Pro-M - Oktatási Üzletág - Wiki - Szerkesztő közreműködései [hu]

Sirtfi

2018-06-14T06:20:28Z

19379(AT)wigner.mta.hu:

== Security Incident Response Trust Framework for Federated Identity (SIRTFI) ==

A [https://refeds.org/sirtfi SIRTFI] kezdeményezést a REFEDS (the Research and Education FEDerations group) koordinálja, célja, hogy a föderációs és különösen a födeációközi együttműködéshez kapcsolódó incidenskezelés számára kereteket szabjon, a föderációban résztvevő felek számára egy magasabb biztonsági szintet adjon azáltal, hogy a SIRTFI-nak megfelelő entitások kapcsán biztosak lehetnek az alábbiakban:
* az intézményi üzemeltető az adott entitáshoz kapcsolódó biztonsági frissítéseket, mind operációs rendszer, mind kapcsolódó szoftverek, mind pedig a föderációs együttműködést megvalósító middleware tekintetében a lehető leggyorsabban telepíti
* biztosított intézményi szinten az incidenskezeléshez kapcsoldódó kompetencia, mellyel párhuzamosan az intézmény föderációs szinten (a metadatán keresztül) megjelöl egy speciális elérhetőséget, melyen keresztül az esetleges biztonsági incidensek kapcsán biztosan felvehető a kapcsolat a kompetens intézményi személlyel
* az adott entitáshoz kapcsolódóan megfelelő naplózás történik, szükség esetén visszakereshetők az esetleges incidensekhez kapcsolódó alapvető információk
* az adott intézmény rendelkezik AUP-val és biztosítja, hogy felhasználói be is tartják

Fontos, hogy a SIRTFI-képesség metadatában való jelzése önbevallás útján történik, tehát föderációs szinten nem kerül vizsgálatra, hogy az intézmény az állításának megfelelően ténylegesen bír-e a fenti listában jelzett kompetenciákkal. Az eduID entitások kapcsán a Resource Registry-ben állítható be a SIRTFI-képesség.

Sirtfi

2018-06-14T06:15:50Z

19379(AT)wigner.mta.hu:

== Security Incident Response Trust Framework for Federated Identity (SIRTFI) ==

A SIRTFI kezdeményezést a REFEDS (the Research and Education FEDerations group) koordinálja, célja, hogy a föderációs és különösen a födeációközi együttműködéshez kapcsolódó incidenskezelés számára kereteket szabjon, a föderációban résztvevő felek számára egy magasabb biztonsági szintet adjon azáltal, hogy a SIRTFI-nak megfelelő entitások kapcsán biztosak lehetnek az alábbiakban:
* az intézményi üzemeltető az adott entitáshoz kapcsolódó biztonsági frissítéseket, mind operációs rendszer, mind kapcsolódó szoftverek, mind pedig a föderációs együttműködést megvalósító middleware tekintetében a lehető leggyorsabban telepíti
* biztosított intézményi szinten az incidenskezeléshez kapcsoldódó kompetencia, mellyel párhuzamosan az intézmény föderációs szinten (a metadatán keresztül) megjelöl egy speciális elérhetőséget, melyen keresztül az esetleges biztonsági incidensek kapcsán biztosan felvehető a kapcsolat a kompetens intézményi személlyel
* az adott entitáshoz kapcsolódóan megfelelő naplózás történik, szükség esetén visszakereshetők az esetleges incidensekhez kapcsolódó alapvető információk
* az adott intézmény rendelkezik AUP-val és biztosítja, hogy felhasználói be is tartják

Fontos, hogy a SIRTFI-képesség metadatában való jelzése önbevallás útján történik, tehát föderációs szinten nem kerül vizsgálatra, hogy az intézmény az állításának megfelelően ténylegesen bír-e a fenti listában jelzett kompetenciákkal. Az eduID entitások kapcsán a Resource Registry-ben állítható be a SIRTFI-képesség.

Sirtfi

2018-06-07T09:12:50Z

19379(AT)wigner.mta.hu: Új oldal, tartalma: „== Security Incident Response Trust Framework for Federated Identity (SIRTFI) == A SIRTFI kezdeményezést a REFEDS(the Research and Education FEDerations group) koor…”

SSP EntityCategories

2017-09-26T18:55:37Z

19379(AT)wigner.mta.hu:

Ez a lap a simpleSAMLphp EntityCategories moduljának továbbfejlesztett változatához tartozó beállításokat ismerteti. Reményeink szerint a modul valamikor a simpleSAMLphp alapcsomagjának is része lesz, ám amíg ez nem történik meg, addig az alábbiak szerint érdemes eljárni, ha használni szeretnénk.

A modul forrása: https://github.com/sitya/simplesamlphp-module-entitycategories.git

'''Fontos''', hogy a modul nem helyettesíti a core:AttributeLimit, vagy a niif:AttributeLimit modult, valamelyikkel együtt használandó!

==Telepítés composeren keresztül==

<source lang="bash">

cd /path/to/simplesamlphp
composer require simplesamlphp/simplesamlphp-module-entitycategories:dev-master
composer config repositories.simplesamlphp/simplesamlphp-module-entitycategories vcs https://github.com/sitya/simplesamlphp-module-entitycategories.git
composer update

</source>

==Beállítás==

Lévén egy AuthProc modullal van dolgunk, így a rendes authproc szekcióba kell elhelyeznünk valahol a sorban, a core:AttributeLimit, vagy niif:AttrobuteLimit előtt. Az alább részletezett alapbeállításokon túl (<code>default, strict, allowRequestedAttributes</code>) az egyes entityCategory-k URI-jait kell megadni, mint egy tömb kulcsát, és a hozzátartozó tömb értékeiként pedig a megengedett attribútumok URN-jeit. Tetszőleges számú entityCategory-t megadhatunk, a korábbi beállítások elsősorban azt szabályozzák, hogy mi történjen akkor, olyan entitással van dolgunk, akinek nincs a metadatájában megadva EntityCategory, vagy ha van, nem illeszkedik az általunk explicit beállított listában található EntityCategory-k valamelyikére.

=== Működő példa ===
<source lang="php">
75 => array(
'class' => 'entitycategories:EntityCategory',
'default' => true,
'strict' => true,
'allowRequestedAttributes' => true,
'http://eduid.hu/category/registered-by-eduidhu' => array (),
'http://www.geant.net/uri/dataprotection-code-of-conduct/v1' => array (),
'http://refeds.org/category/research-and-scholarship' => array(
'urn:oid:2.16.840.1.113730.3.1.241', #displayName
'urn:oid:2.5.4.4', #sn
'urn:oid:2.5.4.42', #givenName
'urn:oid:0.9.2342.19200300.100.1.3', #mail
'urn:oid:1.3.6.1.4.1.5923.1.1.1.6', #eduPersonPrincipalName
'urn:oid:1.3.6.1.4.1.5923.1.1.1.9', #eduPersonScopedAffiliation
),
),

80 => array(
'class' => 'niif:AttributeLimit',
'default' => true,
'bilateralSPs' => array(
'google.com' => array('mail'),
'urn:federation:MicrosoftOnline' => array('IDPEmail', 'ImmutableID'),
),
),
</source>

A fenti példa az alábbiakat végzi:
# a magyar föderáció által regisztrált entitások számára a [[Resource Registry]]-ben beállított attribútumok (<code>RequestedAttributes</code>) alapján történik az attribútum kiadás;
# a GÉANT Code of Conduct entitás kategóriájú eduGAIN-es SP-k számára szintén <code>RequestedAttributes</code> alapján történik az attribútum kiadás;
# a Research & Scholarship entitás kategóriájú eduGAIN-es SP-k számára kiadjuk a kategória által igényelt attribútumcsomagot
#* az ilyen SP-k <code>RequestedAttributes</code> alapján módosíthatnak az attribútum igényeiken
# a fenti kategóriáknak nem megfelelő SP-k közül kizárólag a ''bilateralSPs'' tömbben megadott entitásoknak adunk ki attribútumot.

{{STOP|Az ''entitycategories:EntityCategory'' modul ''strict'' beállítása esetén a lokálisan felvett SP-k esetén nem lesz figyelembe véve az ''attributes'' tömbelem! Ez azt jelenti, hogy a nem a központi metaadatokból származó SP-ket fel kell venni az ''niif:AttributeLimit'' modul listájába. Ebből fakadóan ilyen esetben nem is használhatjuk a ''core:AttributeLimit'' modult.}}

=== Opciók ===
===='''<code>default</code>'''====
Logikai kapcsoló, <code>true/false</code> értékeket vehet fel. Amennyiben <code>true</code>, úgy a beállított EntityCategory-k alatt megadott attribútumkészletet akkor is kiadjuk az adott EntityCategory-val érkező SP-nek, ha az attribútumokat explicit, a <code>RequestedAttribute</code>-ok között nem kérte felsorolva. Ennek az R&S EntityCategorynál van különös jelentősége (a példában is ez szerepel), mert ott a specifikáció kimondja, hogy a meghatározott attributúmkészletet akkor is ki kell adni az R&S-t támogató IdP-nek, amennyiben nincsenek ezen attribútumok tételesen felsorolva, mint <code>RequestedAttributes</code>.

===='''<code>strict</code>'''====
Logikai kapcsoló, <code>true/false</code> értékeket vehet fel. Amennyiben <code>true</code>, úgy csak és kizárólag a modul konfigurációjában megadott EntityCategory-val érkező SP-k számára kerülnek attribútumok kiadásra, "ismeretlen" EntityCategory-val bíró, és EntityCategory nélküli SP-k számára nem kerül kiadásra semmi.

===='''<code>allowRequestedAttributes</code>'''====
Logikai kapcsoló, <code>true/false</code> értékeket vehet fel. Amennyiben <code>true</code>, úgy megengedjük, hogy egy SP a hozzátartozó EntityCategory konfigurációjában megadott attribútumlistán túl kért attribútumot kiadásra <code>RequestedAttributes</code>-on keresztül, <code>false</code> esetén csak a listában szereplő attribútumok kiadását engedi a modul. Amennyiben az érték <code>true</code> és a <code>strict</code> értéke <code>false</code>, úgy az "ismeretlen" EntityCategory-val bíró SP-k számára is a <code>RequestedAttributes</code> alapján kerülnek kiadásra az attribútumok.

