Sichern von AS/400- und IBM i-Green-Screen-Systemen mit modernem SSO

Zusammenfassung

AS/400- und IBM i-Systeme werden weiterhin in den Bereichen Fertigung, Logistik, Vertrieb, Bankwesen, Versicherungen und Backoffice-Betrieb eingesetzt. Die Authentifizierung in vielen dieser Umgebungen erfolgt jedoch nach wie vor über 5250-Green-Screen-Anmeldungen mit Benutzernamen, Passwörtern und gemeinsamen Terminal-Workflows.

Dies führt zu einer Diskrepanz zwischen der kritischen Bedeutung der Systeme und der Art und Weise, wie der Zugriff kontrolliert wird. Viele Unternehmen wünschen sich mehr Sicherheit, eine bessere Benutzerzuordnung und eine Abstimmung mit den Identitätsplattformen des Unternehmens, können es sich jedoch nicht leisten, ausgereifte Anwendungen zu zerstören oder geschäftskritische Arbeitsabläufe, die seit Jahren bestehen, neu zu gestalten.

Der effektivste Weg nach vorne besteht nicht darin, die Anwendung neu zu erstellen. Es geht darum, die Authentifizierungsschicht um sie herum zu sichern.

Credenti Unternehmen Credenti der Modernisierung des IBM i-Zugriffs, indem es vor dem Start einer 5250-Sitzung passwortlose und phishing-resistente Authentifizierungsmethoden einführt. Dadurch können Teams ihre Sicherheitslage verbessern, die Abhängigkeit von Passwörtern verringern und die Überprüfbarkeit stärken, während die zugrunde liegende Green-Screen-Erfahrung, auf die sich die Benutzer bereits verlassen, erhalten bleibt.

Warum das jetzt wichtig ist

IBM i-Systeme führen nach wie vor geschäftskritische Vorgänge aus, doch viele Unternehmen sichern sie weiterhin mit Benutzernamen- und Passwort-Zugriffsmodellen für Green Screens, die nicht mehr den modernen Identitätsanforderungen entsprechen.

Bestehende Workflows beibehalten‍

Modernisieren Sie die Authentifizierung, ohne AS/400-Anwendungen neu schreiben zu müssen.

Attribution stärken

Verbinden Sieden gemeinsamen Terminalzugang mit einer realen individuellen Identität.

Erweitern Sie die Authentifizierungsoptionen

UnterstütztBadge-, Gesichts-, QR- und mobilbasierte Anmeldeverfahren.

An die Unternehmensidentität anpassen

Integrieren SieZugriffs-Workflows mit Okta.

‍

Die Authentifizierungsherausforderung in IBM i-Umgebungen

IBM i-Umgebungen stehen oft im Mittelpunkt der Betriebskontinuität. Eine Green-Screen-Anwendung kann nach wie vor die Lagerabwicklung, Produktionsaufzeichnungen, Finanzvorgänge, Schadenbearbeitung, Bestandsübersicht oder Auftragsabwicklung steuern. Da diese Systeme nach wie vor tief in das Unternehmen eingebettet sind, sind die Zugriffsmuster oft eher auf Geschwindigkeit und Vertrautheit als auf moderne Identitätssicherung optimiert.

Gemeinsame Realitäten

Benutzer greifen über ältere Terminal-Workflows, die einen Benutzernamen und ein Passwort erfordern, auf 5250-Sitzungen zu, häufig auf gemeinsam genutzten Rechnern oder Stationen, die einen schnellen Bedienerwechsel unterstützen.

Häufige Reibung

Herkömmliche MFA-Methoden verursachen Unterbrechungen, führen zu Geräteabhängigkeiten oder sind für Umgebungen ungeeignet, in denen Benutzer keine Telefone mit sich führen können oder keine fest zugewiesenen Arbeitsplätze haben.

Infolgedessen können IBM i-Systeme zu Identitätsinseln werden. Sie bleiben zwar geschäftskritisch, sind jedoch oft nur lose mit modernen Zugriffskontrollmechanismen, phishing-resistenten Authentifizierungsstrategien und den bereits an anderer Stelle durchgesetzten Identitätsstandards des Unternehmens verbunden.

Sicherheitsrisiken der herkömmlichen Green-Screen-Authentifizierung

Passwortbasierte 5250-Zugriffsmodelle wurden für eine andere Ära entwickelt. In modernen Umgebungen bergen sie mehrere praktische und auditrelevante Risiken.

