og kodeord, hvorefter der mappes til brugerens brugernavne i de øvrige systemer. For at kunne lave denne mapning oprettes der løbende mapninger til de systemer den enkelte bruger skal mappes til. I federeret sikkerhed ligger sikkerheden i at der benyttes certifikater til at lave signering og kryptering i stedet for at benytte brugernavn og kodeord hver gang der logges på et nyt system. Brugeren logger på via en Security Token Service (STS), som validerer brugeren og udsteder en SAML token indeholdende passende brugerinformationer (claims) om brugeren, som f.eks.: brugernavn(e), om brugeren er landmand, tilhørsforhold til centre, om brugeren har adgang til et givent system osv. De forskellige systemer har behov for forskellige SAML tokens med forskellige claims, som STS en udsteder afhængigt af systemets krav. Landscentrets federerede sikkerhed og herunder STS en er bygget på Microsofts.NET platform og med.net komponenter. Microsoft har fokus på teknologien og udvikler til stadighed.net komponenterne så disse udstiller mere funktionalitet. I fremtiden kan Landscentret derfor drage nytte at denne udvikling og løbende opdatere de federerede sikkerhed komponenter. I nogle tilfælde kan egenudviklet kode udfases og erstattes af standardkomponenter fra Microsoft og STS en kan udvides så den understøtter nye og fremtidige sikkerheds standarder. 5.1 Komponenter Den federerede sikkerhed er implementeret via server komponenter og en række plumbing komponenter til: web applikationer, Windows applikationer og webservices. Plumbing komponenterne integreres i den enkelte applikation og gør det muligt at konfigurere sikkerheden. Komponenterne udstiller en række metoder, som understøtter brugen af federeret sikkerhed. Det er ikke et krav at de applikationer, som benytter den federerede sikkerhed skal integrere plumbing komponenterne. Men komponenterne gør det nemmere at udvikle en applikation, som benytter den federated sikkerhed. 5.2 Fejl logning og overvågning SOA applikationer integrer med hinanden og er dermed også afhængige af hinanden. Det betyder, at hvis der opstår fejl i en applikation, som en anden applikation er afhængig af, fejler den afhængige applikation også. For at kunne overskue SOA applikationerne og lave en effektiv fejlsøgning, overvåges applikationerne og de centrale systemer inkl. den federerede sikkerhed. De federerede sikkerheds server komponenter indeholder IsAlive sider, hvor eventuelle fejl beskrives, så overvågningen får en detaljeret fejlbeskrivelse. Samtidig med logges fejl, advarsler, trace og tidsmålinger i et centralt logningssystem. Landscentret benytter lognigssystemet UptoLog, hvor logningerne gemmes via en webservice, som alle applikationerne internt i Landscentret kan benytte. Applikationer udviklet af eksterne parter har også mulighed for at benytte logningssystemet via samme webservice. Der er implementeret plumbing komponenter, som indeholder lognings funktionalitet, hvilket gør det nemmere at implementere logningen under udviklingen af en applikation. Komponenterne er ikke et krav for at kunne logge til det centrale logningssystem. 7