Identity Management Universität Duisburg Essen Einheitlicher Zugang zu Diensten, Informationen und Kommunikationspartnern in einer serviceorientierten, integrierten Informations- und Kommunikationsinfrastruktur Thema DFN-Nutzergruppe Hochschulverwaltung 10.05.2005

Bericht über die bisherige Umsetzung des Phasenmodells Phase 1: Grobkonzept Phase 2: Feinkonzept Problemdefinition Zieldefinition Analyse der Geschäftsprozesse Phase 3: Aufbau eines ITIM-Prototypen / Schaffung der Voraussetzungen für die Implementierung / Phase 4: Ausblick Implementierung Agenda Agenda DFN-Nutzergruppe Hochschulverwaltung 10.05.2005

Phase 1: Grobkonzept Fusion der Universitäten Duisburg und Essen mit zusammen 36.000 Studierenden und 3500 Mitarbeitern Beteiligung am Ausschreibungsverfahren der DFG zu „Leistungszentren für Forschungsinformation“ 2003 Neue Ideen werden benötigt -> Geburtsstunde von ZIM, IM, etc. Wer macht bereits was im Land? Beschäftigung mit dem Grobkonzept aus Bielefeld/Paderborn Hintergrund Phase 1: Grobkonzept DFN-Nutzergruppe Hochschulverwaltung 10.05.2005

Probleme an den Unis Außerhalb der RZ sind neue netzbasierte Dienste entstanden (DV der Verwaltung, FB-Server, Webdienste/Portale von UB und ...) Alle Dienste haben eigene Nutzerverwaltung Nutzer (Studenten, Mitarbeiter,...) müssen sich bei jedem Dienst einzeln registrieren Betreiber der Dienste möchten deshalb die Nutzerdatenbank des RZ zur Authentifizierung nutzen (z.B Verwaltung HISLSF, POS-QIS) Die RZ-Nutzerverwaltung ist nicht vollständig (z. B. Campus Essen nur 13 von 22 Tausend Studenten) Studenten- und Mitarbeiterdaten werden überhaupt nicht oder nur „provisorisch“ mit der Verwaltung synchronisiert Motivation Phase 1: Grobkonzept DFN-Nutzergruppe Hochschulverwaltung 10.05.2005

Zieldefinition für das Projekt Identity Management (IM) Verbesserung der Dienstleistungsprozesse Unterstützung des Neugründungsprozesses der Universität Duisburg-Essen Reduzierung der Infrastrukturkosten durch… … Schaffung von klaren eindeutigen Administrationsprozessen … Verminderung von Datenredundanzen … Automatische Synchronisation der Daten ... Reduzierung der Administrationsaufwände für die Endbenutzer ... Erhöhung der Sicherheit, Beschreibung der Datenflüsse … Vereinheitlichung der Directories … Vereinfachung der Integration zukünftiger Anwendungen Zieldefinition Phase 1: Grobkonzept DFN-Nutzergruppe Hochschulverwaltung 10.05.2005 Basic text slide

Dynamische IT Quelle: Computerwoche DFN-Nutzergruppe Hochschulverwaltung 10.05.2005

Was ist Identity Management? Einheitliche Verwaltung von Personen, Rollen, Adressen, (Zugriffs)Rechten, Ressourcen Zieldefinition Phase 1: Grobkonzept DFN-Nutzergruppe Hochschulverwaltung 10.05.2005 Basic text slide

Wozu Identity Management? Zur wirksamen Unterstützung von Forschung, Lehre, Studium, Verwaltung und Öffentlichkeitsarbeit soll jedem , der in oder mit der Hochschule zu tun hat, ein einheitlicher, direkter und vollständiger Zugang zu allen Diensten, Informationsquellen und Kommunikationspartnern angeboten werden unter Berücksichtigung der Rolle(n), Aufgaben und persönlichen Berechtigungen eines jeden. Notwendige Grundlage: IM Zieldefinition Phase 1: Grobkonzept DFN-Nutzergruppe Hochschulverwaltung 10.05.2005 Basic text slide

IM aus Nutzersicht I Basic text slide Nur eine Anlaufstelle Benutzerkennung und Initialpasswort sofort bei Einschreibung/Einstellung, damit Zugangsberechtigung auf „allen“ DV-Systemen Self care Funktion Freischaltung von Zugängen Aktualisierung von Daten durch Nutzer Freigabe/Sperrung von Daten für Verzeichnisse Datenschutz/Datensicherheit Vollständiger Überblick über alle gespeicherten Daten (Inhalt, Ort, Zweck) und Datenflüsse Fachbereiche/Fakultäten Übernahme von Daten aus zentralen Verzeichnissen: keine Doppelerhebungen, Verwaltungsvereinfachung ->Portal Einheitlicher Dienstezugang Single Sign On Zieldefinition Phase 1: Grobkonzept DFN-Nutzergruppe Hochschulverwaltung 10.05.2005 Basic text slide