Passwortabhängigkeit

Benutzer verlassen sich nach wie vor auf Anmeldedaten, die in Umgebungen mit hohem Datenaufkommen wiederverwendet, weitergegeben, durch Phishing abgegriffen oder unsachgemäß verwendet werden können.

Schwache Attribution

Gemeinsam genutzte Terminals und vererbte Sitzungen machen es schwierig, genau nachzuweisen, wer auf ein System zugegriffen oder eine Aktion durchgeführt hat.

Operative Workarounds

Teams erstellen oft Abkürzungen, um schnell voranzukommen, was zu generischen Konten, gespeicherten Anmeldedaten oder verminderter Verantwortlichkeit führen kann.

Wo Organisationen die Probleme spüren

Sicherheitsteams haben Schwierigkeiten, die MFA-Richtlinien von Unternehmen auf IBM i-Umgebungen so auszuweiten, dass die Benutzer diese auch tatsächlich anwenden.

Die Betriebsteams wollen keine Unterbrechungen der Green-Screen-Workflows und können wiederholte Probleme beim Anmelden an gemeinsam genutzten Terminals nicht tolerieren.

Audit- und Compliance-Teams benötigen stärkere Nachweise für den Zugriff auf Benutzerebene und nicht nur den Nachweis, dass ein Terminal die Anwendung erreicht hat.

Führungsteams wünschen sich moderne Identitätskontrollen, ohne ein großes Modernisierungsprojekt für Altanlagen starten zu müssen.

Warum traditionelles SSO nicht ausreicht

Unternehmen gehen oft davon aus, dass herkömmliche SSO-Projekte das IBM i-Problem lösen werden. In der Praxis passen Green-Screen-Systeme jedoch selten nahtlos in moderne, browserbasierte SSO-Konzepte. Selbst wenn eine Integration technisch möglich ist, kann sie schwierig zu implementieren sein, die Benutzererfahrung einschränken oder für gemeinsam genutzte und betriebliche Terminals ungeeignet sein.

Das liegt daran, dass die eigentliche Herausforderung nicht einfach nur in der Föderation besteht. Es geht darum, wie man eine vertrauenswürdige Benutzeridentität am Zugangspunkt so etablieren kann, dass sie für operative Benutzer funktioniert, die Sitzungsgeschwindigkeit beibehält und zu einem Anwendungsmodell passt, das lange vor der Standardisierung moderner SSO-Konventionen entwickelt wurde.

In vielen AS/400-Umgebungen hängt der Erfolg davon ab, die Zugriffskontrolle rund um die Sitzung zu modernisieren, anstatt zu versuchen, den Green Screen in ein browserbasiertes Authentifizierungsmodell zu zwängen.

Der Credenti

Credenti die Authentifizierungsebene rund um den IBM i-Zugriff, ohne dass Unternehmen die Funktionsweise der Green-Screen-Anwendung selbst ändern müssen. Anstatt das Geschäftssystem neu aufzubauen, führen Teams eine strengere Identitätsprüfung ein, bevor der Benutzer die 5250-Sitzung erreicht.

Schützen Sie den Zugriffs-Workflow

Verwenden Sie moderne Authentifizierungsmethoden, um die Person zu überprüfen, bevor Sie den Zugriff auf die AS/400-Umgebung starten oder wieder aufnehmen.

Die Anwendung erhalten

Behalten Sie den bestehenden IBM i-Workflow bei, damit Benutzer weiterhin in der vertrauten Green-Screen-Umgebung arbeiten können.

Wie Credenti diesem Anwendungsfall Credenti

Credenti Tap

Aktivieren Sie die Anmeldung per Ausweis an gemeinsam genutzten Arbeitsplätzen und Bedienterminals, wo Geschwindigkeit und Einfachheit entscheidend sind.

Credenti You

Ermöglichen Sie Benutzern die Authentifizierung am Gerät mittels Gesichtserkennung und schaffen Sie so eine schnelle und benutzerfreundliche Erfahrung ohne Passwort.

Credenti Unify

Verbinden Sie moderne Identitätsplattformen und ältere Zugriffsabläufe, damit Unternehmen den IBM i-Zugriff an einer umfassenderen Identitätsstrategie ausrichten können.