SSP EntityCategories

2017-08-30T12:17:49Z

19379(AT)wigner.mta.hu: /* allowRequestedAttributes */

Ez a lap a simpleSAMLphp EntityCategories moduljának továbbfejlesztett változatához tartozó beállításokat ismerteti. Reményeink szerint a modul valamikor a simpleSAMLphp alapcsomagjának is része lesz, ám amíg ez nem történik meg, addig az alábbiak szerint érdemes eljárni, ha használni szeretnénk.

A modul forrása: https://github.com/sitya/simplesamlphp-module-entitycategories.git

'''Fontos''', hogy a modul nem helyettesíti a core:AttributeLimit modult, azzal együtt használandó!

==Telepítés composeren keresztül==

<source lang="bash">

cd /path/to/simplesamlphp
composer require simplesamlphp/simplesamlphp-module-entitycategories:dev-master
composer config repositories.simplesamlphp/simplesamlphp-module-entitycategories vcs https://github.com/sitya/simplesamlphp-module-entitycategories.git
composer update

</source>

==Beállítás==

Lévén egy AuthProc modullal van dolgunk, így a rendes authproc szekcióba kell elhelyeznünk valahol a sorban, a core:AttributeLimit előtt. Az alább részletezett alapbeállításokon túl (<code>default, strict, allowRequestedAttributes</code>) az egyes entityCategory-k URI-jait kell megadni, mint egy tömb kulcsát, és a hozzátartozó tömb értékeiként pedig a megengedett attribútumok URN-jeit. Tetszőleges számú entityCategory-t megadhatunk, a korábbi beállítások elsősorban azt szabályozzák, hogy mi történjen akkor, olyan entitással van dolgunk, akinek nincs a metadatájában megadva EntityCategory, vagy ha van, nem illeszkedik az általunk explicit beállított listában található EntityCategory-k valamelyikére.

=== Működő példa ===
<source lang="php">
75 => array(
'class' => 'entitycategories:EntityCategory',
'default' => true,
'strict' => true,
'allowRequestedAttributes' => true,
'http://eduid.hu/category/registered-by-eduidhu' => array (),
'http://www.geant.net/uri/dataprotection-code-of-conduct/v1' => array (),
'http://refeds.org/category/research-and-scholarship' => array(
'urn:oid:2.16.840.1.113730.3.1.241', #displayName
'urn:oid:2.5.4.4', #sn
'urn:oid:2.5.4.42', #givenName
'urn:oid:0.9.2342.19200300.100.1.3', #mail
'urn:oid:1.3.6.1.4.1.5923.1.1.1.6', #eduPersonPrincipalName
'urn:oid:1.3.6.1.4.1.5923.1.1.1.9', #eduPersonScopedAffiliation
),
),

80 => array(
'class' => 'niif:AttributeLimit',
'default' => true,
'bilateralSPs' => array(
'google.com' => array('mail'),
'urn:federation:MicrosoftOnline' => array('IDPEmail', 'ImmutableID'),
),
),
</source>

A fenti példa az alábbiakat végzi:
# a magyar föderáció által regisztrált entitások számára a [[Resource Registry]]-ben beállított attribútumok (<code>RequestedAttributes</code>) alapján történik az attribútum kiadás;
# a GÉANT Code of Conduct entitás kategóriájú eduGAIN-es SP-k számára szintén <code>RequestedAttributes</code> alapján történik az attribútum kiadás;
# a Research & Scholarship entitás kategóriájú eduGAIN-es SP-k számára kiadjuk a kategória által igényelt attribútumcsomagot
#* az ilyen SP-k <code>RequestedAttributes</code> alapján módosíthatnak az attribútum igényeiken
# a fenti kategóriáknak nem megfelelő SP-k közül kizárólag a ''bilateralSPs'' tömbben megadott entitásoknak adunk ki attribútumot.

{{STOP|Az ''entitycategories:EntityCategory'' modul ''strict'' beállítása esetén a lokálisan felvett SP-k esetén nem lesz figyelembe véve az ''attributes'' tömbelem! Ez azt jelenti, hogy a nem a központi metaadatokból származó SP-ket fel kell venni az ''niif:AttributeLimit'' modul listájába. Ebből fakadóan ilyen esetben nem is használhatjuk a ''core:AttributeLimit'' modult.}}

=== Opciók ===
===='''<code>default</code>'''====
Logikai kapcsoló, <code>true/false</code> értékeket vehet fel. Amennyiben <code>true</code>, úgy a beállított EntityCategory-k alatt megadott attribútumkészletet akkor is kiadjuk az adott EntityCategory-val érkező SP-nek, ha az attribútumokat explicit, a <code>RequestedAttribute</code>-ok között nem kérte felsorolva. Ennek az R&S EntityCategorynál van különös jelentősége (a példában is ez szerepel), mert ott a specifikáció kimondja, hogy a meghatározott attributúmkészletet akkor is ki kell adni az R&S-t támogató IdP-nek, amennyiben nincsenek ezen attribútumok tételesen felsorolva, mint <code>RequestedAttributes</code>.

===='''<code>strict</code>'''====
Logikai kapcsoló, <code>true/false</code> értékeket vehet fel. Amennyiben <code>true</code>, úgy csak és kizárólag a modul konfigurációjában megadott EntityCategory-val érkező SP-k számára kerülnek attribútumok kiadásra, "ismeretlen" EntityCategory-val bíró, és EntityCategory nélküli SP-k számára nem kerül kiadásra semmi.

===='''<code>allowRequestedAttributes</code>'''====
Logikai kapcsoló, <code>true/false</code> értékeket vehet fel. Amennyiben <code>true</code>, úgy megengedjük, hogy egy SP a hozzátartozó EntityCategory konfigurációjában megadott attribútumlistán túl kért attribútumot kiadásra <code>RequestedAttributes</code>-on keresztül, <code>false</code> esetén csak a listában szereplő attribútumok kiadását engedi a modul. Amennyiben az érték <code>true</code> és a <code>strict</code> értéke <code>false</code>, úgy az "ismeretlen" EntityCategory-val bíró SP-k számára is a <code>RequestedAttributes</code> alapján kerülnek kiadásra az attribútumok.

SSP EntityCategories

2017-08-30T12:16:07Z

19379(AT)wigner.mta.hu: /* strict */

Ez a lap a simpleSAMLphp EntityCategories moduljának továbbfejlesztett változatához tartozó beállításokat ismerteti. Reményeink szerint a modul valamikor a simpleSAMLphp alapcsomagjának is része lesz, ám amíg ez nem történik meg, addig az alábbiak szerint érdemes eljárni, ha használni szeretnénk.

A modul forrása: https://github.com/sitya/simplesamlphp-module-entitycategories.git

'''Fontos''', hogy a modul nem helyettesíti a core:AttributeLimit modult, azzal együtt használandó!

==Telepítés composeren keresztül==

<source lang="bash">

cd /path/to/simplesamlphp
composer require simplesamlphp/simplesamlphp-module-entitycategories:dev-master
composer config repositories.simplesamlphp/simplesamlphp-module-entitycategories vcs https://github.com/sitya/simplesamlphp-module-entitycategories.git
composer update

</source>

==Beállítás==

Lévén egy AuthProc modullal van dolgunk, így a rendes authproc szekcióba kell elhelyeznünk valahol a sorban, a core:AttributeLimit előtt. Az alább részletezett alapbeállításokon túl (<code>default, strict, allowRequestedAttributes</code>) az egyes entityCategory-k URI-jait kell megadni, mint egy tömb kulcsát, és a hozzátartozó tömb értékeiként pedig a megengedett attribútumok URN-jeit. Tetszőleges számú entityCategory-t megadhatunk, a korábbi beállítások elsősorban azt szabályozzák, hogy mi történjen akkor, olyan entitással van dolgunk, akinek nincs a metadatájában megadva EntityCategory, vagy ha van, nem illeszkedik az általunk explicit beállított listában található EntityCategory-k valamelyikére.

=== Működő példa ===
<source lang="php">
75 => array(
'class' => 'entitycategories:EntityCategory',
'default' => true,
'strict' => true,
'allowRequestedAttributes' => true,
'http://eduid.hu/category/registered-by-eduidhu' => array (),
'http://www.geant.net/uri/dataprotection-code-of-conduct/v1' => array (),
'http://refeds.org/category/research-and-scholarship' => array(
'urn:oid:2.16.840.1.113730.3.1.241', #displayName
'urn:oid:2.5.4.4', #sn
'urn:oid:2.5.4.42', #givenName
'urn:oid:0.9.2342.19200300.100.1.3', #mail
'urn:oid:1.3.6.1.4.1.5923.1.1.1.6', #eduPersonPrincipalName
'urn:oid:1.3.6.1.4.1.5923.1.1.1.9', #eduPersonScopedAffiliation
),
),

80 => array(
'class' => 'niif:AttributeLimit',
'default' => true,
'bilateralSPs' => array(
'google.com' => array('mail'),
'urn:federation:MicrosoftOnline' => array('IDPEmail', 'ImmutableID'),
),
),
</source>

A fenti példa az alábbiakat végzi:
# a magyar föderáció által regisztrált entitások számára a [[Resource Registry]]-ben beállított attribútumok (<code>RequestedAttributes</code>) alapján történik az attribútum kiadás;
# a GÉANT Code of Conduct entitás kategóriájú eduGAIN-es SP-k számára szintén <code>RequestedAttributes</code> alapján történik az attribútum kiadás;
# a Research & Scholarship entitás kategóriájú eduGAIN-es SP-k számára kiadjuk a kategória által igényelt attribútumcsomagot
#* az ilyen SP-k <code>RequestedAttributes</code> alapján módosíthatnak az attribútum igényeiken
# a fenti kategóriáknak nem megfelelő SP-k közül kizárólag a ''bilateralSPs'' tömbben megadott entitásoknak adunk ki attribútumot.

