Federoidun identiteetinhallinnan periaatteet

Esitys aiheesta: "Federoidun identiteetinhallinnan periaatteet"— Esityksen transkriptio:

1 Federoidun identiteetinhallinnan periaatteet

2 CSC - Tieteen tietotekniikan keskus
Valtion omistama osakeyhtiö Non-profit tuottaa keskitettyjä IT-palveluita korkeakouluille, tutkimuslaitoksille ja muille organisaatioille Suurteholaskenta Funet-verkko CSC ja identiteetinhallinta Korkeakoulujen Haka-luottamusverkoston operointi ja koordinointi Valtionhallinnon Virtu-luottamusverkoston operointi

3 Identiteetin ja pääsyn hallinta
Palvelun omistaja esim. talous- hallinto 2. ”Yksikönjohtajat hyväksyvät matkalaskut” Käyttövaltuudet (authorisation) 1. 2. 3. 4. 1. Eskon henkilötiedot viedään järjestelmään Henkilötietojen ylläpito (identity) Nimi: Esko Esimerkki Käyttäjätunnus: eesimerk Rooli: Yksikönjohtaja 3. Käyttäjätunnus Salasana Identiteetin todentaminen (authentication) Jäljitettävyys/raportointi (audit) esim. Sisäinen tarkastaja 4. Kenellä on oikeus? Palvelu (esim. matkanhallinta) Esko Esimerkki

4 Tosielämässä palveluita on useita…
Matkanhallinta SaaS Hanselin ekstranet Wiki Sähköposti Esko Esimerkki Windows AD Intranet

5 Osan niistä omistaa Eskon työnantaja, osan joku muu…
Palvelut joita Esko käyttää työtehtävissään Matkanhallinta SaaS Matkanhallinta SP Hanselin ekstranet Eskon kotiorganisaatio Wiki Sähköposti Esko Esimerkki Windows AD Intranet

6 Eskon tunnukset jokaisessa palvelussa tuppaa elämään omaa elämäänsä…
Palvelut joita Esko käyttää työtehtävissään Matkanhallinta SaaS Hanselin ekstranet Eskon kotiorganisaatio Wiki Sähköposti Esko Esimerkki Windows AD Intranet ”Saarekkeinen identiteetinhallinta (isolated IdM)”

7 Metahakemisto rationalisoi identiteetinhallintaa organisaation sisällä
Palvelut joita Esko käyttää työtehtävissään Matkanhallinta SaaS Hanselin ekstranet Eskon kotiorganisaatio Wiki IdM-järjestelmä Sähköposti Esko Esimerkki Windows AD Intranet ”Keskitetty identiteetinhallinta (centralised IdM)”

8 Federointi tuo myös talon ulkopuoliset järjestelmät saman identiteetin piiriin
Palvelut joita Esko käyttää työtehtävissään Matkanhallinta SaaS Hanselin ekstranet Identity Provider Eskon kotiorganisaatio Wiki IdM-järjestelmä Sähköposti Esko Esimerkki Windows AD Intranet ”Federoitu identiteetinhallinta (Federated IdM)”

9 Virtun ja Hakan tekniikka: SAML2.0
1. HTTP ”Tahdon sisään Kotaan Service Provider (SAML SP) Kota (OPM:n tulos- ohjausjärjestelmä korkeakouluille) 2. HTTP ”Mistä olet?” 5. Username: eskoe Password: 95iEfHw IdP Discovery Service (WAYF) 3. HTTP ” HY:stä” 4. HTTP redirect/SAML ”Käyttäjä teidän korkeakoulusta haluaa Kotaan. Tunnistakaa hänet!” Kotiorganisaatio Identity Provider (SAML IdP) ”Tunnistuslähde” Helsingin Yliopisto Avataan laitosjohtajan näkymä 6. HTTP POST/SAML ”Tahdon sisään Kotaan HY takaa että olen Esko Esimerkki, Laitoksen X johtaja HY:stä” SAML IdP ja SP –toteutuksille on laaja kaupallinen ja OSS-tarjonta

