https://wiki.niif.hu/api.php?action=feedcontributions&feedformat=atom&user=Dattila%28AT%29niif.hu 2026-11-07T20:48:08Z Szerkesztő közreműködései MediaWiki 1.30.0 https://wiki.niif.hu/index.php?title=AAI/AzureADasAuthsource&diff=5048 2024-11-29T20:18:15Z

<p>Dattila(AT)niif.hu: /* Teendők SimpleSAMLPHP (SSP) oldalon */</p> <hr /> <div>Amennyiben Azure AD-ban tároljuk a felhasználói adatokat, úgy lehetőség van azt azonosítási forrásként is használni. A [[SimpleSAMLphp]] oldalon leírt telepítés után az alábbiak elvégzésére van szükség:<br /> (ez csak egy példakonfiguráció, természetesen el lehet ettől térni)<br /> <br /> == Teendők SimpleSAMLPHP (SSP) oldalon ==<br /> <br /> Keressük ki az Azure AD-ból a Tenant ID-t. A beállítás során erre _TenantID_-val fogunk hivatkozni, oda minden esetben ezt az azonosítót kell behelyettesíteni. Az azonosítót jelenleg a <br /> https://portal.azure.com/#blade/Microsoft_AAD_IAM/ActiveDirectoryMenuBlade/Overview oldalon keresztül lehet beszerezni<br /> (Forrás: https://docs.microsoft.com/en-us/azure/active-directory/fundamentals/active-directory-how-to-find-tenant)<br /> <br /> A _DOMAIN_ helyére a használni kívánt scope-ot szükséges behelyettesíteni (pl intezmeny.hu)<br /> <br /> === config/authsources.php fájlba ===<br /> <br /> &lt;source lang=&quot;php&quot;&gt;<br /> 'default-sp' =&gt; [<br /> 'saml:SP',<br /> <br /> // The entity ID of this SP.<br /> // Can be NULL/unset, in which case an entity ID is generated based on the metadata URL.<br /> 'entityID' =&gt; null,<br /> <br /> // The entity ID of the IdP this SP should contact.<br /> // Can be NULL/unset, in which case the user will be shown a list of available IdPs.<br /> 'idp' =&gt; 'https://sts.windows.net/_TenantID_/',<br /> <br /> // The URL to the discovery service.<br /> // Can be NULL/unset, in which case a builtin discovery service will be used.<br /> 'discoURL' =&gt; null,<br /> 'NameIDFormat' =&gt; 'urn:oasis:names:tc:SAML:2.0:nameid-format:persistent',<br /> 'simplesaml.nameidattribute' =&gt; 'eduPersonTargetedID',<br /> <br /> /*<br /> * The attributes parameter must contain an array of desired attributes by the SP.<br /> * The attributes can be expressed as an array of names or as an associative array<br /> * in the form of 'friendlyName' =&gt; 'name'. This feature requires 'name' to be set.<br /> * The metadata will then be created as follows:<br /> * &lt;md:RequestedAttribute FriendlyName=&quot;friendlyName&quot; Name=&quot;name&quot; /&gt;<br /> */<br /> /*<br /> 'name' =&gt; [<br /> 'en' =&gt; 'A service',<br /> 'no' =&gt; 'En tjeneste',<br /> ],<br /> <br /> 'attributes' =&gt; [<br /> 'attrname' =&gt; 'urn:oid:x.x.x.x',<br /> ],<br /> 'attributes.required' =&gt; [<br /> 'urn:oid:x.x.x.x',<br /> ],<br /> */<br /> ],<br /> <br /> &lt;/source&gt;<br /> <br /> === config/module_metarefresh.php fájlba ===<br /> <br /> &lt;source lang=&quot;php&quot;&gt;<br /> &lt;?php<br /> <br /> $config = [<br /> <br /> 'sets' =&gt; [<br /> 'azure' =&gt; [<br /> 'cron' =&gt; ['hourly'],<br /> 'sources' =&gt; [<br /> [<br /> 'src' =&gt; 'https://login.microsoftonline.com/_TenantID_/federationmetadata/2007-06/federationmetadata.xml',<br /> ],<br /> ],<br /> 'expireAfter' =&gt; 34560060, // Maximum 4 days cache time (3600*24*4)<br /> 'outputDir' =&gt; 'metadata',<br /> 'outputFormat' =&gt; 'flatfile',<br /> ],<br /> ],<br /> ];<br /> &lt;/source&gt;<br /> <br /> === metadata/saml20-idp-hosted.php ===<br /> <br /> A <br /> <br /> &lt;source lang=&quot;php&quot;&gt;<br /> <br /> 'authproc' =&gt; [<br /> <br /> 10 =&gt; [<br /> 'class' =&gt; 'core:AttributeMap',<br /> 'azure2name'<br /> ],<br /> <br /> 15 =&gt; [<br /> 'class' =&gt; 'core:AttributeCopy',<br /> 'eduPersonPrincipalName' =&gt; 'schacPersonalUniqueCode',<br /> ],<br /> <br /> 16 =&gt; [<br /> 'class' =&gt; 'core:PHP',<br /> 'code' =&gt; '<br /> $attributes[&quot;schacPersonalUniqueCode&quot;][0] = &quot;urn:schac:personalUniqueCode:int:esi:_DOMAIN_:&quot; . $attributes[&quot;schacPersonalUniqueCode&quot;][0];<br /> ',<br /> ],<br /> <br /> 18 =&gt; [<br /> 'class' =&gt; 'core:AttributeAlter',<br /> 'subject' =&gt; 'eduPersonPrincipalName',<br /> 'pattern' =&gt; '/^.*$/',<br /> 'replacement' =&gt; '${0}@_DOMAIN_',<br /> 'target' =&gt; 'eduPersonPrincipalName'<br /> ],<br /> <br /> 20 =&gt; [<br /> 'class' =&gt; 'core:AttributeAdd',<br /> 'eduPersonEntitlement' =&gt; array('urn:mace:dir:entitlement:common-lib-terms')<br /> ],<br /> <br /> 22 =&gt; [<br /> 'class' =&gt; 'core:AttributeAdd',<br /> 'schacHomeOrganization' =&gt; array('_DOMAIN_')<br /> ],<br /> <br /> 23 =&gt; [<br /> 'class' =&gt; 'core:AttributeAdd',<br /> 'schacHomeOrganizationType' =&gt; array('urn:schac:homeOrganizationType:eu:higherEducationalInstitution')<br /> ],<br /> <br /> // Azure AD-ban célszerű az affilation-t (intézményhez való viszonyt, pl hallgató, oktató, dolgozó) security group alapján meghatározni. Ezeknek az objektum azonosítóját át fogja adni az Azure AD, amit könnyen kicserélhetünk a kívánt affilation-re:<br /> <br /> 31 =&gt; [<br /> 'class' =&gt; 'core:AttributeAlter',<br /> 'subject' =&gt; 'eduPersonAffiliation',<br /> 'pattern' =&gt; '/^_eduID_Dolgozó_GroupID_$/', // _eduID_Dolgozó_GroupID_ értéket cseréljük a megfelelő Objektum ID-ra<br /> 'replacement' =&gt; 'faculty',<br /> ],<br /> <br /> 32 =&gt; [<br /> 'class' =&gt; 'core:AttributeAlter',<br /> 'subject' =&gt; 'eduPersonAffiliation',<br /> 'pattern' =&gt; '/^_eduID_Hallgató_GroupID_$/', // _eduID_Hallgató_GroupID_ értéket cseréljük a megfelelő Objektum ID-ra<br /> 'replacement' =&gt; 'student',<br /> ],<br /> <br /> 33 =&gt; [<br /> 'class' =&gt; 'core:AttributeAlter',<br /> 'subject' =&gt; 'eduPersonAffiliation',<br /> 'pattern' =&gt; '/^_eduID_Admin_GroupID_$/', // _eduID_Admin_GroupID_ értéket cseréljük a megfelelő Objektum ID-ra<br /> 'replacement' =&gt; 'staff',<br /> ],<br /> <br /> 34 =&gt; [<br /> 'class' =&gt; 'core:AttributeAdd',<br /> 'eduPersonAffiliation' =&gt; array('member'),<br /> ],<br /> <br /> 35 =&gt; [<br /> 'class' =&gt; 'core:AttributeCopy',<br /> 'eduPersonAffiliation' =&gt; 'eduPersonScopedAffiliation'<br /> ],<br /> <br /> 36 =&gt; [<br /> 'class' =&gt; 'core:AttributeAlter',<br /> 'subject' =&gt; 'eduPersonScopedAffiliation',<br /> 'pattern' =&gt; '/^.*$/',<br /> 'replacement' =&gt; '${0}@$_DOMAIN_',<br /> ],<br /> <br /> 50 =&gt; [<br /> 'class' =&gt; 'core:TargetedID',<br /> 'identifyingAttribute' =&gt; 'eduPersonPrincipalName',<br /> 'nameId' =&gt; TRUE,<br /> ],<br /> <br /> 60 =&gt; [<br /> 'class' =&gt; 'core:AttributeMap',<br /> 'name2oid'<br /> ],<br /> 75 =&gt; [<br /> 'class' =&gt; 'entitycategories:EntityCategory',<br /> 'default' =&gt; true,<br /> 'strict' =&gt; false,<br /> 'allowRequestedAttributes' =&gt; true,<br /> 'http://eduid.hu/category/registered-by-eduidhu' =&gt; [],<br /> 'http://www.geant.net/uri/dataprotection-code-of-conduct/v1' =&gt; [<br /> 'urn:oid:2.16.840.1.113730.3.1.241', # displayName<br /> 'urn:oid:2.5.4.4', # sn<br /> 'urn:oid:2.5.4.42', # givenName<br /> 'urn:oid:0.9.2342.19200300.100.1.3', # mail<br /> 'urn:oid:1.3.6.1.4.1.5923.1.1.1.6', # eduPersonPrincipalName<br /> 'urn:oid:1.3.6.1.4.1.5923.1.1.1.9', # eduPersonScopedAffiliation<br /> 'urn:oid:1.3.6.1.4.1.5923.1.1.1.1', # eduPersonAffiliation<br /> ],<br /> 'http://refeds.org/category/research-and-scholarship' =&gt; [<br /> 'urn:oid:2.16.840.1.113730.3.1.241', # displayName<br /> 'urn:oid:2.5.4.4', # sn<br /> 'urn:oid:2.5.4.42', # givenName<br /> 'urn:oid:0.9.2342.19200300.100.1.3', # mail<br /> 'urn:oid:1.3.6.1.4.1.5923.1.1.1.6', # eduPersonPrincipalName<br /> 'urn:oid:1.3.6.1.4.1.5923.1.1.1.9', # eduPersonScopedAffiliation<br /> 'urn:oid:1.3.6.1.4.1.5923.1.1.1.1', # eduPersonAffiliation<br /> ],<br /> ],<br /> <br /> 90 =&gt; 'core:AttributeLimit',<br /> ],<br /> <br /> 'simplesaml.nameidattribute' =&gt; 'urn:oid:1.3.6.1.4.1.5923.1.1.1.6',<br /> <br /> 'attributeencodings' =&gt; array(<br /> 'urn:oid:1.3.6.1.4.1.5923.1.1.1.10' =&gt; 'raw', /* eduPersonTargetedID with oid NameFormat. */<br /> ),<br /> <br /> 'sign.logout' =&gt; true<br /> <br /> ];<br /> <br /> &lt;/source&gt;<br /> <br /> === attributemap/azure2oid.php ===<br /> <br /> &lt;source&gt;<br /> &lt;?php<br /> $attributemap = [<br /> // displayName<br /> 'http://schemas.microsoft.com/identity/claims/displayname' =&gt; 'urn:oid:2.16.840.1.113730.3.1.241',<br /> // eppn<br /> 'http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name' =&gt; 'urn:oid:1.3.6.1.4.1.5923.1.1.1.6',<br /> // givenName<br /> 'http://schemas.xmlsoap.org/ws/2005/05/identity/claims/givenname' =&gt; 'urn:oid:2.5.4.42',<br /> // cn<br /> 'http://schemas.xmlsoap.org/ws/2005/05/identity/claims/surname' =&gt; 'urn:oid:2.5.4.3',<br /> // surname<br /> 'http://schemas.xmlsoap.org/ws/2005/05/identity/claims/surname' =&gt; 'urn:oid:2.5.4.4',<br /> // mail<br /> 'http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress' =&gt; 'urn:oid:0.9.2342.19200300.100.1.3',<br /> // o &amp; organisation<br /> 'http://schemas.microsoft.com/identity/claims/tenantid' =&gt; 'urn:oid:2.5.4.10',<br /> ];<br /> &lt;/source&gt;<br /> <br /> === attributemap/azure2name.php ===<br /> <br /> &lt;source&gt;<br /> &lt;?php<br /> $attributemap = [<br /> // eppn<br /> 'http://schemas.microsoft.com/identity/claims/objectidentifier' =&gt; 'eduPersonPrincipalName',<br /> // mail<br /> 'http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress' =&gt; 'mail',<br /> // displayName<br /> 'http://schemas.microsoft.com/identity/claims/displayname' =&gt; 'displayName',<br /> // givenName<br /> 'http://schemas.xmlsoap.org/ws/2005/05/identity/claims/givenname' =&gt; 'givenName',<br /> // cn<br /> 'http://schemas.xmlsoap.org/ws/2005/05/identity/claims/surname' =&gt; 'sn',<br /> // affiliation<br /> 'http://schemas.microsoft.com/ws/2008/06/identity/claims/groups' =&gt; 'eduPersonAffiliation',<br /> ];<br /> &lt;/source&gt;<br /> <br /> === config/module_cron.php ===<br /> <br /> Ha még nincs bekapcsolva a cron module, akkor:<br /> &lt;source&gt;<br /> $config = [<br /> 'key' =&gt; '_RANDOM_KEY_',<br /> 'allowed_tags' =&gt; ['daily', 'hourly', 'frequent'],<br /> 'debug_message' =&gt; true,<br /> 'sendemail' =&gt; true,<br /> ];<br /> &lt;/source&gt;<br /> <br /> Illetve hozzuk létre a cron-t:<br /> /etc/cron.d/simplesaml fájlban:<br /> &lt;source&gt;<br /> # Run cron [daily]<br /> 02 0 * * * curl -sS &quot;https://YOUR_SERVER/simplesaml/module.php/cron/run/daily/_RANDOM_KEY_&quot;<br /> # Run cron [hourly]<br /> 01 * * * * curl -sS &quot;https://YOUR_SERVER/simplesaml/module.php/cron/run/hourly/_RANDOM_KEY_&quot;<br /> &lt;/source&gt;<br /> <br /> == Teendők Azure AD oldalon ==<br /> <br /> 1. A https://portal.azure.com/ oldalon jelentkezzünk be egy adminisztrátori fiókkal<br /> <br /> 2. Válasszuk az &quot;App registrations&quot;-t<br /> <br /> 3. &quot;New registration&quot;<br /> <br /> 4. &quot;Redirect URI (optional)&quot; -nál adjuk meg a telepített SSP default SP címét. Pl: https://idp._DOMAIN_/simplesaml/module.php/saml/sp/metadata.php/default-sp<br /> <br /> 5. &quot;Token configuration&quot; =&gt; &quot;Add optional claim&quot; =&gt; &quot;Token type&quot;-nál válasszuk a &quot;SAML&quot;-t és jelöljük ki az összes attribútumot, majd, &quot;Add&quot;<br /> <br /> 6 &quot;Add groups claim&quot;, majd mentsük el<br /> <br /> [[Fájl:Token configuration.png|none|bélyegkép]]<br /> <br /> 7. Állítsuk be az API persmissions-t az alábbi alapján:<br /> <br /> [[Fájl:API permissions.png|none|bélyegkép]]<br /> <br /> Teszt</div>

Dattila(AT)niif.hu https://wiki.niif.hu/index.php?title=AAI/AzureADasAuthsource&diff=5046 2024-11-20T09:38:26Z

<p>Dattila(AT)niif.hu: </p> <hr /> <div>Amennyiben Azure AD-ban tároljuk a felhasználói adatokat, úgy lehetőség van azt azonosítási forrásként is használni. A [[SimpleSAMLphp]] oldalon leírt telepítés után az alábbiak elvégzésére van szükség:<br /> (ez csak egy példakonfiguráció, természetesen el lehet ettől térni)<br /> <br /> == Teendők SimpleSAMLPHP (SSP) oldalon ==<br /> <br /> Keressük ki az Azure AD-ból a Tenant ID-t. A beállítás során erre _TenantID_-val fogunk hivatkozni, oda minden esetben ezt az azonosítót kell behelyettesíteni. Az azonosítót jelenleg a <br /> https://portal.azure.com/#blade/Microsoft_AAD_IAM/ActiveDirectoryMenuBlade/Overview oldalon keresztül lehet beszerezni<br /> (Forrás: https://docs.microsoft.com/en-us/azure/active-directory/fundamentals/active-directory-how-to-find-tenant)<br /> <br /> A _DOMAIN_ helyére a használni kívánt scope-ot szükséges behelyettesíteni (pl intezmeny.hu)<br /> <br /> === config/authsources.php fájlba ===<br /> <br /> &lt;source lang=&quot;php&quot;&gt;<br /> 'default-sp' =&gt; [<br /> 'saml:SP',<br /> <br /> // The entity ID of this SP.<br /> // Can be NULL/unset, in which case an entity ID is generated based on the metadata URL.<br /> 'entityID' =&gt; null,<br /> <br /> // The entity ID of the IdP this SP should contact.<br /> // Can be NULL/unset, in which case the user will be shown a list of available IdPs.<br /> 'idp' =&gt; 'https://sts.windows.net/_TenantID_/',<br /> <br /> // The URL to the discovery service.<br /> // Can be NULL/unset, in which case a builtin discovery service will be used.<br /> 'discoURL' =&gt; null,<br /> 'NameIDFormat' =&gt; 'urn:oasis:names:tc:SAML:2.0:nameid-format:persistent',<br /> 'simplesaml.nameidattribute' =&gt; 'eduPersonTargetedID',<br /> <br /> /*<br /> * The attributes parameter must contain an array of desired attributes by the SP.<br /> * The attributes can be expressed as an array of names or as an associative array<br /> * in the form of 'friendlyName' =&gt; 'name'. This feature requires 'name' to be set.<br /> * The metadata will then be created as follows:<br /> * &lt;md:RequestedAttribute FriendlyName=&quot;friendlyName&quot; Name=&quot;name&quot; /&gt;<br /> */<br /> /*<br /> 'name' =&gt; [<br /> 'en' =&gt; 'A service',<br /> 'no' =&gt; 'En tjeneste',<br /> ],<br /> <br /> 'attributes' =&gt; [<br /> 'attrname' =&gt; 'urn:oid:x.x.x.x',<br /> ],<br /> 'attributes.required' =&gt; [<br /> 'urn:oid:x.x.x.x',<br /> ],<br /> */<br /> ],<br /> <br /> &lt;/source&gt;<br /> <br /> === config/config-metarefresh.php fájlba ===<br /> <br /> &lt;source lang=&quot;php&quot;&gt;<br /> $config = [<br /> <br /> 'sets' =&gt; [<br /> 'azure' =&gt; [<br /> 'cron' =&gt; ['hourly'],<br /> 'sources' =&gt; [<br /> [<br /> 'src' =&gt; 'https://login.microsoftonline.com/_TenantID_/federationmetadata/2007-06/federationmetadata.xml',<br /> ],<br /> ],<br /> 'expireAfter' =&gt; 34560060, // Maximum 4 days cache time (3600*24*4)<br /> 'outputDir' =&gt; 'metadata/metarefresh-azure',<br /> 'outputFormat' =&gt; 'flatfile',<br /> ],<br /> ],<br /> ];<br /> &lt;/source&gt;<br /> <br /> === metadata/saml20-idp-hosted.php ===<br /> <br /> A <br /> <br /> &lt;source lang=&quot;php&quot;&gt;<br /> <br /> 'authproc' =&gt; [<br /> <br /> 10 =&gt; [<br /> 'class' =&gt; 'core:AttributeMap',<br /> 'azure2name'<br /> ],<br /> <br /> 15 =&gt; [<br /> 'class' =&gt; 'core:AttributeCopy',<br /> 'eduPersonPrincipalName' =&gt; 'schacPersonalUniqueCode',<br /> ],<br /> <br /> 16 =&gt; [<br /> 'class' =&gt; 'core:PHP',<br /> 'code' =&gt; '<br /> $attributes[&quot;schacPersonalUniqueCode&quot;][0] = &quot;urn:schac:personalUniqueCode:int:esi:_DOMAIN_:&quot; . $attributes[&quot;schacPersonalUniqueCode&quot;][0];<br /> ',<br /> ],<br /> <br /> 18 =&gt; [<br /> 'class' =&gt; 'core:AttributeAlter',<br /> 'subject' =&gt; 'eduPersonPrincipalName',<br /> 'pattern' =&gt; '/^.*$/',<br /> 'replacement' =&gt; '${0}@_DOMAIN_',<br /> 'target' =&gt; 'eduPersonPrincipalName'<br /> ],<br /> <br /> 20 =&gt; [<br /> 'class' =&gt; 'core:AttributeAdd',<br /> 'eduPersonEntitlement' =&gt; array('urn:mace:dir:entitlement:common-lib-terms')<br /> ],<br /> <br /> 22 =&gt; [<br /> 'class' =&gt; 'core:AttributeAdd',<br /> 'schacHomeOrganization' =&gt; array('_DOMAIN_')<br /> ],<br /> <br /> 23 =&gt; [<br /> 'class' =&gt; 'core:AttributeAdd',<br /> 'schacHomeOrganizationType' =&gt; array('urn:schac:homeOrganizationType:eu:higherEducationalInstitution')<br /> ],<br /> <br /> // Azure AD-ban célszerű az affilation-t (intézményhez való viszonyt, pl hallgató, oktató, dolgozó) security group alapján meghatározni. Ezeknek az objektum azonosítóját át fogja adni az Azure AD, amit könnyen kicserélhetünk a kívánt affilation-re:<br /> <br /> 31 =&gt; [<br /> 'class' =&gt; 'core:AttributeAlter',<br /> 'subject' =&gt; 'eduPersonAffiliation',<br /> 'pattern' =&gt; '/^_eduID_Dolgozó_GroupID_$/', // _eduID_Dolgozó_GroupID_ értéket cseréljük a megfelelő Objektum ID-ra<br /> 'replacement' =&gt; 'faculty',<br /> ],<br /> <br /> 32 =&gt; [<br /> 'class' =&gt; 'core:AttributeAlter',<br /> 'subject' =&gt; 'eduPersonAffiliation',<br /> 'pattern' =&gt; '/^_eduID_Hallgató_GroupID_$/', // _eduID_Hallgató_GroupID_ értéket cseréljük a megfelelő Objektum ID-ra<br /> 'replacement' =&gt; 'student',<br /> ],<br /> <br /> 33 =&gt; [<br /> 'class' =&gt; 'core:AttributeAlter',<br /> 'subject' =&gt; 'eduPersonAffiliation',<br /> 'pattern' =&gt; '/^_eduID_Admin_GroupID_$/', // _eduID_Admin_GroupID_ értéket cseréljük a megfelelő Objektum ID-ra<br /> 'replacement' =&gt; 'staff',<br /> ],<br /> <br /> 34 =&gt; [<br /> 'class' =&gt; 'core:AttributeAdd',<br /> 'eduPersonAffiliation' =&gt; array('member'),<br /> ],<br /> <br /> 35 =&gt; [<br /> 'class' =&gt; 'core:AttributeCopy',<br /> 'eduPersonAffiliation' =&gt; 'eduPersonScopedAffiliation'<br /> ],<br /> <br /> 36 =&gt; [<br /> 'class' =&gt; 'core:AttributeAlter',<br /> 'subject' =&gt; 'eduPersonScopedAffiliation',<br /> 'pattern' =&gt; '/^.*$/',<br /> 'replacement' =&gt; '${0}@$_DOMAIN_',<br /> ],<br /> <br /> 50 =&gt; [<br /> 'class' =&gt; 'core:TargetedID',<br /> 'identifyingAttribute' =&gt; 'eduPersonPrincipalName',<br /> 'nameId' =&gt; TRUE,<br /> ],<br /> <br /> 60 =&gt; [<br /> 'class' =&gt; 'core:AttributeMap',<br /> 'name2oid'<br /> ],<br /> 75 =&gt; [<br /> 'class' =&gt; 'entitycategories:EntityCategory',<br /> 'default' =&gt; true,<br /> 'strict' =&gt; false,<br /> 'allowRequestedAttributes' =&gt; true,<br /> 'http://eduid.hu/category/registered-by-eduidhu' =&gt; [],<br /> 'http://www.geant.net/uri/dataprotection-code-of-conduct/v1' =&gt; [<br /> 'urn:oid:2.16.840.1.113730.3.1.241', # displayName<br /> 'urn:oid:2.5.4.4', # sn<br /> 'urn:oid:2.5.4.42', # givenName<br /> 'urn:oid:0.9.2342.19200300.100.1.3', # mail<br /> 'urn:oid:1.3.6.1.4.1.5923.1.1.1.6', # eduPersonPrincipalName<br /> 'urn:oid:1.3.6.1.4.1.5923.1.1.1.9', # eduPersonScopedAffiliation<br /> 'urn:oid:1.3.6.1.4.1.5923.1.1.1.1', # eduPersonAffiliation<br /> ],<br /> 'http://refeds.org/category/research-and-scholarship' =&gt; [<br /> 'urn:oid:2.16.840.1.113730.3.1.241', # displayName<br /> 'urn:oid:2.5.4.4', # sn<br /> 'urn:oid:2.5.4.42', # givenName<br /> 'urn:oid:0.9.2342.19200300.100.1.3', # mail<br /> 'urn:oid:1.3.6.1.4.1.5923.1.1.1.6', # eduPersonPrincipalName<br /> 'urn:oid:1.3.6.1.4.1.5923.1.1.1.9', # eduPersonScopedAffiliation<br /> 'urn:oid:1.3.6.1.4.1.5923.1.1.1.1', # eduPersonAffiliation<br /> ],<br /> ],<br /> <br /> 90 =&gt; 'core:AttributeLimit',<br /> ],<br /> <br /> 'simplesaml.nameidattribute' =&gt; 'urn:oid:1.3.6.1.4.1.5923.1.1.1.6',<br /> <br /> 'attributeencodings' =&gt; array(<br /> 'urn:oid:1.3.6.1.4.1.5923.1.1.1.10' =&gt; 'raw', /* eduPersonTargetedID with oid NameFormat. */<br /> ),<br /> <br /> 'sign.logout' =&gt; true<br /> <br /> ];<br /> <br /> &lt;/source&gt;<br /> <br /> === attributemap/azure2oid.php ===<br /> <br /> &lt;source&gt;<br /> &lt;?php<br /> $attributemap = [<br /> // displayName<br /> 'http://schemas.microsoft.com/identity/claims/displayname' =&gt; 'urn:oid:2.16.840.1.113730.3.1.241',<br /> // eppn<br /> 'http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name' =&gt; 'urn:oid:1.3.6.1.4.1.5923.1.1.1.6',<br /> // givenName<br /> 'http://schemas.xmlsoap.org/ws/2005/05/identity/claims/givenname' =&gt; 'urn:oid:2.5.4.42',<br /> // cn<br /> 'http://schemas.xmlsoap.org/ws/2005/05/identity/claims/surname' =&gt; 'urn:oid:2.5.4.3',<br /> // surname<br /> 'http://schemas.xmlsoap.org/ws/2005/05/identity/claims/surname' =&gt; 'urn:oid:2.5.4.4',<br /> // mail<br /> 'http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress' =&gt; 'urn:oid:0.9.2342.19200300.100.1.3',<br /> // o &amp; organisation<br /> 'http://schemas.microsoft.com/identity/claims/tenantid' =&gt; 'urn:oid:2.5.4.10',<br /> ];<br /> &lt;/source&gt;<br /> <br /> === attributemap/azure2name.php ===<br /> <br /> &lt;source&gt;<br /> &lt;?php<br /> $attributemap = [<br /> // eppn<br /> 'http://schemas.microsoft.com/identity/claims/objectidentifier' =&gt; 'eduPersonPrincipalName',<br /> // mail<br /> 'http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress' =&gt; 'mail',<br /> // displayName<br /> 'http://schemas.microsoft.com/identity/claims/displayname' =&gt; 'displayName',<br /> // givenName<br /> 'http://schemas.xmlsoap.org/ws/2005/05/identity/claims/givenname' =&gt; 'givenName',<br /> // cn<br /> 'http://schemas.xmlsoap.org/ws/2005/05/identity/claims/surname' =&gt; 'sn',<br /> // affiliation<br /> 'http://schemas.microsoft.com/ws/2008/06/identity/claims/groups' =&gt; 'eduPersonAffiliation',<br /> ];<br /> &lt;/source&gt;<br /> <br /> === config/module_cron.php ===<br /> <br /> Ha még nincs bekapcsolva a cron module, akkor:<br /> &lt;source&gt;<br /> $config = [<br /> 'key' =&gt; '_RANDOM_KEY_',<br /> 'allowed_tags' =&gt; ['daily', 'hourly', 'frequent'],<br /> 'debug_message' =&gt; true,<br /> 'sendemail' =&gt; true,<br /> ];<br /> &lt;/source&gt;<br /> <br /> Illetve hozzuk létre a cron-t:<br /> /etc/cron.d/simplesaml fájlban:<br /> &lt;source&gt;<br /> # Run cron [daily]<br /> 02 0 * * * curl -sS &quot;https://YOUR_SERVER/simplesaml/module.php/cron/run/daily/_RANDOM_KEY_&quot;<br /> # Run cron [hourly]<br /> 01 * * * * curl -sS &quot;https://YOUR_SERVER/simplesaml/module.php/cron/run/hourly/_RANDOM_KEY_&quot;<br /> &lt;/source&gt;<br /> <br /> == Teendők Azure AD oldalon ==<br /> <br /> 1. A https://portal.azure.com/ oldalon jelentkezzünk be egy adminisztrátori fiókkal<br /> <br /> 2. Válasszuk az &quot;App registrations&quot;-t<br /> <br /> 3. &quot;New registration&quot;<br /> <br /> 4. &quot;Redirect URI (optional)&quot; -nál adjuk meg a telepített SSP default SP címét. Pl: https://idp._DOMAIN_/simplesaml/module.php/saml/sp/metadata.php/default-sp<br /> <br /> 5. &quot;Token configuration&quot; =&gt; &quot;Add optional claim&quot; =&gt; &quot;Token type&quot;-nál válasszuk a &quot;SAML&quot;-t és jelöljük ki az összes attribútumot, majd, &quot;Add&quot;<br /> <br /> 6 &quot;Add groups claim&quot;, majd mentsük el<br /> <br /> [[Fájl:Token configuration.png|none|bélyegkép]]<br /> <br /> 7. Állítsuk be az API persmissions-t az alábbi alapján:<br /> <br /> [[Fájl:API permissions.png|none|bélyegkép]]<br /> <br /> Teszt</div>

