Úkolem článku je přiblížit knihovnické veřejnosti pojmy identity management (systém správy identit, IdM), identita a životní cyklus identity a především objasnit význam identit pro praktickou činnost knihovny nebo jakékoliv jiné organizace.

Příklady z praxe budou přebírány z mých zkušeností z Národní technické knihovny, v níž byl systém správy identit implementován a je i nadále rozšiřován.

Národní technická knihovna je první českou knihovnou, ve které je IdM implementován, jinak se s ním setkávají knihovny jen na vysokých školách, kde většinou přebírají informace o čtenářích ze studijního informačního systému, nad nímž jsou postaveny procesy pro správu identit napříč elektronickými systémy školy.

Co je to identita a proč je její jedinečnost důležitá

Každý český občan starší patnácti let si ze zákona nosí při sobě svoji identifikační kartu - občanský průkaz. Jeho identita je z hlediska tohoto průkazu tvořena jedinečným rodným číslem, fotografií, podpisem a číslem průkazu. Na tuto jeho identitu navazují další náležitosti občanského života – sociální a zdravotní pojištění, vzdělávání, trestní rejstřík, odvod daní, volební právo... a na závěr všeho i úmrtní list. Jedná se o papírovou správu identit, která se u nás využívá od první republiky.

Z pohledu malé knihovny potom může být identitou jeden určitelný čtenář, který dostane právě jednu čtenářskou průkazku, na základě níž čerpá služby knihovny (převážně výpůjční).

Větší problém s určením a správou identit nastává u větších knihoven, univerzit, ale i rozsáhlých firem. Stále je tu jen jeden uživatel, který však může využívat více systémů, které jsou na sobě vzájemně nezávislé, mají jiný způsob správy i její personální obsazení.

Jedinečnost identity je důležitá jak z hlediska vlastního nositele (uživatele identity), tak i z hlediska poskytovatele služeb, který si tuto identitu ověřuje.

Nositel identity požaduje, aby mu na základě jejího ověření byly poskytnuty všechny dostupné služby a aby někdo nečerpal na jeho úkor služby, které musí být následně uhrazeny.

Poskytovatel služeb potom smí některé své služby poskytnout pouze nositelům identity, kteří jsou s ním v nějakém právním svazku (např. elektronické zdroje pro čtenáře). Některé své služby potom zpoplatňuje či sankcionuje nežádoucí chování uživatele. K tomu potom musí přesně určit, komu co povolit, kolik komu inkasovat a za co. K těmto všem požadavkům potřebuje jednoznačný identifikátor.

Co je to identity management (IdM)

Systém správy identit (většinou se užívá zkratky anglického názvu, tj. IdM) slouží k automatizované správě identit napříč zapojenými systémy, a to od vzniku identity po její zánik.

Jedná se o komplexní systém, který propojuje jednotlivé reprezentace téže identity v různých počítačových aplikacích. Srovnává změny, vyhodnocuje podle priorit pravdivější údaj od zdroje s větší důvěrou a pravidelně šíří záznamy do dalších systémů. Jeho poměrně složité nastavení musí odrážet všechny postupy týkající se dané identity. Tyto jsou plně automatizovány a nezávisle na lidském zásahu podle stanovených plánů prováděny.

Služby NTK vyžadující jedinečnou identitu

• Pobyt návštěvníka knihovny – vnitřní prostor knihovny s volně přístupným fondem je označován jako chráněný, je do něj umožněn vstup pouze pro známé osoby, což je zajišťováno tzv. elektronickou kontrolu vstupu (EKV) - dveře a závory se otevírají až po přiložení známé kartičky (která je součástí identity uživatele).
• Prezenční výpůjčky – každý knihovník rád půjčí knihu čtenáři, kterého zná, a ještě raději bude, pokud si knihu půjčí čtenář sám prostřednictvím SelfChecku, na nějž odloží své knihy k výpůjčce a svou čipovou kartu. K přihlášení do knihovního systému za účelem rezervací a správy svého čtenářského účtu využívá čtenář jméno a heslo.
• Elektronické zdroje – ze smluvních podmínek s poskytovateli obsahu vyplývá nutnost omezit přístup pouze pro uživatele knihovny. Z principu je využíváno jméno a heslo, které zpřístupňuje čtenáři síť internet z počítačů knihovny.
• Vzdálený přístup k elektronickým zdrojům – v případě neautorizovaného zpřístupnění elektronických zdrojů si zadělává knihovna na skutečně velké problémy, vzdálený přístup je tedy další místo pro využití identity, jejíž nositel se prokáže uživatelským jménem a heslem.
• Tisk – nikdo nechce, aby jeho tisky mohl odnést kdokoliv, a knihovna chce za provedené tisky v každém případě dostat zaplaceno. Opět jde o vhodné místo pro použití elektronické karty čtenáře.
• Připojení k internetu – patří ke službám, které stále ještě táhnou uživatele, hlavní je jednoduchý přístup a možnost postihnout uživatele porušující provozní řád. Vzhledem k formě média je ideálním způsobem autorizace jméno a heslo.
• Kopírování – není to služba zdarma, dříve to bylo řešeno papírkem od paní stojící u kopírky pro paní u pokladny, na který paní u pokladny po zaplacení potvrdila platbu, a uživatel došel opět k paní od kopírky, popř. měšcem v ruce čtenářově; do budoucna se v NTK počítá s implementací interního platebního systému, který pracuje právě s jedinečnou identitou uživatele.

Kdo a jak pracuje s IdM v knihovně?

