Wegweiser durch die TU Berlin Verzeichnisse (Update)

Transkript

1 Wegweiser durch die TU Berlin Verzeichnisse (Update) tubit - Stammtisch, 15. Januar 2009 Thomas Hildmann IT Dienstleistungszentrum der TU Berlin TU Berlin

2 Vorbemerkung Rufbereitschaft aus persönlichen Gründen

3 Vorbemerkungen Verständnisfragen bitte unmittelbar stellen! Im Idealfall bleibt am Ende Zeit für eine Diskussion. Manche Texte sind etwas klein Das ist dann nicht so wichtig. Ich erzähle, was es da zu sehen gibt. Folien gibt es wie immer im Netz.

4 Motivation / Ziele Aktualisierung des Vortrags aus 2007 Überblick über die von tubit angebotenen Verzeichnisdienste Anwendungsgebiete der jeweiligen Verzeichnisdienste Vorstellung der Arbeitsgruppe Identitymanagement Ausblick auf die mittel- und langfristigen Entwicklungen im Bereich Verzeichnisdienste

5 Agenda Einleitung Vorstellung der Verzeichnisdienste und deren Funktionen Identitymanagement an der TU Berlin Ausblick auf TUBISx Zusammenfassung Diskussion

6 Verzeichnisdienste Anmeldung in PC-Pools und Unterdomänen AD Windows TUBIS Exchange Kerberos Portal Typo3 Zentrale Benutzer- und Rollenverwaltung + Metadirectory Mailserver Moses Moodle LDAP Unix SSH Radius vldap Benutzerkonten-DB für alle tubit-dienste (keine eigene Benutzerverwaltung) Gäste

7 Active Directory Single Forest, Single Tree Masterdomain: win.tu berlin.de Subdomains: tubit, ub, uv, EECS,... Cross REAL Trust: TU BERLIN.DE

8 Active Directory Kerberos Single Forest, Single Tree Produkt: Masterdomain: MIT Kerberos V5 win.tu berlin.de Architektur: Subdomains: Master, 3 Slaves tubit, ub, uv, EECS,... Principals: Cross REAL Trust: benutzername@tu BERLIN.DE TU BERLIN.DE

9 Active Directory Kerberos Single Forest, Single Tree LDAP Produkt: Masterdomain: MIT Kerberos V5 win.tu berlin.de Produkt: OpenLDAP Architektur: Subdomains: Master, 3 Slaves tubit, ub, uv, EECS,... Architektur: Master, 1 Slave, Principals: Cross REAL Trust: 4 weitere auf Mailfrontends benutzername@tu BERLIN.DE TU BERLIN.DE

10 Active Directory Kerberos Single Forest, Single Tree LDAP Produkt: Masterdomain: TUBIS MIT Kerberos V5 win.tu berlin.de Produkt: OpenLDAP Architektur: Produkt: Subdomains: Master, 3 Slaves Eigenentwicklung an der TUB tubit, ub, uv, EECS,... Architektur: Master, 1 Slave, Principals: Architektur: Cross REAL Trust: 4 weitere auf Mailfrontends benutzername@tu BERLIN.DE 1 redundanter Server TU BERLIN.DE Technik: Solaris 10 Java 1.5 JPROX / Postgres

11 Active Directory Kerberos Single Forest, Single Tree LDAP Produkt: Masterdomain: MIT Kerberos V5TUBIS win.tu berlin.de Produkt: vldap vldap OpenLDAP Architektur: Produkt: Subdomains: Master, 3 Slaves Eigenentwicklung an der TUB tubit, ub, uv, EECS,... Architektur: Produkt: Master, 1 Slave, Eigenentwicklung Principals: Architektur: Cross REAL Trust: 4 weitere auf Mailfrontends benutzername@tu BERLIN.DE 1 redundanter Server TU BERLIN.DE Architektur: läuft auf den TUBIS Servern Technik: Solaris 10 Technik: Java 1.5 Penrose 1.x / OpenLDAP JPROX / Postgres

12 Active Directory gestern, heute und morgen Neuigkeiten seit 2007 diverse Unterdomains sind hinzugekommen Plan für 2009 noch mehr Domains hinzu Daten der Benutzer dem LDAP angleichen

