Klarl Zugriffskontrolle in Geschäftsprozessen

Ein modellgetriebener Ansatz
2011
ISBN: 978-3-8348-9913-2
Verlag: Vieweg & Teubner
Format: PDF
Kopierschutz: 1 - PDF Watermark

E-Book, Deutsch, 197 Seiten, eBook

Heiko Klarl zeigt, wie Fach- und IT-Seite bei der Absicherung von Geschäftsprozessen näher zusammengebracht werden und wie ein modellgetriebener Softwareentwicklungsprozess für Zugriffskontrollpolicies ermöglicht wird. Zugriffskontrollanforderungen werden dabei von den Domänenmodellen der Fachabteilung bis hin zu plattformspezifischen Zugriffskontrollpolicies abgebildet.

Dr. Heiko Klarl promovierte am Lehrstuhl für Medieninformatik an der Universität Regensburg. Er arbeitet aktuell als Senior Consultant und Projektleiter im Bereich des Identitätsmanagements.

Zielgruppe

Research

Autoren/Hrsg.

Klarl, Heiko

Inhaltsverzeichnis

1;Geleitwort;7
2;Danksagung;9
3;Zusammenfassung;10
4;Abstract;11
5;Inhaltsverzeichnis;12
6;1 Einleitung;14
6.1;1.1 Einführung in das Szenario;14
6.2;1.2 Problemstellung und Zielsetzung;16
6.3;1.3 Prämissen der Arbeit;21
6.4;1.4 Aufbau der Arbeit;24
6.5;1.5 Typogra.sche Konventionen und Rechtschreibung;26
7;2 Grundlagen;27
7.1;2.1 Identitätsmanagement;27
7.1.1;2.1.1 Digitale Identität;27
7.1.2;2.1.2 Authentifizierung;29
7.1.3;2.1.3 Autorisierung und Zugriffskontrolle;31
7.1.4;2.1.4 Auditierung;33
7.1.5;2.1.5 Prozesse des Identitätsmanagements;34
7.1.5.1;2.1.5.1 (De-) Provisionierung von Konten und Attributen;35
7.1.5.2;2.1.5.2 Vergabe und Entzug von Autorisierungen;35
7.1.5.3;2.1.5.3 Verwaltung und P.ege von Autorisierungen;36
7.1.6;2.1.6 Bestandteile des Identitätsmanagements;36
7.1.7;2.1.7 Identitätsmanagement und rechtliche Rahmenbedingungen;37
7.2;2.2 Geschäftsprozesse im Unternehmen;39
7.2.1;2.2.1 Geschäftsprozesse;40
7.2.2;2.2.2 Modellierung von Geschäftsprozessen;41
7.2.2.1;2.2.2.1 Business Process Modeling Notation;42
7.2.2.2;2.2.2.2 Geschäftsprozesse in der UML;44
7.2.3;2.2.3 Serviceorientierte Architekturen;45
7.3;2.3 Modellierung;47
7.3.1;2.3.1 Modellierung von Anwendungssystemen;47
7.3.2;2.3.2 Modellgetriebene Softwareentwicklung;50
7.3.3;2.3.3 Metamodellierung;53
7.4;2.4 Anforderungsmanagement;54
8;3 Stand der Forschung und Technik;56
8.1;3.1 Anforderungen;56
8.1.1;3.1.1 Allgemeine Anforderungen;56
8.1.2;3.1.2 Rollenkonzept für den Einsatz im Unternehmen;57
8.1.3;3.1.3 Modellierung von sicheren Geschäftsprozessen;58
8.1.4;3.1.4 Anforderungskatalog;60
8.2;3.2 Zugriffskontrollund Rollenmodelle;60
8.2.1;3.2.1 NIST Role-Based Access Control;60
8.2.1.1;3.2.1.1 Bewertung;63
8.2.2;3.2.2 Enterprise Role-Based Access Control;64
8.2.2.1;3.2.2.1 Bewertung;66
8.2.3;3.2.3 Modell der systemübergreifenden Autorisierung;67
8.2.3.1;3.2.3.1 Bewertung;68
8.2.4;3.2.4 Attributbasierte Zugriffskontrolle;69
8.2.4.1;3.2.4.1 Bewertung;70
8.3;3.3 Modellierung von sicheren Systemen und Policies;71
8.3.1;3.3.1 Modellierung sicherer Systeme mit UMLsec;71
8.3.1.1;3.3.1.1 Bewertung;72
8.3.2;3.3.2 Modellgetriebene Sicherheit mit SecureUML;74
8.3.2.1;3.3.2.1 Bewertung;75
8.3.3;3.3.3 Modellgetriebene Sicherheit für serviceorientierte Architekturen;76
8.3.3.1;3.3.3.1 Bewertung;77
8.3.4;3.3.4 Modellgetriebene Sicherheit für Geschäftsprozesse;79
8.3.4.1;3.3.4.1 Bewertung;80
8.3.5;3.3.5 Modellierung von Sicherheitsanforderungen in Geschäftsprozessen;82
8.3.5.1;3.3.5.1 Bewertung;83
8.3.6;3.3.6 Modellgetriebene Erzeugung von Policies für webserviceorientierte Architekturen;85
8.3.6.1;3.3.6.1 Bewertung;88
8.4;3.4 Zusammenfassung;89
9;4 Rollenkonzept für den Einsatz im Unternehmen;92
9.1;4.1 Abbildung von Geschäftsund Systemrollen;92
9.1.1;4.1.1 Geschäftsrollen der Fachseite;93
