IT-säkerheten slår tillbaka!

Posted on 2012/05/14 by Henrik Parkkinen

Jag heter Christopher Lindström och har jobbat med IT-säkerhet i snart 10 år. Jag har varit med sedan Onevinn startade och jobbar där idag som IT-säkerhetskonsult. Jag jobbar mycket med hantering av sårbarheter och säkerhetsuppdateringar, klientsäkerhet, kryptering och virusskydd. Men det är inte det jag tänkte skriva om idag.
För länge länge sen, i en cyberrymd nära dig, var få IT-attackerna riktade och syftet var ofta att få publicitet och inte tjäna pengar. Så är det inte längre, tyvärr.

Jag läste nyss en liten artikel i någon av dator-magasinen som beskrev det ökande antalet av IT-attacker. Bland annat kunde man läsa att 187 miljoner känsliga personuppgifter exponerats av hackers. Vidare stals c:a 1,1 miljoner identiteter per dataintrång och nätattackerna har ökat med 36 % vilket motsvarar 4500 nya attacker per dag!

Detta är ingen ovanlig artikel, det står ju om detta nästan dagligen. Kontodatabaser som läcker ut på nätet, hackergrupper som stjäl och publicerar material från bland annat militären. Det är nattsvart så långt ögat når, så när på att antalet spam faktiskt gått ned. En anledning till att IT-attackerna ökar, är givetvis det ekonomiska intresset. Jag hörde någon säga, att Cybercrime omsätter lika mycket som knarkhandeln. Jag vet inte om det stämmer, men faktum är att det tyvärr finns mycket pengar att hämta i denna ”bransch”.

Samtidigt anser många att IT-säkerhet är för dyrt att satsa på, tills något faktiskt händer. Ingen rolig kombination.

Så vad finns att göra då? Är det bara nattsvart så man skall dra täcker över huvudet? Nej, givetvis inte. Jag tror på några enkla metoder, som gör att CIO kan sova lite lättare på natten:

· Informationen är företagets viktigaste tillgång. Informationen ägs av verksamheten, inte IT! IT ser till att informationen är rätt och tillgänglig för de personer som skall ha tillgång. När detta väl är förankrat hos verksamheten skapas affärsfokus.

· Säkerhetsnivån skiljer sig på olika företag. Fel säkerhetsnivå leder till dyra och kanske onödiga investeringar, men rätt säkerhetsnivå skapar trygghet och effektivitet.

· När rätt säkerhetsnivå väl är satt, kan man börja titta på sina investeringar. Kan man nyttja det man redan har i sina licensavtal och på så sätt få en mer kostnad effektiv IT-säkerhet?

· Att utbilda sina användare är viktigt, och få dem medvetna om vilka risker som faktiskt finns idag så att de tänker på hur de faktiskt hanterar företagets viktigaste tillgång. Ökar man medvetandet i hela sin organisation och sätter en säkerhetskultur, görs rätt beslut och prioriteringar.

· Säkerhet får aldrig skapa problem för användarna eller störa i det dagliga arbetet. Den skall vara transparent.

Låter det mycket och krångligt?
Vi på Onevinn tycker det är ganska enkelt, vi kallar det kort och gott:
Intelligent Säkerhet

Vill du veta mer? Kontakta någon av våra säljare!

Säker infrastruktur med Microsoft – TechDays 2012

Posted on 2012/05/10 by Henrik Parkkinen

Tom Aafloen och Anders Olsson från Onevinn AB höll i år en session på TechDays 2012 i Örebro. Du finner sessionen nedan (som tyvärr för tillfället inte finns tillgänglig men vi lovar att så fort den gör det så kommer den upp igen på vår blogg.).

TMG Service Pack 2 Rollup2

Posted on 2012/05/08 by Henrik Parkkinen

I fredags släpptes ännu en Rollup till Forefront TMG Service Pack 2. Detta är Rollup 2 vilket innehåller ett gäng fixar till diverse problem som man kan ha stött på i och med installation av Service Pack 2.

Har du uppmärksammat några problem (exempelvis att TMG stänger http sessioner, slutar svara på vissa webb publiceringar eller får problem med web cache) så installera denna uppdatering: http://support.microsoft.com/kb/2689195

I samband med denna lansering släpptes även en fix för just Dynamic Web Caching i ISA 2006 vilket du hittar här: http://support.microsoft.com/kb/2694478

Secure Collaboration – Del 2

Posted on 2012/05/07 by Henrik Parkkinen

Henrik Parkkinen Jag pratade i Secure Collaboration - Del 1 om identiteter och olika teknologier från Microsoft som vi kan ta hjälp av för att upprätta en arkitektur och design för hur våra identiteter ska hanteras, manageras och förvaltas samt vart de ska konsumeras.