Dattila(AT)niif.hu https://wiki.niif.hu/index.php?title=GoogleAuth_SAML&diff=5027 2024-03-05T20:33:33Z

<p>Dattila(AT)niif.hu: </p> <hr /> <div>SimpleSAMLphp proxy-t használva, a Google workspace fiókot is beköthetjük az eduID federációba.<br /> <br /> 1. Felügyeleti konzolon: &quot;Alkalmazások&quot; =&gt; &quot;Webes és mobilalkalmazások&quot; =&gt; &quot;Alkalmazás hozzáadaása&quot; =&gt; &quot;Egyéni SAML alkalmazás hozzáadása&quot;<br /> <br /> 2. &quot;Alkalmazásnév&quot;: eduID, majd &quot;Tovább&quot;<br /> <br /> 3. &quot;Metadataadatok letöltése&quot;, majd &quot;Tovább&quot;<br /> <br /> 4. &quot;ACS URL&quot;: simplesamlphp belépési URL-ét másoljuk be (pl https://_domain_/simplesaml/module.php/saml/sp/saml2-acs.php/google-workspace ), &quot;Entitásazonosító&quot; mezőbe az előző oldalról a &quot;Entitásazonosító&quot; értékét (pl: https://accounts.google.com/o/saml2?idpid=123456), Névazonosító formátuma: &quot;EMAIL&quot;, Névazonosító: &quot;PRIMARY EMAIL&quot;<br /> <br /> 5. Attribútumok oldalon az alábbi attribútumokat és értékeket vegyük fel:<br /> &quot;First name&quot;: &quot;urn:oid:2.5.4.42&quot;<br /> &quot;Last name&quot;: &quot;urn:oid:2.5.4.4&quot;<br /> &quot;Primary email&quot;: &quot;urn:oid:0.9.2342.19200300.100.1.3&quot;<br /> Majd befejezés<br /> <br /> 6. &quot;Felhasználói hozzáférés&quot; résznél aktiváljuk a szolgáltatást a &quot;BEKAPCSOLVA mindenki számára&quot; opcióval<br /> <br /> 7. A simpleSAMLphp metadata konvertálója ( https://idpurl/simplesaml/admin/metadata-converter.php ) segítségével alakítsuk át a letöltött XML-t és az eredményt mentsük el a &quot;metadata/saml20-idp-remote.php&quot; fájlba.<br /> <br /> 8. config/authsources.php fájlban a &quot;default-sp&quot; =&gt; &quot;entityID&quot; -nél értéknél adjuk meg az &quot;Entitásazonosító&quot; értéket<br /> <br /> 9. metadata/saml20-idp-hosted.php fájlban: &quot;'auth' =&gt; 'google-workspace'&quot;</div>

Dattila(AT)niif.hu https://wiki.niif.hu/index.php?title=GoogleAuth_SAML&diff=5026 2024-03-05T18:09:25Z

<p>Dattila(AT)niif.hu: Új oldal, tartalma: „SimpleSAMLphp proxy-t használva, a Google workspace fiókot is beköthetjük az eduID federációba. 1. Felügyeleti konzolon: &quot;Alkalmazások&quot; =&gt; &quot;Webes és mobilalka…”</p> <hr /> <div>SimpleSAMLphp proxy-t használva, a Google workspace fiókot is beköthetjük az eduID federációba.<br /> <br /> 1. Felügyeleti konzolon: &quot;Alkalmazások&quot; =&gt; &quot;Webes és mobilalkalmazások&quot; =&gt; &quot;Alkalmazás hozzáadaása&quot; =&gt; &quot;Egyéni SAML alkalmazás hozzáadása&quot;<br /> <br /> 2. &quot;Alkalmazásnév&quot;: eduID, majd &quot;Tovább&quot;<br /> <br /> 3. &quot;Metadataadatok letöltése&quot;, majd &quot;Tovább&quot;<br /> <br /> 4. &quot;ACS URL&quot;: simplesamlphp belépési URL-ét másoljuk be (pl https://domain/simplesaml/saml2/idp/SSOService.php ), &quot;Entitásazonosító&quot; mezőbe az entity ID-t, Névazonosító formátuma: &quot;EMAIL&quot;, Névazonosító: &quot;PRIMARY EMAIL&quot;<br /> 5. Attribútumok oldalon az alábbi attribútumokat és értékeket vegyük fel:<br /> &quot;First name&quot;: &quot;urn:oid:2.5.4.42&quot;<br /> &quot;Last name&quot;: &quot;urn:oid:2.5.4.4&quot;<br /> &quot;Primary email&quot;: &quot;urn:oid:0.9.2342.19200300.100.1.3&quot;<br /> Majd befejezés<br /> <br /> 6. &quot;Felhasználói hozzáférés&quot; résznél aktiváljuk a szolgáltatást a &quot;BEKAPCSOLVA mindenki számára&quot; opcióval<br /> <br /> 7. A simpleSAMLphp metadata konvertálója ( https://idpurl/simplesaml/admin/metadata-converter.php ) segítségével alakítsuk át a letöltött XML-t és az eredményt mentsük el a &quot;metadata/saml20-idp-remote.php&quot; fájlba.<br /> <br /> 8. config/authsources.php fájlban a &quot;default-sp&quot; =&gt; &quot;entityID&quot; -nél értéknél adjuk meg az &quot;Entitásazonosító&quot; értéket<br /> <br /> 9. metadata/saml20-idp-hosted.php fájlban: &quot;'auth' =&gt; 'default-sp'&quot;</div>

Dattila(AT)niif.hu https://wiki.niif.hu/index.php?title=MDX&diff=5025 2023-11-22T13:24:17Z

<p>Dattila(AT)niif.hu: </p> <hr /> <div>Az MDX, azaz MetaDataeXchange protokolt erőforrás optimalizálás céljából találták ki, hogy ne kelljen egyes IdP-knek és SP-knek indokolatlanul nagy XML fájlokat feldolgozniuk és tárolniuk, mikor a felhasználóiknak jó eséllyel a fájlokban tárolt entitások töredékére van csak szükségük. Ezért az egyes entitásokat be lehet úgy állítani, hogy csak akkor töltsék le az adott entitás metaadatát, mikor arra szükség van (az első letöltés után természetesen helyben tároldóik a metaadat a &lt;code&gt;cacheDuration&lt;/code&gt;-ben megadott ideig). Az MDX kiszolgáló az alábbi szabvány szerint tudja visszaadni egy-egy entitás metaadatát: &lt;code&gt;https://mdx.eduid.hu/entities/{urlencoded}$entityID&lt;/code&gt;, pl: &lt;code&gt;https://mdx.eduid.hu/entities/https%3A%2F%2Fdev.aai.niif.hu%2Fshibboleth&lt;/code&gt;<br /> <br /> == Dinamikus metadata kiszolgálás a HREF-ben ==<br /> Az MDX kiszolgáló a '''https://mdx.eduid.hu''' alatt szolgáltat, és a ''href'' és az ''edugain'' metadata halmazokat tartalmazza.<br /> <br /> Mindkét kiszolgáló ugyanazzal a kulccsal írja alá a lekért metaadat-állományt. <br /> * A tanúsítvány letölthető innen: https://metadata.eduid.hu/certs/href-metadata-signer-2020.crt <br /> * SHA-1 lenyomata: &lt;code&gt;C3:72:DC:75:4C:FA:BA:65:63:52:D9:6B:47:5B:44:7E:AA:F6:45:61&lt;/code&gt; . <br /> <br /> === Fontos tudnivaló Discovery Service használattal kapcsolatban ===<br /> Lévén az MDX-et használó SP-knél nem áll rendelkezésre folyamatosan az összes potenciális IdP listája, így a beépített Discovery Service-ek nem működnek. Ha MDX-et használunk, akkor valamilyen külső Discvery Service-t kell használnunk. A HREF-ben a https://discovery.eduid.hu a központi Discovery Service. <br /> <br /> Emellett maga az MDX kiszolgáló is biztosít Discovery Service felületet, ehhez akár Shibboleth SP-nél, akár simpleSAMLphp SP-nél a konfigurációban az alábbi URL-t kell megadni, mint Discovery Service: https://mdx.eduid.hu/role/idp.ds . Ez a Discovery Service tartalmazza a hazai eduID-ben, valamint az eduGAIN-ben levő összes IdP-t. (És, ellentétben a hagyományos https://discovery.eduid.hu/edugain szolgáltatással, ez tartlamazza a magyar VHO-t is VHO IdP néven.)<br /> <br /> == MDX használata kliens oldalon ==<br /> === SimpleSAMLphp ===<br /> <br /> Az 1.14-es kiadástól kezdve a SimpleSAMLphp tartalmazza az dinamikus metadata lekérdezés funkciót, amely mind IdP, mind SP szerepben egységes módon használható. A config/config.php állományban metadata.sources szekcióban kell elhelyezni az alábbi blokkot:<br /> <br /> &lt;source lang=&quot;php&quot;&gt;<br /> 'metadata.sources' =&gt; array(<br /> array('type' =&gt; 'flatfile'), // ez a *-hosted metadata konfiguráció betöltése miatt szükséges<br /> array(<br /> 'type' =&gt; 'mdx',<br /> 'server' =&gt; 'https://mdx.eduid.hu',<br /> 'cachedir' =&gt; '/var/simplesamlphp/mdx-cache', //opcionális, de ajánlott<br /> 'cachelength' =&gt; 86400, //opcionális,<br /> 'validateFingerprint' =&gt; 'C3:72:DC:75:4C:FA:BA:65:63:52:D9:6B:47:5B:44:7E:AA:F6:45:61' //opcionális <br /> ),<br /> ),<br /> &lt;/source&gt;<br /> <br /> <br /> A dinamikus és a statikus metadataforrások egyidejű használatára egy példa: [[SimpleSAMLMixedMetadata]]<br /> <br /> === Shibboleth SP ===<br /> <br /> * Le kell tölteni a /etc/shibboleth alá az aláíró tanúsítványát innen: https://metadata.eduid.hu/certs/href-metadata-signer-2020.crt<br /> * Az alábbi blokkot be kell szúrni a &lt;code&gt;/etc/shibboleth/shibboleth2.xml&lt;/code&gt; fájlba<br /> <br /> &lt;source lang=&quot;xml&quot;&gt;<br /> &lt;MetadataProvider type=&quot;Dynamic&quot; ignoreTransport=&quot;true&quot;&gt;<br /> &lt;Subst&gt;https://mdx.eduid.hu/entities/$entityID&lt;/Subst&gt;<br /> &lt;MetadataFilter type=&quot;Signature&quot; certificate=&quot;href-metadata-signer-2020.crt&quot;/&gt;<br /> &lt;/MetadataProvider&gt;<br /> &lt;/source&gt;<br /> <br /> === Shibboleth IdPv3 ===<br /> <br /> * Le kell tölteni a &lt;code&gt;${idp.home}/credentials/&lt;/code&gt; alá az aláíró tanúsítványát innen: https://metadata.eduid.hu/certs/href-metadata-signer-2020.crt<br /> * A &lt;code&gt;conf/metadata-providers.xml&lt;/code&gt; fájlt kell szerkeszteni az alábbi módon:<br /> &lt;source lang=&quot;xml&quot;&gt;<br /> <br /> &lt;MetadataProvider<br /> xmlns=&quot;urn:mace:shibboleth:2.0:metadata&quot;<br /> xmlns:xsi=&quot;http://www.w3.org/2001/XMLSchema-instance&quot;<br /> xsi:schemaLocation=&quot;urn:mace:shibboleth:2.0:metadata http://shibboleth.net/schema/idp/shibboleth-metadata.xsd&quot;<br /> id=&quot;dynamicMDQ&quot; xsi:type=&quot;DynamicHTTPMetadataProvider&quot;&gt;<br /> <br /> <br /> &lt;!--<br /> Require a validUntil XML attribute on the EntityDescriptor element<br /> and make sure its value is no more than 14 days into the future<br /> --&gt;<br /> &lt;MetadataFilter xsi:type=&quot;RequiredValidUntil&quot; maxValidityInterval=&quot;P14D&quot; /&gt;<br /> <br /> <br /> &lt;!-- Verify the signature on the metadata file --&gt;<br /> &lt;MetadataFilter xsi:type=&quot;SignatureValidation&quot; requireSignedMetadata=&quot;true&quot;<br /> certificateFile=&quot;${idp.home}/credentials/href-metadata-signer-2020.crt&quot; /&gt;<br /> <br /> &lt;!-- The MetadataQueryProtocol element specifies the base URL for the query protocol. --&gt;<br /> &lt;MetadataQueryProtocol&gt;https://mdx.eduid.hu/&lt;/MetadataQueryProtocol&gt;<br /> &lt;/MetadataProvider&gt;<br /> <br /> <br /> &lt;/source&gt;</div>

Dattila(AT)niif.hu https://wiki.niif.hu/index.php?title=Hub.eduid.hu&diff=5020 2023-10-16T13:06:28Z

<p>Dattila(AT)niif.hu: /* Regisztrációja hub.eduid.hu szolgáltatásba */</p> <hr /> <div>Az o365.eduid.hu címen működő szolgáltatás utódja.<br /> <br /> Célja: eduID-val rendelkező végfelhasználók számára biztosít automatikus felhasználó létrehozást és licensz kiosztást felhős szolgáltatásokban (jelenleg Microsoft licenszek kiosztása)<br /> <br /> = Microsoft integráció =<br /> <br /> Microsoft Graph API-n keresztül létrehozza a felhasználót és affiliation (student, staff, member) alapján hozzárendeli csoportokhoz. A csoporthoz hozzá lehet rendelni licenszeket, illetve jogosultságokat, amit automatikusan megörököl a felhasználó<br /> <br /> Az o365.eduid.hu címen működő szolgáltatás utódja.<br /> <br /> Célja: eduID-val rendelkező végfelhasználók számára biztosít automatikus felhasználó létrehozást és licensz kiosztást felhős szolgáltatásokban (jelenleg Microsoft licenszek kiosztása)<br /> <br /> == Szükséges beállítások Microsoft oldalról ==<br /> <br /> 1. Készítsünk egy Office 365 tenant-ot, ha még nincs: https://learn.microsoft.com/hu-hu/microsoft-365/education/deploy/create-your-office-365-tenant<br /> <br /> 2. A https://portal.azure.com oldalon bejelentkezve, hozzunk létre 1-1 biztonsági csoportot a tanulók és a dolgozók részére. Jegyezzük fel a csoportok objektumazonosítóját<br /> <br /> 3. Ahhoz, hogy a hub.eduid.hu szolgáltatás kezelni tudja a létrehozott tenant-ot, regisztráljunk egy új alkalmazást: https://portal.azure.com/#view/Microsoft_AAD_RegisteredApps/CreateApplicationBlade (ajánlott név: hub.eduid.hu)<br /> Mentsük el a generált &quot;Alkalmazás (ügyfél) azonosítója&quot; értéket<br /> <br /> 4. Az alkalmazáshoz készítsünk egy új titkos ügyfélkódot, majd a generálás végén mentsünk el a titkos ügyfélkód &quot;Érték&quot; mező értékét. [[Fájl:Tanúsítvány.png|right|bélyegkép]]<br /> <br /> 5. A létrehozott alkalmazáshoz állítsuk be a szükséges jogosultságokat:<br /> <br /> [[Fájl:API engedélyek hozzáadása.png|right|bélyegkép]]<br /> <br /> * User.ReadWrite.All<br /> * Group.ReadWrite.All<br /> * Directory.ReadWrite.All<br /> * GroupMember.ReadWrite.All<br /> * MailboxSettings.Read<br /> * MailboxSettings.ReadWrite<br /> <br /> &quot;Rendszergazda jogosultság megadása...&quot; gombbal fogadjuk el az új beállításokat<br /> <br /> 6. A SAML login bekapcsolásának egyelőre sajnos nincs webes beállítási lehetősége, a Microsoft-tól sem kaptunk ezügyben iránymutatást, ezért ezt PowerShell-en keresztül kell megtenni.<br /> <br /> '''Figyelem!''' Ha bekapcsoljuk a domain-ra a SAML alapú (Federated) bejelentkezést, akkor már csak azon keresztül lehet bejelentkezni az adott domainre, nincs lehetőség, vegyeshasználatra! Csak akkor hatjsuk végre a beállítást, ha rendben megtörtént a hub.eduid.hu és Microsoft közötti kapcsolat és megfelelően létrejöttek a felhasználók!<br /> <br /> Indítsunk egy PowerShell-t, majd adjuk ki a ''Connect-MsolService'' parancsot (ha nincs még feltelepítve, akkor a Install-Module MSOnline paranccsal lehet). Jelentkezzünk be adminisztrátori fiókunkkal.<br /> [[Fájl:PowerShell.png|bélyegkép|jobbra]]<br /> Állítsuk be az alábbi változókat:<br /> <br /> $dom = _domain amire engedélyezzük a Federációs bejelentkezést_<br /> $BrandName = _intézmény neve_<br /> $LogOffUrl = _IdP kijelentkezési URL-je_ <br /> $ecpUrl = _IdP bejelentkezési URL-je_<br /> $MyURI = _IdP entity ID-ja_<br /> $MySigningCert = _IdP selfsigned tanúsítványa_<br /> $Protocol = &quot;SAMLP&quot;<br /> <br /> Példa:<br /> <br /> $dom = &quot;kifu.gov.hu&quot; <br /> $BrandName = &quot;Kormányzati Informatikai Fejlesztési Ügynökség&quot; <br /> $LogOffUrl = &quot;https://idp.niif.hu/simplesaml/saml2/idp/SingleLogoutService.php&quot; <br /> $ecpUrl = &quot;https://idp.niif.hu/simplesaml/saml2/idp/SSOService.php&quot;<br /> $MyURI = &quot;https://idp.niif.hu/shibboleth&quot;<br /> $MySigningCert = &quot;MIID3zCCAsegAwIBAgI......XEhu3Otgo=&quot; <br /> $Protocol = &quot;SAMLP&quot;<br /> <br /> Majd futtassuk le:<br /> <br /> Set-MsolDomainAuthentication -DomainName $dom -FederationBrandName $BrandName -Authentication Federated -PassiveLogOnUri $ecpUrl -ActiveLogOnUri $ecpUrl -SigningCertificate $MySigningCert -IssuerUri $MyURI -LogOffUri $LogOffUrl -PreferredAuthenticationProtocol $Protocol<br /> <br /> Ha nem ad vissza semmilyen hibaüzenetet, akkor az office.com -ra való bejelentkezéssel tudjuk tesztelni. Miután beírtuk az e-mail címet a bejelentkező ablakban, akkor át fog irányítani a böngésző az IdP-nkre.<br /> <br /> Bejelentkezési mód visszaállítása:<br /> <br /> Set-MsolDomainAuthentication -DomainName $dom -Authentication Managed<br /> <br /> == Szükséges beállítások IdP oldalon ==<br /> <br /> A korábbiakhoz képest nincs változás. Leírása: [[O365_SAML|https://wiki.niif.hu/O365_SAML]]<br /> <br /> == Regisztrációja hub.eduid.hu szolgáltatásba ==<br /> <br /> Az alábbi paramétereket kell megküldeni az ügyfélszolgálati e-mail címünkre (info@eduid.hu):<br /> * teantID (&quot;Bérlő azonosítója&quot;)<br /> * domain nevek, ami alatt a felhasználókat létre kell hozni (&quot;Egyéni tartománynevek&quot;-nél felvett domain-ek, amiket kezelni kell)<br /> * affiliation alapján melyik csoportokba helyezzük át a felhasználókat. Ehhez szükséges egy affiliation és groupID összerendelés (pl student-ek kerüljenek az XY csoportba)<br /> * a létrehozott alkalmazáshoz tartozó &quot;Alkalmazás (ügyfél) azonosítója&quot; és a titkos ügyfélkód<br /> * domain nevek, ami alatt a felhasználókat létre kell hozni<br /> <br /> Jelszavakat, bizalmas információkat érdemes egyszer használatos linken keresztül küldeni, pl a https://pwpush.einfra.hu/ szolgáltatáson</div>

Dattila(AT)niif.hu https://wiki.niif.hu/index.php?title=Hub.eduid.hu&diff=5019 2023-09-21T15:23:24Z

<p>Dattila(AT)niif.hu: </p> <hr /> <div>Az o365.eduid.hu címen működő szolgáltatás utódja.<br /> <br /> Célja: eduID-val rendelkező végfelhasználók számára biztosít automatikus felhasználó létrehozást és licensz kiosztást felhős szolgáltatásokban (jelenleg Microsoft licenszek kiosztása)<br /> <br /> = Microsoft integráció =<br /> <br /> Microsoft Graph API-n keresztül létrehozza a felhasználót és affiliation (student, staff, member) alapján hozzárendeli csoportokhoz. A csoporthoz hozzá lehet rendelni licenszeket, illetve jogosultságokat, amit automatikusan megörököl a felhasználó<br /> <br /> Az o365.eduid.hu címen működő szolgáltatás utódja.<br /> <br /> Célja: eduID-val rendelkező végfelhasználók számára biztosít automatikus felhasználó létrehozást és licensz kiosztást felhős szolgáltatásokban (jelenleg Microsoft licenszek kiosztása)<br /> <br /> == Szükséges beállítások Microsoft oldalról ==<br /> <br /> 1. Készítsünk egy Office 365 tenant-ot, ha még nincs: https://learn.microsoft.com/hu-hu/microsoft-365/education/deploy/create-your-office-365-tenant<br /> <br /> 2. A https://portal.azure.com oldalon bejelentkezve, hozzunk létre 1-1 biztonsági csoportot a tanulók és a dolgozók részére. Jegyezzük fel a csoportok objektumazonosítóját<br /> <br /> 3. Ahhoz, hogy a hub.eduid.hu szolgáltatás kezelni tudja a létrehozott tenant-ot, regisztráljunk egy új alkalmazást: https://portal.azure.com/#view/Microsoft_AAD_RegisteredApps/CreateApplicationBlade (ajánlott név: hub.eduid.hu)<br /> Mentsük el a generált &quot;Alkalmazás (ügyfél) azonosítója&quot; értéket<br /> <br /> 4. Az alkalmazáshoz készítsünk egy új titkos ügyfélkódot, majd a generálás végén mentsünk el a titkos ügyfélkód &quot;Érték&quot; mező értékét. [[Fájl:Tanúsítvány.png|right|bélyegkép]]<br /> <br /> 5. A létrehozott alkalmazáshoz állítsuk be a szükséges jogosultságokat:<br /> <br /> [[Fájl:API engedélyek hozzáadása.png|right|bélyegkép]]<br /> <br /> * User.ReadWrite.All<br /> * Group.ReadWrite.All<br /> * Directory.ReadWrite.All<br /> * GroupMember.ReadWrite.All<br /> * MailboxSettings.Read<br /> * MailboxSettings.ReadWrite<br /> <br /> &quot;Rendszergazda jogosultság megadása...&quot; gombbal fogadjuk el az új beállításokat<br /> <br /> 6. A SAML login bekapcsolásának egyelőre sajnos nincs webes beállítási lehetősége, a Microsoft-tól sem kaptunk ezügyben iránymutatást, ezért ezt PowerShell-en keresztül kell megtenni.<br /> <br /> '''Figyelem!''' Ha bekapcsoljuk a domain-ra a SAML alapú (Federated) bejelentkezést, akkor már csak azon keresztül lehet bejelentkezni az adott domainre, nincs lehetőség, vegyeshasználatra! Csak akkor hatjsuk végre a beállítást, ha rendben megtörtént a hub.eduid.hu és Microsoft közötti kapcsolat és megfelelően létrejöttek a felhasználók!<br /> <br /> Indítsunk egy PowerShell-t, majd adjuk ki a ''Connect-MsolService'' parancsot (ha nincs még feltelepítve, akkor a Install-Module MSOnline paranccsal lehet). Jelentkezzünk be adminisztrátori fiókunkkal.<br /> [[Fájl:PowerShell.png|bélyegkép|jobbra]]<br /> Állítsuk be az alábbi változókat:<br /> <br /> $dom = _domain amire engedélyezzük a Federációs bejelentkezést_<br /> $BrandName = _intézmény neve_<br /> $LogOffUrl = _IdP kijelentkezési URL-je_ <br /> $ecpUrl = _IdP bejelentkezési URL-je_<br /> $MyURI = _IdP entity ID-ja_<br /> $MySigningCert = _IdP selfsigned tanúsítványa_<br /> $Protocol = &quot;SAMLP&quot;<br /> <br /> Példa:<br /> <br /> $dom = &quot;kifu.gov.hu&quot; <br /> $BrandName = &quot;Kormányzati Informatikai Fejlesztési Ügynökség&quot; <br /> $LogOffUrl = &quot;https://idp.niif.hu/simplesaml/saml2/idp/SingleLogoutService.php&quot; <br /> $ecpUrl = &quot;https://idp.niif.hu/simplesaml/saml2/idp/SSOService.php&quot;<br /> $MyURI = &quot;https://idp.niif.hu/shibboleth&quot;<br /> $MySigningCert = &quot;MIID3zCCAsegAwIBAgI......XEhu3Otgo=&quot; <br /> $Protocol = &quot;SAMLP&quot;<br /> <br /> Majd futtassuk le:<br /> <br /> Set-MsolDomainAuthentication -DomainName $dom -FederationBrandName $BrandName -Authentication Federated -PassiveLogOnUri $ecpUrl -ActiveLogOnUri $ecpUrl -SigningCertificate $MySigningCert -IssuerUri $MyURI -LogOffUri $LogOffUrl -PreferredAuthenticationProtocol $Protocol<br /> <br /> Ha nem ad vissza semmilyen hibaüzenetet, akkor az office.com -ra való bejelentkezéssel tudjuk tesztelni. Miután beírtuk az e-mail címet a bejelentkező ablakban, akkor át fog irányítani a böngésző az IdP-nkre.<br /> <br /> Bejelentkezési mód visszaállítása:<br /> <br /> Set-MsolDomainAuthentication -DomainName $dom -Authentication Managed<br /> <br /> == Szükséges beállítások IdP oldalon ==<br /> <br /> A korábbiakhoz képest nincs változás. Leírása: [[O365_SAML|https://wiki.niif.hu/O365_SAML]]<br /> <br /> == Regisztrációja hub.eduid.hu szolgáltatásba ==<br /> <br /> Az alábbi paramétereket kell megküldeni:<br /> * teantID (&quot;Bérlő azonosítója&quot;)<br /> * domain nevek, ami alatt a felhasználókat létre kell hozni (&quot;Egyéni tartománynevek&quot;-nél felvett domain-ek, amiket kezelni kell)<br /> * affiliation alapján melyik csoportokba helyezzük át a felhasználókat. Ehhez szükséges egy affiliation és groupID összerendelés (pl student-ek kerüljenek az XY csoportba)<br /> * a létrehozott alkalmazáshoz tartozó &quot;Alkalmazás (ügyfél) azonosítója&quot; és a titkos ügyfélkód<br /> * domain nevek, ami alatt a felhasználókat létre kell hozni</div>

Dattila(AT)niif.hu https://wiki.niif.hu/index.php?title=Hub.eduid.hu&diff=5018 2023-09-19T13:04:00Z

<p>Dattila(AT)niif.hu: /* Szükséges beállítások Microsoft oldalról */</p> <hr /> <div>Az o365.eduid.hu címen működő szolgáltatás utódja.<br /> <br /> Célja: eduID-val rendelkező végfelhasználók számára biztosít automatikus felhasználó létrehozást és licensz kiosztást felhős szolgáltatásokban (jelenleg Microsoft licenszek kiosztása)<br /> <br /> = Microsoft integráció =<br /> <br /> Microsoft Graph API-n keresztül létrehozza a felhasználót és affiliation (student, staff, member) alapján hozzárendeli csoportokhoz. A csoporthoz hozzá lehet rendelni licenszeket, illetve jogosultságokat, amit automatikusan megörököl a felhasználó<br /> <br /> Az o365.eduid.hu címen működő szolgáltatás utódja.<br /> <br /> Célja: eduID-val rendelkező végfelhasználók számára biztosít automatikus felhasználó létrehozást és licensz kiosztást felhős szolgáltatásokban (jelenleg Microsoft licenszek kiosztása)<br /> <br /> == Szükséges beállítások Microsoft oldalról ==<br /> <br /> 1. Készítsünk egy Office 365 tenant-ot, ha még nincs: https://learn.microsoft.com/hu-hu/microsoft-365/education/deploy/create-your-office-365-tenant<br /> <br /> 2. A https://portal.azure.com oldalon bejelentkezve, hozzunk létre 1-1 biztonsági csoportot a tanulók és a dolgozók részére. Jegyezzük fel a csoportok objektumazonosítóját<br /> <br /> 3. Ahhoz, hogy a hub.eduid.hu szolgáltatás kezelni tudja a létrehozott tenant-ot, regisztráljunk egy új alkalmazást: https://portal.azure.com/#view/Microsoft_AAD_RegisteredApps/CreateApplicationBlade (ajánlott név: hub.edu.hu)<br /> Mentsük el a generált &quot;Alkalmazás (ügyfél) azonosítója&quot; értéket<br /> <br /> 4. Az alkalmazáshoz készítsünk egy új titkos ügyfélkódot, majd a generálás végén mentsünk el a titkos ügyfélkód &quot;Érték&quot; mező értékét. [[Fájl:Tanúsítvány.png|right|bélyegkép]]<br /> <br /> 5. A létrehozott alkalmazáshoz állítsuk be a szükséges jogosultságokat:<br /> <br /> [[Fájl:API engedélyek hozzáadása.png|right|bélyegkép]]<br /> <br /> * User.ReadWrite.All<br /> * Group.ReadWrite.All<br /> * Directory.ReadWrite.All<br /> * GroupMember.ReadWrite.All<br /> * MailboxSettings.Read<br /> * MailboxSettings.ReadWrite<br /> <br /> &quot;Rendszergazda jogosultság megadása...&quot; gombbal fogadjuk el az új beállításokat<br /> <br /> 6. A SAML login bekapcsolásának egyelőre sajnos nincs webes beállítási lehetősége, a Microsoft-tól sem kaptunk ezügyben iránymutatást, ezért ezt PowerShell-en keresztül kell megtenni.<br /> <br /> '''Figyelem!''' Ha bekapcsoljuk a domain-ra a SAML alapú (Federated) bejelentkezést, akkor már csak azon keresztül lehet bejelentkezni az adott domainre, nincs lehetőség, vegyeshasználatra! Csak akkor hatjsuk végre a beállítást, ha rendben megtörtént a hub.edu.hu és Microsoft közötti kapcsolat és megfelelően létrejöttek a felhasználók!<br /> <br /> Indítsunk egy PowerShell-t, majd adjuk ki a ''Connect-MsolService'' parancsot (ha nincs még feltelepítve, akkor a Install-Module MSOnline paranccsal lehet). Jelentkezzünk be adminisztrátori fiókunkkal.<br /> [[Fájl:PowerShell.png|bélyegkép|jobbra]]<br /> Állítsuk be az alábbi változókat:<br /> <br /> $dom = _domain amire engedélyezzük a Federációs bejelentkezést_<br /> $BrandName = _intézmény neve_<br /> $LogOffUrl = _IdP kijelentkezési URL-je_ <br /> $ecpUrl = _IdP bejelentkezési URL-je_<br /> $MyURI = _IdP entity ID-ja_<br /> $MySigningCert = _IdP selfsigned tanúsítványa_<br /> $Protocol = &quot;SAMLP&quot;<br /> <br /> Példa:<br /> <br /> $dom = &quot;kifu.gov.hu&quot; <br /> $BrandName = &quot;Kormányzati Informatikai Fejlesztési Ügynökség&quot; <br /> $LogOffUrl = &quot;https://idp.niif.hu/simplesaml/saml2/idp/SingleLogoutService.php&quot; <br /> $ecpUrl = &quot;https://idp.niif.hu/simplesaml/saml2/idp/SSOService.php&quot;<br /> $MyURI = &quot;https://idp.niif.hu/shibboleth&quot;<br /> $MySigningCert = &quot;MIID3zCCAsegAwIBAgI......XEhu3Otgo=&quot; <br /> $Protocol = &quot;SAMLP&quot;<br /> <br /> Majd futtassuk le:<br /> <br /> Set-MsolDomainAuthentication -DomainName $dom -FederationBrandName $BrandName -Authentication Federated -PassiveLogOnUri $ecpUrl -ActiveLogOnUri $ecpUrl -SigningCertificate $MySigningCert -IssuerUri $MyURI -LogOffUri $LogOffUrl -PreferredAuthenticationProtocol $Protocol<br /> <br /> Ha nem ad vissza semmilyen hibaüzenetet, akkor az office.com -ra való bejelentkezéssel tudjuk tesztelni. Miután beírtuk az e-mail címet a bejelentkező ablakban, akkor át fog irányítani a böngésző az IdP-nkre.<br /> <br /> Bejelentkezési mód visszaállítása:<br /> <br /> Set-MsolDomainAuthentication -DomainName $dom -Authentication Managed<br /> <br /> == Szükséges beállítások IdP oldalon ==<br /> <br /> A korábbiakhoz képest nincs változás. Leírása: [[O365_SAML|https://wiki.niif.hu/O365_SAML]]<br /> <br /> == Regisztrációja hub.eduid.hu szolgáltatásba ==<br /> <br /> Az alábbi paramétereket kell megküldeni:<br /> * teantID (&quot;Bérlő azonosítója&quot;)<br /> * domain nevek, ami alatt a felhasználókat létre kell hozni (&quot;Egyéni tartománynevek&quot;-nél felvett domain-ek, amiket kezelni kell)<br /> * affiliation alapján melyik csoportokba helyezzük át a felhasználókat. Ehhez szükséges egy affiliation és groupID összerendelés (pl student-ek kerüljenek az XY csoportba)<br /> * a létrehozott alkalmazáshoz tartozó &quot;Alkalmazás (ügyfél) azonosítója&quot; és a titkos ügyfélkód<br /> * domain nevek, ami alatt a felhasználókat létre kell hozni</div>

