Identity and Access Management

Rozměr: px

Začít zobrazení ze stránky:

Download "Identity and Access Management"

Tomáš Mach
před 8 lety
Počet zobrazení:

1 Identity and Access Management Praktické cvičení

2 Cíl cvičení Identity & Access Management

3 Identity Management Část IdM Seznámení s OpenIDM Načtení HR exportu Synchronizace do LDAPu Přiřazení role a propagace do LDAPu Schvalování přístupu

4 Access Management Část AM Nakonfigurování domény a SSO brány Reverzní proxy a centrální autentizace Cross-domain SSO a federace Propojení s IdM

5 OpenIDM Identity Management

6 Úlohy IdM K čemu IdM slouží? Centrální řízení účtů a práv v systémech Životní cyklus uživatele a přidělených práv Provisioning nastavení do cílových systémů Synchronizace hesel napříč systémy Validace a synchronizace nastavení User-self service Podpora auditu

uživatele a přidělených práv Provisioning nastavení do cílových

7 Ideální situace Kdy potřebujeme IdM nejméně? Centrální úložiště uživatelů a práv SSO v rámci všech aplikací PC Server Prohlížeč Aplikace Y Aplikace Active Directory

8 Základní pojmy Objekty a procesy managed object system object resource source system, source object target system, target object synchronization, validation mapping

9 Architektura Celková architektura

10 Úloha I Vytvoření uživatele Nastartování OpenIDM $./startup.sh Získání seznamu uživatelů $ curl \ --header "-OpenIDM-Username: openidm-admin" \ --header "-OpenIDM-Password: openidm-admin" \ Vytvoření uživatele { "_id": "frank", "username": "frank", "givenname": "frank", "familyname": "smith", " ": "frank@example.com", "password": "idm", "description": "My first user" } Zobrazení uživatele

$\ http://localhost:8080/openidm/managed/user/?$

11 Úloha II Kontrola databáze Otevření OrientDB studia Seznam dostupných tříd / tabulek $ bin/console.sh > classes Zobrazení objektů > select * from managed_user > select * from audit_activity

12 OpenICF Open Identity Connectors Framework and Toolkit

13 Úloha III Načtení dat z CSV Změna konfigurační složky $./startup.sh -p samples/sample4 Konfigurace - mapování provisioner-**.json - konektor schedule- **.json - spouštěná úloha sync.json Manuální spuštění _action=recon&mapping=systemhraccounts_manageduser

sh -p samples/sample4 Konfigurace - mapování provisioner-**.json - konektor schedule- **.

14 Konfigurační namespacy Jak se odkazovat na typy objektů

15 Úloha IV Kontrola záznamů Aplikační logy $ less logs/openidm0.log.0 Aplikační logy $ less audit/action.log Seznam uživatelů $ curl \ --header "-OpenIDM-Username: openidm-admin" \ --header "-OpenIDM-Password: openidm-admin" \ --request GET \ "

$--header "-OpenIDM-Password: openidm-admin" \ --request GET \$

16 .500 a LDAP Adresářové služby DIT Protokoly.500

17 .500 a LDAP Schéma a data Objectclasses (structural vs auxilary) Attributes (matching rules, syntaxes) Distinguished name Naming attribute dn: ou=groups,dc=example,dc=com changetype: add objectclass: organizationalunit objectclass: top ou: groups description: Groups container.

attribute dn: ou=groups,dc=example,dc=com changetype: add

18 Úloha V Příprava ApacheDS Spuštění serveru $ /etc/init.d/apacheds m12-default start Vtvoření kontejnerů pro uživatele a skupiny $ ldapadd -D uid=admin,ou=system -w secret -h localhost -p dn: ou=people,dc=example,dc=com objectclass: organizationalunit objectclass: top ou: users description: People container. # To samé pro ou=groups

uid=admin,ou=system -w secret -h localhost -p 10389 dn: ou=people,dc=example,dc=com

19 Úloha VI Kontrola záznamů a LDAP search Zobrazení celého podstromu $ ldapsearch -D uid=admin,ou=system -w secret -h localhost -p LLL \ -b dc=example,dc=com -s subtree Zobrazen kořenového záznamu $ ldapsearch -D uid=admin,ou=system -w secret -h localhost -p LLL \ -b "" -s base "" + Dohledání skupin systémového uživatele $ ldapsearch -D uid=admin,ou=system -w secret -h localhost -p LLL \ -b "ou=system" -s subtree "(uniquemember=uid=admin,ou=system)" "*" Zobrazení schématu $ ldapsearch -D uid=admin,ou=system -w secret -h localhost -p LLL \ -b "cn=schema" -s base "" "+"

$+ Dohledání skupin systémového uživatele $ ldapsearch -D uid=admin,ou=system -w secret -h localhost -p 10389 -LLL \ -b "ou=system" -s subtree$

20 .500 a LDAP Kde se vzal LDAP.500 protokoly pracují pouze s OID OSI networking stack RFC pro LDAP Navázané standardy LDIF Shadowing, changelog DSML

21 Úloha VII Apache Directory Studio Připojení k serveru Procházení DIT Zobrazení schématu

