RESUMEN SOBRE LA SOLUCIÓN Utilidades Connector Xpress y Policy Xpress de CA IdentityMinder Puedo personalizar la implementación de la administración de identidades sin demasiados servicios y códigos? agility made possible
Sí puede. Con las herramientas Policy Xpress y Connector Xpress de CA IdentityMinder, puede acelerar el tiempo de valorización de un proyecto de administración de identidades, tanto en la primera etapa de la implementación como en el largo plazo, para lograr un TCO (costo total de propiedad) reducido. Estas herramientas facilitan la creación de conectividad y la integración de la lógica de negocio sin necesidad de codificación, por lo que entregan, en esencia, una personalización sin codificación. 2
resumen Desafío Una solución eficaz de administración de identidades debe adaptarse a las necesidades del negocio, y no obligar al negocio a ser compatible con la solución. Cuando están bien integradas con el negocio, estas soluciones generalmente son complejas, debido a las políticas y los procesos de negocio que deben admitir. Cada organización tiene sus propios requisitos exclusivos. Para implementar la administración de identidades, se requieren métodos ágiles y flexibles que funcionen coordinadamente entre los diversos sistemas y cooperen dentro de los procesos de negocio actuales. Tradicionalmente, por flexibilidad se entiende que los desarrolladores codifican las soluciones o extensiones personalizadas en un paquete comercial, lo cual aumenta la longitud y complejidad de las implementaciones iniciales y en curso, además de los costos. Solución Además de las características habituales que se esperan de una solución de aprovisionamiento de nivel empresarial, CA IdentityMinder ofrece dos herramientas exclusivas, Policy Xpress y Connector Xpress, que reducen considerablemente el tiempo necesario para obtener valor de un proyecto de administración de identidades, tanto en la primera etapa de la implementación como en el largo plazo, para lograr un TCO reducido. Estas herramientas facilitan la creación de conectividad y la integración de la lógica de negocio sin necesidad de codificación, por lo que entregan, en esencia, una personalización sin codificación. Beneficios La personalización sin codificación, entregada a través de Policy Xpress y Connector Xpress, puede permitir que los clientes obtengan ahorros considerables y cuantificables. Los ahorros son mayores a medida que aumenta la cantidad de aplicaciones o políticas de negocio que se integran. En un caso, un cliente calculó que, al utilizar esta funcionalidad, la organización podría ahorrar 6.300 horas de tiempo de desarrollo para integrar la solución, en comparación con lo que se hubiera necesitado al utilizar el desarrollo de códigos tradicional. Los ahorros previstos ascendieron a más de un millón de dólares y aceleraron considerablemente la implementación del proyecto. 3
Sección 1: Desafío El requisito de flexibilidad Los procesos de negocio son complejos y generalmente requieren de comunicación entre los diversos sistemas y entornos. Como las organizaciones cambian constantemente, necesitan ser adaptables y ágiles. Para satisfacer estas necesidades, se necesita flexibilidad organizativa y, con respecto a los sistemas informáticos, esto significa que el desarrollo de códigos personalizados habitualmente forma parte de la solución. Existen dos categorías generales que motivan la necesidad de que la personalización forme parte de los sistemas de administración de identidades: Comunicación con sistemas administrados Implementación de la lógica de negocio o las políticas exclusivas de la organización Conexiones con los sistemas administrados Para el aprovisionamiento y la cancelación del aprovisionamiento de cuentas dentro de una organización, senecesitan conexiones para comunicarse con cada terminal, sistema administrado o aplicación. CA IdentityMinder ofrece una serie de conectores OOTB (listos para usar) para administrar sistemas terminales como RACF, SAP, Salesforce.com, UNIX/LINUX y bases de datos SQL, entre otros. Estos conectores proporcionan comunicación bidireccional entre CA IdentityMinder y diversos sistemas externos. Sin embargo, estos conectores manejan un conjunto limitado de terminales, y la mayoría de las organizaciones no sólo tienen estas soluciones comerciales, sino también numerosas soluciones desarrolladas internamente. La conexión con sistemas desarrollados internamente casi siempre forma parte de un proyecto de administración