Informationen gemeinsam nutzen

26 / Aktuell
Pages 3/2003
INFORMATIONEN GEMEINSAM NUTZEN
ABACUS INTEGRIERT LDAP-TECHNOLOGIE
In der ABACUS Business Software
existiert mit der Benutzerverwaltung ein zentrales Verzeichnis aller
User und deren Rechte. Ähnliche
digitale Verzeichnisse von Personen
gibt es in einer Unternehmung in
verschiedenen Bereichen. So in MailSystemen wie Exchange, GroupWise,
Lotus Notes in Form von E-Mail-Adressen oder in Netzwerken und auf
Servern in Form von User-Verzeichnissen.
Elektronische Verzeichnisse haben
mit dem Siegeszug des Internets
auch ausserhalb der Unternehmensgrenzen in allen Bereichen Einzug
gehalten. Die bekanntesten davon
sind die elektronischen Telefonbücher, zum Beispiel die ”Weissen und
Gelben Seiten“ (www.weisseseiten.
ch), die über Internet jedermann zur
Verfügung stehen.
VERTEILTE INFORMATIONEN
GEMEINSAM NUTZEN
Eine sehr grosse Anzahl von Applikationen
wie zum Beispiel die ABACUS Software,
Mail-Systeme, Arbeitsplatz- und Netzwerkbetriebssysteme sowie Datenbanken
werden weltweit auf verschiedensten
Hardwareplattformen eingesetzt. Da ist
eine Normierung, wie die Daten in diesen
unterschiedlichen Programmen gespeichert werden, unmöglich. Die Folge davon
war – und ist zum Teil immer noch – dass
Daten mehrfach erfasst werden, Informationen in einer heterogenen Systemwelt
nur mühsam gefunden werden oder Benutzer sich mehrfach mit Name und Passwörtern anmelden müssen. Dieser Zustand
war und ist unbefriedigend. Abhilfe schafft
LDAP.
LDAP: die Lösung
LDAP ist ein standardisierter Weg, wie Informationen, die sich in einem digitalen
Verzeichnis befinden, abgefragt oder mutiert werden können. Entwickelt wurde die
LDAP-Technologie an der Universität Michigan, um ein älteres, komplexes, digitales Verzeichnis-Zugangsprotokoll mit dem
Namen X.500 für das Internet zu adaptieren.
LDAP
LDAP steht für ”Lightweight Directory
Access Protocol“ und ist ein TCP/IP-basiertes Directory-Zugangsprotokoll, das
sich im Internet und in Intranets als
Standardlösung für den Zugriff auf Netzwerk-Verzeichnisdienste für Datenbanken, E-Mails, Speicherbereiche und andere Ressourcen etabliert hat. LDAP ist von
der IEFT standardisiert und bietet einen
einheitlichen Standard für Verzeichnisdienste Directory Services (DS).
Das LDAP-Protokoll definiert keinen
Directory-Inhalt und auch nicht, wie der
Directory Service erbracht werden soll.
Aktuell / 27
Pages 3/2003
Unternehmen wie Microsoft, IBM, Novell
und Sun haben diese Technologie übernommen und sie gemeinsam zu einem
weltweit verwendeten Standard gemacht.
Somit basieren zum Beispiel Active
Directory von Microsoft, Sun iPlanet und
eDirectory von Novell auf LDAP.
LDAP definiert nicht, wie elektronische
Verzeichnisse gespeichert werden, sondern wie die Daten aus einem Verzeichnis
gelesen werden können. Wie die Daten
letztlich in einem Verzeichnis abgelegt
sind, wird den verschiedenen Herstellern
wie Novell, Sun, Microsoft und anderen
überlassen. Mit LDAP wird die Integration
der unterschiedlichen proprietären Verzeichnisdienste ermöglicht und ein einheitlicher Zugriff auf Verzeichnisse geschaffen.
SO FUNKTIONIERT LDAP
Ein auf einem Server installiertes Verzeichnis, das die LDAP-Technologie unterstützt,
kann von jedem Programm, das LDAPkompatibel ist, abgefragt werden. Dabei
spielt es keine Rolle, ob die Abfrage lokal
oder über das Internet erfolgt.
LDAP-Server indexieren alle Informationen, die in ihren Verzeichnissen gespeichert sind und erlauben dadurch, die
Daten auf verschiedene Weise abzufragen.
Mit Filtern kann zum Beispiel eine ganz
bestimmte Person oder eine Gruppe von
Personen gesucht werden. Beispielsweise
wird eine Anfrage auf einem LDAP-Server
platziert, um alle Personen zu finden, die
in Luzern wohnen, ”Gübelin“ heissen und
über eine E-Mailadresse verfügen. Als Resultat dieser Abfrage werden die Namen,
Vornamen, Adressen und die E-MailAdressen zurückgegeben.
Welche Rechte die Benutzer oder Benutzergruppen beim Zugriff auf ein LDAP-Verzeichnis haben, – das heisst, wer Daten lesen oder auch ändern kann – wird von
den Administratoren der betreffenden Verzeichnisse definiert. Sie entscheiden auch,
welche Informationen allgemein zugänglich sind und welche privat sind.
