Die IBM Maximo Application Suite ist eine leistungsstarke Plattform für das Asset Management. Wenn Sie Maximo in Ihrem Unternehmen einsetzen, sollte Sicherheit immer oberste Priorität haben. Ein wichtiges Sicherheitselement ist die Wahl des richtigen Authentifizierungsmechanismus für Ihre Maximo-Instance. Maximo unterstützt verschiedene Arten der Authentifizierung, und die beste Wahl hängt von den Anforderungen, der Infrastruktur und den Sicherheitsrichtlinien Ihres Unternehmens ab. In diesem Blog werden wir die in Maximo verfügbaren Authentifizierungstypen, ihre Vor- und Nachteile sowie hilfreiche Tipps für Administratoren untersuchen.

Arten der Authentifizierung in Maximo

Maximo bietet mehrere Authentifizierungsmethoden, die entsprechend dem Sicherheitsmodell Ihres Unternehmens konfiguriert werden können. Die drei unterstützten Authentifizierungstypen in Maximo sind:

1. Maximo native oder lokale Authentifizierung
2. LDAP-Authentifizierung (Lightweight Directory Access Protocol)
3. SAML-Authentifizierung (Security Assertion Markup Language)

Lassen Sie uns einen tiefen Einblick in jeden einzelnen werfen.

Maximo native oder lokale Authentifizierung

Maximo Native Authentication ist die Standardauthentifizierungsmethode, bei der Benutzeranmeldeinformationen direkt in der Maximo-Datenbank gespeichert werden. Bei der Anmeldung geben Benutzer ihren Benutzernamen und ihr Passwort direkt an Maximo weiter, und das System überprüft sie anhand des verschlüsselten Werts in der Maximo-Datenbank.

Vorteile:

• Schlichtheit: Es ist einfach zu konfigurieren und erfordert keine Integration mit externen Systemen.
• Steuerung: Administratoren haben die vollständige Kontrolle über Benutzeranmeldedaten und Passwortrichtlinien auf Systemebene.
• Minimale Einrichtung: Ideal für kleine Umgebungen, in denen die Benutzerbasis begrenzt ist.

Nachteile:

• Eingeschränkte Skalierbarkeit: Wenn die Anzahl der Benutzer wächst, wird die Verwaltung der Anmeldeinformationen in jedem Maximo umständlich.
• Redundanz: Es führt zu Redundanz, wenn andere Systeme in der Organisation LDAP oder andere Authentifizierungsdienste verwenden.
• Sicherheit: Das Speichern von Anmeldeinformationen in Maximo kann ein Sicherheitsrisiko darstellen, insbesondere bei groß angelegten Bereitstellungen, bei denen die Unterstützung von Single Sign-On (SSO) und Multifaktor-Authentifizierung bevorzugt wird.

Admin-Tipps:

• Konfigurieren Sie sichere Passwortrichtlinien in Maximo, um Sicherheitsrisiken zu minimieren.
• Überprüfen Sie regelmäßig die Benutzer, um sicherzustellen, dass der Zugriff auf diejenigen beschränkt ist, die ihn benötigen.
• Demo-, Test- und QA-Benutzer können einfach für einmalige Anwendungsfälle eingerichtet werden.

LDAP-Authentifizierung

LDAP (Lightweight Directory Access Protocol) ist eine weit verbreitete Authentifizierungsmethode, die Maximo in externe Verzeichnisdienste wie Microsoft Active Directory oder Open LDAP integriert. Mit LDAP delegiert Maximo die Benutzerauthentifizierung an einen externen Dienst, anstatt die Benutzer lokal zu verwalten. Bei der Anmeldung geben Benutzer ihren Benutzernamen und ihr Passwort direkt an Maximo weiter, und das System validiert anhand des externen Verzeichnisdienstes.

Vorteile:

• Zentralisierte Benutzerverwaltung: Benutzer werden in einem zentralen Verzeichnisdienst (wie Active Directory) gespeichert und verwaltet, was die Wartung und Skalierung erleichtert.
• Einmaliges Anmelden (SSO): Unterstützt SSO und reduziert so die Anzahl der Anmeldeinformationen, die sich Benutzer merken müssen.
• Verbesserte Sicherheit: Reduziert das Risiko, Anmeldeinformationen in Maximo zu speichern, da die Authentifizierung außerhalb der Anwendung erfolgt.

