GLOBETEAM
Føderal brugerstyring
og SSO
Morten Strunge Nielsen
23. september 2010
GLOBETEAM
Brugere bliver gns.
provisioneret i 16 systemer
og de-provisioneret i 10
Gns. bruger anvender
16 minutter pr. dag på
login
38% af brugerne genbruger
deres passwords; 18%
skriver dem ned
Helpdesk’en bruger 1/3
af deres dag på banal
brugeradministration
Globeteam A/S · Virumgårdsvej 17A · 2830 Virum · Telefon +45 7026 2970 · www.globeteam.com
Integritet
Relationer
Kompetencer
GLOBETEAM
Dagens løsninger til SSO
•
Kerberos/NTLM (direkte AD-integration): Vaskeægte SSO (et enkelt brugerlogin)
–
–
–
Kræver at alle forstår Active Directory’sk
Fungerer i realiteten kun på LAN
Er en dyr (og i realiteten umulig) opgave
•
•
•
Kan ikke håndteres af tilnærmelsesvis alle applikationsleverandører
Giver udfordringer, hvis man har mere end en Active Directory forest
Provisioning (indirekte directory-integration): Et login i hver applikation (dog med
samme brugernavn og password)
–
Provisioning har mange, velkendte og veldokumenterede begrænsninger, såsom
•
•
Kollisioner ved kopiering af brugere/brugernavne
Udfordringer med kopiering af roller og attributter
•
•
•
•
Replikering af passwordskift
Håndtering af passwords til nye systemer (og brugere)
Brugere kan ikke forstå tidsforsinkelserne
Ikke mere sikker end den svageste applikation (der er en kopi af alle brugernes passwords i alle
applikationerne!)
–
–
–
–
Herunder ikke mindst konvertering mellem forskellige formater samt håndtering af unikke nøgler
Og dem er der altid mere end en af! 
Er stærkt problematisk udenfor sikrede miljøer (LAN er ikke nok!) pga overførsel af
passwords
En meget dyr løsning i relation til implementering og drift
Globeteam A/S · Virumgårdsvej 17A · 2830 Virum · Telefon +45 7026 2970 · www.globeteam.com
Integritet
Relationer
Kompetencer
GLOBETEAM
Den nye løsning til SSO: Føderation
(”fødereret identitet”)
•
Føderation: Vaskeægte SSO (et enkelt brugerlogin)
–
–
–
–
•
Leverer ægte single sign-on
–
–
–
•
Er stort set tilgængeligt fra alle computerplatforme allerede nu, da baseret på
industristandarder (SAML 2.0 og WS-Federation)
Bygget til internet-brug
Fungerer både med webapplikationer og web services
Er relativt prisbilligt og meget hurtigt at implementere
Samme identitet på tværs af web’en!
Autentificering på tværs af organisationer
Autentificering til cloud-baserede tjenester
Ingen ekstra logins, da login til AD bliver genbrugt!
Globeteam A/S · Virumgårdsvej 17A · 2830 Virum · Telefon +45 7026 2970 · www.globeteam.com
Integritet
Relationer
Kompetencer
GLOBETEAM
Hvordan fungerer det?
Globeteam A/S · Virumgårdsvej 17A · 2830 Virum · Telefon +45 7026 2970 · www.globeteam.com
Integritet
Relationer
Kompetencer
GLOBETEAM
Føderation er baseret på tokens
• Token: En datastruktur som viser og beviser hvem
man taler med.
– P.t. en XML-formatteret samling af attributter (claims)
• Claim: Et udsagn, som bliver afgivet af et subjekt
omkring et andet subjekt
–
–
–
–
Email-adresse
CPR nr.
Roller
...