I dagens bloggpost kommer jag koncentrera mig på produkter som hjälper oss med publicering av tjänster samt perimeterskydd. Jag kommer som vanligt att väva in personliga tankar och erfarenheter.

Publicering/Perimeterskydd
Som tidigare nämnt (i Secure Collaboration Del – 1) så kan vi alla enas om att om vi ska publicera och göra tjänster tillgängliga på internet så vill vi veta att publiceringen vi gör är säker. Vi vill vara säkra på att endast behöriga personer har access till tjänsten som exponeras och att vi inte släpper in oönskad trafik. Vi vill troligen autentisera vår identitet (användaren) som ska nyttja tjänsten och även kontrollera dess behörigheter. Vi vill få spårbarhet i vad användaren gör och vart den ansluter ifrån.

En utav de allra mest intressanta produkterna inom området för att på ett säkert sätt publicera applikationer och interna tjänster (som exempelvis Sharepoint 2010) på distans är Forefront UAG 2010. Produkten rymmer stöd för VPN var på vi kan koppla in hälsovalidering av klinterna som ansluter. Genom UAG 2010 får vi även möjligheten att använda DirectAccess som du kan läsa mer om här och här.

En unik och fin egenskap som UAG 2010 har är att den ger oss möjligheten till att styra accessen för våra ”end points”, dvs. anslutningarna och hur access ska hanteras.
Vi kan exempelvis styra möjligheterna för ner och uppladdning av dokument beroende av kriterier för anslutningen och detta får vi genom så kallande Endpoint Policys.

UAG 2010 bistår även med att förhindra informationsläckage genom “rengöring” av anslutningen där temporära filer, cookies, cache tas bort. Produkten ger oss även möjlighet till publicering av LOB-applikationer (Line-of-business) och vi kan även ge åtkomst till nätverksutdelningar och hemkataloger. UAG 2010 går att lastbalansera och vi kan även binda ihop flera UAG 2010 server till array för att ge förbättrad prestanda, redundans och feltolerans.

En annan intressant produkt för hur vi på ett säkert sätt kan publicera tjänster är Forefront TMG 2010. TMG 2010 är en brandväggslösning som erbjuder inspektering av inkommande och utgående trafik från nätverket. Produkten erbjuder möjlighet till säker webbpublicering, VPN, e-post skydd, URL filtrering, HTTPS inspektion, antimalwareskydd, intrångsskydd (IDP/IPS), trafikinspektion.

TMG går att lastbalansera och den supporterar att konfigureras i array.
Vi har dock inte samma möjligheter i TMG 2010, som med UAG 2010, att begränsa och styra hur anslutningar ska hanteras som får åtkomst till informationen.

Då kan man fråga sig vilken av de två ovanstående produkterna man ska välja för att publicera Sharepoint 2010? Svaret enligt min mening är ”Det beror på.”. Innan ett tekniskt val görs ska man fråga sig vad tänkbara framtida scenarion kan vara och vilka framtida utmaningar man kan mötas av från sin verksamhet, externa partners och omvärlden. Varför jag nämner externa partners är just för att det börjar bli så himla vanligt att man vill erbjuda tjänster och likaså ingå samarbete med organisationer som återfinns på utsidan av ens nätverk. UAG 2010 och TMG 2010 har stora likheter men samtidigt så finns där olikheter som kan vara avgörande för ens implementation.
Exempelvis så hanterar inte TMG 2010 claims och om detta är ett krav för implementationen så är UAG 2010 valet.

Det kan därför vara bra att ibland ställa sig fråga inom bolaget ”Vart är vi på väg?”.
När jag menar vi så menar jag verksamheten och affärsrörelsen i bolaget.
Det kanske inte alltid är så lätt att sia om framtiden och att svara på men att försöka illustrera och redogöra en roadmap kan dock både spara en tid och pengar!
De som faktiskt vet vart ens verksamhet är på väg är de som arbetar på bolaget.
Så ifall ni planerar för att göra ett arbete kring er roadmap inför framtiden så är det viktigt att nyckelpersoner från samtliga led i verksamheten är med samt att nyckelpersoner från IT (Chefer och anställda!) finns på plats i ett sådant arbete.