Architektur auf einen Blick

Das folgende Modell veranschaulicht den konzeptionellen Ablauf. Der Benutzer bestätigt zunächst seine Identität durch eine Credenti . Diese Zugriffsentscheidung kann mit der Unternehmensidentitätsstrategie der Organisation in Einklang stehen, und anschließend erhält der Benutzer Zugriff auf die IBM i-Sitzung, ohne dass die Logik der Green-Screen-Anwendung geändert werden muss.

Unterstützte Authentifizierungsmethoden

Die Modernisierung der IBM i-Sicherheit sollte nicht von einem einzigen Zugriffsmuster abhängig sein. Unterschiedliche Umgebungen erfordern unterschiedliche Methoden zur Identitätsfeststellung, wobei die Benutzerfreundlichkeit gewahrt bleiben muss.

Anmeldung per Badge-Tap

Gut geeignet für gemeinsam genutzte Terminals, Arbeitsplätze und Umgebungen, in denen Benutzer schnellen Zugriff ohne Eingabe von Anmeldedaten benötigen.

Gesichtsbiometrische Anmeldung

Bietet eine schnelle, passwortlose Erfahrung direkt am Gerät, wodurch Reibungsverluste reduziert und die individuelle Zuordnung verbessert werden.

QR mobilgestütztes Login

Bietet eine zusätzliche Option für Umgebungen, die eine gerätevermittelte Identitätsprüfung ohne Passwörter unterstützen.

Sichern von gemeinsam genutzten Terminals ohne Beeinträchtigung des Betriebs

Eines der schwierigsten Probleme bei IBM i ist das Problem der gemeinsam genutzten Terminals. In Lagern, Fertigungsbereichen, Versandbereichen, an Schaltern und im Backoffice werden häufig Geräte verwendet, die im Laufe des Tages von vielen Personen berührt werden. Das wiederholte An- und Abmelden mit einem herkömmlichen Passwort führt zu Reibungsverlusten, sodass Teams natürlich nach Abkürzungen suchen.

Credenti entwickelt, um dieses Modell zu sichern, ohne dass Teams es aufgeben müssen. Benutzer können ihre Identität am Einsatzort schnell nachweisen, auf den Rechner zugreifen und mit dem ihnen bereits bekannten Green-Screen-Workflow fortfahren. So bleibt die Geschwindigkeit erhalten und gleichzeitig wird die Verantwortlichkeit wiederhergestellt.

Das Ziel besteht nicht darin, den Betrieb gemeinsamer Terminals zu verlangsamen. Das Ziel besteht darin, sie nachvollziehbarer, sicherer und leichter zu verwalten zu machen.

Offline- und Betriebskontinuität

Viele IBM i-Anwendungsfälle liegen nahe an Betriebsabläufen, bei denen Kontinuität wichtiger ist als perfekte Netzwerkbedingungen. Unternehmen benötigen möglicherweise eine Lösung, die die Benutzerauthentifizierung auch dann weiterhin unterstützt, wenn die Konnektivität beeinträchtigt, unzuverlässig oder absichtlich eingeschränkt ist.

Dies ist wichtig für Werke, Vertriebsstandorte, Fernbetriebe, Transportumgebungen und andere Szenarien, in denen kritische Arbeiten nicht unterbrochen werden dürfen, weil eine Cloud-Abhängigkeit vorübergehend nicht verfügbar ist. Die breitere Plattformpositionierung Credentiunterstützt leistungsstarke Zugriffsworkflows in Umgebungen, in denen Geschäftskontinuität und Offline-Ausfallsicherheit wichtige Designanforderungen sind.

Compliance und Risikoausrichtung

Die Modernisierung des Zugriffs auf AS/400- und IBM i-Systeme hilft Unternehmen dabei, umfassendere Sicherheits- und Governance-Ziele zu erreichen. Die Anforderungen unterscheiden sich zwar je nach Branche, doch die gemeinsamen Themen sind einheitlich: Reduzierung der Passwortgefährdung, Stärkung der Zuordnung auf Benutzerebene, Verbesserung der Nachweise für die Zugriffskontrolle und bessere Anpassung von Altsystemen an die Identitätserwartungen des Unternehmens.

Risikominderung

Reduzieren Sie die Abhängigkeit von schwachen oder gemeinsam genutzten Anmeldedaten in kritischen Betriebsumgebungen.

Prüfbarkeit

Verbessern Sie die Möglichkeit, Zugriffsereignisse und die Auslösung von Workflows mit einer bestimmten, verifizierten Benutzeridentität zu verknüpfen.

