Home | english  | Impressum | Sitemap | KIT
Informationskonsistenz im föderativen Identitätsmanagement: Modellierung und Mechanismen
Autor: T. Höllrigl Links:
Quelle: Dissertation, 2011

In vielen größeren Organisationen haben sich IT-Systeme innerhalb der einzelnen Organisationseinheiten über Jahre hinweg unabhängig voneinander entwickelt. Dies führte zu einer steigenden Anzahl isolierter IT-Dienste und einer verteilten Haltung identitätsbezogener Informationen, die für die Gewährleistung eines gesicherten Zugriffs auf diese Dienste notwendig sind. Um sich auf aktuelle Entwicklungen einstellen zu können und die Konkurrenzfähigkeit aufrecht zu erhalten, stehen Organisationen nun vor der Herausforderung, Geschäftsprozeße nicht nur innerhalb einzelner Teilbereiche, sondern übergreifend und organisationsweit sowie über Organisationsgrenzen hinaus zu unterstützen. Dies erfordert eine Verflechtung der IT-Systeme und bedarf eines übergreifenden Identitätsmanagements (IdM), welches eine Integration dieser isolierten Dienste und Systeme ermöglicht.

Das föderative Identitätsmanagement (FIM) stellt durch seine Dezentralität und Modularität einen vielversprechenden Ansatz sowohl für organisationsinterne als auch organisationsübergreifende Szenarien dar. Der föderative Ansatz lehnt sich hierbei mehr an den Grundgedanken von Peer-to-Peer-Systemen an, als an den Grundgedanken klaßischer zentralisierter Identitätsmanagementsysteme. Dies manifestiert sich im Wesentlichen darin, daß die Autonomie der Teilsysteme zu einem gewißen Grad erhalten bleibt und somit bspw. lokale Prozeße weitestgehend beibehalten werden können. Die Autonomie wiederum führt zu einer redundanten Speicherung identitätsbezogener Informationen und wirft somit Konsistenzfragen auf. Die Konsistenz identitätsbezogener Informationen spielt in verteilten Systemen insbesondere durch deren Einsatz für den gesicherten und personalisierten Zugriff auf IT-Dienste eine wesentliche Rolle. Demnach können inkonsistente Informationen potentiell zu einem fehlerhaften Dienstzugriff bzw. einer unbeabsichtigten Dienstverweigerung führen.

Ziel der Arbeit ist es, den föderativen Ansatz und die hiermit verbundenen Konzepte, Standards und Softwaresysteme hinsichtlich der Informationskonsistenz zu analysieren und zu bewerten, sowie Lösungsansätze zur Vermeidung inkonsistenter Identitätsdaten darzulegen. Dies wird zunächst durch eine Beschreibung der für das Verständnis der Arbeit notwendigen Grundlagen und eine auf der Basis einer umfangreichen Literaturrecherche basierenden Problemanalyse vorgenommen. Hierauf aufbauend wird ein Konsistenzmodell dediziert für Identitätsinformationen in verteilten Systemen entwickelt. Des Weiteren werden zwei Mechanismen für die praktische Sicherstellung der Konsistenz identitätsbezogener Information in verteilten Systemen unter Berücksichtigung unterschiedlicher Leitgedanken konzipiert, prototypisch umgesetzt und bewertet. Zusätzlich werden Maßnahmen und Mechanismen zur Unterstützung bei der Etablierung eines IdM-Systems in verteilten Systemen anfallender organisatorischer Aufgaben dargelegt.

Ein wesentlicher Vorteil des föderativen Ansatzes ist deßen dezentraler Charakter und die hiermit einhergehende partielle Erhaltung der Autonomie der Teilsysteme. Diese führt jedoch in den meisten Fällen zu einer redundanten Haltung identitätsbezogener Informationen. Da sich identitätsbezogene Informationen ändern können, ist es notwendig, sich mit deren Konsistenz zu beschäftigen. Aktuelle Konsistenzmodelle bieten die Wahl zwischen einem sehr harten Konsistenzbegriff oder einem relaxierten Konsistenzbegriff, der typischerweise keinerlei Zusagen über den Zeitpunkt, wann Informationen konsistent sind, macht. Die Sicherstellung harter Konsistenz nimmt in verteilten Systemen einen erheblichen Einfluß auf die Verfügbarkeit und Leistung des Gesamtsystems. Da für das IdM in verteilten Systemen der Autonomiegedanke vor allem hinsichtlich dieser Aspekte eine große Rolle spielt, empfiehlt sich in vielen Anwendungßzenarien die Verwendung eines relaxierten Konsistenzbegriffs. Um jedoch gleichzeitig quantifizierbare Angaben hinsichtlich der maximal benötigten Dauer für die Verteilung auftretender änderungen machen zu können, bspw. um diese im Rahmen einer Dienstleistungsbeschreibung zu spezifizieren, wurde im Rahmen dieser Arbeit ein Konsistenzmodell zur Definition der so genannten ID-Consistency entwickelt. Neben der Berücksichtigung einer zeitlichen Komponente werden hierbei auch Charakteristiken identitätsbezogener Informationen adreßiert. Durch die Fokußierung auf die Informationskonsistenz erlaubt das Modell, die elementaren Bestandteile eines IdM-Systems zu identifizieren und IdM-Systeme somit sowohl von Marketing-Philosophien als auch von Protokoll- und Technologieterminologie zu befreien. Die Anwendung des formalen Modells, welche in der Arbeit exemplarisch anhand von CardSpace, einer vielversprechenden benutzerzentrierten FIM-Technologie, illustriert wird, führt durch die Klarstellung von Informationsflüßen zu einem klar strukturierten Modell eines IdM-Systems.