Som jag tidigare skrivit om så är IT, allt som oftast, ett hjälpmedel för verksamheten och därav ska valen av teknologi och metod styras därefter. Om vi kan svara på frågan, som jag ställde i ovanstående stycke, kan vi även därefter börja undersöka hur vi tar oss fram dit vi är på väg och vad vi behöver göra rent teoretiskt och praktiskt samt vilka teknologier vi bör tillämpa och inte tillämpa. Personligen tror jag att vi kommer se mer och mer av claims-baserad autentisering, federationslösningar, kopplingar till molntjänster. Det har varit väldigt mycket skriverier om de senaste åren men nu med lansering av System Center 2012 och då Windows Server 2012 gör entré tror jag på att detta kommer realiseras mer och mer. Molntjänster och federationstjänster är dock ingen nyhet utan vi har levt ibland dessa lösningar i år och majoriteten (tror) jag inte har reflekterat över det.

Jag kan redan nu avslöja (för de som är intresserade) att det kommer till att komma en nr 3 i serien Secure Collaboration då där fortfarande finns ett viktigt område att diskutera som är informationsskyddet. Nästa bloggpost kommer därför ha anknytning till området “informationssäkerhet” där jag kommer prata om teknologier som möjliggör lösningar för utmaningarna inom området.

Secure Collaboration – Del 1

Posted on 2012/04/26 by Henrik Parkkinen

Henrik Parkkinen Den senaste tiden har jag varit inblandad i en del projekt vad gäller collaboration-lösningar där jag bistått med kunskap inom infrastruktur och säkerhet.

Den produkt som stått i centrum i dessa collaboration-lösningar är Sharepoint 2010. Jag kommer att i den här bloggposten och ytterligare 1-2 st prata om vilka säkerhetsteknologier vi kan använda för att säkra upp infrastrukturen då vi bland annat koppar på externa användare.

Det börjar bli otroligt vanligt att organisationerna utvecklar ett närmare digitalt samarbete med externa partners, organisationer, företag, verksamheter då nutidens tekniska lösningar erbjuder fantastiska möjligheter till effektivisering och ökad produktivitet. Bland mina kunder så har flertalet kommit väldigt långt i sitt arbete inom området Collaboration och samtliga av dem har tilämpat Sharepoint 2010.
Produkten täcker väldigt mång användningsområden och därav så blir utmaningarna väldigt olika ur ifrastruktur- och säkerhetssynpunkt. Jag kommer främst prata kring tillämplningen av Sharepoint 2010 då man väljer att koppla på externa användare från externa organisationer. Jag kommer inte prata om Sharepoint som produkt och hur vi skalar lösnigen för att få redundans, lastbalansering, feltolerans utan fokus ligger på produkterna som vi kan använda ihop med Sharepoint 2010 för att göra infrastrukturen säker.

Att dela information och erbjuda externa organisationer åtkomst till interna resurser är enkelt gjort men det kan även medföra risker och hot som vi bör vara medvetna om.
Vi måste veta hur vi ska hantera de externa identiteterna, informationen, anslutningen och åtkomsten. Det är väldigt svårt att säga rent generellt vilka hot och risker som finns då dem skiljer sig åt verksamheter emellan och lika så mellan branscher.
Jämför vi exempelvis en kommun och ett privat företag så är hoten väldigt olika.
Tyvärr kan jag inte säga att ”Såhär ska ALLA göra för att lösa utmaningen med externåtkomst och kollaborering!”. Vi alla kan dock enas om att om vi publicerar eller exponerar något till stora stygga internet från insidan av vårt nätverk så vill vi göra det på ett säkert och kontrollerat sätt. Vi vill veta att vi kan sova gott om natten och att vi inte lämnat dörren öppen så att obehöriga kan ta sig in. Jag kommer fortsätta med att berätta lite kring olika idér för hur vi kan orkestrera och managera våra identiteter i en lösning som denna då där finns lite olika scenarion som kan framträda.

Identiteter
För att samarbetet med vår externa part ska kunna börja måste vi först säkerställa att de har identiteter som bekräftar vilka de är och att dessa kommer från en betrodd aktör. Det finns olika arkitekturer och designförslag för hur och var de externa identiteterna kan och ska leva.
När jag menar “leva” så betyder det egentligen i vilken form av lösning som dem kommer att återfinns i digitalt. Vilken lösning som vi och vår externa partner väljer är helt beroende på hur förutsättningarna ser ut. Något som dock är ett nej-nej-alternativ och något som jag absolut inte tycker är en vettig lösning är att låta de externa identiteterna leva i en organisations interna AD. Erfarenhetsmässigt ur säkerhet- och infrastruktursynpunkt har det visat sig vara en mindre bra idé och något som kommit att bite en i ryggen.

