Open source CzechIdM ve finále soutěže IT produkt roku 2011 (diskuse)

[pasmen]

Ze seznamu konektorů na vašem webu:
Složitý konektor pro SAP šikovnému programátorovi trvá cca 10MD.

Tohle by mě vážně zajímalo. Vážně dokážete donutit SAP logon, aby ověřil jméno a heslo proti nečeme jinému než je databáze uživatelů SAP? Tedy jde mi hlavně o SAPGUI for Java, na platformě Windows to jde vyřešit přes SNC, to vím.

[Max]

Asi to špatně chápeš, ale IDM je podle mně centralizovaná správa účtů, tedy jedno rozhraní ke všem systémům. Když tedy změníš v IDM heslo, tak to se pomocí konektorů sesyncuje s ostatníma serverama (Active Directory, SAP atd. podle toho, co máš vše definováno).
Pak máš definované skupiny a v nich příslušné uživatele. Ke každé skupině definuješ nějaké konektory (s čím vším se to má syncovat). Takže je uživatel a heslo na několika místech a aplikace se ověřují proti serverům, pro které jsou určeny.
Díky IDM a webovému rozhraní pak umožníš uživateli, aby si mohl jednoduše měnit heslo v určitých intervalech, velmi jednoduše, jednou zadá a změní se mu ke všemu atd.
Takto nějak to zjednodušeně funguje.
Zdar Max

[Zdeněk Burda]

Spravujeme uživatele přímo v SAPu, neměníme způsob autentizace a autorizace uživatelů uprostřed spravovaných programů. Jedná se tedy o konektor pro správu uživatelů, rolí případně dalších objektů.

Pokud si dobře pamatuji, tak i v SAP GUI for java jde použít např. Kerberos (přes SNC).

[pasmen]

Aha, tak to jo. Btw, v tom případě ten programátor není moc šikovný, pokud mu toto zabere 10 MD...

[Max]

Když si to vezmeš, tak to není zas tak těžký, udělat server-klient část se šifrovaným spojením s tím, že klient bude nainstalován na serverech a bude lokálně přistupovat do konkrétních systémů a měnit hesla, popř. vytvářet a mazat uživatele. Změna hesla v AD z lokálu je brnkačka. Podobně to je u jiných systémů, které k tomu mají většinou nějaké API apod.
Jenomže, další ošetřování chyb, bezpečnostních pravidel atd. a začne to pěkně narůstat. Jedna věc je něco zbastlit, druhá je něco vyladit a co možná nejvíce ošetřit :-/.
Zdar Max

[Zdeněk Burda]

Obecně správa uživatelů v organizacích (tak jak ji děláme my) není jen o technice, ale také o procesech a jejich optimalizaci a také o rolích - správa rolí je často náročná podobně jako správa uživatelů. Identity Manager je "jen" nástroj, který to pomůže automatizovat.

Když si to vezmeš, tak to není zas tak těžký, udělat server-klient část se šifrovaným spojením s tím, že klient bude nainstalován na serverech a bude lokálně přistupovat do konkrétních systémů a měnit hesla, popř. vytvářet a mazat uživatele.

Náš Identity Manager nepotřebuje na většinu spravovaných systémů agenta na serveru (např. pro MS Active Directory není nutný, ale je to vhodné, umíme pak víc věcí než jen kdybysme přistupovali přes LDAP rozhraní), připojuje se na servery jejich nativním způsobem (unix = ssh na server a useradd/passwd).

[Zdeněk Burda]

Ono to není jen o vlastním kódování, ale o celé tvorbě - zpracovat zadání, napsat, otestovat, předat zákazníkovi...

[pasmen]

V pohodě Já jen že pokud je tedy úkolem z Vaší aplikace změnit heslo uživatele ze SAP R/3, pak jde o jedno zavolání funkčního modulu SUSR_USER_CHANGE_PASSWORD_RFC přes RFC... Takovéto standardní řešení (ten funkční modul je tuším dostupný už od R/2) mi nepřijde jako práce na 10 člověkodnů. Ale to je jedno, produkt jako takový vypadá zajímavě. My řešíme podobný problém také, ale zatím to vypadá, že naší centrální databází zůstane AD... Celkem jednoduše jsme zařídili synchronizaci účtů v AD dle SAP HR, ale problém je právě se synchronizací hesel R/3 <-> AD.

