Jaroslav Maurenc Solution Sales Professional Security & Management Microsoft ČR

Vytváření / provisioning Uživatelů a dalších identit Pověření (Credentials) Zdrojů a přístupů k nim Tvorba politik Vynucování politik Schvalování, delegace a notifikace Vyhodnocování, audity Správa politik, procesů Mazání/deaktivace identit Odepření pověření Zákaz přístupu ke zdrojům Ukončení Změny rolí Reset hesel a PINů Požadavky na přístup Změny Identity and Access Management

Vývojáři Složitý vývoj vlastních řešení Nuceni k vývoji pravidel a politik Potřeba se učit různé vývojové nástroje Náročná integrace systémů Správcové Problémy se správou mnoha různých systémů identit Přetížení servisními žádostmi na helpdesk Ruční správa účtů a oprávnění Slabé nástroje pro správu uživatelských pověření a sledování přístupů (audit) Nyní je většina zatížení na IT Zaměstnanci Častá volání na helpdesk s žádostmi o přístup nebo nové heslo Dlouhá doba čekání na přidělení přístupů ke zdrojům Čekání až IT naimplementuje obchodní procesy a politiky Rostoucí složitost Méně lidí Vyšší náklady

Automatizuje procesy a integruje správu identit, pověření a přístupů Implementuje jasná pravidla pro oprávnění a workflow i delegace Podporuje systémové auditování a compliance (je možné identifikovat kdo má a také kdo měl jaká práva v minulosti) Nabízí self-service nástroje založené na Office (off-line operace v Outlook) Pro správu a self-service využívá SharePoint konzoli Vyšší produktivita díky kratší době řešení požadavků (self-reset hesla) Snižuje náklady díky automatizaci a self-service obsluze (např. Autogroup) Využívá existujících investic do stávající infrastruktury identit (AD) Integruje se známými vývojovými nástroji pro nové scénáře Podporuje uživatele Pružný a efektivní Zvyšuje bezpečnost a compliance Cíle Microsoft Identity Managementu

Identity Lifecycle Manager 2007  User provisioning  V reálném čase automaticky vytváří uživatelské účty, poštovní schránky a další informace související s uživatelskou identitou  Zajišťuje odvolání pověření a rušení všech přístupů k informačnímu systému pro uživatele, jež opouští organizaci  Synchronizace identit  Synchronizace uživatelských identit, hesel a dalších atributů v propojených systémech (i heterogenních)  Zajišťuje konzistenci oprávnění k uživatelským datům – vynucení pověření a oprávnění  Správa certifikátů, čip. karet a USB tokenů  Zajišťuje životní cyklus certifikátů a karet (nasazení, správa, údržba, odvolání, duplikáty, dočasné karty, atd.)  Integrovaná podpora práce s čipovými kartami a USB tokeny  Zajišťuje silnou vícefaktorovou autentizaci

Management Agent Management Agent Management Agent Management Agent Management Agent FIM 2010 Základní architektura řešení

Provision Import Identity provisioning Projection Export ProvisionExport ProvisionExport ProvisionExport Vlastník identity

Synchronizace atributů PoleHodnotaVlastník Příjmení: Jméno: ID#: UserID: Group: Příjmení: Miller Jméno: Peter ID #: PoleHodnotaVlastník Příjmení: MillerSAP Jméno: PeterSAP ID#: SAP UserID: Group: User ID: PMUPoleHodnotaVlastník Příjmení: MillerSAP Jméno: PeterSAP ID#: SAP UserID: PMUSQL Group: Group: IFAPoleHodnotaVlastník Příjmení: MillerSAP Jméno: PeterSAP ID#: SAP UserID: PMUSQL Group: IFAAD

