Active Directory als Teil der IAM-Strategie – wichtig, aber nicht ausreichend

Anbieter zum Thema

Vogel IT-Medien GmbH

Fujitsu Technology Solutions GmbH

SEPPmail - Deutschland GmbH

Das Active Directory – nur Mittel zum Zweck?

Das AD ist in der Regel vorhanden – und darin sind Identitätsinformationen nicht nur zu vielen Personen, sondern auch zu Systemen zu finden. Selbst digitale Zertifikate lassen sich darin verwalten und zudem wird es für die primäre Authentifizierung verwendet und unterstützt zumindest auf Basis von Kerberos auch ein echtes Single Sign-On mit einer Reihe von Anwendungen.

Mehr noch: Der Verzeichnisdienst bietet eine relativ gute Datenqualität zumindest zu den internen Benutzern. Und Datenqualität ist im IAM unabdingbar, weil darauf basierend Zugriffsentscheidungen getroffen werden. Richtige Entscheidungen kann es aber nur auf Basis der korrekten Entscheidungsgrundlagen geben – anders herum formuliert: „Garbage in, garbage out“.

Für die internen Benutzer im Active Directory gibt es in den meisten Fällen kein System außer vielleicht dem HR mit Teilinformationen, das gleichermaßen gut geeignet ist wie das Active Directory. Und das Active Directory umfasst oft mehr Benutzer, beispielsweise temporäre Mitarbeiter, und dient zudem als Grundlage für das Zugriffsmanagement zumindest bei File-Servern und einigen anderen Systemen.

Das Active Directory sinnvoll nutzen

Klar ist aber auch, dass das Active Directory eben kein volles IAM-System ist. Es ist nicht dafür gedacht, alle Identitäten zu verwalten. Kunden oder Partner finden sich typischerweise in anderen Verzeichnissen. Dafür gibt es gute Gründe, sowohl technischer als auch organisatorischer Art.

Aber das Active Directory ist ein wichtiger Baustein in IAM-Konzepten – als Repository mit Informationen zu den internen (und ein paar anderen) Nutzern, als System für die primäre Authentifizierung und auch für die Steuerung von Zugriffen auf Anwendungen und als ein Baustein in Federation-Konzepten, wo man mit ADFS v2 (Active Directory Federation Services) doch ein beachtliches Niveau und eine gute Standard-Unterstützung erreicht hat.

Daher gilt: Dinge, die man sinnvoll im Active Directory machen kann, sollte man dort auch tun. Darüber hinaus gilt es, das AD richtig einzubinden. In kleineren und mittleren Unternehmen kann man sein IAM oft stark um das Active Directory herum aufbauen. Dabei ist der Microsoft FIM (Forefront Identity Manager) eine Option – aber eben auch nur eine Option unter vielen. In größeren Unternehmen wird man das Active Directory eher als eine wichtige Informationsquelle und eines der wichtigsten zu steuernden Systeme sehen.

Klar ist aber: Man kann ein IAM-Konzept nicht aufbauen, ohne die Rolle des Active Directory zu berücksichtigen – so wenig, wie man alles nur AD-zentrisch sehen sollte. Denn dafür gibt es zu viele Identitäten außerhalb und zu viele Anforderungen, die weit darüber hinaus gehen.

Martin Kuppinger ist Gründer des Analystenunternehmens Kuppinger Cole, das sich mit digitalen Identitäten, Identity und Access Management, GRC (Governance, Risk Management, Compliance) und Cloud Computing beschäftigt.

Inhalt

• Seite 1: Wozu eigentlich ein Identity und Access Management?
• Seite 2: Das Active Directory – nur Mittel zum Zweck?

(ID:2048155)