IBM Maximo Application Suite is een krachtig platform voor vermogensbeheer, en wanneer u Maximo in uw organisatie implementeert, moet beveiliging altijd een topprioriteit zijn. Een belangrijk element van beveiliging is het kiezen van het juiste authenticatiemechanisme voor uw Maximo-instance. Maximo ondersteunt verschillende soorten authenticatie en de beste keuze hangt af van de behoeften, de infrastructuur en het beveiligingsbeleid van uw organisatie. In deze blog onderzoeken we de soorten authenticatie die beschikbaar zijn in Maximo, hun voor- en nadelen, en handige tips voor beheerders.

Soorten authenticatie in Maximo

Maximo biedt meerdere authenticatiemethoden die kunnen worden geconfigureerd volgens het beveiligingsmodel van uw onderneming. De drie ondersteunde authenticatietypen in Maximo zijn:

1. Native of lokale authenticatie van Maximo
2. LDAP-verificatie (Lightweight Directory Access Protocol)
3. SAML-verificatie (Security Assertion Markup Language)

Laten we ze allemaal eens grondig bekijken.

Native of lokale authenticatie van Maximo

Maximo Native Authentication is de standaard authenticatiemethode waarbij gebruikersgegevens rechtstreeks in de database van Maximo worden opgeslagen. Bij het inloggen geven gebruikers hun gebruikersnaam en wachtwoord rechtstreeks aan Maximo en het systeem valideert ze aan de hand van de versleutelde waarde in de Maximo-database.

Voordelen:

• Eenvoud: Het is eenvoudig te configureren en vereist geen integratie met externe systemen.
• Controle: Beheerders hebben volledige controle over gebruikersgegevens en wachtwoordbeleid op systeemniveau.
• Minimale installatie: Ideaal voor kleine omgevingen waar het gebruikersbestand beperkt is.

Nadelen:

• Beperkte schaalbaarheid: Naarmate het aantal gebruikers toeneemt, wordt het beheren van inloggegevens binnen elke Maximo omslachtig.
• Redundantie: Het introduceert redundantie als andere systemen in de organisatie LDAP of andere authenticatiediensten gebruiken.
• Beveiliging: Het opslaan van inloggegevens in Maximo kan een beveiligingsrisico vormen, vooral voor grootschalige implementaties waarbij ondersteuning voor eenmalige aanmelding (SSO) en meervoudige authenticatie de voorkeur verdient.

Tips voor beheerders:

• Configureer een sterk wachtwoordbeleid in Maximo om beveiligingsrisico's te beperken.
• Controleer gebruikers regelmatig om ervoor te zorgen dat de toegang beperkt is tot degenen die deze nodig hebben.
• Demo-, test- en QA-gebruikers kunnen eenvoudig worden ingesteld voor eenmalige gebruikssituaties.

LDAP-authenticatie

LDAP (Lightweight Directory Access Protocol) is een veelgebruikte authenticatiemethode die Maximo integreert met externe adreslijstdiensten zoals Microsoft Active Directory of Open LDAP. Met LDAP delegeert Maximo gebruikersauthenticatie naar een externe service in plaats van gebruikers lokaal te beheren. Bij het inloggen geven gebruikers hun gebruikersnaam en wachtwoord rechtstreeks aan Maximo, en het systeem valideert aan de hand van de externe adreslijstservice.

Voordelen:

• Gecentraliseerd gebruikersbeheer: Gebruikers worden opgeslagen en beheerd in een centrale adreslijstservice (zoals Active Directory), waardoor deze eenvoudiger te onderhouden en op te schalen is.
• Eenmalige aanmelding (SSO): Ondersteunt SSO, waardoor gebruikers minder inloggegevens hoeven te onthouden.
• Verbeterde beveiliging: Vermindert het risico dat inloggegevens binnen Maximo worden opgeslagen, aangezien authenticatie buiten de applicatie plaatsvindt.

