Directorios

SINGLE SIGN ON EN EL GOVERN BALEAR

Se ha diseñado, desarrollado e implantado un sistema de gestión de identidades y single sign on, especialmente diseñados para los requisitos de la Administración Pública Española. Como características diferenciadores están la integración con el Sistema de Verficación de Datos de Identidad (SVDI) proporcionado por la red Sara y soporte completo para la firma y autenticación con DNIe u otras autoridades de certificación.

Fecha

2012-04-26

Autor

Gabriel Buades

Tipo de alta

Caso de exito

Administración / Proveedor que lo propone

Comunidad Autónoma de las Islas Baleares

Administración objetivo

Otros

Área responsable del proyecto

Otras

En caso de haber elegido Otras en el apartado anterior, especifíquelas

Dirección General de Innovación y Desarrollo Tecnológicos

Estado del Proyecto / Caso en la fecha del alta

Totalmente desplegado en producción

Carácter innovador

Su carácter innovador viene por dos características fundamentales. En primer lugar, desde el punto de vista funcional, su diseño se ajusta perfectamente a los requerimientos de la Administración Pública Española y el uso del DNI electrónico. En segundo lugar, su liberación como Software Libre lo hace especialmente interesante por la reducción de costes y facilidad de mantenimiento asociada.

Problemática

Existen diversas herramientas comerciales de gestión de identidades. Sin embargo, su diseño está realizado partiendo de los requisitos de una empresa, por lo general, norteamericana.

Se requería una herramienta de gestión de identidades que cumpliera entre otros, los siguientes requisitos no presentes en una solución de gestión de identidades y single sign on tradcional:
1. Debe permitir delegación de funciones dentro del ámbito de gestión de las unidades
2. Para garantizar la validez de los actos de identificación y autorización, debe permitir el uso de la firma electrónica reconocida por parte de usuarios y administradores delegados.
3. Los usuarios deben poder utilizar tarjetas de funcionario o DNI electrónico para iniciar sesión en sus equipos. Es especialmente importante no requerir ningún tipo de preregistro de los certificados, dado que el ciclo de vida de los certificados no puede ser controlado por el sistema de gestión de identidades.
4. Debe hacer uso de los servicios SVDI para verificar los datos introducidos de las personas.
5. Debe integrarse con un inventario de sistemas de información alineado con la LOPD y el esquema nacional de seguridad, facilitando las labores de cumplimiento y auditoría.
6. Debe simplificar y facilitar el acceso a las aplicaciones, así como recuperar y almacenar los registros de acceso a las mismas.
7. Debe facilitar la gestión de los sistemas de información críticos y minimizar los errores de configuración de la red.

Solución planteada

Se ha desarrollado una solución modular capaz de gestionar recursos humanos, tecnológicos y sistemas de información denominada SEU (Seguretat Electrònica Unificada).

Dicha solución se basa en la creación de un modelo de datos centralizado, el cual es replicado a los distintos sistemas de información gestionados. El proceso de replicación permitirá la introducción de cierta lógica asociada a cada sistema de información particular.

Por otra parte se ha desarrollado una herramienta de single sign on para las estaciones de trabajo, la cual actúa coordinada en harmonía con el modelo de datos centralizado, configurando el entorno de trabajo siempre de acuerdo a la información presente en el mismo. Esta herramienta utiliza un mecanismo de reconocimiento de patrones para detectar cuándo es requerida la introducción de una contraseña. Una vez detectado, el sistema ejecuta un pequeño guión capaz de inyectar las credenciales a utilizar.

La solución se encuentra disponible para las Administraciones Públicas bajo licencia de software libre.

Detalles de la solución

La solución consta de cuatro grandes módulos:
• Base de datos relacional.
• Consola de administración, basada en la delegación de funciones y la gestión de flujos de trabajo.
• Servidores y agentes encargados de la gestión de los sistemas de información.
• Herramienta de single sign-on para los puestos de trabajo.
• Herramienta de federación de identidades.

Actualmente el sistema gestiona más de 55.000

identidades, incluyendo funcionarios, personal sanitario, personal docente, y personal externo tales padres y alumnos del sistema educativo, proveedores y ciudadanos en general.