Dattila(AT)niif.hu https://wiki.niif.hu/index.php?title=Hub.eduid.hu&diff=5017 2023-09-19T13:02:33Z

<p>Dattila(AT)niif.hu: /* Regisztrációja hub.eduid.hu szolgáltatásba */</p> <hr /> <div>Az o365.eduid.hu címen működő szolgáltatás utódja.<br /> <br /> Célja: eduID-val rendelkező végfelhasználók számára biztosít automatikus felhasználó létrehozást és licensz kiosztást felhős szolgáltatásokban (jelenleg Microsoft licenszek kiosztása)<br /> <br /> = Microsoft integráció =<br /> <br /> Microsoft Graph API-n keresztül létrehozza a felhasználót és affiliation (student, staff, member) alapján hozzárendeli csoportokhoz. A csoporthoz hozzá lehet rendelni licenszeket, illetve jogosultságokat, amit automatikusan megörököl a felhasználó<br /> <br /> Az o365.eduid.hu címen működő szolgáltatás utódja.<br /> <br /> Célja: eduID-val rendelkező végfelhasználók számára biztosít automatikus felhasználó létrehozást és licensz kiosztást felhős szolgáltatásokban (jelenleg Microsoft licenszek kiosztása)<br /> <br /> == Szükséges beállítások Microsoft oldalról ==<br /> <br /> 1. Készítsünk egy Office 365 tenant-ot, ha még nincs: https://learn.microsoft.com/hu-hu/microsoft-365/education/deploy/create-your-office-365-tenant<br /> <br /> 2. A https://portal.azure.com oldalon bejelentkezve, hozzunk létre 1-1 biztonsági csoportot a tanulók és a dolgozók részére. Jegyezzük fel a csoportok objektumazonosítóját<br /> <br /> 3. Ahhoz, hogy a hub.eduid.hu szolgáltatás kezelni tudja a létrehozott tenant-ot, regisztráljunk egy új alkalmazást: https://portal.azure.com/#view/Microsoft_AAD_RegisteredApps/CreateApplicationBlade (ajánlott név: hub.edu.hu)<br /> Mentsük el a generált &quot;Alkalmazás (ügyfél) azonosítója&quot; értéket<br /> <br /> 4. Az alkalmazáshoz készítsünk egy új titkos ügyfélkódot, majd a generálás végén mentsünk el a titkos ügyfélkód &quot;Érték&quot; mező értékét. [[Fájl:Tanúsítvány.png|right|bélyegkép]]<br /> <br /> 5. A létrehozott alkalmazáshoz állítsuk be a szükséges jogosultságokat:<br /> <br /> [[Fájl:API engedélyek hozzáadása.png|right|bélyegkép]]<br /> <br /> * User.ReadWrite.All<br /> * Group.ReadWrite.All<br /> * Directory.ReadWrite.All<br /> * GroupMember.ReadWrite.All<br /> * MailboxSettings.Read<br /> * MailboxSettings.ReadWrite<br /> <br /> 6. A SAML login bekapcsolásának egyelőre sajnos nincs webes beállítási lehetősége, a Microsoft-tól sem kaptunk ezügyben iránymutatást, ezért ezt PowerShell-en keresztül kell megtenni.<br /> <br /> '''Figyelem!''' Ha bekapcsoljuk a domain-ra a SAML alapú (Federated) bejelentkezést, akkor már csak azon keresztül lehet bejelentkezni az adott domainre, nincs lehetőség, vegyeshasználatra! Csak akkor hatjsuk végre a beállítást, ha rendben megtörtént a hub.edu.hu és Microsoft közötti kapcsolat és megfelelően létrejöttek a felhasználók!<br /> <br /> Indítsunk egy PowerShell-t, majd adjuk ki a ''Connect-MsolService'' parancsot (ha nincs még feltelepítve, akkor a Install-Module MSOnline paranccsal lehet). Jelentkezzünk be adminisztrátori fiókunkkal.<br /> [[Fájl:PowerShell.png|bélyegkép|jobbra]]<br /> Állítsuk be az alábbi változókat:<br /> <br /> $dom = _domain amire engedélyezzük a Federációs bejelentkezést_<br /> $BrandName = _intézmény neve_<br /> $LogOffUrl = _IdP kijelentkezési URL-je_ <br /> $ecpUrl = _IdP bejelentkezési URL-je_<br /> $MyURI = _IdP entity ID-ja_<br /> $MySigningCert = _IdP selfsigned tanúsítványa_<br /> $Protocol = &quot;SAMLP&quot;<br /> <br /> Példa:<br /> <br /> $dom = &quot;kifu.gov.hu&quot; <br /> $BrandName = &quot;Kormányzati Informatikai Fejlesztési Ügynökség&quot; <br /> $LogOffUrl = &quot;https://idp.niif.hu/simplesaml/saml2/idp/SingleLogoutService.php&quot; <br /> $ecpUrl = &quot;https://idp.niif.hu/simplesaml/saml2/idp/SSOService.php&quot;<br /> $MyURI = &quot;https://idp.niif.hu/shibboleth&quot;<br /> $MySigningCert = &quot;MIID3zCCAsegAwIBAgI......XEhu3Otgo=&quot; <br /> $Protocol = &quot;SAMLP&quot;<br /> <br /> Majd futtassuk le:<br /> <br /> Set-MsolDomainAuthentication -DomainName $dom -FederationBrandName $BrandName -Authentication Federated -PassiveLogOnUri $ecpUrl -ActiveLogOnUri $ecpUrl -SigningCertificate $MySigningCert -IssuerUri $MyURI -LogOffUri $LogOffUrl -PreferredAuthenticationProtocol $Protocol<br /> <br /> Ha nem ad vissza semmilyen hibaüzenetet, akkor az office.com -ra való bejelentkezéssel tudjuk tesztelni. Miután beírtuk az e-mail címet a bejelentkező ablakban, akkor át fog irányítani a böngésző az IdP-nkre.<br /> <br /> Bejelentkezési mód visszaállítása:<br /> <br /> Set-MsolDomainAuthentication -DomainName $dom -Authentication Managed<br /> <br /> == Szükséges beállítások IdP oldalon ==<br /> <br /> A korábbiakhoz képest nincs változás. Leírása: [[O365_SAML|https://wiki.niif.hu/O365_SAML]]<br /> <br /> == Regisztrációja hub.eduid.hu szolgáltatásba ==<br /> <br /> Az alábbi paramétereket kell megküldeni:<br /> * teantID (&quot;Bérlő azonosítója&quot;)<br /> * domain nevek, ami alatt a felhasználókat létre kell hozni (&quot;Egyéni tartománynevek&quot;-nél felvett domain-ek, amiket kezelni kell)<br /> * affiliation alapján melyik csoportokba helyezzük át a felhasználókat. Ehhez szükséges egy affiliation és groupID összerendelés (pl student-ek kerüljenek az XY csoportba)<br /> * a létrehozott alkalmazáshoz tartozó &quot;Alkalmazás (ügyfél) azonosítója&quot; és a titkos ügyfélkód<br /> * domain nevek, ami alatt a felhasználókat létre kell hozni</div>

Dattila(AT)niif.hu https://wiki.niif.hu/index.php?title=Hub.eduid.hu&diff=5016 2023-08-31T13:37:01Z

<p>Dattila(AT)niif.hu: </p> <hr /> <div>Az o365.eduid.hu címen működő szolgáltatás utódja.<br /> <br /> Célja: eduID-val rendelkező végfelhasználók számára biztosít automatikus felhasználó létrehozást és licensz kiosztást felhős szolgáltatásokban (jelenleg Microsoft licenszek kiosztása)<br /> <br /> = Microsoft integráció =<br /> <br /> Microsoft Graph API-n keresztül létrehozza a felhasználót és affiliation (student, staff, member) alapján hozzárendeli csoportokhoz. A csoporthoz hozzá lehet rendelni licenszeket, illetve jogosultságokat, amit automatikusan megörököl a felhasználó<br /> <br /> Az o365.eduid.hu címen működő szolgáltatás utódja.<br /> <br /> Célja: eduID-val rendelkező végfelhasználók számára biztosít automatikus felhasználó létrehozást és licensz kiosztást felhős szolgáltatásokban (jelenleg Microsoft licenszek kiosztása)<br /> <br /> == Szükséges beállítások Microsoft oldalról ==<br /> <br /> 1. Készítsünk egy Office 365 tenant-ot, ha még nincs: https://learn.microsoft.com/hu-hu/microsoft-365/education/deploy/create-your-office-365-tenant<br /> <br /> 2. A https://portal.azure.com oldalon bejelentkezve, hozzunk létre 1-1 biztonsági csoportot a tanulók és a dolgozók részére. Jegyezzük fel a csoportok objektumazonosítóját<br /> <br /> 3. Ahhoz, hogy a hub.eduid.hu szolgáltatás kezelni tudja a létrehozott tenant-ot, regisztráljunk egy új alkalmazást: https://portal.azure.com/#view/Microsoft_AAD_RegisteredApps/CreateApplicationBlade (ajánlott név: hub.edu.hu)<br /> Mentsük el a generált &quot;Alkalmazás (ügyfél) azonosítója&quot; értéket<br /> <br /> 4. Az alkalmazáshoz készítsünk egy új titkos ügyfélkódot, majd a generálás végén mentsünk el a titkos ügyfélkód &quot;Érték&quot; mező értékét. [[Fájl:Tanúsítvány.png|right|bélyegkép]]<br /> <br /> 5. A létrehozott alkalmazáshoz állítsuk be a szükséges jogosultságokat:<br /> <br /> [[Fájl:API engedélyek hozzáadása.png|right|bélyegkép]]<br /> <br /> * User.ReadWrite.All<br /> * Group.ReadWrite.All<br /> * Directory.ReadWrite.All<br /> * GroupMember.ReadWrite.All<br /> * MailboxSettings.Read<br /> * MailboxSettings.ReadWrite<br /> <br /> 6. A SAML login bekapcsolásának egyelőre sajnos nincs webes beállítási lehetősége, a Microsoft-tól sem kaptunk ezügyben iránymutatást, ezért ezt PowerShell-en keresztül kell megtenni.<br /> <br /> '''Figyelem!''' Ha bekapcsoljuk a domain-ra a SAML alapú (Federated) bejelentkezést, akkor már csak azon keresztül lehet bejelentkezni az adott domainre, nincs lehetőség, vegyeshasználatra! Csak akkor hatjsuk végre a beállítást, ha rendben megtörtént a hub.edu.hu és Microsoft közötti kapcsolat és megfelelően létrejöttek a felhasználók!<br /> <br /> Indítsunk egy PowerShell-t, majd adjuk ki a ''Connect-MsolService'' parancsot (ha nincs még feltelepítve, akkor a Install-Module MSOnline paranccsal lehet). Jelentkezzünk be adminisztrátori fiókunkkal.<br /> [[Fájl:PowerShell.png|bélyegkép|jobbra]]<br /> Állítsuk be az alábbi változókat:<br /> <br /> $dom = _domain amire engedélyezzük a Federációs bejelentkezést_<br /> $BrandName = _intézmény neve_<br /> $LogOffUrl = _IdP kijelentkezési URL-je_ <br /> $ecpUrl = _IdP bejelentkezési URL-je_<br /> $MyURI = _IdP entity ID-ja_<br /> $MySigningCert = _IdP selfsigned tanúsítványa_<br /> $Protocol = &quot;SAMLP&quot;<br /> <br /> Példa:<br /> <br /> $dom = &quot;kifu.gov.hu&quot; <br /> $BrandName = &quot;Kormányzati Informatikai Fejlesztési Ügynökség&quot; <br /> $LogOffUrl = &quot;https://idp.niif.hu/simplesaml/saml2/idp/SingleLogoutService.php&quot; <br /> $ecpUrl = &quot;https://idp.niif.hu/simplesaml/saml2/idp/SSOService.php&quot;<br /> $MyURI = &quot;https://idp.niif.hu/shibboleth&quot;<br /> $MySigningCert = &quot;MIID3zCCAsegAwIBAgI......XEhu3Otgo=&quot; <br /> $Protocol = &quot;SAMLP&quot;<br /> <br /> Majd futtassuk le:<br /> <br /> Set-MsolDomainAuthentication -DomainName $dom -FederationBrandName $BrandName -Authentication Federated -PassiveLogOnUri $ecpUrl -ActiveLogOnUri $ecpUrl -SigningCertificate $MySigningCert -IssuerUri $MyURI -LogOffUri $LogOffUrl -PreferredAuthenticationProtocol $Protocol<br /> <br /> Ha nem ad vissza semmilyen hibaüzenetet, akkor az office.com -ra való bejelentkezéssel tudjuk tesztelni. Miután beírtuk az e-mail címet a bejelentkező ablakban, akkor át fog irányítani a böngésző az IdP-nkre.<br /> <br /> Bejelentkezési mód visszaállítása:<br /> <br /> Set-MsolDomainAuthentication -DomainName $dom -Authentication Managed<br /> <br /> == Szükséges beállítások IdP oldalon ==<br /> <br /> A korábbiakhoz képest nincs változás. Leírása: [[O365_SAML|https://wiki.niif.hu/O365_SAML]]<br /> <br /> == Regisztrációja hub.eduid.hu szolgáltatásba ==<br /> <br /> Az alábbi paramétereket kell megküldeni:<br /> * teantID (&quot;Bérlő azonosítója&quot;)<br /> * domain nevek, ami alatt a felhasználókat létre kell hozni (&quot;Egyéni tartománynevek&quot;-nél felvett domain-ek, amiket kezelni kell)<br /> * affiliation alapján melyik csoportokba helyezzük át a felhasználókat. Ehhez szükséges egy affiliation és groupID összerendelés (pl student-ek kerüljenek az XY csoportba)<br /> * a létrehozott alkalmazáshoz tartozó &quot;Alkalmazás (ügyfél) azonosítója&quot; és a titkos ügyfélkód</div>

Dattila(AT)niif.hu https://wiki.niif.hu/index.php?title=F%C3%A1jl:PowerShell.png&diff=5015 2023-08-31T13:36:31Z

<p>Dattila(AT)niif.hu: </p> <hr /> <div>PowerShell</div>

Dattila(AT)niif.hu https://wiki.niif.hu/index.php?title=Hub.eduid.hu&diff=5014 2023-08-31T13:34:48Z

<p>Dattila(AT)niif.hu: </p> <hr /> <div>Az o365.eduid.hu címen működő szolgáltatás utódja.<br /> <br /> Célja: eduID-val rendelkező végfelhasználók számára biztosít automatikus felhasználó létrehozást és licensz kiosztást felhős szolgáltatásokban (jelenleg Microsoft licenszek kiosztása)<br /> <br /> = Microsoft integráció =<br /> <br /> Microsoft Graph API-n keresztül létrehozza a felhasználót és affiliation (student, staff, member) alapján hozzárendeli csoportokhoz. A csoporthoz hozzá lehet rendelni licenszeket, illetve jogosultságokat, amit automatikusan megörököl a felhasználó<br /> <br /> Az o365.eduid.hu címen működő szolgáltatás utódja.<br /> <br /> Célja: eduID-val rendelkező végfelhasználók számára biztosít automatikus felhasználó létrehozást és licensz kiosztást felhős szolgáltatásokban (jelenleg Microsoft licenszek kiosztása)<br /> <br /> == Szükséges beállítások Microsoft oldalról ==<br /> <br /> 1. Készítsünk egy Office 365 tenant-ot, ha még nincs: https://learn.microsoft.com/hu-hu/microsoft-365/education/deploy/create-your-office-365-tenant<br /> <br /> 2. A https://portal.azure.com oldalon bejelentkezve, hozzunk létre 1-1 biztonsági csoportot a tanulók és a dolgozók részére. Jegyezzük fel a csoportok objektumazonosítóját<br /> <br /> 3. Ahhoz, hogy a hub.eduid.hu szolgáltatás kezelni tudja a létrehozott tenant-ot, regisztráljunk egy új alkalmazást: https://portal.azure.com/#view/Microsoft_AAD_RegisteredApps/CreateApplicationBlade (ajánlott név: hub.edu.hu)<br /> Mentsük el a generált &quot;Alkalmazás (ügyfél) azonosítója&quot; értéket<br /> <br /> 4. Az alkalmazáshoz készítsünk egy új titkos ügyfélkódot, majd a generálás végén mentsünk el a titkos ügyfélkód &quot;Érték&quot; mező értékét. [[Fájl:Tanúsítvány.png|right|bélyegkép]]<br /> <br /> 5. A létrehozott alkalmazáshoz állítsuk be a szükséges jogosultságokat:<br /> <br /> [[Fájl:API engedélyek hozzáadása.png|right|bélyegkép]]<br /> <br /> * User.ReadWrite.All<br /> * Group.ReadWrite.All<br /> * Directory.ReadWrite.All<br /> * GroupMember.ReadWrite.All<br /> * MailboxSettings.Read<br /> * MailboxSettings.ReadWrite<br /> <br /> 6. A SAML login bekapcsolásának egyelőre sajnos nincs webes beállítási lehetősége, a Microsoft-tól sem kaptunk ezügyben iránymutatást, ezért ezt PowerShell-en keresztül kell megtenni.<br /> <br /> '''Figyelem!''' Ha bekapcsoljuk a domain-ra a SAML alapú (Federated) bejelentkezést, akkor már csak azon keresztül lehet bejelentkezni az adott domainre, nincs lehetőség, vegyeshasználatra! Csak akkor hatjsuk végre a beállítást, ha rendben megtörtént a hub.edu.hu és Microsoft közötti kapcsolat és megfelelően létrejöttek a felhasználók!<br /> <br /> Indítsunk egy PowerShell-t, majd adjuk ki a ''Connect-MsolService'' parancsot (ha nincs még feltelepítve, akkor a Install-Module MSOnline paranccsal lehet). Jelentkezzünk be adminisztrátori fiókunkkal.<br /> <br /> Állítsuk be az alábbi változókat:<br /> <br /> $dom = _domain amire engedélyezzük a Federációs bejelentkezést_<br /> $BrandName = _intézmény neve_<br /> $LogOffUrl = _IdP kijelentkezési URL-je_ <br /> $ecpUrl = _IdP bejelentkezési URL-je_<br /> $MyURI = _IdP entity ID-ja_<br /> $MySigningCert = _IdP selfsigned tanúsítványa_<br /> $Protocol = &quot;SAMLP&quot;<br /> <br /> Példa:<br /> <br /> $dom = &quot;kifu.gov.hu&quot; <br /> $BrandName = &quot;Kormányzati Informatikai Fejlesztési Ügynökség&quot; <br /> $LogOffUrl = &quot;https://idp.niif.hu/simplesaml/saml2/idp/SingleLogoutService.php&quot; <br /> $ecpUrl = &quot;https://idp.niif.hu/simplesaml/saml2/idp/SSOService.php&quot;<br /> $MyURI = &quot;https://idp.niif.hu/shibboleth&quot;<br /> $MySigningCert = &quot;MIID3zCCAsegAwIBAgI......XEhu3Otgo=&quot; <br /> $Protocol = &quot;SAMLP&quot;<br /> <br /> Majd futtassuk le:<br /> <br /> Set-MsolDomainAuthentication -DomainName $dom -FederationBrandName $BrandName -Authentication Federated -PassiveLogOnUri $ecpUrl -ActiveLogOnUri $ecpUrl -SigningCertificate $MySigningCert -IssuerUri $MyURI -LogOffUri $LogOffUrl -PreferredAuthenticationProtocol $Protocol<br /> <br /> Ha nem ad vissza semmilyen hibaüzenetet, akkor az office.com -ra való bejelentkezéssel tudjuk tesztelni. Miután beírtuk az e-mail címet a bejelentkező ablakban, akkor át fog irányítani a böngésző az IdP-nkre.<br /> <br /> Bejelentkezési mód visszaállítása:<br /> <br /> Set-MsolDomainAuthentication -DomainName $dom -Authentication Managed<br /> <br /> == Szükséges beállítások IdP oldalon ==<br /> <br /> A korábbiakhoz képest nincs változás. Leírása: [[O365_SAML|https://wiki.niif.hu/O365_SAML]]<br /> <br /> == Regisztrációja hub.eduid.hu szolgáltatásba ==<br /> <br /> Az alábbi paramétereket kell megküldeni:<br /> * teantID (&quot;Bérlő azonosítója&quot;)<br /> * domain nevek, ami alatt a felhasználókat létre kell hozni (&quot;Egyéni tartománynevek&quot;-nél felvett domain-ek, amiket kezelni kell)<br /> * affiliation alapján melyik csoportokba helyezzük át a felhasználókat. Ehhez szükséges egy affiliation és groupID összerendelés (pl student-ek kerüljenek az XY csoportba)<br /> * a létrehozott alkalmazáshoz tartozó &quot;Alkalmazás (ügyfél) azonosítója&quot; és a titkos ügyfélkód</div>

Dattila(AT)niif.hu https://wiki.niif.hu/index.php?title=Hub.eduid.hu&diff=5013 2023-08-31T13:25:26Z

<p>Dattila(AT)niif.hu: </p> <hr /> <div>Az o365.eduid.hu címen működő szolgáltatás utódja.<br /> <br /> Célja: eduID-val rendelkező végfelhasználók számára biztosít automatikus felhasználó létrehozást és licensz kiosztást felhős szolgáltatásokban (jelenleg Microsoft licenszek kiosztása)<br /> <br /> = Microsoft integráció =<br /> <br /> Microsoft Graph API-n keresztül létrehozza a felhasználót és affiliation (student, staff, member) alapján hozzárendeli csoportokhoz. A csoporthoz hozzá lehet rendelni licenszeket, illetve jogosultságokat, amit automatikusan megörököl a felhasználó<br /> <br /> Az o365.eduid.hu címen működő szolgáltatás utódja.<br /> <br /> Célja: eduID-val rendelkező végfelhasználók számára biztosít automatikus felhasználó létrehozást és licensz kiosztást felhős szolgáltatásokban (jelenleg Microsoft licenszek kiosztása)<br /> <br /> == Szükséges beállítások Microsoft oldalról ==<br /> <br /> 1. Készítsünk egy Office 365 tenant-ot, ha még nincs: https://learn.microsoft.com/hu-hu/microsoft-365/education/deploy/create-your-office-365-tenant<br /> <br /> 2. A https://portal.azure.com oldalon bejelentkezve, hozzunk létre 1-1 biztonsági csoportot a tanulók és a dolgozók részére. Jegyezzük fel a csoportok objektumazonosítóját<br /> <br /> 3. Ahhoz, hogy a hub.eduid.hu szolgáltatás kezelni tudja a létrehozott tenant-ot, regisztráljunk egy új alkalmazást: https://portal.azure.com/#view/Microsoft_AAD_RegisteredApps/CreateApplicationBlade (ajánlott név: hub.edu.hu)<br /> Mentsük el a generált &quot;Alkalmazás (ügyfél) azonosítója&quot; értéket<br /> <br /> 4. Az alkalmazáshoz készítsünk egy új titkos ügyfélkódot, majd a generálás végén mentsünk el a titkos ügyfélkód &quot;Érték&quot; mező értékét. [[Fájl:Tanúsítvány.png|right|bélyegkép]]<br /> <br /> 5. A létrehozott alkalmazáshoz állítsuk be a szükséges jogosultságokat:<br /> <br /> [[Fájl:API engedélyek hozzáadása.png|right|bélyegkép]]<br /> <br /> * User.ReadWrite.All<br /> * Group.ReadWrite.All<br /> * Directory.ReadWrite.All<br /> * GroupMember.ReadWrite.All<br /> * MailboxSettings.Read<br /> * MailboxSettings.ReadWrite<br /> <br /> 6. A SAML login bekapcsolásának egyelőre sajnos nincs webes beállítási lehetősége, a Microsoft-tól sem kaptunk ezügyben iránymutatást, ezért ezt PowerShell-en keresztül kell megtenni.<br /> <br /> '''Figyelem!''' Ha bekapcsoljuk a domain-ra a SAML alapú (Federated) bejelentkezést, akkor már csak azon keresztül lehet bejelentkezni az adott domainre, nincs lehetőség, vegyeshasználatra! Csak akkor hatjsuk végre a beállítást, ha rendben megtörtént a hub.edu.hu és Microsoft közötti kapcsolat és megfelelően létrejöttek a felhasználók!<br /> <br /> Indítsunk egy PowerShell-t, majd adjuk ki a ''Connect-MsolService'' parancsot (ha nincs még feltelepítve, akkor a Install-Module MSOnline paranccsal lehet). Jelentkezzünk be adminisztrátori fiókunkkal.<br /> <br /> Állítsuk be az alábbi változókat:<br /> <br /> $dom = _domain amire engedélyezzük a Federációs bejelentkezést_<br /> $BrandName = _intézmény neve_<br /> $LogOffUrl = _IdP kijelentkezési URL-je_ <br /> $ecpUrl = _IdP bejelentkezési URL-je_<br /> $MyURI = _IdP entity ID-ja_<br /> $MySigningCert = _IdP selfsigned tanúsítványa_<br /> $Protocol = &quot;SAMLP&quot;<br /> <br /> Példa:<br /> <br /> $dom = &quot;kifu.gov.hu&quot; <br /> $BrandName = &quot;Kormányzati Informatikai Fejlesztési Ügynökség&quot; <br /> $LogOffUrl = &quot;https://idp.niif.hu/simplesaml/saml2/idp/SingleLogoutService.php&quot; <br /> $ecpUrl = &quot;https://idp.niif.hu/simplesaml/saml2/idp/SSOService.php&quot;<br /> $MyURI = &quot;https://idp.niif.hu/shibboleth&quot;<br /> $MySigningCert = &quot;MIID3zCCAsegAwIBAgI......XEhu3Otgo=&quot; <br /> $Protocol = &quot;SAMLP&quot;<br /> <br /> Majd futtassuk le:<br /> <br /> Set-MsolDomainAuthentication -DomainName $dom -FederationBrandName $BrandName -Authentication Federated -PassiveLogOnUri $ecpUrl -ActiveLogOnUri $ecpUrl -SigningCertificate $MySigningCert -IssuerUri $MyURI -LogOffUri $LogOffUrl -PreferredAuthenticationProtocol $Protocol<br /> <br /> Ha nem ad vissza semmilyen hibaüzenetet, akkor az office.com -ra való bejelentkezéssel tudjuk tesztelni. Miután beírtuk az e-mail címet a bejelentkező ablakban, akkor át fog irányítani a böngésző az IdP-nkre.<br /> <br /> Bejelentkezési mód visszaállítása:<br /> <br /> Set-MsolDomainAuthentication -DomainName $dom -Authentication Managed<br /> <br /> == Szükséges beállítások IdP oldalon ==<br /> <br /> A korábbiakhoz képest nincs változás. Leírása: [[O365_SAML|https://wiki.niif.hu/O365_SAML]]</div>

Dattila(AT)niif.hu https://wiki.niif.hu/index.php?title=Hub.eduid.hu&diff=5012 2023-08-31T13:22:25Z

