NOTAT Den 13. december 2006 Version 1.0 Brugeradministrationssystemet Af Jens Ole Back, Chefkonsulent, Kontoret for teknik og miljø, KL Det fællesoffentlige Partnerskab om Danmarks Miljøportal (Partnerskabet) har udviklet et brugeradministrationssystem, som styrer kommunale brugeres adgang til en række eksterne systemer. De eksterne systemer omfatter i første omgang de fællesoffentlige miljøsystemer (omtalt tidligere i denne publikation), en række miljøministerielle systemer (plansystemdk, husdyrgodkendelse.dk, mv), e-arkivet samt senere et køreprøvebookingsystem. Flere eksterne systemer kan komme til, og det kan være fællesoffentlige, statslige eller leverandørejede systemer, som kan anvendes af alle kommunale forvaltninger. Ref JOB job@kl.dk Dir 3370 3971 Weidekampsgade 10 Postboks 3370 2300 København S Tlf 3370 3370 Fax 3370 3371 www.kl.dk Side 1/8 I det følgende fortælles overordnet om brugerstyringssystemet arkitektur, som den udvikler sig gennem de 2-3 faser systemet gennemløbet. Mere detaljeret information kan findes på www.miljøforvaltning.dk. Herfra vil der også kunne downloades brugervejledninger til systemet. 1
Brugerstyringslandskabet Eksterne systemer Kommune Partnerskabet administrator e brugere Bruger- Administrationssystem Selvoprettede brugere I brugerstyringslandskabet indgår følgende elementer: En række eksterne systemer, som kommunen kan at tilbyde medarbejderne. Nogle af de eksterne systemer udbydes af Partnerskabet. Andre udbydes af andre aktører, og der kan i dette tilfælde stilles krav som særlig tilslutningsaftale til sådanne systemer. Det fællesoffentlige partnerskab som tilbyder kommunerne tilslutning til et fællesoffentlig brugerstyringssystem En kommune som indgår aftale med Partnerskab om tilslutning til brugerstyringssystemet og en række af partnerskabets systemer. Brugerstyringssystemet som teknisk regulerer, hvorledes kommunens brugere får adgang til de eksterne systemer. En kommunal administrator, som i kraft af kommunen aftale med Partnerskabet tildeles mandat til at administrere de kommunale brugeres adgang til de eksterne systemer. e brugere som har adgang til de eksterne systemer iht kommunens beslutning om tilslutning og brugernes administrative opgaver. Brugere kan oprette sig selv (Selvoprettede brugere), hvis de løser opgaver for en kommune (fx en brøndgraver) eller hvis de har behov for adgang til systemer ifm analyseopgaver mv (studerende). Selvoprettede brugere skal godkendes af Partnerskabets sekretariat og af systemejerne af de systemer, de ønsker adgang til. Udfører selvoprettede brugere arbejde for en kommune skal de 2
godkendes af kommunens administrator og kan herefter tildeles rettigheder til de samme data som kommunens øvrige medarbejdere. Derefter vil brugeren arbejde på kommunens data og under kommunens ansvar. Selve det tekniske brugerstyringssystem udvikles i 2 faser, hvor fase 1 er underopdelt i en fase 1A og 1B. Hele fase 1 kræver ikke systemmæssige investeringer i kommunerne, mens fase 2 kræver en ændring af kommunens systemer. Faserne afspejler en stadig højere grad af brugervenlighed. Fase 1B og fase 2 bliver videreført parallelt, således at kommunerne er frit stillet mht om de ønsker at investere i den højere brugervenlighed, som opnås i fase 2. Omkostningerne ved indkøb af systemer, vil for mange kommunerne begrænse sig til et beløb på ca. kr.20.000, men det kan være væsentlige højere for andre. Den største omkostning vil ligge i den tekniske og administrative implementering ifm overgang til fase 2. I det følgende gives en forklaring på indholdet af de enkelte faser. 3
Fase 1A: Samme brugernavn/password til alle systemer Fase 1 i korte træk: 1. Den kommunale administrator opretter de kommunale brugere på brugerstyringsportalen (BSP). Administratoren kan vælge at kopiere en større mængde brugere fra kommunens eget brugerstyringssystem til portalen. Administratoren tildeler brugerroller ift. eksterne systemer ud fra brugerne behov i deres forvaltningsfunktioner. Kommunens brugere får ift. de eksterne systemer et brugernavn, som er deres eksisterende kommunale brugernavn med en kommuneforkortelse (fx kommunenummeret )foranstillet 1. 2. Når de kommunale brugere er oprettet på BSP, udsender den en mail til brugeren med et første password med et link til BSP, hvor brugeren skal ændre password et til et blivende. Uden denne ændring vil brugeren ikke kunne logge på et fagsystem 3. BSP provisionerer 2 herefter brugernavn/password ud i alle de eksterne systemers respektive brugerdatabase. 4. Brugerne kan herefter bruge samme brugernavn/password ift alle de eksterne systemer, som de er tildelt rettigheder til. Figuren nedenfor illustrerer mekanismerne i fase 1A. 1. Administratoren opretter brugerne i BSP og tildeler dem roller administrator Bruger- Styringsportal (BSP) 3. Brugernavne/passwords provisioneres i de eksterne systemers brugerdatabaser 2. BSP udsender mails til brugerne med første password 2. Brugerne ændrer første password til blivende på BSP Eksterne systemer e brugere 4. Brugerne kan logge på alle eksterne systemer med samme brugernavn/password 1 BSP kan også håndterer digital signatur 2 provisionere = kopiering med tilpasning til brugerdatabasernes format 4