En el backend se están gestionando 850 sistemas de información en 80 plataformas distintas. Además de sistemas de gestión particulares, el sistema SEU gestiona sistemas de información basados en Oracle, Informix, Lotus Domino, OpenLDAP, Active Directory, SAP R/3, Business Objects, Oracle IAS, Weblogic, Alfresco, Jboss y Tomcat; servicios externos (cloud) de Google e IBM, e infraestructura básica tales como DNS, DHCP y enrutado de correo. Todo ello sobre plataformas Windows, Linux, AS/400 y Unix.

En el frontend se está dando servicio a más de 15.000 estaciones de trabajo con Single Sign On, incluyendo sistemas operativos Windows XP, Windows 7 (32 y 64 bits) y Ubuntu.

El software instalada en ella permite :
• Realizar un único inicio de sesión, ya sea con usuario y contraseña, DNIe o tarjeta criptográfica.
• Se elimina el uso de las cuentas de administrador local, sustituyéndolas por un mecanismo centralizado de autorizaciones.

La herramienta de federación de identidades permite delegar servicios a proveedores externos, sin perder el control necesario sobre las identidades ni la necesaria confidencialidad de las contraseñas.

Desde el punto de vista tecnológico, la consola de gestión se ha realizado utilizando tecnología J2EE, utilizando los frameworks de EJBs, Spring y Hibernate para garantizar un fácil mantenimiento y adaptabilidad del sistema.

Los servidores y agentes están desarrollados en Java garantizando un máximo rendimiento y una mínima huella de consumo de recursos en los sistemas gestionados. Así, se permite que la gestión de los sistemas de información se pueda realizar en remoto, cuando la tecnología del sistema lo permite, o mediante la instalación de un agente local. Para garantizar la seguridad, el sistema implementa una autoridad de certificación propia que permite autenticar y cifrar todas las comunicaciones entre los componentes del sistema.

Finalmente, el componente de Single Sign On se ha realizado en C++, garantizando un óptimo rendimiento sin apenas consumo de recursos. Como elemento característico, la herramienta de single sign on implementa su propio motor Javascript especialmente adaptado a sus requisitos.

Ventajas

El uso de la herramienta ha reportado numerosos beneficios:
• Reducción significativa de los costes de soporte, tanto directos (personal del helpdesk) como indirectos (falta de productividad).
• Delegación segura y fiable de funciones que típicamente realiza en departamento de TI hacia los hasta ahora usuarios. Incluso tareas que debiera realizar personal muy especializado del departamento de TI pueden ser delegadas a personal con un nivel de formación mucho menor.
• Se garantiza el cumplimiento de la LOPD y se facilita sobremanera la auditoría de su cumplimiento.
• Reduce los costes asociados al despliegue de nuevas aplicaciones.
• Facilita la externalización de servicios sin pérdida de confidencialidad o riesgos de seguridad.

Financiación

El proyecto ha sido cofinanciado por el Govern de les Illes Balears y los fondos FEDER de la Unión Europea

Dificultades y costes

El desarrollo de un proyecto tan amplio y complejo no está exento de grandes dificultades. Precisamente la gran diversidad de tecnologías implicadas es una de las mayores dificultades encontradas durante el desarrollo del proyecto.

Al margen de los problemas tecnológicos, el retorno de la inversión es muy rápido. Tanto usuarios como personal de TI notan una mejora notable en su productividad. No obstante, los cambios que necesariamente se aplicarán en sus procedimientos requerirá de un especial cuidado y atención al diseño de estos nuevos procedimientos y a la formación de todo el personal implicado.

Requerimientos técnicos / tecnológicos, personales, inversión...

Desde el punto de vista de requerimientos, el aspecto más importante en la implantación es la implicación de los departamentos de TI y Recursos Humanos al objeto de definir los sistemas de información a gestionar y los organización y usuarios implicados en un primer piloto.

Desde el punto de vista de inversión, esta se encuentra muy acotada por la no necesidad de adquirir licencias de software al ser software libre.

Persona de contacto en el proyecto (1)

Gabriel Buades

Teléfono

971 177 810

Correo electrónico

Dirección

Sant Pere, 7

C.P

07011

Ciudad

Palma