10 SAML 2.0 on XML-kieli OASIS-standardi vuodelta 2005
<saml:AuthnStatement AuthnInstant=" T09:22:00Z" SessionIndex="b07b804c-7c29-ea f3d6f7928ac"> <saml:AuthnContext> <saml:AuthnContextClassRef> urn:oasis:names:tc:SAML:2.0:ac:classes:PasswordProtectedTransport </saml:AuthnContextClassRef> </saml:AuthnContext> </saml:AuthnStatement> <saml:AttributeStatement> <saml:Attribute xmlns:x500="urn:oasis:names:tc:SAML:2.0:profiles:attribute:X500" x500:Encoding="LDAP" NameFormat="urn:oasis:names:tc:SAML:2.0:attrname-format:uri" Name="urn:oid: " FriendlyName="eduPersonAffiliation"> <saml:AttributeValue xsi:type="xs:string">member</saml:AttributeValue> <saml:AttributeValue xsi:type="xs:string">staff</saml:AttributeValue> </saml:Attribute> </saml:AttributeStatement> OASIS-standardi vuodelta 2005

11 Mitä hyötyä federoinnista?
Tietoturvallisuus Tunnusten keskitetty sulkeminen, kun henkilö lähtee Yksi salasana, parempi salasana? Salasanan korvaaminen vahvalla tunnistuksella keskitetysti Identity Providerille lisäsuojaa sijoittamalla se sisäverkkoon Jäljitettävyys ja raportointi helpottuu Tuottavuus Sähläys tunnus/salasana-parien kanssa vähenee (käyttäjä) Salasanojen resetointi vähenee (IT-helpdesk) Päällekkäinen tietojen ylläpito vähenee ja tiedon laatu paranee Palvelunomistaja voi keskittyä palveluunsa, tietohallinto hoitaa tunnukset Uudet toimintatavat Tukee esim. SaaS-palveluiden käyttöä

12 Käyttötilanteet SaaS-palvelut Keskitetyt järjestelmät Kollaborointi
Ostolaskut, matkalaskut, HR-järjestelmät Keskitetyt järjestelmät Perusrekisterit (VTJ ym) Korkeakoulukirjastojen palvelut ym Kollaborointi Ryhmätyöalustat, wikit, Sharepoint ym Oppimisalustat ym Tutkimusresurssit

13 Hyödyntämistavat Auktorisointi Provisiointi
Myös käyttövaltuudet palvelussa tuodaan federoidusti. Provisiointi Uusien käyttäjien perustaminen palveluun lennosta. Käyttäjätietojen ylläpito. Autentikointi Kirjautuminen kotiorganisaation tunnuksella ja salasanalla. Ei palvelukohtaista käyttäjätunnus/salasana-paria. Kuinka monennelle portaalle haluat palvelusi nostaa?

14 IdP-pään toimintamalleja
Kotiorganisaatio IdP SP SAML Organisaatiolla oma IdP-palvelin Esim. hallinnonala IdP SP SAML Kotiorganisaatio A Kotiorganisaatio B Kotiorganisaatio C Organisaatioilla yhteinen IdP Oy Yritys Ab SP SAML Kotiorganisaatio A Kotiorganisaatio B Kotiorganisaatio C IdP IdP SaaS

15 SP-pään toimintamalleja
IdP Service Provider (SP) SAML Sovellus SAML SP viety suoraan palvelimeen IdP Sovellus 1 LDAP ”Hän on Esko Esimerkki” ”Esko Esimerkki on hyväksyjäroolissa vastuualueessa x” SP/Pääsyn­valvonta Sovellus 2 SAML SP erillisessä pääsynvalvonta- palvelimessa IdP Sovellus 1 IdP Proxy Sovellus 2 SAML Liberty ID-FF WS-Federation SAML SP proxyssä, joka on protokolla- muunnin