{{STOP|Az ''entitycategories:EntityCategory'' modul ''strict'' beállítása esetén a lokálisan felvett SP-k esetén nem lesz figyelembe véve az ''attributes'' tömbelem! Ez azt jelenti, hogy a nem a központi metaadatokból származó SP-ket fel kell venni az ''niif:AttributeLimit'' modul listájába. Ebből fakadóan ilyen esetben nem is használhatjuk a ''core:AttributeLimit'' modult.}}

=== Opciók ===
===='''<code>default</code>'''====
Logikai kapcsoló, <code>true/false</code> értékeket vehet fel. Amennyiben <code>true</code>, úgy a beállított EntityCategory-k alatt megadott attribútumkészletet akkor is kiadjuk az adott EntityCategory-val érkező SP-nek, ha az attribútumokat explicit, a <code>RequestedAttribute</code>-ok között nem kérte felsorolva. Ennek az R&S EntityCategorynál van különös jelentősége (a példában is ez szerepel), mert ott a specifikáció kimondja, hogy a meghatározott attributúmkészletet akkor is ki kell adni az R&S-t támogató IdP-nek, amennyiben nincsenek ezen attribútumok tételesen felsorolva, mint <code>RequestedAttributes</code>.

===='''<code>strict</code>'''====
Logikai kapcsoló, <code>true/false</code> értékeket vehet fel. Amennyiben <code>true</code>, úgy csak és kizárólag a modul konfigurációjában megadott EntityCategory-val érkező SP-k számára kerülnek attribútumok kiadásra, "ismeretlen" EntityCategory-val bíró, és EntityCategory nélküli SP-k számára nem kerül kiadásra semmi.

===='''<code>allowRequestedAttributes</code>'''====
Logikai kapcsoló, <code>true/false</code> értékeket vehet fel. Amennyiben <code>true</code>, úgy megengedjük, hogy egy SP a hozzátartozó EntityCategory konfigurációjában megadott attribútumlistán túl kért attribútumot kiadásra <code>RequestedAttributes</code>-on keresztül, <code>false</code> esetén csak a listában szereplő attribútumok kiadását engedi a modul.

JoiningEduGAIN

2017-08-25T06:57:16Z

19379(AT)wigner.mta.hu: /* IdP csatlakozása az eduGAIN-hez? */

== IdP csatlakozása az eduGAIN-hez? ==
1. Az IdP ismerje az eduGAIN-es entitások metaadatait. Erre két út kínálkozik:
* Töltse be és rendszeresen frissítse az általunk aláírt eduGAIN metadatát: http://metadata.eduid.hu/current/edugain.xml. Az aláírókulcs megegyezik a többi metadata setet aláíró kulccsal (https://metadata.eduid.hu/href-metadata-signer-2011.crt) Félreértések elkerülése végett a magyar entitások az újra aláírt eduGAIN metaadatok között nem szerepelnek, hogy ne legyen duplikáció.
* Használja az [[MDX]] (http://mdx.eduid.hu) metadataforrást, így az szükséges entitások metaadatai igény szerint kerülnek letöltésre.

2. Kezelje az új SP-k attribútum-igényeit. Erre '''erősen ajánlott''' az EntityCategory alapú attribútum kiadást használni, kiegészítve a metadata-alapú (RequestedAttributes) attribútum kiadási mechanizmussal.
* ''SimpleSAMLphp'': a javasolt megoldásról [[SSP_EntityCategories| bővebben erre]].
* ''Shibboleth'': natívan ismeri mindkét attribútumkiadási mechanizmust:
** https://wiki.shibboleth.net/confluence/display/SHIB2/IdPFilterRequirementAttributeInMetadata
** https://wiki.shibboleth.net/confluence/display/IDP30/EntityAttributeExactMatchConfiguration
3. Az IdP technikai kapcsolattartója állítsa be a föderációs adminfelületen (https://rr.eduid.hu) az eduGAIN-es részvételt, ügyelve arra, hogy az entitáshoz beállított logó is https-en keresztüli url-en legyen elérhető, ill. rögzítésre kerüljenek a különböző leíró dokumentumok angol nyelvű változataira mutató url-ek is.

== SP csatlakozása az eduGAIN-hez ==
# Az SP töltse be és rendszeresen frissítse az általunk aláírt eduGAIN metadatát: http://metadata.eduid.hu/current/edugain.xml . Az aláírókulcs megegyezik a többi metadata setet aláíró kulccsal (https://metadata.eduid.hu/href-metadata-signer-2011.crt) Félreértések elkerülése végett a magyar entitások az újra aláírt eduGAIN metaadatok között nem szerepelnek, hogy ne legyen duplikáció.
# Az SP technikai vagy adminisztratív kapcsolattartójának kérni kell az info@eduid.hu címen, hogy publikáljuk az SP metadatát az eduGAIN-be.
# (''tervezett'') Az SP metaadatait kiegészítjük az [https://wiki.edugain.org/Data_Protection_Code_of_Conduct_Cookbook eduGAIN Code of Conduct] által meghatározott elemekkel.

[[Category: AAI]]
[[Category: EduGAIN]]
[[Category: HOWTO]]

JoiningEduGAIN

2017-08-25T06:52:51Z

19379(AT)wigner.mta.hu: /* SP csatlakozása az eduGAIN-hez */

== IdP csatlakozása az eduGAIN-hez? ==
1. Az IdP ismerje az eduGAIN-es entitások metaadatait. Erre két út kínálkozik:
* Töltse be és rendszeresen frissítse az általunk aláírt eduGAIN metadatát: http://metadata.eduid.hu/current/edugain.xml. Az aláírókulcs megegyezik a többi metadata setet aláíró kulccsal (https://metadata.eduid.hu/href-metadata-signer-2011.crt) Félreértések elkerülése végett a magyar entitások az újra aláírt eduGAIN metaadatok között nem szerepelnek, hogy ne legyen duplikáció.
* Használja az [[MDX]] (http://mdx.eduid.hu) metadataforrást, így az szükséges entitások metaadatai igény szerint kerülnek letöltésre.

2. Kezelje az új SP-k attribútum-igényeit. Erre '''erősen ajánlott''' az EntityCategory alapú attribútum kiadást használni, kiegészítve a metadata-alapú (RequestedAttributes) attribútum kiadási mechanizmussal.
* ''SimpleSAMLphp'': a javasolt megoldásról [[SSP_EntityCategories| bővebben erre]].
* ''Shibboleth'': https://wiki.shibboleth.net/confluence/display/SHIB2/IdPFilterRequirementAttributeInMetadata
3. Az IdP technikai kapcsolattartója beállítja a föderációs adminfelületen (https://rr.eduid.hu) az eduGAIN-es részvételt, ügyelve arra, hogy az entitáshoz beállított logó is https-en keresztüli url-en legyen elérhető, ill. rögzítésre kerüljenek a különböző leíró dokumentumok angol nyelvű változataira mutató url-ek is.

== SP csatlakozása az eduGAIN-hez ==
# Az SP töltse be és rendszeresen frissítse az általunk aláírt eduGAIN metadatát: http://metadata.eduid.hu/current/edugain.xml . Az aláírókulcs megegyezik a többi metadata setet aláíró kulccsal (https://metadata.eduid.hu/href-metadata-signer-2011.crt) Félreértések elkerülése végett a magyar entitások az újra aláírt eduGAIN metaadatok között nem szerepelnek, hogy ne legyen duplikáció.
# Az SP technikai vagy adminisztratív kapcsolattartójának kérni kell az info@eduid.hu címen, hogy publikáljuk az SP metadatát az eduGAIN-be.
# (''tervezett'') Az SP metaadatait kiegészítjük az [https://wiki.edugain.org/Data_Protection_Code_of_Conduct_Cookbook eduGAIN Code of Conduct] által meghatározott elemekkel.

[[Category: AAI]]
[[Category: EduGAIN]]
[[Category: HOWTO]]

JoiningEduGAIN

2017-08-25T06:49:08Z

19379(AT)wigner.mta.hu: /* IdP csatlakozása az eduGAIN-hez? */

== IdP csatlakozása az eduGAIN-hez? ==
1. Az IdP ismerje az eduGAIN-es entitások metaadatait. Erre két út kínálkozik:
* Töltse be és rendszeresen frissítse az általunk aláírt eduGAIN metadatát: http://metadata.eduid.hu/current/edugain.xml. Az aláírókulcs megegyezik a többi metadata setet aláíró kulccsal (https://metadata.eduid.hu/href-metadata-signer-2011.crt) Félreértések elkerülése végett a magyar entitások az újra aláírt eduGAIN metaadatok között nem szerepelnek, hogy ne legyen duplikáció.
* Használja az [[MDX]] (http://mdx.eduid.hu) metadataforrást, így az szükséges entitások metaadatai igény szerint kerülnek letöltésre.

2. Kezelje az új SP-k attribútum-igényeit. Erre '''erősen ajánlott''' az EntityCategory alapú attribútum kiadást használni, kiegészítve a metadata-alapú (RequestedAttributes) attribútum kiadási mechanizmussal.
* ''SimpleSAMLphp'': a javasolt megoldásról [[SSP_EntityCategories| bővebben erre]].
* ''Shibboleth'': https://wiki.shibboleth.net/confluence/display/SHIB2/IdPFilterRequirementAttributeInMetadata
3. Az IdP technikai kapcsolattartója beállítja a föderációs adminfelületen (https://rr.eduid.hu) az eduGAIN-es részvételt, ügyelve arra, hogy az entitáshoz beállított logó is https-en keresztüli url-en legyen elérhető, ill. rögzítésre kerüljenek a különböző leíró dokumentumok angol nyelvű változataira mutató url-ek is.

== SP csatlakozása az eduGAIN-hez ==
# Az IdP töltse be és rendszeresen frissítse az általunk aláírt eduGAIN metadatát: http://metadata.eduid.hu/current/edugain.xml . Az aláírókulcs megegyezik a többi metadata setet aláíró kulccsal (https://metadata.eduid.hu/href-metadata-signer-2011.crt) Félreértések elkerülése végett a magyar entitások az újra aláírt eduGAIN metaadatok között nem szerepelnek, hogy ne legyen duplikáció.
# Az SP technikai vagy adminisztratív kapcsolattartójának kérni kell az info@eduid.hu címen, hogy publikáljuk az SP metadatát az eduGAIN-be.
# (''tervezett'') Az SP metaadatait kiegészítjük az [https://wiki.edugain.org/Data_Protection_Code_of_Conduct_Cookbook eduGAIN Code of Conduct] által meghatározott elemekkel.

