Trusted SaaS im Handwerk: flexibel – integriert – kooperativ Single Sign-On in der Cloud am...

Trusted SaaS im Handwerk: flexibel – integriert – kooperativ


Single Sign-On in der Cloud am Beispiel des CLOUDwerker-Projektes

Kloster Banz, 09.09.2013, Thomas v. Bülow, 1&1 Internet AG


Partner

http://www.google.com/url?sa=i&rct=j&q=&esrc=s&frm=1&source=images&cd=&cad=rja&docid=KuQ23hA_URxcGM&tbnid=1x-pb78EeO-4mM:&ved=&url=http://www.lausitznews.de/pressebericht_8267.html&ei=6-1rUem6LdHWsgbp14CADg&bvm=bv.45175338,d.Yms&psig=AFQjCNFkb56h4StAUBRtS2Va3uTUWVyjMA&ust=1366114156331450

http://www.google.com/url?sa=i&rct=j&q=&esrc=s&frm=1&source=images&cd=&cad=rja&docid=4vI7qUFPI2y6eM&tbnid=WjjzpihkRXLFiM:&ved=&url=http://www.uwe-otto.de/spezial/kooperation/kooperation-betriebe.htm&ei=De5rUYinL4vGtAal6oEg&bvm=bv.45175338,d.Yms&psig=AFQjCNHExJeTWIBgYgaiS064LZC9lX1KQw&ust=1366114190362375

http://www.google.com/url?sa=i&rct=j&q=&esrc=s&frm=1&source=images&cd=&cad=rja&docid=NKtb2uhinOUa9M&tbnid=oRLsJRn7w4WWSM:&ved=&url=http://www.girls-day.de/aktool/ez/eventvcard.aspx?id=39709&skin=uo&ei=kO5rUZrHJcbYsgbF1ICgCQ&bvm=bv.45175338,d.Yms&psig=AFQjCNGBbPhBXoLYyWt6B95wGXVBTlRbbQ&ust=1366114321384121

http://www.google.com/url?sa=i&rct=j&q=&esrc=s&frm=1&source=images&cd=&cad=rja&docid=R0UopJ8okw9ixM&tbnid=V3NhXl6JsQnYrM:&ved=&url=http://www.sh-business-itk.de/dynasite.cfm?dsmid=7256&ei=s-5rUZSxI4btswaP34DYDw&bvm=bv.45175338,d.Yms&psig=AFQjCNHHCFgEWBp8b7g04gca09HxwWCCbQ&ust=1366114356141669


Vision der Plattform

• CLOUDwerker entwickelt ein Konzept, um IT-Dienste für Handwerker als Software-as-a-Service anzubieten

• CLOUDwerker als Informations- und Transaktionsdrehscheibe zu anderen Unternehmen, dem Kunden und der öffentlichen Verwaltung


1&1 WebDesk als Beispiel für den CLOUDwerker Markplatz Prototyp

• Zielsetzung

- Integrierter mobiler Handwerker Arbeitsplatz- Erweiterbar durch den Handwerker mit weiteren Diensten- Anpassbarkeit der Dienste durch den Handwerker- Automatische Integration der Daten Dienste-übergreifend

• Motivation

- E-Bilanz, E-Bundesanzeiger, Gesetze, Normen, Richtlinien- Prozesse, Ressourcen, Termine, Mitarbeiter, Kunden- Heutige HW/SW-Infrastruktur und Daten

• Funktionalität

- Der Handwerker meldet sich bei allen Diensten nur einmal an.- Der Handwerker speichert seine Daten nur einmal- Die Plattform bietet Automatisierungsmöglichkeiten für das

Single Sign On, für Datensicherung und Integration, Sicherheit.

Vorstellung des fachlichen Konzepts, Freiburg, 25.04.2013


Grundelemente der Plattform

Handwerker 3Handwerker 2

CLOUDwerker-Plattform

Marktplatz

gewerkespezifisch

Dienstebündel

Dienst BDienst B

Billing/PricingIdentity &

Access-Mgmt

Plattform-Management-Dienste

…

Service-Hub

…

Service-Hub

B2BBetrieb - Betrieb

B2CBetrieb - Kunde

B2GBetrieb - öffentliche Verwaltung

Auswahl eines Dienstes

Datenaustausch nach außen

Datenaustausch innerhalb eines Dienstebündels

Von Handwerker ausgewählter Dienst

Handwerker 1

Dienst (z.B. E-Mail, Rapport)

Web-browser

Web-browser

…

Handwerker 3

ERP Office

…

Handwerker 2

ERP CRM

…

Handwerker 1


Zuverlässige Servicebündel

Handwerker 3Handwerker 2

CLOUDwerker-Plattform

Marktplatz

TSF

gewerkespezifisch

Dienstebündel

Dienst BDienst B

Billing/PricingIdentity &

Access-Mgmt

Plattform-Management-Dienste

…

Service-Hub

…

Service-Hub

B2BBetrieb - Betrieb

B2CBetrieb - Kunde

B2GBetrieb - öffentliche Verwaltung

Automatische Auswahl eines Dienstes

Datenaustausch nach außen

Datenaustausch innerhalb eines Dienstebündels

Von Trusted Service Finder ausgewählter Dienst

Handwerker 1

Dienst (z.B. E-Mail, Rapport)