22 Úloha VIII Vytvoření uživatelů a skupin dn: uid=jdoe,ou=people,dc=example,dc=com objectclass: inetorgperson cn: John Doe sn: Doe givenname: John mail: jdoe@example.com telephonenumber: uid: jdoe dn: cn=openidm,ou=groups,dc=example,dc=com objectclass: groupofuniquenames objectclass: top cn: openidm uniquemember: uid=dummy,ou=system uniquemember: uid=jdoe,ou=people,dc=example,dc=com dn: cn=openidm2,ou=groups,dc=example,dc=com objectclass: groupofuniquenames objectclass: top cn: openidm uniquemember: uid=dummy,ou=system

23 Úloha I Synchronizace s LDAPem $ bin/startup.sh -p samples/sample2d Oprava konfigurace LDAPu provisioner.openicf-ldap.json: credential Spuštění rekonciliace $ curl \ --header "-OpenIDM-Username: openidm-admin" \ --header "-OpenIDM-Password: openidm-admin" \ --request POST \ " _action=recon&mapping=systemldapgroups_managedgroup"... systemldapaccounts_manageduser... manageduser_systemldapaccounts

24 Úloha Oprava úlohy I Oprava konfigurace synchronizace "source" : "", "transform" : { "type" : "text/javascript", "source" : "source.displayname? source.displayname : source.username;" }, "target" : "cn"

25 Reconciliation Validace a synchronizace systémů SOURCE OBJECT SOURCE OBJECT LINK LINK TARGET OBJECT TARGET OBJECT 1. Iterate through all objects for the object set specified as "source". 2. Iterate through all object identifiers for the object set specified as "target". 3. Iterate through all link objects, carrying out the following steps.

26 Úloha I Kontrola dat OpenIDM Zobrazení záznamů > classes > select from managed_user > select from managed_group > select from managed_group > browse class managed_group > display record 0 > display record 1 > from managed_group > select from link... audit_recon, audit_activity...

27 Synchronizační situace Source reconciliation (LEFT JOIN) Source Qualifies? Yes No Link Exists? Yes No Target Found? 0 1 IGNORE SOURCE_MISSING DELETE UNQUALIFIED DELETE UNQUALIFIED DELETE TARGET_IGNORED IGNORE UNQUALIFIED DELETE ABSENT CREATE FOUND UPDATE AMBIGUOUS ECEPTION MISSING ECEPTION CONFIRMED UPDATE Default Action TARGET_IGNORED Situation >1

28 Synchronizační situace Target reconciliation (RIGHT JOIN) Target Qualifies? Yes No Link Exists? Yes No Source Exists? Yes No Source Qualifies? Yes No Situation Default Action TARGET_IGNORED IGNORE UNASSIGNED ECEPTION CONFIRMED UPDATE UNQUALIFIED DELETE SOURCE_MISSING DELETE

29 Úloha II Synchronizace členství ve skupinách Úprava skupin pro uživatele $ curl \ --header "-OpenIDM-Username: openidm-admin" \ --header "-OpenIDM-Password: openidm-admin" \ --request POST \ -d '[{ "replace":"ldapgroups", \ "value": ["cn=openidm2,ou=groups,dc=example,dc=com"] }]' \ " Spuštění rekonciliace $ curl \ --header "-OpenIDM-Username: openidm-admin" \ --header "-OpenIDM-Password: openidm-admin" \ --request POST \ " _action=recon&mapping=manageduser_systemldapaccounts"

30 Úloha III Workflow

31 IDM v praxi Ukázky reálných implementací Ukázka OSK a TO2 GUI org-tree, práva, účty, žádosti, delegace Ukázka Dir Identity cílové systémy, privilege hierarchy, workflow, metadirectory

32 OpenAM Access Management

33 Úlohy AM K čemu AM slouží? Centrální řízení přístupových politik Poskytování autentizačních služeb Poskytování autorizačních služeb Podpora auditu

34 Identity vs Access Management Hledání hranice *.foo.com *.bar.com IDENTITIES IDENTITIES ACCOUNTS ACCOUNTS FEDERATION

35 Architektura Komponenty OpenIDM

36 Integrace s OpenIDM Policy Agents PEP PAP

37 Komunikace mezi komponentami Centrální autentizace a autorizace

38 Úloha I Instalace Nastavení domény $ sudo vim /etc/hosts jcu-{prijmeni}.example.com Stažení Apache Tomcat OpenAM Nastavení Tomcatu $ sudo vim ${catalina.home}/bin/setenv.sh JAVA_OPTS="-mx1024m -:MaxPermSize=256m" $ sudo vim ${catalina.home}/conf/server.xml port="9080" protocol="http/1.1" Nasazení OpenAM ${catalina.home}/webapps/ openam-server press.war => openam.war

39 Úloha II Konfigurace aplikace Nastartování Tomcatu $ bin/startup.sh $ tail -f logs/catalina.out Konfigurace pomocí webového rozhraní

40 Samostatná cvičení Identity & Access Management

41 Samostatné úkoly Úkoly na zápočet ApacheDS jako LDAP PAM modul Nakonfigurování jednoho Policy Agenta Identity Federation

Podobné dokumenty

SPRÁVA ŽIVOTNÍHO CYKLU UŽIVATELE. Roman Pudil, SOITRON 12. 4. 2010

SPRÁVA ŽIVOTNÍHO CYKLU UŽIVATELE Roman Pudil, SOITRON 12. 4. 2010 Vymezení pojmů Identita = totožnost, shodnost IT identitou může být cokoliv (člověk, místnost, program, ) Trezor identit = úložiště dat