<Insert Picture Here> Oracle Identity Management a jeho použití v praxi. Aleš Novák, Oracle

Transkript

1 <Insert Picture Here> Oracle Identity Management a jeho použití v praxi Aleš Novák, Oracle ales.novak@oracle.com

2 Agenda Úvod do IdM Ukázka Popis projektu Analytici

3 Co je Identity Management? Inspirováno wikipedií Řízení životního cyklu identity: Workflow Uživatelská samoobsluha Password reset Provisioning a de-provisioning identit ze systémů... zavedením elektronických automatizovaných procesů

4 Potřebujeme Identity Management?

5 Q: Kdo má ve vaší organizaci nejvíce přístupových práv? a Správce bezpečnosti b Finanční ředitel c Brigádník, který přes léto zapojoval naši novou síť

6 Q: Jak přidělujete přístupová práva? a Dejte Alici to co má Wally b Na základě business role c To co řekne její manager

7 Q: Co je napsáno na nálepkách, přilepených k monitoru? a Hesla b Vzkazy c Úkoly

8 A co ČR / SK? 2008, ČR, finanční instituce, vnitřní útok, pokus o ukradení cca 270 milionů , ČR, finanční instituce, 200 milionů ukradeno zaměstnancem (a většinou vráceno) SK, telekomunikace, root heslo na serverech připojených k internetu, žádná password policy, zneužito bývalým zaměstnancem

9 Důvody nasazení - audit, compliance SOX podléhají mu firmy obchodované na US burze PCI Bezpečnostní audit cyklus audit, nález, náprava,...

10 Úspora nákladů Self service, password reset Případ pondělní amnézie Nástup, změna pracovní pozice Správa kontraktorů Správa externistů hypoteční a pojišťovací agenti, obchodní partneři

11 Oracle Identity Manager J2EE aplikace aplikační server + Oracle DB SoD podporováno a doporučeno Webové rozhraní pro uživatele Design console pro vývojáře Workflow engine Formuláře Konektory

12 Založení účtu v Založení účtu LDAP MZe LDAP MZe Nastoupil nový zaměstnanec Zavedení nového zaměstnance do evidence Start synchronizace Nastal okamžik synchronizace (scheduled task v OIM) Synchronizace z HR do OIM Konec synchronizace do OIM Údaje ze SAP HR přeneseny Potřeba postihnout standardní synchronizaci (1x za 4 hodiny) a plnou synchronizaci (pro aktualizaci všech atributů, 1x týd Potřeba postihnout opakovanou synchronizaci při ztrátě spojení. Zpracování údajů v Které atributy jednoznačně určují nového zaměstnance? OIM Kmenový zaměstnanec v hlavním pracovním poměru Přiřazení Přiřazení unikátního unikátního u u do do HR HR odd. odd. o u u Založení Založení nového nového účtu účtu v OIM OIM Nová Nová identita identita založena založena v OIM OIM Založení účtu v MS Založení účtu MS AD MZe AD MZe Přiřazení Přiřazení přechodného přechodného hesla hesla Zaměstnanec s jiným prac. poměrem Notifikace Notifikace uživateli uživateli em em na na personalistu, personalistu, který který údaje údaje sdělí sdělí novému novému zaměstnanci. zaměstnanci. o založeném založeném účtu účtu Založení účtu v Založení účtu SAP WAS SAP WAS Účet je v LDAP založen a aktivní Účet je v MS AD založen a aktivní Účet je v SAP WAS založen a neaktivní Účet je LDAP založen aktivní Účet je MS AD založen aktivní Účet je SAP WAS založen neaktivní Záznam o výsledku Záznam výsledku založení nového založení nového účtu účtu Účet zaměstnance založen Účet zaměstnance založen Pracovník HR oddělení Start synchronizace Nastal okamžik synchronizace (scheduled task v OIM) Konec synchronizace do OIM Údaje ze SAP HR přeneseny Zapojení Zaměstnanec Konektor Reconciliation Engine Oracle Identity Manager Zpřístupněné aplikace AD, OID, ERP HR systém, csv Úložiště identit Uživatelská skupina Přístupová politika Workflow

13 Přístupové politiky - RBAC fmetelka,franta,metelka,full-time, Skupina Full-Time Employee Definice přístupové politiky AD, DB přístup

14 DEMO

15 DEMO Oracle IdM Active Directory Oracle BI Publisher Reporty disabled users, partially disabled, rogue accounts, entitlement exception

16 Reconciliation Usmíření Identity Manager Počáteční AD Reconciliace - linkování Active Directory Počáteční recon (Trusted) baseline Následné AD Reconciliace

17 IdM Architektura

18 Případová studie Ministerstvo Zemědělství

19 Motivace Portal access Nový zaměstnanec HRMS Konektor Reconciliation Engine Oracle Identity Manager Zpřístupněné aplikace AD, OID, ERP, CRM, portál pro zaměstnance Blokování přístupu Nový kontraktor Csv soubor, DB tabulka Úložiště identit Uživatelská skupina Přístupová politika Workflow Konsolidace hesel Konektor Schválení Zakázané aplikace

20 Zadání Vstup SAP HR Výstup AD, OID, SAP CUA Incremental a full recon HA infastruktura

21 Návrh implementace Dev, test, produkce Rozšíření data modelu v OIM Konektor na SAP HR, SAP CUA, AD, OID Workflow Dodatečná BAPI

22 Implementace SAP HR Konektor + úpravy 1 x týdně full reconciliace, 1 x denně inkrementální Volání custom BAPI Vývoj BAPIletů, unit testy... PERNR, VORNA, NACHN, USRID_LONG, ORGEH, STEXT,...

23 SAP CUA Spravované systémy, profily a role do číselníků OIM BNAME NAME_LAST NAME_FIRST TITLE_ACA1 TITLE_ACA2 DEPARTMENT ROOMNUMBER FLOOR BUILDING TEL_NUMBER SMTP_ADDR CODVN LOCL

24 Implementace AD, OID OID objectclasses pro portál Department change -> AD moddn AD generuje mail

25 MS AD jako zdroj pro ové adresy

26 Deployment Management

27 Infrastruktura Load Balancer Middleware Oracle DB / RAC Oracle Identity Manager / ias cluster

28 Projekt Cca 2,5 měsíce 2 5 lidí Analýza, dokumentace, testy, akceptace

29 Analytici

30 User Provisioning (Oracle Identity Manager)

31 Forrester Wave by Jonathan Penn with Laura Koetzle, Paul Stamp, Simon Yates, and Adele Sage by Andras Cser with Jonathan Penn, Paul Stamp, and Allison Herald

32 Závěr Co a k čemu je identity management Demo Studie Analytici

33