身份識(shí)別管理與

身份識(shí)別管理與

存取控制最佳實(shí)務(wù)時(shí)間：2005/8/26(五)PM13:30~16:30主講人：許俊龍

恆逸資訊教育訓(xùn)練中心專(zhuān)任講師認(rèn)證：MCT、MCSE、MCSA、MCPs議程大綱企業(yè)安全認(rèn)證機(jī)制與存取管理的挑戰(zhàn)Microsoft身份識(shí)別管理的策略及解決方案使用IIFP及MIIS管理身份識(shí)別內(nèi)部網(wǎng)路驗(yàn)證授權(quán)的挑戰(zhàn)和解決方案從外部網(wǎng)路存取內(nèi)部資源的挑戰(zhàn)和解決方案如何提昇身份識(shí)別及存取管理的安全性企業(yè)安全認(rèn)證機(jī)制與存取管理的挑戰(zhàn)管理數(shù)位身份識(shí)別的挑戰(zhàn)包括：多重身份識(shí)別存放區(qū)擁有10000位用戶的機(jī)構(gòu)，每年約有54180員工工時(shí)花費(fèi)在

管理身份識(shí)別內(nèi)部網(wǎng)路存取管理?yè)碛?0000位用戶的機(jī)構(gòu)，每年約有2666員工工時(shí)花費(fèi)在

多重驗(yàn)證系統(tǒng)外部網(wǎng)路存取管理不支援單一登入的機(jī)制，會(huì)迫使用戶需一再登入才能

存取各類(lèi)資源

管理數(shù)位身份識(shí)別：有哪些挑戰(zhàn)？資料來(lái)源：PricewaterHouseCoopers/METAGroup2002年「身份識(shí)別管理的價(jià)值」調(diào)查報(bào)告

http://，2002June管理數(shù)位身份識(shí)別：有哪些挑戰(zhàn)？管理數(shù)位身份識(shí)別的挑戰(zhàn)包括：系統(tǒng)管理成本的增加

資訊人員需維護(hù)複雜的身份識(shí)別存放區(qū)降低員工生產(chǎn)力

新進(jìn)員工需等候多時(shí)才能存取所有資源用戶需記住許多登入的帳號(hào)與密碼安全洩漏的風(fēng)險(xiǎn)性增加不一致的原則可能導(dǎo)致無(wú)意間授與用戶存取敏感資料的權(quán)限客戶服務(wù)與供應(yīng)通路的整合

無(wú)法完整掌握而影響客戶服務(wù)或銷(xiāo)售商機(jī)2變更使用者-升級(jí)

-轉(zhuǎn)移

-應(yīng)享權(quán)利變更1新使用者

-建立使用者ID

-核發(fā)認(rèn)證

-應(yīng)享權(quán)利3支援服務(wù)-密碼重設(shè)-新的應(yīng)享權(quán)利4撤銷(xiāo)使用者

-刪除/凍結(jié)帳戶

-移除應(yīng)享權(quán)利瞭解身份識(shí)別存續(xù)週期不同目錄存放區(qū)身份識(shí)別整合的方式包括：手動(dòng)系統(tǒng)管理自訂指令碼整合各類(lèi)型的服務(wù)運(yùn)用身份識(shí)別整合產(chǎn)品管理身份識(shí)別整合真正發(fā)生的狀況是…身份識(shí)別混沌－IdentityChaos身份識(shí)別資訊的多種存放機(jī)制多個(gè)用戶代號(hào)、多個(gè)密碼分散管理、點(diǎn)對(duì)點(diǎn)資料共享中介檔案

－FlatFiles

與手動(dòng)傳遞資料

－Sneaker-netEnterpriseDirectory人事系統(tǒng)基礎(chǔ)結(jié)構(gòu)應(yīng)用程式LotusNotes

應(yīng)用程式內(nèi)部應(yīng)用程式商業(yè)性現(xiàn)成應(yīng)用程式約聘人員系統(tǒng)自定應(yīng)用程式驗(yàn)證授權(quán)身份識(shí)別資料驗(yàn)證授權(quán)身份識(shí)別資料驗(yàn)證授權(quán)身份識(shí)別資料驗(yàn)證授權(quán)身份識(shí)別資料授權(quán)身份識(shí)別資料驗(yàn)證驗(yàn)證授權(quán)身份識(shí)別資料驗(yàn)證授權(quán)身份識(shí)別資料IdentityChaos授權(quán)身份識(shí)別資料驗(yàn)證demonstration 1驗(yàn)證身份識(shí)別管理的挑戰(zhàn)在多重資料來(lái)源之間驗(yàn)證員工資料所面臨的挑戰(zhàn)何謂身份識(shí)別及存取管理？目錄服務(wù)存取