Det man generellt vill är att hålla de externa identiteterna isolerade och så långt ut i perimetern som möjligt och endast ge access till de applikationer och tjänster som krävs för att de ska kunna samarbete. För att lösa detta så kan vi till vår hjälp använda oss av en extern databas för lagring av de externa identiteterna, som exempelvis skulle kunna vara en LDAP katalog, SQL databas eller annan databas. En populär lösning som flera använder sig utav är AD LDS, som är en bantad variant av AD DS. jag tänker inte gå så mycket längre in på AD LDS men du kan läsa mer om det på TechNet här.

En annan lösning som blir allt vanligare och som vi kommer se mer och mer av är att låta de externa identiteterna leva utanför sin egen organisation och det vore väl även det allra mest logiskt då de faktiskt är externa(!). Till vår hjälp för att åstadkomma en sådan lösning har vi federationer. Federationer är en identitetsåtkomstlösning som kan användas för att bla etablera ett förtroende mellan två parter för att ge access till webborienterade tjänster. Identiteterna, dvs. kontona, behöver inte återfinnas i samma organisation utan kan finnas spridda mellan olika nätverk. Microsofts lösning för att etablera federationer är AD FS MEN om detta är att föredra i en kollaboreringslösning med externa parter beror givetvis på. Klarar vår applikation av federationer? Kan vi nyttja claims i vår applikation och infrastruktur?
Detta är två av flera frågor man bör ställa sig innan valet av teknisk lösning för vart identiteterna kommar lagras. Något jag dock vågar säga är att vi kommer se mer och mer utav AD FS och federationslösningar….och det är faktiskt som så att flera av oss använder det dagligen redan på webben utan att ens tänka på det.

I valet av lösning och vad vi väljer så är även hanteringen en viktig fråga inom sfären för de externa identiteterna. Om vi väljer att “hosta” kontodatabasen för våra partners så bör vi använda oss av någon lösning som automatiserar processen för skapandet och borttaget va dessa konton. Vi vill vara säkra på att kunna säkerställa att konton inte lever kvar som “spöken” och har åtkomst till information som de inte är berättigade till. En lösning för att åstadkomma automatisering av dessa delar är att använda sig av ett IAM (Identity access managment) verktyg som möjliggör att identiteterna, externa så som interna, provisioneras (skapas), de-provisioneras (tas bort) och automatiserad behörighetsstyrning sker sömnlöst.

Har vi även kopplingar till molntjänster bör vi likaså se till att vårt IAM verktyg kan prata med våra molnleverantörer för att skapa och ta bort konton vilket på så sätt även bidrar till att licenskostnader som är bundna till identiteten upphör. Jag kommer skriva mer om molnet framöver och mina tankar kring området vad gäller säkerhet, infrastruktur, filosofi etc. Om du är nyfiken på att veta mer om Microsofts lösning inom IAM så finner du ytterligare information här och här.

Innan valet för hur, var och vilken teknologi som de externa identiteterna kommer att innefattas av är en vettigt att fråga sig “Vart är vi på väg?”. När jag menar vi så menar jag verksamheten och affärsrörelsen i företaget. Som jag tidigare skrivit om så är IT, allt som oftast, ett hjälpmedel för verksamheten och därav ska strategin för valet av IT-lösningar styras av verksamheten och affärsverksamheten. Vi bör försöka se vad tänkbara framtida scenarion kan vara och vilka framtida utmaningar vi kan mötas av från verksamheten, externa partners och omvärlden. Något som vi som jobbar inom IT måste vara medvetna om är att om världen rör på sig så kommer vi troligen också att behöva röra på oss åt samma håll, dvs. vi måste vara snabba och flexibla med att kunna möte krav från omvärlden i from av partnerns, konkurrenter, dealers etc.

Inom kort så kommer jag att publicera del 2 av Secure Collaboration där jag kommer att prata kring publiceringslösningar/perimeterskydd och kanske även lite andra delar…beroende på hur långt/kort inlägger blir.

TechDays 2012 – Säker infrastruktur med Microsoft

Posted on 2012/04/23 by Henrik Parkkinen

I morgon drar TechDays igång och håller på fram till 26/4-2012.
Om du befinner dig på TechDays i Örebro så missa inte vår session med Anders Olsson och Tom Aafloen. Mer information om session och talare finner du nedan! Onevinn AB kommer även ha en monter där vi finns för att demonstrera säkerhetsteknologierna från Microsoft samt nyheter i Windows 8.