<p>Dattila(AT)niif.hu: </p> <hr /> <div>Az o365.eduid.hu címen működő szolgáltatás utódja.<br /> <br /> Célja: eduID-val rendelkező végfelhasználók számára biztosít automatikus felhasználó létrehozást és licensz kiosztást felhős szolgáltatásokban (jelenleg Microsoft licenszek kiosztása)<br /> <br /> = Microsoft integráció =<br /> <br /> Microsoft Graph API-n keresztül létrehozza a felhasználót és affiliation (student, staff, member) alapján hozzárendeli csoportokhoz. A csoporthoz hozzá lehet rendelni licenszeket, illetve jogosultságokat, amit automatikusan megörököl a felhasználó<br /> <br /> Az o365.eduid.hu címen működő szolgáltatás utódja.<br /> <br /> Célja: eduID-val rendelkező végfelhasználók számára biztosít automatikus felhasználó létrehozást és licensz kiosztást felhős szolgáltatásokban (jelenleg Microsoft licenszek kiosztása)<br /> <br /> = Microsoft integráció =<br /> <br /> Microsoft Graph API-n keresztül létrehozza a felhasználót és affiliation (student, staff, member) alapján hozzárendeli csoportokhoz. A csoporthoz hozzá lehet rendelni licenszeket, illetve jogosultságokat, amit automatikusan megörököl a felhasználó<br /> <br /> == Szükséges beállítások Microsoft oldalról ==<br /> <br /> 1. Készítsünk egy Office 365 tenant-ot, ha még nincs: https://learn.microsoft.com/hu-hu/microsoft-365/education/deploy/create-your-office-365-tenant<br /> <br /> 2. A https://portal.azure.com oldalon bejelentkezve, hozzunk létre 1-1 biztonsági csoportot a tanulók és a dolgozók részére. Jegyezzük fel a csoportok objektumazonosítóját<br /> <br /> 3. Ahhoz, hogy a hub.eduid.hu szolgáltatás kezelni tudja a létrehozott tenant-ot, regisztráljunk egy új alkalmazást: https://portal.azure.com/#view/Microsoft_AAD_RegisteredApps/CreateApplicationBlade (ajánlott név: hub.edu.hu)<br /> Mentsük el a generált &quot;Alkalmazás (ügyfél) azonosítója&quot; értéket<br /> <br /> 4. Az alkalmazáshoz készítsünk egy új titkos ügyfélkódot, majd a generálás végén mentsünk el a titkos ügyfélkód &quot;Érték&quot; mező értékét. [[Fájl:Tanúsítvány.png|right|bélyegkép]]<br /> <br /> 5. A létrehozott alkalmazáshoz állítsuk be a szükséges jogosultságokat:<br /> <br /> [[Fájl:API engedélyek hozzáadása.png|right|bélyegkép]]<br /> <br /> * User.ReadWrite.All<br /> * Group.ReadWrite.All<br /> * Directory.ReadWrite.All<br /> * GroupMember.ReadWrite.All<br /> * MailboxSettings.Read<br /> * MailboxSettings.ReadWrite<br /> <br /> 6. A SAML login bekapcsolásának egyelőre sajnos nincs webes beállítási lehetősége, a Microsoft-tól sem kaptunk ezügyben iránymutatást, ezért ezt PowerShell-en keresztül kell megtenni.<br /> <br /> '''Figyelem!''' Ha bekapcsoljuk a domain-ra a SAML alapú (Federated) bejelentkezést, akkor már csak azon keresztül lehet bejelentkezni az adott domainre, nincs lehetőség, vegyeshasználatra! Csak akkor hatjsuk végre a beállítást, ha rendben megtörtént a hub.edu.hu és Microsoft közötti kapcsolat és megfelelően létrejöttek a felhasználók!<br /> <br /> Indítsunk egy PowerShell-t, majd adjuk ki a ''Connect-MsolService'' parancsot (ha nincs még feltelepítve, akkor a Install-Module MSOnline paranccsal lehet). Jelentkezzünk be adminisztrátori fiókunkkal.<br /> <br /> Állítsuk be az alábbi változókat:<br /> <br /> $dom = _domain amire engedélyezzük a Federációs bejelentkezést_<br /> $BrandName = _intézmény neve_<br /> $LogOffUrl = _IdP kijelentkezési URL-je_ <br /> $ecpUrl = _IdP bejelentkezési URL-je_<br /> $MyURI = _IdP entity ID-ja_<br /> $MySigningCert = _IdP selfsigned tanúsítványa_<br /> $Protocol = &quot;SAMLP&quot;<br /> <br /> Példa:<br /> <br /> $dom = &quot;kifu.gov.hu&quot; <br /> $BrandName = &quot;Kormányzati Informatikai Fejlesztési Ügynökség&quot; <br /> $LogOffUrl = &quot;https://idp.niif.hu/simplesaml/saml2/idp/SingleLogoutService.php&quot; <br /> $ecpUrl = &quot;https://idp.niif.hu/simplesaml/saml2/idp/SSOService.php&quot;<br /> $MyURI = &quot;https://idp.niif.hu/shibboleth&quot;<br /> $MySigningCert = &quot;MIID3zCCAsegAwIBAgI......XEhu3Otgo=&quot; <br /> $Protocol = &quot;SAMLP&quot;<br /> <br /> Majd futtassuk le:<br /> <br /> Set-MsolDomainAuthentication -DomainName $dom -FederationBrandName $BrandName -Authentication Federated -PassiveLogOnUri $ecpUrl -ActiveLogOnUri $ecpUrl -SigningCertificate $MySigningCert -IssuerUri $MyURI -LogOffUri $LogOffUrl -PreferredAuthenticationProtocol $Protocol<br /> <br /> Ha nem ad vissza semmilyen hibaüzenetet, akkor az office.com -ra való bejelentkezéssel tudjuk tesztelni. Miután beírtuk az e-mail címet a bejelentkező ablakban, akkor át fog irányítani a böngésző az IdP-nkre.<br /> <br /> Bejelentkezési mód visszaállítása:<br /> <br /> Set-MsolDomainAuthentication -DomainName $dom -Authentication Managed<br /> <br /> == Szükséges beállítások IdP oldalon ==<br /> <br /> A korábbiakhoz képest nincs változás. Leírása: [[O365_SAML|https://wiki.niif.hu/O365_SAML]]</div>

Dattila(AT)niif.hu https://wiki.niif.hu/index.php?title=Hub.eduid.hu&diff=5011 2023-08-31T13:18:28Z

<p>Dattila(AT)niif.hu: /* Szükséges feltételek Microsoft oldalról */</p> <hr /> <div>Az o365.eduid.hu címen működő szolgáltatás utódja.<br /> <br /> Célja: eduID-val rendelkező végfelhasználók számára biztosít automatikus felhasználó létrehozást és licensz kiosztást felhős szolgáltatásokban (jelenleg Microsoft licenszek kiosztása)<br /> <br /> = Microsoft integráció =<br /> <br /> Microsoft Graph API-n keresztül létrehozza a felhasználót és affiliation (student, staff, member) alapján hozzárendeli csoportokhoz. A csoporthoz hozzá lehet rendelni licenszeket, illetve jogosultságokat, amit automatikusan megörököl a felhasználó<br /> <br /> Az o365.eduid.hu címen működő szolgáltatás utódja.<br /> <br /> Célja: eduID-val rendelkező végfelhasználók számára biztosít automatikus felhasználó létrehozást és licensz kiosztást felhős szolgáltatásokban (jelenleg Microsoft licenszek kiosztása)<br /> <br /> = Microsoft integráció =<br /> <br /> Microsoft Graph API-n keresztül létrehozza a felhasználót és affiliation (student, staff, member) alapján hozzárendeli csoportokhoz. A csoporthoz hozzá lehet rendelni licenszeket, illetve jogosultságokat, amit automatikusan megörököl a felhasználó<br /> <br /> == Szükséges feltételek Microsoft oldalról ==<br /> <br /> 1. Készítsünk egy Office 365 tenant-ot, ha még nincs: https://learn.microsoft.com/hu-hu/microsoft-365/education/deploy/create-your-office-365-tenant<br /> <br /> 2. A https://portal.azure.com oldalon bejelentkezve, hozzunk létre 1-1 biztonsági csoportot a tanulók és a dolgozók részére. Jegyezzük fel a csoportok objektumazonosítóját<br /> <br /> 3. Ahhoz, hogy a hub.eduid.hu szolgáltatás kezelni tudja a létrehozott tenant-ot, regisztráljunk egy új alkalmazást: https://portal.azure.com/#view/Microsoft_AAD_RegisteredApps/CreateApplicationBlade (ajánlott név: hub.edu.hu)<br /> Mentsük el a generált &quot;Alkalmazás (ügyfél) azonosítója&quot; értéket<br /> <br /> 4. Az alkalmazáshoz készítsünk egy új titkos ügyfélkódot, majd a generálás végén mentsünk el a titkos ügyfélkód &quot;Érték&quot; mező értékét. [[Fájl:Tanúsítvány.png|right|bélyegkép]]<br /> <br /> 5. A létrehozott alkalmazáshoz állítsuk be a szükséges jogosultságokat:<br /> <br /> [[Fájl:API engedélyek hozzáadása.png|right|bélyegkép]]<br /> <br /> * User.ReadWrite.All<br /> * Group.ReadWrite.All<br /> * Directory.ReadWrite.All<br /> * GroupMember.ReadWrite.All<br /> * MailboxSettings.Read<br /> * MailboxSettings.ReadWrite<br /> <br /> 6. A SAML login bekapcsolásának egyelőre sajnos nincs webes beállítási lehetősége, a Microsoft-tól sem kaptunk ezügyben iránymutatást, ezért ezt PowerShell-en keresztül kell megtenni.<br /> <br /> '''Figyelem!''' Ha bekapcsoljuk a domain-ra a SAML alapú (Federated) bejelentkezést, akkor már csak azon keresztül lehet bejelentkezni az adott domainre, nincs lehetőség, vegyeshasználatra! Csak akkor hatjsuk végre a beállítást, ha rendben megtörtént a hub.edu.hu és Microsoft közötti kapcsolat és megfelelően létrejöttek a felhasználók!<br /> <br /> Indítsunk egy PowerShell-t, majd adjuk ki a ''Connect-MsolService'' parancsot (ha nincs még feltelepítve, akkor a Install-Module MSOnline paranccsal lehet). Jelentkezzünk be adminisztrátori fiókunkkal.<br /> <br /> Állítsuk be az alábbi változókat:<br /> <br /> $dom = _domain amire engedélyezzük a Federációs bejelentkezést_<br /> $BrandName = _intézmény neve_<br /> $LogOffUrl = _IdP kijelentkezési URL-je_ <br /> $ecpUrl = _IdP bejelentkezési URL-je_<br /> $MyURI = _IdP entity ID-ja_<br /> $MySigningCert = _IdP selfsigned tanúsítványa_<br /> $Protocol = &quot;SAMLP&quot;<br /> <br /> Példa:<br /> <br /> $dom = &quot;kifu.gov.hu&quot; <br /> $BrandName = &quot;Kormányzati Informatikai Fejlesztési Ügynökség&quot; <br /> $LogOffUrl = &quot;https://idp.niif.hu/simplesaml/saml2/idp/SingleLogoutService.php&quot; <br /> $ecpUrl = &quot;https://idp.niif.hu/simplesaml/saml2/idp/SSOService.php&quot;<br /> $MyURI = &quot;https://idp.niif.hu/shibboleth&quot;<br /> $MySigningCert = &quot;MIID3zCCAsegAwIBAgI......XEhu3Otgo=&quot; <br /> $Protocol = &quot;SAMLP&quot;<br /> <br /> Majd futtassuk le:<br /> <br /> Set-MsolDomainAuthentication -DomainName $dom -FederationBrandName $BrandName -Authentication Federated -PassiveLogOnUri $ecpUrl -ActiveLogOnUri $ecpUrl -SigningCertificate $MySigningCert -IssuerUri $MyURI -LogOffUri $LogOffUrl -PreferredAuthenticationProtocol $Protocol<br /> <br /> Ha nem ad vissza semmilyen hibaüzenetet, akkor az office.com -ra való bejelentkezéssel tudjuk tesztelni. Miután beírtuk az e-mail címet a bejelentkező ablakban, akkor át fog irányítani a böngésző az IdP-nkre.<br /> <br /> Bejelentkezési mód visszaállítása:<br /> <br /> Set-MsolDomainAuthentication -DomainName $dom -Authentication Managed</div>

Dattila(AT)niif.hu https://wiki.niif.hu/index.php?title=Hub.eduid.hu&diff=5010 2023-08-23T17:22:16Z

<p>Dattila(AT)niif.hu: /* Szükséges feltételek Microsoft oldalról */</p> <hr /> <div>Az o365.eduid.hu címen működő szolgáltatás utódja.<br /> <br /> Célja: eduID-val rendelkező végfelhasználók számára biztosít automatikus felhasználó létrehozást és licensz kiosztást felhős szolgáltatásokban (jelenleg Microsoft licenszek kiosztása)<br /> <br /> = Microsoft integráció =<br /> <br /> Microsoft Graph API-n keresztül létrehozza a felhasználót és affiliation (student, staff, member) alapján hozzárendeli csoportokhoz. A csoporthoz hozzá lehet rendelni licenszeket, illetve jogosultságokat, amit automatikusan megörököl a felhasználó<br /> <br /> Az o365.eduid.hu címen működő szolgáltatás utódja.<br /> <br /> Célja: eduID-val rendelkező végfelhasználók számára biztosít automatikus felhasználó létrehozást és licensz kiosztást felhős szolgáltatásokban (jelenleg Microsoft licenszek kiosztása)<br /> <br /> = Microsoft integráció =<br /> <br /> Microsoft Graph API-n keresztül létrehozza a felhasználót és affiliation (student, staff, member) alapján hozzárendeli csoportokhoz. A csoporthoz hozzá lehet rendelni licenszeket, illetve jogosultságokat, amit automatikusan megörököl a felhasználó<br /> <br /> == Szükséges feltételek Microsoft oldalról ==<br /> <br /> 1. Készítsünk egy Office 365 tenant-ot, ha még nincs: https://learn.microsoft.com/hu-hu/microsoft-365/education/deploy/create-your-office-365-tenant<br /> <br /> 2. A https://portal.azure.com oldalon bejelentkezve, hozzunk létre 1-1 biztonsági csoportot a tanulók és a dolgozók részére. Jegyezzük fel a csoportok objektumazonosítóját<br /> <br /> 3. Ahhoz, hogy a hub.eduid.hu szolgáltatás kezelni tudja a létrehozott tenant-ot, regisztráljunk egy új alkalmazást: https://portal.azure.com/#view/Microsoft_AAD_RegisteredApps/CreateApplicationBlade (ajánlott név: hub.edu.hu)<br /> Mentsük el a generált &quot;Alkalmazás (ügyfél) azonosítója&quot; értéket<br /> <br /> 4. Az alkalmazáshoz készítsünk egy új titkos ügyfélkódot, majd a generálás végén mentsünk el a titkos ügyfélkód &quot;Érték&quot; mező értékét.<br /> <br /> [[Fájl:Tanúsítvány.png|left|bélyegkép]]<br /> <br /> 5. A létrehozott alkalmazáshoz állítsuk be a szükséges jogosultságokat:<br /> <br /> * User.ReadWrite.All<br /> * Group.ReadWrite.All<br /> * Directory.ReadWrite.All<br /> * GroupMember.ReadWrite.All<br /> * MailboxSettings.Read<br /> * MailboxSettings.ReadWrite<br /> <br /> [[Fájl:API engedélyek hozzáadása.png|left|bélyegkép]]</div>

Dattila(AT)niif.hu https://wiki.niif.hu/index.php?title=Hub.eduid.hu&diff=5009 2023-08-23T15:55:52Z

<p>Dattila(AT)niif.hu: </p> <hr /> <div>Az o365.eduid.hu címen működő szolgáltatás utódja.<br /> <br /> Célja: eduID-val rendelkező végfelhasználók számára biztosít automatikus felhasználó létrehozást és licensz kiosztást felhős szolgáltatásokban (jelenleg Microsoft licenszek kiosztása)<br /> <br /> = Microsoft integráció =<br /> <br /> Microsoft Graph API-n keresztül létrehozza a felhasználót és affiliation (student, staff, member) alapján hozzárendeli csoportokhoz. A csoporthoz hozzá lehet rendelni licenszeket, illetve jogosultságokat, amit automatikusan megörököl a felhasználó<br /> <br /> == Szükséges feltételek Microsoft oldalról ==<br /> <br /> 1. Készítsünk egy Office 365 tenant-ot, ha még nincs: https://learn.microsoft.com/hu-hu/microsoft-365/education/deploy/create-your-office-365-tenant<br /> <br /> 2. A https://portal.azure.com oldalon bejelentkezve, hozzunk létre 1-1 biztonsági csoportot a tanulók és a dolgozók részére. Jegyezzük fel a csoportok objektumazonosítóját<br /> <br /> 3. Ahhoz, hogy a hub.eduid.hu szolgáltatás kezelni tudja a létrehozott tenant-ot, regisztráljunk egy új alkalmazást: https://portal.azure.com/#view/Microsoft_AAD_RegisteredApps/CreateApplicationBlade (ajánlott név: hub.edu.hu)<br /> <br /> 4. Az alkalmazáshoz készítsünk egy új titkos ügyfélkódot, majd a generálás végén mentsünk el az &quot;Érték&quot; és a &quot;Titkos kód azonosítója&quot; értékeket<br /> <br /> [[Fájl:Tanúsítvány.png|left|bélyegkép]]<br /> <br /> 5. A létrehozott alkalmazáshoz állítsuk be a szükséges jogosultságokat:<br /> <br /> * User.ReadWrite.All<br /> * Group.ReadWrite.All<br /> * Directory.ReadWrite.All<br /> * GroupMember.ReadWrite.All<br /> * MailboxSettings.Read<br /> * MailboxSettings.ReadWrite<br /> <br /> [[Fájl:API engedélyek hozzáadása.png|left|bélyegkép]]</div>

Dattila(AT)niif.hu https://wiki.niif.hu/index.php?title=F%C3%A1jl:API_enged%C3%A9lyek_hozz%C3%A1ad%C3%A1sa.png&diff=5008 2023-08-23T15:47:39Z

<p>Dattila(AT)niif.hu: </p> <hr /> <div>API engedélyek hozzáadása</div>

Dattila(AT)niif.hu https://wiki.niif.hu/index.php?title=F%C3%A1jl:Tan%C3%BAs%C3%ADtv%C3%A1ny.png&diff=5007 2023-08-23T15:37:21Z

<p>Dattila(AT)niif.hu: </p> <hr /> <div>tanúsítvány létrehozása</div>

Dattila(AT)niif.hu https://wiki.niif.hu/index.php?title=Hub.eduid.hu&diff=5006 2023-08-23T15:13:22Z

<p>Dattila(AT)niif.hu: /* Szükséges feltételek Microsoft oldalról */</p> <hr /> <div>Az o365.eduid.hu címen működő szolgáltatás utódja.<br /> <br /> Célja: eduID-val rendelkező végfelhasználók számára biztosít automatikus felhasználó létrehozást és licensz kiosztást felhős szolgáltatásokban (jelenleg Microsoft licenszek kiosztása)<br /> <br /> = Microsoft integráció =<br /> <br /> Microsoft Graph API-n keresztül létrehozza a felhasználót és affiliation (student, staff, member) alapján hozzárendeli csoportokhoz. A csoporthoz hozzá lehet rendelni licenszeket, illetve jogosultságokat, amit automatikusan megörököl a felhasználó<br /> <br /> == Szükséges feltételek Microsoft oldalról ==<br /> <br /> 1. Készítsünk egy Office 365 tenant-ot, ha még nincs: https://learn.microsoft.com/hu-hu/microsoft-365/education/deploy/create-your-office-365-tenant<br /> <br /> 2. A https://portal.azure.com oldalon bejelentkezve, hozzunk létre 1-1 biztonsági csoportot a tanulók és a dolgozók részére. Jegyezzük fel a csoportok objektumazonosítóját</div>

Dattila(AT)niif.hu https://wiki.niif.hu/index.php?title=Hub.eduid.hu&diff=5005 2023-08-23T15:13:03Z

<p>Dattila(AT)niif.hu: /* Szükséges feltételek Microsoft oldalról */</p> <hr /> <div>Az o365.eduid.hu címen működő szolgáltatás utódja.<br /> <br /> Célja: eduID-val rendelkező végfelhasználók számára biztosít automatikus felhasználó létrehozást és licensz kiosztást felhős szolgáltatásokban (jelenleg Microsoft licenszek kiosztása)<br /> <br /> = Microsoft integráció =<br /> <br /> Microsoft Graph API-n keresztül létrehozza a felhasználót és affiliation (student, staff, member) alapján hozzárendeli csoportokhoz. A csoporthoz hozzá lehet rendelni licenszeket, illetve jogosultságokat, amit automatikusan megörököl a felhasználó<br /> <br /> == Szükséges feltételek Microsoft oldalról ==<br /> <br /> 1. készítsünk egy Office 365 tenant-ot, ha még nincs: https://learn.microsoft.com/hu-hu/microsoft-365/education/deploy/create-your-office-365-tenant<br /> <br /> 2. portal.azure.com oldalon bejelentkezve, hozzunk létre 1-1 biztonsági csoportot a tanulók és a dolgozók részére. Jegyezzük fel a csoportok objektumazonosítóját</div>

Dattila(AT)niif.hu https://wiki.niif.hu/index.php?title=Hub.eduid.hu&diff=5004 2023-08-23T15:09:59Z

<p>Dattila(AT)niif.hu: /* Szükséges feltételek Microsoft oldalról */</p> <hr /> <div>Az o365.eduid.hu címen működő szolgáltatás utódja.<br /> <br /> Célja: eduID-val rendelkező végfelhasználók számára biztosít automatikus felhasználó létrehozást és licensz kiosztást felhős szolgáltatásokban (jelenleg Microsoft licenszek kiosztása)<br /> <br /> = Microsoft integráció =<br /> <br /> Microsoft Graph API-n keresztül létrehozza a felhasználót és affiliation (student, staff, member) alapján hozzárendeli csoportokhoz. A csoporthoz hozzá lehet rendelni licenszeket, illetve jogosultságokat, amit automatikusan megörököl a felhasználó<br /> <br /> == Szükséges feltételek Microsoft oldalról ==<br /> <br /> 1. készítsünk egy Office 365 tenant-ot, ha még nincs: https://learn.microsoft.com/hu-hu/microsoft-365/education/deploy/create-your-office-365-tenant</div>

Dattila(AT)niif.hu https://wiki.niif.hu/index.php?title=Hub.eduid.hu&diff=5003 2023-08-17T08:52:54Z

<p>Dattila(AT)niif.hu: </p> <hr /> <div>Az o365.eduid.hu címen működő szolgáltatás utódja.<br /> <br /> Célja: eduID-val rendelkező végfelhasználók számára biztosít automatikus felhasználó létrehozást és licensz kiosztást felhős szolgáltatásokban (jelenleg Microsoft licenszek kiosztása)<br /> <br /> = Microsoft integráció =<br /> <br /> Microsoft Graph API-n keresztül létrehozza a felhasználót és affiliation (student, staff, member) alapján hozzárendeli csoportokhoz. A csoporthoz hozzá lehet rendelni licenszeket, illetve jogosultságokat, amit automatikusan megörököl a felhasználó<br /> <br /> == Szükséges feltételek Microsoft oldalról ==</div>

Dattila(AT)niif.hu https://wiki.niif.hu/index.php?title=Hub.eduid.hu&diff=5002 2023-08-17T08:39:50Z

<p>Dattila(AT)niif.hu: Új oldal, tartalma: „Az o365.eduid.hu címen működő szolgáltatás utódja. Célja: eduID-val rendelkező végfelhasználók számára biztosít automatikus felhasználó létrehozást…”</p> <hr /> <div>Az o365.eduid.hu címen működő szolgáltatás utódja.<br /> <br /> Célja: eduID-val rendelkező végfelhasználók számára biztosít automatikus felhasználó létrehozást és licensz kiosztást felhős szolgáltatásokban (jelenleg Microsoft licenszek kiosztása)<br /> <br /> = Microsoft integráció =<br /> <br /> Microsoft Graph API-n keresztül létrehozza a felhasználót és affiliation (student, staff, member) alapján hozzárendeli csoportokhoz. A csoporthoz hozzá lehet rendelni licenszeket, illetve jogosultságokat, amit automatikusan megörököl a felhasználó</div>

Dattila(AT)niif.hu https://wiki.niif.hu/index.php?title=Shib2SP&diff=5001 2023-08-15T14:16:59Z