管理身份識(shí)別

存續(xù)週期

管理應(yīng)用程式整合如何降低目錄管理投入的資源？降低目錄管理投入資源的做法包括：自動(dòng)化提供與撤銷(xiāo)

實(shí)作身份識(shí)別彙整和同步處理建立目錄服務(wù)和安全性標(biāo)準(zhǔn)建立軟體開(kāi)發(fā)和採(cǎi)購(gòu)標(biāo)準(zhǔn)降低總體持有成本(TCO)如何改善使用者的感受？可改善使用者感受的做法包括：統(tǒng)合身份識(shí)別存放區(qū)

改進(jìn)密碼管理

啟用單一登入(SSO)改善員工、客戶及合作夥伴的存取

如何提升安全性？可提升安全性的做法包括：

建立安全性及存取原則帳號(hào)管理、密碼、安全稽核與隱私權(quán)的原則管理VPN、外部網(wǎng)路、驗(yàn)證與資料加密的存取原則

改進(jìn)密碼管理用戶一次動(dòng)作即可變更所有的網(wǎng)路登入密碼與認(rèn)證

強(qiáng)化驗(yàn)證機(jī)制建立安全性稽核原則

開(kāi)發(fā)能辨識(shí)身份的應(yīng)用程式瞭解身份識(shí)別及存取管理技術(shù)目錄服務(wù)使用者、屬性

認(rèn)證及群組

Active

Directory

AD/AM身份識(shí)別

管理身份識(shí)別整合

提供/撤銷(xiāo)

委派系統(tǒng)管理

自助式系統(tǒng)管理

認(rèn)證和密碼管理

存取管理驗(yàn)證

授權(quán)

信任

安全性稽核議程大綱企業(yè)安全認(rèn)證機(jī)制與存取管理的挑戰(zhàn)Microsoft身份識(shí)別管理的策略及解決方案使用IIFP及MIIS管理身份識(shí)別內(nèi)部網(wǎng)路驗(yàn)證授權(quán)的挑戰(zhàn)和解決方案從外部網(wǎng)路存取內(nèi)部資源的挑戰(zhàn)和解決方案如何提昇身份識(shí)別及存取管理的安全性Microsoft身份識(shí)別管理的策略及解決方案Microsoft的策略及解決方案

滿足現(xiàn)今客戶的需求WindowsServer基礎(chǔ)－

身份與存取的管理可擴(kuò)增的目錄服務(wù)（DirectoryServices）彈性化的驗(yàn)證鑑別結(jié)構(gòu)以角色為基礎(chǔ)的存取管理環(huán)境技術(shù)與服務(wù)－

合作夥伴網(wǎng)頁(yè)單一簽入系統(tǒng)整合廠商生物特徵辨別驗(yàn)證產(chǎn)品與服務(wù)－

簡(jiǎn)化管理識(shí)別資訊的生命週期MIIS－目錄整合與提存HIS、SFU、SFN、BizTalk－交互合作、互通性Passport－身份管理的外部處理瞭解身份識(shí)別整合產(chǎn)品與服務(wù)您可以使用下列身份識(shí)別整合產(chǎn)品與服務(wù)來(lái)實(shí)作身份識(shí)別整合：Identity

Integration

Feature

Pack

MicrosoftIdentityIntegrationServer2003ServicesforUNIX

ServicesforNetWareHostIntegrationServerActiveDirectory連接器

ActiveDirectorytoADAM同步器Microsoft的解決方案

管理識(shí)別資訊的生命週期MicrosoftIdentityIntegrationServer目錄同步(Meta)自動(dòng)化的帳戶提存整合式單一步驟的工作流程自我服務(wù)的密碼管理HostIntegrationServer延伸Windows單一簽入至RACF延伸Windows單一簽入至AS/400雙向密碼同步WindowsServicesforUNIXAD整合NIS伺服器密碼同步UNIX使用者名稱(chēng)對(duì)應(yīng)產(chǎn)品與服務(wù)－

簡(jiǎn)化管理識(shí)別資訊的存續(xù)週期帳號(hào)目錄企業(yè)