de identidades. Por ende, deben existir opciones de conexión para estas aplicaciones internas. De hecho, las organizaciones generalmente tienen muchas más aplicaciones personalizadas que aplicaciones comerciales que utilizan conectores OOTB. La creación de conectores personalizados es la primera área en la que las organizaciones descubren que necesitan mayor flexibilidad para implementar una solución de administración de identidades manejable y eficaz. Implementación de la lógica de negocio La segunda área en la que se necesita flexibilidad se presenta cuando una organización intenta implementar los requisitos de negocio en una lógica que un sistema informático pueda utilizar. Por ejemplo, cuando en un manual operativo se establece que un administrador debe aprobar primero la solicitud de acceso de un empleado, y se debe registrar el cambio para la auditoría, esto también debe suceder dentro del sistema de aprovisionamiento. Para dirigir dinámica y adecuadamente ese proceso de negocios, se debe implementar una lógica informática u operativa en algún lugar. Esto requiere más que simplemente definir un componente de flujo de trabajo dentro de una solución de administración de identidades. Requiere la capacidad de definir una lógica de negocio que se extienda más allá de un simple proceso de aprobación. Los requisitos de negocio vienen en todos los tamaños y formas, y para implementar con éxito esa lógica, una solución de administración de identidades debe tener mucha flexibilidad y adaptabilidad. Alto precio de la personalización Esta clase de flexibilidad generalmente impulsa la necesidad de contar con desarrolladores altamente calificados que puedan codificar en JavaScript y Java para aprovechar las API de una solución de administración de identidades. Sin dudas, dicha codificación manual ofrece flexibilidad total; sin embargo, también conlleva un TCO alto y una implementación o un tiempo de valorización lentos. La opción de codificación no sólo es costosa durante la implementación de la solución, sino que también seguirá teniendo un impacto negativo en el costo de la solución durante los años siguientes, a medida que las necesidades del negocio y las actualizaciones del producto generen cambios en el código. 4
Cada vez que se necesite un cambio, un desarrollador deberá buscar el código fuente, identificar los cambios que se deben hacer al código e implementar tales cambios. Por lo general, para implementar este cambio en la codificación, se debe detener por completo el sistema. Luego, los usuarios del sistema deben esperar a que se reinicie el sistema de administración de identidades. Por ende, la planificación de un cambio se convierte en una consideración adicional. Con suerte, el desarrollador recordará actualizar el repositorio de control de código fuente con los cambios realizados al código para el uso en el futuro. Muchas organizaciones tienen al menos una aplicación especial que proporciona una función de negocio importante, en la cual en algún momento se perdió el código fuente. El sistema sigue funcionando, pero nadie puede cambiarlo, y se pierde toda esperanza de que continúe funcionando ya que no existe un método aceptable para corregirlo, excepto la reconstrucción de la aplicación. Es una situación muy costosa y riesgosa, y sucede más a menudo de lo que muchas organizaciones estás dispuestas a admitir. Sección 2: Solución Personalización sin codificación Los requisitos de negocios seguirán evolucionando, impulsados por fusiones, subcontrataciones, reestructuraciones de la organización, mandatos gubernamentales, etc. Una solución de administración de identidades debe ofrecer suficiente flexibilidad para cumplir con estos requisitos en constante evolución y, a la vez, hacerlo de manera eficaz en términos de costos. Y si fuera posible tener ambas cosas, es decir, flexibilidad con un TCO reducido (comparado con costo agregado del desarrollo manual de integración de conectores y políticas) y una solución que ofreciera un tiempo de valorización acelerado? CA IdentityMinder ofrece flexibilidad y funcionalidad únicas con un TCO reducido, en comparación con el desarrollo manual, mediante la inclusión de dos utilidades: Connector Xpress. Crea conexiones para administrar los sistemas terminales de destino a través de bases de datos SQL y directorios LDAP. Policy Xpress. Crea lógica o políticas de negocio complejas sin necesidad de desarrollar código personalizado. Connector Xpress Con Connector Xpress, una organización