MIM-løsning for skolesektor TILBUD FOSEN IKT Versjon: 1.0 Dato: 2016.02.22
Innholdsfortegnelse Endringshistorikk... 1 Om tilbudet... 2 Omfattelse... 2 Microsoft Identity Manager (MIM)... 2 Agenter... 2 IMS/PIFU (skoleadministrativt system)... 2 Active Directory... 3 Metakatalog... 3 Feide (AD LDS)... 3 Fronter eller annet system... 4 Passordsynkronisering... 4 Forretningslogikk... 4 Databaser... 5 Selvbetjeningsportal... 5 Dokumentasjon... 6 Annet... 6 Kundens ansvar... 6 Tilbud... 7 Leverandør(er):... 8 Gyldighet... 8 Oppstart og leveringsdato... 8 Endringshistorikk Versjon Dato Beskrivelse Endret av 1.0 2016.12.02 Dokument opprettet Jørgen Nøkleby, Skooler AS 1.1 2016.12.06 Oppdatert dokument, Ørland kommune er ikke lenger en del av løsningen. Jørgen Nøkleby, Skooler AS 1
Om tilbudet Dette tilbudet fra Skooler AS (heretter omtalt som Leverandøren) gjelder ny MIM-løsning for skolesektor for kommunesamarbeidet mellom kommunene Osen, Roan, Åfjord, Bjugn, Rissa og Leksvik, som driftes av Fosen IKT (heretter omtalt som Kunde). Tilbudet er basert på forespørsel via e-post fra Fosen IKT. Løsningen som er omfattet av dette tilbudet er tilpasset til å håndtere kobling mot flere kildesystemer, samt håndtering av flere ulike målsystemer. Løsningen er tilrettelagt slik at man kan senere tid kan koble på flere systemer. Omfattelse Tilbudet omfatter en løsning som benytter produktet Microsoft Identity Manager (heretter omtalt som MIM) som grunnlag og vil kunne dekke kravene til identitetsløsning fra Kunden. MIM har tidligere hatt produktnavnene Forefront Identity Manager (FIM), Identity Lifecycle Manager (ILM) og Microsoft Identity Integration Server (MIIS). Microsoft Identity Manager (MIM) Installasjon av MIM Synchronization Service på dedikert server. Det forutsettes at dedikert server er satt opp av kunde og er i henhold til minimums krav fra Microsoft for installasjon av MIM Synchronization Service. Kunde er også ansvarlig for å fremskaffe installasjonsmedia og tilgjengeliggjøring av dette. MIM Synchronization Service installeres i henhold til beste praksis angitt av Microsoft. Dette forutsetter da at et antall servicekontoer opprettes i lokalt domene. Agenter Løsningen vil bestå av et antall ulike agenter som vil håndtere dataflyt mellom de ulike systemene. IMS/PIFU (skoleadministrativt system) Dagens ABC-agent som leser inn data fra de skoleadministrative systemene vil erstattes med IMSeller PIFU-agenter. Dette fordrer at alle kildesystemene kan levere på enten IMS-format eller PIFUformat. Det vil bli satt opp en agent per kommune. Kunden må selv bestille uttrekk på IMS- og/eller PIFU-format for alle kildesystemene. Agenten(e) vil være datakilde for organisasjons-, enhets-, gruppe- og personobjekter i MIM.
Active Directory Denne agenten vil være grensesnitt mellom MIM og lokalt domene (Microsoft Active Directory). Det er ikke mottatt noen spesifikasjon på hvilke attributter i lokalt domene som MIM skal kontrollere, så selve flytreglene vil bli satt opp i samarbeid med Kunden. Agenten vil via avanserte flytregler håndtere følgende funksjonalitet knyttet til lokalt domene: Håndtere hjemmeområder og rettigheter Håndtere aktivering og deaktivering av lokal Skype. Håndtere opprettelse av e-post boks i lokal Exchange. Agenten kan benyttes som datakilde for gruppe-, person- og/eller maskinobjekter i MIM. Metakatalog Denne agenten benyttes for å ivareta informasjon når et MIM-objekt ikke lenger er koblet mot datakilde. Tabellene som agenten håndterer kan også benyttes til å være et grensesnitt mot f.eks. lokal selvbetjeningsløsning, adresselister o.l. Feide (AD LDS) Disse agentene vil være grensesnitt mellom MIM og Feidekatalogene. Det forutsettes i tilbudet at eksisterende Feidekataloger benyttes og at MIM kobler seg opp mot disse. Katalogene vil bli oppdatert med siste skjema (i skrivende stund 1.6). Når man tar i bruk Feide 1.6 så medfører dette følgende tilleggskrav: Det opprettes attributtflyt som setter informasjon om rettigheter, roller og grupper per bruker (bl.a. GREP-koder/fagkoder) edupersonentitlement Det kan opprettes attributtflyt som setter hvilke metoder for sterk autentisering som er tilgjengelig per bruker noredupersonauthmethod (kun obligatorisk ved bruk av sterk autentisering) Det kan opprettes attributtflyt som spesifiserer hvilke tjenester sterk autentisering krever per bruker noredupersonserviceauthnlevel (kan brukes ved sterk autentisering, er ikke obligatorisk) For at disse kravene skal tilfredsstilles kreves det at all denne informasjonen er registrert i de forskjellige skoleadministrative systemene og at dette tilgjengeliggjøres i eksportfilene. For mer detaljert informasjon se: https://www.feide.no/nyhet/nye-formkrav-i-feide-noredu-v16 https://feide.iktsenteret.no/node/450 https://www.feide.no/sites/feide.no/files/documents/go_attributter.pdf 3