[[Category: AAI]]
[[Category: EduGAIN]]
[[Category: HOWTO]]

JoiningEduGAIN

2017-08-25T06:47:46Z

19379(AT)wigner.mta.hu: /* IdP csatlakozása az eduGAIN-hez? */

== IdP csatlakozása az eduGAIN-hez? ==
1. Az IdP ismerje az eduGAIN-es entitások metaadatait. Erre két út kínálkozik:
* Töltse be és rendszeresen frissítse az általunk aláírt eduGAIN metadatát: http://metadata.eduid.hu/current/edugain.xml. Az aláírókulcs megegyezik a többi metadata setet aláíró kulccsal (https://metadata.eduid.hu/href-metadata-signer-2011.crt) Félreértések elkerülése végett a magyar entitások az újra aláírt eduGAIN metaadatok között nem szerepelnek, hogy ne legyen duplikáció.
* Használja az [[MDX]] (http://mdx.eduid.hu) metadataforrást, így az szükséges entitások metaadatai igény szerint kerülnek letöltésre.

2. Kezelje az új SP-k attribútum-igényeit. Erre '''erősen ajánlott''' az EntityCategory alapú attribútum kiadást használni, kiegészítve a metadata-alapú (RequestedAttributes) attribútum kiadási mechanizmussal.
* ''SimpleSAML'': a javasolt megoldásról bővebben erre: [[SSP_EntityCategories]].
* ''Shibboleth'': https://wiki.shibboleth.net/confluence/display/SHIB2/IdPFilterRequirementAttributeInMetadata
3. Az IdP technikai kapcsolattartója beállítja a föderációs adminfelületen (https://rr.eduid.hu) az eduGAIN-es részvételt, ügyelve arra, hogy az entitáshoz beállított logó is https-en keresztüli url-en legyen elérhető, ill. rögzítésre kerüljenek a különböző leíró dokumentumok angol nyelvű változataira mutató url-ek is.

== SP csatlakozása az eduGAIN-hez ==
# Az IdP töltse be és rendszeresen frissítse az általunk aláírt eduGAIN metadatát: http://metadata.eduid.hu/current/edugain.xml . Az aláírókulcs megegyezik a többi metadata setet aláíró kulccsal (https://metadata.eduid.hu/href-metadata-signer-2011.crt) Félreértések elkerülése végett a magyar entitások az újra aláírt eduGAIN metaadatok között nem szerepelnek, hogy ne legyen duplikáció.
# Az SP technikai vagy adminisztratív kapcsolattartójának kérni kell az info@eduid.hu címen, hogy publikáljuk az SP metadatát az eduGAIN-be.
# (''tervezett'') Az SP metaadatait kiegészítjük az [https://wiki.edugain.org/Data_Protection_Code_of_Conduct_Cookbook eduGAIN Code of Conduct] által meghatározott elemekkel.

[[Category: AAI]]
[[Category: EduGAIN]]
[[Category: HOWTO]]

SSP EntityCategories

2017-08-25T06:46:03Z

19379(AT)wigner.mta.hu:

SSP EntityCategories

2017-08-25T06:38:52Z

19379(AT)wigner.mta.hu: /* Telepítés composeren keresztül */

SSP EntityCategories

2017-08-25T06:23:32Z

19379(AT)wigner.mta.hu:

SSP EntityCategories

2017-08-25T06:06:34Z

19379(AT)wigner.mta.hu: Új oldal, tartalma: „Ez a lap a simpleSAMLphp EntityCategories moduljának továbbfejlesztett változatához tartozó beállításokat ismerteti. Reményeink szerint a modul valamikor a sim…”

JoiningEduGAIN

2017-08-24T19:01:28Z

19379(AT)wigner.mta.hu: /* SP csatlakozása az eduGAIN-hez */

== IdP csatlakozása az eduGAIN-hez? ==
1. Az IdP ismerje az eduGAIN-es entitások metaadatait. Erre két út kínálkozik:
* Töltse be és rendszeresen frissítse az általunk aláírt eduGAIN metadatát: http://metadata.eduid.hu/current/edugain.xml. Az aláírókulcs megegyezik a többi metadata setet aláíró kulccsal (https://metadata.eduid.hu/href-metadata-signer-2011.crt) Félreértések elkerülése végett a magyar entitások az újra aláírt eduGAIN metaadatok között nem szerepelnek, hogy ne legyen duplikáció.
* Használja az [[MDX]] (http://mdx.eduid.hu) metadataforrást, így az szükséges entitások metaadatai igény szerint kerülnek letöltésre.

2. Kezelje az új SP-k attribútum-igényeit. Erre '''erősen ajánlott''' az EntityCategory alapú attribútum kiadást használni, kiegészítve a metadata-alapú (RequestedAttributes) attribútum kiadási mechanizmussal.
* ''SimpleSAML'': a <code>core:AttributeLimit</code> modul így működik és kezeli az utóbbi megoldást, az entityCategory alapú kiadásra jelenleg teljes megoldást csak az általunk forkolt modul biztosít: https://github.com/sitya/simplesamlphp-module-entitycategories, melyhez azonban a dokumentáció még készül.
* ''Shibboleth'': https://wiki.shibboleth.net/confluence/display/SHIB2/IdPFilterRequirementAttributeInMetadata
3. Az IdP technikai kapcsolattartója beállítja a föderációs adminfelületen (https://rr.eduid.hu) az eduGAIN-es részvételt, ügyelve arra, hogy az entitáshoz beállított logó is https-en keresztüli url-en legyen elérhető, ill. rögzítésre kerüljenek a különböző leíró dokumentumok angol nyelvű változataira mutató url-ek is.

== SP csatlakozása az eduGAIN-hez ==
# Az IdP töltse be és rendszeresen frissítse az általunk aláírt eduGAIN metadatát: http://metadata.eduid.hu/current/edugain.xml . Az aláírókulcs megegyezik a többi metadata setet aláíró kulccsal (https://metadata.eduid.hu/href-metadata-signer-2011.crt) Félreértések elkerülése végett a magyar entitások az újra aláírt eduGAIN metaadatok között nem szerepelnek, hogy ne legyen duplikáció.
# Az SP technikai vagy adminisztratív kapcsolattartójának kérni kell az info@eduid.hu címen, hogy publikáljuk az SP metadatát az eduGAIN-be.
# (''tervezett'') Az SP metaadatait kiegészítjük az [https://wiki.edugain.org/Data_Protection_Code_of_Conduct_Cookbook eduGAIN Code of Conduct] által meghatározott elemekkel.

[[Category: AAI]]
[[Category: EduGAIN]]
[[Category: HOWTO]]

JoiningEduGAIN

2017-08-24T19:00:58Z

19379(AT)wigner.mta.hu: /* IdP csatlakozása az eduGAIN-hez? */

== IdP csatlakozása az eduGAIN-hez? ==
1. Az IdP ismerje az eduGAIN-es entitások metaadatait. Erre két út kínálkozik:
* Töltse be és rendszeresen frissítse az általunk aláírt eduGAIN metadatát: http://metadata.eduid.hu/current/edugain.xml. Az aláírókulcs megegyezik a többi metadata setet aláíró kulccsal (https://metadata.eduid.hu/href-metadata-signer-2011.crt) Félreértések elkerülése végett a magyar entitások az újra aláírt eduGAIN metaadatok között nem szerepelnek, hogy ne legyen duplikáció.
* Használja az [[MDX]] (http://mdx.eduid.hu) metadataforrást, így az szükséges entitások metaadatai igény szerint kerülnek letöltésre.

2. Kezelje az új SP-k attribútum-igényeit. Erre '''erősen ajánlott''' az EntityCategory alapú attribútum kiadást használni, kiegészítve a metadata-alapú (RequestedAttributes) attribútum kiadási mechanizmussal.
* ''SimpleSAML'': a <code>core:AttributeLimit</code> modul így működik és kezeli az utóbbi megoldást, az entityCategory alapú kiadásra jelenleg teljes megoldást csak az általunk forkolt modul biztosít: https://github.com/sitya/simplesamlphp-module-entitycategories, melyhez azonban a dokumentáció még készül.
* ''Shibboleth'': https://wiki.shibboleth.net/confluence/display/SHIB2/IdPFilterRequirementAttributeInMetadata
3. Az IdP technikai kapcsolattartója beállítja a föderációs adminfelületen (https://rr.eduid.hu) az eduGAIN-es részvételt, ügyelve arra, hogy az entitáshoz beállított logó is https-en keresztüli url-en legyen elérhető, ill. rögzítésre kerüljenek a különböző leíró dokumentumok angol nyelvű változataira mutató url-ek is.

== SP csatlakozása az eduGAIN-hez ==
# Az IdP töltse be és rendszeresen frissítse az általunk aláírt eduGAIN metadatát: http://metadata.eduid.hu/current/edugain.xml . Az aláírókulcs megegyezik a többi metadata setet aláíró kulccsal (https://metadata.eduid.hu/href-metadata-signer-2011.crt) Félreértések elkerülése végett a magyar entitások az újra aláírt eduGAIN metaadatok között nem szerepelnek, hogy ne legyen duplikáció.
# Az SP technikai vagy adminisztratív kapcsolattartójának kérni kell az aai@niif.hu címen, hogy publikáljuk az SP metadatát az eduGAIN-be.
# (''tervezett'') Az SP metaadatait kiegészítjük az [https://wiki.edugain.org/Data_Protection_Code_of_Conduct_Cookbook eduGAIN Code of Conduct] által meghatározott elemekkel.

[[Category: AAI]]
[[Category: EduGAIN]]
[[Category: HOWTO]]

JoiningEduGAIN

2017-08-24T19:00:03Z

19379(AT)wigner.mta.hu: /* IdP csatlakozása az eduGAIN-hez? */

== IdP csatlakozása az eduGAIN-hez? ==
1. Az IdP ismerje az eduGAIN-es entitások metaadatait. Erre két út kínálkozik:
:a) Töltse be és rendszeresen frissítse az általunk aláírt eduGAIN metadatát: http://metadata.eduid.hu/current/edugain.xml. Az aláírókulcs megegyezik a többi metadata setet aláíró kulccsal (https://metadata.eduid.hu/href-metadata-signer-2011.crt) Félreértések elkerülése végett a magyar entitások az újra aláírt eduGAIN metaadatok között nem szerepelnek, hogy ne legyen duplikáció.
:b) Használja az [[MDX]] (http://mdx.eduid.hu) metadataforrást, így az szükséges entitások metaadatai igény szerint kerülnek letöltésre.