<p>Dattila(AT)niif.hu: új működő példa config</p> <hr /> <div>Az SP-t a '''&lt;code&gt;shibboleth2.xml&lt;/code&gt;''' állományon keresztül konfigurálhatjuk. Ebben a leírásban feltételezzük, hogy az SP konfigurációja a '''&lt;code&gt;/etc/shibboleth&lt;/code&gt;''' könyvtárban van.<br /> <br /> = Előkészületek =<br /> * [[Shibboleth2_SP|Telepítsük a shibbolethet]]<br /> * Válasszunk egy egyedi azonosítót, ún. &lt;code&gt;entityID&lt;/code&gt;-t az SP számára. Ez az azonosító URL formájú, létező hosztnév, egy - alapértelmezés szerint - /shibboleth path-szal. Pl: &lt;code&gt;https://lipton.aai.niif.hu/shibboleth&lt;/code&gt;. Megfelelő konfiguráció után az entityID-t meghívva válaszul az adott entitás metaadatát kapjuk válaszul.<br /> <br /> = Működő példa konfiguráció 1 =<br /> <br /> &lt;source lang=&quot;xml&quot;&gt;<br /> &lt;SPConfig xmlns=&quot;urn:mace:shibboleth:2.0:native:sp:config&quot;<br /> xmlns:conf=&quot;urn:mace:shibboleth:2.0:native:sp:config&quot;<br /> xmlns:saml=&quot;urn:oasis:names:tc:SAML:2.0:assertion&quot;<br /> xmlns:samlp=&quot;urn:oasis:names:tc:SAML:2.0:protocol&quot;<br /> xmlns:md=&quot;urn:oasis:names:tc:SAML:2.0:metadata&quot;<br /> clockSkew=&quot;180&quot;&gt;<br /> <br /> &lt;!--<br /> By default, in-memory StorageService, ReplayCache, ArtifactMap, and SessionCache<br /> are used. See example-shibboleth2.xml for samples of explicitly configuring them.<br /> --&gt;<br /> <br /> &lt;!--<br /> To customize behavior for specific resources on Apache, and to link vhosts or<br /> resources to ApplicationOverride settings below, use web server options/commands.<br /> See https://wiki.shibboleth.net/confluence/display/SHIB2/NativeSPConfigurationElements for help.<br /> <br /> For examples with the RequestMap XML syntax instead, see the example-shibboleth2.xml<br /> file, and the https://wiki.shibboleth.net/confluence/display/SHIB2/NativeSPRequestMapHowTo topic.<br /> --&gt;<br /> <br /> &lt;!-- The ApplicationDefaults element is where most of Shibboleth's SAML bits are defined. --&gt;<br /> &lt;ApplicationDefaults entityID=&quot;https://events.prace-ri.eu/shibboleth&quot;<br /> REMOTE_USER=&quot;eppn&quot;<br /> cipherSuites=&quot;ECDHE+AESGCM:ECDHE:!aNULL:!eNULL:!LOW:!EXPORT:!RC4:!SHA:!SSLv2&quot;&gt;<br /> <br /> &lt;!--<br /> Controls session lifetimes, address checks, cookie handling, and the protocol handlers.<br /> You MUST supply an effectively unique handlerURL value for each of your applications.<br /> The value defaults to /Shibboleth.sso, and should be a relative path, with the SP computing<br /> a relative value based on the virtual host. Using handlerSSL=&quot;true&quot;, the default, will force<br /> the protocol to be https. You should also set cookieProps to &quot;https&quot; for SSL-only sites.<br /> Note that while we default checkAddress to &quot;false&quot;, this has a negative impact on the<br /> security of your site. Stealing sessions via cookie theft is much easier with this disabled.<br /> --&gt;<br /> &lt;Sessions lifetime=&quot;28800&quot; timeout=&quot;3600&quot; relayState=&quot;ss:mem&quot;<br /> checkAddress=&quot;false&quot; handlerSSL=&quot;false&quot; cookieProps=&quot;http&quot;&gt;<br /> <br /> &lt;!--<br /> Configures SSO for a default IdP. To allow for &gt;1 IdP, remove<br /> entityID property and adjust discoveryURL to point to discovery service.<br /> (Set discoveryProtocol to &quot;WAYF&quot; for legacy Shibboleth WAYF support.)<br /> You can also override entityID on /Login query string, or in RequestMap/htaccess.<br /> --&gt;<br /> <br /> &lt;SSO discoveryProtocol=&quot;SAMLDS&quot; discoveryURL=&quot;https://mdx.eduid.hu/role/idp.ds&quot;&gt;<br /> SAML2 SAML1<br /> &lt;/SSO&gt;<br /> <br /> <br /> &lt;!-- SAML and local-only logout. --&gt;<br /> &lt;Logout&gt;SAML2 Local&lt;/Logout&gt;<br /> <br /> &lt;!-- Extension service that generates &quot;approximate&quot; metadata based on SP configuration. --&gt;<br /> &lt;Handler type=&quot;MetadataGenerator&quot; Location=&quot;/Metadata&quot; signing=&quot;false&quot;/&gt;<br /> <br /> &lt;!-- Status reporting service. --&gt;<br /> &lt;Handler type=&quot;Status&quot; Location=&quot;/Status&quot; acl=&quot;127.0.0.1 ::1&quot;/&gt;<br /> <br /> &lt;!-- Session diagnostic service. --&gt;<br /> &lt;Handler type=&quot;Session&quot; Location=&quot;/Session&quot; showAttributeValues=&quot;false&quot;/&gt;<br /> <br /> &lt;!-- JSON feed of discovery information. --&gt;<br /> &lt;Handler type=&quot;DiscoveryFeed&quot; Location=&quot;/DiscoFeed&quot;/&gt;<br /> <br /> &lt;/Sessions&gt;<br /> <br /> &lt;!--<br /> Allows overriding of error template information/filenames. You can<br /> also add attributes with values that can be plugged into the templates.<br /> --&gt;<br /> &lt;Errors supportContact=&quot;prace-indico-admin@niif.hu&quot;<br /> helpLocation=&quot;/about.html&quot;<br /> styleSheet=&quot;/shibboleth-sp/main.css&quot;/&gt;<br /> <br /> &lt;MetadataProvider type=&quot;Dynamic&quot; ignoreTransport=&quot;true&quot;&gt;<br /> &lt;Subst&gt;https://mdx.eduid.hu/entities/$entityID&lt;/Subst&gt;<br /> &lt;MetadataFilter type=&quot;Signature&quot; certificate=&quot;href-metadata-signer-2020.crt&quot;/&gt;<br /> &lt;/MetadataProvider&gt;<br /> <br /> &lt;!-- Example of remotely supplied batch of signed metadata. --&gt;<br /> &lt;!--<br /> &lt;MetadataProvider type=&quot;XML&quot; validate=&quot;true&quot;<br /> uri=&quot;http://example.org/federation-metadata.xml&quot;<br /> backingFilePath=&quot;federation-metadata.xml&quot; reloadInterval=&quot;7200&quot;&gt;<br /> &lt;MetadataFilter type=&quot;RequireValidUntil&quot; maxValidityInterval=&quot;2419200&quot;/&gt;<br /> &lt;MetadataFilter type=&quot;Signature&quot; certificate=&quot;fedsigner.pem&quot;/&gt;<br /> &lt;DiscoveryFilter type=&quot;Blacklist&quot; matcher=&quot;EntityAttributes&quot; trimTags=&quot;true&quot;<br /> attributeName=&quot;http://macedir.org/entity-category&quot;<br /> attributeNameFormat=&quot;urn:oasis:names:tc:SAML:2.0:attrname-format:uri&quot;<br /> attributeValue=&quot;http://refeds.org/category/hide-from-discovery&quot; /&gt;<br /> &lt;/MetadataProvider&gt;<br /> --&gt;<br /> <br /> &lt;!-- Example of locally maintained metadata. --&gt;<br /> &lt;!--<br /> &lt;MetadataProvider type=&quot;XML&quot; validate=&quot;true&quot; file=&quot;partner-metadata.xml&quot;/&gt;<br /> --&gt;<br /> <br /> &lt;!-- Map to extract attributes from SAML assertions. --&gt;<br /> &lt;AttributeExtractor type=&quot;XML&quot; validate=&quot;true&quot; reloadChanges=&quot;false&quot; path=&quot;attribute-map.xml&quot;/&gt;<br /> <br /> &lt;!-- Use a SAML query if no attributes are supplied during SSO. --&gt;<br /> &lt;AttributeResolver type=&quot;Query&quot; subjectMatch=&quot;true&quot;/&gt;<br /> <br /> &lt;!-- Default filtering policy for recognized attributes, lets other data pass. --&gt;<br /> &lt;AttributeFilter type=&quot;XML&quot; validate=&quot;true&quot; path=&quot;attribute-policy.xml&quot;/&gt;<br /> <br /> &lt;!-- Simple file-based resolver for using a single keypair. --&gt;<br /> &lt;CredentialResolver type=&quot;File&quot; key=&quot;events-shib.key&quot; certificate=&quot;events-shib.cert&quot;/&gt;<br /> <br /> &lt;!--<br /> The default settings can be overridden by creating ApplicationOverride elements (see<br /> the https://wiki.shibboleth.net/confluence/display/SHIB2/NativeSPApplicationOverride topic).<br /> Resource requests are mapped by web server commands, or the RequestMapper, to an<br /> applicationId setting.<br /> <br /> Example of a second application (for a second vhost) that has a different entityID.<br /> Resources on the vhost would map to an applicationId of &quot;admin&quot;:<br /> --&gt;<br /> &lt;!--<br /> &lt;ApplicationOverride id=&quot;admin&quot; entityID=&quot;https://admin.example.org/shibboleth&quot;/&gt;<br /> --&gt;<br /> &lt;/ApplicationDefaults&gt;<br /> <br /> &lt;!-- Policies that determine how to process and authenticate runtime messages. --&gt;<br /> &lt;SecurityPolicyProvider type=&quot;XML&quot; validate=&quot;true&quot; path=&quot;security-policy.xml&quot;/&gt;<br /> <br /> &lt;!-- Low-level configuration about protocols and bindings available for use. --&gt;<br /> &lt;ProtocolProvider type=&quot;XML&quot; validate=&quot;true&quot; reloadChanges=&quot;false&quot; path=&quot;protocols.xml&quot;/&gt;<br /> <br /> &lt;/SPConfig&gt;<br /> <br /> &lt;/source&gt;<br /> <br /> = Működő példa konfiguráció 2 =<br /> <br /> &lt;source lang=&quot;xml&quot;&gt;<br /> <br /> &lt;SPConfig xmlns=&quot;urn:mace:shibboleth:2.0:native:sp:config&quot;<br /> xmlns:conf=&quot;urn:mace:shibboleth:2.0:native:sp:config&quot;<br /> xmlns:saml=&quot;urn:oasis:names:tc:SAML:2.0:assertion&quot;<br /> xmlns:samlp=&quot;urn:oasis:names:tc:SAML:2.0:protocol&quot; <br /> xmlns:md=&quot;urn:oasis:names:tc:SAML:2.0:metadata&quot;<br /> logger=&quot;syslog.logger&quot; clockSkew=&quot;180&quot;&gt;<br /> <br /> &lt;!-- The OutOfProcess section contains properties affecting the shibd daemon. --&gt;<br /> &lt;OutOfProcess logger=&quot;shibd.logger&quot;&gt;<br /> &lt;!--<br /> &lt;Extensions&gt;<br /> &lt;Library path=&quot;odbc-store.so&quot; fatal=&quot;true&quot;/&gt;<br /> &lt;/Extensions&gt;<br /> --&gt;<br /> &lt;/OutOfProcess&gt;<br /> <br /> &lt;!-- The InProcess section conrains settings affecting web server modules/filters. --&gt;<br /> &lt;InProcess logger=&quot;native.logger&quot;&gt;<br /> &lt;/InProcess&gt;<br /> <br /> &lt;!-- Only one listener can be defined, to connect in process modules to shibd. --&gt;<br /> &lt;UnixListener address=&quot;shibd.sock&quot;/&gt;<br /> &lt;!-- &lt;TCPListener address=&quot;127.0.0.1&quot; port=&quot;12345&quot; acl=&quot;127.0.0.1&quot;/&gt; --&gt;<br /> <br /> &lt;!-- This set of components stores sessions and other persistent data in daemon memory. --&gt;<br /> &lt;StorageService type=&quot;Memory&quot; id=&quot;mem&quot; cleanupInterval=&quot;900&quot;/&gt;<br /> &lt;SessionCache type=&quot;StorageService&quot; StorageService=&quot;mem&quot; cacheTimeout=&quot;3600&quot; inprocTimeout=&quot;900&quot; cleanupInterval=&quot;900&quot;/&gt;<br /> &lt;ReplayCache StorageService=&quot;mem&quot;/&gt;<br /> &lt;ArtifactMap artifactTTL=&quot;180&quot;/&gt;<br /> <br /> &lt;!-- This set of components stores sessions and other persistent data in an ODBC database. --&gt;<br /> &lt;!--<br /> &lt;StorageService type=&quot;ODBC&quot; id=&quot;db&quot; cleanupInterval=&quot;900&quot;&gt;<br /> &lt;ConnectionString&gt;<br /> DRIVER=drivername;SERVER=dbserver;UID=shibboleth;PWD=password;DATABASE=shibboleth;APP=Shibboleth<br /> &lt;/ConnectionString&gt;<br /> &lt;/StorageService&gt;<br /> &lt;SessionCache type=&quot;StorageService&quot; StorageService=&quot;db&quot; cacheTimeout=&quot;3600&quot; inprocTimeout=&quot;900&quot; cleanupInterval=&quot;900&quot;/&gt;<br /> &lt;ReplayCache StorageService=&quot;db&quot;/&gt;<br /> &lt;ArtifactMap StorageService=&quot;db&quot; artifactTTL=&quot;180&quot;/&gt;<br /> --&gt;<br /> <br /> &lt;!-- To customize behavior, map hostnames and path components to applicationId and other settings. --&gt;<br /> &lt;RequestMapper type=&quot;Native&quot;&gt;<br /> &lt;RequestMap applicationId=&quot;default&quot;&gt;<br /> &lt;!--<br /> The example requires a session for documents in /secure on the containing host with http and<br /> https on the default ports. Note that the name and port in the &lt;Host&gt; elements MUST match<br /> Apache's ServerName and Port directives or the IIS Site name in the &lt;ISAPI&gt; element<br /> below.<br /> --&gt;<br /> &lt;Host name=&quot;wiki.aai.niif.hu&quot; authType=&quot;shibboleth&quot; <br /> requireSession=&quot;false&quot; applicationId=&quot;wiki.aai&quot; <br /> redirectErrors=&quot;https://wiki.aai.niif.hu/index.php/Kezd%C5%91lap&quot;&gt;<br /> &lt;Path name=&quot;secure&quot; requireSession=&quot;true&quot; /&gt;<br /> &lt;/Host&gt;<br /> &lt;Host name=&quot;www.aai.niif.hu&quot; authType=&quot;shibboleth&quot; <br /> requireSession=&quot;false&quot; applicationId=&quot;www.aai&quot;&gt;<br /> &lt;Path name=&quot;secure&quot; requireSession=&quot;true&quot; /&gt;<br /> &lt;/Host&gt;<br /> &lt;/RequestMap&gt;<br /> &lt;/RequestMapper&gt;<br /> <br /> &lt;!--<br /> The ApplicationDefaults element is where most of Shibboleth's SAML bits are defined.<br /> Resource requests are mapped by the RequestMapper to an applicationId that<br /> points into to this section.<br /> --&gt;<br /> &lt;ApplicationDefaults id=&quot;default&quot; policyId=&quot;default&quot;<br /> entityID=&quot;https://lipton.aai.niif.hu/shibboleth&quot;<br /> homeURL=&quot;https://lipton.aai.niif.hu/shib-error.php&quot;<br /> REMOTE_USER=&quot;eppn persistent-id targeted-id&quot;<br /> signing=&quot;false&quot; encryption=&quot;false&quot;<br /> &gt;<br /> <br /> &lt;!--<br /> Controls session lifetimes, address checks, cookie handling, and the protocol handlers.<br /> You MUST supply an effectively unique handlerURL value for each of your applications.<br /> The value can be a relative path, a URL with no hostname (https:///path) or a full URL.<br /> The system can compute a relative value based on the virtual host. Using handlerSSL=&quot;true&quot;<br /> will force the protocol to be https. You should also add a cookieProps setting of &quot;; path=/; secure&quot;<br /> in that case. Note that while we default checkAddress to &quot;false&quot;, this has a negative<br /> impact on the security of the SP. Stealing cookies/sessions is much easier with this disabled.<br /> --&gt;<br /> &lt;Sessions lifetime=&quot;28800&quot; timeout=&quot;3600&quot; checkAddress=&quot;false&quot;<br /> handlerURL=&quot;/Shibboleth.sso&quot; handlerSSL=&quot;true&quot;<br /> exportLocation=&quot;http://localhost/Shibboleth.sso/GetAssertion&quot;<br /> idpHistory=&quot;false&quot; idpHistoryDays=&quot;7&quot;&gt;<br /> <br /> &lt;!--<br /> SessionInitiators handle session requests and relay them to a Discovery page,<br /> or to an IdP if possible. Automatic session setup will use the default or first<br /> element (or requireSessionWith can specify a specific id to use).<br /> --&gt;<br /> <br /> &lt;!-- Directly to the IdP --&gt; <br /> &lt;SessionInitiator type=&quot;Chaining&quot; Location=&quot;/Login&quot; id=&quot;Intranet&quot;<br /> relayState=&quot;cookie&quot; entityID=&quot;https://idp.niif.hu/shibboleth&quot;&gt;<br /> &lt;SessionInitiator type=&quot;SAML2&quot; defaultACSIndex=&quot;1&quot; template=&quot;bindingTemplate.html&quot;/&gt;<br /> &lt;SessionInitiator type=&quot;Shib1&quot; defaultACSIndex=&quot;5&quot;/&gt;<br /> &lt;/SessionInitiator&gt;<br /> <br /> &lt;!-- Discovery Service --&gt;<br /> &lt;SessionInitiator type=&quot;Chaining&quot; Location=&quot;/DS&quot; id=&quot;DS&quot; <br /> relayState=&quot;cookie&quot; acsByIndex=&quot;false&quot; <br /> isDefault=&quot;true&quot; &gt;<br /> &lt;SessionInitiator type=&quot;SAML2&quot; template=&quot;bindingTemplate.html&quot;<br /> defaultACSIndex=&quot;3&quot; /&gt;<br /> &lt;SessionInitiator type=&quot;Shib1&quot; defaultACSIndex=&quot;5&quot; /&gt;<br /> &lt;SessionInitiator type=&quot;SAMLDS&quot; URL=&quot;https://ds.niif.hu/&quot;/&gt;<br /> &lt;/SessionInitiator&gt;<br /> &lt;SessionInitiator type=&quot;Chaining&quot; Location=&quot;/SAML1DS&quot; acsByIndex=&quot;false&quot; relayState=&quot;cookie&quot; <br /> id=&quot;Saml1Only&quot;&gt;<br /> &lt;SessionInitiator type=&quot;Shib1&quot; defaultACSIndex=&quot;6&quot;/&gt;<br /> &lt;SessionInitiator type=&quot;SAMLDS&quot; URL=&quot;https://ds.niif.hu&quot; /&gt;<br /> &lt;/SessionInitiator&gt;<br /> <br /> &lt;!--<br /> md:AssertionConsumerService locations handle specific SSO protocol bindings,<br /> such as SAML 2.0 POST or SAML 1.1 Artifact. The isDefault and index attributes<br /> are used when sessions are initiated to determine how to tell the IdP where and<br /> how to return the response.<br /> --&gt;<br /> &lt;md:AssertionConsumerService Location=&quot;/SAML2/POST&quot; index=&quot;1&quot;<br /> Binding=&quot;urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST&quot;/&gt;<br /> &lt;md:AssertionConsumerService Location=&quot;/SAML2/POST-SimpleSign&quot; index=&quot;2&quot;<br /> Binding=&quot;urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST-SimpleSign&quot;/&gt;<br /> &lt;md:AssertionConsumerService Location=&quot;/SAML2/Artifact&quot; index=&quot;3&quot;<br /> Binding=&quot;urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Artifact&quot;/&gt;<br /> &lt;md:AssertionConsumerService Location=&quot;/SAML2/ECP&quot; index=&quot;4&quot;<br /> Binding=&quot;urn:oasis:names:tc:SAML:2.0:bindings:PAOS&quot;/&gt;<br /> &lt;md:AssertionConsumerService Location=&quot;/SAML/POST&quot; index=&quot;5&quot;<br /> Binding=&quot;urn:oasis:names:tc:SAML:1.0:profiles:browser-post&quot;/&gt;<br /> &lt;md:AssertionConsumerService Location=&quot;/SAML/Artifact&quot; index=&quot;6&quot;<br /> Binding=&quot;urn:oasis:names:tc:SAML:1.0:profiles:artifact-01&quot;/&gt;<br /> <br /> &lt;!-- LogoutInitiators enable SP-initiated local or global/single logout of sessions. --&gt;<br /> &lt;LogoutInitiator type=&quot;Chaining&quot; Location=&quot;/Logout&quot; relayState=&quot;cookie&quot;&gt;<br /> &lt;LogoutInitiator type=&quot;SAML2&quot; template=&quot;bindingTemplate.html&quot;/&gt;<br /> &lt;LogoutInitiator type=&quot;Local&quot;/&gt;<br /> &lt;/LogoutInitiator&gt;<br /> <br /> &lt;!-- md:SingleLogoutService locations handle single logout (SLO) protocol messages. --&gt;<br /> &lt;md:SingleLogoutService Location=&quot;/SLO/SOAP&quot;<br /> Binding=&quot;urn:oasis:names:tc:SAML:2.0:bindings:SOAP&quot;/&gt;<br /> &lt;md:SingleLogoutService Location=&quot;/SLO/Redirect&quot; conf:template=&quot;bindingTemplate.html&quot;<br /> Binding=&quot;urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Redirect&quot;/&gt;<br /> &lt;md:SingleLogoutService Location=&quot;/SLO/POST&quot; conf:template=&quot;bindingTemplate.html&quot;<br /> Binding=&quot;urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST&quot;/&gt;<br /> &lt;md:SingleLogoutService Location=&quot;/SLO/Artifact&quot; conf:template=&quot;bindingTemplate.html&quot;<br /> Binding=&quot;urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Artifact&quot;/&gt;<br /> <br /> &lt;!-- md:ManageNameIDService locations handle NameID management (NIM) protocol messages. --&gt;<br /> &lt;md:ManageNameIDService Location=&quot;/NIM/SOAP&quot;<br /> Binding=&quot;urn:oasis:names:tc:SAML:2.0:bindings:SOAP&quot;/&gt;<br /> &lt;md:ManageNameIDService Location=&quot;/NIM/Redirect&quot; conf:template=&quot;bindingTemplate.html&quot;<br /> Binding=&quot;urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Redirect&quot;/&gt;<br /> &lt;md:ManageNameIDService Location=&quot;/NIM/POST&quot; conf:template=&quot;bindingTemplate.html&quot;<br /> Binding=&quot;urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST&quot;/&gt;<br /> &lt;md:ManageNameIDService Location=&quot;/NIM/Artifact&quot; conf:template=&quot;bindingTemplate.html&quot;<br /> Binding=&quot;urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Artifact&quot;/&gt;<br /> <br /> &lt;!--<br /> md:ArtifactResolutionService locations resolve artifacts issued when using the<br /> SAML 2.0 HTTP-Artifact binding on outgoing messages, generally uses SOAP.<br /> --&gt;<br /> &lt;md:ArtifactResolutionService Location=&quot;/Artifact/SOAP&quot; index=&quot;1&quot;<br /> Binding=&quot;urn:oasis:names:tc:SAML:2.0:bindings:SOAP&quot;/&gt;<br /> <br /> &lt;!-- Extension service that generates &quot;approximate&quot; metadata based on SP configuration. --&gt;<br /> &lt;Handler type=&quot;MetadataGenerator&quot; Location=&quot;/Metadata&quot; signing=&quot;false&quot;/&gt;<br /> <br /> &lt;!