LDAP-SERVERS WELTWEIT
LDAP-Servers sind auf drei verschiedenen
Ebenen zu finden. Grosse, öffentlich zugängliche Server wie die Suchmaschine
Bigfoot, Telefonverzeichnisse wie YellowPages bieten einen weltweiten Zugang.
Auf der Ebene einzelner Unternehmen,
Universitäten etc. werden mit LDAPServern die innerhalb einer Organisation
existierenden Verzeichnisse miteinander
verbunden. Eine dritte Anwendung, bei
der die LDAP-Technologie zum Einsatz gelangt, sind Arbeitsgruppen. Diese LDAPVerzeichnisse können Auskunft geben
über die E-Mailadressen des Projektleiters
und der Projektmitglieder oder zeigen die
in einem Netzwerk installierten Drucker
an.
Die meisten Benutzer von PC-Programmen
und des Internets haben auf ihrem Rechner bereits Programme installiert, die
LDAP unterstützen. Beispiele dafür sind:
Mail-Systeme wie Outlook, OS X Mail,
GroupWise. Diese Programme erlauben,
auf LDAP unterstützende Verzeichnisse
zuzugreifen, die sich irgendwo in der Unternehmung oder im Internet befinden.
ABACUS UND LDAP
Die ABACUS Benutzerdatenbank ist ab der
Version 2004 ebenfalls in einem Verzeichnis abgelegt, welches das LDAP-Protokoll
unterstützt. Dadurch ist das digitale Verzeichnis der ABACUS Benutzer nicht mehr
nur für ABACUS Programme zugänglich,
sondern kann je nach Berechtigungen
auch von externen Personen mit entsprechenden Programmen abgefragt und sogar unter Umständen beliebig ergänzt
werden.
Synchronisation von Verzeichnisinhalten
Ein konkreter Nutzen aus dieser Technologie besteht darin, dass die Benutzerverwaltung und die Adressverwaltung in der
ABACUS Software automatisch synchronisiert werden können. Einem ABACUS Benutzer kann ein bestimmter Mandant und
eine Adresse zugeordnet werden. Je nach
Konfiguration werden dann Änderungen
in der Adressverwaltung automatisch im
Benutzerverzeichnis nachgeführt, zum
Beispiel Änderungen von E-Mail-Adressen. Aber auch der umgekehrte Weg ist
möglich: Änderungen in einem LDAP-Verzeichnis werden automatisch in die
ABACUS Adressverwaltung übernommen.
In Unternehmen jeder Grösse kann so ein
zentrales, elektronisches Telefonbuch geführt werden, auf das alle Mitarbeiter
ortsunabhängig Zugriff haben.
Pages 3/2003
Employee Selfservice
Dadurch, dass sich alle Verzeichnisse innerhalb einer Unternehmung dank LDAP
miteinander verbinden und synchronisieren lassen, eröffnen sich neue Perspektiven beim so genannten ”Employee Selfservice”. Mitarbeiter können ihre persönlichen Daten selber verwalten. Der Systemadministrator bestimmt, auf welche Verzeichnisse die Mitarbeiter Zugriff haben
und welche Rechte sie in diesen besitzen.
Mutationen lassen sich so automatisch in
der ABACUS Software, zum Beispiel der
Lohnbuchhaltung, nachführen. Besonders
in grösseren Unternehmen fallen so aufwändige Abstimmarbeiten zwischen verschiedenen Anwendungen resp. Verzeichnissen weg.
Komplexe Zugriffsberechtigungsfragen in
der ABACUS Software entschärfen sich
oder fallen ganz weg, wenn Benutzer für
die Pflege von Daten gar nicht mehr die
ABACUS Programme verwenden müssen,
sondern diese Daten in einem separaten
Verzeichnis verwalten und mutieren.
GENERELLES LOGIN ÜBER LDAP
Noch mehr Annehmlichkeiten bietet die
LDAP-Technologie in Software-Anwendungen durch die Integration von LDAP
als ”Namensdienstleister” in Anmeldediensten, was auch ein ”Single-Sign-On”
in heterogenen Umgebungen möglich
macht. Ein Username/Passwort-Paar regelt
den Zugriff auf sämtliche Ressourcen im
Netzwerk.
Aktuell / 29
ZUSAMMENFASSUNG
Der Einsatz von LDAP-kompatiblen Verzeichnissen verspricht, Benutzern wie
auch der Systemadministration, zukünftig
viel Zeit und Ärger zu ersparen. Durch die
Ablage von Daten in Verzeichnissen, die
normiert abgefragt werden können, entfällt das lästige Suchen und auch das Aktualisieren von Daten von Ressourcen, Personen und deren Berechtigungen.
Mit LDAP wird auch die Zukunftsvision
eines WWW-Kataloges oder ein weltweit
verwendbares Branchenbuch, Telefonbuch
oder E-Mailverzeichnis greifbare Realität.
DER NUTZEN VON
LDAP-VERZEICHNISSEN
Tiefere Kosten für Administration
Vereinfachte und/oder verteilte Administration
Bessere Transparenz über vorhandene
Ressourcen und Benutzer
Weniger Benutzerkonten und Passwörter durch ”Single-Sign-On“
Verbesserung der Sicherheit