Onsdag, 2012-04-25
Klockan: 13:15
Lokal: 8

Nivå: 200 | Målgrupp: Tekniker It-chefer | Spår: Säkerhet | Taggar: Windows Client

Det finns många inbyggda säkerhetsfunktioner i de senaste Windowsversionerna som inte alla vet om och använder. På samma sätt ingår många av Microsofts säkerhetslösningar i de större licensavtalen. Anders och Tom på Onevinn visar hur du kan dra nytta av säkerhetsfunktioner som AppLocker, BitLocker, Right Management Services (RMS), Network Access Protection (NAP), Endpoint Protection med mera för att skydda dina klienter och servrar. Sessionen visar både på konfiguration och användarupplevelse i befintliga Windows 7 och kommande Windows 8.

Talare

Vi ses på TechDays!

Ibland är det först när…

Posted on 2012/04/16 by Henrik Parkkinen

… s!£?#n träffar fläkten som verksamheten, kollegor, C-level och andra delar av organisationen som använder sig utav IT i sitt arbete brukar förstå vad en fungerande, välplanerad, dokumenterad, taktisk och strategiskt designad IT-infrastruktur är värd för verksamheten och affärerna man gör.

Varför?
Ett av mina svar på den frågan är att det är för att IT sällan är core business utan ett hjälpmedel för verksamheten och affärsorganisationen. Jag tror de flesta av oss som läser bloggen förstår vad jag menar och har kommit i kontakt med manifestationer av vad jag nu kommer skriva om.

Jag minns i början av min karriär under ett uppdrag när en av mina vänner får för sig att utföra en så kallad haveriövning* i skarp miljö. Haveriövningen i detta fall är ett välplanerat underhållsfönster som noggrant kartlagts då omfattade förändring skulle utföras. Följderna av förändringen som sker ligger inte i okunskap hos min vän, vilket bör påpekas, utan snarare i utomstående faktorer som inte gått att påverka.

Klockan är omkring 7:30 på lördag morgon och min vän ringer till mig och säger:
”Jag tror att s!£?#n har träffat fläkten!”.
Det tar inte många hundradelar innan jag förstår vad som hänt och sitter snart i bilen för att finnas till hjälp ute på plats. Runt klockan 22:30 på söndag kväll är vi åter på banan och maskineriet är igång, produktionen fungerar som den ska…men det hela blev lite mer kostsam än förväntat.

En avvikelserapport skrivs till vår närmste chef, denna rapport klättar sedan vidare upp genom hierarkin och landar tillslut på CIO’ns skrivbord och kommer efter att tag tillbaka till vår gruppchef. Situationen hanterades riktigt väl från samtliga led i organisationen och vi alla tog lärdom av katastrofen och tillämpade ytterligare steg i våra rutiner för att i liknande situationer i framtiden kunna förebygga och minimera eventuella produktionsstopp. Ibland är det först när katastrofer inträffar eller när misstag görs då man verkligen lär sig. Med detta sagt så är det inte på något sätt ett önsketänkande eller en uppmuntran för att välkomna katastrofer men dessa situationer ger oss ett ypperligt läge för reflektioner av processer, strategier, taktiker, kunskap om teknologi och vad IT har för värde i förhållande till verksamheten och affärerna. En katastrof ska inte behöva vara resultatet av att verksamheten förstår värdet av IT men ibland är det först då det uppenbaras.

När väl pennan är varm så vill jag även passa på att slå ett slag för att det kan vara väldigt viktigt och nyttigt att rita upp och beskriva business case för tänkbara katastrofsituationer och vad ett sådant scenario kan ha för inverkan på verksamheten. Detta gör det även enklare för intressenter i verksamheten att förstå värdet av vårt jobb och hjälpmedlet IT. Ibland kan man väldigt enkelt att genom ett business case förklara varför verksamheten kan behöva investera i en klusterlösning, som CFO’n tycker är alldeles för dyr.
I vårt business case kan vi exempelvis ta med estimerade kostnader för produktionsstopp, katastrofscenario, återställningsscenario, datahaveri osv. som vår lösning förebygger för att påvisa prisbilder av risker kontra investering. Jag hjälpte för ett tag sedan ett företag med att just rita ett business case och då belysa eventuella säkerhetsbrister och risker i en out sourcad lösning.
Business caset som togs fram i uppdraget presenterades för CFO, CIO och verksamhetens IT-arkitekter vilket resulterade i en något dyrare lösning men där alla parter kunde enas om att vi hittat den bästa tänkbara utifrån verksamhetens behov och den som matchade bäst för affärsmöjligheterna. Tiden som vi lade ner ( i from av diskussioner, modelleringar, strategier, analyser etc.) var en liten bråkdel av vad lösningen skulle komma kosta och de katastrofer av olika slag som vi kunde förebygga.

