Identity Management mit SAP Master Data Management

Identity Management mit SAP Master Data Management SAP NetWeaver als Baukasten einer Identity Management Lösung Autor: Andreas Markert Datum: Mai 2007 Version: 1.0 (c) IBSolution GmbH 2007 Identity Management mit SAP MDM – Seite 2 von 16 Inhaltsverzeichnis 1. Management Summary ..................................................3 2. Ausgangslage ................................................................4 3. Herausforderungen ........................................................6 4. Lösungsansatz ...............................................................8 4.1 Adapter ...................................................................9 4.2 Middleware SAP XI .................................................9 4.3 SAP MDM als Metadirectory .................................10 4.4 User Interface Enterprise Portal............................11 4.5 Guided Procedures als Workflow Engine..............12 5. Zukünftige Anforderungen in einer Enterprise SOA .....13 6. IBSolution GmbH .........................................................14 7. Über den Autor.............................................................15 Impressum...........................................................................16 (c) IBSolution GmbH 2007 Identity Management mit SAP MDM – Seite 3 von 16 1. Management Summary Korrekte Zugriffsberechtigungen sind essentiell für funktionierende Prozessabläufe. Jedoch ist der Auf- wand für die konsistente Verwaltung in den letzten Jahren enorm gestiegen. Identity Management Sys- teme helfen, diesen Missstand auszugleichen. Manche Fragen sind bei genauer Betrachtung nicht so einfach zu Stolperstein beantworten wie es zunächst scheint. Auf die Frage „Welcher Mit- Berechtigungs- arbeiter hat in welchen Systemen welche Berechtigungen, seit auswertung wann und wer hat sie ihm zugeteilt“ ist in einer heterogenen Sys- temlandschaft, mit lokal verteilten Benutzerverwaltungen eine schwierige und vor allem kostspielige Aufgabe. Einzelne Auswer- tungen müssen in aufwendiger Kleinarbeit konsolidiert werden, um ein gültiges Bild zu erlangen. Bis dies soweit ist, kann sich der Stand längst wieder verändert haben. Solche Nachweise sind dennoch wichtig, um beispielsweise ge- setzliche aber auch interne Ansprüche zu erfüllen. Dabei muss ein Unternehmen in kürzester Zeit solche Reporte mit aktuellen Daten erstellen können. Unterstützt man diese Anforderungen mit einem Identity Manage- Integriertes Identity ment System, so ist, neben dem Reporting, die zentrale, übergrei- Management hilft bei fende Administration der Berechtigungen für die Endsysteme ein Problemlösung weiteres wichtiges Modul. Betrachtet man hierbei eine SAP ge- stützte Infrastruktur, so ergeben sich wesentliche Erfolgsfaktoren für die Einführung eines Identity Management Systems: a.) Integration in die bestehende Systemlandschaft b.) Zentrale, systemübergreifende Administration und die Har- monisierung der Daten mit den Endsystemen c.) Abbildung von Prozessen in einem unternehmensweiten Portal zur abteilungsübergreifenden Zusammenarbeit Mit NetWeaver stellt die SAP AG einen Baukasten mit integrierten SAP NetWaever als Bestandteilen zur Verfügung, mit welchem diese Punkte erfüllt strategischer werden können. Durch die Verbindung der einzelnen Komponen- Baukasten für IDM ten zu einer Identity Management Lösung erweitert die strategi- sche Standard-Software ihre Nutzenpotentiale langfristig. Einen Überblick über den Aufbau und die Vorteile einer solchen Lösung finden Sie in den folgenden Kapiteln. (c) IBSolution GmbH 2007 Identity Management mit SAP MDM – Seite 4 von 16 2. Ausgangslage Korrekt verwaltete Zugriffe auf Systeme sind für Un- ternehmen essentiell. Hierbei verändern sich jedoch die meist technisch getriebenen Sicherheitsbestre- bungen zur Benutzerkontrolle hin zu einer zeitgenau- en und kontrollierten Zuteilung von Berechtigungen. Auszubildende gehören zu den mächtigsten Personen innerhalb eines Unternehmens – zumindest, bei genauerer Betrachtung ihrer Berechtigungen. Bei dem turnusmäßigen Wechsel in die verschie- denen Abteilungen, sammeln sich auf diesen Accounts Berechti- gungen für verschiedene Systeme an, ohne dass diese nach ei- nem Abteilungswechsel entsprechend wieder entzogen werden. Dieses, in der Praxis häufig anzutreffende Beispiel, zeigen Her- Sicherheitsdenken ausforderungen mit welchen sich Unternehmen konfrontiert sehen, verschiebt sich nämlich: d.) Zeitpunktgerechte, korrekte Zuteilung und e.) den zeitpunktgerechten Entzug von Berechtigungen für interne als