Web-browser

Web-browser

…

Handwerker 3

ERP Office

…

Handwerker 2

ERP CRM

…

Handwerker 1

Auswahl von Diensten mit Trusted Service Finder


Bedrohungsszenario


Angriffsmöglichkeiten


Login Control Center

® 1&1 Internet AG 2013

Nach der Eingabe von http://login.1und1.de wird direkt eine Session ID erstellt.

http://login.1und1.de/


Login Webmailer



Login Online Storage


In der App ‚Online Speicher‘ wird der Username statt einer Session ID mitgeführt.


Service-Integration Stufe 1

EMailOnline StorageLogin

Login1. 2.

4. upload

3.download

KundendatenRechnungen

LoginCAS

LoginLexOffice

1. 2.3.

4.

1. Anmeldung im Webmailer. Schreiben einer Email, es soll ein Dokument angefügt werden2. Anmeldung am Online Storage3. Ohne SSO kann nur durch Download des Dokumentes dieses zum Upload verfügbar

gemacht werden.4. Ohne SSO kann nur der normale Upload genutzt werden.

Ähnliches gilt beim Zugriff auf Services von einem Arbeitsplatz aus: Cut/Paste, Export, Import


Single Sign On zu Mail, Storage, SaaS, SSA



Control Panel mit Selbstbedienung


1.

2.

3.


Der Shop übernimmt die User Session


4.


Sessionmanagement im SSO


1. Control-Center: geschützte Verzeichnissehttps://mein.1und1.de/xml/config/HttpOverviewNG;jsessionid=0F9B52077A46298059EDA16EE347D52A.TCpfix311a?__lf=HomeFlow

3. Wechsel vom Control-Center zum Homepage-Shophttps://homepage.1und1.de/?&ac=OM.PU.PU263K204547T7073a&usessId=ac1311b5rIUq4KerKpFiGiREfMfeQCDD

2. Control-Center: Rechnungsmanagementhttps://mein.1und1.de/xml/config/ContractInvoiceOverview;jsessionid=0F9B52077A46298059EDA16EE347D52A.TCpfix311a?__lf=HomeFlow

4. https://hosting.1und1.de/linux-hosting?&ac=OM.PU.PU263K204549T7073a&usessId=ac1311b5rIUq4KerKpFiGiREfMfeQCDD


Systemanmeldungen Sessionbased ohne HIP SSO

1&1

Control Center

WebDesk

HIP SSO

Identity Provider

ShopEMail

Online Storage

Login

Nach Login an der Plattform werden Email, Storage, Control Center etc. ohne weiteres Login genutzt. Der Shop erhält Vertragsdaten.

VertragVertrag

Vertrag


Trusted Plattform, mit 1&1 HIP

1&1

Control Center

WebDesk

HIP SSO

Identity Provider

ShopEMail

OnlineStorage

LoginMit HIP Registry und HIP AaaS ist Single Sign On und Interoperabilität von Webservices und On-Premise SW möglich.

Verträge

Login

Login

3rd party on-premiseLogin

ServiceRegistry


Nutzer zu Service Identifikationexterner IdP z.B. OpenID


Service zu Service Authorisierung mit HIP AS / SSO


Beispiel von RESTful HTTP

POST /hip-authorizationservice/oauth/tokenAuthentication: Basic Lmdas9AsD==Content-Type: application/x-www-form-urlencodedgrant_type=client_credentials&scope=hip-bundle

HTTP/1.1 200 OKContent-Type: application/json{"access_token":"450d81fd-b868-424c-da00-8256b571de73","token_type":"bearer","expires_in":43199,"scope":"hip-bundle"}

Request an Access Token

Response

GET /hip-authorizationservice/oauth/resource/approval?access_token=1234abc-123&verb=PUT&resource=/bundles/hip-bundleAuthentication: Basic Zfa8923mfklasdasflsklsdhfJhasa==

Access Token Approval

Response

HTTP/1.1 200 OK


Nutzer zu Service Authenfikation

• SSO/Jump Between Applications


Anforderungen an SSO

• Plattformunabhängig

• Plattformkonform

• Basierend auf Standards

- SAML- OAuth2- RESTful HTTP

• Für Nutzer und Dienste

Vorstellung des fachlichen Konzepts, Freiburg, 25.04.2013

Trusted SaaS im Handwerk: flexibel – integriert – kooperativ Single Sign-On in der Cloud am...

Documents

Transcript of Trusted SaaS im Handwerk: flexibel – integriert – kooperativ Single Sign-On in der Cloud am...