9.1.2;4.1.2 Systemrollen der IT-Systeme;96
9.1.3;4.1.3 B&S-RBAC-Metamodell;98
9.1.4;4.1.4 Anwendung in der Geschäftsprozessmodellierung;102
9.2;4.2 Aufbau und Umfeld des Rollenkonzepts;103
9.2.1;4.2.1 Vererbung von Rechten;104
9.2.2;4.2.2 Separation of Duties;105
9.2.2.1;4.2.2.1 Statische Separation of Duties;105
9.2.2.2;4.2.2.2 Dynamische Separation of Duties;106
9.2.3;4.2.3 Generische Rollen;107
9.3;4.3 Zusammenfassung;108
10;5 Modellierung von sicheren Geschäftsprozessen;110
10.1;5.1 Abbildung von Zugriffskontrollinformationen;110
10.1.1;5.1.1 Metamodell der Zugriffskontrollinformationen;111
10.1.2;5.1.2 IdM-BPMN – Erweiterung der BPMN;115
10.1.3;5.1.3 Visuelle Modellierung von Zugriffskontrollpolicies;119
10.1.4;5.1.4 XML-Repräsentation des abgesicherten Geschäftsprozesses;120
10.2;5.2 Umfeld zur modellgetriebenen Absicherung eines Geschäftsprozesses;122
10.2.1;5.2.1 Beteiligte Rollen und ihre Aufgaben;123
10.2.1.1;5.2.1.1 Prozessverantwortlicher;123
10.2.1.2;5.2.1.2 Businessanalyst;124
10.2.1.3;5.2.1.3 Sicherheitsarchitekt;124
10.2.1.4;5.2.1.4 Sicherheitsentwickler;125
10.2.1.5;5.2.1.5 Sicherheitsadministrator;125
10.2.2;5.2.2 Benötigte und erzeugte Artefakte;125
10.2.2.1;5.2.2.1 DraftedPermission;126
10.2.2.2;5.2.2.2 Policy;126
10.2.2.3;5.2.2.3 WSACML-Policy;128
10.2.2.4;5.2.2.4 Plattformspezi.sche Zugriffskontrollpolicy;128
10.2.2.5;5.2.2.5 Geschäftsprozess mit Zugriffskontrollinformationen;128
10.2.2.6;5.2.2.6 Abgesicherter Geschäftsprozess;128
10.2.3;5.2.3 Verwendete Werkzeuge und Verzeichnisse;129
10.2.3.1;5.2.3.1 IdM-BPMN-Modellierungswerkzeug;130
10.2.3.2;5.2.3.2 Geschäftsobjektverzeichnis;131
10.2.3.3;5.2.3.3 Vokabularverzeichnis;132
10.2.3.4;5.2.3.4 Policyverzeichnis;132
10.2.3.5;5.2.3.5 WSACML-Policyverzeichnis;133
10.2.3.6;5.2.3.6 PE2WSACML-Transformator;134
10.2.3.7;5.2.3.7 WSACML2PSSP-Transformator;134
10.2.3.8;5.2.3.8 Policy-Importwerkzeug;135
10.3;5.3 Zusammenfassung;135
11;6 Vorgehen bei der modellgetriebenen Absicherung eines Geschäftsprozesses;137
11.1;6.1 Modellgetriebener Softwareentwicklungsprozess;137
11.2;6.2 Phasen des Softwareentwicklungsprozesses;138
11.2.1;6.2.1 Analysephase;139
11.2.2;6.2.2 Entwurfsphase;142
11.2.3;6.2.3 Implementierungsphase;144
11.2.4;6.2.4 Deploymentphase;145
11.3;6.3 Zusammenfassung;145
12;7 Absicherung eines Geschäftsprozesses: Eine Fallstudie;147
12.1;7.1 Geschäftsprozess zur Kreditvergabe aus der Bankendomäne;147
12.1.1;7.1.1 Beschreibung des Geschäftsprozesses;148
12.1.1.1;7.1.1.1 Ablauf des Geschäftsprozesses;148
12.1.1.2;7.1.1.2 Geschäftsobjekte des Geschäftsprozesses;149
12.1.1.3;7.1.1.3 Rollenhierarchie;149
12.1.2;7.1.2 Zugriffskontrollanforderungen an den Geschäftsprozess;151
12.2;7.2 Absicherung des Geschäftsprozesses;153
12.2.1;7.2.1 Modellierung des abgesicherten Geschäftsprozesses;153
12.2.2;7.2.2 Erzeugung von WSACML-Policies;156
12.3;7.3 Zusammenfassung;157
13;8 Zusammenfassung und Ausblick;159
13.1;8.1 Erzielte Ergebnisse;159
13.2;8.2 Ausblick und offene Fragestellungen;163
14;Anhang;165
14.1;A XSD der IdM-XML-Notation;166
14.2;B Artefakte der Fallstudie;170
14.2.1;B.1 Geschäftsprozess zur Kreditvergabe;171
14.2.2;B.2 Geschäftsprozess mit Zugriffskontrollinformationen;172
14.2.3;B.3 Geschäftsprozess im IdM-XML-Format;173
14.2.4;B.4 Erzeugte WSACML-Policies;177
15;Abkürzungsverzeichnis;183
16;Abbildungsverzeichnis;185
17;Tabellenverzeichnis;187
18;Quellcodeverzeichnis;188
19;Literaturverzeichnis;189

Über Autor(innen)

Dr. Heiko Klarl promovierte am Lehrstuhl für Medieninformatik an der Universität Regensburg. Er arbeitet aktuell als Senior Consultant und Projektleiter im Bereich des Identitätsmanagements.