Single-Sign-On für Web-Anwendungen

Transcription

Single-Sign-On für Web-Anwendungen
Dr. Günter Unbescheid
Database Consult GmbH
Database Consult GmbH
Single Sign on Web
•
•
•
Gegründet 1996
Kompetenzen im Umfeld von ORACLE-basierten Systemen
Tätigkeitsbereiche
–
–
–
–
–
–
–
–
–
3/2009
Tuning, Installation, Konfiguration
Expertisen/Gutachten
Support, Troubleshooting, DBA-Aufgaben
Datenmodellierung und –design
Datenbankdesign, Systemanalysen
Web-Anwendungen und Webdesign
Programmierung: SQL,PL/SQL,Java, JSP, ADF UIX, BC4J
Workshops
www.database-consult.de
©Database Consult GmbH - Jachenau
Folie 2 von 37
Identity Management Projekte
– Single-Sign on im Web-Reporting-Umfeld
– Access Manager, Virtual Directory, Oracle Internet Directory
• Enterprise User Einbindung
– Nutzung von Enterprise- und Enterprise Proxy Usern
– Zertifikatnutzung geplant für Connect ohne Passwort
3/2009
Folie 3 von 37
Single Sign on Web
• Signle-Sign-On (2 Projekte)
Agenda
Single Sign on Web
• Die Geschichte
–
–
–
–
–
Die Grundidee und das Ziel
Die Benutzerdaten
Die Authorisierungsdaten
Passwort-Verifizierung
Das fertige Implementierungsmodell
• Die Produkte
– Oracle Access Manager
– Oracle Internet Directory
– Oracle Virtual Directory
• Die Konfiguration
• Rückblick und Ausblick
3/2009
Folie 4 von 37
Single Sign on Web
Teil 1:
Die Geschichte
Die Benutzerdaten
Das fertige Implemetierungsmodell
3/2009
Folie 5 von 37
Die Ausgangssituation
Single Sign on Web
Authentifizierungs-Welt
AD/LDAP
Database
Anwendungs-Welt
Operating
System
proprietäres
Web
ClientServer
Authorisierungs-Welt
Database
LDAP
Operating
System
3/2009
Folie 6 von 37
Die Grundidee
Single Sign on Web
Authentifizierungs-Welt
Database
Anwendungs-Welt
Operating
System
proprietäres
Web
ClientServer
AD/LDAP
Authorisierungs-Welt
LDAP
Database
Operating
System
3/2009
Folie 7 von 37
Die Grundidee
Single Sign on Web
• Die Schlagworte
– cross-platform access control
– centralized authentication
– single sign-on
• Vielfältige Produkte und Konzepte verfügbar
– Access Manager, Enterprise SSO, Vintela .....
• Klare Eingrenzung des Zieles notwendig
– Art der Anwendungen festlegen
– ggf. Stufenkonzept erarbeiten
• Im Zentrum: Konsolidierung der Basisdaten
– Lokalisierung und Konsolidierung der Quellen
– wichtig für die schrittweise Umsetzung des Stufenkonzeptes
3/2009
Folie 8 von 37
Die Grundidee
Single Sign on Web
• In unserem Beispiel:
– Konzeptration auf Web-Anwendungen (Reporting)
– Single Sign On
– Zentralisierung der Autorisierungsdaten bei Erhaltung der
spezifischen Autorisierungsverfahren
• Die Herausforderungen
–
–
–
–
Orchestrierung unterschiedlicher Unternehmensbereiche
Beachtung der Datenhoheit
Minimierung des Implementierungsaufwandes
Gewährleistung der Hochverfügbarkeit
• Die Aufgaben
– Lokalisierung und Konsolidierung der Benutzerdaten
– Anpassung der Zielanwendungen (LDAP), Installation ....
3/2009
Folie 9 von 37
Single Sign on Web
Teil 1:
Die Geschichte
Die Benutzerdaten
3/2009
Folie 10 von 37
Benutzerdaten lokalisieren
Single Sign on Web
•
Typen
– interne Mitarbeiter
– externe Zugreifer
•
Quellen
– Windows User: Kerberos
Schlüssel in AD
– ggf. mehrere ADs
– DB-Benutzer – diverse
Verfahren
– OS-Benutzer
– diverse Quellen: DB-Tabellen
etc.
•
Herausforderung
– Aktualität
– Transparenz bei PasswortÄnderungen
3/2009
Folie 11 von 37
Konsolidierungs-Techniken
Q
– einmalige Übernahme und
Abkopplung
Z
•
Q
Z
Z