Fronter eller annet system Disse agentene vil generere filer på et angitt format som plasseres på et konfigurert område eller mot en webservice (opplasting). De eksisterende agentene vil bli videreført i ny løsning med samme funksjonalitet. Passordsynkronisering Passordsynkronisering settes opp/konfigureres om/oppdateres med ny versjon på/fra lokalt domene til MIM som leverer til sine målsystemer (f.eks. Feide og Metakatalog). Microsoft Password Change Notification Service (PCNS) må installeres på alle domenekontrollere. PCNS vil kreve en omstart av domenekontroller. Konfigurasjon av PCNS utføres i henhold til beste praksis angitt av Microsoft. Forretningslogikk Forslag til forretningslogikk for MIM i henhold til kravspesifikasjon. 1. Personer vil bli håndtert i henhold til konfigurasjon så lenge denne har en kobling mot et kildesystem (f.eks. aktiv bruker i lokalt domene, samt Feide og Office 365). Når personen ikke lenger er koblet mot en datakilde vil brukeren bli deaktivert i MIM, samt at dato for når dette inntraff registreres på MIM-objekt. Personens objekter i andre tilkoblede systemer vil bli frakoblet/slettet i henhold til konfigurasjon (f.eks. 90 dager etter dato). Når siste system er frakoblet vil personens objekt i MIM bli fjernet. 2. Når en ny person blir opprettet i MIM tildeles denne et brukernavn. Dette brukernavnet kan enten være et tidligere registrert brukernavn eller et helt nytt brukernavn som er bygget opp ut fra konfigurasjon og tilgjengelighet. For å unngå at brukernavn som er brukt i andre løsninger (f.eks. eksisterende FIM-løsning) foreslås det en løsning der man synkroniserer brukernavndatabasene til disse løsningene. 3. Når en ny person blir opprettet i MIM tildeles denne et såkalt førstegangspassord. Dette passordet blir generert i forhold til de krav som gjelder i bl.a. lokalt domene, Office 365 og Feide. Normalt sett innebærer dette et komplekst passord på mellom 8 og 10 tegn bestående av minst en stor bokstav, en liten bokstav, et tall og et spesialtegn. Førstegangspassord settes normalt i lokalt domene på nye brukere slik at det må endres ved første pålogging. 4. En person som har en aktiv kobling mot kildesystem vil få konto i lokalt domene, Feide, Fronter/It s Learning og eventuelt andre målsystemer. 5. Når en person enten har en sluttdato som har passert eller ikke lenger er med i datauttrekk fra kildesystem blir det ansett at bruker har sluttet. En person som har sluttet vil bli deaktivert i lokalt domene, FEIDE-konto vil bli slettet og fjernet fra uttrekket som sendes til Fronter/It s Learning. 4
6. Grupper vil bli håndtert så lenge de har en kobling mot et kildesystem. Også her er det mulig å frakoble/slette objekt i henhold til konfigurasjon i tilkoblede systemer. Når siste system er frakoblet vil gruppens objekt i MIM bli fjernet. Databaser Utover database for MIM så har løsningen en egen database. Denne databasen inneholder bl.a. konfigurasjonstabeller og datatabeller som benyttes av MIM-løsningen og direkte i enkelte agenter (f.eks. «METAKATALOG MA»). Databasen er konfigurert til å installeres på en Microsoft SQL-server (minimumskrav MS SQL Server 2008 R2 SP3 Standard/Enterprise/Developer). SQL-server kan enten kjøres på samme server som MIM eller på egen dedikert server. Dersom kunden ønsker å gjøre konfigurasjon av løsningen selv forutsettes det at Kunden har kjennskap til MS SQL. Selvbetjeningsportal Det leveres en webbasert selvbetjeningsportal (som ertsatter dagens «Buddyweb») som inkluderer følgende funksjonalitet: Pålogging, med mulighet for å endre utløpt passord Se utvalgt informasjon om seg selv (registrert i MIM) «Min side». Informasjonen som kan vises er: o Utvalgt personinformasjon (fornavn, etternavn, e-post, telefonnummer o.l.) o Skole-/arbeidssted, samt nærmeste leder (hvis tilgjengelig) o Feide-påloggingsnavn o Informasjon om gruppemedlemskap, samt eierskap til grupper Søke opp informasjon om andre brukere med mulighet for å se: o Utvalgt personinformasjon (fornavn, etternavn, e-post, telefonnummer o.l.) o Skole-/arbeidssted, samt nærmeste leder (hvis tilgjengelig) o Feide-påloggingsnavn o Informasjon om gruppemedlemskap, samt eierskap til grupper Endre eget passord Tilbakestille en annen brukers passord (med mulighet for å sette flagg om at dette må endres ved førstegangs pålogging) Ta ut liste med brukernavn og førstegangspassord basert på f.eks. klassegrupper Administrere tilganger i portalen (basert på grupper i lokalt domene) Portalen er rettighetsstyrt basert på grupper i lokalt AD. Flere av funksjonene i portalen har differensierte rettighetsmodeller slik at f.eks. en lærer kun kan søke opp elever, mens en helpdeskmedarbeider kan søke opp alle brukere. Portalen bygger på.net-arkitektur og må settes opp på en server med IIS. Portalen må også kunne nå databasen som følger med MIM-løsningen. Portalen kan designmessig tilpasses med logo og skriftfarger/typer. Kunden er selv ansvarlig for å konfigurere eventuell offentlig adresse til portalen. 5
Dokumentasjon Løsningen leveres med følgende dokumenter: - Systemdokumentasjon (beskriver oppsett hos Kunden) - Brukerveiledning - Teknisk dokumentasjon Dokumentasjon oversendes per e-post når løsningen er satt opp. Dersom kunde ønsker leveranse på annen måte må dette spesifiseres. Annet Kildekode til løsningen er leverandørens eiendom med mindre annet er avtalt. Eventuelle feil og/eller mangler som ikke er avdekket og påpekt leverandøren innen 14 dager etter leveranse dekkes ikke av tilbudet. Leverandøren er ikke ansvarlig for eventuelle feil og/eller mangler som skyldes endringer og/eller feil i kundens og/eller tredjeparts løsning/system. Kundens ansvar Kunde er ansvarlig for at leverandøren alltid har tilgang til de systemer/løsninger som er omfattet av dette tilbudet. Kunde er ansvarlig for å ivareta lisenser på produkter som benyttes i løsningen. Eventuelle fjerntilganger må være på plass før prosjektet starter. Brukernavn og passord til slike bør kun formidles via telefon eller personlig oppmøte. Dersom det er nødvendig med dialog mot kundens tredjepartsleverandører må kunden påse at dette er avklart med tredjepartsleverandører. Eventuelle krav fra tredjepartsleverandør dekkes av Kunden. Ved forsinkelser/ekstratid som medgår og som skyldes feil og/eller mangler hos Kunden og/eller tredjepartsleverandører som kunde har bestilt, så vil faktisk tid medgått bli fakturert. 6
Tilbud Omfattelse Ref. evt. Fast pris Timeestimat Kommertar Krav Grunnpakke* 39.900,- Oppgradering FEIDEskjema 9.950,- og oppsett/konfigurasjon av 6 stk. FEIDEagenter Oppsett og 9.950,- konfigurasjon av 6 stk. IMS/PIFU-agenter Oppsett og konfigurasjon av 6 stk. FRONTER/IT S LEARNING-agenter 9.950,- Opsjon 1: Webbasert passordkiosk for glemt passord Opsjon 2: Oppsett og konfigurasjon av Microsoft Azure AD Connect for synkronisering av data fra lokal katalog til Office 365 samt agenter for tildeling av lisenser til brukerne. 19.900,- Brukere kan selv resette sitt passord. Krever SMS-gateway og/eller SMTP-server som kommer i tillegg (tredjepartsleverandør) samt at mobilnummer og/eller privat e-post er registrert på brukerne i løsningen. Ta kontakt for tilbud. MIM-løsning komplett, eksl. Opsjoner MIM-løsning komplett, inkl. opsjon 1 69.750,- 89.650,- *På grunn usikkerhet rundt eksisterende miljø så er de angitte prisene/timene i tilbudet kun et estimat. Kunden må akseptere at det kan medgå flere timer. Timepris er 1290,-. Alle priser er eks. mva. 7
Leverandør(er): Utførende leverandør(er) er: Navn Kontaktperson Tlf. E-post Skooler AS Tor Ove Henriksen 901 77 949 toh@skooler.com Gyldighet Tilbudet er gyldig til og med: 30.12.2016. Ved tilbudsaksept bekreftes dette på e-post til kontaktpersoner under Leverandører. Oppstart og leveringsdato Avtales ved tilbudsaksept. 8
Vedlegg 1 Kravspesifikasjon fra Kunde MIM-løsning for skolesektor 9