[Lukáš Cirkva]

Úkolem Identity Managementu není jen změna hesla, ale hlavně správa celého životní cyklu identit od vzniku identity, změn parametrů a zániku identity. Zjednodušeně řešeno se jedná o systém, který spravuje uživatelské identity (kdo nebo co má přístup) a jejich vztah k jednotlivým aplikacím a datům (kam má přístup) a na základě jaké pravomoci získal přístupy (schváleno nadřízeným nebo dle role, organizačního zařazení atd.). Tyto informace jsou jednoduše auditovatelné a reportovatelné v čase a to vše v souladu s bezpečnostními politikami. Aby to nebylo tak jednoduché, tak pod identitou si lze představit uživatelský účet, certifikát, reprezentace PC v doméně, ale i role a organizační strukturu. Každý druh identit mívá vlastní životní cyklus. Všechny tyto vlastnosti musí být schopen vyvinutý konektor obsáhnout.

Každý SAP bývá jiný. A tím nemyslím jen verzi, ale způsob nasazení, implementace, rozsahu přizpůsobení a množství použitých modulů. Například jsme řešili dynamické někololikaúrovňové přidělování rolí na základě vstupu administrátora nebo změny v číselníku.

Namátkou jsem vybral jednu z realizací SAP konektoru. Ve stručnosti v tomto konkrétním případě byly implementovány tyto procesy:

• Založení nového účtu
• Přejmenování účtu
• Aktivace a dekativace
• Odstranění účtu
• Prvotní načtení všech již existujících účtů
• Opakovaná synchronizace – pravidelná kontrola změn
• Změna hesla
• Přiřazení a změna

kdy byly využity tyto skupiny SAP funkcí:

RFC1, SDIFRUNTIME, SYST, SYSU, BFHV, SG00, SRFC, SUSR

V případě zájmu rád předvedu, vysvětlím jak řešíme Identity Management.

Samozřejmě je možně, že pisatel předchozího příspěvku nebo někdo z čtenářů je natolik šikovný vývojář, že by zvládl vytvořit konektor v řádu hodin. Stále hledáme nové kolegy, neváhejte se nám přihlásit. Kontakty jsou na firemním webu.

[pasmen]

Je pravda, že všechny aspekty jsem neuvažoval, vlastně jen ten jeden, který aktuálně řeším já (tedy pouze synchronizaci hesel neboť účty samotné se již synchronizují). Jinak co se týče tohoto

Každý SAP bývá jiný. A tím nemyslím jen verzi, ale způsob nasazení, implementace, rozsahu přizpůsobení a množství použitých modulů.

tak tam bych tak skeptický nebyl. Uvedená problematika je záležitostí báze, která nebývá tak diverzifikovaná. A odchylky, které se vyskytují lze řešit formou jednoduché customizace (např. použití CUA atd.). Ale je fakt, že jsem neviděl tolik systémů jako konzultanti, kteří se živí poskytováním služeb mnoha společnostem.

Jinak zájem by určitě byl, je to zajímavé téma, ale čas by nebyl I když mě to zajímá, je to okrajové téma.

[Max]

Zdendo, rozcházel jsem v jobu SunIDM, zkoušel jsem rozcházet i Alfresco. Obě věci jsou java. Nemile mně překvapilo, že s 1GB bez dat a klientů je to skoro nepoužitelný a po čase to udělá bum z nedostatku paměti. Pořád nevím, zda jsem takový břídil, že neumím nastavit rozumnou správu paměti, nebo to ty javovský aplikáče (třeba glassfish) + ony aplikace (idm, alfresco) opravdu vyžadují. Když jsem nastavil 1,5GB paměti pro IDM, tak už je to udržitelný. Já vím, že v dnešní době je paměť cenově zanedbatelná věc, ale i tak. Jen by mně zajímalo, zda to tak je normální, nebo musím někde chybovat :-/.
Díky
Zdar Max

[Zdeněk Burda]

Samotný Glassfish potřebuje jen sám pro sebe půl giga aby trošku žil Je třeba si zvyknout, že Java = 1,5-2GiB RAM jako rozumné minimum.

[Max]

Díky, opravdu jsem se lekl, že jsem lempl a neumím správně nastavit memory management. 1,5GB beru jako hraniční minimum, vím, že pod 1,5GB mi SunIDM po čase nechtělo jet. Takže 2GiB bude asi opravdu 100% tutovka pro minimum, aby se člověk nemusel bát, že žije na hraně.
Zdar Max

[xkucf03]

Software poskytujeme při implementaci zdarma.