應(yīng)用程式ExchangeWebServiceFileShareApplicationApplicationActiveDirectory議程大綱企業(yè)安全認(rèn)證機(jī)制與存取管理的挑戰(zhàn)Microsoft身份識(shí)別管理的策略及解決方案使用IIFP及MIIS管理身份識(shí)別內(nèi)部網(wǎng)路驗(yàn)證授權(quán)的挑戰(zhàn)和解決方案從外部網(wǎng)路存取內(nèi)部資源的挑戰(zhàn)和解決方案如何提昇身份識(shí)別及存取管理的安全性使用IIFP及MIIS管理身份識(shí)別身份識(shí)別資訊的管理身份識(shí)別－Identity人、群組、資源（電腦、印表機(jī)…等），或任何希望被保存「事項(xiàng)」的彙整資訊姓名、E-Mail、地址、電話號(hào)碼、職務(wù)、部門(mén)、成員清單、地區(qū)…通常存放在企業(yè)內(nèi)各種不同、不相容的目錄或資料庫(kù)中易產(chǎn)生不一致、衝突風(fēng)險(xiǎn)、管理成本與挫折、安全弱點(diǎn)身份識(shí)別整合系統(tǒng)儲(chǔ)存、整合企業(yè)中多個(gè)存放機(jī)制內(nèi)的上述資訊根據(jù)符合企業(yè)處理程序、可組態(tài)的規(guī)則在這些目錄之間傳送維持一致性所需的資料MIISMicrosoftIdentityIntegrationServer使用IdentityIntegrationFeaturePack管理身份識(shí)別IIFP

是一項(xiàng)用來(lái)連接下列目錄和電子郵件應(yīng)用程式的免費(fèi)產(chǎn)品：

適用於

Windows

2000

Server

(含)

以後版本的

Active

Directory

ActiveDirectoryApplicationMode(AD/AM)適用於Exchange2000Server和ExchangeServer2003的GAL同步處理

demonstration 2使用MIIS2003的身份識(shí)別整合MIIS

如何解決不同資料存放區(qū)之間維護(hù)數(shù)位身份識(shí)別資訊的挑戰(zhàn)使用MicrosoftIdentityIntegrationServer管理身份識(shí)別MIIS

2003

帶來(lái)了以下功能：身份識(shí)別彙整和同步處理支援超過(guò)

20

種儲(chǔ)存機(jī)制

提供使用者的單一企業(yè)檢視使用SQLServer作為資訊儲(chǔ)存機(jī)制帳戶提供自動(dòng)化帳戶建立/刪除群組及通訊群組清單管理工作流程密碼管理簡(jiǎn)化企業(yè)的身份識(shí)別管理身份識(shí)別資料LDAPSQL提供與工作流程自動(dòng)化帳號(hào)的建立與刪除目錄同步ActiveDirectory與ADAMSun/iPlanetDirectoryNovelleDirectoryMicrosoftSQLServer2000與7Oracle9i/8iIBMDB2LotusNotes5.x/6.xMicrosoftExchange5.5、2K、2K3MicrosoftNT4.xDSML、LDIF、CSV、固定寬度文字…..密碼管理使用者自我服務(wù)的密碼變更支援中心進(jìn)行密碼重設(shè)NOS商務(wù)應(yīng)用程式瞭解使用MIIS的身份識(shí)別整合同步處理多重儲(chǔ)存機(jī)制不經(jīng)代理程式連線到其他系統(tǒng)屬性層級(jí)控制管理全域通訊清單

自動(dòng)化群組和DL管理圖例CS=連接器空間MA=管理代理程式MV=MetaverseCSCSCSCSMVMAMAMAMA內(nèi)部網(wǎng)路

Active

DirectoryLotus

NotesMIIS

2003Sun

ONEDirectory外部網(wǎng)路

Active

DirectoryMIIS2003的主要元件MIISStore(SQLServer)連結(jié)器空間

（ConnectorSpace－CS）同步資訊

（Metaverse－MV）ConnectedDirectoryConnectedDirectoryConnectedDirectoryManagementAgentManagementAgentManagementAgent文字檔檔案基礎(chǔ)的

MA呼叫基礎(chǔ)的

MAs連結(jié)資料的來(lái)源SuzanFineAccountNameeMailEmployee#MIIS2003

的資訊流動(dòng)MetadirectoryConnectorSpaceMetaverseSueFineNameeMailEmployee#SuzanFineFullNameTitleEmployee#人事資料庫(kù)FullNameTitleEmployee#SuzanFineNameeMailEmployee#SueFine=物件流動(dòng)FullNameTitleEmployee#SuzanFine3FullNameTitleEmployee#NameeMailSuzanFineSuzanFineNameeMailEmployee#NameeMail