IM aus Nutzersicht II Basic text slide Telefon- und Adressbücher, Emailverteiler Darstellung Organisationsstruktur System Management Entzug von Berechtigungen bei Ausscheiden Auslösen von Folgeprozessen bei Verwaisen von wichtigen Rollen (Administratoren) durch Ausscheiden Übersicht über wichtige Rollen (z.B. Administratoren) Zieldefinition Phase 1: Grobkonzept DFN-Nutzergruppe Hochschulverwaltung 10.05.2005 Basic text slide

Marktanalyse Anbieter Phase 1: Grobkonzept Bildung einer Arbeitsgruppe „Einheitlicher Dienstezugang und Verzeichnisdienste“ aus Rechenzentren, Bibliotheken, Verwaltungen Ein Anforderungspapier (Anlage) wird an mehrere Anbieter (IBM, SUN, Siemens, Siebel) versandt mit der Bitte, Vorstellungen zur Realisierung zu entwickeln Präsentationen der Hersteller mit Grobkonzepten zur Projektgestaltung (Phasen, Inhalte, Organisation), zur (herstellerneutralen) Systemarchitektur und zur Realisierung mit bestimmten Produkten. Auswahl eines Vorschlags/Grobkonzept als Basis für Feinkonzept Marktanalyse Phase 1: Grobkonzept DFN-Nutzergruppe Hochschulverwaltung 10.05.2005

Phase 2: Auswahl Anbieter Feinkonzept Antrag an das Ministerium für Wissenschaft und Forschung NRW auf Förderung eines ersten Teilprojekts (Analyse von Administrationsprozessen, Informationsflüssen, Datenstrukturen, Rollenkonzepten, Berechtigungen, detaillierte Vorschläge für Systemarchitektur, Implementierung, Produkte) Bewilligung des Antrags in Höhe von 80.000 €, Beschränkte Ausschreibung Präsentationen der Anbieter und Bewertung Zuschlag und Vertragsabschluss Marktanalyse Phase 2: Feinkonzept DFN-Nutzergruppe Hochschulverwaltung 10.05.2005

Projektführungsstruktur Projektleitung Universität Herr Blotevogel (zentraler Ansprechpartner) Projektleitung Gunter Jahn (IBM) Qualitätssicherung Dr. Oliver Ziehm (IBM) Fachbereich MA Universität HRZ MA Universität Verwaltung MA Universität Bibliothek MA Universität Prozesse Margarete Nikol (IBM) Meta-Directory Gunter Jahn (IBM) Provisioning Reinhard Stamms (IBM) Projektbeteiligte Phase 2: Feinkonzept DFN-Nutzergruppe Hochschulverwaltung 10.05.2005

Projektplan Projektplan 51 Phasen / Kalenderwoche 47 48 49 50 02 03 Kick-Off – Vorbereitung und Durchführung - Kick-Off 18.11.2003 - Vorbereitung und Fragebögen IST-Aufnahme - Prozesse - Rollen - Directories IT-Architektur, Soll-Prozesse und - Directories - IT-Architektur, SOLL-Prozesse und -Aufbau Directories Weiteres Vorgehen - Konzepte Standardberechtigungen und Datenbereinigung - weiteres Vorgehen und Priorisierung Präsentation - Abschlusspräsentation und Übergabe Abschlussdokumentation KW 49 IST-Prozesse und IST-Directories KW 51 IT Architektur SOLL-Prozesse und Directories Kick-Off 18.11.2003 Abschluss- präsentation Projektplan Phase 2: Feinkonzept DFN-Nutzergruppe Hochschulverwaltung 10.05.2005

Arbeitspakete Ist-Analyse- Directories Ist-Analyse- Prozesse Soll- Empfehlung Directories Soll- Empfehlung Prozesse Rollen Empfehlung der Soll- Datenflüsse Empfehlung einer Soll- Architektur Produkt- empfehlung Implemen- tierungs- vorschlag Projektplan Empfehlung für zentrales Directory Einheitliche Benutzer-ID & Kennwort Arbeitspakete Phase 2: Feinkonzept DFN-Nutzergruppe Hochschulverwaltung 10.05.2005