Nadelen:

• Complexiteit: Het configureren van de LDAP-integratie met Maximo kan complexer zijn en vereist mogelijk expertise op het gebied van adreslijstdiensten.
• Betrouwbaarheid: Als de LDAP-server uitvalt, kunnen gebruikers zich mogelijk niet authenticeren, waardoor redundantie bij de LDAP-installatie van cruciaal belang is.
• Toegang tot het netwerk: Maximo moet toegang hebben tot de LDAP-server. Als Maximo zich in de cloud bevindt, moet u de LDAP-server blootstellen aan het internet of connectiviteit via een VPN inschakelen.
• Controle: De Maximo-beheerder heeft doorgaans geen toegang om nieuwe gebruikers aan te maken in de externe directory, waardoor een afhankelijkheid van een ander team ontstaat.
• Meerdere factoren: LDAP biedt geen ondersteuning voor meervoudige authenticatie.

Tips voor beheerders:

• Zorg ervoor dat uw LDAP-directory in hoge mate beschikbaar is om authenticatieproblemen te voorkomen.
• Gebruik LDAP-filters om de toegang te beperken op basis van groepen of rollen voor een betere beveiliging.
• LDAP-connectiviteit maakt het mogelijk om de kant-en-klare LDAP-synchronisatieprocessen te gebruiken.
• Link naar de IBM-configuratiehandleiding: https://www.ibm.com/docs/en/masv-and-l/continuous-delivery?topic=methods-configuring-ldap-authentication

SAML-authenticatie

SAML (Security Assertion Markup Language) is een op XML gebaseerde open standaard voor de overdracht van identiteitsgegevens. SAML maakt federatieve authenticatie mogelijk, wat betekent dat Maximo authenticatie kan delegeren aan een externe identiteitsprovider (IdP), zoals Okta of Azure Active Directory. Na authenticatie stuurt de IdP een ondertekende SAML-bevestiging naar Maximo, die de gebruiker toegang verleent. Bij het inloggen worden gebruikers omgeleid naar de IdP om zich te authenticeren, en eenmaal geverifieerd, worden ze teruggestuurd naar Maximo als geverifieerde gebruiker.

Voordelen:

• Eenmalige aanmelding (SSO): SAML maakt SSO mogelijk, waardoor gebruikers toegang hebben tot Maximo en andere bedrijfstoepassingen met één enkele set inloggegevens.
• Federatieve authenticatie: Maakt het mogelijk Maximo te integreren met identiteitsproviders op bedrijfsniveau voor een naadloze authenticatie-ervaring op meerdere systemen.
• Verbeterde beveiliging: Authenticatie wordt gedelegeerd aan een IdP, die sterkere, gecentraliseerde beveiligingsmaatregelen kan implementeren, zoals meervoudige authenticatie (MFA).
• Toegang tot het netwerk: Maximo heeft geen directe toegang tot de IdP nodig zoals LDAP vereist.

Nadelen:

• Complexe configuratie: Voor de SAML-installatie moeten zowel Maximo als de IdP worden geconfigureerd, wat een uitdaging kan zijn voor beheerders die niet bekend zijn met SSO-protocollen.
• Afhankelijkheid van IdP: Als de IdP niet beschikbaar is, kunnen gebruikers zich mogelijk niet aanmelden bij Maximo.
• Ondersteuning van derden: De ondersteuning voor SAML groeit, maar niet alle toepassingen van partijen ondersteunen SAML.
• Controle: De Maximo-beheerder heeft doorgaans geen toegang tot het aanmaken van nieuwe gebruikers in de IdP, waardoor hij afhankelijk wordt van een ander team.

Tips voor beheerders:

• Automatische omleidingen kunnen zorgen voor een naadloze gebruikerservaring, maar het kan ook moeilijk zijn om problemen op te lossen. Een browserextensie zoals SAML-Tracer kan helpen om duidelijkheid te scheppen.
• Stel een alternatieve authenticatiemethode in voor het geval de IdP niet werkt. Dit kan betekenen dat een select aantal beheerders toegang moet krijgen tot authenticatie met Local en SAML in MAS.
• Link naar de IBM-configuratiehandleiding: https://www.ibm.com/docs/en/masv-and-l/continuous-delivery?topic=methods-configuring-saml-authentication

Welke authenticatie moet ik kiezen?