-- Status reporting service. --&gt;<br /> &lt;Handler type=&quot;Status&quot; Location=&quot;/Status&quot; acl=&quot;127.0.0.1&quot;/&gt;<br /> <br /> &lt;!-- Session diagnostic service. --&gt;<br /> &lt;Handler type=&quot;Session&quot; Location=&quot;/Session&quot;/&gt;<br /> <br /> &lt;/Sessions&gt;<br /> <br /> &lt;!--<br /> You should customize these pages! You can add attributes with values that can be plugged<br /> into your templates. You can remove the access attribute to cause the module to return a<br /> standard 403 Forbidden error code if authorization fails, and then customize that condition<br /> using your web server.<br /> --&gt;<br /> &lt;Errors session=&quot;sessionError.html&quot;<br /> metadata=&quot;metadataError.html&quot;<br /> access=&quot;accessError.html&quot;<br /> ssl=&quot;sslError.html&quot;<br /> localLogout=&quot;localLogout.html&quot;<br /> globalLogout=&quot;globalLogout.html&quot;<br /> supportContact=&quot;root@localhost&quot;<br /> logoLocation=&quot;/shibboleth-sp/logo.jpg&quot;<br /> styleSheet=&quot;/shibboleth-sp/main.css&quot;/&gt;<br /> <br /> &lt;!-- Uncomment and modify to tweak settings for specific IdPs or groups. --&gt;<br /> &lt;!-- &lt;RelyingParty Name=&quot;SpecialFederation&quot; keyName=&quot;SpecialKey&quot;/&gt; --&gt;<br /> <br /> &lt;!-- Chains together all your metadata sources. --&gt;<br /> &lt;MetadataProvider type=&quot;Chaining&quot;&gt;<br /> &lt;MetadataProvider type=&quot;XML&quot; uri=&quot;https://metadata.eduid.hu/current/href.xml&quot;<br /> backingFilePath=&quot;href.xml&quot; reloadInterval=&quot;7200&quot;&gt;<br /> &lt;SignatureMetadataFilter certificate=&quot;href-metadata-signer-2010.crt&quot;/&gt;<br /> &lt;/MetadataProvider&gt;<br /> &lt;MetadataProvider type=&quot;XML&quot; uri=&quot;https://metadata.eduid.hu/current/niifi.xml&quot;<br /> backingFilePath=&quot;niifi.xml&quot; reloadInterval=&quot;7200&quot;&gt;<br /> &lt;SignatureMetadataFilter certificate=&quot;href-metadata-signer-2010.crt&quot;/&gt;<br /> &lt;/MetadataProvider&gt;<br /> &lt;/MetadataProvider&gt;<br /> <br /> &lt;!-- Chain the two built-in trust engines together. --&gt;<br /> &lt;TrustEngine type=&quot;Chaining&quot;&gt;<br /> &lt;TrustEngine type=&quot;ExplicitKey&quot;/&gt;<br /> &lt;TrustEngine type=&quot;PKIX&quot;/&gt;<br /> &lt;/TrustEngine&gt;<br /> <br /> &lt;!-- Map to extract attributes from SAML assertions. --&gt;<br /> &lt;AttributeExtractor type=&quot;XML&quot; path=&quot;attribute-map.xml&quot;/&gt;<br /> <br /> &lt;!-- Use a SAML query if no attributes are supplied during SSO. --&gt;<br /> &lt;AttributeResolver type=&quot;Query&quot;/&gt;<br /> <br /> &lt;!-- Default filtering policy for recognized attributes, lets other data pass. --&gt;<br /> &lt;AttributeFilter type=&quot;XML&quot; path=&quot;attribute-policy.xml&quot;/&gt;<br /> <br /> &lt;!-- Simple file-based resolver for using a single keypair. --&gt;<br /> &lt;!-- &lt;CredentialResolver type=&quot;File&quot; key=&quot;example.key&quot; certificate=&quot;example.crt&quot;/&gt; --&gt;<br /> <br /> &lt;!-- Example of a second application (using a second vhost) that has a different entityID. --&gt;<br /> &lt;!-- &lt;ApplicationOverride id=&quot;admin&quot; entityID=&quot;https://admin.example.org/shibboleth&quot;/&gt; --&gt;<br /> &lt;ApplicationOverride id=&quot;wiki.aai&quot; entityID=&quot;https://wiki.aai.niif.hu/shibboleth&quot; &gt;<br /> &lt;CredentialResolver type=&quot;File&quot; key=&quot;wiki.aai.niif.hu.key&quot; <br /> certificate=&quot;wiki.aai.niif.hu.crt&quot;/&gt;<br /> &lt;/ApplicationOverride&gt;<br /> &lt;ApplicationOverride id=&quot;www.aai&quot; entityID=&quot;https://www.aai.niif.hu/shibboleth&quot; &gt;<br /> &lt;CredentialResolver type=&quot;File&quot; key=&quot;www.aai.niif.hu.key&quot; <br /> certificate=&quot;www.aai.niif.hu.crt&quot;/&gt;<br /> &lt;/ApplicationOverride&gt;<br /> &lt;/ApplicationDefaults&gt;<br /> <br /> &lt;!-- Each policy defines a set of rules to use to secure messages. --&gt;<br /> &lt;SecurityPolicies&gt;<br /> &lt;!--<br /> The predefined policy enforces replay/freshness, standard<br /> condition processing, and permits signing and client TLS.<br /> --&gt;<br /> &lt;Policy id=&quot;default&quot; validate=&quot;false&quot;&gt;<br /> &lt;PolicyRule type=&quot;MessageFlow&quot; checkReplay=&quot;true&quot; expires=&quot;60&quot;/&gt;<br /> &lt;PolicyRule type=&quot;Conditions&quot;&gt;<br /> &lt;PolicyRule type=&quot;Audience&quot;/&gt;<br /> &lt;!-- Enable Delegation rule to permit delegated access. --&gt;<br /> &lt;!-- &lt;PolicyRule type=&quot;Delegation&quot;/&gt; --&gt;<br /> &lt;/PolicyRule&gt;<br /> &lt;PolicyRule type=&quot;ClientCertAuth&quot; errorFatal=&quot;true&quot;/&gt;<br /> &lt;PolicyRule type=&quot;XMLSigning&quot; errorFatal=&quot;true&quot;/&gt;<br /> &lt;PolicyRule type=&quot;SimpleSigning&quot; errorFatal=&quot;true&quot;/&gt;<br /> &lt;/Policy&gt;<br /> &lt;/SecurityPolicies&gt;<br /> <br /> <br /> &lt;/SPConfig&gt;<br /> <br /> &lt;/source&gt;<br /> <br /> = Minimális beállítások =<br /> <br /> == Környezeti beállítások ==<br /> <br /> A konfigurációs fájl első negyedében lévő szekciókban elsősorban a Shibboleth futásával kapcsolatos beállítások találhatók, amelyek alapértelmezett értékei legtöbbször megfelelőek az általunk elvárt működéshez.<br /> * &lt;code&gt;OutOfProcess&lt;/code&gt;<br /> * &lt;code&gt;InProcess&lt;/code&gt;<br /> * &lt;code&gt;UnixListener&lt;/code&gt;<br /> * &lt;code&gt;StorageService&lt;/code&gt;<br /> * &lt;code&gt;SessionCache&lt;/code&gt;<br /> * &lt;code&gt;ReplayCache&lt;/code&gt;<br /> * &lt;code&gt;ArtifactMap&lt;/code&gt;<br /> <br /> <br /> == RequestMap ==<br /> <br /> A RequestMap megadja azokat a címeket (Host és Path), amelyeket a Shibboleth SP kezelni fog. Szerkezete:<br /> &lt;source lang=&quot;xml&quot;&gt;<br /> &lt;RequestMap applicationId=&quot;default&quot;&gt;<br /> &lt;Host name=&quot;wiki.aai.niif.hu&quot; authType=&quot;shibboleth&quot; <br /> requireSession=&quot;false&quot; applicationId=&quot;wiki.aai&quot; <br /> redirectErrors=&quot;https://wiki.aai.niif.hu/index.php/Kezd%C5%91lap&quot;&gt;<br /> &lt;Path name=&quot;secure&quot; requireSession=&quot;true&quot; /&gt;<br /> &lt;/Host&gt;<br /> &lt;Host name=&quot;www.aai.niif.hu&quot; authType=&quot;shibboleth&quot; <br /> requireSession=&quot;false&quot; applicationId=&quot;www.aai&quot;&gt;<br /> &lt;Path name=&quot;secure&quot; requireSession=&quot;true&quot; /&gt;<br /> &lt;/Host&gt;<br /> &lt;/RequestMap&gt;<br /> &lt;/source&gt;<br /> <br /> A RequestMap több Host elemet is tartalmazhat, a Host elem 0 vagy több Path elemet tartalmazhat.<br /> {{ATTENTION|Ha 1-nél nagyobb mélységű könyvtárat (pl. a &lt;code&gt;/shibtest/shibreq&lt;/code&gt; nevűt) szeretnénk védeni, akkor '''nem''' adhatjuk meg a ''name'' paraméterben a &quot;shibtest/shibreq&quot; értéket, hanem egymásba ágyazott Path elemeket kell használni. A ''name'' paraméter nem tartalmazhat '/' karaktert.}}<br /> <br /> Az egyes elemeknél paraméterekkel szabályozhatjuk, hogy az SP milyen módon kezelje a hostot vagy az útvonalat. A paraméterek felüldefiniálhatók. A legfontosabb paraméterek az alábbiak (ezek ugyanúgy használhatók Host-nál mint Path-nál):<br /> * '''&lt;code&gt;requireSession&lt;/code&gt;''': ha értéke &quot;true&quot;, akkor az SP csak akkor továbbítja a HTTP request-et az alkalmazás ill. a webszerver felé, ha sikerült létrehozni egy autentikált session-t. Ha &quot;false&quot;, akkor az alkalmazás felelős azért, hogy létrehozza a Shibboleth session-t (ún. [[ShibSPLazy | lazy session]]) Alapértelmezés: &quot;false&quot;<br /> * '''&lt;code&gt;exportAssertion&lt;/code&gt;''': ha értéke &quot;true&quot;, akkor az SP átadja a teljes, IdP-től kapott Attribute Assertion-t az alkalmazásnak a SHIB_ATTRIBUTES HTTP mezőben (base64 kódolással). Alapértelmezés: &quot;false&quot;<br /> * '''&lt;code&gt;applicationId&lt;/code&gt;''': lehetőség van arra, hogy bizonyos helyekre érkező kérésekre az SP más és más módon próbáljon meg session-t létrehozni, ezt ún. [[ShibSPApplication | Shibboleth Application]]-ben konfigurálhatjuk. Ha nem adunk meg értéket, akkor a &quot;default&quot; application-nél megadott értékek vonatkoznak majd a session-re.<br /> * '''&lt;code&gt;redirectError&lt;/code&gt;''': átirányítási hiba esetén a Shibboleth erre az oldalra irányít át - ennek az [[isPassive]] -ot használó oldalaknál van jelentősége<br /> <br /> == ApplicationDefaults ==<br /> Ennél a szekciónál tudjuk megadni az általános, minden alkalmazásra érvényes alapbeállításokat. Ezek a beállítások természetesen minden egyes alkalmazás tekintetében felüldefiniálhatók.<br /> <br /> ====Alapattribútumok====<br /> <br /> * '''&lt;code&gt;id&lt;/code&gt; (kötelező)''': a alkalmazás elsődleges belső azonosítója. Az alapbeállíásoknál (tehát itt) elvárt érték: '''&lt;code&gt;default&lt;/code&gt;'''<br /> * '''&lt;code&gt;policyId&lt;/code&gt; (kötelező)''': a vonatkozó id-jű '''&lt;code&gt;SecurityPoilicies&lt;/code&gt;''' szekcióra mutat<br /> * '''&lt;code&gt;entityID&lt;/code&gt; (kötelező)''': egyedi azonosító, amely egyértelműen azonosít egy SP-t. A külső alkalmazások csak ezt az azonosítót látják, belső id-t...stb nem. Többnyire URL formátumú.<br /> * '''&lt;code&gt;homeURL&lt;/code&gt;''': <br /> * '''&lt;code&gt;REMOTE_USER&lt;/code&gt;''': egy prioritási listát adhatunk meg, melynek elemei azok az attribútumok, melyek közül az az első nem NULL értékű kerül beállításra a HTTP_REMOTE_USER változóba<br /> * '''&lt;code&gt;signing&lt;/code&gt;''': az XML üzenetek aláírtságára vonatkozó elvárások állíthatók be<br /> * '''&lt;code&gt;encryption&lt;/code&gt;''': az XML üzenetek titkosítására vonatkozó elvárások állíthatók be<br /> <br /> === Sessions ===<br /> <br /> Ennél a szekciónál állíthatjuk be, hogy az SP miként kezelje a Single Sign-on (SSO) folyamatának egyes részeit. Az alapparamétereken túl (session lejárati idő...stb) ún. handlerek találhatók benne. Természetesen az alapbeállítások alkalmazásonként felülírhatók az &lt;code lang=&quot;xml&quot;&gt;&lt;ApplicationOverride&gt;&lt;/code&gt; résznél.<br /> <br /> ====Handlerekről====<br /> <br /> A handlerek az SP-n belül működnek, de a fő folyamatoktól leválasztva. Egy-egy speciális feladatot látnak el - mintegy szkript jelleggel. Egy handler a megfelelő URL meghívásával érhető el. Ezen URL meghívásakor az SP felismeri, hogy mely handlert illeti az adott részfeladat megoldása, és átadja neki a feladat ellátásához szükséges paramétereket. Az SP-n belül egy &quot;alaphandler&quot; található, amely felel a handlereket illető feladatok kiosztásáért, ez jelenti majd a handlerek elérési útvonalában a gyökeret.<br /> <br /> <br /> ====Alapattribútumok====<br /> *'''&lt;code lang=&quot;xml&quot;&gt;handlerURL&lt;/code&gt;''': Az alaphandler elérési útja. Alapértelmezés szerint: &lt;code lang=&quot;xml&quot;&gt;&quot;/Shibboleth.sso&quot;&lt;/code&gt;.<br /> *'''&lt;code lang=&quot;xml&quot;&gt;handlerSSL&lt;/code&gt;''': Beállítható, hogy kizárólag titkosított csatornán keresztül történhessen a handlerekkel való kommunikáció. Alapértelmezés szerint: &lt;code lang=&quot;xml&quot;&gt;true&lt;/code&gt;<br /> *'''&lt;code lang=&quot;xml&quot;&gt;lifetime&lt;/code&gt;''': Beállítható az SP session maximális hossza. Alapértelmezés szerint ez 28800 másodperc. Fontos megjegyezni, hogy az SP session megszűnése nincs közvetlen hatással a Shibboleth által védett alkalmazás által generált sessionre<br /> *'''&lt;code lang=&quot;xml&quot;&gt;timeout&lt;/code&gt;''': <br /> *'''&lt;code lang=&quot;xml&quot;&gt;checkAddress&lt;/code&gt;''': Megadható, hogy az SP ellenőrizze-e, hogy a felhasználó IP címe egyezik-e az IdP által az asseirton-ben írttal. Alapértelmezés szerint: &lt;code lang=&quot;xml&quot;&gt;true&lt;/code&gt;<br /> *'''&lt;code lang=&quot;xml&quot;&gt;exportLocation&lt;/code&gt;''':<br /> *'''&lt;code lang=&quot;xml&quot;&gt;idpHistory&lt;/code&gt;''': Igaz érték esetén a SP beállít egy cookie-et, melyhez értékül adja azt az IdP-t, amelynél sikeres autentikáció történt. Alapértelmezés szerint: &lt;code lang=&quot;xml&quot;&gt;false&lt;/code&gt;<br /> *'''&lt;code lang=&quot;xml&quot;&gt;idpHistoryDays&lt;/code&gt;''': Megadhatjuk az &lt;code lang=&quot;xml&quot;&gt;idpHistory&lt;/code&gt; cookie érvényességi idejét napokban. Amennyiben nem kerül beállításra, akkor a cookie az adott munkamenet végén lejár<br /> <br /> <br /> ===SessionInitiator===<br /> <br /> Ennél a szekciónál kerülnek beállításra azok a paraméterek, melyek meghatározzák, hogy az SP kihez-mihez irányítsa a felhasználót, mikor az érvényes session nélkül (tehát autentikáció előtt) próbálja elérni a Shibboleth által védett tartalmat. <br /> <br /> <br /> ====Alapattribútumok====<br /> *'''&lt;code lang=&quot;xml&quot;&gt;'''type'''&lt;/code&gt;: Meghatározza a SessionInitiator típusát. A főbb típusokat lásd lejjebb.<br /> *'''&lt;code lang=&quot;xml&quot;&gt;'''Location&lt;/code&gt;: Az URL, amely meghívásakor az adott SessionInitiator handler-e aktivizálódik.<br /> *'''&lt;code lang=&quot;xml&quot;&gt;'''id&lt;/code&gt;: (opcionális) Az adott SessionInitiator-re lehet ezen id által hivatkozni egyéb beállításoknál<br /> *'''&lt;code lang=&quot;xml&quot;&gt;'''entityID&lt;/code&gt;: Az SP az itt megadott értékben szereplő IdP-hez irányítja az autentikálni kívánó felhasználót<br /> *'''&lt;code lang=&quot;xml&quot;&gt;'''relayState&lt;/code&gt;: meghatározza, hogy...<br /> *'''&lt;code lang=&quot;xml&quot;&gt;'''acsByIndex&lt;/code&gt;: igaz érték esetén él a lehetőség, hogy a megfelelő AssertionConsumerService-hez ne teljes URI-val forduljunk, hanem elég legyen csak annak indexét megadnunk.<br /> *'''&lt;code lang=&quot;xml&quot;&gt;'''defaultACSIndex&lt;/code&gt;: az &lt;code lang=&quot;xml&quot;&gt;acsByIndex=&quot;true&quot;&lt;/code&gt; esetén beállítható, hogy alapértelmezés szerint mely indexxel rendelkező AssertionConsumerService-t használjuk<br /> <br /> ====SessionInitiator főbb típusai====<br /> *'''SAML2 SessionInitiator''' (Protocol Handler):<br /> &lt;code lang=xml&gt;type=&quot;SAML2&quot;&lt;/code&gt;<br /> SAML2-es autentikációs folyamatot kezdeményez, és érti a SAML2 szabványon alapuló paramétereket. Mindenképp szükséges, hogy kapjon egy &lt;code lang=xml&gt;entityID&lt;/code&gt; paramétert, értékében egy valós IdP entityID-jával.<br /> <br /> *'''SHIB1 SessionInitiator''' (Protocol Handler):<br /> &lt;code lang=xml&gt;type=&quot;SHIB1&quot;&lt;/code&gt;<br /> Shibboleth 1.x-es autentikációs folyamatot kezdeményez, és SAML 1.1 szabványon alapuló paramétereket ért. Mindenképp szükséges, hogy kapjon egy &lt;code lang=xml&gt;entityID&lt;/code&gt; paramétert, értékében egy valós IdP entityID-jával.<br /> *'''SAMLDS SessionInitiator''' (Discovery Handler):<br /> &lt;code lang=xml&gt;type=&quot;SAMLDS&quot;&lt;/code&gt;<br /> <br /> Az &lt;code lang=xml&gt;url&lt;/code&gt; attribútum értékeként megadott helyre irányítja a böngészőt, ahol SAML2 Discovery Service-t vár. A SAML2DS ismeri az [[isPassive]]-ot.<br /> *'''WAYF SessionInitiator''' (Discovery Handler):<br /> &lt;code lang=xml&gt;type=&quot;WAYF&quot;&lt;/code&gt;<br /> <br /> Az &lt;code lang=xml&gt;url&lt;/code&gt; attribútum értékeként megadott helyre irányítja a böngészőt, ahol Shibboleth WAYF szolgáltatást vár.<br /> *'''Chaining SessionInitiator''': <br /> &lt;code lang=xml&gt;type=&quot;Chaining&quot;&lt;/code&gt;<br /> <br /> Egy Chaining típusú SessionInitiator elem további SessionInitiator elemeket tartalmazhat, melyek felveszik a keret elem attribútumaiban meghatározott tulajdonságokat.<br /> <br /> === MetadataProvider ===<br /> <br /> Ennél a szekciónál kell beállítani, hogy az SP milyen forrásokból jut hozzá a szükséges [[Metadata|metaadatokhoz]].<br /> <br /> '''A források 3 fő típusa'''<br /> * XML MetadataProvider<br /> <br /> &lt;code type=&quot;xml&quot;&gt;type=&quot;XML&quot;&lt;/code&gt;<br /> <br /> SAML2 szabványos XML fájlt tölt be a rendszer. A fájl lehet lokális, vagy távoli, webszerveren keresztül elérhető. Leggyakrabban használt típus. Példa:<br /> <br /> &lt;MetadataProvider type=&quot;XML&quot; uri=&quot;https://metadata.eduid.hu/current/href.xml&quot;<br /> backingFilePath=&quot;href.xml&quot; reloadInterval=&quot;7200&quot;&gt;<br /> &lt;SignatureMetadataFilter certificate=&quot;href-metadata-signer-2020.crt&quot;/&gt;<br /> &lt;/MetadataProvider&gt;<br /> <br /> A tanúsítvány innen szerezhető be: https://metadata.eduid.hu/certs/href-metadata-signer-2020.crt<br /> <br /> * Chaining MetadataProvider<br /> További &lt;code lang=&quot;xml&quot;&gt;MetadataProvider&lt;/code&gt;-(eke)t tartalmazhat.<br /> <br /> * dinamikus, MDQ<br /> <br /> &lt;MetadataProvider type=&quot;MDQ&quot; id=&quot;href-2020&quot; ignoreTransport=&quot;true&quot; baseUrl=&quot;https://mdx.eduid.hu/&quot;&gt;<br /> &lt;MetadataFilter type=&quot;Signature&quot; certificate=&quot;href-metadata-signer-2020.crt&quot;/&gt;<br /> &lt;MetadataFilter type=&quot;RequireValidUntil&quot; maxValidityInterval=&quot;864000&quot;/&gt;<br /> &lt;/MetadataProvider&gt;<br /> <br /> A tanúsítvány innen szerezhető be: https://metadata.eduid.hu/certs/href-metadata-signer-2020.crt<br /> <br /> ===ApplicationOverride===<br /> Amennyiben az SP több alkalmazást kezel, és ezek között az alkalmazások között vannak olyanok, melyeknek valamely tulajdonsága nem egyezik az SP alapértelmezettként megadott tulajdonságaival (jellemzően ilyen lehet pl. az entityID), akkor ezeket ebben a szekcióban felül lehet definiálni.<br /> <br /> <br /> =Kiegészítő beállítások=<br /> ==POST preservation==<br /> Ha legalább 2.2-es verziójú Shibboleth SP-t használunk, úgy lehetőségünk van egy olyan funkció beállítására, amely lehetővé teszi, hogy ha egy felhasználó valamilyen formba ír (pl. egy wikibe), akkor a küldés gomb megnyomásakor a shibboleth egy átmeneti helyen eltárolja a beírt adatokat. Ennek jelentősége, hogy ha írás közben lejárt volna a felhasználó sessionje, így alapértelmezés szerint a bejelentkező oldalra dobná a rendszer, ami által elveszne, amit begépelt, úgy bekapcsolt post preservation esetén ezek az adatok megmenekülnek, nem kell őket újra beírni.<br /> <br /> A funkció bekapcsolásához a &lt;code&gt;&lt;Sessions&gt;&lt;/code&gt; elem attribútumaként kell megadni az alábbi két név-érték párt.<br /> * &lt;code&gt;postData=&quot;ss:mem&quot;&lt;/code&gt; , az érték mondja meg, hogy a form adatait az SP mely, a konfigurációs fájl elején definiált Storage Service-en keresztül tárolja. Alapértelmezés szerint a memóriában, de lehetőség van külső tároló megadására is. [https://wiki.shibboleth.net/confluence/display/SHIB2/NativeSPStorageService További információ a Storage Service-kről] <br /> * &lt;code&gt;postTemplate=&quot;/etc/shibboleth/postTemplate.html&quot; &lt;/code&gt;<br /> <br /> Hiányossága a funkciónak, hogy ha a form tartalmaz &lt;code&gt;file&lt;/code&gt; típusú &lt;code&gt;input&lt;/code&gt; mezőt, akkor nem fog működni.<br /> <br /> =HREF integráció=<br /> # Az SP-t regisztrálni kell a [[Resource_Registry#SP_regisztr.C3.A1ci.C3.B3|Resource Registry]]-ben<br /> # Le kell tölteni a metadatához tartozó tanúsítványt a [https://metadata.eduid.hu/current/ https://metadata.eduid.hu/current/] címről, és elmenteni a shibboleth kofigurációs fájljait tartalmazó könyvtárba<br /> # A [[#MetadataProvider|Metadata]] beállításoknál meg kell adni a HREF metadata elérhetőségét: [https://metadata.eduid.hu/current/href.xml https://metadata.eduid.hu/current/href.xml]<br /> # Az &lt;code&gt;attribute-map.xml&lt;/code&gt; fájlban el kell távolítani a kommentjeleket azon [[HREFAttributeSpec|attribútumok]] elől, melyeket az SP használni kíván.<br /> # Újra kell indítani a shibboleth démont.</div>