2. Kezelje az új SP-k attribútum-igényeit. Erre '''erősen ajánlott''' az EntityCategory alapú attribútum kiadást használni, kiegészítve a metadata-alapú (RequestedAttributes) attribútum kiadási mechanizmussal.
#* ''SimpleSAML'': a <code>core:AttributeLimit</code> modul így működik és kezeli az utóbbi megoldást, az entityCategory alapú kiadásra jelenleg teljes megoldást csak az általunk forkolt modul biztosít: https://github.com/sitya/simplesamlphp-module-entitycategories, melyhez azonban a dokumentáció még készül.
#* ''Shibboleth'': https://wiki.shibboleth.net/confluence/display/SHIB2/IdPFilterRequirementAttributeInMetadata
3. Az IdP technikai kapcsolattartója beállítja a föderációs adminfelületen (https://rr.eduid.hu) az eduGAIN-es részvételt, ügyelve arra, hogy az entitáshoz beállított logó is https-en keresztüli url-en legyen elérhető, ill. rögzítésre kerüljenek a különböző leíró dokumentumok angol nyelvű változataira mutató url-ek is.

== SP csatlakozása az eduGAIN-hez ==
# Az IdP töltse be és rendszeresen frissítse az általunk aláírt eduGAIN metadatát: http://metadata.eduid.hu/current/edugain.xml . Az aláírókulcs megegyezik a többi metadata setet aláíró kulccsal (https://metadata.eduid.hu/href-metadata-signer-2011.crt) Félreértések elkerülése végett a magyar entitások az újra aláírt eduGAIN metaadatok között nem szerepelnek, hogy ne legyen duplikáció.
# Az SP technikai vagy adminisztratív kapcsolattartójának kérni kell az aai@niif.hu címen, hogy publikáljuk az SP metadatát az eduGAIN-be.
# (''tervezett'') Az SP metaadatait kiegészítjük az [https://wiki.edugain.org/Data_Protection_Code_of_Conduct_Cookbook eduGAIN Code of Conduct] által meghatározott elemekkel.

[[Category: AAI]]
[[Category: EduGAIN]]
[[Category: HOWTO]]

JoiningEduGAIN

2017-08-24T18:55:19Z

19379(AT)wigner.mta.hu: /* IdP csatlakozása az eduGAIN-hez? */

== IdP csatlakozása az eduGAIN-hez? ==
1. Az IdP ismerje az eduGAIN-es entitások metaadatait. Erre két út kínálkozik:
:a) Töltse be és rendszeresen frissítse az általunk aláírt eduGAIN metadatát: http://metadata.eduid.hu/current/edugain.xml. Az aláírókulcs megegyezik a többi metadata setet aláíró kulccsal (https://metadata.eduid.hu/href-metadata-signer-2011.crt) Félreértések elkerülése végett a magyar entitások az újra aláírt eduGAIN metaadatok között nem szerepelnek, hogy ne legyen duplikáció.
:b) Használja az [[MDX]] (http://mdx.eduid.hu) metadataforrást, így az szükséges entitások metaadatai igény szerint kerülnek letöltésre.

2. Kezelje az új SP-k attribútum-igényeit. Erre '''erősen ajánlott''' az EntityCategory alapú attribútum kiadást használni, kiegészítve a metadata-alapú (RequestedAttributes) attribútum kiadási mechanizmussal.
#* ''SimpleSAML'': a <code>core:AttributeLimit</code> modul így működik
#* ''Shibboleth'': https://wiki.shibboleth.net/confluence/display/SHIB2/IdPFilterRequirementAttributeInMetadata
# Az IdP technikai kapcsolattartója beállítja a föderációs adminfelületen az eduGAIN-es részvételt (rr.eduid.hu).

== SP csatlakozása az eduGAIN-hez ==
# Az IdP töltse be és rendszeresen frissítse az általunk aláírt eduGAIN metadatát: http://metadata.eduid.hu/current/edugain.xml . Az aláírókulcs megegyezik a többi metadata setet aláíró kulccsal (https://metadata.eduid.hu/href-metadata-signer-2011.crt) Félreértések elkerülése végett a magyar entitások az újra aláírt eduGAIN metaadatok között nem szerepelnek, hogy ne legyen duplikáció.
# Az SP technikai vagy adminisztratív kapcsolattartójának kérni kell az aai@niif.hu címen, hogy publikáljuk az SP metadatát az eduGAIN-be.
# (''tervezett'') Az SP metaadatait kiegészítjük az [https://wiki.edugain.org/Data_Protection_Code_of_Conduct_Cookbook eduGAIN Code of Conduct] által meghatározott elemekkel.

[[Category: AAI]]
[[Category: EduGAIN]]
[[Category: HOWTO]]

JoiningEduGAIN

2017-06-19T10:53:48Z

19379(AT)wigner.mta.hu: /* IdP csatlakozása az eduGAIN-hez? */

== IdP csatlakozása az eduGAIN-hez? ==
# Az IdP töltse be és rendszeresen frissítse az általunk aláírt eduGAIN metadatát: http://metadata.eduid.hu/current/edugain.xml . Az aláírókulcs megegyezik a többi metadata setet aláíró kulccsal (https://metadata.eduid.hu/href-metadata-signer-2011.crt) Félreértések elkerülése végett a magyar entitások az újra aláírt eduGAIN metaadatok között nem szerepelnek, hogy ne legyen duplikáció.
# Kezelje az új SP-k attribútum-igényeit. Erre '''erősen ajánlott''' metadata-alapú attribútum-kiadást használni:
#* ''SimpleSAML'': a <code>core:AttributeLimit</code> modul így működik
#* ''Shibboleth'': https://wiki.shibboleth.net/confluence/display/SHIB2/IdPFilterRequirementAttributeInMetadata
# Az IdP technikai kapcsolattartója beállítja a föderációs adminfelületen az eduGAIN-es részvételt (rr.eduid.hu).

== SP csatlakozása az eduGAIN-hez ==
# Az IdP töltse be és rendszeresen frissítse az általunk aláírt eduGAIN metadatát: http://metadata.eduid.hu/current/edugain.xml . Az aláírókulcs megegyezik a többi metadata setet aláíró kulccsal (https://metadata.eduid.hu/href-metadata-signer-2011.crt) Félreértések elkerülése végett a magyar entitások az újra aláírt eduGAIN metaadatok között nem szerepelnek, hogy ne legyen duplikáció.
# Az SP technikai vagy adminisztratív kapcsolattartójának kérni kell az aai@niif.hu címen, hogy publikáljuk az SP metadatát az eduGAIN-be.
# (''tervezett'') Az SP metaadatait kiegészítjük az [https://wiki.edugain.org/Data_Protection_Code_of_Conduct_Cookbook eduGAIN Code of Conduct] által meghatározott elemekkel.

[[Category: AAI]]
[[Category: EduGAIN]]
[[Category: HOWTO]]

AAI

2017-05-12T20:10:15Z

19379(AT)wigner.mta.hu: /* Föderációs alapinfrastruktúrák (IdP-k, SP-k) */

=== Meghatározások ===

* [[Föderáció]]
* [[Pont-pont bizalmi kapcsolati modell]]
* [[Metadata]]
* [[Föderációs modellek]]
* [[WAYF | Home Location Service]]
* [[Shibboleth]]
* [[AAIGettingStarted | Hogy kezdjem?]]

===Föderációs alapinfrastruktúrák (IdP-k, SP-k)===
Tapasztalatok alapján IdP esetén egyszerűsége miatt talán jobb választás a simpleSAMLphp, SP esetén Shibboleth ill. simpleSAMLphp egyaránt megfelelő választás /etc/ssl/certs/adminmail.sulinet.hu.crtmind beállítási, mind üzemeltetési szempontból.
* Shibboleth IdP: [[Shib3IdpInstall|Telepítés, beállítás]], [[Shibboleth3 IdP|Egyéb leírások]], [[Shibboleth2 IdP|Shibboleth 2 IdP leírások]]
* Shibboleth SP: [[ShibSP_QuickStart|Kezdőlépések]], [[Shibboleth2 SP|Egyéb leírások]]
* simpleSAMLphp IdP és SP: [[SSP_QuickStart|Kezdőlépések]]
* [[IdP_whichone|Melyik IdP-t válasszam?]]
* Ha nem értek hozzá, jó választás lehet a [https://samlidp.io samlidp.io - SAML Identity Provider as a Service]

===HREF/eduID föderációhoz kapcsolódó tudnivalók===
* [[HREFContract]]: A föderációhoz kapcsolódó dokumentációk gyűjtőlapja
* [[HREFAttributeSpec]]: A föderációban használható attribútumok specifikációja
* [[HREFMetadataSpec]]: A föderációban használt metadata specifikációja
* [[Resource_Registry]]: A föderáció adminisztrációs felületének leírása
* Hivatalos metadata: [http://metadata.eduid.hu/current/ http://metadata.eduid.hu/current/]
* [https://listserv.niif.hu/mailman/listinfo/href-tech HREF-Tech levelezőlista]
* [[EntityCategories]]: Entitás kategóriákról (Entity categories)

===További föderációs megoldások===
* [[Shibboleth2 DiscoveryService]]: Shibboleth 2.0 SAML-kompatibilis Discovery Service
* [[OpenSSO]]: Nehézsúlyú Java hozzáférés-szabályozást és federációt megvalósító rendszer
* [[OpenID]]: Széles körben támogatott, de nem SAML-alapú federációt megvalósító rendszer
* [[GoogleAuth]]: Google, mint [[OpenID]] szabványú IdP
* [[mod_mellon]]: SP megoldás apache modulban. A SAML2 motort a [http://lasso.entrouvert.org Lasso] valósítja meg. [http://docs.feide.no/fs-0050]
* [[oiosaml.java]]: Java SP megoldás, amit a Dán állam is használ. [http://www.softwareborsen.dk/projekter/softwarecenter/brugerstyring/oio-saml-java]
* [[UApprove]]: Shibboleth 2.1.x IdP-hez illeszthető "consent-modul" beállításának leírása
* [[Shibboleth troubleshooting]]: Shibboleth hibaelhárítás

===Kiegészítő tudnivalók===
* [[Alkalmazások illesztése]]: Néhány alkalmazás Shibboleth-illesztésének leírása
* [[Interoperabilitás mátrix]]: Shibboleth, OpenSSO, simpleSAMLphp együttműködési mátrix
* [[Eszközök]]: Hasznos eszközök föderációk üzemeltetéséhez, használatához
* [[Intézmény átnevezés]]: megfontolandó szempontok

* [[Publikációk]]

[[Kategória: Összefoglaló lapok]]

AAI

2017-04-12T06:09:41Z

19379(AT)wigner.mta.hu: /* HREF/eduID föderációhoz kapcsolódó tudnivalók */

=== Meghatározások ===

* [[Föderáció]]
* [[Pont-pont bizalmi kapcsolati modell]]
* [[Metadata]]
* [[Föderációs modellek]]
* [[WAYF | Home Location Service]]
* [[Shibboleth]]
* [[AAIGettingStarted | Hogy kezdjem?]]