IST-Analyse Prozesse Phase 2: Feinkonzept DFN-Nutzergruppe Hochschulverwaltung 10.05.2005

SOLL-Analyse Prozesse Phase 2: Feinkonzept DFN-Nutzergruppe Hochschulverwaltung 10.05.2005

Ergebnisse der Ist-Analyse der Prozesse Untersucht und dokumentiert wurden insgesamt 39 Prozesse HISSOS Essen 4 Prozesse Duisburg 4 Prozesse HISSVA Essen 3 Prozesse Duisburg 4 Prozesse Aleph 500 (Bibliotheks- System) Bibliothek Duisburg und Essen gesamt 15 Prozesse AUM / NIS Benutzer- verwaltung Essen 5 Prozesse Duisburg 4 Prozesse Prozessanalyse Phase 2: Feinkonzept DFN-Nutzergruppe Hochschulverwaltung 10.05.2005

Zusammenhang IST- und SOLL-Prozesse IST-Prozesse SOLL-Prozesse Anlage neuer Mitarbeiter / Studierende Anlage neuer Mitarbeiter/ Studierende Provisioning System Bibliothek HRZ Accounts Telefon Bibliothek Accounts Telefon Viele manuelle und teilautomatische Prozesse. Die Mehrzahl der manuellen und teilautomatischen Prozesse wird durch automatische Prozesse über das Provisioning System ersetzt, Prozesse wurden zusammengefasst. IST- und Soll Prozesse Phase 2: Feinkonzept DFN-Nutzergruppe Hochschulverwaltung 10.05.2005

Ist-Prozess: Wie kommen Studierende zu ihren Berechtigungen? Studenten- sekretariat HISSOS Einschreibung tägliche Datenüberlei-tung (DU) 1x pro Semester Benutzerkennung und Passwort (DU) für HRZ Tägliche Da-tenüberlei-tung (E/DU) Web Formular HRZ Benutzerbüro Benutzer- verwaltung / NIS Benutzer Account, eMail (E) für HRZ Fachbereich/ Fakultät Fachbereich Bibliothek Aleph 500 Vorsprache in der Bibliothek und Freischaltung des Ausweises durch die Bibliothek Prozessanalyse Phase 2: Feinkonzept DFN-Nutzergruppe Hochschulverwaltung 10.05.2005

IST-Prozess: Wie kommt ein/e Mitarbeiter/in zu ihren/seinen Berechtigungen Wöchentliche Weiterleitung Daten an BuiSy (Du) Mitarbeiter/in Personal- verwaltung BuiSy Mitarbeiter/in wird eingestellt HISSVA FM Telefonantrag Telefon Bibliotheksantrag Bibliothek Aleph 500 Antrag Dienst-ausweis (E) Benutzer Account, eMail (E) Verwaltungs account Verwaltung MS AD HRZ Benutzer büro AUM/NIS Benutzer verwaltung Studenten- sekretariat Prozessanalyse Phase 2: Feinkonzept DFN-Nutzergruppe Hochschulverwaltung 10.05.2005

Soll-Prozess: Wie kommen MitarbeiterInnnen und Studierende zu ihren Berechtigungen Verwaltung Identity Management System HISSVA HISSOS Initialkennung und Passwort Telefon-/Raumdaten Erfassung Email-Daten Erfassung IS Passwort setzen Self Care MS AD Verwaltung Aleph 500 Telefon BuiSy Prozessanalyse Phase 2: Feinkonzept DFN-Nutzergruppe Hochschulverwaltung 10.05.2005

Identity Feed Prozess: HISSOS 1/2 Bei der Einschreibung wird eine Initialkennung und ein Initialkennwort generiert. Im Rahmen des Self Care erzeugt sich der Student seinen Account-Name und die eMail Adresse. Nach der Erzeugung des Accounts und seiner Mail wird die Initialkennung verworfen. Da der Account und die eMail Adresse nur auf Anforderung erzeugt wird, werden keine ungenutzten Accounts und E-Mails erzeugt. Prozessanalyse Phase 2: Feinkonzept DFN-Nutzergruppe Hochschulverwaltung 10.05.2005