V NTK, stejně jako v jakékoliv jiné organizaci, kde operace s identitami zajišťuje IdM, mají právo s identitami nakládat jen omezené skupiny pracovníků:

• pracovníci registrující čtenáře – provádějí standardní úkony, tj. založení, aktualizaci údajů a mazání identity čtenáře.
• pracovníci osobního oddělení – registrují přijaté zaměstnance, nastavují jim roli odpovídající pracovnímu zařazení a při ukončení pracovního poměru jejich identitu ruší.
• pracovníci oddělení marketingu a vzdělávání – registrují dočasné uživatele, mezi které patří účastníci konferencí, návštěvníci a frekventanti kurzů pořádaných NTK či konaných v NTK.

Uživatel knihovny si v současnosti sám může nastavit heslo a připravuje se rozhraní, jehož prostřednictvím by si mohl měnit přihlašovací údaje. Noví uživatelé mohou rovněž provádět předregistraci, aniž by fyzicky navštívili registrační pult v kamenné knihovně.

Speciálním případem jsou potom anonymní identity zaměstnanců a studentů vysokých škol (ČVUT a VŠCHT), kteří mají z titulu svého vztahu k vysoké škole zajištěn vstup do prostor NTK. Jedná se o desítky tisíc identit definovaných ve formě páru číslo identifikační karty:číslo přístupového oprávnění. Tyto identity jsou dávkově předávány IdM systémy vysokých škol a následně zpracovávány tak, aby byly detekovány a vyřešeny kolize u anonymních identit (průkazů studentů a zaměstnanců vysokých škol), které jsou součástí identit neanonymních (čtenáře NTK, který použil průkazku školy jako svůj čtenářský průkaz).

Systémy navázané na IdM a jejich hiearchie

V současné době jsou prostřednictvím systému IdM v NTK propojeny tyto systémy a jejich komponenty či návazné systémy:

• centrální databáze uživatelů (obsahuje veškeré (neanonymní) identity uživatelů a zaměstnanců knihovny):
  • webová aplikace pro správu identit (veškeré operace s identitami prováděné zaměstnanci knihovny se realizují pomocí srozumitelných formulářů);
  • konektor pro webový portál (umožňuje uživatelům knihovny prostřednictvím portálu www.techlib.cz provést změnu zapomenutého hesla, dále nečtenářům vzdálenou předregistraci čtenáře; připravují se také další služby spojené s uživatelským kontem).
• knihovní systém Aleph (všechny údaje týkající se čtenáře, omezení jeho účtu, jeho uživatelské jméno a číslo identifikační karty jsou automaticky přenášeny do knihovního systému):
  • SIP2 – automatické vracení a vypůjčování knih pomocí zařízení komunikujících tímto protokolem (stanice SelfCheck, robotizovaný návratový automat s třídičkou).
• LDAP (centrální adresář prezentující údaje o čtenáři, jeho uživatelském jménu, heslu a oprávněních, případně o čtenářově kartě a jejím PINu; pomocí centrálního adresáře se autorizují další služby):
  • webový portál;
  • Aleph (přihlášení uživatele do online katalogu a SelfChecku);
  • EZproxy (vzdálené přístupy uživatelů k elektronickým zdrojům);
  • Squid (webová proxy pro přístup ke zdrojům mimo knihovnu z počítačů v NTK);
  • Samba (datové prostory čtenářů a tiskové fronty);
  • RADIUS (systém ověřování při připojení soukromého počítače k síti)
  • v blízké budnoucnosti rovněž Shibboleth (viz první díl seriálu).
• EKV (elektronická kontrola vstupu; každý uživatel knihovny, který má evidovanou identifikační kartu, tj. libovolnou kartu podle standardů z rodiny MIFARE, mezi které patří pražská OpenCard, školní průkazy ISIC, ITIC, průkazky na dráhu a mnohé další karty, se dostane do chráněného prostoru knihovny; ochranka budovy může v případě telefonické žádosti uživatele jeho kartu v systému EKV rovněž zablokovat, což má za následek její blokaci i v dalších systémech navázaných na IdM).

V nejbližších měsících budou implementovány ještě následující systémy:

• interní platební systém (veškeré služby knihovny, které jsou zpoplatněny, budou probíhat přes interní platební systém – bude se jednat o poplatky, zpozdné, meziknihovní výpůjčky, reprografické služby, samoobslužný tisk a kopírování, elektronické dodávání dokumentů apod.);
• tiskový systém (uživatelé knihovny mohou volně využívat multifunkční zařízení a tiskové fronty ke svým tiskům, kopírování a skenování; zpoplatnění bude realizováno v návaznosti na interní platební systém).

Shrnutí

Implementace IdM je časově a finančně náročná záležitost, jeho zavedení však přivádí časové i finanční úspory a umožňuje uživatelům knihovny podstatně vyšší komfort, a to při zajištění vyšší úrovně bezpečí. Zatímco se americké vysoké školy zabývaly těmito problémy již v 80. letech a české univerzity od poloviny 90. let, do knihoven přicházejí tato řešení až se vzrůstající orientací na elektronické služby a zjednodušení služeb přidružených (tisk a kopírování).

Kromě popsané metody budování IdM na zelené louce, kdy je zaručeno umístění procesů do prostoru mezi jednotlivé systémy, je možné zvolit přístup založený na znovupoužití stávající technologie. Kupříkladu Národní knihovna ČR pracuje na využití knihovního systému Aleph (vybaveného doplňující funkcionalitou) jako online LDAP serveru pro účely tiskového systému. Další systémy včetně Shibbolethu a proxy serverů pak mohou být navázány na tento LDAP.

Existuje mnoho způsobů nakládání s identitami uživatelů knihoven. Je na každé knihovně, aby zvolila ten pro ni nejvýhodnější.