===Föderációs alapinfrastruktúrák (IdP-k, SP-k)===
Tapasztalatok alapján IdP esetén egyszerűsége miatt talán jobb választás a simpleSAMLphp, SP esetén Shibboleth ill. simpleSAMLphp egyaránt megfelelő választás /etc/ssl/certs/adminmail.sulinet.hu.crtmind beállítási, mind üzemeltetési szempontból.
* Shibboleth IdP: [[Shib3IdpInstall|Telepítés, beállítás]], [[Shibboleth3 IdP|Egyéb leírások]], [[Shibboleth2 IdP|Shibboleth 2 IdP leírások]]
* Shibboleth SP: [[ShibSP_QuickStart|Kezdőlépések]], [[Shibboleth2 SP|Egyéb leírások]]
* simpleSAMLphp IdP és SP: [[SSP_QuickStart|Kezdőlépések]]
* [[IdP_whichone|Melyik IdP-t válasszam?]]
* Ha nem értek hozzá, jó választás lehet: [https://samlidp.io Identity Provider as a Service]

===HREF/eduID föderációhoz kapcsolódó tudnivalók===
* [[HREFContract]]: A föderációhoz kapcsolódó dokumentációk gyűjtőlapja
* [[HREFAttributeSpec]]: A föderációban használható attribútumok specifikációja
* [[HREFMetadataSpec]]: A föderációban használt metadata specifikációja
* [[Resource_Registry]]: A föderáció adminisztrációs felületének leírása
* Hivatalos metadata: [http://metadata.eduid.hu/current/ http://metadata.eduid.hu/current/]
* [https://listserv.niif.hu/mailman/listinfo/href-tech HREF-Tech levelezőlista]
* [[EntityCategories]]: Entitás kategóriákról (Entity categories)

===További föderációs megoldások===
* [[Shibboleth2 DiscoveryService]]: Shibboleth 2.0 SAML-kompatibilis Discovery Service
* [[OpenSSO]]: Nehézsúlyú Java hozzáférés-szabályozást és federációt megvalósító rendszer
* [[OpenID]]: Széles körben támogatott, de nem SAML-alapú federációt megvalósító rendszer
* [[GoogleAuth]]: Google, mint [[OpenID]] szabványú IdP
* [[mod_mellon]]: SP megoldás apache modulban. A SAML2 motort a [http://lasso.entrouvert.org Lasso] valósítja meg. [http://docs.feide.no/fs-0050]
* [[oiosaml.java]]: Java SP megoldás, amit a Dán állam is használ. [http://www.softwareborsen.dk/projekter/softwarecenter/brugerstyring/oio-saml-java]
* [[UApprove]]: Shibboleth 2.1.x IdP-hez illeszthető "consent-modul" beállításának leírása
* [[Shibboleth troubleshooting]]: Shibboleth hibaelhárítás

===Kiegészítő tudnivalók===
* [[Alkalmazások illesztése]]: Néhány alkalmazás Shibboleth-illesztésének leírása
* [[Interoperabilitás mátrix]]: Shibboleth, OpenSSO, simpleSAMLphp együttműködési mátrix
* [[Eszközök]]: Hasznos eszközök föderációk üzemeltetéséhez, használatához
* [[Intézmény átnevezés]]: megfontolandó szempontok

* [[Publikációk]]

[[Kategória: Összefoglaló lapok]]

Resource Registry

2017-04-12T06:08:31Z

19379(AT)wigner.mta.hu:

{{ambox
| type = delete
| image = [[Image:Trash.svg|40px]]
| text = <big>'''Elavult információ'''</big>
----
{{#if:{{{1|}}} | {{{1}}} | '''Figyelem:''' ez a szócikk elavult, a Resource Registry megújult egy ideje!
}}
}}

===Alapfogalmak===

* '''Attribútum''': felhasználóra vonatkozó tulajdonság. A föderációban használt attribútumok listája '''[[HREFAttributeSpec|itt érhető el]]'''.
* '''SP: Service Provider - Szogáltatás''': Webes alkalmazás, amelynek felhasználóit föderatívan valamilyen IdP által autentikáltatja
* '''IdP: Identity Provider - Azonosító szervezet''': Feladata a felhasználó azonosítása, felhasználó attribútumainak kiadása SP-k részére
* '''Föderáció''': olyan intézmények halmaza, amelyek között lehetséges az azonosítási-információk átadása. Az intézmények - szabályozott keretek között - megbíznak a másik intézmény által kiállított azonosítási-információkban.
* '''Entitás''': föderációt alkotó elem (IdP, SP)

==Áttekintés==

A Resource Registry az alakuló magyarországi felsőoktatási és kutatási föderáció (HREF) központi eleme, mellyel a föderációban résztvevő szolgáltatások (SP-k) és azonosító szervezetek (IdP-k) adminisztrálását lehet egy letisztult környezetben, elosztott jogosultságokkal végezni. A rendszer az egyes entitásokért felelős adminisztrátorok számára készül.

A rendszer a svájci [http://switch.ch SWITCH Intézet] által fejlesztett rendszer alapjaira épül, PHP nyelven íródott, adatbázisként MySQL-t használ.

===Funkciók===

''A rendszer saját adatbázisból dolgozik, minden funkciójának kimenete ezeken az adatokon alapul.''

* Föderáció-szintű feladata, hogy a központi metaadatot óránként generálja, melyet a résztvevő "entitások" használnak, ezzel garantálva egyfelől a föderáció egységességét, másfelől a megfelelő formátumú metaadat alkalmazásával megteremtse a lehetőséget, hogy a föderáció kiegészítő alkalmazásai (Discovery Service), ill. nemzetközi szintű együttműködésben - bizonyos keretek közt - más föderációk is dolgozhassanak ebből.

* Az [[HREFAttributeSpec|attribútum-szabályzat]] szintén föderációs szinten állítható, melyeket kiegészítve, az egyes IdP-k megadhatják, hogy mely attribútumokat milyen feltételekkel adják ki, ill. az egyes SP-k is deklarálhatják, hogy milyen attribútumok megléte esetén tudnak egyáltalán működni, mindezt az egyes intézmények adatvédelmi felelősei által kontrolálva.

* Egyénileg, az adott entitás adminisztrátorai által használhatók az egyes IdP-k, SP-k telepítését és konfigurálását megkönnyítő funkciók, melyek a megfelelő beállításokat webes felületen megadva letölthetővé teszik az ezen beállítások alapján automatikusan generált, és jó eséllyel minimális további kézi konfigurációt igénylő fájlokat. Fontos, hogy ezeket a fájlokat nem kötelező használni, ám segítséget jelenthetnek.

'''Shibboleth 2.x SP-hez:'''
*<code lang="xml">shibboleth2.xml</code>
''Fontos, hogy ezt akkor lehet szinte egy az egyben használni, amennyiben az adott SP csak egy alkalmazást véd. Amennyiben több alkalmazás is igényel Shibbolethet egyazon hoszton, úgy kézzel kell szerkeszteni az xml-t.''

*<code lang="xml">attribute-map.xml</code>
*<code lang="xml">attribure-policy.xml</code>
''Ez a két fájl egy az egyben használható letöltés után, további konfigurációt alapesetben nem igényel.''

'''Shibboleth 2.x IdP-hez:'''
*<code lang="xml">attribute-resolver.xml</code>
''Ez csak egy keret fájl, a legtöbb olyan elem szerepel benne, amelyeket a helyi viszonyokra szabva már működhet az IdP, ám itt muszáj kézzel is szerkeszteni, pl. LDAP adatok...''

*<code lang="xml">attribure-filter.xml</code>
''A fájl egyből használható'' - [[#Attrib.C3.BAtumok_kezel.C3.A9se|további információk]] a fájl előállításának menetéről.

'''SimpleSamlPHP-hoz:'''
*<code lang="xml">AttributeFilter.xml</code>
''A fájl egyből használható'' - [[#Attrib.C3.BAtumok_kezel.C3.A9se|további információk]] a fájl előállításának menetéről.

===Bejelentkezés a rendszerbe===

A Resource Registry a https://rr.aai.niif.hu címen érhető el, és bejelentkezni csak föderatív azonosítás után lehet. A nyitóképernyőn a bejelentkezési lehetőségen túl mindössze általános, nyilvános információk érhetők el a föderáció aktuális állapotával kapcsolatban, ill. a rendszer használatához található segítség.

A rendszerbe történő bejelentkezéshez elengedhetetlen, hogy a felhasználót azonosító IdP az alábbi attribútumokat átadja a Resource Registry-nek.

* [[HREFAttributeSpec#eduPersonPrincipalName|eduPersonPrincipalName]]
* [[HREFAttributeSpec#schacHomeOrganizationType|schacHomeOrganizationType]]
* [[HREFAttributeSpec#eduPersonScopedAffiliation|eduPersonScopedAffiliation]]
* [[HREFAttributeSpec#mail|email]] - ez belépés után, manuálisan is beállítható

===Szerepek a rendszerben===

''A Resource Registrybe csak föderatív azonosítás után lehet belépni.''

'''Felhasználó'''
* Lehetősége van rá, hogy a föderációhoz szolgáltatást (SP-t) regisztráljon, amely jóváhagyás után élesedhet.

'''SP adminisztrátor'''
* Ő felelős egy, vagy több, már jóváhagyott SP-ért, ill. elbírálhat felhasználói SP ajánlásokat.