• Føderation er infrastrukturen til udveksling af claims
mellem flere uafhængige parter
– Udsteder af tokens: STS (Security Token Service)
– Forbruger af tokens: Applikation
Integritet
Relationer
Globeteam A/S · Virumgårdsvej 17A · 2830 Virum · Telefon +45 7026 2970 · www.globeteam.com
Kompetencer
GLOBETEAM
Fødereret login på tværs af to organisationer
Partnerorganisationens
sikkerhedsdomæne
Applikationsleverandørens
sikkerhedsdomæne
Active Directory
ADFS-server
(Security Token Service)
ADFS-server
(Security Token Service)
`
Intern klient
Globeteam A/S · Virumgårdsvej 17A · 2830 Virum · Telefon +45 7026 2970 · www.globeteam.com
Fagapplikation
(Web-applikation)
Integritet
Relationer
Kompetencer
GLOBETEAM
Fødereret login på tværs af to organisationer
Applikationen
SP (Service Provider)
IdP (Identity Provider)
3. Bruger bliver videresendt
til IdP til autenticering
4. Brugeren autenticeres
1. Bruger ankommer til
applikation (ej autenticeret)
2. Bruger bliver sendt
videre til SP’en
5. Token bliver overgivet
til ADFS af brugeren
6. ADFS validerer token
7. Claims I token afgør
adgang til site
Globeteam A/S · Virumgårdsvej 17A · 2830 Virum · Telefon +45 7026 2970 · www.globeteam.com
Integritet
Relationer
Kompetencer
GLOBETEAM
Microsoft ADFS er et oplagt valg
Globeteam A/S · Virumgårdsvej 17A · 2830 Virum · Telefon +45 7026 2970 · www.globeteam.com
Integritet
Relationer
Kompetencer
GLOBETEAM
ADFS har ingen oplagte svage punkter
• Det er ikke nødvendigt at skrive en eneste kodelinje i
.NET til autentificering
– Autorisering er blot et spørgsmål om at benytte .NET
Framework’s isinRole-funktion
• Ingen performancemæssige udfordringer
– En almindelig webserver kan håndtere 50-100 logins pr. sek.
– Sætter flere servere op og load balancer mellem dem, når
behov for mere performance eller oppetidssikring
• ADFS passer ind i en Microsoft-baseret infrastruktur
• ADFS er exceptionelt billig, da del af Windows Server
– Billigste konkurrerende kommercielle implementering koster
ca. 10 gange mere pr. server
– Dyreste konkurrent tager ca. 100 gange mere pr. server!
– Mange af konkurrenterne kræver også en pris pr. bruger..
Globeteam A/S · Virumgårdsvej 17A · 2830 Virum · Telefon +45 7026 2970 · www.globeteam.com
Integritet
Relationer
Kompetencer
GLOBETEAM
AD FS 2.0 opfylder de danske krav
• IT og Telestyrelsen satser på
– SAML 2.0 tokens
– SAML 2.0 protokollen til webapplikationer
– Speciel dansk OIO WS-Trust Profile til web services (WS
Trust-baseret profil)
• AD FS 2.0
– SAML 1.1 og SAML 2.0 tokens
– Webapplikationer og web services
– WS Trust, WS-Federation såvel som SAML 2.0-protokollen
Globeteam A/S · Virumgårdsvej 17A · 2830 Virum · Telefon +45 7026 2970 · www.globeteam.com
Integritet
Relationer
Kompetencer
GLOBETEAM
ADFSv1
• Danmarks Miljøportal
• Se referencehistorie på Globeteams webside
– Den første store SSO-løsning herhjemme og formentlig stadig den
mest avancerede!
– Mere end 20 organisationer og ca. 40 applikationer tilsluttet via
føderation
– Implementeret 2006/2007 pga kommunereformen
• Sygeforsikringen Danmark
– SSO til alle deres interne systemer, inkl. mainframe
• Flere mindre løsninger
– Fx MOCH til eLearning via internettet
Globeteam A/S · Virumgårdsvej 17A · 2830 Virum · Telefon +45 7026 2970 · www.globeteam.com
Integritet
Relationer
Kompetencer
GLOBETEAM
ADFSv1
• Miljøportalen har p.t. følgende føderationspartnere:
–
–
–
–
–
–
–
–
–
–
–
–
–
–
–
–
–
–
Bornholm Kommune
Gentofte Kommune
Herning Kommune
Hjørring Kommune
Holbæk Kommune
Horsens Kommune
Næstved Kommune
Odense Kommune
Ringkøbing Skjern Kommune
Silkeborg Kommune
Slagelse Kommune
Stevns Kommune
Vejle Kommune
Århus Kommune
Geodata
Miljøministeriet
Danmarks Miljøundersøgelser
Region Syddanmark
Globeteam A/S · Virumgårdsvej 17A · 2830 Virum · Telefon +45 7026 2970 · www.globeteam.com
Integritet
Relationer
Kompetencer
GLOBETEAM
AD FS 2.0 (frigivet i starten af maj 2010)
• Domstolsstyrelsen har kørt drift på det siden januar
2010
– Referencehistorie på Globeteams webside
• Har udviklet en skræddersyet løsning til
Sundhedsstyrelsen
– Se referencehistorie på Globeteams webside
• PoC med IT- og Telestyrelsen omkring den nye
danske web service-standard (OIOIDWS)
• Migrering af Danmarks Miljøportal næsten tilendebragt
• Implementeret hos en række andre organisationer og
virksomheder til Extranet-løsninger
Globeteam A/S · Virumgårdsvej 17A · 2830 Virum · Telefon +45 7026 2970 · www.globeteam.com
Integritet
Relationer
Kompetencer
GLOBETEAM
Applikationerne
• Vi kan klare næsten alt på alle platforme
– Det kunne vi faktisk også på ADFSv1, selvom den strengt taget var
begrænset til .NET Framework-baserede webapplikationer
– Kørende løsninger på ADFSv1-platformen:
• Java webapplikationer såvel som web services
• .NET Framework web services
• SiteMinder
• ASP3
• Mainframe-løsning
– Vi har bygget forskellige værktøjer til at håndtere applikationer med egen
brugerdatabase.