Microsoft Identity Management Správa životního cyklu uživatele (User Provisioning) Synchronizace identit a hesel (z MIIS 2003) Správa certifikátů a čipových karet Správa skupin a distribučních listů Integrace s produkty Office Self-Service operace Vytváření workflow, pravidel a politik (grafický designer) Správa bez nutnosti programování Podpora CA třetích stran Správauživatelů Správaskupin Správapověření Společná platforma WorkflowKonektoryLogování Web Service API Synchronizace Správapolitik Březen 2010

Správapověření Self-service password reset integrovaný s Windows logon Správa heterogenních certifikátů s podporou CA od třetích stran Správa a synchronizace více typů pověření včetně One Time Passwords Správaskupin Bohaté nástroje pro self-service správu skupin založené na Office Offline schvalování pomocí Outlook Automatizované aktualizace skupin a distribučních listů Správauživatelů Integrovaný provisioning identit, pověření a zdrojů Automatizovaný provisioning a de-provisioning bez programování Správa vlastního profilu uživatelem (Self-service profile management) Správapolitik Centrální vytváření (graficky), vynucování a audit politik (SharePoint) Rozšiřitelné workflow pomocí WS– * APIs a Win. Workflow Foundation Zajištění synchronizace a konzistence heterogenních identit Moduly Forefront Identity Manager 2010

Forefront Identity Manager v praxi  Příchod nového zaměstnance  Přechod zaměstnance na jiné místo  Ukončení pracovního poměru  Reset hesla a jeho synchronizace

Příchod nového zaměstnance FIM 2010 MAINFRAME FINANCE APPLICATION FINANCE PORTAL iPLANET SMART CARD EXCHANGE ACTIVE DIRECTORY HR SYSTEM FIM PROVISIONING POLICY APPLIED MANAGER APPROVAL MANAGER APPROVAL

Přechod zaměstnance na jiné místo FIM 2010 MAINFRAME FINANCE APPLICATION FINANCE PORTAL iPLANET SMART CARD HR SYSTEM FIM PROVISIONING POLICY APPLIED MARKETING APPLICATION MARKETING PORTAL EXCHANGE ACTIVE DIRECTORY

Ukončení pracovního poměru FIM 2010 MAINFRAME MARKETING APPLICATION MARKETING PORTAL iPLANET SMART CARD HR SYSTEM FIM PROVISIONING POLICY APPLIED EXCHANGE ACTIVE DIRECTORY

FIM 2010 PASSWORD SYCHRONIZATION iPLANET Reset hesla a jeho synchronizace FINANCE APPLICATION FINANCE PORTAL ACTIVE DIRECTORY WINDOWS MACHINE MELISSA

Upravitelný a rozšiřitelný portál Portál pro správu a uživatelské self-service operace založený na technologii Sharepoint

Dodávané konektory (Agents)

Přidaná hodnota FIM 2010 Přínos propojení informačních systémů a Identity Managementu je zejména v udržení aktuálních informací o uživatelích ve všech používaných systémech a automatizovaném přiřazování práv na základě pravidel. Automatizace procesů Vyšší produktivita uživatelů a správců díky kratší době řešení požadavků (self-service založený na Office). Uživatelské účty a většina jejich práv je přidělována automaticky bez manuálního zásahu administrátorů nebo vlastníků aplikací. Přidělení přístupových práv je realizováno na základě požadavku vlastníka a ne IT (přidání role). Auditovatelnost a integrita Veškeré změny práv jsou zaznamenány, proto je možné identifikovat kdo má a také kdo měl jaká práva v minulosti. Všechny propojené aplikace dostávají aktualizované informace o změnách v jednotlivých atributech.Bezpečnost Především díky automatizaci procesů podle předem definovaných pravidel. Při odchodu zaměstnance jsou jeho účty automaticky a okamžitě blokovány. Systém může implementovat funkce Self-service Password Reset a Single Sign On. Jsou jednoznačně jsou identifikovány servisní a technické účty

Dotazy

© 2008 Microsoft Corporation. All rights reserved. This presentation is for informational purposes only. Microsoft makes no warranties, express or implied, in this summary. Jaroslav Maurenc