gms | German Medical Science

Einleitung: Universitätsklinika wie die Universitätsmedizin Göttingen (UMG) verfügen häufig über heterogene IT-Infrastrukturen mit zum Teil mehreren unabhängigen Nutzerverwaltungen. Das Ziel ist, den Verwaltungsaufwand und die Fehleranfälligkeit der Nutzerverwaltung zu minimieren, sowie den Zugang zu Diensten für den Nutzer zu vereinfachen. Dabei muss sowohl die sichere Speicherung und Übertragung der Benutzerinformationen als auch eine transparente und einfache Authentifizierung/Autorisierung sichergestellt werden.

In der UMG gibt es neben zentral verwalteten Active-Directory-Strukturen (AD) [1] weitere Forschungssysteme (z.B. spezielle Rechencluster) mit zumeist eigenen lokalen Nutzerverwaltungen. Administratoren stellen das Anlegen, Löschen und Synchronisieren von Accounts in den jeweiligen Systemen sicher. Werden die Forschungssystem-Accounts von Fachabteilungen selbst verwaltet, führt dies zu Redundanzen, höherer Fehleranfälligkeit und zusätzlichem Aufwand. Weiterhin ist es für Nutzer kompliziert, mehrere Accounts beantragen und verwenden zu müssen.

Ideal wäre daher ein Single-Sign-On-System, mit dem der Nutzer während einer etablierten Sitzung auf alle ihm zur Verfügung stehenden Dienste ohne erneute Authentifizierung zugreifen kann. Eine solche Lösung muss die in der Forschung häufig vorkommenden Linux-Systeme ebenfalls umfassen.

Methoden: Die AD-Verzeichnisdienste der UMG sind am Universitätsstandort durch eine Verzeichnisdienst-übergreifende Synchronisation mittels Meta-Directory [2], [3] (Umsetzung: Novell Identity-Manager [4]) angebunden. Einzelne Systeme können sich mithilfe von LDAP [5] gegenüber einem Verzeichnisdienst authentifizieren. Kerberos [6] dient als sicherer Authentifizierungsdienst. Winbind als Teil der Samba-Suite [7] wird für die Steuerung der clientseitigen Authentifizierungs-/Autorisierungsanfragen verwendet. Winbind bietet ein PAM-Modul [8], welches die Delegation der Authentifizierungsanfragen untergeordneter Dienste auf Linux-Systemen übernimmt. Dadurch können unterschiedliche Protokollstandards (Kerberos, LDAP,...) nebeneinander verwendet werden. Am Standort Göttingen sind weiterhin föderierte Projekte wie DFN-AAI [9], NDS-AAI [10] sowie MPG-AAI [11] umgesetzt.

Ergebnisse: Ein Scientific-Linux-basiertes Forschungssystem wurde prototypisch in die bestehende IT-Infrastruktur auf Basis von LDAP, Kerberos und Winbind mit PAM integriert. Die Speicherung sensibler Benutzerinformationen auf dem Forschungssystem wird hierdurch vermieden. Da Berechtigungen auf dem Forschungssystem unabhängig vom Verzeichnisdienst gesteuert werden sollen, wurde eine lokale Rechteverwaltung statt einer zentralen AD-Gruppenberechtigung realisiert. Der lokale Administrator hat somit die Möglichkeit gezielt Nutzer für die Verwendung des Dienstes zu berechtigen.

Besondere Aufmerksamkeit bei der Umsetzung forderte die Auflösung der von Windows verwendeten Identifikationsnummern (ID) der Nutzer und Gruppen aus dem AD. Dabei musste einerseits ein Konflikt mit den von Linux verwendeten IDs (Doppeltbelegung) vermieden, andererseits eine effektive und zuverlässige ID-Mapping-Strategie realisiert werden. Unter den mit Winbind konfigurierbaren ID-Mapping-Alternativen wurde der Relative-Identifier(RID)-Ansatz ausgewählt, die eine deterministische Zuordnung von IDs innerhalb eines festgelegten Bereichs erlaubt.

Diskussion: Es konnte an einem Linux-basierten Forschungssystem prototypisch gezeigt werden, wie bisher eigenständig verwaltete Systeme in die übergreifende Nutzerverwaltung des Standortes eingebunden werden können. Eine Integration weiterer Forschungssysteme ist geplant. Hierdurch kann sowohl der Verwaltungsaufwand für die Administration (z.B. Anlegen/Löschen von Benutzeraccounts) als auch der Arbeitsaufwand für die Nutzer durch einheitliche Accounts (Single-Sign-On) reduziert werden.

Die deterministische ID-Mapping-Strategie realisiert eine konsistente ID-Zuordnung und ermöglicht die Einbeziehung mehrerer AD-Domänen. Komplexe Windows-Gruppenzugehörigkeiten können jedoch auf Linux-basierten Forschungssystemen nicht vollständig umgesetzt werden. Dazu ist weitere Forschung notwendig.

Weiterhin ist allgemein eine Dezentralisierungstendenz des Nutzermanagements zu beobachten. Beispiele hierfür sind föderierte Strategien wie Shibboleth [12] basierend auf SAML-Attributen [13] zur Übertragung von Authentifizierungs-/Autorisierungsinformationen oder Benutzer-zentrierte Strategien wie OpenID [14], die eingesetzt werden, um extern verwaltete Accounts in die eigene Nutzerverwaltung einzubinden.

Danksagung: Unterstützt durch das DFG-Projekt LABIMI/F(FKZ:RI1000/2-1) und das BMBF-Projekt WissGrid(FKZ:01IG09005A-L).