Microsoft Identity Integration Server 2003 (MIIS) Robert Hernady Senior Systems Engineer Microsoft.

Prezentace na téma: "Microsoft Identity Integration Server 2003 (MIIS) Robert Hernady Senior Systems Engineer Microsoft."— Transkript prezentace:

1 Microsoft Identity Integration Server 2003 (MIIS) Robert Hernady Senior Systems Engineer Microsoft

2 Adresářová strategie Aplikacevyužívajícíadresář HR/ERP apl. Centralizovaná správa správaidentity Databáze MIIS 2003 Správa identity Apl. adr. ADAM UDDI Web služby Adresář infrastruktury ActiveDirectory Aplikacevyužívajícíadresář Apl. adr. ADAM Aplikacevyužívajícíadresář Další adr.služby přístup synchronizace Původníaplikace DB

3 Správa životního cyklu Automatizace s využitím Microsoft Identity Integration Serveru (MIIS) Propojení identit z různých zdrojů a vytvoření jednotného konzistentního pohledu Přidávání/mazání na základě pravidel Automatizace procesu „Nástupu/Odchodu“ Využití BizTalk serveru pro komplexní workflow scénáře Správa skupin Členství ve skupinách v různých adresářích založeno na definovaných pravidlech Využití distribučních seznamů a bezpečnostních skupin

4 Scénáře Scénář nástupu do zaměstnání Scénář odchodu ze zaměstnání Scénář propojení identity Agregace dat o identitě Konvergence dat o identitě Vynucená integrita dat o identitě

5 Scénář nástupu do zaměstnání HRSystem Metadirectory Notes ContractorSystem AD App Mode SQLServer iPlanetDirectory ActiveDirectory LotusNotes Soubor LDAP SQL LDAP

6 Scénář odchodu ze zaměstnání HRSystem Metadirectory Notes ContractorSystem AD App Mode SQLServer iPlanetDirectory ActiveDirectory LotusNotes Soubor LDAP SQL LDAP

7 Scénář propojení identity HRSystem Metadirectory iPlanetDirectory ActiveDirectory LotusNotes givenName sn title mail employeeID telefon Klarek Cenntt 008 givenName sn title mail employeeID telefon givenName sn title mail employeeID telefon Clark Kennttt 007 givenName sn title mail employeeID telefon Klarke Kent Reportér 007 867-5309 Clark Kent 007 Reportér Clark@contoso.com 867-5309 Clark Kent Superman Clark@contoso.com 007 Projekce do Metaverse givenName sn title mail employeeID telefon Clark Kent 007 Propojení podle employeeID Propojení 007 Propojení podle employeeID Propojení Propojení podle employeeID Propojení Ruční propojení

8 Scénář toku atributů HRSystem Metadirectory iPlanetDirectory ActiveDirectory LotusNotes Title E-Mail telefon givenName sn title mail employeeID telefon Klarek Cenntt 008 givenName sn title mail employeeID telefon givenName sn title mail employeeID telefon Clark Kennttt 007 givenName sn title mail employeeID telefon Klarke Kent Reportér 007 givenName sn title mail employeeID telefon 867-5309 Clark Kent 007 Reportér Clark@contoso.com 867-5309 Clark Kent Superman Clark@contoso.com 007 Agregace dat o identitě givenName sn title mail employeeID telefon Clark@contoso.com Clark Kent 007 Reportér 867-5309 Jméno Příjmení EmployeeID

9 Scénář toku atributů HRSystem Metadirectory iPlanetDirectory ActiveDirectory LotusNotes Jméno Příjmení EmployeeID Title E-Mail telefon givenName sn title mail employeeID telefon Klarek Cenntt 007 givenName sn title mail employeeID telefon givenName sn title mail employeeID telefon Clark Kennttt 007 givenName sn title mail employeeID telefon Klarke Kent Reportér 007 givenName sn title mail employeeID telefon867-5309 Clark Kent 007 Reportér 867-5309 Clark Kent Superman Clark@contoso.com 007 Clark@contoso.com Clark Kent Reportér Clark@contoso.com 867-5309 Reportér Clark@contoso.com 867-5309 Clark Kent Clark@contoso.com Clark Reportér 867-5309 Konvergence dat o identitě