Identity Feed Prozess: HISSOS 2/2 Zwischen HISSOS und HISSVA gibt es keine Verfahren um Personengleichheit zu erkennen Der Identity Feed Job versucht selbst einen Abgleich über Name, Vorname, Geburtsdatum, Geburtsort zu schaffen. Falls keine wirkliche Eindeutigkeit vorhanden ist, werden die Personen nicht zusammengeführt. Bei Änderungen erfolgt die eindeutige Zuordnung über die Matrikelnummer. Ehemalige Studenten werden zu Alumnis und bleiben weiterhin gespeichert. Bei der Einschreibung oder Zulassung werden den Studenten entsprechende Rollen zugeordnet, diese sind abhängig vom Studentenstatus und der Zuordnung zum Fachbereich. Prozessanalyse Phase 2: Feinkonzept DFN-Nutzergruppe Hochschulverwaltung 10.05.2005

Technische Analyse der Directories Es wurden etwa 40 Directories darauf hin untersucht, ob sie in der ersten Phase des Identity Management-Projektes berücksichtigt werden sollen. Davon wurden 23 intensiver mit einem Analyse-Dokument beleuchtet. 12 Directories wurden einer Soll-Betrachtung unterzogen. Es werden in der ersten Phase etwa 20 Ziel- und Quellsysteme am Identity Management teilnehmen. Analyse der Directories Phase 2: Feinkonzept DFN-Nutzergruppe Hochschulverwaltung 10.05.2005

Gesamtüberblick Datenfluss StudSek GLAZ Telefon HISMBS Bibliothek HISPOS E nur FB1 HRZ HISSVA HISSOS Fachbereich Dez 2 Stu MA Dez5 Dez3 Dez2 Dez1 Dez4 Glaz Adr Rü Die 1xper Sem Bei Anlage Aleph 500 NIS Benutzer Verwaltung / AUM Verwa ltung Account 1xper Sem 1.6/1.12 wöch BuiSy Tel Die? Nicht übereinstimmend EX Fachbereich/ Fakultät Ex Bei Anlage des MA Prozessanalyse Phase 2: Feinkonzept DFN-Nutzergruppe Hochschulverwaltung 10.05.2005

Legende zu den Überblicksfolien StudSek HISSOS Stu Dezx Die Glaz Rü Adr Tel EX MA Organisation Anwendungssystem Datenfluss Duisburg Datenfluss Essen Gleitzeitantrag Telefonantrag Antrag Dienstausweis Rückläufer Post Meldung neuer Adresse Dezernat mit Dezernatsnummer Antrag Mitarbeiter Antrag Externe Person Antrag Student HISSVA Prozessanalyse Phase 2: Feinkonzept DFN-Nutzergruppe Hochschulverwaltung 10.05.2005

Gesamtüberblick Essen Nicht übereinstimmend StudSek Adr Dez1 Aleph 500 HISSVA GLAZ HISSOS Rü Dez2 Dez3 MA Ex Glaz Adr MA Bei Anlage des MA 1xper Sem Dez5 HISPOS E nur FB1 AUM Verwa ltung Account HISMBS Dez4 Die Stu MA Ex 1xper Sem Fachbereich Telefon Prozessanalyse Phase 2: Feinkonzept DFN-Nutzergruppe Hochschulverwaltung 10.05.2005

Gesamtüberblick Duisburg StudSek Adr Aleph 500 HISSVA GLAZ HISSOS Rü MA Ex Glaz Adr MA Bei Anlage des MA 1xper Sem HISPOS NIS Benutzer Verwaltung Verwa ltung Account HISMBS wöch Die? MA Ex Tel Fakultät BuiSy Telefon 1xper Sem 1.6/1.12 Prozessanalyse Phase 2: Feinkonzept DFN-Nutzergruppe Hochschulverwaltung 10.05.2005

HISSVA – Personalverwaltung Essen Formular „Personalveränderungen“ Antrag: Bibliothekssys Mitarbeiter Aleph 500 (Bibliothek) Bibliotheks ausweis HISMBS Antrag Dienstausweis Wird im Studenten Sekretariat erstellt Dienst- ausweis Kostenstellen werden in HISSVA übernommen Antrag/ Verlängerung Account AUM Web Account email Adresse Plattenplatz HISSVA Verwaltung Account Verwaltung Account Antrag Account Gleitzeitsystem / Schliess System (Personalabteilung) GLAZ Karte Antrag GLAZ Raumzugangs karten Antrag KeyCode Karte Antrag/Änderung Telefon Telefon Telefon gerät Prozessanalyse Phase 2: Feinkonzept DFN-Nutzergruppe Hochschulverwaltung 10.05.2005

Identity Management Architektur Phase 2: Feinkonzept DFN-Nutzergruppe Hochschulverwaltung 10.05.2005