Diese Ergebnisse können interne Kontrollinitiativen sowie eine umfassendere Angleichung an Rahmenbedingungen und Erwartungen in Bezug auf Zugriffssicherheit, operative Rechenschaftspflicht und Risikominderung bei Altsystemen unterstützen.

Häufige Anwendungsfälle in der Industrie

Fertigung

Sichere Terminals in der Fertigung, die mit IBM i-Anwendungen verbunden sind, ohne den schnellen Arbeitsablauf zu stören.

Logistik und Vertrieb

Verbessern Sie die Identitätssicherung in Lagern und Fulfillment-Stationen, die auf den gemeinsamen Zugriff auf 5250-basierte Systeme angewiesen sind.

Bankwesen und Versicherungen

Stärken Sie die Authentifizierung für ältere Transaktions- und Verarbeitungssysteme und bewahren Sie gleichzeitig die gewohnte Benutzererfahrung.

Fazit

Unternehmen müssen sich nicht zwischen der Beibehaltung von IBM i-Systemen und der Verbesserung der Authentifizierung entscheiden. Sie können die Anwendung und den Workflow beibehalten und dennoch eine stärkere, modernere Identitätsebene rund um den Zugriff implementieren.

Erweiterung von Modern SSO auf IBM i (AS/400), iSeries und 5250-Terminalsysteme

Sobald Unternehmen die Authentifizierung für gemeinsam genutzte Terminals und Workstations modernisiert haben, besteht der nächste Schritt darin, diese Identitätskontrollen auf die IBM i-Systeme selbst auszuweiten. Viele Umgebungen, in denen IBM i (AS/400) und iSeries-Systeme laufen, basieren auf 5250-Terminalanwendungen, die nie für moderne Verbundstandards wie SAML oder OIDC entwickelt wurden.

Diese Systeme laufen häufig auf einer IBM Power Systems-Infrastruktur und unterstützen geschäftskritische Workloads in den Bereichen Fertigung, Logistik, Bankwesen und Versicherungswesen. Ein Austausch dieser Anwendungen ist in den meisten Fällen nicht praktikabel, sodass Sicherheitsverbesserungen eher im Bereich des Zugriffs-Workflows als innerhalb der Anwendung selbst vorgenommen werden müssen.

Credenti SSO für IBM i-Umgebungen, indem es die Identität des Benutzers vor Beginn der Terminalsitzung überprüft. Nach der Authentifizierung über Unternehmensidentitätsanbieter wie Okta können Benutzer ihre AS/400-Sitzungen starten oder fortsetzen, ohne Passwörter manuell eingeben zu müssen. Auf diese Weise können Unternehmen AS400 MFA, passwortlose Authentifizierung und eine stärkere Identitätszuordnung einführen und gleichzeitig den vertrauten Green-Screen-Workflow beibehalten, auf den sich die Bediener verlassen.

Ausweitung der Identitätsverwaltung auf IBM i (AS/400)

Die Modernisierung der Authentifizierung ist nur ein Teil der Sicherung älterer Plattformen. Unternehmen benötigen außerdem eine einheitliche Identitätsverwaltung und ein einheitliches Lebenszyklusmanagement für alle Systeme, einschließlich IBM i-Umgebungen.

Credenti dies durch einen IBM AS/400 Connector, der IBM i-Systeme mit Unternehmensidentitätsplattformen wie Okta integriert . Auf diese Weise können Unternehmen den gesamten Identitätslebenszyklus verwalten – von der Kontoerstellung bis zur Entziehung von Zugriffsrechten – und gleichzeitig den Überblick über den Zugriff und die Aktivitäten der Benutzer innerhalb der IBM i-Systeme behalten.

Identitätsverwaltung

Compliance-Transparenz

Aggregieren Sie Governance-Daten aus IBM i-Systemen, um Compliance-Analysen, Zugriffsüberprüfungen und die Erkennung von betrügerischen oder nicht autorisierten Konten zu unterstützen.

Überwachung der Benutzeraktivitäten

Schaffen Sie Transparenz hinsichtlich der Benutzeraktivitäten in AS/400-Umgebungen, verbessern Sie die Überprüfbarkeit und unterstützen Sie regulatorische und interne Sicherheitskontrollen.

Identitätslebenszyklusmanagement

Benutzerbereitstellung

Erstellen Sie automatisch neue Benutzerkonten in IBM i, wenn Identitäten über die Unternehmensidentitätsplattform hinzugefügt werden.