10 Scénář toku atributů HRSystem Metadirectory iPlanetDirectory ActiveDirectory LotusNotes Title E-Mail telefon givenName sn title mail employeeID telefon 007 givenName sn title mail employeeID telefon givenName sn title mail employeeID telefon Clark 007 givenName sn title mail employeeID telefon Kent 007 givenName sn title mail employeeID telefon867-5309 Clark Kent 007 867-5309 Clark Kent Superman Clark@contoso.com 007 Clark@contoso.com Kent Reportér 867-5309 Reportér Clark@contoso.com 867-5309 Clark Kent Clark@contoso.com Clark Reportér 867-5309 Vynucená integrita dat o identitě 007 Superman ReportérSuperman Jméno Příjmení EmployeeID

11 Koncept Metadirectory Připojené adresáře Zdroj a/nebo cíl pro synchronizované atributy Connector Space (CS) Prostor pro ukládání příchozích a odchozích atributů, které se synchronizují Metaverse (MV) Centrální (SQL) úložiště pro informace o digitální identitě Propojení CS entit do jednoho prvku v MV se nazývá „join“ iPlanetiPlanet OracleOracle SQLSQL Exchange5.5Exchange5.5 Připojenéadresáře Metaverse User ConnectorSpace

12 Systém řízený Stavem nebo Událostí Stavem řízené systémy jsou robustnější Ukládání informací o stavu znamená, že systém ví co lze očekávat od připojeného systému Systém může reagovat na situace jestliže je něco špatně Událostí řízené systémy mohou rychleji reagovat Události jsou spouštěny na základě změn v systémech, ale… …události se mohou ztratit MIIS poskytuje to nejlepší z obou Na stavech založený přístup umožňuje pesimistický pohled na připojené systémy (uptime/připojení) Architektura umožňuje vysokou flexibilitu Spouštění může být řízeno plánem, událostí přes WMI apod. Systém může provádět změny pouze v připojených systémech Microsoft OTG provádí 1500-2000 spouštění za den

13 MIIS 2003

14 Taking apart the demo Metaverse Designer Modifying the Metaverse schema Controlling de-provisioning with Object Deletion Rules Creating Management Agents ConnectingFilters Join and Projection Attribute flow Extensions Project generation Management Agent extensions for attribute manipulation Metaverse extensions for provisioning Execution Run profiles Controlling execution with WMI

15 Konektory MIIS AD/Exchange 2000/Exchange 2003 ADAM SunOne Directory (iPlanet) SQLOracle DSML 2.0 LDAP Directory Interchange Format (LDIF) Delimited Text Fixed-Width Text Attribute-Value Pair Text NT4 Exchange 5.5 Lotus Notes 4.6 and 5.0 Novell eDirectory 8.62/8.7 Budou následovat další pro ostatní systémy LDAP a RDBMS

16 Správa hesel 1. Úvodní nastavení hesla Základní funkce Základní funkce 2. Centrální řízení hesel Založené na webové rozšiřitelné aplikaci pro tvorbu aplikací na změnu hesel Založené na webové rozšiřitelné aplikaci pro tvorbu aplikací na změnu hesel WebAppWebApp MIISMIIS iPlanetiPlanet ADAD WMI

17 Správa hesel

18 Provisioning/Workflow (Nástup/Odchod) Jednoduchý Provisioning/De-provisioning Jednoduchý Provisioning/De-provisioning Vytvoření účtů v případě, že se nový uživatel objeví v autoritativních systémech Vytvoření účtů v případě, že se nový uživatel objeví v autoritativních systémech Nastavení výchozích hodnot atributů (vč. hesla) Nastavení výchozích hodnot atributů (vč. hesla) Povolení, zakázání nebo smazání účtů na základě změn v autoritativních systémech Povolení, zakázání nebo smazání účtů na základě změn v autoritativních systémech Přesun účtů Přesun účtů Resetování hesel Resetování hesel Workflow na jeden krok Workflow na jeden krok Složitější workflow ve spojení s BizTalk serverem Složitější workflow ve spojení s BizTalk serverem

19 Provisioning/Workflow Správa distribučních listů (DL) Správa a vytváření Skupin/DL MIIS 2003 poskytuje plnou podporu pro vytváření skupin/DL Může automaticky generovat a spravovat skupiny založené na atributech uložených v Metadirectory (např. manažer, pracovní role, pracovní skupina atd.) Udržuje skupiny synchronizovány tak jak probíhají změny v různých připojených systémech Může distribuovat skupiny ovládané ostatními systémy

20 Model extenzí Extenze umožňují modifikovat chování MIIS MIIS volá metody rozhraní na základě změn v systému Model definuje spravovatelné rozhraní Konfigurační sady v UI určují, které metody se budou volat Vytváření uživatelských extenzí v libovolném programovacím jazyku pro CLR překladač Visual Studio projekty automaticky generují VB nebo C#