Bemærk, at Fase 1A ikke forudsætter ændring i de eksterne systemer. De vil fortsat bede om brugernavn/password, som der er bygget til. Det særlige er blot, at systemernes brugerdatabaser bliver født af data fra BSP. 5
Fase 1B: Single sign-on til eksterne systemer I denne fase skal brugerne kun angive brugernavn/password én gang, derefter er der adgang til alle eksterne, som brugeren har rettighed til. Hvad angår administratoren arbejde, er fase 1B identisk med fase 1A, så punkt 1 & 2 ovenfor er uændret. Forskellen ligger i brugerens oplevelse. 3. Når brugeren første gang (på en dag) søger adgang til et system (fx ved at klikke på en ikon), vil brugeren blive overført til en indlogningsside på BSP, hvor brugeren skal angive brugernavn/password. BSP udskriver herefter en adgangsbillet på brugerens harddisk. 4. Adgangsbilletten 3 giver herefter automatisk adgang til de systemer, som brugeren af administratoren er tildelt rettigheder til. Bemærk, at i fase 1B forudsætter en ombygning af eksterne systemerne, således at deres brugerstyring ændres fra at være baseret på egen brugerdatabase til et opslag på brugerens harddisk. Fase 1B er en forenkling ift fase 1A, idet en-til-mange provisioneringen af brugernavne/passwords erstattes af en en-til-en oprettelse, at en billet på brugerens harddisk. Men prisen er altså en ombygning af alle eksterne systemer. 1.Administratoren opretter brugerne i BSP og tildeler dem roller administrator 2.BSP udsender mails med første password Bruger- Styringsportal (BSP) 3.Ved første ønske om ad-gang til eksternt system, beder BSP om brugernavn/password. 2. Brugerne ændrer første password til blivende på BSP Eksterne systemer bruger 3. BSP udskriver billet på brugerens harddisk. 4. Med billetten på hardisken har brugeren direkte adgang til alle eksterne systemer, han/hun har rettighed til 3 Adgangsbilletten har normalt begrænset levetid, efter udløb vil BSP-indlogningssiden automatisk fremkomme. 6
Fase 2: Single sign-on Fase 1B kan forekomme kompliceret. Fase 2 indebærer en betydelig forenkling, idet brugerstyringsportalen helt forsvinder og erstattes af kommunens eget lokale brugerstyringssystem. Men prisen er, at kommunen anskaffer komponenter, der kan udskrive de korrekte adgangsbiletter på brugernes harddiske. At adgangsbilletterne er korrekte betyder, at de skal overholde en række centralt fastlagte standarder. Kommunerne, som ønsker at gå til fase 2, skal anskaffe nogle systemkomponenter, som forventes at være overkommelige i pris. Men kommunen skal også implementere alle roller, der er nødvendige ifm de fællesoffentlige systemer i eget brugerstyringssystem. Fase 2 indebærer en systemmæssig forenkling, men pålægger kommunen en løbende driftsopgave ifm oprettelse af roller, tildeling af roller og vedligehold af roller. Fase 2 bygger på en fællesoffentlig standardisering angående brugerstyring og indkøb af lokale komponenter, som implementerer denne standardisering. Fase 2 betegnes med fagudtrykket føderation. Fase 2 indebærer følgende: 1. Den lokale kommunale administrator tildeler brugerne rettigheder til de eksterne miljøsystemer ift centralt fastlagte roller. 2. Hver gang brugeren logger på det lokale netværk, udskrives automatisk en adgangsbillet på brugerens harddisk. 3. Med deres adgangsbillet på harddisken har brugerne umiddelbar adgang til alle de eksterne systemerne, som den lokale kommunale administrator har tildelt brugeren rettigheder til. 1.Administratoren opretter brugerne i eget BS og tildeler dem roller ift de eksterne systemers krav administrator Kommunens brugerstyringssystem (KBS) Eksterne systemer 2. KBS udskriver billet på brugerens harddisk. bruger 3. Med billetten på hardisken har brugeren direkte adgang til alle eksterne systemer, han/hun har rettighed til 7
Den videre udvikling af fællesoffentlig brugerstyring Det er vigtigt at pointere, at de arkitekturer, som er skitserede på de foregående sider, ikke er noget, som er opfundet ifm Danmarks Miljøportal. Der er tale om generelle metoder, som forventes at blive anvendt overalt ifm brugeres adgang til systemer og data på tværs af organisationer. Der er forskellige tekniske standarder i spil angående føderation, og der udspiller sig p.t. en del diskussioner i it-industrien herom. Problemerne forventes dog at være overvundet inden længe 4. Det må forventes, at der i overordnet fællesoffentligt regi 5 indenfor en kortere tidshorisont indgås aftaler om brugerstyringssystemer, som både kan anvendes indenfor miljøområdet og andre forvaltningsområdet med behov for tværgående udveksling af data. Der er i skrivende stund umuligt at forudse, om brugerstyringssystemet knyttet til Danmarks Miljøoportal, vil blive videreført efter en sådan beslutning, eller vil blive erstattet af en andet system. 4 Læs mere om standarder her: http://www.oio.dk/arkitektur/brugerstyring 5 Dvs i Styregruppen for Tværoffentlige Samarbejder http://e.gov.dk/om_digital_forvaltning/styregruppen_for_tvaeroffentlige_samarbejder/index.html 8