puede generar un conector completamente funcional para aplicaciones personalizadas mediante una serie de pantallas simples basadas en asistentes, en lugar de la escritura de códigos. Esta herramienta permite establecer conexiones entre CA IdentityMinder y bases de datos SQL, y directorios LDAP. Las aplicaciones internas, al igual que los paquetes comerciales, almacenan las credenciales de cuentas de usuario en diversos repositorios, de los cuales los tipos más comunes son las bases de datos SQL y los directorios LDAP. Con el crecimiento de la computación en la nube, las credenciales de usuario pueden almacenarse en cualquier lugar de Internet; por ende, los servicios web son otro método importante para comunicarse con las aplicaciones personalizadas y acceder al repositorio de cuentas de usuario correspondiente. Connector Xpress admite los siguientes directorios: CA Directory Sun One Directory Novell Directory 5
Connector Xpress admite las siguientes bases de datos: Oracle Microsoft SQL Server Ingres DB2 DB2 para z/os Sybase MySQL Informix Ilustración A. Connector Xpress: asignación de atributos Connector Xpress proporciona una serie de pantallas que un administrador utiliza para definir los atributos de perfil de las cuentas de usuario para el repositorio de usuarios de aplicaciones personalizadas (ver imágenes a continuación). Los atributos se asignan entre CA IdentityMinder y el sistema administrado. Una vez definido, el conector se agrega a los conectores disponibles de CA IdentityMinder. 6
Ilustración B. Connector Xpress: asignación de columnas de tabla Según nuestra experiencia con algunos clientes, el tiempo que se necesita habitualmente para desarrollar un conector personalizado tradicional (sin Connector Xpress) puede oscilar entre 4 y 6 semanas, o hasta 8 semanas, por cada aplicación o sistema terminal. Por otro lado, la experiencia con Connector Xpress demuestra que la configuración de un conector con esta herramienta basada en asistentes puede llevar de 1 a 2 semanas, con lo cual se ahorran entre 3 y 6 semanas por conector. Ya sea que las organizaciones deseen integrar sólo 2 o 3 aplicaciones internas, o entre 10 y 20, el ahorro es considerable, tanto en cuanto a los costos, ya que no se requieren procesos ni personal para el desarrollo, como en cuanto al tiempo necesario para activar la solución y obtener el valor del mayor alcance y automatización. Con Connector Xpress, no se necesita desarrollar código ni mantener el código fuente, y se pueden realizar modificaciones fácilmente en el futuro. Esta herramienta puede integrarse con estructuras de bases de datos de varias tablas y almacenar procedimientos para un conjunto de opciones más variado. Por su diseño, Connector Xpress puede conservar versiones de los conectores, y estas definiciones pueden almacenarse fácilmente para recuperarlas con rapidez si fuera necesario. Esto quizá no sustituya la necesidad de desarrollar ocasionalmente una conexión personalizada para algún sistema arcaico que utilice mecanismos de almacenamiento estándares del sector, pero la experiencia demuestra que Connector Xpress abordará la mayoría de las aplicaciones desarrolladas internamente. 7
Ahorro de más de un millón de dólares en costos de desarrollo En un ejemplo, un fabricante de copiadoras digitales utiliza CA IdentityMinder para su solución de aprovisionamiento, que incluye 17 sistemas terminales. De estos sistemas, 13 son aplicaciones personalizadas. El administrador de proyectos de administración de identidades determinó que al utilizar Connector Xpress ahorró 6.300 horas que hubieran sido necesarias para crear estos conectores personalizados mediante el desarrollo de códigos manual. Los posibles ahorros finales ascendieron a más de un millón de dólares y aceleraron considerablemente la implementación del proyecto. Los ahorros obviamente varían según la cantidad de aplicaciones objetivo; sin embargo, cuantas más aplicaciones se integran y se automatizan mediante CA IdentityMinder, mayor es el valor general que obtiene la organización. Ejemplo 1: Aprovisionamiento de un sistema interno Las organizaciones mantienen miles de sistemas personalizados o desarrollados internamente. Por lo general, estos sistemas respaldan procesos de negocio importantes y deben incorporarse en una solución de aprovisionamiento automatizada. Por ejemplo, Connector Xpress puede crear una conexión con un sistema de SRM (administración de recursos de almacenamiento) desarrollado internamente. El