Pod jakou licencí?

[Lukáš Cirkva]

Licence CzechIdM má několik stran právnických obratů, stručně odpovím to zajímavé.

Produkt CzechIdM je v současné době poskytován:

• zdarma
• s otevřenými zdrojovými kódy
• bez omezení užití na procesory, uživatele, instance atd.
• zákazník má právo měnit kódy

Abychom ochránili naši investici do několika let vývoje máme tyto podmínky:

• CzechIdM poskytujeme pouze našemu zákazníkovi v případě implementace řešení na klíč. Tzn. zákazník si od nás odebere implementační služby.
• CzechIdM meumožňujeme poskytnout třetí osobě nebo dceřiným společnostem.

Dle našeho názoru se jedná o velmi vstřícný přístup. Konkurenční produkty stojí obvykle na licenčních poplatcích za poměrně veliké peníze a to s omezením na uživatele, instance, konektory apod., což je pro zákazníky limitující.

[pavlix]

CzechIdM meumožňujeme poskytnout třetí osobě nebo dceřiným společnostem.

Tedy není opensource (určitě ne ve smyslu, v jakém se to používá zde na Abclinuxu). Díky za odpověď, a prosím, abyste přestali ten software za opensource vydávat.

Dle našeho názoru se jedná o velmi vstřícný přístup. Konkurenční produkty stojí obvykle na licenčních poplatcích za poměrně veliké peníze a to s omezením na uživatele, instance, konektory apod., což je pro zákazníky limitující.

Váš názor chápu. Na druhou stranu to o své nabídce tvrdí každý.

[CEST]

CzechIdM meumožňujeme poskytnout třetí osobě nebo dceřiným společnostem.

Tedy není opensource (určitě ne ve smyslu, v jakém se to používá zde na Abclinuxu). Díky za odpověď, a prosím, abyste přestali ten software za opensource vydávat.

Pro pripadne dalsi opozdene zabloudilce. Samozrejme, ze kdyz mi dodavatel da k programu zdrojove kody, tak je to OpenSource software. Ze ty si OpenSource pojem pletes s FreeSoftware/SvobodnymSoftwarem je tvuj osobni problem ("Free software is a matter of liberty, not price. To understand the concept, you should think of free as in free speech, not as in free beer." R.M. Stallman).

Takze CzechIdM je OpenSource, ale neni to FreeSoftware/Svobodny a nema "free software license" - svobodnou licenci.

Tenhle zpusob je nahodou dost dobry zpusob, jak vydelavat, ale pritom zakaznikovi garantovat za jeho penize skutecne produkt. V pripade dodani binarniho blobu se zakaznik nemuze rozhodnout nechat si udelat upravy od nekoho jineho. Takhle ma aspon za sve penize neco v ruce.

A poskytnuti zdarma v pripade objednavky implementacnich sluzeb je taky super, takhle to delaji i ostatni.

[pavlix]

Pro pripadne dalsi opozdene zabloudilce. Samozrejme, ze kdyz mi dodavatel da k programu zdrojove kody, tak je to OpenSource software. Ze ty si OpenSource pojem pletes s FreeSoftware/SvobodnymSoftwarem je tvuj osobni problem ("Free software is a matter of liberty, not price. To understand the concept, you should think of free as in free speech, not as in free beer." R.M. Stallman).

Je velmi pochybné používat jako jediný zdroj hlavního představitele víceméně konkurenčního tábora. Já bych spíš citoval:

Open source doesn't just mean access to the source code. The distribution terms of open-source software must comply with the following criteria:

(http://www.opensource.org/docs/osd)

Používat pojem open source v jiném významu, než ve kterém byl zaveden, a následně někoho označovat za opožděného zabloudilce, mi přijde nanejvýš pochybné a hloupé.

[petr_p]

O konkurenční definici open source od FSF a od OSI jsem se tu již několikrát pohádali. Vzhledem k tomu, že FSF má delší historii, považuji za právoplatnou verzi od FSF – že open source nezahrnuje právo na redistribuci.

[pavlix]

O konkurenční definici open source od FSF a od OSI jsem se tu již několikrát pohádali. Vzhledem k tomu, že FSF má delší historii, považuji za právoplatnou verzi od FSF – že open source nezahrnuje právo na redistribuci.

Citation needed.

[xkucf03]

FSF ani RMS a svobodný software do toho ani nemusíš tahat. Přečti si definici otevřeného softwaru / Open Source.