21 Model Extenzí MVEntry Access attributes mventry[“displayName”].Value Get an MAmventry.ConnectedMAs[“ADMA”] Add a connector mventry.ConnectedMAs[“ADMA”]. Connectors.StartNewConnector()CSEntry Access attributescsentry[“displayName”].Value See how connectedcsentry.ConnectionRule Metaverse ConnectorSpace MVEntryCSEntry

22 Vizualizace

23 Vizualizace

24 Vizualizace

25 MIIS 2003

26 Shrnutí Microsoft Identity Integration Server (MIIS) poskytuje… platformu pro správu digitální identity, včetně implementace obchodních pravidel, správa centrálních adresářových seznamů (GAL), distribučních seznamů (DL), hesel a poskytuje vizualizace spravovaných dat. flexibilní nástroj pro synchronizaci infrastrukturních data mezi různými heterogenními systémy

27 © 2003 Microsoft Corporation. All rights reserved. This presentation is for informational purposes only. Microsoft makes no warranties, express or implied, in this summary.

28 Scenarios for MIIS “Classic” Metadirectory Synchronization of attributes from multiple systems Multiple LDAP directories: AD, ADAM, iPlanet Multiple eMail systems: Exchange (5.5, 2000, Ti), Notes HR Systems: SAP, PeopleSoft, Oracle HR Legacy Systems (Mainframe, Unix, etc.): File Exchange, XML Customer benefits Lowered administrative cost Increased productivity (from greater data fidelity and leveraging investments in infrastructure) Email scenarios Building a Global Address List Span multiple Exchange forests, multiple eMail systems Automatic Group Management Customer benefits Lowered administrative costs/Increased self-service Improved (more reliable) cross-company communication

29 Scenarios for MIIS Multi-forest Active Directory Site, Subnet, Printer, RTC Synchronization Customer benefits Improved cross-group/cross-divisional collaboration Automated Provisioning (Hire/Fire) Automatically create or disable/delete accounts/mailboxes Customer benefits Lowered administrative cost Higher productivity (quicker account creation) Increased security (automatic account deletion/disabling) Password Management Set initial passwords, find/change multiple passwords simultaneously Customer benefits Reduced help-desk expense, increased end-user self-service

30 Attribute Flow Management Agent Entry Points void MapAttributesForImport() void MapAttributesForExport () void MapAttributesForJoin () DeprovisionAction Deprovision () CSEntry csentry; // Passed to MapAttributesForImport() MVEntry mventry; // Passed to MapAttributesForImport() csentry["Full Name"].Value mventry["displayName"].Value

31 Provisioning Metaverse Entry Points void Provision () bool ShouldDeleteFromMV () MVEntry mventry // Passed in to Provision() string rdn = null; string container = null;// OU ReferenceValue dn = null; ConnectedMA adamMa = null; CSEntry adamCsEntry = null; adamMa = mventry.ConnectedMAs["ChuckC ADAM"]; adamCsEntry = adamMa.Connectors.StartNewConnector ("iNetOrgPerson"); rdn = "CN=" + mailNickname; dn = adamMa.EscapeDNComponent(rdn).Concat(container); adamCsEntry.DN = dn; adamCsEntry.CommitNewConnector();

32 WMI Run Control ManagementScope myScope = new ManagementScope( @"root\MicrosoftIdentityIntegrationServer" ); SelectQuery myQuery = new SelectQuery( "MIIS_ManagementAgent", "GUID='{D6022FC8-E364- 4784-BDC3-71D84D2BED11}'" );// or SelectQuery myQuery = new SelectQuery( "MIIS_ManagementAgent", "Name='ChuckC HR'" ); ManagementObjectSearcher searcher = new ManagementObjectSearcher( myScope, myQuery ); foreach ( ManagementObject ma in searcher.Get() ) { Console.WriteLine( "ChuckC HR.Execute( \"Delta Import\" )..." ); ma.InvokeMethod( "Execute", new object[1] { "Delta Import" } ); }

33 WMI Results ManagementScope myScope = new ManagementScope( @"root\MicrosoftIdentityIntegrationServer"); SelectQuery myQuery = new SelectQuery("MIIS_RunHistory"); searcher = new ManagementObjectSearcher(myScope, myQuery); foreach ( ManagementObject ma in searcher.Get() ) { Console.WriteLine( ma[“MaName"] ); Console.WriteLine( ma["RunProfile"] ); Console.WriteLine( “Start “ + ma["RunStartTime"] ); Console.WriteLine( “End “ + ma["RunEndTime"] ); } MIIS Team Whitepages Export and Confirm Start 2003-07-18 06:09:45.183 End 2003-07-18 06:09:47.930