Nachteile:

• Komplexität: Die Konfiguration der LDAP-Integration mit Maximo kann komplexer sein und erfordert möglicherweise Fachwissen mit Verzeichnisdiensten.
• Zuverlässigkeit: Wenn der LDAP-Server ausfällt, können sich Benutzer möglicherweise nicht authentifizieren, weshalb Redundanz im LDAP-Setup von entscheidender Bedeutung ist.
• Zugriff auf das Netzwerk: Maximo muss Zugriff auf den LDAP-Server haben. Wenn Maximo in der Cloud ist, müssen Sie den LDAP-Server mit dem Internet verbinden oder die Konnektivität über ein VPN aktivieren.
• Steuerung: Der Maximo-Administrator hat normalerweise keinen Zugriff darauf, neue Benutzer im externen Verzeichnis zu erstellen, wodurch eine Abhängigkeit von einem anderen Team entsteht.
• Multifaktor: LDAP unterstützt keine Multifaktor-Authentifizierung.

Admin-Tipps:

• Stellen Sie sicher, dass Ihr LDAP-Verzeichnis hochverfügbar ist, um Authentifizierungsprobleme zu vermeiden.
• Verwenden Sie LDAP-Filter, um den Zugriff auf Gruppen- oder Rollenbasis einzuschränken, um die Sicherheit zu erhöhen.
• Die LDAP-Konnektivität ermöglicht die Verwendung der sofort einsatzbereiten LDAP-Synchronisierungsprozesse.
• Link zum IBM Configuration Guide: https://www.ibm.com/docs/en/masv-and-l/continuous-delivery?topic=methods-configuring-ldap-authentication

SAML-Authentifizierung

SAML (Security Assertion Markup Language) ist ein XML-basierter offener Standard für die Übertragung von Identitätsdaten. SAML ermöglicht eine Verbundauthentifizierung, was bedeutet, dass Maximo die Authentifizierung an einen externen Identitätsanbieter (IdP) wie Okta oder Azure Active Directory delegieren kann. Nach der Authentifizierung sendet der IdP eine signierte SAML-Assertion an Maximo, die dem Benutzer Zugriff gewährt. Bei der Anmeldung werden Benutzer zur Authentifizierung an den IdP weitergeleitet. Sobald sie authentifiziert sind, werden sie als authentifizierter Benutzer zu Maximo zurückgeleitet.

Vorteile:

• Einmaliges Anmelden (SSO): SAML ermöglicht SSO, sodass Benutzer zusammen mit anderen Unternehmensanwendungen mit einem einzigen Satz von Anmeldeinformationen auf Maximo zugreifen können.
• Föderierte Authentifizierung: Ermöglicht Maximo die Integration mit Identitätsanbietern auf Unternehmensebene, um eine nahtlose Authentifizierung über mehrere Systeme hinweg zu gewährleisten.
• Verbesserte Sicherheit: Die Authentifizierung wird an einen IdP delegiert, der stärkere, zentralisierte Sicherheitsmaßnahmen wie die Multifaktor-Authentifizierung (MFA) implementieren kann.
• Zugriff auf das Netzwerk: Maximo benötigt keinen direkten Zugriff auf den IdP, wie es LDAP erfordert.

Nachteile:

• Komplexe Konfiguration: Für die SAML-Setup müssen sowohl Maximo als auch der IdP konfiguriert werden, was für Administratoren, die mit SSO-Protokollen nicht vertraut sind, eine Herausforderung sein kann.
• Abhängigkeit von IdP: Wenn der IdP nicht verfügbar ist, können sich Benutzer möglicherweise nicht bei Maximo anmelden.
• Unterstützung durch Dritte: Die Unterstützung für SAML nimmt zu, aber nicht alle Drittanbieteranwendungen unterstützen SAML.
• Steuerung: Der Maximo-Administrator hat normalerweise keinen Zugriff darauf, neue Benutzer im IdP zu erstellen, wodurch eine Abhängigkeit von einem anderen Team entsteht.

Admin-Tipps:

• Automatische Weiterleitungen können für eine reibungslose Benutzererfahrung sorgen, aber es kann auch schwierig sein, Fehler zu beheben. Eine Browsererweiterung wie SAML-Tracer kann für Klarheit sorgen.
• Richten Sie eine Fallback-Authentifizierungsmethode ein, falls der IdP ausgefallen ist. Dies kann bedeuten, dass Sie einigen ausgewählten Administratoren Zugriff auf die Authentifizierung mit Local und SAML in MAS gewähren.
• Link zum IBM Configuration Guide: https://www.ibm.com/docs/en/masv-and-l/continuous-delivery?topic=methods-configuring-saml-authentication

Welche Authentifizierung soll ich wählen?