• The Open Source Definition (originál)
• Definice otevřeného softwaru (česky)

[xkucf03]

Tedy není opensource

ano, to není

určitě ne ve smyslu, v jakém se to používá zde na Abclinuxu

smysl je jen jeden -- definice mluví jasně -- taková licence porušuje hned první bod a nejedná se o open source / otevřený software (ani o free software / svobodný software).

Díky za odpověď, a prosím, abyste přestali ten software za opensource vydávat.

Souhlas -- přesně takový marketing firem, které se snaží na open sourcu přiživit, mu dělá dělá špatné jméno. Lidi si pak budou stěžovat, že to byl přece "open source", ale nemohli s tím dělat to a to... přitom kdyby to open source (resp. svobodný software) byl, tak by to dělat mohli.

Na druhou stranu jejich přístup* dokážu pochopit a považuji ho za mnohem slušnější a přívětivější než přístup používaný u jiného proprietárního softwaru (uživatel nemá ani zdrojáky natož právo je měnit).

*) to, že zvolili restriktivní licenci. Pro zneužívání pojmu "open source" (pokud se tak děje) pochopení nemám, to je neomluvitelné.

[pavlix]

Souhlas -- přesně takový marketing firem, které se snaží na open sourcu přiživit, mu dělá dělá špatné jméno. Lidi si pak budou stěžovat, že to byl přece "open source", ale nemohli s tím dělat to a to... přitom kdyby to open source (resp. svobodný software) byl, tak by to dělat mohli.

Ono to nakonec (doufám) uškodí i samotné firmě. Pokud je to totiž součástí oficiálního marketingu, budou to někteří obchodní partneři právem vnímat jako podvod.

*) to, že zvolili restriktivní licenci.

To taky chápu.

Pro zneužívání pojmu "open source" (pokud se tak děje) pochopení nemám, to je neomluvitelné.

Souhlas.

[Lukáš Cirkva]

Doplním vyjádření za nás tvůrce CzechIdM.

Byly zde pozitivní i negativní ohlasy. Negativní ohlasy se točili kolem licenční politiky, konkrétně bodu omezení redistribuce vs. definice Open source dle OSI.

Abychom uspokojili všechny, rozhodli jsme se urychlit vydání CzechIdM i pod licencí dle OSI tedy včetně volné redistribuce. Tedy pokud zákazník projeví zájem, dostane možnost pořídit CzechIdM s Open source licencí dle OSI. Open source licence vždy byla a je naším záměrem. Připravujeme i zveřejnění SW/kódu komunitě.

Děkuji všem za reakce. Tímto považuji téma k licencím zde za vyčerpané, veškeré další dotazy k tomuto tématu směřujte prosím pouze na můj mail.

[xkucf03]

Příjemné překvapení. Díky.

[pavlix]

Abychom uspokojili všechny, rozhodli jsme se urychlit vydání CzechIdM i pod licencí dle OSI tedy včetně volné redistribuce. Tedy pokud zákazník projeví zájem, dostane možnost pořídit CzechIdM s Open source licencí dle OSI. Open source licence vždy byla a je naším záměrem. Připravujeme i zveřejnění SW/kódu komunitě.

To je pro mě rovněž velké překvapení. Jen bych rád připomněl, že jsem nikde nekritizoval, že software není licencován podle OSI.

Ale samozřejmě si počkám na výsledek. Pokud plánujete vydat SW jako opensource, tak mě docela hodně zajímá, jak bude vypadat ochrana vaši investice do tohoto opensource.

Děkuji všem za reakce. Tímto považuji téma k licencím zde za vyčerpané, veškeré další dotazy k tomuto tématu směřujte prosím pouze na můj mail.

Já myslím, že je to zajímavé pro všechny, takže zatím nemám důvod psát cílené maily. Nastavit upozorňování na příspěvky mailem je zde na Abclinuxu triviální.

[Andrei Badea]

Pěkný počin, gratuluju!

Ze zvědavosti, když mluvíš o "sadě konektorů" máš na mysli projekt Identity Connectors? Ptám se a jako svého času spravovatel frameworku a autor LDAP konektoru

[moris]

Dobrý den,
dovolím si odpovědět za kolegu Zdenka. Ano, jedná se o Identity Connectors. Na našem firemním blogu a vlastně i zde na blobu se nachází článek, kde se snažím zjednodušeně popsat Identity Connector Framework a vývoj konektorů zjednodušeně demonstrovat na vývoji jednoho našeho konektoru.