sistema de SRM podría tener varias tablas de usuarios, grupos y roles alojadas en una plataforma DBMS Oracle. Estas tablas contendrían las credenciales de las cuentas de usuario y los privilegios específicos relacionados de cada cuenta de usuario. Para que una solución de administración de identidades pueda administrar este sistema, debe tener, como mínimo, acceso de lectura/escritura a estas tablas. En este caso, Connector Xpress, a través de una serie de pantallas, puede proporcionar acceso directo mediante el protocolo JDBC a la estructura de tabla necesaria para este sistema de SRM. Connector Xpress luego mostraría, al administrador que define el conector, los atributos de columna de las tablas. Esto permitirá asignar fácilmente las columnas de las tablas a los atributos utilizados por CA IdentityMinder para el aprovisionamiento automatizado. El administrador también podría determinar un formato específico o la comprobación de errores de los datos. Luego, cuando ya se ha definido la conexión, el administrador lo agrega a la lista de conectores disponibles del entorno de CA IdentityMinder. Este conector completo puede utilizarse luego para automatizar el aprovisionamiento o la cancelación del aprovisionamiento de usuarios para este sistema de SRM. Todo esto puede lograrse sin escribir códigos ni llamar a un programador. Con Connector Xpress, los administradores pueden conectarse, sin desarrollar códigos, con la mayoría de las aplicaciones personalizadas de su organización. Como se mencionó anteriormente, esta herramienta permite definir e implementar una conexión personalizada en 1 o 2 semanas, algo que habitualmente podría llevar de 4 a 6 semanas, o hasta 8 semanas (cientos de horas), de tiempo de un desarrollador. De eso se trata la flexibilidad y la conectividad acelerada sin codificación. Policy Xpress Policy Xpress permite implementar lógica y políticas de negocio únicas y complejas sin necesidad de desarrollar códigos personalizados. Con las pantallas del portal de CA IdentityMinder, un administrador puede configurar una política en Policy Xpress para implementar hasta la lógica de negocio más sofisticada que sea necesaria. 8
Qué significa esto para el negocio? A medida que las políticas de negocio cambian, un administrador puede modificar la lógica y las políticas mediante las pantallas de configuración de CA IdentityMinder, sin necesidad de que un desarrollador realice cambios al código subyacente, o lo que es más importante con procedimientos de administración de cambios adecuados sin reiniciar los servicios de CA IdentityMinder. Policy Xpress es un componente integral de CA IdentityMinder. Ilustración C Policy Xpress: proceso de definición de elementos de datos Policy Xpress ofrece un nuevo paradigma para implementar la lógica de negocio sin desarrollar código. Una política de Policy Xpress se puede desglosar en los siguientes pasos o acciones: 1. Recolectar y transformar los datos. Definir las variables que se modificarán o verán. 2. Crear y ejecutar reglas. Determinar cuándo se debe ejecutar la política. 3. Realizar acciones en momentos especificados. Ejecutar la lógica de negocio o la tarea definidas en cualquier momento dentro de la tarea. 9
Los tipos de datos a los que se puede acceder en una política incluyen los siguientes: Cuentas Atributos Fuentes de datos Eventos del sistema Grupos Roles del sistema Información del sistema Variables definidas Las reglas se pueden definir para que coincidan con los datos sobre la base de las siguientes condiciones: Es igual a No es igual a Comienza con No comienza con Contiene No contiene Finaliza con No finaliza con Policy Xpress permite ejecutar una política en los siguientes momentos relativos a eventos (por ejemplo, CreateUserEvent) dentro del sistema: Antes Aprobado Rechazado Después No aprobado Veamos dos ejemplos de la forma en que Policy Xpress ayuda con la lógica de negocio en una implementación de administración de identidades. Desde luego, ésta no es una lista exhaustiva de los posibles usos de Policy Xpress, ya que existen varias docenas de casos de uso adicionales que podrían abordarse. Ejemplo 1: Escritura en un almacén externo Durante el aprovisionamiento de cuentas, la aplicación generalmente utiliza el nuevo id. de usuario u otros metadatos del usuario para autorizar transacciones que quizá también sea necesario escribir en un sistema adicional o en un almacén externo. Esto podría realizarse para mantener políticas de negocios o procesos heredados. Si