Erfarenheten från mina år som konsult säger mig att ibland har man alldeles för bråttom i arbetet vad gäller design, arkitektur och granskning som då i efterhand kan komma att upptäckas när väl lösningen är i produktionen…och det är “för sent” att ändra på designen utan att avbrott och diverse om-konfigureringar måste ske. Det finns hjälpmedel för att förebygga detta och jag har tidigare pratat om MOF, läs mer här, som är ett exempel…men processer kan dock inte ersätta vår kreativitet eller våra hjärnor så vi får inte sluta tänka bara för att vi inför processer eller strategier i vårt sätt att arbeta!

Jag kommer inom kort att skriva lite mer kring risk management och ta ytterligare exempel från karriären som berikat mig och som jag vil sprida till er som läser den här bloggen. Se nu till att hålla era fläktar hela och rena.

Onevinn AB vill…

Posted on 2012/04/05 by Henrik Parkkinen

…önska alla sina kunder och läsare av bloggen en glad påsk!

Titta in efter påsk igen för vi har planerat för en hel del intressanta saker som kommer till att ske framöver på bloggen.

Glad påsk önskar Onevinn AB!

FIM 2010 – Jag blev lite nyfiken…

Posted on 2012/03/27 by Henrik Parkkinen

…för ett tag sedan på hur man från FIM portalen ut till AD provisionerar datorkonton och började då testa detta för att förstå hur det rent tekniskt fungerar och konfigureras. Idag så blir det således en något mer teknisk bloggpost med övergripande information om de olika stegen som behöver utföras för att få det att fungera. För er som inte är bekanta med termen “provisionera” så menar man i IAM-språk “skapa”. I detta fallet så ska vi skapa ett datorkonto i AD genom FIM 2010. Denna bloggpost avser att sprida kunskapen om att det går att skapa upp datorkonton genom FIM 2010 ut i AD.

Nedan följer en enkel summeringen av stegen (med reservation för att jag kan ha glömt något steg i skrivande stund).

När FIM ska ansluta till AD och synkronisera och provisionera data så görs detta med hjälp utav en så kallad MA (Managmenet Agent) som använder sig utav ett servicekonto som finns skapat i AD. För att FIM’s MA ska kunna utföra operationer i AD, som att exempelvis skapa datorkonton, så krävs det att kontot har nödvändiga rättigheter för de önskade operationerna. För delegeringen av rättigheter så bör grupper användas i kombination med “least priviledged” modellen och inga rättigheter för service kontot ska, enligt mitt tycke, explicit sättas rakt på de OU som kontot avser att jobba mot. Då vi säkerställt att FIM MA service kontot har rättigheter i AD ska vi gå vidare med att konfiguration i FIM portalen och FIM MA.

För att skapa datorobjekt genom FIM portalen behöver vi skapa en ny resurs i FIM schemat samt ett set avsett för samtliga datorkonton som skapas genom FIM. Förslagsvis så använders ett kriteria för vårt set vilket då per automatik fångar upp samtliga datorkonton och placerar dem i vårt set. Med hjälp av ett set kan vi tala om för FIM hur den ska arbeta mot samlingar av objekt. Om vi önskar ytterligare attribut för våra datorkonton, som exempelvis CPU, minne eller liknande kan vi skapa dessa i portalen och binda dem till resursen. Så vad vi har gjort i detta steget är att skapa en resurs, attribut och eventuella bindningar mellan resurs och attribut. Jag väljer att kalla vårt objekt för Computer i FIM med system name CustomComputer samt att jag klargör i beskrivningen att resursen är egenskapad för att göra förståelsen enklare för mig och andra administratörer av portalen och FIM.

För att vi ska kunna populera Metaverse med data från våra datorkonton så måste vi synkronisera in placeholder objektet från AD, dvs. det OU som objekten ska landa i så att FIM’s synkmotor är medveten om vart objekten ska placeras. Vi måste även binda ihop den nya resursen som vi skapat i FIM till ett objekt i Metaverse.
Vår egenskapade resurs har jag döpt till CustomComputer och den binder jag till ett redan befintligt objekt i Metaverse som heter Computer. Då vi väl bundit ihop vår resurs, CustomComputer, med Metaverse-objeketet Computer så väljer jag även de attribut som vi vill ska flöda till metaversen från FIM’s CS (Conector Space). Då detta är gjort så måste vi skapa synkroniseringsregler och ge synkroniseringskontot rättigheter att hantera datorobjekt i FIM portalen.