Kontoaktualisierungen

Synchronisieren Sie Rollenänderungen, Profilaktualisierungen und Identitätsattribute zwischen dem Identitätsanbieter und IBM i-Konten.

Konto deaktivieren

IBM i-Konten automatisch deaktivieren oder entfernen, wenn Benutzer das Unternehmen verlassen oder keinen Zugriff mehr benötigen.

Der Konnektor arbeitet über das Credenti Provisioning Gateway, einen SOC 2 Typ II-geprüften Dienst, der in Amazon Web Services (AWS) ausgeführt wird. Dies ermöglicht eine sichere Identitätssynchronisierung und Lebenszyklusverwaltung für IBM i/AS400-Umgebungen unter Beibehaltung der Zuverlässigkeit und Compliance-Kontrollen auf Unternehmensniveau.

Automatisierung des IBM i-Identitätslebenszyklus mit SCIM

Um Identitätsmanagement in großem Maßstab zu operationalisieren, setzen Unternehmen zunehmend auf den SCIM-Standard (System for Cross-domain Identity Management). Credenti die SCIM-basierte Lebenszyklusautomatisierung auf IBM i (AS/400) und iSeries-Umgebungen, die in der Regel keine native Unterstützung für moderne Bereitstellungsprotokolle bieten.

Mit dem Credenti Provisioning Gateway können Identitäten von Plattformen wie Okta direkt in IBM i-Systeme synchronisiert werden. Dadurch können IT-Teams die Bereitstellung, Aktualisierung und Aufhebung von Benutzerkonten automatisieren und gleichzeitig konsistente Identitätsrichtlinien sowohl in modernen als auch in älteren Systemen aufrechterhalten.

Automatisierte Bereitstellung

Erstellen Sie automatisch IBM i-Benutzerprofile, wenn Mitarbeiter eingestellt werden und ihnen Zugriff auf die Unternehmensidentitätsplattform gewährt wird.

Attributsynchronisation

Synchronisieren Sie Profilattribute, Berechtigungsänderungen und Rollenaktualisierungen zwischen Okta- und IBM i-Umgebungen.

Automatisierte Entziehung von Berechtigungen

Deaktivieren oder entfernen Sie AS/400-Benutzerprofile sofort, wenn ein Benutzer das Unternehmen verlässt, um verwaiste Konten und Compliance-Risiken zu reduzieren.

Diese Architektur passt IBM i-Systeme, die auf IBM Power Systems laufen, an moderne Verfahren zum Identitätslebenszyklusmanagement an und stellt sicher, dass ältere Plattformen vollständig in die Identitätsverwaltungsstrategien des Unternehmens eingebunden sind.

Identitätslebenszyklus-Management-Ablauf für IBM i

Der unten dargestellte Lebenszyklus zeigt, wie ein Bereitstellungsereignis im Identitätsanbieter entstehen, über Credenti verarbeitet und dann in einem Format, das die Plattform nativ ausführen kann, auf IBM i angewendet werden kann. Dies ist das zentrale Architekturmodell, das es IBM i ermöglicht, an modernen Workflows für neue Mitarbeiter, Versetzungen und ausscheidende Mitarbeiter teilzunehmen, ohne dass auf der AS/400-Seite native SCIM-Unterstützung erforderlich ist.

Was löst den Workflow aus?

Ein Beitritts-, Umzugs- oder Austrittsereignis in Okta führt in der Regel zu einer Änderung der Anwendungszuweisung, was wiederum eine SCIM-Bereitstellungstransaktion für die mit IBM i verbundene Anwendung generiert.

Was der Stecker macht

Der lokale IBM AS/400 Connector ordnet SCIM-Attribute und Lebenszyklusaktionen den nativen Benutzerprofilvorgängen von IBM i zu, sodass die Zielplattform diese ohne native SCIM-Unterstützung verarbeiten kann.

In der Praxis bedeutet dies, dass ein Benutzer in Okta angelegt, mit Zugriff auf die mit IBM i verbundene Anwendung ausgestattet und dann automatisch in IBM i / AS400 bereitgestellt werden kann. Spätere Änderungen wie Attributaktualisierungen, Zugriffsänderungen, Sperrungen oder Kündigungen können denselben Lebenszykluspfad mit konsistenter Überprüfbarkeit durchlaufen.

‍