bien CA IdentityMinder creará una cuenta de usuario en el sistema administrado, es posible que se necesite otro paso para registrar la información de la autorización de ese usuario en otro repositorio. El enfoque tradicional implicaría el uso de una programación Java o JavaScript para implementar esta lógica. El desarrollador debería encontrar la forma de acceder a los atributos necesarios, que están disponibles a través de las API de la aplicación nativa o del marco de la aplicación de destino. Una vez que se han comprendido los detalles, el desarrollo puede comenzar con un ciclo de codificación, prueba, depuración y, por último, implementación del código. Lo ideal sería que el desarrollador también almacenara el código fuente en un sistema de control de código fuente para referencia futura. Este proceso prolonga el plazo del proceso de implementación del sistema de administración de identidades y suma un factor de riesgo desconocido al esfuerzo que se calcula mal fácilmente y puede aumentar considerablemente los costos. 10
Con Policy Xpress, un administrador puede definir simplemente una política que forma parte del entorno del portal de CA IdentityMinder. Esta política puede recolectar los atributos de cuenta requeridos del usuario desde las pantallas de la política, y luego el administrador define el momento en que se debe producir la acción, por ejemplo, durante un evento crear usuario. Por último, la lógica de negocio de escribir el id. o los atributos de este usuario en la tabla de la base de datos correspondiente se define a través de una conexión JDBC especificada. Nuevamente, todo esto se logra mediante las pantallas de configuración de Policy Xpress contenidas dentro de CA IdentityMinder, con sólo apuntar y hacer clic para seleccionar elementos de listas y menús desplegables, sin personalización de código. Una leve variación de este ejemplo sería la necesidad de realizar una búsqueda de información como parte del aprovisionamiento de una cuenta de usuario a un sistema administrado. Quizás la cuenta recién creada requiere que se defina un atributo de nombre de departamento. Si, como en este ejemplo, el código del departamento se encuentra en un sistema terciario, se lo obtiene fácilmente a través de una política de Policy Xpress que realiza la solicitud al sistema externo donde se encuentra el atributo de código de departamento. Esta conexión podría estar basada en servicios web o incluso ser tan simple como una consulta LDAP (mediante JNDI) o SQL (mediante JDBC); nuevamente todo esto se logra con una configuración de apuntar y hacer clic, sin personalización de código. Ejemplo 2: Encadenamiento de procesos de negocio Actualmente, en muchas organizaciones, la TI como servicio, o más específicamente, la mesa de ayuda como servicio, es un componente clave de las solicitudes de cambios de servicios de usuarios o consumidores de TI y servicios de negocio. Por lo general, se necesita la comunicación con una aplicación de service desk para generar un ticket de servicio como paso diferenciado dentro de la lógica de negocio del proceso de aprovisionamiento. Con Policy Xpress, un administrador puede definir los atributos que se pasarán a la aplicación de service desk al seleccionar los elementos desde la pantalla de un portal por menús. Luego, el administrador debe decidir cuándo se debe ejecutar esta acción y, por último, configurar el servicio web y los métodos correspondientes para llamar y pasar los atributos pertinentes. Sin una capacidad como Policy Xpress, se necesitaría la participación de un desarrollador en este proceso, lo que añade riesgo, tiempo y costos adicionales a la implementación de la solución de administración de identidades. Ambos ejemplos demuestran que la lógica de negocio necesaria puede integrarse sin la escritura de códigos, sin el mantenimiento de códigos y sin los costos continuos de los cambios de los códigos ni los impactos a largo plazo sobre la capacidad de actualización. Esto es un gran cambio con respecto a la mayoría de las soluciones de administración de identidades disponibles actualmente en el mercado. 11