För att provisioneringen av datorkontona ska nå ut till AD skapar jag en utåtriktadsynkregel (OSR = Outbound Synchronization Rule) som innehåller scope, relation och de attribut som vi vill ska synkroniseras ut till AD. Om vi önskar att synka information in till FIM portalen från AD så bör vi även skapa en ingåendesynkregel (ISR=Inbound Sychronization Rule). Personligen föredrar jag att hålla isär ingående- och utgåendesynkregler då detta underlättar förståelsen då flertalet synkregler förekommer. Synkroniseringsreglerna innehåller ingen kod, det enda jag använder mig av som är lite utöver in-the-box är en CustomExpression för att generera DN.

Då vår synkregel är skapad behöver vi ett workflow där vi bäddar in vår utgåendesynkregel och därefter även skapa ett MPR (Management Policy Rule) som anropar vårt workflow.

För att vi ska kunna navigera i portalen och enkelt hitta datorkontona så bör vi skapa navigeringsvyer och sökfält for att kunna söka, skapa och ta bort datorer i FIM portalen. Nedan har jag markerat “Computers” som är en navigerings vy i den vänstra kolumnen i FIM portalen som listar samtliga datorer som är av resurstypen CustomComputer. Nedanstående bild visar även en icke-redigerad och icke-anpassad RCDC (Resource Control Display Configuration) som används för skapandet av datorkonton.

För att illustrera det hela med en liten sammanfattande bild i tre enkla steg så ser resan från FIM portalen ut till AD ungefär ut såhär:

1. Ett datorobjekt skapas i FIM portalen (genom en webbläsare) som landar i FIM’s service databasen.
2. FIM’s service databasen skickar jobbet till FIM’s synk-databas (genom FIM’s MA).
3. FIM’s synk databas provisionerar datorkontot till AD (genom AD’s MA).

Att provisionera datorkonton till AD från FIM portalen är väldigt likt med att provisionera andra typer av objekt och då syftar jag främst på användare och gruppe som är det vanligaste typerna av objekt/resurser.

Varför göra det svårt i en enkel värld?

Posted on 2012/03/19 by Henrik Parkkinen

Henrik Parkkinen Jag började jobba med IT för närmare 10 år sedan. Jag har min bakgrund inom infrastruktur och säkerhet med koncentration på Microsofts produkter där jag bland annat jobbat väldigt mycket med AD. AD står för Active Directory och är en katalogtjänst som ingår i Windows Server och har funnits sedan Windows 2000 Server. Jag skulle gissa på att jag har sett omkring 100 st. AD under min livstid, men jag har tyvärr ingen faktiskt siffra som stärker statistiken utan vi får se det som ett relativt sanningsenligt estimat. Jag har inte sett lika många identitetslösningar i dessa infrastrukturer eller ens i närheten av den siffran. Varför kan man fråga sig och svaren på frågan tror jag är många men ett utav dem som jag ofta fått höra är att företag tenderar till att tro att identitetsprojekt är stora och tunga. Det går rykten om att dessa projekt kostar enorma summor pengar och oftast är otroligt komplexa. I vissa fall stämmer ovanstående påstående och ryktena har besannats men det är långt ifrån den fullständiga sanningen. Identitetsprojekt är inget som per automatik innebär ökad komplexitet eller kostnad och det behöver inte vara svårt.

Jag frågar mig ofta ”Varför göra det svårt i en enkel värld”? Varför ska man bygga en oönskat stor och massiv komplexitet? Jag har alltid strävat efter att hålla mig till enkelhet i lösningar och försöker undvika specialanpassningar så långt det går just för att undvika komplexiteten som i sin tur allt som oftast leder till ökad kostnad. I vissa fall krävs det dock anpassningar då verktygslådan inte räcker till. Specialanpassningar är ju faktiskt inget som enbart är synonymt med vårt yrkesliv utan något vi även stöter på i vardagen. För inte så länge sedan så renoverade jag sovrummet och mycket riktigt så krävdes där en del anpassningar pga. att väggarna som skulle supportera mina nya garderober inte var riktigt raka vilket resulterade i att passbitar var tvungna att sågas efter speciella mått. Jag tror ni förstår vart jag vill komma och vad det är jag menar.