Zusätzlich zu einer theoretischen Betrachtung des Konsistenzbegriffs ist die praktische Sicherstellung der Konsistenz identitätsbezogener Informationen in verteilten Systemen ein wesentliches Ziel der Arbeit. Zur Konzeption eines geeigneten Ansatzes waren vor allem die Erkenntniße, die bei der Etablierung eines KIT-weiten IdM-Systems mit Werkzeugen zur Sicherstellung der Konsistenz gewonnen werden konnten, von großem Vorteil, auch wenn dabei berücksichtigt werden muß, daß eine Integrationslösung in einem organisationsübergreifenden Szenario die beteiligten Systeme weniger stark koppeln sollte als in einem organisationsinternen Szenario. Demnach gilt es, beteiligte Systeme zu integrieren, ohne dabei zu viele Abhängigkeiten zwischen den Systemen zu erzeugen. Um dies zu erreichen, wurde in der Arbeit eine auf dem Publish/Subscribe-Paradigma basierte Middleware namens FedWare entwickelt. FedWare erlaubt, auftretende änderungen zwischen den Systemen so zu verteilen, daß Heterogenität, bspw. unterschiedliche Informationßchemata, für die Systeme verborgen bleiben. Durch die mittels des Publish/Subscribe-Paradigmas erzielte Entkopplung der Systeme, bspw. der Verfügbarkeit oder Konfiguration involvierter Systeme, wird es möglich, daß der Betriebs- und Integrationsaufwand solch eines Systems reduziert wird und somit z.B. änderungen an integrierten Systemen keinen unnötigen Einfluß auf andere Systeme nehmen.

Die zunehmende Anzahl an IT-Diensten in verteilten Systemen verstärkt die Notwendigkeit, Benutzer zu befähigen, die Kontrolle darüber zu behalten, welche Dienste welche identitätsbezogenen Informationen vorhalten. Das benutzerzentrierte FIM versucht dieser Herausforderung zu begegnen, indem es die Kontrolle über die Weitergabe identitätsbezogener Informationen dem Benutzer überläßt. Auch bei diesem Ansatz läßt sich eine redundante Datenhaltung nicht vermeiden. Im Gegenteil: um zu verhindern, daß ein einzelner Dienst alle Informationen eines Benutzers vorhält, motiviert der benutzerzentrierte Ansatz sogar eine verteilte, redundante Datenhaltung. Somit erfordert auch dieser Ansatz die Adreßierung von Konsistenzfragen. Da in aktuellen benutzerzentrierten Systemen eine Weitergabe identitätsbezogener Informationen einer manuellen Zustimmung des Benutzers bedarf, können Dienste nur im Zuge einer Dienstnutzung mit aktuellen Informationen versorgt werden, was bspw. im Falle von langlaufenden Geschäftsprozeßen problematisch sein kann. In dieser Arbeit wurde daher ein Ansatz namens User-Controlled Automated Identity Delegation entwickelt, welcher durch eine zusätzliche Komponente, den so genannten Identity Delegate, eine Automatisierung auf der Basis benutzerdefinierter Richtlinien erlaubt. Dieser Ansatz wurde prototypisch in CardSpace umgesetzt und evaluiert. Durch die Evaluierung der Performance, welche akzeptable durchschnittliche Antwortzeiten bei einer gleichzeitig moderaten Netzwerklast ergab, konnte die Anwendbarkeit dieses Ansatzes in realweltlichen Szenarien gezeigt werden.

Die Grundlage der Konsistenz identitätsbezogener Informationen auf technischer Ebene bilden auf der organisatorischen Ebene konsistente Geschäftsprozeße. Die Etablierung und Integration eines IdM innerhalb einer Organisation als auch zwischen unterschiedlichen Organisationen stellt somit nicht nur eine Herausforderung hinsichtlich der technischen, sondern auch hinsichtlich der managementbezogenen Aufgaben dar. Im Zuge der Umsetzung eines FIM am KIT konnte die Erfahrung gemacht werden, daß durch den modularen Charakter des FIM eine Schritt-für-Schritt Etablierung eines IdM eröffnet wird, welche sich wiederum positiv auf hierbei anfallende organisatorische Aufgaben auswirkt, da bspw. weniger Treffen mit weniger Intereßenvertretern notwendig sind, um zu ersten Ergebnißen zu kommen, ohne dabei die Flexibilität möglicher Erweiterungen und Anpaßungen an den etablierten Systemen abzugeben. Neben diesem positiven Einfluß des föderativen Paradigmas, konnte jedoch auch eine unzulängliche Unterstützung managementbezogener Aufgaben für die Etablierung und den Betrieb einer Föderation festgestellt werden.

Um die Effizienz und Effektivität des Managements einer Föderation zu verbeßern und somit die Informationskonsistenz auf Managementebene sicherzustellen, wird im Rahmen dieser Arbeit zum einen ein Vorschlag zur Strukturierung managementbezogener Aufgaben präsentiert.

Zum anderen werden exemplarisch technische Unterstützungen auf der Basis eines Kollaborationswerkzeugs vorgestellt, welche das Management einer Föderation effizienter und effektiver gestalten sollen.