Dattila(AT)niif.hu https://wiki.niif.hu/index.php?title=Shib2SP&diff=5000 2023-08-15T14:05:27Z

<p>Dattila(AT)niif.hu: /* MetadataProvider */</p> <hr /> <div>Az SP-t a '''&lt;code&gt;shibboleth2.xml&lt;/code&gt;''' állományon keresztül konfigurálhatjuk. Ebben a leírásban feltételezzük, hogy az SP konfigurációja a '''&lt;code&gt;/etc/shibboleth&lt;/code&gt;''' könyvtárban van.<br /> <br /> = Előkészületek =<br /> * [[Shibboleth2_SP|Telepítsük a shibbolethet]]<br /> * Válasszunk egy egyedi azonosítót, ún. &lt;code&gt;entityID&lt;/code&gt;-t az SP számára. Ez az azonosító URL formájú, létező hosztnév, egy - alapértelmezés szerint - /shibboleth path-szal. Pl: &lt;code&gt;https://lipton.aai.niif.hu/shibboleth&lt;/code&gt;. Megfelelő konfiguráció után az entityID-t meghívva válaszul az adott entitás metaadatát kapjuk válaszul.<br /> <br /> = Működő példa konfiguráció =<br /> <br /> &lt;source lang=&quot;xml&quot;&gt;<br /> <br /> &lt;SPConfig xmlns=&quot;urn:mace:shibboleth:2.0:native:sp:config&quot;<br /> xmlns:conf=&quot;urn:mace:shibboleth:2.0:native:sp:config&quot;<br /> xmlns:saml=&quot;urn:oasis:names:tc:SAML:2.0:assertion&quot;<br /> xmlns:samlp=&quot;urn:oasis:names:tc:SAML:2.0:protocol&quot; <br /> xmlns:md=&quot;urn:oasis:names:tc:SAML:2.0:metadata&quot;<br /> logger=&quot;syslog.logger&quot; clockSkew=&quot;180&quot;&gt;<br /> <br /> &lt;!-- The OutOfProcess section contains properties affecting the shibd daemon. --&gt;<br /> &lt;OutOfProcess logger=&quot;shibd.logger&quot;&gt;<br /> &lt;!--<br /> &lt;Extensions&gt;<br /> &lt;Library path=&quot;odbc-store.so&quot; fatal=&quot;true&quot;/&gt;<br /> &lt;/Extensions&gt;<br /> --&gt;<br /> &lt;/OutOfProcess&gt;<br /> <br /> &lt;!-- The InProcess section conrains settings affecting web server modules/filters. --&gt;<br /> &lt;InProcess logger=&quot;native.logger&quot;&gt;<br /> &lt;/InProcess&gt;<br /> <br /> &lt;!-- Only one listener can be defined, to connect in process modules to shibd. --&gt;<br /> &lt;UnixListener address=&quot;shibd.sock&quot;/&gt;<br /> &lt;!-- &lt;TCPListener address=&quot;127.0.0.1&quot; port=&quot;12345&quot; acl=&quot;127.0.0.1&quot;/&gt; --&gt;<br /> <br /> &lt;!-- This set of components stores sessions and other persistent data in daemon memory. --&gt;<br /> &lt;StorageService type=&quot;Memory&quot; id=&quot;mem&quot; cleanupInterval=&quot;900&quot;/&gt;<br /> &lt;SessionCache type=&quot;StorageService&quot; StorageService=&quot;mem&quot; cacheTimeout=&quot;3600&quot; inprocTimeout=&quot;900&quot; cleanupInterval=&quot;900&quot;/&gt;<br /> &lt;ReplayCache StorageService=&quot;mem&quot;/&gt;<br /> &lt;ArtifactMap artifactTTL=&quot;180&quot;/&gt;<br /> <br /> &lt;!-- This set of components stores sessions and other persistent data in an ODBC database. --&gt;<br /> &lt;!--<br /> &lt;StorageService type=&quot;ODBC&quot; id=&quot;db&quot; cleanupInterval=&quot;900&quot;&gt;<br /> &lt;ConnectionString&gt;<br /> DRIVER=drivername;SERVER=dbserver;UID=shibboleth;PWD=password;DATABASE=shibboleth;APP=Shibboleth<br /> &lt;/ConnectionString&gt;<br /> &lt;/StorageService&gt;<br /> &lt;SessionCache type=&quot;StorageService&quot; StorageService=&quot;db&quot; cacheTimeout=&quot;3600&quot; inprocTimeout=&quot;900&quot; cleanupInterval=&quot;900&quot;/&gt;<br /> &lt;ReplayCache StorageService=&quot;db&quot;/&gt;<br /> &lt;ArtifactMap StorageService=&quot;db&quot; artifactTTL=&quot;180&quot;/&gt;<br /> --&gt;<br /> <br /> &lt;!-- To customize behavior, map hostnames and path components to applicationId and other settings. --&gt;<br /> &lt;RequestMapper type=&quot;Native&quot;&gt;<br /> &lt;RequestMap applicationId=&quot;default&quot;&gt;<br /> &lt;!--<br /> The example requires a session for documents in /secure on the containing host with http and<br /> https on the default ports. Note that the name and port in the &lt;Host&gt; elements MUST match<br /> Apache's ServerName and Port directives or the IIS Site name in the &lt;ISAPI&gt; element<br /> below.<br /> --&gt;<br /> &lt;Host name=&quot;wiki.aai.niif.hu&quot; authType=&quot;shibboleth&quot; <br /> requireSession=&quot;false&quot; applicationId=&quot;wiki.aai&quot; <br /> redirectErrors=&quot;https://wiki.aai.niif.hu/index.php/Kezd%C5%91lap&quot;&gt;<br /> &lt;Path name=&quot;secure&quot; requireSession=&quot;true&quot; /&gt;<br /> &lt;/Host&gt;<br /> &lt;Host name=&quot;www.aai.niif.hu&quot; authType=&quot;shibboleth&quot; <br /> requireSession=&quot;false&quot; applicationId=&quot;www.aai&quot;&gt;<br /> &lt;Path name=&quot;secure&quot; requireSession=&quot;true&quot; /&gt;<br /> &lt;/Host&gt;<br /> &lt;/RequestMap&gt;<br /> &lt;/RequestMapper&gt;<br /> <br /> &lt;!--<br /> The ApplicationDefaults element is where most of Shibboleth's SAML bits are defined.<br /> Resource requests are mapped by the RequestMapper to an applicationId that<br /> points into to this section.<br /> --&gt;<br /> &lt;ApplicationDefaults id=&quot;default&quot; policyId=&quot;default&quot;<br /> entityID=&quot;https://lipton.aai.niif.hu/shibboleth&quot;<br /> homeURL=&quot;https://lipton.aai.niif.hu/shib-error.php&quot;<br /> REMOTE_USER=&quot;eppn persistent-id targeted-id&quot;<br /> signing=&quot;false&quot; encryption=&quot;false&quot;<br /> &gt;<br /> <br /> &lt;!--<br /> Controls session lifetimes, address checks, cookie handling, and the protocol handlers.<br /> You MUST supply an effectively unique handlerURL value for each of your applications.<br /> The value can be a relative path, a URL with no hostname (https:///path) or a full URL.<br /> The system can compute a relative value based on the virtual host. Using handlerSSL=&quot;true&quot;<br /> will force the protocol to be https. You should also add a cookieProps setting of &quot;; path=/; secure&quot;<br /> in that case. Note that while we default checkAddress to &quot;false&quot;, this has a negative<br /> impact on the security of the SP. Stealing cookies/sessions is much easier with this disabled.<br /> --&gt;<br /> &lt;Sessions lifetime=&quot;28800&quot; timeout=&quot;3600&quot; checkAddress=&quot;false&quot;<br /> handlerURL=&quot;/Shibboleth.sso&quot; handlerSSL=&quot;true&quot;<br /> exportLocation=&quot;http://localhost/Shibboleth.sso/GetAssertion&quot;<br /> idpHistory=&quot;false&quot; idpHistoryDays=&quot;7&quot;&gt;<br /> <br /> &lt;!--<br /> SessionInitiators handle session requests and relay them to a Discovery page,<br /> or to an IdP if possible. Automatic session setup will use the default or first<br /> element (or requireSessionWith can specify a specific id to use).<br /> --&gt;<br /> <br /> &lt;!-- Directly to the IdP --&gt; <br /> &lt;SessionInitiator type=&quot;Chaining&quot; Location=&quot;/Login&quot; id=&quot;Intranet&quot;<br /> relayState=&quot;cookie&quot; entityID=&quot;https://idp.niif.hu/shibboleth&quot;&gt;<br /> &lt;SessionInitiator type=&quot;SAML2&quot; defaultACSIndex=&quot;1&quot; template=&quot;bindingTemplate.html&quot;/&gt;<br /> &lt;SessionInitiator type=&quot;Shib1&quot; defaultACSIndex=&quot;5&quot;/&gt;<br /> &lt;/SessionInitiator&gt;<br /> <br /> &lt;!-- Discovery Service --&gt;<br /> &lt;SessionInitiator type=&quot;Chaining&quot; Location=&quot;/DS&quot; id=&quot;DS&quot; <br /> relayState=&quot;cookie&quot; acsByIndex=&quot;false&quot; <br /> isDefault=&quot;true&quot; &gt;<br /> &lt;SessionInitiator type=&quot;SAML2&quot; template=&quot;bindingTemplate.html&quot;<br /> defaultACSIndex=&quot;3&quot; /&gt;<br /> &lt;SessionInitiator type=&quot;Shib1&quot; defaultACSIndex=&quot;5&quot; /&gt;<br /> &lt;SessionInitiator type=&quot;SAMLDS&quot; URL=&quot;https://ds.niif.hu/&quot;/&gt;<br /> &lt;/SessionInitiator&gt;<br /> &lt;SessionInitiator type=&quot;Chaining&quot; Location=&quot;/SAML1DS&quot; acsByIndex=&quot;false&quot; relayState=&quot;cookie&quot; <br /> id=&quot;Saml1Only&quot;&gt;<br /> &lt;SessionInitiator type=&quot;Shib1&quot; defaultACSIndex=&quot;6&quot;/&gt;<br /> &lt;SessionInitiator type=&quot;SAMLDS&quot; URL=&quot;https://ds.niif.hu&quot; /&gt;<br /> &lt;/SessionInitiator&gt;<br /> <br /> &lt;!--<br /> md:AssertionConsumerService locations handle specific SSO protocol bindings,<br /> such as SAML 2.0 POST or SAML 1.1 Artifact. The isDefault and index attributes<br /> are used when sessions are initiated to determine how to tell the IdP where and<br /> how to return the response.<br /> --&gt;<br /> &lt;md:AssertionConsumerService Location=&quot;/SAML2/POST&quot; index=&quot;1&quot;<br /> Binding=&quot;urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST&quot;/&gt;<br /> &lt;md:AssertionConsumerService Location=&quot;/SAML2/POST-SimpleSign&quot; index=&quot;2&quot;<br /> Binding=&quot;urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST-SimpleSign&quot;/&gt;<br /> &lt;md:AssertionConsumerService Location=&quot;/SAML2/Artifact&quot; index=&quot;3&quot;<br /> Binding=&quot;urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Artifact&quot;/&gt;<br /> &lt;md:AssertionConsumerService Location=&quot;/SAML2/ECP&quot; index=&quot;4&quot;<br /> Binding=&quot;urn:oasis:names:tc:SAML:2.0:bindings:PAOS&quot;/&gt;<br /> &lt;md:AssertionConsumerService Location=&quot;/SAML/POST&quot; index=&quot;5&quot;<br /> Binding=&quot;urn:oasis:names:tc:SAML:1.0:profiles:browser-post&quot;/&gt;<br /> &lt;md:AssertionConsumerService Location=&quot;/SAML/Artifact&quot; index=&quot;6&quot;<br /> Binding=&quot;urn:oasis:names:tc:SAML:1.0:profiles:artifact-01&quot;/&gt;<br /> <br /> &lt;!-- LogoutInitiators enable SP-initiated local or global/single logout of sessions. --&gt;<br /> &lt;LogoutInitiator type=&quot;Chaining&quot; Location=&quot;/Logout&quot; relayState=&quot;cookie&quot;&gt;<br /> &lt;LogoutInitiator type=&quot;SAML2&quot; template=&quot;bindingTemplate.html&quot;/&gt;<br /> &lt;LogoutInitiator type=&quot;Local&quot;/&gt;<br /> &lt;/LogoutInitiator&gt;<br /> <br /> &lt;!-- md:SingleLogoutService locations handle single logout (SLO) protocol messages. --&gt;<br /> &lt;md:SingleLogoutService Location=&quot;/SLO/SOAP&quot;<br /> Binding=&quot;urn:oasis:names:tc:SAML:2.0:bindings:SOAP&quot;/&gt;<br /> &lt;md:SingleLogoutService Location=&quot;/SLO/Redirect&quot; conf:template=&quot;bindingTemplate.html&quot;<br /> Binding=&quot;urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Redirect&quot;/&gt;<br /> &lt;md:SingleLogoutService Location=&quot;/SLO/POST&quot; conf:template=&quot;bindingTemplate.html&quot;<br /> Binding=&quot;urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST&quot;/&gt;<br /> &lt;md:SingleLogoutService Location=&quot;/SLO/Artifact&quot; conf:template=&quot;bindingTemplate.html&quot;<br /> Binding=&quot;urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Artifact&quot;/&gt;<br /> <br /> &lt;!-- md:ManageNameIDService locations handle NameID management (NIM) protocol messages. --&gt;<br /> &lt;md:ManageNameIDService Location=&quot;/NIM/SOAP&quot;<br /> Binding=&quot;urn:oasis:names:tc:SAML:2.0:bindings:SOAP&quot;/&gt;<br /> &lt;md:ManageNameIDService Location=&quot;/NIM/Redirect&quot; conf:template=&quot;bindingTemplate.html&quot;<br /> Binding=&quot;urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Redirect&quot;/&gt;<br /> &lt;md:ManageNameIDService Location=&quot;/NIM/POST&quot; conf:template=&quot;bindingTemplate.html&quot;<br /> Binding=&quot;urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST&quot;/&gt;<br /> &lt;md:ManageNameIDService Location=&quot;/NIM/Artifact&quot; conf:template=&quot;bindingTemplate.html&quot;<br /> Binding=&quot;urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Artifact&quot;/&gt;<br /> <br /> &lt;!--<br /> md:ArtifactResolutionService locations resolve artifacts issued when using the<br /> SAML 2.0 HTTP-Artifact binding on outgoing messages, generally uses SOAP.<br /> --&gt;<br /> &lt;md:ArtifactResolutionService Location=&quot;/Artifact/SOAP&quot; index=&quot;1&quot;<br /> Binding=&quot;urn:oasis:names:tc:SAML:2.0:bindings:SOAP&quot;/&gt;<br /> <br /> &lt;!-- Extension service that generates &quot;approximate&quot; metadata based on SP configuration. --&gt;<br /> &lt;Handler type=&quot;MetadataGenerator&quot; Location=&quot;/Metadata&quot; signing=&quot;false&quot;/&gt;<br /> <br /> &lt;!-- Status reporting service. --&gt;<br /> &lt;Handler type=&quot;Status&quot; Location=&quot;/Status&quot; acl=&quot;127.0.0.1&quot;/&gt;<br /> <br /> &lt;!-- Session diagnostic service. --&gt;<br /> &lt;Handler type=&quot;Session&quot; Location=&quot;/Session&quot;/&gt;<br /> <br /> &lt;/Sessions&gt;<br /> <br /> &lt;!--<br /> You should customize these pages! You can add attributes with values that can be plugged<br /> into your templates. You can remove the access attribute to cause the module to return a<br /> standard 403 Forbidden error code if authorization fails, and then customize that condition<br /> using your web server.<br /> --&gt;<br /> &lt;Errors session=&quot;sessionError.html&quot;<br /> metadata=&quot;metadataError.html&quot;<br /> access=&quot;accessError.html&quot;<br /> ssl=&quot;sslError.html&quot;<br /> localLogout=&quot;localLogout.html&quot;<br /> globalLogout=&quot;globalLogout.html&quot;<br /> supportContact=&quot;root@localhost&quot;<br /> logoLocation=&quot;/shibboleth-sp/logo.jpg&quot;<br /> styleSheet=&quot;/shibboleth-sp/main.css&quot;/&gt;<br /> <br /> &lt;!-- Uncomment and modify to tweak settings for specific IdPs or groups. --&gt;<br /> &lt;!-- &lt;RelyingParty Name=&quot;SpecialFederation&quot; keyName=&quot;SpecialKey&quot;/&gt; --&gt;<br /> <br /> &lt;!-- Chains together all your metadata sources. --&gt;<br /> &lt;MetadataProvider type=&quot;Chaining&quot;&gt;<br /> &lt;MetadataProvider type=&quot;XML&quot; uri=&quot;https://metadata.eduid.hu/current/href.xml&quot;<br /> backingFilePath=&quot;href.xml&quot; reloadInterval=&quot;7200&quot;&gt;<br /> &lt;SignatureMetadataFilter certificate=&quot;href-metadata-signer-2010.crt&quot;/&gt;<br /> &lt;/MetadataProvider&gt;<br /> &lt;MetadataProvider type=&quot;XML&quot; uri=&quot;https://metadata.eduid.hu/current/niifi.xml&quot;<br /> backingFilePath=&quot;niifi.xml&quot; reloadInterval=&quot;7200&quot;&gt;<br /> &lt;SignatureMetadataFilter certificate=&quot;href-metadata-signer-2010.crt&quot;/&gt;<br /> &lt;/MetadataProvider&gt;<br /> &lt;/MetadataProvider&gt;<br /> <br /> &lt;!-- Chain the two built-in trust engines together. --&gt;<br /> &lt;TrustEngine type=&quot;Chaining&quot;&gt;<br /> &lt;TrustEngine type=&quot;ExplicitKey&quot;/&gt;<br /> &lt;TrustEngine type=&quot;PKIX&quot;/&gt;<br /> &lt;/TrustEngine&gt;<br /> <br /> &lt;!-- Map to extract attributes from SAML assertions. --&gt;<br /> &lt;AttributeExtractor type=&quot;XML&quot; path=&quot;attribute-map.xml&quot;/&gt;<br /> <br /> &lt;!-- Use a SAML query if no attributes are supplied during SSO. --&gt;<br /> &lt;AttributeResolver type=&quot;Query&quot;/&gt;<br /> <br /> &lt;!-- Default filtering policy for recognized attributes, lets other data pass. --&gt;<br /> &lt;AttributeFilter type=&quot;XML&quot; path=&quot;attribute-policy.xml&quot;/&gt;<br /> <br /> &lt;!-- Simple file-based resolver for using a single keypair. --&gt;<br /> &lt;!-- &lt;CredentialResolver type=&quot;File&quot; key=&quot;example.key&quot; certificate=&quot;example.crt&quot;/&gt; --&gt;<br /> <br /> &lt;!-- Example of a second application (using a second vhost) that has a different entityID. --&gt;<br /> &lt;!-- &lt;ApplicationOverride id=&quot;admin&quot; entityID=&quot;https://admin.example.org/shibboleth&quot;/&gt; --&gt;<br /> &lt;ApplicationOverride id=&quot;wiki.aai&quot; entityID=&quot;https://wiki.aai.niif.hu/shibboleth&quot; &gt;<br /> &lt;CredentialResolver type=&quot;File&quot; key=&quot;wiki.aai.niif.hu.key&quot; <br /> certificate=&quot;wiki.aai.niif.hu.crt&quot;/&gt;<br /> &lt;/ApplicationOverride&gt;<br /> &lt;ApplicationOverride id=&quot;www.aai&quot; entityID=&quot;https://www.aai.niif.hu/shibboleth&quot; &gt;<br /> &lt;CredentialResolver type=&quot;File&quot; key=&quot;www.aai.niif.hu.key&quot; <br /> certificate=&quot;www.aai.niif.hu.crt&quot;/&gt;<br /> &lt;/ApplicationOverride&gt;<br /> &lt;/ApplicationDefaults&gt;<br /> <br /> &lt;!-- Each policy defines a set of rules to use to secure messages. --&gt;<br /> &lt;SecurityPolicies&gt;<br /> &lt;!--<br /> The predefined policy enforces replay/freshness, standard<br /> condition processing, and permits signing and client TLS.<br /> --&gt;<br /> &lt;Policy id=&quot;default&quot; validate=&quot;false&quot;&gt;<br /> &lt;PolicyRule type=&quot;MessageFlow&quot; checkReplay=&quot;true&quot; expires=&quot;60&quot;/&gt;<br /> &lt;PolicyRule type=&quot;Conditions&quot;&gt;<br /> &lt;PolicyRule type=&quot;Audience&quot;/&gt;<br /> &lt;!-- Enable Delegation rule to permit delegated access. --&gt;<br /> &lt;!-- &lt;PolicyRule type=&quot;Delegation&quot;/&gt; --&gt;<br /> &lt;/PolicyRule&gt;<br /> &lt;PolicyRule type=&quot;ClientCertAuth&quot; errorFatal=&quot;true&quot;/&gt;<br /> &lt;PolicyRule type=&quot;XMLSigning&quot; errorFatal=&quot;true&quot;/&gt;<br /> &lt;PolicyRule type=&quot;SimpleSigning&quot; errorFatal=&quot;true&quot;/&gt;<br /> &lt;/Policy&gt;<br /> &lt;/SecurityPolicies&gt;<br /> <br /> <br /> &lt;/SPConfig&gt;<br /> <br /> &lt;/source&gt;<br /> <br /> = Minimális beállítások =<br /> <br /> == Környezeti beállítások ==<br /> <br /> A konfigurációs fájl első negyedében lévő szekciókban elsősorban a Shibboleth futásával kapcsolatos beállítások találhatók, amelyek alapértelmezett értékei legtöbbször megfelelőek az általunk elvárt működéshez.<br /> * &lt;code&gt;OutOfProcess&lt;/code&gt;<br /> * &lt;code&gt;InProcess&lt;/code&gt;<br /> * &lt;code&gt;UnixListener&lt;/code&gt;<br /> * &lt;code&gt;StorageService&lt;/code&gt;<br /> * &lt;code&gt;SessionCache&lt;/code&gt;<br /> * &lt;code&gt;ReplayCache&lt;/code&gt;<br /> * &lt;code&gt;ArtifactMap&lt;/code&gt;<br /> <br /> <br /> == RequestMap ==<br /> <br /> A RequestMap megadja azokat a címeket (Host és Path), amelyeket a Shibboleth SP kezelni fog. Szerkezete:<br /> &lt;source lang=&quot;xml&quot;&gt;<br /> &lt;RequestMap applicationId=&quot;default&quot;&gt;<br /> &lt;Host name=&quot;wiki.aai.niif.hu&quot; authType=&quot;shibboleth&quot; <br /> requireSession=&quot;false&quot; applicationId=&quot;wiki.aai&quot; <br /> redirectErrors=&quot;https://wiki.aai.niif.hu/index.php/Kezd%C5%91lap&quot;&gt;<br /> &lt;Path name=&quot;secure&quot; requireSession=&quot;true&quot; /&gt;<br /> &lt;/Host&gt;<br /> &lt;Host name=&quot;www.aai.niif.hu&quot; authType=&quot;shibboleth&quot; <br /> requireSession=&quot;false&quot; applicationId=&quot;www.aai&quot;&gt;<br /> &lt;Path name=&quot;secure&quot; requireSession=&quot;true&quot; /&gt;<br /> &lt;/Host&gt;<br /> &lt;/RequestMap&gt;<br /> &lt;/source&gt;<br /> <br /> A RequestMap több Host elemet is tartalmazhat, a Host elem 0 vagy több Path elemet tartalmazhat.<br /> {{ATTENTION|Ha 1-nél nagyobb mélységű könyvtárat (pl. a &lt;code&gt;/shibtest/shibreq&lt;/code&gt; nevűt) szeretnénk védeni, akkor '''nem''' adhatjuk meg a ''name'' paraméterben a &quot;shibtest/shibreq&quot; értéket, hanem egymásba ágyazott Path elemeket kell használni. A ''name'' paraméter nem tartalmazhat '/' karaktert.}}<br /> <br /> Az egyes elemeknél paraméterekkel szabályozhatjuk, hogy az SP milyen módon kezelje a hostot vagy az útvonalat. A paraméterek felüldefiniálhatók. A legfontosabb paraméterek az alábbiak (ezek ugyanúgy használhatók Host-nál mint Path-nál):<br /> * '''&lt;code&gt;requireSession&lt;/code&gt;''': ha értéke &quot;true&quot;, akkor az SP csak akkor továbbítja a HTTP request-et az alkalmazás ill. a webszerver felé, ha sikerült létrehozni egy autentikált session-t. Ha &quot;false&quot;, akkor az alkalmazás felelős azért, hogy létrehozza a Shibboleth session-t (ún. [[ShibSPLazy | lazy session]]) Alapértelmezés: &quot;false&quot;<br /> * '''&lt;code&gt;exportAssertion&lt;/code&gt;''': ha értéke &quot;true&quot;, akkor az SP átadja a teljes, IdP-től kapott Attribute Assertion-t az alkalmazásnak a SHIB_ATTRIBUTES HTTP mezőben (base64 kódolással). Alapértelmezés: &quot;false&quot;<br /> * '''&lt;code&gt;applicationId&lt;/code&gt;''': lehetőség van arra, hogy bizonyos helyekre érkező kérésekre az SP más és más módon próbáljon meg session-t létrehozni, ezt ún. [[ShibSPApplication | Shibboleth Application]]-ben konfigurálhatjuk. Ha nem adunk meg értéket, akkor a &quot;default&quot; application-nél megadott értékek vonatkoznak majd a session-re.<br /> * '''&lt;code&gt;redirectError&lt;/code&gt;''': átirányítási hiba esetén a Shibboleth erre az oldalra irányít át - ennek az [[isPassive]] -ot használó oldalaknál van jelentősége<br /> <br /> == ApplicationDefaults ==<br /> Ennél a szekciónál tudjuk megadni az általános, minden alkalmazásra érvényes alapbeállításokat. Ezek a beállítások természetesen minden egyes alkalmazás tekintetében felüldefiniálhatók.<br /> <br /> ====Alapattribútumok====<br /> <br /> * '''&lt;code&gt;id&lt;/code&gt; (kötelező)''': a alkalmazás elsődleges belső azonosítója. Az alapbeállíásoknál (tehát itt) elvárt érték: '''&lt;code&gt;default&lt;/code&gt;'''<br /> * '''&lt;code&gt;policyId&lt;/code&gt; (kötelező)''': a vonatkozó id-jű '''&lt;code&gt;SecurityPoilicies&lt;/code&gt;''' szekcióra mutat<br /> * '''&lt;code&gt;entityID&lt;/code&gt; (kötelező)''': egyedi azonosító, amely egyértelműen azonosít egy SP-t. A külső alkalmazások csak ezt az azonosítót látják, belső id-t...stb nem. Többnyire URL formátumú.<br /> * '''&lt;code&gt;homeURL&lt;/code&gt;''': <br /> * '''&lt;code&gt;REMOTE_USER&lt;/code&gt;''': egy prioritási listát adhatunk meg, melynek elemei azok az attribútumok, melyek közül az az első nem NULL értékű kerül beállításra a HTTP_REMOTE_USER változóba<br /> * '''&lt;code&gt;signing&lt;/code&gt;''': az XML üzenetek aláírtságára vonatkozó elvárások állíthatók be<br /> * '''&lt;code&gt;encryption&lt;/code&gt;''': az XML üzenetek titkosítására vonatkozó elvárások állíthatók be<br /> <br /> === Sessions ===<br /> <br /> Ennél a szekciónál állíthatjuk be, hogy az SP miként kezelje a Single Sign-on (SSO) folyamatának egyes részeit. Az alapparamétereken túl (session lejárati idő...stb) ún. handlerek találhatók benne. Természetesen az alapbeállítások alkalmazásonként felülírhatók az &lt;code lang=&quot;xml&quot;&gt;&lt;ApplicationOverride&gt;&lt;/code&gt; résznél.<br /> <br /> ====Handlerekről====<br /> <br /> A handlerek az SP-n belül működnek, de a fő folyamatoktól leválasztva. Egy-egy speciális feladatot látnak el - mintegy szkript jelleggel. Egy handler a megfelelő URL meghívásával érhető el. Ezen URL meghívásakor az SP felismeri, hogy mely handlert illeti az adott részfeladat megoldása, és átadja neki a feladat ellátásához szükséges paramétereket. Az SP-n belül egy &quot;alaphandler&quot; található, amely felel a handlereket illető feladatok kiosztásáért, ez jelenti majd a handlerek elérési útvonalában a gyökeret.<br /> <br /> <br /> ====Alapattribútumok====<br /> *'''&lt;code lang=&quot;xml&quot;&gt;handlerURL&lt;/code&gt;''': Az alaphandler elérési útja. Alapértelmezés szerint: &lt;code lang=&quot;xml&quot;&gt;&quot;/Shibboleth.sso&quot;&lt;/code&gt;.<br /> *'''&lt;code lang=&quot;xml&quot;&gt;handlerSSL&lt;/code&gt;''': Beállítható, hogy kizárólag titkosított csatornán keresztül történhessen a handlerekkel való kommunikáció. Alapértelmezés szerint: &lt;code lang=&quot;xml&quot;&gt;true&lt;/code&gt;<br /> *'''&lt;code lang=&quot;xml&quot;&gt;lifetime&lt;/code&gt;''': Beállítható az SP session maximális hossza. Alapértelmezés szerint ez 28800 másodperc. Fontos megjegyezni, hogy az SP session megszűnése nincs közvetlen hatással a Shibboleth által védett alkalmazás által generált sessionre<br /> *'''&lt;code lang=&quot;xml&quot;&gt;timeout&lt;/code&gt;''': <br /> *'''&lt;code lang=&quot;xml&quot;&gt;checkAddress&lt;/code&gt;''': Megadható, hogy az SP ellenőrizze-e, hogy a felhasználó IP címe egyezik-e az IdP által az asseirton-ben írttal. Alapértelmezés szerint: &lt;code lang=&quot;xml&quot;&gt;true&lt;/code&gt;<br /> *'''&lt;code lang=&quot;xml&quot;&gt;exportLocation&lt;/code&gt;''':<br /> *'''&lt;code lang=&quot;xml&quot;&gt;idpHistory&lt;/code&gt;''': Igaz érték esetén a SP beállít egy cookie-et, melyhez értékül adja azt az IdP-t, amelynél sikeres autentikáció történt. Alapértelmezés szerint: &lt;code lang=&quot;xml&quot;&gt;false&lt;/code&gt;<br /> *'''&lt;code lang=&quot;xml&quot;&gt;idpHistoryDays&lt;/code&gt;''': Megadhatjuk az &lt;code lang=&quot;xml&quot;&gt;idpHistory&lt;/code&gt; cookie érvényességi idejét napokban. Amennyiben nem kerül beállításra, akkor a cookie az adott munkamenet végén lejár<br /> <br /> <br /> ===SessionInitiator===<br /> <br /> Ennél a szekciónál kerülnek beállításra azok a paraméterek, melyek meghatározzák, hogy az SP kihez-mihez irányítsa a felhasználót, mikor az érvényes session nélkül (tehát autentikáció előtt) próbálja elérni a Shibboleth által védett tartalmat. <br /> <br /> <br /> ====Alapattribútumok====<br /> *'''&lt;code lang=&quot;xml&quot;&gt;'''type'''&lt;/code&gt;: Meghatározza a SessionInitiator típusát. A főbb típusokat lásd lejjebb.<br /> *'''&lt;code lang=&quot;xml&quot;&gt;'''Location&lt;/code&gt;: Az URL, amely meghívásakor az adott SessionInitiator handler-e aktivizálódik.<br /> *'''&lt;code lang=&quot;xml&quot;&gt;'''id&lt;/code&gt;: (opcionális) Az adott SessionInitiator-re lehet ezen id által hivatkozni egyéb beállításoknál<br /> *'''&lt;code lang=&quot;xml&quot;&gt;'''entityID&lt;/code&gt;: Az SP az itt megadott értékben szereplő IdP-hez irányítja az autentikálni kívánó felhasználót<br /> *'''&lt;code lang=&quot;xml&quot;&gt;'''relayState&lt;/code&gt;: meghatározza, hogy...<br /> *'''&lt;code lang=&quot;xml&quot;&gt;'''acsByIndex&lt;/code&gt;: igaz érték esetén él a lehetőség, hogy a megfelelő AssertionConsumerService-hez ne teljes URI-val forduljunk, hanem elég legyen csak annak indexét megadnunk.<br /> *'''&lt;code lang=&quot;xml&quot;&gt;'''defaultACSIndex&lt;/code&gt;: az &lt;code lang=&quot;xml&quot;&gt;acsByIndex=&quot;true&quot;&lt;/code&gt; esetén beállítható, hogy alapértelmezés szerint mely indexxel rendelkező AssertionConsumerService-t használjuk<br /> <br /> ====SessionInitiator főbb típusai====<br /> *'''SAML2 SessionInitiator''' (Protocol Handler):<br /> &lt;code lang=xml&gt;type=&quot;SAML2&quot;&lt;/code&gt;<br /> SAML2-es autentikációs folyamatot kezdeményez, és érti a SAML2 szabványon alapuló paramétereket. Mindenképp szükséges, hogy kapjon egy &lt;code lang=xml&gt;entityID&lt;/code&gt; paramétert, értékében egy valós IdP entityID-jával.<br /> <br /> *'''SHIB1 SessionInitiator''' (Protocol Handler):<br /> &lt;code lang=xml&gt;type=&quot;SHIB1&quot;&lt;/code&gt;<br /> Shibboleth 1.x-es autentikációs folyamatot kezdeményez, és SAML 1.1 szabványon alapuló paramétereket ért. Mindenképp szükséges, hogy kapjon egy &lt;code lang=xml&gt;entityID&lt;/code&gt; paramétert, értékében egy valós IdP entityID-jával.<br /> *'''SAMLDS SessionInitiator''' (Discovery Handler):<br /> &lt;code lang=xml&gt;type=&quot;SAMLDS&quot;&lt;/code&gt;<br /> <br /> Az &lt;code lang=xml&gt;url&lt;/code&gt; attribútum értékeként megadott helyre irányítja a böngészőt, ahol SAML2 Discovery Service-t vár. A SAML2DS ismeri az [[isPassive]]-ot.<br /> *'''WAYF SessionInitiator''' (Discovery Handler):<br /> &lt;code lang=xml&gt;type=&quot;WAYF&quot;&lt;/code&gt;<br /> <br /> Az &lt;code lang=xml&gt;url&lt;/code&gt; attribútum értékeként megadott helyre irányítja a böngészőt, ahol Shibboleth WAYF szolgáltatást vár.<br /> *'''Chaining SessionInitiator''': <br /> &lt;code lang=xml&gt;type=&quot;Chaining&quot;&lt;/code&gt;<br /> <br /> Egy Chaining típusú SessionInitiator elem további SessionInitiator elemeket tartalmazhat, melyek felveszik a keret elem attribútumaiban meghatározott tulajdonságokat.<br /> <br /> === MetadataProvider ===<br /> <br /> Ennél a szekciónál kell beállítani, hogy az SP milyen forrásokból jut hozzá a szükséges [[Metadata|metaadatokhoz]].<br /> <br /> '''A források 3 fő típusa'''<br /> * XML MetadataProvider<br /> <br /> &lt;code type=&quot;xml&quot;&gt;type=&quot;XML&quot;&lt;/code&gt;<br /> <br /> SAML2 szabványos XML fájlt tölt be a rendszer. A fájl lehet lokális, vagy távoli, webszerveren keresztül elérhető. Leggyakrabban használt típus. Példa:<br /> <br /> &lt;MetadataProvider type=&quot;XML&quot; uri=&quot;https://metadata.eduid.hu/current/href.xml&quot;<br /> backingFilePath=&quot;href.xml&quot; reloadInterval=&quot;7200&quot;&gt;<br /> &lt;SignatureMetadataFilter certificate=&quot;href-metadata-signer-2020.crt&quot;/&gt;<br /> &lt;/MetadataProvider&gt;<br /> <br /> A tanúsítvány innen szerezhető be: https://metadata.eduid.hu/certs/href-metadata-signer-2020.crt<br /> <br /> * Chaining MetadataProvider<br /> További &lt;code lang=&quot;xml&quot;&gt;MetadataProvider&lt;/code&gt;-(eke)t tartalmazhat.<br /> <br /> * dinamikus, MDQ<br /> <br /> &lt;MetadataProvider type=&quot;MDQ&quot; id=&quot;href-2020&quot; ignoreTransport=&quot;true&quot; baseUrl=&quot;https://mdx.eduid.hu/&quot;&gt;<br /> &lt;MetadataFilter type=&quot;Signature&quot; certificate=&quot;href-metadata-signer-2020.crt&quot;/&gt;<br /> &lt;MetadataFilter type=&quot;RequireValidUntil&quot; maxValidityInterval=&quot;864000&quot;/&gt;<br /> &lt;/MetadataProvider&gt;<br /> <br /> A tanúsítvány innen szerezhető be: https://metadata.eduid.hu/certs/href-metadata-signer-2020.crt<br /> <br /> ===ApplicationOverride===<br /> Amennyiben az SP több alkalmazást kezel, és ezek között az alkalmazások között vannak olyanok, melyeknek valamely tulajdonsága nem egyezik az SP alapértelmezettként megadott tulajdonságaival (jellemzően ilyen lehet pl. az entityID), akkor ezeket ebben a szekcióban felül lehet definiálni.<br /> <br /> <br /> =Kiegészítő beállítások=<br /> ==POST preservation==<br /> Ha legalább 2.2-es verziójú Shibboleth SP-t használunk, úgy lehetőségünk van egy olyan funkció beállítására, amely lehetővé teszi, hogy ha egy felhasználó valamilyen formba ír (pl. egy wikibe), akkor a küldés gomb megnyomásakor a shibboleth egy átmeneti helyen eltárolja a beírt adatokat. Ennek jelentősége, hogy ha írás közben lejárt volna a felhasználó sessionje, így alapértelmezés szerint a bejelentkező oldalra dobná a rendszer, ami által elveszne, amit begépelt, úgy bekapcsolt post preservation esetén ezek az adatok megmenekülnek, nem kell őket újra beírni.<br /> <br /> A funkció bekapcsolásához a &lt;code&gt;&lt;Sessions&gt;&lt;/code&gt; elem attribútumaként kell megadni az alábbi két név-érték párt.<br /> * &lt;code&gt;postData=&quot;ss:mem&quot;&lt;/code&gt; , az érték mondja meg, hogy a form adatait az SP mely, a konfigurációs fájl elején definiált Storage Service-en keresztül tárolja. Alapértelmezés szerint a memóriában, de lehetőség van külső tároló megadására is. [https://wiki.shibboleth.net/confluence/display/SHIB2/NativeSPStorageService További információ a Storage Service-kről] <br /> * &lt;code&gt;postTemplate=&quot;/etc/shibboleth/postTemplate.html&quot; &lt;/code&gt;<br /> <br /> Hiányossága a funkciónak, hogy ha a form tartalmaz &lt;code&gt;file&lt;/code&gt; típusú &lt;code&gt;input&lt;/code&gt; mezőt, akkor nem fog működni.<br /> <br /> =HREF integráció=<br /> # Az SP-t regisztrálni kell a [[Resource_Registry#SP_regisztr.C3.A1ci.C3.B3|Resource Registry]]-ben<br /> # Le kell tölteni a metadatához tartozó tanúsítványt a [https://metadata.eduid.hu/current/ https://metadata.eduid.hu/current/] címről, és elmenteni a shibboleth kofigurációs fájljait tartalmazó könyvtárba<br /> # A [[#MetadataProvider|Metadata]] beállításoknál meg kell adni a HREF metadata elérhetőségét: [https://metadata.eduid.hu/current/href.xml https://metadata.eduid.hu/current/href.xml]<br /> # Az &lt;code&gt;attribute-map.xml&lt;/code&gt; fájlban el kell távolítani a kommentjeleket azon [[HREFAttributeSpec|attribútumok]] elől, melyeket az SP használni kíván.<br /> # Újra kell indítani a shibboleth démont.</div>

Dattila(AT)niif.hu https://wiki.niif.hu/index.php?title=Shib2SP&diff=4999 2023-08-15T14:03:25Z