Vad har då AD med identitet att göra och vart kommer det in i bilden?
I de flesta företagen så används AD som bärare av användarkontot och datorkontot för Windows-användarna. Windows-datorer utgör fortfarande den allra vanligaste formen av arbetsstationen hos majoriteten av företagen/verksamheterna och likaså AD som katalogtjänst för att hantera sina datorer, användare och andra nätverkskopplade resurser. För fler och fler verksamheter börjad det bli väldigt viktigt att kunna hantera sina digitala identiteter, där Windows användarna är en del av den samlade identiteten, på ett effektivt och säkert sätt och det är här AD och identitetslösningar möts och vad jag kommer fortsätta berätta kring.

Genom min karriär år så har jag sett ungefär lika komplex AD designer som jag hört talas om identitetslösningar och identitetsprojekt. Något som gjort mig väldigt fundersam och frågande genom åren är att man ofta ser en alldeles för tekniskt komplicerad design av verksamhetens AD i förhållande till verksamhetens behov. Det i sin tur leder till att lösningen blir svår att supportera, administrera, innebär höga kostnader, svår att felsöka och monitorera etc. Ett klassiskt exempel för AD som oftast görs alldeles för svårt är OU designen. OU är i korthet en behållare för objekt i AD som möjliggöra delegering av rättigheter och applicering av grupprinciper. Det går även att använda för att dölja objekt men används sällan. Något man ofta ser är komplexa och djupa strukturer som reflekterar organisationen geografiska, logiska eller hierarkiska modell. Med detta sagt så är det inget fel i sig att strukturera sina OU därefter men oftast innebär det en onödig komplexitet.
Ovanstående (djupa och komplexa) lösningar valdes oftast förr i tiden (några år tillbaka) då man önskade delegera rättigheter i AD så långt ut som möjligt i verksamheten för att underlätta och förenkla administrationen av rättigheter, lösenord, användare etc.
I vissa fall fungerar detta bra men allt för ofta har jag sett att det gett den raka motsatta effekten. Objekt i AD börjar göra avvikelser från namnstandarden som är satt, säkerheten sjunker, ökad support etc. Det fenomen som jag försöker beskriva är att administratörerna väljer egna lösningar och gör deviationer från det regelverk som IT har upprättat trotts att där finns tydliga och utformade policys som ska följas. I vissa fall finns där inga policys eller ramverk alls för hur objekt i AD ska hanteras och då blir även oftast kvalitén därefter.

Min idealbild och filosofi, som flera kollegor och vänner i branschen delar med mig, för att göra världen enklare och effektivare för verksamheten och för IT är att abstrahera AD till förmån av en identitetslösning. I mitt tycke bör AD användas till det som den en gång i tiden var skapat för, dvs. enbart som en katalogtjänst för att hantera användare, datorer, grupper och andra nätverkskopplade resurser. Genom åren så blev det dock ett administratörsgränssnitt som “anpassades” (läs “gjordes onödigt invecklat”) för att se snyggt ut för administratören. Om vi istället lyfter AD ett steg längre bak i infrastrukturen och för administratören av objekten (receptionisten/Service Desk/Back Office/Client Support etc.) och presentera objekten i katalogtjänsten med hjälp av ett verktyg, läs FIM 2010, så har vi dels helt och hållet kommit från beroendet av hur den så kallade OU designen ser ut och diverse rättighetshantering och administration i AD (genom dsa.msc). De som administrerar användare och objekt i AD behöver inte begripa sig på hur, varför och var användarna är placerade. Detta i sin tur gör det möjligt för oss att placera samtliga användare, grupper etc. objekt i respektive separata OU, vi kan alltså skapa oss en “platt” OU design och kommer således ifrån ett av de komplexa fenomen som jag beskrev tidigare i texten. Ett identitetsverktyg, som FIM 2010, ger oss möjlighet till att rollbasera, kriterie-basera och automatisera grupptilldelning och behörighetstilldelning utan att behöva veta vilket OU som användaren tillhör. FIM 2010 kan även operera på flera nivåer i verksamhete, jag har skrivit mer om dess kapacitet här.

För att inte göra detta (låååånga) blogginlägg länger tänker jag avsluta här. Vill du som
läst detta inlägg veta mer om mina filosofier och mina tankar kring AD och FIM 2010 samt vad man kan åstadkomma? Om intresse finns är du vänlig till att hör av dig till mig på nedan kontaktuppgifter eller droppa en kommentar i bloggposten.

Onevinn AB's officiella blogg

number one in intelligent security