Employee#SueFineSueFineeMail

系統(tǒng)1)Staging2)Staging3)Projection4)Joining5)AttributeFlow7)ProvisioningAccountNameeMail

Employee#SuzanFineDirectory8)ExportSuzanFine6)Export=屬性流動(dòng)Employee#改善的機(jī)會(huì)：身份識(shí)別整合身份識(shí)別整合“身份識(shí)別整合”--堅(jiān)實(shí)穩(wěn)固整合身份識(shí)別的軟體人事系統(tǒng)基礎(chǔ)結(jié)構(gòu)應(yīng)用程式LotusNotes

應(yīng)用程式內(nèi)部應(yīng)用程式商業(yè)性現(xiàn)成應(yīng)用程式約聘人員系統(tǒng)自定應(yīng)用程式驗(yàn)證授權(quán)身份識(shí)別資料驗(yàn)證授權(quán)身份識(shí)別資料驗(yàn)證授權(quán)身份識(shí)別資料驗(yàn)證授權(quán)身份識(shí)別資料授權(quán)身份識(shí)別資料驗(yàn)證驗(yàn)證授權(quán)身份識(shí)別資料驗(yàn)證授權(quán)身份識(shí)別資料EnterpriseDirectory授權(quán)身份識(shí)別資料驗(yàn)證demonstration 3使用MIIS2003的身份識(shí)別同步處理MIIS

如何同步處理不同資料存放區(qū)的數(shù)位身份識(shí)別資訊實(shí)作帳戶提供-Provision實(shí)作帳戶提供的一般方式包括：HR

主導(dǎo)式提供

連結(jié)的目錄存放區(qū)改變狀態(tài)，立即觸發(fā)自動(dòng)化的提供程序網(wǎng)頁(yè)主導(dǎo)式提供

達(dá)到經(jīng)由手動(dòng)核準(zhǔn)的工作流程使用MicrosoftBizTalkServer2004協(xié)調(diào)複雜的工作流程提供

聘僱流程的情境（提供）人事

系統(tǒng)MetadirectoryNotes約聘人員

系統(tǒng)AD/AMSQLServeriPlanetDirectoryActiveDirectoryLotusNotesFileLDAPLDAPSQLLDAP密碼管理MIIS

2003

提供了經(jīng)由下列方式進(jìn)行管理密碼的能力：由支援協(xié)助單位予以重設(shè)

由AD

發(fā)起的變更由網(wǎng)頁(yè)處理自我服務(wù)的作業(yè)

由其他系統(tǒng)透過(guò)非Microsoft軟體發(fā)起的

變更密碼管理Web應(yīng)用程式2種風(fēng)格：支援中心的應(yīng)用程式處理密碼的重設(shè)用戶端專(zhuān)屬的應(yīng)用程式進(jìn)行自我服務(wù)方式的密碼變更LotusNotes4.6/5.0SunONEDirectoryWindowsNT4.0NovelleDirectoryActiveDirectory初始密碼設(shè)定/變更的請(qǐng)求

運(yùn)用WMI介面進(jìn)行WebServer/ASP.Nethttps密碼管理Web應(yīng)用程式密碼同步LotusNotes4.6/5.0SunONEDirectoryWindowsNT4.0NovelleDirectoryActiveDirectoryActiveDirectorydemonstration 4使用MIIS2003的密碼管理MIIS

如何同步處理不同資料存放區(qū)數(shù)位身份識(shí)別的密碼

身份識(shí)別管理：最佳實(shí)務(wù)建議訓(xùn)練開(kāi)發(fā)及支援中心的人員鑑別可能與身份識(shí)別同步處理衝突的所有現(xiàn)存系統(tǒng)或處理程序

實(shí)作前先定義所有商務(wù)規(guī)則決定服務(wù)等級(jí)的議約擘劃自訂程式碼的開(kāi)發(fā)規(guī)範(fàn)實(shí)作災(zāi)害復(fù)原計(jì)畫(huà)及保護(hù)