3/2009
Z
Server Chaining
– Verlinkung mit jeweils einem
AD und/oder SunONE
•
Q
Synchronisation
– permanente Ankopplung,
Redundanz, Verfügbarkeit
– Directory oder DatenbankTabellen
•
Q
Ziel: Konsolidierte LDAP-Sicht
Datenmigration
Virtual Directory
– beliebige Verlinkung mit
diversen Sourcen
Folie 12 von 37
Single Sign on Web
•
•
Konzeptvarianten
Single Sign on Web
User
intern
User
extern
Privs
Sync
Virt
Sync
Virt
Virt
Gruppen
Privilegien
Virt
User
Daten
Meta
Daten
Meta
Daten
User
Daten
Gruppen
Privilegien
3/2009
Folie 13 von 37
Single Sign on Web
Teil 1:
Die Geschichte
Die Benutzerdaten
3/2009
Folie 14 von 37
Autorisierungsdaten
Single Sign on Web
• Ziel: LDAP-Sicht
• Externe Autorisierung
– genereller Zugriff auf Resource
• Interne Autorisierung
– Feinabstimmung innerhalb von Anwendungen
• Ähnliche Problematik wie bei Benutzerdaten
• Anwendungsspezifische Modelle evaluieren
– Datenspeicherung ggf. konsolidierbar
– Modelle i.d.R. nur schwer zusammenzuführen
– Anpassung der Schnittstellen nötig
• Firmenspezifische Attribute
– Schemaerweiterungen ggf. notwendig
– Datenhoheit berücksichtigen
3/2009
Folie 15 von 37
Single Sign on Web
Teil 1:
Die Geschichte
Die Benutzerdaten
3/2009
Folie 16 von 37
Passwort Verifizierung
„Integrierte“ Verifizierung
– im Rahmen der Datenquelle
der Benutzerdaten
– Hashing beachten
PW
•
User
Daten
User
Daten
Identity
Management
Produkt
Identity
Management
Produkt
„Externe“ Verifizierung
– Weiterleitung aus Datenquelle
– eigener Pfad aus IM-Produkt
•
Ziele
– unmittelbare, transparente
Kopplung bei PWAnpassungen
– PW-Regeln und Laufzeiten
vereinheitlichen
– lesend und/oder schreibend
3/2009
Folie 17 von 37
Single Sign on Web
•
PW
Single Sign on Web
Teil 1:
Die Geschichte
Die Benutzerdaten
3/2009
Folie 18 von 37
Implementierungsmodell
Single Sign on Web
Identity
Management
Produkt
Password
Meta
Daten
User
Daten
OID
IIS
• Design des logischen DIT-Baumes
• Trennung von Meta und User-Daten
• PW-Verifizierung durch Redirect
von URL auf Internet Information
Services
3/2009
OVD
Virt
Integrated Windows
Authentication
PW
SunONE
Active Directory
Folie 19 von 37
Single Sign on Web
Teil 2:
Die Produkte
Oracle Access Manager
Oracle Internet Directory
Oracle Virtual Directory
3/2009
Folie 20 von 37
– u.a. Produkt „CoreID Access and Identity“
• Produkt für die zentralisierte Verwaltung von Identitäten
und Zugriffskontrollen
–
–
–
–
Benutzer-(Selbst)verwaltung und Password-Management
Single Sign On
Policies für vielschichtige Zugriffskontrollen
Audit- und Reporting-Möglichkeiten
• Umfangreiche Schnittstellen für
– Web- und Application-Server
– Directory Server
• Skalierbare Architektur
3/2009
Folie 21 von 37
Single Sign on Web
• Durch Zukauf von Oblix – März 2005
Oracle Acces Manager
•
Enduser
– Identity System
– Access System
Policy
Manager
Web Pass
Web Gate
•
Webserver
Webserver
•
Identity System
Access System
Identity Server
Access Server
•
•
User Data
Configuration +
Policy Data
3/2009
LDAP Directory
Authorization
Data
Authentication
Data
Zwei getrennte Systeme
Prozesse, Plugins, LDAPDaten (eigene
Objektklassen)
Prozesse können verteilt
werden
Ausfallsicherheit durch
Redundanzen
Benutzer- und
Konfigurationsdaten können
in unterschedlichen
Verzeichnissen gehalten
werden.
Folie 22 von 37
Single Sign on Web
Admin
Single Sign on Web
Teil 2:
Die Produkte
3/2009
Folie 23 von 37
Single Sign on Web
• LDAP v3 kompatibler Verzeichnis-Dienst