'''IdP adminisztrátor'''
* Az általa regisztrált és karbantartott IdP-ért felelős.

'''RR adminisztrátor'''
* A Resource Registry-n belül tevékenykedő felhasználók jogosultságaiért felelős, ő adhat hozzá egyes entitásokhoz újabb adminisztrátorokat, ill. bírálhat el IdP-ket, és SP-ket.

Alapértelmezés szerint, aki be tud lépni, a legegyszerűbb felhasználói jogosultságokat kapja, bármilyen magasabb szintű szerepkört RR adminisztrátor delegálhat számára, a magasabb jogkörrel járó felelősségi kört pontosan körülhatárolva. (Pl. A RR adminsiztrátor a felhasználót az őt azonosító IdP adminisztrátorává tehet, amely nyomán a felhasználó pontosan ezt az egy IdP-t hangolhatja, de felhasználói jogosultságokat már nem oszthat tovább)

'''Fontos''', hogy az RR-ben az egyes szerepek egy-egy intézmény adminisztrálásához köthetők, ily módon megvalósítva az elosztott jogosultságkezelést. Egy példán keresztül bemutatva ez azt jelenti, hogy egy felhasználó ha szeretne SP-t felvenni a föderációba, akkor azt csak az őt azonosító intézmény hatókörébe teheti meg, ami azt is jelenti, hogy az adott intézményhez tartozó, RR adminisztrátor jogosultsággal rendelkező felhasználó hagyhatja ezt a regisztrációs-, vagy módosítási kérelmet jóvá. Ugyanez az adminisztrátor csak a saját intézményéhez tartozó entitásokra vonatkozóan oszthat, vagy vonhat vissza jogosultságokat.

Természetesen létezik Power User, aki mindent lát, mindenhez van jogosultsága, de csak nem várt esemény esetén aktivizálódik valahol az NIIF AAI környékén :), amúgy rendeltetésszerű működés esetén a szubszidiaritás elvét képviselve az intézményeké az őket érintő ügyekben a döntési jog.

==Folyamatok==

===SP regisztráció===

Bárki, akit a rendszer föderatív azonosítással beléptetett, kezdeményezheti egy SP föderációba történő felvételét, ehhez az „SP adminisztráció“ oldalon az „Új SP regisztrálása“ c. menüpontot kell választani. Varázsló segít a regisztrációban, melynek mindössze a telepített SP metaadatának nyilvánosan elérhető url-jét kell megadni (alapértelmezés szerint: https://#HOSTNAME#/Shibboleth.sso/Metadata), majd az automata a lehető legtöbb beállítási paramétert megpróbálja kiolvasni az xml-ből, és egyből beírni az adatbázisba az új SP adatai közé. Mivel minden adatot nem lehetséges az alapértelmezett metaadatból kinyerni, így a regisztráló felhasználónak néhány további adatot kell megadnia ahhoz, hogy véglegesíthesse az SP regisztrációs kérelmet. Ezeket hat csoportra lehet osztani.

* '''Alapinformációk''': itt kerülnek megadásra az alapvető, leíró információk, melyek az SP nevét, leírását tartalmazzák, ill. a legfontosabb azonosító, az entityID. Az adatok egy része (pl: entityID) kiderül már a metaadatból is, így a beviteli mezőt már az automata kitöltötte.

: Itt tudjuk meghatározni első körben azt is, hogy az adott SP nyilvános, vagy belső SP legyen. Ennek szellemében kell a megadott feltételes mezőket kitöltenünk. Ha belső SP, akkor csak a legszükségesebb adatok megadása elvárt.

* '''Kapcsolattartók''': ha a metaadatból nem derül ki, akkor kézzel kell megadni technikai, adminisztratív, általános...stb. kapcsolattartó személyeket, akik adatai a központi metaadatban is szerepelni fognak.

* '''SP Service Locations''': különböző bindingok elérhetőségei – ezt az automata az esetek nagy hányadában jól kiolvassa a metaadatból, emberi módosítást a legritkább esetben igényel. Kivételt képez a ''NameIdFormat'' meghatározása, mely kapcsán három opció közül választhatunk.
** Tranziens opciót kell választanunk, ha SP-nk számára nem fontos, hogy ki a felhasználó, hiszen nem ez alapján dől el, hogy milyen erőforrásokat érhet el, hanem az alapján hogy milyen, a felhasználóra vonatkozó, pl. [[HREFAttributeSpec#eduPersonScopedAffiliation|eduPersonScopedAffiliation]] attribútumot állnak az SP rendelkezésére.
** Perzisztens opciót kell választanunk, ha SP-nk számára fontos, hogy ki a felhasználó ÉS sz SP által védett alkalmazásaink is felkészültek arra, hogy persistent-idt fogadjanak, ezzel dolgozzanak.
** Nem meghatározott opciót kell választanunk, amennyiben az SP által védendő alkalmazás mind persistent, mind transient NameID fogadására alkalmas.

: ''Megjegyzés'' Amennyiben most alakítjuk ki az AAI infrastruktúránkat, újonnan állítjuk be az SP-t annak érdekében, hogy valamilyen alkalmazást védjen, akkor ''ajánlott'', hogy támogassa a perzisztens azonosítók használatát.

* '''Tanúsítványok''': az SP által használt tanúsítványokat kell PEM formátumban megadni – ehhez is segítséget nyújt varázsló helyben, amelynek az SP metadatájának URL-jét címét kell megadni, ami után az automata beolvassa a tanúsítvány(oka)t.

* '''Kötelező attribútumok''': itt lehetséges azon attribútumok megadása, melyek kiadása elvárt az IdP-től, amelyek nélkül az SP által védett alkalmazás nem használható.

: Amennyiben egy attribútumot megkövetel az SP használatához, az azt jelenti, hogy az attribútum kiadása nélkül az SP nem lesz használható. Ha egy attribútumot ajánlottnak jelöl, akkor az IdP kiadja, amennyiben implementálta, ám az SP-nek e nélkül is működnie kell. Ha olyan attribútumot jelöl kötelezőnek, amely a föderációs szabály szerint csak ajánlott, vagy opcionális, úgy könnyen előfordulhat, hogy az IdP nem implementálta, így nem is tudja kiadni, aminek következtében a felhasználó nem fogha tudni használni az Ön SP-jét.

: Ideális esetben nincs szükség külön szabályzásra, amennyiben mégis, úgy törekedjen rá, hogy minél kevesebb attribútumot szabályozzon külön!

* '''Hallgatóság''': megadhatók, [[HREFAttributeSpec#schacHomeOrganizationType|milyen jellegű IdP-k]] érhetik el az adott SP-t, ill. amennyiben ez a szabályzás nem lenne elegendő, úgy egyesével is megadhatók IdP-k aszerint, hogy felhasználói használhatják-e az SP-t, vagy sem.

: Amennyiben belső SP-t regisztráltunk, itt állíthatjuk be, hogy minden intézmény jelleget tiltunk, és egy kivételt megadunk: a saját IdP-nket. Ily módon más IdP nem is fog tudni erről az SP-ről, tehát annak ellenére, hogy szerepel a föderációs metaadatban, csak belső használatra lesz alkalmas.

===SP módosítás===

Egy jóváhagyott SP-t csak a megfelelő jogosultsággal rendelkező felhasználó tud módosítani. Általában egy-egy SP-hez tartozó adminisztrációs jogot az intézmény ''RR adminisztrátor'' jogkörrel rendelkező felhasználója osztja ki az adott SP jóváhagyásával egy ütemben.

A módosítás folyamata teljesen analóg a regisztrációéval, ami a funkciókat illeti.

'''FONTOS''': Akár regisztráltunk, akár módosítottunk, a változásokat jóvá kell hagynia az Önt azonosító intézet RR adminisztrátorai közül valakinek. Amíg ezek a változtatások bekerülnek a föderációs metaadatba, az legfejjebb egy óra, ám amíg minden föderációs entitás frissíti a metaadatot, így értesül a változásról.

===IdP regisztráció===

A föderációba új IdP-t - mivel a regisztrálandó IdP-t üzemeltető kolléga még nem tud belépni a Resource Registry-be - egy, a föderációs adminisztrációért felelős kolléga tud regisztrálni. Ehhez szükséges, hogy az IdP, minden kapcsolódó programmal együtt telepítve legyen, és az alapértelmezett, telepítéskor generált metaadat egy meghatározott url-en elérhető legyen.

A telepítéshez - ''Shibboleth esetében'' - pl. a [[Shib2IdpInstall]] wikilapon található leírás szolgál segítségül. Attribútumokat, autentikációt konfigurálni nem kell, elegendő, ha a [[Shib2IdpInstall#Teszt|Teszt]] pontnál látjuk a megnyugtató <code lang="xml">ok</code> szöveget, és minimális beállításokat megejtettük

Amennyiben ez működik, úgy írni kell egy e-mailt az [mailto:aai@niif.hu aai@niif.hu] címre, valaki a föderációs adminisztrátorok közül regisztrálja az IdP-t, és a válasz e-mailben elküld két linket, amelyek tartalmaznak két linket az <code lang="xml">attribute-resolver.xml</code> és <code lang="xml">attribute-filter.xml</code> már testreszabott konfigurációs fájlokra mutatva. Ezeket letöltve, bemásolva az IdP-nek már működnie kell alapszinten, így már lehetségessé válik a Resource Registry-be történő belépés. Sikeres belépés után az intézményhez tartozó RR jogosultságokat átadjuk, s a továbbiakban mehet minden a maga utáján, intézményi szinten.

'''Nagyon fontos''', hogy az IdP-n bármilyen módosítás '''azonnal érvénybe lép''', így rossz beállítás esetén akár az IdP által hitelesíthető felhasználók belépése is ellehetetlenülhet.

'''A beállítási lehetőségek az alábbiak'''

* '''Alapinformációk''': IdP neve, leírása, jellege – technikai ismereteket nem igénylő, leíró jellegű információk

* '''Technikai információk''': EntityID, és különböző bindingok elérhetőségei – ezt az automata az esetek nagy hányadában jól kiolvassa a metaadatból, emberi módosítást a legritkább esetben igényel.

* '''Tanúsítványok''': az IdP által használt tanúsítványokat kell PEM formátumban megadni – ehhez is segítséget nyújt varázsló helyben, amelynek a webszerver címét kell megadni, ami után az automata beolvassa a tanúsítvány(oka)t.