•
Håndteres ved hjælp af on-the-fly synkronisering af brugere og roller mod den lokale database
• Det er heldigvis blevet lidt nemmere med AD FS 2.0, da der nu er
indbygget støtte af web services og lidt større fleksibilitet
Globeteam A/S · Virumgårdsvej 17A · 2830 Virum · Telefon +45 7026 2970 · www.globeteam.com
Integritet
Relationer
Kompetencer
GLOBETEAM
De primære forretningsmæssige argumenter
Globeteam A/S · Virumgårdsvej 17A · 2830 Virum · Telefon +45 7026 2970 · www.globeteam.com
Integritet
Relationer
Kompetencer
GLOBETEAM
Føderation er
• Løsningen på ledelsens ønske om
– Partnering
– Forbedret fleksibilitet i forhold til sammenlægninger og
opsplitninger
– Større dynamik i applikationsporteføljen
• Løsningen på brugernes ønske om et enkelt login til
alle applikationer
– Uanset om det er på Intranet eller Internet!
Globeteam A/S · Virumgårdsvej 17A · 2830 Virum · Telefon +45 7026 2970 · www.globeteam.com
Integritet
Relationer
Kompetencer
GLOBETEAM
For IT-afdelingen er føderation
• Bedre
–
–
–
–
Intet bøvl med flere brugernavne og passwords
Hurtigere logintider
Fleksibilitet i forhold til computerplatforme og web browsere
Høj sikkerhed
• Billigere
– Færre opkald omkring brugernavne/passwords
– Lettere integration af applikationer og directory services
– Mindre designarbejde og mere fleksibilitet for arkitekten (og
udvikleren )
– Meget mindre kodeskrivning og fuldstændig samme
kodebiblioteker for udvikleren
• Webapplikationer og web services
Globeteam A/S · Virumgårdsvej 17A · 2830 Virum · Telefon +45 7026 2970 · www.globeteam.com
Integritet
Relationer
Kompetencer
GLOBETEAM
..og reelt slet ikke til at komme udenom
• Positiv nyskabelse til webapplikationer
– Eliminerer behov for at bruge passwords henover linjen (samt
huske forskellige brugernavne)
– Standardiserer udvekslingen af identitetsinformationer
• Afgørende nødvendighed til web services, hvis man
skal kunne tilfredsstille alle krav til sikkerhed
– Hvordan skal man ellers kunne videregive brugerens
kontekst, når man kalder videre?
• Passer som fod i hose med cloud services
– Uanset om det gælder Google eller Microsoft..
Globeteam A/S · Virumgårdsvej 17A · 2830 Virum · Telefon +45 7026 2970 · www.globeteam.com
Integritet
Relationer
Kompetencer
GLOBETEAM
Den superkorte version
• ADFS (og føderation) er ikke en ny teknisk løsning, der leder efter
et behov
• Det er derimod en løsning, der langt om længe er i stand til at
opfylde en række behov
– Og endda fuldt ud og uden en hel masse snærende begrænsninger!
• ADFS leverer noget så sjældent for infrastrukturløsninger som
forøget forretningsmæssig nytte
– Herunder ikke mindst agilitet
• ADFS er exceptionelt billigt i anskaffelse
• ADFS kræver ingen ændringer af infrastrukturen
–
–
–
–
Kan integrere med alle versioner af Active Directory
Meget overskueligt at integrere applikationer mod
Vaskeægte single sign-on (et login og så er du på!)
Stærk sikkerhed
Globeteam A/S · Virumgårdsvej 17A · 2830 Virum · Telefon +45 7026 2970 · www.globeteam.com
Integritet
Relationer
Kompetencer