Geschätzter Personalaufwand für die Projektphase Personalaufwand Phase 4 Phase 2: Feinkonzept DFN-Nutzergruppe Hochschulverwaltung 10.05.2005

NRW Landeslizenz Die RWTH Aachen schließt Ende 2004 als Konsortialführer ein fünfjähriges Lizenzabkommen mit IBM 11Hochschulen in NRW beabsichtigen IM auf der Basis der IBM Produkte einzuführen DSH Köln, Uni Bonn, RWTH Aachen, Uni Bielefeld, Uni Duisburg-Essen, Uni Paderborn, Uni Münster, FH Lippe und Höxter, FH Bielefeld, FH Köln, FH Dortmund Ressourcen Phase 3: Aufbau eines ITIM Prototypen DFN-Nutzergruppe Hochschulverwaltung 10.05.2005

Wo stehen wir heute? Phase 3: Aufbau eines ITIM-Prototypen / Schaffung der Voraus- setzungen für die Implementierung Phase 4: Implementierung Agenda Phase 3: Aufbau eines ITIM Prototypen DFN-Nutzergruppe Hochschulverwaltung 10.05.2005

Phase 3: Aufbau eines ITIM-Prototypen / Schaffung der Voraussetzungen für die Implementierung Landesweite Abstimmung / Dokumente auf dem BSCW-Server UNI-DUE Einrichtung von Arbeitsgruppen z.B. Gästeverwaltung, eindeutige ID, Vorabkontrolle, Koordinierungd der Anfragen an die HIS Testinstallation TIM, Arbeiten mit dem Tivoli Directory Integrator, Schulung Rektoratsbeschluss zur Implementierung Beteiligung Datenschutz (Vorabkontrolle) und (Haupt)Personalräte Beteiligung Fachbereiche und Organisationseinheiten Projektpartner IBM: Herr Stamms Phase 3 Phase 3: Aufbau eines ITIM Prototypen DFN-Nutzergruppe Hochschulverwaltung 10.05.2005

Testinstallation TIM und Arbeiten mit dem Tivoli Directory Integrator Aufbau eines Prototypen / Unterstützung durch IBM / Hr. Stamms Analyse der Stagingtabellen c:\daten\stagingtabellen.mmap Feldname, Feldname_flag, …. Operationtype (MOD, ADD, DEL) Einarbeitung in den Tivoli Directory Integrator Erstellung einer AssemblyLine Einarbeitung in JavaScript (auch weitere Sprachen einbindbar) Telefonbuch und Mailverzeichnis der fusionierten Hochschule Aufbau einer Pilotumgebung givenname givenname_flag Oliver 1 operationtype flag MOD 1 ADD DEL Phase 3 Phase 3: Aufbau eines ITIM Prototypen DFN-Nutzergruppe Hochschulverwaltung 10.05.2005

IBM Directory Integrator IDI HISSOS HISSVA IBM Directory Integrator IDI IDI TIM LDAP IDI HISPOS HISLSF Identity Management Architektur Phase 2: Feinkonzept DFN-Nutzergruppe Hochschulverwaltung 10.05.2005

Phase 3 DFN-Nutzergruppe Hochschulverwaltung 10.05.2005

Phase 3 DFN-Nutzergruppe Hochschulverwaltung 10.05.2005

Phase 3 DFN-Nutzergruppe Hochschulverwaltung 10.05.2005

Phase 3 DFN-Nutzergruppe Hochschulverwaltung 10.05.2005

Phase 3: Aufbau eines ITIM Prototypen DFN-Nutzergruppe Hochschulverwaltung 10.05.2005

Wo stehen wir am Ende des Jahres? Phase 4: Implementierung hat stattgefunden 1. Schritte Einrichtung TIM Produktivsystem Feeds: AUM(Benutzerverwaltung HRZ), SOS, SVA Autorisierung/ Zugang zu -HRZ Diensten (Email, login) -LSF, -QIS-POS White-Pages der Universität Ziel bis Ende des Jahres Selfcare ist umgesetzt Bibliotheksanbindung (Aleph) ist vorhanden Anbindung von Pilotfachbereichen (AD) ist erfolgt Ausblick Phase 4: Impementierung DFN-Nutzergruppe Hochschulverwaltung 10.05.2005

Danksagung Für die Nutzung von Folien IBM Herr Nastoll / HRZ Für Ihre Mitarbeit in dem Projekt Herr Stamms IBM Herr Wald / HRZ Herr Conradshaus / DV der Verwaltung Danksagung DFN-Nutzergruppe Hochschulverwaltung 10.05.2005