Die Auswahl der richtigen Authentifizierungsmethode hängt von den Anforderungen und der Infrastruktur Ihres Unternehmens ab. Hier sind ein paar Richtlinien, die Ihnen bei der Auswahl helfen sollen:

• Native/Local Authentication ist die Standardauthentifizierung und sorgt dafür, dass Sie am schnellsten davon profitieren. Dies funktioniert besonders gut für kleine Teams und Demo-Umgebungen.
• LDAP ist ein allgemein anerkannter Standard und wird von den meisten IT-Teams und Produkten von Drittanbietern unterstützt. In lokalen Umgebungen ist wahrscheinlich ein Netzwerkzugriff erforderlich, Cloud-Implementierungen erfordern jedoch in der Regel ein VPN, was Risiken, zusätzliche Abhängigkeiten und möglicherweise Kosten mit sich bringt.
• SAML ist die einzige Authentifizierung, die die Multifaktor-Authentifizierung unterstützt. Es ist auch ein weit verbreiteter Standard und wird von den meisten IT-Teams als die sicherste Authentifizierungsmethode akzeptiert.

Maximo-Administratoren sollten immer sichere und effiziente Benutzerverwaltungspraktiken priorisieren. Achten Sie bei der Auswahl der Authentifizierungsmethode auf Skalierbarkeit, Sicherheit und Wartungsfreundlichkeit. Indem Sie die geeignete Authentifizierungsmethode sorgfältig auswählen und richtig konfigurieren, können Sie eine sichere und reibungslose Benutzererfahrung für alle Maximo-Benutzer gewährleisten.

Technische Tipps für Maximo Application Suite

Mehrere Authentifizierungsquellen

MAS ermöglicht es Administratoren, Authentifizierungsquellen auf Benutzerebene zu kombinieren und abzugleichen. Zuerst müssen Sie die Authentifizierungsquellen konfigurieren, und dann können Sie aktivieren oder deaktivieren, welche Authentifizierungsmethode jeder Benutzer beim Erstellen oder Bearbeiten des Benutzerdatensatzes verwenden kann.

‍

Standardverhalten bei der Anmeldung

MAS ermöglicht die Auswahl eines Standard-Anmeldeverhaltens. Auf diese Konfiguration wird in der Benutzeranwendung in MAS auf der Registerkarte Authentifizierung zugegriffen. Von hier aus können Sie die Authentifizierungsmethode steuern, die oben auf dem Anmeldebildschirm verfügbar ist. Wenn Sie SAML verwenden, können Sie die Benutzer auch zur Authentifizierung an den Standard-Identitätsanbieter und nicht an die Suite-Anmeldeseite weiterleiten lassen. Wenn Sie die Seamless-Anmeldung konfigurieren, achten Sie darauf, die dedizierten Routen für alle anderen Authentifizierungsmethoden zu notieren, die Sie möglicherweise verwenden möchten. Dies ist wichtig, falls Sie jemals eine Authentifizierungsmethode verwenden müssen, die nicht SAML ist.

Beispiel für eine lokale dedizierte Route: https://auth.demo.maximo.app/idplogin/loginpage?idp=local
Link zur IBM-Dokumentation: https://www.ibm.com/docs/en/masv-and-l/continuous-delivery?topic=authentication-streamlined-login

‍

SAML-Timeouts verlängern

Wenn Sie SAML in MAS verwenden, möchten Sie möglicherweise das Zeitlimit für die HTTP-Sitzung und den Ablauf von ltpa verlängern. Die Zusammenstellung von zwei IBM-Artikeln hat sich als Erfolgsrezept erwiesen.

Fügen Sie diese zusätzlichen Eigenschaften zu Ihrem Benutzeroberflächen-Serverpaket hinzu:
‍<httpSession cookieName="jsessionIDUI“ cookieSecure="TRUE“
invalidateOnUnauthorizedSessionRequestException="true“ invalidationTimeout="12h“
Cookiesamesite="LAX“ />
<ltpa expiration="480" />

Link zur IBM-Dokumentation:

https://www.ibm.com/support/pages/node/7116228
https://www.ibm.com/support/pages/updating-ltpa-timeout-manage‍