auch für externe Mitarbeiter. Geprägt durch eine über die Jahre aufgebaute heterogene IT- Heterogene Systemlandschaft, in welche vermehrt individuelle Systeme zur Systemlandschaft Abdeckung von speziellen Anforderungen integriert wurden, ist erschwert die eine konsistente Verwaltung der Berechtigungen zu einer heraus- Verwaltung fordernden und zeitintensiven Aufgaben für die IT Administration geworden. Hinzu kommen die verschiedenartigsten Definitionen der Berechtigungsstruktur in den diversen Endsystemen. Hierbei wurden unterschiedliche Ansätze der Zuordnung einer Berechti- gung für den User durch Gruppen- oder Rollenkonzepte umge- setzt. Dadurch soll die Handhabung für die Benutzeradministration erleichtert werden. Diese systemspezifischen „Insellösungen“ ver- walten die Benutzer für das jeweilige System, können jedoch eine Anforderung zur unternehmensweiten Verwaltung aller Berechti- gungen des Mitarbeiters nicht nachkommen. Um Benutzeranfragen bzw. die Integration neuer Benutzer in die Falsche Vergabe von Systeme überhaupt noch bewältigen zu können, kopieren viele Berechtigungen Unternehmen die Berechtigungen des alten auf den neuen Benut- zer – ohne vorher eventuell geänderte Business Anforderungen mit der Fachabteilung zu klären. Durch diesen Ansatz werden oft mehr Berechtigungen übertragen als benötigt. Zwar entlastet dies die IT Administration von stetigen Anfragen zur Änderung der Be- rechtigungen, birgt jedoch erhebliche Sicherheitsrisiken in sich. (c) IBSolution GmbH 2007 Identity Management mit SAP MDM – Seite 5 von 16 Diese unübersichtliche und komplexe Verwaltung von Benutzern und deren Berechtigungen erschwert eine zeitpunktgenaue und anwenderspezifische / -orientierte Zuteilung der Berechtigungen. Weitere Inkonsistenzen entstehen, wenn Änderungen in den Be- Dateninkonsistenz nutzerstammdaten nicht Systemübergreifend übertragen werden. durch lokale Die Praxis zeigt vielmehr, dass von der IT-Administration manuell Änderungen nachjustiert wird – vorausgesetzt natürlich, diese wird über die Änderungen informiert. Hierbei entsteht ein unnötiger Aufwand, der Zulasten der Administrations-Produktivität geht aber auch die Benutzer untätig warten lässt, bis die Zuteilung der Berechtigun- gen abgeschlossen ist. Kombiniert mit gesetzlichen Vorgaben zum Nachweis zur Berech- Anforderung der tigungsvergabe bewegen diese internen Anforderungen Unter- Revision nehmen zu einer aktiven Suche nach Identity Management Lösun- gen. Ziel hierbei ist Compliance Anforderungen bei steigenden Administrationskosten und sinkender Datenqualität zu erfüllen. Mit diesem Ansatz sollen zusammengefasst folgende Probleme beho- ben werden: Komplexe, systemspezifische Benutzerverwaltungen Falsche oder überflüssige Zuteilung von Berechtigungen Dateninkonsistenzen in den Benutzerstammdaten (Dubletten) Fehlendes, systemübergreifendes Reporting der Benutzer und deren Berechtigungen Zeit- und kostenintensive Administration In diesem Zusammenhang ist es wichtig eine Identity Management Lösung zu wählen, welche zukünftige Anforderungen einfach, schnell, flexibel und kostengünstig umsetzen kann. (c) IBSolution GmbH 2007 Identity Management mit SAP MDM – Seite 6 von 16 3. Herausforderungen Die Nutzung von strategischer Standard Software er- höht den Mehrwert bereits getätigter Investitionen und fördert den langfristigen Wissensaufbau. Basierend auf der gegebenen Systemlandschaft, in welche sich ein Identity Management System integrieren muss, stellen sich bei der Konzeption sowie bei der Umsetzung einige Projektherausfor- derungen, die es zu bewältigen gilt. Konsequent betrachtet, stellen Systemberechtigungen eine Erwei- Datenqualität aus HR terung von Mitarbeiterstammdaten dar, wie sie etwa in einem Hu- in lokalen Systemen man Ressources-System (HR) vorliegen. Abgesehen von Über- nutzen schneidungen in den Attributen wie etwa Name, Abteilung usw. wird das umfassende Bild eines Mitarbeiters erst durch die Zuord- nung der Berechtigungen komplettiert, was ihn letztendlich zur Arbeitsaufnahme befähigt. Startpunkt für Änderungen der Mitarbei- terdaten, etwa durch einen Abteilungswechsel oder ähnlichem, werden zunächst im HR System erfasst und liegen dort in korrek- ter Form vor. Diese Datenqualität gilt es auf die Berechtigungs- verwaltungen der Systeme zu übertragen. Zur Umsetzung wird eine Möglichkeit benötigt, welches das Mapping zwischen den Mitarbeiterdaten im HR und den verschiedenen Benutzern in den Endsystemen herstellt. Die Antwort hierfür liefert der Einsatz eines Metadirectories in Verbindung mit einer Identity Management Lö- sung.