MIIS

的服務(wù)帳戶üüüüüü議程大綱企業(yè)安全認(rèn)證機(jī)制與存取管理的挑戰(zhàn)Microsoft身份識(shí)別管理的策略及解決方案使用IIFP及MIIS管理身份識(shí)別內(nèi)部網(wǎng)路驗(yàn)證授權(quán)的挑戰(zhàn)和解決方案從外部網(wǎng)路存取內(nèi)部資源的挑戰(zhàn)和解決方案如何提昇身份識(shí)別及存取管理的安全性內(nèi)部網(wǎng)路驗(yàn)證授權(quán)的挑戰(zhàn)和解決方案內(nèi)部網(wǎng)路存取管理：有哪些挑戰(zhàn)？與內(nèi)部網(wǎng)路存取管理有關(guān)的一般商務(wù)挑戰(zhàn)包括：沒(méi)有單一登入的功能導(dǎo)致用戶混淆、降低生產(chǎn)力、增加支援與系統(tǒng)管理的成本密碼重設(shè)的要求過(guò)多增加支援中心的工作負(fù)荷安全服務(wù)採(cǎi)多重且不一致的方式一個(gè)員工每天得花費(fèi)15分鐘進(jìn)行各系統(tǒng)間的登入驗(yàn)證作業(yè)單一登入的方式(SSO)單一登入的方式

(依照一般偏好的順序)

採(cǎi)用

Windows

安全服務(wù)的應(yīng)用程式整合

採(cǎi)用Windows目錄及安全服務(wù)的平臺(tái)整合

採(cǎi)用Windows目錄服務(wù)的應(yīng)用程式整合透過(guò)認(rèn)證對(duì)應(yīng)的間接整合

同步處理的帳戶和密碼

實(shí)作單一登入實(shí)作單一登入的方式包括：桌面整合式

SingleSignOnWeb

SingleSignOn認(rèn)證對(duì)應(yīng)、或企業(yè)

SingleSignOn使用認(rèn)證管理員「認(rèn)證管理員」支援下列認(rèn)證類(lèi)型：使用者名稱(chēng)與密碼的組合

X.509數(shù)位憑證MicrosoftPassport認(rèn)證「認(rèn)證管理員」會(huì)儲(chǔ)存使用者的認(rèn)證，以供爾後存取資源時(shí)自動(dòng)帶入

demonstration 5使用認(rèn)證管理員使用「認(rèn)證管理員」來(lái)管理各項(xiàng)資源的驗(yàn)證瞭解Windows的授權(quán)選項(xiàng)Windows

Server

2003

支援以下授權(quán)機(jī)制

Windows

存取控制清單架構(gòu)的模型

角色架構(gòu)式授權(quán)

ASP

.NET授權(quán)瞭解WindowsServer2003授權(quán)管理員「授權(quán)管理員」可將使用者組織成應(yīng)用程式中的不同定位，依其角色賦予存取能力：楊先民許薰尹應(yīng)用程式伺服器

檢查授權(quán)角色架構(gòu)的

資源存取授權(quán)原則存放區(qū)楊先民=使用者許薰尹=

經(jīng)理demonstration 6使用授權(quán)管理員使用「授權(quán)管理員」來(lái)管理角色架構(gòu)基礎(chǔ)的資源存取議程大綱企業(yè)安全認(rèn)證機(jī)制與存取管理的挑戰(zhàn)Microsoft身份識(shí)別管理的策略及解決方案使用IIFP及MIIS管理身份識(shí)別內(nèi)部網(wǎng)路驗(yàn)證授權(quán)的挑戰(zhàn)和解決方案從外部網(wǎng)路存取內(nèi)部資源的挑戰(zhàn)和解決方案如何提昇身份識(shí)別及存取管理的安全性從外部網(wǎng)路存取內(nèi)部資源的挑戰(zhàn)和解決方案外部網(wǎng)路存取管理：有哪些挑戰(zhàn)？與外部網(wǎng)路存取管理有關(guān)的挑戰(zhàn)包括：提供安全的

Web

工作階段需要可靠的驗(yàn)證與存取控制機(jī)制需要包括驗(yàn)證、WebSSO、授權(quán)和個(gè)人化的通用安全性模型鑑別外部網(wǎng)路的注意事項(xiàng)可能影響外部網(wǎng)路存取管理方式的事項(xiàng)：虛擬私有網(wǎng)路或

Web

SSO

存取

目錄服務(wù)選擇ActiveDirectoryAD/AMSQLServer或其他資料庫(kù)系統(tǒng)現(xiàn)有應(yīng)用程式身份識(shí)別存續(xù)週期管理密碼安全性

瞭解外部網(wǎng)路存取的驗(yàn)證方法使用於外部網(wǎng)路存取的通訊協(xié)定包括：SSL

3.0

和

TLS

1.0

Passport

驗(yàn)證

摘要式驗(yàn)證

表單驗(yàn)證

基本驗(yàn)證

瞭解外