* '''Kapcsolattartók''': ha a metaadatból nem derül ki, akkor kézzel kell megadni technikai, adminisztratív, általános...stb. kapcsolattartó személyeket, akik adatai a központi metaadatban is szerepelni fognak.

A további négy beállítás némi hozzáértést igényel, lévén az alapértelmezett metaadatból nem olvashatók ki. A rendszer ezeket az értékeket a föderációs szabályoknak, megállapodásoknak megfelelően készíti elő, legtöbb esetben nincs szükség módosításra, ám ha mégis, bármilyen speciális igény okán, akkor nagy odafigyeléssel kell beállítani.

* '''Támogatott attribútumok''': beállítandó, hogy az IdP mely attribútumokat, milyen formában támogatja. A föderációs szinten kötelezőket mindenképp támogatnia kell.
* '''Általános attribútum kiadási szabályok''': beállítható, hogy amennyiben egy SP az adott attribútumot kötelezően, ill. opcionálisan kiadandóként kéri, akkor az IdP hogyan viselkedjen. Ezek a szabályok általánosak, minden, a föderációban résztvevő SP-r vonatkoznak.
* '''Speciális attribútum kiadási szabályok''': beállíthatók külön-külön egyes SP-kkel való viselkedés, amennyiben indokolt az általános szabályoktól való eltérés.
* '''Telepítési és környezeti információk''': leíró információk, amelyek pl. hiba esetén segítséget adnak a hiba elhárítójának, hogy milyen rendszerrel lesz dolga. Emellett statisztikai célokat is szolgál.

==Attribútumok kezelése==

A föderációban használható attribútumok részletes listája a [[HREFAttributeSpec|föderációs attribútum specifikációban]] található.

Az egyes attribútumokkal kapcsolatban négy irányból lehetséges beállításokat eszközölni
* Minden SP meghatározhatja, hogy mely attribútumok kiadását követeli meg, és melyek kiadását ajánlja (SP beállítások - Kötelező attribútumok menüpont)
* Minden SP meghatározhatja, hogy mely IdP-ktől hajlandó attribútumokat elfogadni (SP beállítások - Hallgatóság menüpont)
* Minden IdP meghatározhatja általánosságban, hogy ha egy SP tőle egy bizonyos attribútum kiadását megköveteli, vagy ajánlja, akkor azt az attribútumot kiadja-e, vagy sem. (IdP beállítások - Általános attribútum kiadási szabályok menüpont)
* Minden IdP meghatározhat SP-specifikus szabályokat, tehát egy-egy SP-re, vagy egy-egy SP egy-egy attribútumára vonatkozólag megadhat az általános beállításaitól eltérő szabályokat - pl. az eduPersonPrincipalName-t ha általában ajánlva kérik az SP-k, akkor kiadja, de XY SP-nek semmiképp nem adja ki. (IdP beállítások - Egyedi attribútum kiadási szabályok menüpont)

[[HREFAttributeSpec#Attrib.C3.BAtumok_haszn.C3.A1lata|További információ az attribútumok implementációjáról, kapcsolódó fogalmakról]]

'''A fenti beállítások eredőjeként generálódik az IdP-k által használandó XML alapú attirbútum filter fájl'''

A generált attribútum filter alapvetően tiltó jellegű, tehát az IdP pontosan azokat az attribútumokat és pontosan azoknak az SP-knek adhatja ki, melyek megadásra kerültek a beállításoknál, egyébként semmit.

'''Néhány példa a "leképződésre"'
* Ha egy SP kiadásra ajánl egy attribútumot, de az IdP (akár az általános-, akár az egyedi attribútum kiadási szabálya miatt) nem adja ki azt, akkor az XML fájlban komment formájában jelenik meg, hogy ezt és ezt az attribútumot igényelné az SP, de nem kerül kiadásra
* Ha egy SP hallgatóságából kitilt egy IdP-t, akkor az IdP attribútum filterében az adott SP-re vonatkozólag nem jelenik meg semmi, amelynek következtében nem is kerül számára kiadásra semmi

===XML alapú filter===
* Shibboleth IdP-nél: <code lang="xml">attribute-filter.xml</code>
* simpleSAMLphp IdP-nél: <code lang="xml">AttributeFilter.xml</code>

A filter fájlok Resource Registry által előállított változatát használni nem kötelező, de fokozottan ajánlott, hiszen ezzel garantálható egyfelől, hogy az IdP-n keresztül autentikáló felhasználók azokat az SP-ket, melyeket el kell tudniuk érni, jól fogják, megfelelő attribútumokkal "a zsebükben" fogják tudni elérni, másfelől így tudnak érvényesülni a feljebb részletezett korlátozó szabályzások.

===Adatvédelmi szempontok===
Ha egy SP megváltoztatja attribútum igényeit pozitív irányba (új attribútumokat kér), úgy a változtatás csak akkor fog belekerülni az IdP-k attirbútum filterébe, amennyiben ezt a változtatást tudomásul veszi az IdP oldaláról az illetékes adatvédelmi felelős. Amennyiben egy SP-nél ilyen jellegű változás történik, a rendszer e-mailben értesíti az érintett IdP-k gazdáit, adatvédelmi felelőseit.

===Gyakorlati ajánlás===
Kihasználandó a Resource Registry által biztosított lehetőségeket ajánljuk, hogy az IdP-hez tartozó generált attribútum filter fájlt automatikusan töltsék le az IdP-k, bizonyos időközönként (óránként, naponta párszor...), hiszen ezekbe csak úgy kerülhet változtatás, ha azt az IdP adatvédelmi felelőse jóváhagyta, akkor viszont egyből átvezetődik a változtatás, nem szükséges kézzel letölteni, ill. újraindítani az IdP-t. (Shibboleth esetében be kell állítani egy kapcsolót, SSP-nél automatikusan újratölti a friss XML-t)

;A filter elérhetősége
* Shibboleth IdP: https://rr.aai.niif.hu/gen_attribute-filter.php/href/IDP_NEVE/attribute-filter.xml
* simpleSAMLphp IdP: https://rr.aai.niif.hu/gen_attribute-filter-ssp.php/href/IDP_NEVE/attribute-filter.xml
;Útmutató a beállításhoz
* [[Shib2IdpInstall#Tov.C3.A1bb_a_f.C3.B6der.C3.A1ci.C3.B3ba|Shibboleth]]
* [[SSP_QuickStart#K.C3.BCls.C5.91_attrib.C3.BAtum_filter_modul_haszn.C3.A1lata|simpleSAMLphp]]

AAI

2017-03-21T19:30:45Z

19379(AT)wigner.mta.hu: /* Föderációs alapinfrastruktúrák (IdP-k, SP-k) */

=== Meghatározások ===

* [[Föderáció]]
* [[Pont-pont bizalmi kapcsolati modell]]
* [[Metadata]]
* [[Föderációs modellek]]
* [[WAYF | Home Location Service]]
* [[Shibboleth]]
* [[AAIGettingStarted | Hogy kezdjem?]]

===Föderációs alapinfrastruktúrák (IdP-k, SP-k)===
Tapasztalatok alapján IdP esetén egyszerűsége miatt talán jobb választás a simpleSAMLphp, SP esetén Shibboleth ill. simpleSAMLphp egyaránt megfelelő választás /etc/ssl/certs/adminmail.sulinet.hu.crtmind beállítási, mind üzemeltetési szempontból.
* Shibboleth IdP: [[Shib3IdpInstall|Telepítés, beállítás]], [[Shibboleth3 IdP|Egyéb leírások]], [[Shibboleth2 IdP|Shibboleth 2 IdP leírások]]
* Shibboleth SP: [[ShibSP_QuickStart|Kezdőlépések]], [[Shibboleth2 SP|Egyéb leírások]]
* simpleSAMLphp IdP és SP: [[SSP_QuickStart|Kezdőlépések]]
* [[IdP_whichone|Melyik IdP-t válasszam?]]
* Ha nem értek hozzá, jó választás lehet: [https://samlidp.io Identity Provider as a Service]

===HREF/eduID föderációhoz kapcsolódó tudnivalók===
* [[HREFContract]]: A föderációhoz kapcsolódó dokumentációk gyűjtőlapja
* [[HREFAttributeSpec]]: A föderációban használható attribútumok specifikációja
* [[HREFMetadataSpec]]: A föderációban használt metadata specifikációja
* [[Resource_Registry]]: A föderáció adminisztrációs felületének leírása
* Hivatalos metadata: [http://metadata.eduid.hu/current/ http://metadata.eduid.hu/current/]
* [https://listserv.niif.hu/mailman/listinfo/href-tech HREF-Tech levelezőlista]

===További föderációs megoldások===
* [[Shibboleth2 DiscoveryService]]: Shibboleth 2.0 SAML-kompatibilis Discovery Service
* [[OpenSSO]]: Nehézsúlyú Java hozzáférés-szabályozást és federációt megvalósító rendszer
* [[OpenID]]: Széles körben támogatott, de nem SAML-alapú federációt megvalósító rendszer
* [[GoogleAuth]]: Google, mint [[OpenID]] szabványú IdP
* [[mod_mellon]]: SP megoldás apache modulban. A SAML2 motort a [http://lasso.entrouvert.org Lasso] valósítja meg. [http://docs.feide.no/fs-0050]
* [[oiosaml.java]]: Java SP megoldás, amit a Dán állam is használ. [http://www.softwareborsen.dk/projekter/softwarecenter/brugerstyring/oio-saml-java]
* [[UApprove]]: Shibboleth 2.1.x IdP-hez illeszthető "consent-modul" beállításának leírása
* [[Shibboleth troubleshooting]]: Shibboleth hibaelhárítás

===Kiegészítő tudnivalók===
* [[Alkalmazások illesztése]]: Néhány alkalmazás Shibboleth-illesztésének leírása
* [[Interoperabilitás mátrix]]: Shibboleth, OpenSSO, simpleSAMLphp együttműködési mátrix
* [[Eszközök]]: Hasznos eszközök föderációk üzemeltetéséhez, használatához
* [[Intézmény átnevezés]]: megfontolandó szempontok

* [[Publikációk]]

[[Kategória: Összefoglaló lapok]]