De keuze van de juiste authenticatiemethode hangt af van de behoeften en infrastructuur van uw organisatie. Hier zijn een paar richtlijnen om je te helpen kiezen:

• Native/Local authenticatie is de standaardauthenticatie en zorgt ervoor dat u de snelste tijd hebt om te waarderen. Dit werkt vooral goed voor kleine teams en demo-omgevingen.
• LDAP is een algemeen aanvaarde standaard en wordt ondersteund door de meeste IT-teams en partijproducten. Voor omgevingen op locatie is waarschijnlijk netwerktoegang vereist, maar voor cloudimplementaties is doorgaans een VPN vereist, wat risico's, extra afhankelijkheid en mogelijk kosten met zich meebrengt.
• SAML is de enige authenticatie die meervoudige authenticatie ondersteunt. Het is ook een veelgebruikte standaard en wordt door de meeste IT-teams geaccepteerd als de veiligste authenticatiemethode.

Maximo-beheerders moeten altijd prioriteit geven aan veilige en efficiënte praktijken voor gebruikersbeheer. Zorg er bij het kiezen van de authenticatiemethode voor dat u rekening houdt met schaalbaarheid, beveiliging en onderhoudsgemak. Door zorgvuldig de juiste authenticatiemethode te selecteren en deze correct te configureren, kunt u zorgen voor een veilige en naadloze gebruikerservaring voor alle Maximo-gebruikers.

Technische tips voor Maximo Application Suite

Meerdere authenticatiebronnen

MAS biedt beheerders de mogelijkheid om authenticatiebronnen te combineren op het niveau van gebruiker tot gebruiker. Eerst moet u de verificatiebronnen configureren en vervolgens kunt u in- of uitschakelen welke verificatiemethode elke gebruiker kan gebruiken bij het aanmaken of bewerken van het gebruikersrecord.

‍

Standaard aanmeldingsgedrag

MAS maakt het mogelijk om een standaard inloggedrag te selecteren. Deze configuratie is toegankelijk in de gebruikerstoepassing in MAS op het tabblad Authenticatie. Vanaf hier kunt u de authenticatiemethode beheren die beschikbaar is aan de bovenkant van het inlogscherm. Als u SAML gebruikt, kunt u de gebruikers ook naar de standaardidentiteitsprovider laten leiden voor authenticatie in plaats van naar de aanmeldingspagina van de suite. Als u de naadloze aanmelding wel configureert, zorg er dan voor dat u de speciale routes noteert voor alle andere authenticatiemethoden die u mogelijk wilt gebruiken. Dit is essentieel als u ooit een niet-SAML-authenticatiemethode moet gebruiken.

Voorbeeld van een lokale speciale route: https://auth.demo.maximo.app/idplogin/loginpage?idp=local
Link naar IBM-documentatie: https://www.ibm.com/docs/en/masv-and-l/continuous-delivery?topic=authentication-streamlined-login

‍

SAML-time-outs worden verlengd

Als u SAML in MAS gebruikt, kunt u mogelijk de time-out van uw HTTP-sessie en de LTPA-vervaldatum verlengen. Het samenstellen van twee IBM-artikelen is een recept voor succes gebleken.

Voeg deze aanvullende eigenschappen toe aan uw serverbundel met de gebruikersinterface:
‍< https://sessiecookiename="JSessionIDUI” cookiesecure="True”
InvalidateOnUnauthorizedSessionRequestException="True” InvalidationTimeout="12h”
CookieSameSite = „LAX” />
<ltpa expiration="480" />

Link naar IBM-documentatie:

https://www.ibm.com/support/pages/node/7116228
https://www.ibm.com/support/pages/updating-ltpa-timeout-manage‍