Sección 3: Conclusiones Flexibilidad y costo reducido Las soluciones de administración de identidades deben tener la flexibilidad y adaptabilidad necesarias para implementar la lógica de negocio y garantizar la conectividad para numerosos sistemas empresariales diferentes y heterogéneos. En los entornos actuales, nada permanece igual durante mucho tiempo debido a la naturaleza dinámica y competitiva de los entornos de negocio y a los cambiantes requisitos normativos del gobierno. El resultado final: los sistemas de negocio deben modificarse, y las soluciones de administración de identidad que respaldan estos sistemas deben fluctuar para satisfacer las demandas del negocio. Ante todo esto, surge la pregunta: Cómo se puede lograr esto rápidamente y de manera rentable?. Tradicionalmente, contratar un equipo de desarrolladores locales o extranjeros para que escriban códigos personalizados era la solución predeterminada. Sin embargo, esta solución es costosa tanto en términos de dinero como de tiempo, y se traduce en un enfoque incoherente para respaldar el negocio. CA IdentityMinder entrega capacidades únicas e importantes que mitigan tales riesgos y costos. Connector Xpress y Policy Xpress proporcionan conectividad y lógica de negocio sin codificación. Esto proporciona a las organizaciones una serie de beneficios tangibles, ya que no se necesitan códigos, desarrolladores ni mantenimiento continuo de códigos. Estos beneficios incluyen los siguientes: Ampliación de las opciones de conectividad. Conexión fácil y rápida con la mayoría o muchas de sus aplicaciones internas, sin desarrollo ni personalización de código. Eliminación de la necesidad de habilidades especiales de desarrollo. Un administrador puede utilizar la interfaz del portal de CA IdentityMinder y configurar políticas depuradas, fácilmente reconfigurables y actualizables mediante una simple interfaz por menús en la que sólo debe apuntar y hacer clic, lo que ofrece un tiempo de valorización, o un tiempo para una implementación exitosa, más rápido. Eliminación del mantenimiento de código. No se requiere mantenimiento de código, y la lógica se implementa como un conjunto de políticas y se comporta como una parte central de la funcionalidad nativa del producto. El cambio se realiza mediante las pantallas de configuración y se almacena en el almacén de políticas para simplificar el proceso y mantener la coherencia de la lógica de negocio durante las actualizaciones del sistema. Reducción de los costos iniciales y continuos. Se ofrece un TCO general reducido para la organización al acelerar el tiempo necesario para implementar la solución, acelerar el tiempo necesario para administrar el cambio realizado a la solución y al acelerar el tiempo necesario para actualizar la solución a medida que el distribuidor modifica el producto a través del tiempo. Estos factores se combinan a fin de que las organizaciones continúen teniendo flexibilidad y adaptabilidad para satisfacer las cambiantes necesidades de negocio, y con un costo menor que sin las herramientas Xpress de CA IdentityMinder. Para obtener más información sobre la arquitectura y el método técnico de CA IdentityMinder, visite ca.com/user-provisioning. 12
CA Technologies es una compañía de software y soluciones de administración de TI con experiencia en todos los entornos de TI, desde entornos mainframe y distribuidos, hasta entornos virtuales y de nube. CA Technologies administra y asegura los entornos de TI, y permite que los clientes entreguen servicios de TI más flexibles. Los innovadores productos y servicios de CA Technologies proporcionan la perspectiva y el control esencial para que las organizaciones de TI mejoren la agilidad del negocio. La mayor parte de las compañías Global Fortune 500 confía en CA Technologies para administrar sus cambiantes ecosistemas de TI. Si desea obtener más información, visite CA Technologies en ca.com. Copyright 2012 CA. Todos los derechos reservados. Todas las marcas registradas y nombres comerciales, logotipos y marcas de servicios a los que se hace referencia en este documento pertenecen a sus respectivas empresas. El propósito de este documento es meramente informativo. CA no se responsabiliza de la exactitud e integridad de la información. En la medida de lo permitido por la ley vigente, CA proporciona esta documentación tal cual, sin garantía de ningún tipo, incluidas, a título enunciativo y no taxativo, las garantías implícitas de comercialidad, adecuación a un fin específico o no incumplimiento. En ningún caso CA será responsable por cualquier pérdida o daño, directo o indirecto, derivado del uso del presente documento, incluidos, entre otros, el lucro cesante, la interrupción de la actividad comercial, la pérdida del fondo de comercio o de datos, aún cuando CA haya recibido notificación acerca de la posibilidad de dichos daños. CS2096_0212