13 Kerberos gestern, heute und morgen Neuigkeiten seit 2007 weitere Slaves hinzugefügt viele Dienste angebunden ist jetzt zentrales Passwordrepository Plan für 2009 Prüfung der Idee, Kerberos in AD zu integrieren

14 LDAP gestern, heute und morgen Neuigkeiten seit 2007 Schema ist geändert (z.b. Attribute für Mail hinzugekommen) einige alte Attribute werden nicht mehr gepflegt Account- und Peoplezweig sind zum Userzweig verschmolzen Plan für 2009 Prüfung der Idee, LDAP in AD zu integrieren

15 TUBIS gestern, heute und morgen Neuigkeiten seit 2007 Viele neue Nebenbedingungen wurden erfüllt Anbindung an die Kartenausgabestelle und die Benutzerverwaltung Studierende sind nun im TUBIS Externe hinzugefügt (außerordentliche TU Mitglieder) Plan für 2009 Neue Schnittstelle für das Anlegen von Gast-Accounts (Portal) Es wird evaluiert, welche Datenquellen zu integrieren sind.

16 vldap gestern, heute und morgen Neuigkeiten seit 2007 Typo3 Front- und Backend laufen über vldap Neue Dienste nach Vorbild des Softwareportals über Webservices Plan für 2009 OpenLDAP als Cache der Daten Umstellung auf Ereignisbezogene Änderung des LDAP-Systems

17 TUBIS: Merke

18 Identitätsmanagement an der TU Berlin

19 tubit-ag: Identitymanagment Leiter: Christopher Ritter Telefon: Personen (Festangestellte) Entwicklung Support Tagesgeschäft Aufgaben Benutzerverwaltung Verzeichnisdienste (Inhalt) Authentisierung/Autorisierung Anwendungsintegration in das AAI

20 Module eines IDM Föderationsschnittstelle Passwortsynchronisation Metadirectory Verzeichnisse Provisionierungsmodul Selbstverwaltungsfunktion Access Management

21 Provisionierungsmodul KAS Infrastruktur Föderationsschnittstelle Passwortsynchronisation Provisionierungsmodul Aktivierungs- GUI Metadirectory Verzeichnisse Externen- Verwaltung Provisionierungsmodul Selbstverwaltungsfunktion Access Management

22 Metadirectory Metadirectory Föderationsschnittstelle Passwortsynchronisation Loga SOS/POS Metadirectory TBUIS Verzeichnisse LDAP Provisionierungsmodul Selbstverwaltungsfunktion COB ExternenDB Access Management

23 Selbstverwaltungsfunktionen Selbstverwaltungsfunktionen Selbstverwaltungsfunktion Passwortsynchronisation Loga Provisionierungsmodul Passwortänderung Metadirectory SOS/POS Verzeichnisse Horde TUBIS Föderationsschnittstelle Access Management

24 Module eines IDM Föderationsschnittstelle Passwortsynchronisation Metadirectory Verzeichnisse Provisionierungsmodul Selbstverwaltungsfunktion Access Management

25 Datenfluss vldap Kartenausgabestelle 1: TUBIS 3: 2.1: LDAP Aktivierungs- GUI 2: tubv 2.2: 2.4: Active Directory 2.3: Kerberos

26 Ausblick auf TUBISx

27 Geplante Technik für TUBISx Java Enterprise Edition (JEE) 5 EJB 3 AS: Glassfish v.2.x DB: Postgres 8.3

28 Geplante Merkmale Existierendes Datenmodell Neue Architektur Pull- und Push-Dienste für Verzeichnisse Ereignissteuerung Neue Benutzungsschnittstelle Erstes RBAC-System mit xre-unterstützung

29 Zusammenfassung tubit betreibt folgende Verzeichnisse: LDAP, Kerberos, Active Directory, TUBIS, vldap Die Verzeichnisse können und sollen jeweils abhängig vom Einsatzgebiet genutzt werden. Aufgabe der Arbeitsgruppe IDM ist u.a. eine konsistente und korrekte Versorgung der Verzeichnisse mit Attributen. Hierzu werden die bestehenden Dienste weiterentwickelt.

30 Diskussion (Fragen, Anregungen, Kommentare,...)

31