• Datenhaltung in Oracle-Datenbank
– Tabellen und Objekttypen
• Funktionsumfang
– Übliches LDAP-Portfolio: Entries, ACLs, Auditing, Commandline Schnittstellen etc.
– Directory Integration Services für Synchronisation
– Directory Chaining
– Replication – via LDAP oder Advanced Replication
• Skalierbar durch OID Instanzen
• Sicherheit durch Zertifikate und SSL
• I.d.R. Datenhoheit innerhalb der Oracle-Gruppe
3/2009
Folie 24 von 37
Single Sign on Web
•
•
•
Ein oder mehrere Directory Server Instanzen pro Knoten
Optional ein Replication Server
Datenspeicher (Oracle DB) nach Möglichkeit dediziert
– spezifische Schemaerweiterungen für Oracle Funktionalität
3/2009
Folie 25 von 37
Single Sign on Web
Teil 2:
Die Produkte
3/2009
Folie 26 von 37
–
–
–
–
LDAP-Adapter – ganze oder Teilbäume
DB-Tabellen/Views, auch Join-Verbindungen
Windows NTLM
Local Store möglich
• Individuelles Mapping von DIT-Zweigen, Objektklassen
und Attributen
• Eigene Access Controls, Routing und Suchfilter
• Load Balancing, Failover
• Robuste, schlanke Architektur – xml Konfigurationsdat.
3/2009
Folie 27 von 37
Single Sign on Web
• Zukauf von OctetString‘s Virtual Directory
• Erzeugt beliebige LDAP-Sichten für unterschiedliche
Datenquellen
Single Sign on Web
Windows PC
Server
OVID
Manager
Client
3/2009
OVID
Server
Folie 28 von 37
Single Sign on Web
Teil 3:
Die Konfiguration
3/2009
Folie 29 von 37
Gesamtbild 1
•
•
•
3/2009
Vereinfachte
Darstellung
keine Verschlüsselung
(SSL-Konfiguration)
keine HA-Redundanz
und Failover
ohne administrative
Komponenten
Folie 30 von 37
Single Sign on Web
•
Gesamtbild 2
Single Sign on Web
Authorizat
ion
SS
O
Users +
Policies
Password
Verification
Integration
Platform
3/2009
Folie 31 von 37
Konfigurationsprozedere
Single Sign on Web
1. Virtual Directory Installation
•
•
Server
OVD Manager-Tool
2. Virtual Directory Konfiguration
•
•
Local Store Adapter (DIT-Wurzelpunkt)
LDAP Proxy Adapeter für Benutzerdaten
3. OID Repository
•
•
Basisdatenbank
OID-Objekte mit Metadata Repository Creattion Assistant
4. OID „Client“
3/2009
Folie 32 von 37
Konfigurationsprozedere
Single Sign on Web
5. OAM – Identity System
6. OAM – LDAP-Schemaerweiterung für IS
7. OAM – Web Pass (IS Schnittstelle)
•
ggf. eigenen Web-Server installieren
8. OAM – Konfiguration IS per Menü
9. OAM – Access System – Policy Manager im Rahmen
von Web-Server
10. OAM – Access System – Access Server
11. OAM – Web Gates für alle Ziel Web-Server
12. OAM Konfiguration
•
•
3/2009
Authentication und Authorization Rules anlegen
Policies
Folie 33 von 37
OAM Policies
Single Sign on Web
Policy
Host-IDs
URLs
Authentication
Authorization
Authentication
Scheme
3/2009
Folie 34 von 37
Single Sign on Web
Teil 4:
Rückblick und Ausblick
3/2009
Folie 35 von 37
Fazit
Single Sign on Web
• Komplexe Konfiguration
– genaues Konzept notwendig
• Load Balancing und Failover vorsehen
– single point of failure
• Stabiler Betrieb durch „simple“ Abfragestrukturen
– Policies und User Daten
3/2009
Folie 36 von 37
Single Sign on Web
Danke für´s Zuhören...
3/2009
Folie 37 von 37

Single-Sign-On für Web-Anwendungen

Transcription

Documents pareils

Workshop mit internationalen Gästen Vom 18. - 20. April fand

openLDAP | 4whatitis - ITchinesisch

Bernhard Seidenstücker

Hotel info - NT incoming

GM Consult ist akkreditierter Regify

terminierung - Sign For Com

Hotel info - NT incoming

Oracle Database 11g: New Features for