Loren Heilig Geschäftsführer Tel. (+49) 7131 / 6 49 74-1002 Fax (+49) 7131 / 6 49 74-7002 loren.heilig@ibsolution.de Steffen Baumann Solution Architect Tel. (+49) 7131 / 6 49 74-1047 Fax (+49) 7131 / 6 49 74-7047 steffen.baumann@ibsolution.de IBSolution ist einer der führenden SAP Partner im Bereich Produkte und Lösungen für SAP NetWeaver Identity Management. Unsere Experten stehen Ihnen an den Standorten Heilbronn (Zentrale), Berlin, Dortmund und München für eine kompetente Identity Management Beratung zur Ver- fügung. Wir unterstützen Sie dabei, den richtigen Mitarbeitern zur richtigen Zeit berechtigten Zugang zu Daten, Applikationen, Geschäftsprozessen, Systemen und Netzwerken zu erteilen. SAP NetWeaver Identity Management Pilot zum Festpreis! IBSolution GmbH Edisonstraße 21 74076 Heilbronn Tel. (+49) 7131 / 6 49 74-0 Fax (+49) 7131 / 6 49 74-55 www.ibsolution.de Kurzbeschreibung Nutzen Sie die Möglichkeit, mit diesem Festpreispaket eine lauf- Leistungen des Installation SAP NetWeaver Identity Management: fähige und vorkonfigurierte Testinstallation des neuen Werkzeugs Basispakets • Installation der SAP NetWeaver IDM Laufzeitkomponenten „SAP NetWeaver Identity Management 7.0“ in Ihrer eigenen • Installation der Workflow und der Monitoring Komponente Umgebung aufzubauen. • Konfiguration einer bereits bestehenden und entsprechend den Anforderungen vorbereiteten Datenbankinstanz Neben der Installation des SAP NetWeaver Identity Management (IDM) Systems zeigen wir Ihnen an Beispielen, sowie an vorkon- Einrichtung der Stammdatenverteilung im SAP HCM für die figurierten Einstellungen, wie Sie mit Hilfe von SAP NetWeaver im Rahmen des Piloten relevanten Stammdatenobjekte: Standardkomponenten eine schnelle und übersichtliche Integra- tion mit SAP Human Capital Management (HCM) bewerkstelligen • Einrichtung des Verteilmodells und Aktivierung der Schnittstelle können. Durch die organisatorische Zuordnung Ihrer Mitarbeiter, SAP HCM => SAP Process Integration (PI) kann die Steuerung der Berechtigungsverwaltung zum größten • Verteilung ausgewählter Attribute aus dem SAP HCM Teil automatisiert werden. Organisationsmanagement Einrichtung der SAP HCM => NetWeaver IDM Schnittstellen in der Die beispielhafte Konfiguration der Workflow Komponente zeigt SAP Exchange Infrastructure: zusätzlich, welche Funktionalitäten SAP NetWeaver IDM in die- sem Bereich zur Verfügung stellt und damit sowohl Self-Services • Vorkonfigurierte Schnittstelle für die Übertragung der als auch die delegierbare Administration unterstützt. Organisationseinheit und Planstellen • Übernahme von zwei weiteren Attributen (bspw. Personalbereich oder Mitarbeiterkreis), die im Rahmen ihrer Umgebung steuernden Ihr Nutzen • Voll funktionsfähige Testinstallation SAP NetWeaver IDM Charakter haben • SAP HCM regelbasierte Berechtigungsverwaltung und Konfiguration SAP NetWeaver Identity Management: Provisionierung auf SAP NetWeaver Basis • Exemplarischer Anschluss folgender Systemtypen: - SAP Web AS ABAP / SAP Web AS Java • Übernahme ausgewählter Daten aus dem Organisations- - MS Active Directory (oder ADAM, falls kein Entwicklungs-AD management Ihres SAP HCM Systems vorhanden) • Automatisierte Provisionierung basierend auf der Zugehörigkeit • Konfiguration beispielhafter Regelwerke zur automatischen zu einer Organisationseinheit, einer Planstelle oder einer Vergabe von Berechtigungen bestimmten Ausprägung zusätzlich übernommener Merkmale • Ausgewählte Beispiele für Employee Self-Services, Manager • Konfiguration des SAP NetWeaver IDM Workflow Moduls Self-Services und delegierbare Administration in der Standard mit ausgewählten Employee und Manager Self-Services SAP NetWeaver IDM 7.0 Workflow Komponente (bspw. Pflege der eigenen Kommunikationsdaten, Beantragung von Rollen) • Möglichkeit zur Anbindung von verschiedenen Zielsystemtypen Technische Vorhandene Anwendungen: Voraussetzungen • SAP HCM oder existierendes IDES System mit Beispieldaten • SAP XI 3.0 / PI 7.0 System SAP IDM Installation: • Windows 2003 Server mit MS Internet Information Server • Microsoft SQL Server 2000, Microsoft SQL Server 2005 oder Oracle Version 10.2 • SAP NetWeaver IDM Testlizenz Den Anforderungen entsprechende Systemzugänge sind im Vorfeld auf allen beteiligten Systemen bereitzustellen. Festpreis für das Basispaket 9.800,- Euro www.ibsolution.de www.ibsolution.de