<p>Dattila(AT)niif.hu: /* MetadataProvider */ MDQ felvétele</p> <hr /> <div>Az SP-t a '''&lt;code&gt;shibboleth2.xml&lt;/code&gt;''' állományon keresztül konfigurálhatjuk. Ebben a leírásban feltételezzük, hogy az SP konfigurációja a '''&lt;code&gt;/etc/shibboleth&lt;/code&gt;''' könyvtárban van.<br /> <br /> = Előkészületek =<br /> * [[Shibboleth2_SP|Telepítsük a shibbolethet]]<br /> * Válasszunk egy egyedi azonosítót, ún. &lt;code&gt;entityID&lt;/code&gt;-t az SP számára. Ez az azonosító URL formájú, létező hosztnév, egy - alapértelmezés szerint - /shibboleth path-szal. Pl: &lt;code&gt;https://lipton.aai.niif.hu/shibboleth&lt;/code&gt;. Megfelelő konfiguráció után az entityID-t meghívva válaszul az adott entitás metaadatát kapjuk válaszul.<br /> <br /> = Működő példa konfiguráció =<br /> <br /> &lt;source lang=&quot;xml&quot;&gt;<br /> <br /> &lt;SPConfig xmlns=&quot;urn:mace:shibboleth:2.0:native:sp:config&quot;<br /> xmlns:conf=&quot;urn:mace:shibboleth:2.0:native:sp:config&quot;<br /> xmlns:saml=&quot;urn:oasis:names:tc:SAML:2.0:assertion&quot;<br /> xmlns:samlp=&quot;urn:oasis:names:tc:SAML:2.0:protocol&quot; <br /> xmlns:md=&quot;urn:oasis:names:tc:SAML:2.0:metadata&quot;<br /> logger=&quot;syslog.logger&quot; clockSkew=&quot;180&quot;&gt;<br /> <br /> &lt;!-- The OutOfProcess section contains properties affecting the shibd daemon. --&gt;<br /> &lt;OutOfProcess logger=&quot;shibd.logger&quot;&gt;<br /> &lt;!--<br /> &lt;Extensions&gt;<br /> &lt;Library path=&quot;odbc-store.so&quot; fatal=&quot;true&quot;/&gt;<br /> &lt;/Extensions&gt;<br /> --&gt;<br /> &lt;/OutOfProcess&gt;<br /> <br /> &lt;!-- The InProcess section conrains settings affecting web server modules/filters. --&gt;<br /> &lt;InProcess logger=&quot;native.logger&quot;&gt;<br /> &lt;/InProcess&gt;<br /> <br /> &lt;!-- Only one listener can be defined, to connect in process modules to shibd. --&gt;<br /> &lt;UnixListener address=&quot;shibd.sock&quot;/&gt;<br /> &lt;!-- &lt;TCPListener address=&quot;127.0.0.1&quot; port=&quot;12345&quot; acl=&quot;127.0.0.1&quot;/&gt; --&gt;<br /> <br /> &lt;!-- This set of components stores sessions and other persistent data in daemon memory. --&gt;<br /> &lt;StorageService type=&quot;Memory&quot; id=&quot;mem&quot; cleanupInterval=&quot;900&quot;/&gt;<br /> &lt;SessionCache type=&quot;StorageService&quot; StorageService=&quot;mem&quot; cacheTimeout=&quot;3600&quot; inprocTimeout=&quot;900&quot; cleanupInterval=&quot;900&quot;/&gt;<br /> &lt;ReplayCache StorageService=&quot;mem&quot;/&gt;<br /> &lt;ArtifactMap artifactTTL=&quot;180&quot;/&gt;<br /> <br /> &lt;!-- This set of components stores sessions and other persistent data in an ODBC database. --&gt;<br /> &lt;!--<br /> &lt;StorageService type=&quot;ODBC&quot; id=&quot;db&quot; cleanupInterval=&quot;900&quot;&gt;<br /> &lt;ConnectionString&gt;<br /> DRIVER=drivername;SERVER=dbserver;UID=shibboleth;PWD=password;DATABASE=shibboleth;APP=Shibboleth<br /> &lt;/ConnectionString&gt;<br /> &lt;/StorageService&gt;<br /> &lt;SessionCache type=&quot;StorageService&quot; StorageService=&quot;db&quot; cacheTimeout=&quot;3600&quot; inprocTimeout=&quot;900&quot; cleanupInterval=&quot;900&quot;/&gt;<br /> &lt;ReplayCache StorageService=&quot;db&quot;/&gt;<br /> &lt;ArtifactMap StorageService=&quot;db&quot; artifactTTL=&quot;180&quot;/&gt;<br /> --&gt;<br /> <br /> &lt;!-- To customize behavior, map hostnames and path components to applicationId and other settings. --&gt;<br /> &lt;RequestMapper type=&quot;Native&quot;&gt;<br /> &lt;RequestMap applicationId=&quot;default&quot;&gt;<br /> &lt;!--<br /> The example requires a session for documents in /secure on the containing host with http and<br /> https on the default ports. Note that the name and port in the &lt;Host&gt; elements MUST match<br /> Apache's ServerName and Port directives or the IIS Site name in the &lt;ISAPI&gt; element<br /> below.<br /> --&gt;<br /> &lt;Host name=&quot;wiki.aai.niif.hu&quot; authType=&quot;shibboleth&quot; <br /> requireSession=&quot;false&quot; applicationId=&quot;wiki.aai&quot; <br /> redirectErrors=&quot;https://wiki.aai.niif.hu/index.php/Kezd%C5%91lap&quot;&gt;<br /> &lt;Path name=&quot;secure&quot; requireSession=&quot;true&quot; /&gt;<br /> &lt;/Host&gt;<br /> &lt;Host name=&quot;www.aai.niif.hu&quot; authType=&quot;shibboleth&quot; <br /> requireSession=&quot;false&quot; applicationId=&quot;www.aai&quot;&gt;<br /> &lt;Path name=&quot;secure&quot; requireSession=&quot;true&quot; /&gt;<br /> &lt;/Host&gt;<br /> &lt;/RequestMap&gt;<br /> &lt;/RequestMapper&gt;<br /> <br /> &lt;!--<br /> The ApplicationDefaults element is where most of Shibboleth's SAML bits are defined.<br /> Resource requests are mapped by the RequestMapper to an applicationId that<br /> points into to this section.<br /> --&gt;<br /> &lt;ApplicationDefaults id=&quot;default&quot; policyId=&quot;default&quot;<br /> entityID=&quot;https://lipton.aai.niif.hu/shibboleth&quot;<br /> homeURL=&quot;https://lipton.aai.niif.hu/shib-error.php&quot;<br /> REMOTE_USER=&quot;eppn persistent-id targeted-id&quot;<br /> signing=&quot;false&quot; encryption=&quot;false&quot;<br /> &gt;<br /> <br /> &lt;!--<br /> Controls session lifetimes, address checks, cookie handling, and the protocol handlers.<br /> You MUST supply an effectively unique handlerURL value for each of your applications.<br /> The value can be a relative path, a URL with no hostname (https:///path) or a full URL.<br /> The system can compute a relative value based on the virtual host. Using handlerSSL=&quot;true&quot;<br /> will force the protocol to be https. You should also add a cookieProps setting of &quot;; path=/; secure&quot;<br /> in that case. Note that while we default checkAddress to &quot;false&quot;, this has a negative<br /> impact on the security of the SP. Stealing cookies/sessions is much easier with this disabled.<br /> --&gt;<br /> &lt;Sessions lifetime=&quot;28800&quot; timeout=&quot;3600&quot; checkAddress=&quot;false&quot;<br /> handlerURL=&quot;/Shibboleth.sso&quot; handlerSSL=&quot;true&quot;<br /> exportLocation=&quot;http://localhost/Shibboleth.sso/GetAssertion&quot;<br /> idpHistory=&quot;false&quot; idpHistoryDays=&quot;7&quot;&gt;<br /> <br /> &lt;!--<br /> SessionInitiators handle session requests and relay them to a Discovery page,<br /> or to an IdP if possible. Automatic session setup will use the default or first<br /> element (or requireSessionWith can specify a specific id to use).<br /> --&gt;<br /> <br /> &lt;!-- Directly to the IdP --&gt; <br /> &lt;SessionInitiator type=&quot;Chaining&quot; Location=&quot;/Login&quot; id=&quot;Intranet&quot;<br /> relayState=&quot;cookie&quot; entityID=&quot;https://idp.niif.hu/shibboleth&quot;&gt;<br /> &lt;SessionInitiator type=&quot;SAML2&quot; defaultACSIndex=&quot;1&quot; template=&quot;bindingTemplate.html&quot;/&gt;<br /> &lt;SessionInitiator type=&quot;Shib1&quot; defaultACSIndex=&quot;5&quot;/&gt;<br /> &lt;/SessionInitiator&gt;<br /> <br /> &lt;!-- Discovery Service --&gt;<br /> &lt;SessionInitiator type=&quot;Chaining&quot; Location=&quot;/DS&quot; id=&quot;DS&quot; <br /> relayState=&quot;cookie&quot; acsByIndex=&quot;false&quot; <br /> isDefault=&quot;true&quot; &gt;<br /> &lt;SessionInitiator type=&quot;SAML2&quot; template=&quot;bindingTemplate.html&quot;<br /> defaultACSIndex=&quot;3&quot; /&gt;<br /> &lt;SessionInitiator type=&quot;Shib1&quot; defaultACSIndex=&quot;5&quot; /&gt;<br /> &lt;SessionInitiator type=&quot;SAMLDS&quot; URL=&quot;https://ds.niif.hu/&quot;/&gt;<br /> &lt;/SessionInitiator&gt;<br /> &lt;SessionInitiator type=&quot;Chaining&quot; Location=&quot;/SAML1DS&quot; acsByIndex=&quot;false&quot; relayState=&quot;cookie&quot; <br /> id=&quot;Saml1Only&quot;&gt;<br /> &lt;SessionInitiator type=&quot;Shib1&quot; defaultACSIndex=&quot;6&quot;/&gt;<br /> &lt;SessionInitiator type=&quot;SAMLDS&quot; URL=&quot;https://ds.niif.hu&quot; /&gt;<br /> &lt;/SessionInitiator&gt;<br /> <br /> &lt;!--<br /> md:AssertionConsumerService locations handle specific SSO protocol bindings,<br /> such as SAML 2.0 POST or SAML 1.1 Artifact. The isDefault and index attributes<br /> are used when sessions are initiated to determine how to tell the IdP where and<br /> how to return the response.<br /> --&gt;<br /> &lt;md:AssertionConsumerService Location=&quot;/SAML2/POST&quot; index=&quot;1&quot;<br /> Binding=&quot;urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST&quot;/&gt;<br /> &lt;md:AssertionConsumerService Location=&quot;/SAML2/POST-SimpleSign&quot; index=&quot;2&quot;<br /> Binding=&quot;urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST-SimpleSign&quot;/&gt;<br /> &lt;md:AssertionConsumerService Location=&quot;/SAML2/Artifact&quot; index=&quot;3&quot;<br /> Binding=&quot;urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Artifact&quot;/&gt;<br /> &lt;md:AssertionConsumerService Location=&quot;/SAML2/ECP&quot; index=&quot;4&quot;<br /> Binding=&quot;urn:oasis:names:tc:SAML:2.0:bindings:PAOS&quot;/&gt;<br /> &lt;md:AssertionConsumerService Location=&quot;/SAML/POST&quot; index=&quot;5&quot;<br /> Binding=&quot;urn:oasis:names:tc:SAML:1.0:profiles:browser-post&quot;/&gt;<br /> &lt;md:AssertionConsumerService Location=&quot;/SAML/Artifact&quot; index=&quot;6&quot;<br /> Binding=&quot;urn:oasis:names:tc:SAML:1.0:profiles:artifact-01&quot;/&gt;<br /> <br /> &lt;!-- LogoutInitiators enable SP-initiated local or global/single logout of sessions. --&gt;<br /> &lt;LogoutInitiator type=&quot;Chaining&quot; Location=&quot;/Logout&quot; relayState=&quot;cookie&quot;&gt;<br /> &lt;LogoutInitiator type=&quot;SAML2&quot; template=&quot;bindingTemplate.html&quot;/&gt;<br /> &lt;LogoutInitiator type=&quot;Local&quot;/&gt;<br /> &lt;/LogoutInitiator&gt;<br /> <br /> &lt;!-- md:SingleLogoutService locations handle single logout (SLO) protocol messages. --&gt;<br /> &lt;md:SingleLogoutService Location=&quot;/SLO/SOAP&quot;<br /> Binding=&quot;urn:oasis:names:tc:SAML:2.0:bindings:SOAP&quot;/&gt;<br /> &lt;md:SingleLogoutService Location=&quot;/SLO/Redirect&quot; conf:template=&quot;bindingTemplate.html&quot;<br /> Binding=&quot;urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Redirect&quot;/&gt;<br /> &lt;md:SingleLogoutService Location=&quot;/SLO/POST&quot; conf:template=&quot;bindingTemplate.html&quot;<br /> Binding=&quot;urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST&quot;/&gt;<br /> &lt;md:SingleLogoutService Location=&quot;/SLO/Artifact&quot; conf:template=&quot;bindingTemplate.html&quot;<br /> Binding=&quot;urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Artifact&quot;/&gt;<br /> <br /> &lt;!-- md:ManageNameIDService locations handle NameID management (NIM) protocol messages. --&gt;<br /> &lt;md:ManageNameIDService Location=&quot;/NIM/SOAP&quot;<br /> Binding=&quot;urn:oasis:names:tc:SAML:2.0:bindings:SOAP&quot;/&gt;<br /> &lt;md:ManageNameIDService Location=&quot;/NIM/Redirect&quot; conf:template=&quot;bindingTemplate.html&quot;<br /> Binding=&quot;urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Redirect&quot;/&gt;<br /> &lt;md:ManageNameIDService Location=&quot;/NIM/POST&quot; conf:template=&quot;bindingTemplate.html&quot;<br /> Binding=&quot;urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST&quot;/&gt;<br /> &lt;md:ManageNameIDService Location=&quot;/NIM/Artifact&quot; conf:template=&quot;bindingTemplate.html&quot;<br /> Binding=&quot;urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Artifact&quot;/&gt;<br /> <br /> &lt;!--<br /> md:ArtifactResolutionService locations resolve artifacts issued when using the<br /> SAML 2.0 HTTP-Artifact binding on outgoing messages, generally uses SOAP.<br /> --&gt;<br /> &lt;md:ArtifactResolutionService Location=&quot;/Artifact/SOAP&quot; index=&quot;1&quot;<br /> Binding=&quot;urn:oasis:names:tc:SAML:2.0:bindings:SOAP&quot;/&gt;<br /> <br /> &lt;!-- Extension service that generates &quot;approximate&quot; metadata based on SP configuration. --&gt;<br /> &lt;Handler type=&quot;MetadataGenerator&quot; Location=&quot;/Metadata&quot; signing=&quot;false&quot;/&gt;<br /> <br /> &lt;!-- Status reporting service. --&gt;<br /> &lt;Handler type=&quot;Status&quot; Location=&quot;/Status&quot; acl=&quot;127.0.0.1&quot;/&gt;<br /> <br /> &lt;!-- Session diagnostic service. --&gt;<br /> &lt;Handler type=&quot;Session&quot; Location=&quot;/Session&quot;/&gt;<br /> <br /> &lt;/Sessions&gt;<br /> <br /> &lt;!--<br /> You should customize these pages! You can add attributes with values that can be plugged<br /> into your templates. You can remove the access attribute to cause the module to return a<br /> standard 403 Forbidden error code if authorization fails, and then customize that condition<br /> using your web server.<br /> --&gt;<br /> &lt;Errors session=&quot;sessionError.html&quot;<br /> metadata=&quot;metadataError.html&quot;<br /> access=&quot;accessError.html&quot;<br /> ssl=&quot;sslError.html&quot;<br /> localLogout=&quot;localLogout.html&quot;<br /> globalLogout=&quot;globalLogout.html&quot;<br /> supportContact=&quot;root@localhost&quot;<br /> logoLocation=&quot;/shibboleth-sp/logo.jpg&quot;<br /> styleSheet=&quot;/shibboleth-sp/main.css&quot;/&gt;<br /> <br /> &lt;!-- Uncomment and modify to tweak settings for specific IdPs or groups. --&gt;<br /> &lt;!-- &lt;RelyingParty Name=&quot;SpecialFederation&quot; keyName=&quot;SpecialKey&quot;/&gt; --&gt;<br /> <br /> &lt;!-- Chains together all your metadata sources. --&gt;<br /> &lt;MetadataProvider type=&quot;Chaining&quot;&gt;<br /> &lt;MetadataProvider type=&quot;XML&quot; uri=&quot;https://metadata.eduid.hu/current/href.xml&quot;<br /> backingFilePath=&quot;href.xml&quot; reloadInterval=&quot;7200&quot;&gt;<br /> &lt;SignatureMetadataFilter certificate=&quot;href-metadata-signer-2010.crt&quot;/&gt;<br /> &lt;/MetadataProvider&gt;<br /> &lt;MetadataProvider type=&quot;XML&quot; uri=&quot;https://metadata.eduid.hu/current/niifi.xml&quot;<br /> backingFilePath=&quot;niifi.xml&quot; reloadInterval=&quot;7200&quot;&gt;<br /> &lt;SignatureMetadataFilter certificate=&quot;href-metadata-signer-2010.crt&quot;/&gt;<br /> &lt;/MetadataProvider&gt;<br /> &lt;/MetadataProvider&gt;<br /> <br /> &lt;!-- Chain the two built-in trust engines together. --&gt;<br /> &lt;TrustEngine type=&quot;Chaining&quot;&gt;<br /> &lt;TrustEngine type=&quot;ExplicitKey&quot;/&gt;<br /> &lt;TrustEngine type=&quot;PKIX&quot;/&gt;<br /> &lt;/TrustEngine&gt;<br /> <br /> &lt;!-- Map to extract attributes from SAML assertions. --&gt;<br /> &lt;AttributeExtractor type=&quot;XML&quot; path=&quot;attribute-map.xml&quot;/&gt;<br /> <br /> &lt;!-- Use a SAML query if no attributes are supplied during SSO. --&gt;<br /> &lt;AttributeResolver type=&quot;Query&quot;/&gt;<br /> <br /> &lt;!-- Default filtering policy for recognized attributes, lets other data pass. --&gt;<br /> &lt;AttributeFilter type=&quot;XML&quot; path=&quot;attribute-policy.xml&quot;/&gt;<br /> <br /> &lt;!-- Simple file-based resolver for using a single keypair. --&gt;<br /> &lt;!-- &lt;CredentialResolver type=&quot;File&quot; key=&quot;example.key&quot; certificate=&quot;example.crt&quot;/&gt; --&gt;<br /> <br /> &lt;!-- Example of a second application (using a second vhost) that has a different entityID. --&gt;<br /> &lt;!-- &lt;ApplicationOverride id=&quot;admin&quot; entityID=&quot;https://admin.example.org/shibboleth&quot;/&gt; --&gt;<br /> &lt;ApplicationOverride id=&quot;wiki.aai&quot; entityID=&quot;https://wiki.aai.niif.hu/shibboleth&quot; &gt;<br /> &lt;CredentialResolver type=&quot;File&quot; key=&quot;wiki.aai.niif.hu.key&quot; <br /> certificate=&quot;wiki.aai.niif.hu.crt&quot;/&gt;<br /> &lt;/ApplicationOverride&gt;<br /> &lt;ApplicationOverride id=&quot;www.aai&quot; entityID=&quot;https://www.aai.niif.hu/shibboleth&quot; &gt;<br /> &lt;CredentialResolver type=&quot;File&quot; key=&quot;www.aai.niif.hu.key&quot; <br /> certificate=&quot;www.aai.niif.hu.crt&quot;/&gt;<br /> &lt;/ApplicationOverride&gt;<br /> &lt;/ApplicationDefaults&gt;<br /> <br /> &lt;!-- Each policy defines a set of rules to use to secure messages. --&gt;<br /> &lt;SecurityPolicies&gt;<br /> &lt;!--<br /> The predefined policy enforces replay/freshness, standard<br /> condition processing, and permits signing and client TLS.<br /> --&gt;<br /> &lt;Policy id=&quot;default&quot; validate=&quot;false&quot;&gt;<br /> &lt;PolicyRule type=&quot;MessageFlow&quot; checkReplay=&quot;true&quot; expires=&quot;60&quot;/&gt;<br /> &lt;PolicyRule type=&quot;Conditions&quot;&gt;<br /> &lt;PolicyRule type=&quot;Audience&quot;/&gt;<br /> &lt;!-- Enable Delegation rule to permit delegated access. --&gt;<br /> &lt;!-- &lt;PolicyRule type=&quot;Delegation&quot;/&gt; --&gt;<br /> &lt;/PolicyRule&gt;<br /> &lt;PolicyRule type=&quot;ClientCertAuth&quot; errorFatal=&quot;true&quot;/&gt;<br /> &lt;PolicyRule type=&quot;XMLSigning&quot; errorFatal=&quot;true&quot;/&gt;<br /> &lt;PolicyRule type=&quot;SimpleSigning&quot; errorFatal=&quot;true&quot;/&gt;<br /> &lt;/Policy&gt;<br /> &lt;/SecurityPolicies&gt;<br /> <br /> <br /> &lt;/SPConfig&gt;<br /> <br /> &lt;/source&gt;<br /> <br /> = Minimális beállítások =<br /> <br /> == Környezeti beállítások ==<br /> <br /> A konfigurációs fájl első negyedében lévő szekciókban elsősorban a Shibboleth futásával kapcsolatos beállítások találhatók, amelyek alapértelmezett értékei legtöbbször megfelelőek az általunk elvárt működéshez.<br /> * &lt;code&gt;OutOfProcess&lt;/code&gt;<br /> * &lt;code&gt;InProcess&lt;/code&gt;<br /> * &lt;code&gt;UnixListener&lt;/code&gt;<br /> * &lt;code&gt;StorageService&lt;/code&gt;<br /> * &lt;code&gt;SessionCache&lt;/code&gt;<br /> * &lt;code&gt;ReplayCache&lt;/code&gt;<br /> * &lt;code&gt;ArtifactMap&lt;/code&gt;<br /> <br /> <br /> == RequestMap ==<br /> <br /> A RequestMap megadja azokat a címeket (Host és Path), amelyeket a Shibboleth SP kezelni fog. Szerkezete:<br /> &lt;source lang=&quot;xml&quot;&gt;<br /> &lt;RequestMap applicationId=&quot;default&quot;&gt;<br /> &lt;Host name=&quot;wiki.aai.niif.hu&quot; authType=&quot;shibboleth&quot; <br /> requireSession=&quot;false&quot; applicationId=&quot;wiki.aai&quot; <br /> redirectErrors=&quot;https://wiki.aai.niif.hu/index.php/Kezd%C5%91lap&quot;&gt;<br /> &lt;Path name=&quot;secure&quot; requireSession=&quot;true&quot; /&gt;<br /> &lt;/Host&gt;<br /> &lt;Host name=&quot;www.aai.niif.hu&quot; authType=&quot;shibboleth&quot; <br /> requireSession=&quot;false&quot; applicationId=&quot;www.aai&quot;&gt;<br /> &lt;Path name=&quot;secure&quot; requireSession=&quot;true&quot; /&gt;<br /> &lt;/Host&gt;<br /> &lt;/RequestMap&gt;<br /> &lt;/source&gt;<br /> <br /> A RequestMap több Host elemet is tartalmazhat, a Host elem 0 vagy több Path elemet tartalmazhat.<br /> {{ATTENTION|Ha 1-nél nagyobb mélységű könyvtárat (pl. a &lt;code&gt;/shibtest/shibreq&lt;/code&gt; nevűt) szeretnénk védeni, akkor '''nem''' adhatjuk meg a ''name'' paraméterben a &quot;shibtest/shibreq&quot; értéket, hanem egymásba ágyazott Path elemeket kell használni. A ''name'' paraméter nem tartalmazhat '/' karaktert.}}<br /> <br /> Az egyes elemeknél paraméterekkel szabályozhatjuk, hogy az SP milyen módon kezelje a hostot vagy az útvonalat. A paraméterek felüldefiniálhatók. A legfontosabb paraméterek az alábbiak (ezek ugyanúgy használhatók Host-nál mint Path-nál):<br /> * '''&lt;code&gt;requireSession&lt;/code&gt;''': ha értéke &quot;true&quot;, akkor az SP csak akkor továbbítja a HTTP request-et az alkalmazás ill. a webszerver felé, ha sikerült létrehozni egy autentikált session-t. Ha &quot;false&quot;, akkor az alkalmazás felelős azért, hogy létrehozza a Shibboleth session-t (ún. [[ShibSPLazy | lazy session]]) Alapértelmezés: &quot;false&quot;<br /> * '''&lt;code&gt;exportAssertion&lt;/code&gt;''': ha értéke &quot;true&quot;, akkor az SP átadja a teljes, IdP-től kapott Attribute Assertion-t az alkalmazásnak a SHIB_ATTRIBUTES HTTP mezőben (base64 kódolással). Alapértelmezés: &quot;false&quot;<br /> * '''&lt;code&gt;applicationId&lt;/code&gt;''': lehetőség van arra, hogy bizonyos helyekre érkező kérésekre az SP más és más módon próbáljon meg session-t létrehozni, ezt ún. [[ShibSPApplication | Shibboleth Application]]-ben konfigurálhatjuk. Ha nem adunk meg értéket, akkor a &quot;default&quot; application-nél megadott értékek vonatkoznak majd a session-re.<br /> * '''&lt;code&gt;redirectError&lt;/code&gt;''': átirányítási hiba esetén a Shibboleth erre az oldalra irányít át - ennek az [[isPassive]] -ot használó oldalaknál van jelentősége<br /> <br /> == ApplicationDefaults ==<br /> Ennél a szekciónál tudjuk megadni az általános, minden alkalmazásra érvényes alapbeállításokat. Ezek a beállítások természetesen minden egyes alkalmazás tekintetében felüldefiniálhatók.<br /> <br /> ====Alapattribútumok====<br /> <br /> * '''&lt;code&gt;id&lt;/code&gt; (kötelező)''': a alkalmazás elsődleges belső azonosítója. Az alapbeállíásoknál (tehát itt) elvárt érték: '''&lt;code&gt;default&lt;/code&gt;'''<br /> * '''&lt;code&gt;policyId&lt;/code&gt; (kötelező)''': a vonatkozó id-jű '''&lt;code&gt;SecurityPoilicies&lt;/code&gt;''' szekcióra mutat<br /> * '''&lt;code&gt;entityID&lt;/code&gt; (kötelező)''': egyedi azonosító, amely egyértelműen azonosít egy SP-t. A külső alkalmazások csak ezt az azonosítót látják, belső id-t...stb nem. Többnyire URL formátumú.<br /> * '''&lt;code&gt;homeURL&lt;/code&gt;''': <br /> * '''&lt;code&gt;REMOTE_USER&lt;/code&gt;''': egy prioritási listát adhatunk meg, melynek elemei azok az attribútumok, melyek közül az az első nem NULL értékű kerül beállításra a HTTP_REMOTE_USER változóba<br /> * '''&lt;code&gt;signing&lt;/code&gt;''': az XML üzenetek aláírtságára vonatkozó elvárások állíthatók be<br /> * '''&lt;code&gt;encryption&lt;/code&gt;''': az XML üzenetek titkosítására vonatkozó elvárások állíthatók be<br /> <br /> === Sessions ===<br /> <br /> Ennél a szekciónál állíthatjuk be, hogy az SP miként kezelje a Single Sign-on (SSO) folyamatának egyes részeit. Az alapparamétereken túl (session lejárati idő...stb) ún. handlerek találhatók benne. Természetesen az alapbeállítások alkalmazásonként felülírhatók az &lt;code lang=&quot;xml&quot;&gt;&lt;ApplicationOverride&gt;&lt;/code&gt; résznél.<br /> <br /> ====Handlerekről====<br /> <br /> A handlerek az SP-n belül működnek, de a fő folyamatoktól leválasztva. Egy-egy speciális feladatot látnak el - mintegy szkript jelleggel. Egy handler a megfelelő URL meghívásával érhető el. Ezen URL meghívásakor az SP felismeri, hogy mely handlert illeti az adott részfeladat megoldása, és átadja neki a feladat ellátásához szükséges paramétereket. Az SP-n belül egy &quot;alaphandler&quot; található, amely felel a handlereket illető feladatok kiosztásáért, ez jelenti majd a handlerek elérési útvonalában a gyökeret.<br /> <br /> <br /> ====Alapattribútumok====<br /> *'''&lt;code lang=&quot;xml&quot;&gt;handlerURL&lt;/code&gt;''': Az alaphandler elérési útja. Alapértelmezés szerint: &lt;code lang=&quot;xml&quot;&gt;&quot;/Shibboleth.sso&quot;&lt;/code&gt;.<br /> *'''&lt;code lang=&quot;xml&quot;&gt;handlerSSL&lt;/code&gt;''': Beállítható, hogy kizárólag titkosított csatornán keresztül történhessen a handlerekkel való kommunikáció. Alapértelmezés szerint: &lt;code lang=&quot;xml&quot;&gt;true&lt;/code&gt;<br /> *'''&lt;code lang=&quot;xml&quot;&gt;lifetime&lt;/code&gt;''': Beállítható az SP session maximális hossza. Alapértelmezés szerint ez 28800 másodperc. Fontos megjegyezni, hogy az SP session megszűnése nincs közvetlen hatással a Shibboleth által védett alkalmazás által generált sessionre<br /> *'''&lt;code lang=&quot;xml&quot;&gt;timeout&lt;/code&gt;''': <br /> *'''&lt;code lang=&quot;xml&quot;&gt;checkAddress&lt;/code&gt;''': Megadható, hogy az SP ellenőrizze-e, hogy a felhasználó IP címe egyezik-e az IdP által az asseirton-ben írttal. Alapértelmezés szerint: &lt;code lang=&quot;xml&quot;&gt;true&lt;/code&gt;<br /> *'''&lt;code lang=&quot;xml&quot;&gt;exportLocation&lt;/code&gt;''':<br /> *'''&lt;code lang=&quot;xml&quot;&gt;idpHistory&lt;/code&gt;''': Igaz érték esetén a SP beállít egy cookie-et, melyhez értékül adja azt az IdP-t, amelynél sikeres autentikáció történt. Alapértelmezés szerint: &lt;code lang=&quot;xml&quot;&gt;false&lt;/code&gt;<br /> *'''&lt;code lang=&quot;xml&quot;&gt;idpHistoryDays&lt;/code&gt;''': Megadhatjuk az &lt;code lang=&quot;xml&quot;&gt;idpHistory&lt;/code&gt; cookie érvényességi idejét napokban. Amennyiben nem kerül beállításra, akkor a cookie az adott munkamenet végén lejár<br /> <br /> <br /> ===SessionInitiator===<br /> <br /> Ennél a szekciónál kerülnek beállításra azok a paraméterek, melyek meghatározzák, hogy az SP kihez-mihez irányítsa a felhasználót, mikor az érvényes session nélkül (tehát autentikáció előtt) próbálja elérni a Shibboleth által védett tartalmat. <br /> <br /> <br /> ====Alapattribútumok====<br /> *'''&lt;code lang=&quot;xml&quot;&gt;'''type'''&lt;/code&gt;: Meghatározza a SessionInitiator típusát. A főbb típusokat lásd lejjebb.<br /> *'''&lt;code lang=&quot;xml&quot;&gt;'''Location&lt;/code&gt;: Az URL, amely meghívásakor az adott SessionInitiator handler-e aktivizálódik.<br /> *'''&lt;code lang=&quot;xml&quot;&gt;'''id&lt;/code&gt;: (opcionális) Az adott SessionInitiator-re lehet ezen id által hivatkozni egyéb beállításoknál<br /> *'''&lt;code lang=&quot;xml&quot;&gt;'''entityID&lt;/code&gt;: Az SP az itt megadott értékben szereplő IdP-hez irányítja az autentikálni kívánó felhasználót<br /> *'''&lt;code lang=&quot;xml&quot;&gt;'''relayState&lt;/code&gt;: meghatározza, hogy...<br /> *'''&lt;code lang=&quot;xml&quot;&gt;'''acsByIndex&lt;/code&gt;: igaz érték esetén él a lehetőség, hogy a megfelelő AssertionConsumerService-hez ne teljes URI-val forduljunk, hanem elég legyen csak annak indexét megadnunk.<br /> *'''&lt;code lang=&quot;xml&quot;&gt;'''defaultACSIndex&lt;/code&gt;: az &lt;code lang=&quot;xml&quot;&gt;acsByIndex=&quot;true&quot;&lt;/code&gt; esetén beállítható, hogy alapértelmezés szerint mely indexxel rendelkező AssertionConsumerService-t használjuk<br /> <br /> ====SessionInitiator főbb típusai====<br /> *'''SAML2 SessionInitiator''' (Protocol Handler):<br /> &lt;code lang=xml&gt;type=&quot;SAML2&quot;&lt;/code&gt;<br /> SAML2-es autentikációs folyamatot kezdeményez, és érti a SAML2 szabványon alapuló paramétereket. Mindenképp szükséges, hogy kapjon egy &lt;code lang=xml&gt;entityID&lt;/code&gt; paramétert, értékében egy valós IdP entityID-jával.<br /> <br /> *'''SHIB1 SessionInitiator''' (Protocol Handler):<br /> &lt;code lang=xml&gt;type=&quot;SHIB1&quot;&lt;/code&gt;<br /> Shibboleth 1.x-es autentikációs folyamatot kezdeményez, és SAML 1.1 szabványon alapuló paramétereket ért. Mindenképp szükséges, hogy kapjon egy &lt;code lang=xml&gt;entityID&lt;/code&gt; paramétert, értékében egy valós IdP entityID-jával.<br /> *'''SAMLDS SessionInitiator''' (Discovery Handler):<br /> &lt;code lang=xml&gt;type=&quot;SAMLDS&quot;&lt;/code&gt;<br /> <br /> Az &lt;code lang=xml&gt;url&lt;/code&gt; attribútum értékeként megadott helyre irányítja a böngészőt, ahol SAML2 Discovery Service-t vár. A SAML2DS ismeri az [[isPassive]]-ot.<br /> *'''WAYF SessionInitiator''' (Discovery Handler):<br /> &lt;code lang=xml&gt;type=&quot;WAYF&quot;&lt;/code&gt;<br /> <br /> Az &lt;code lang=xml&gt;url&lt;/code&gt; attribútum értékeként megadott helyre irányítja a böngészőt, ahol Shibboleth WAYF szolgáltatást vár.<br /> *'''Chaining SessionInitiator''': <br /> &lt;code lang=xml&gt;type=&quot;Chaining&quot;&lt;/code&gt;<br /> <br /> Egy Chaining típusú SessionInitiator elem további SessionInitiator elemeket tartalmazhat, melyek felveszik a keret elem attribútumaiban meghatározott tulajdonságokat.<br /> <br /> === MetadataProvider ===<br /> <br /> Ennél a szekciónál kell beállítani, hogy az SP milyen forrásokból jut hozzá a szükséges [[Metadata|metaadatokhoz]].<br /> <br /> '''A források 3 fő típusa'''<br /> * XML MetadataProvider<br /> <br /> &lt;code type=&quot;xml&quot;&gt;type=&quot;XML&quot;&lt;/code&gt;<br /> <br /> SAML2 szabványos XML fájlt tölt be a rendszer. A fájl lehet lokális, vagy távoli, webszerveren keresztül elérhető. Leggyakrabban használt típus. Példa:<br /> <br /> &lt;MetadataProvider type=&quot;XML&quot; uri=&quot;https://metadata.eduid.hu/current/href.xml&quot;<br /> backingFilePath=&quot;href.xml&quot; reloadInterval=&quot;7200&quot;&gt;<br /> &lt;SignatureMetadataFilter certificate=&quot;href-metadata-signer-2010.crt&quot;/&gt;<br /> &lt;/MetadataProvider&gt;<br /> <br /> * Chaining MetadataProvider<br /> További &lt;code lang=&quot;xml&quot;&gt;MetadataProvider&lt;/code&gt;-(eke)t tartalmazhat.<br /> <br /> * dinamikus, MDQ<br /> <br /> &lt;MetadataProvider type=&quot;MDQ&quot; id=&quot;href-2020&quot; ignoreTransport=&quot;true&quot; baseUrl=&quot;https://mdx.eduid.hu/&quot;&gt;<br /> &lt;MetadataFilter type=&quot;Signature&quot; certificate=&quot;href-metadata-signer-2020.crt&quot;/&gt;<br /> &lt;MetadataFilter type=&quot;RequireValidUntil&quot; maxValidityInterval=&quot;864000&quot;/&gt;<br /> &lt;/MetadataProvider&gt;<br /> <br /> A tanúsítvány innen szerezhető be: https://metadata.eduid.hu/certs/href-metadata-signer-2020.crt<br /> <br /> ===ApplicationOverride===<br /> Amennyiben az SP több alkalmazást kezel, és ezek között az alkalmazások között vannak olyanok, melyeknek valamely tulajdonsága nem egyezik az SP alapértelmezettként megadott tulajdonságaival (jellemzően ilyen lehet pl. az entityID), akkor ezeket ebben a szekcióban felül lehet definiálni.<br /> <br /> <br /> =Kiegészítő beállítások=<br /> ==POST preservation==<br /> Ha legalább 2.2-es verziójú Shibboleth SP-t használunk, úgy lehetőségünk van egy olyan funkció beállítására, amely lehetővé teszi, hogy ha egy felhasználó valamilyen formba ír (pl. egy wikibe), akkor a küldés gomb megnyomásakor a shibboleth egy átmeneti helyen eltárolja a beírt adatokat. Ennek jelentősége, hogy ha írás közben lejárt volna a felhasználó sessionje, így alapértelmezés szerint a bejelentkező oldalra dobná a rendszer, ami által elveszne, amit begépelt, úgy bekapcsolt post preservation esetén ezek az adatok megmenekülnek, nem kell őket újra beírni.<br /> <br /> A funkció bekapcsolásához a &lt;code&gt;&lt;Sessions&gt;&lt;/code&gt; elem attribútumaként kell megadni az alábbi két név-érték párt.<br /> * &lt;code&gt;postData=&quot;ss:mem&quot;&lt;/code&gt; , az érték mondja meg, hogy a form adatait az SP mely, a konfigurációs fájl elején definiált Storage Service-en keresztül tárolja. Alapértelmezés szerint a memóriában, de lehetőség van külső tároló megadására is. [https://wiki.shibboleth.net/confluence/display/SHIB2/NativeSPStorageService További információ a Storage Service-kről] <br /> * &lt;code&gt;postTemplate=&quot;/etc/shibboleth/postTemplate.html&quot; &lt;/code&gt;<br /> <br /> Hiányossága a funkciónak, hogy ha a form tartalmaz &lt;code&gt;file&lt;/code&gt; típusú &lt;code&gt;input&lt;/code&gt; mezőt, akkor nem fog működni.<br /> <br /> =HREF integráció=<br /> # Az SP-t regisztrálni kell a [[Resource_Registry#SP_regisztr.C3.A1ci.C3.B3|Resource Registry]]-ben<br /> # Le kell tölteni a metadatához tartozó tanúsítványt a [https://metadata.eduid.hu/current/ https://metadata.eduid.hu/current/] címről, és elmenteni a shibboleth kofigurációs fájljait tartalmazó könyvtárba<br /> # A [[#MetadataProvider|Metadata]] beállításoknál meg kell adni a HREF metadata elérhetőségét: [https://metadata.eduid.hu/current/href.xml https://metadata.eduid.hu/current/href.xml]<br /> # Az &lt;code&gt;attribute-map.xml&lt;/code&gt; fájlban el kell távolítani a kommentjeleket azon [[HREFAttributeSpec|attribútumok]] elől, melyeket az SP használni kíván.<br /> # Újra kell indítani a shibboleth démont.</div>

Dattila(AT)niif.hu https://wiki.niif.hu/index.php?title=MDX&diff=4925 2022-03-24T15:14:02Z

<p>Dattila(AT)niif.hu: </p> <hr /> <div>Az MDX, azaz MetaDataeXchange protokolt erőforrás optimalizálás céljából találták ki, hogy ne kelljen egyes IdP-knek és SP-knek indokolatlanul nagy XML fájlokat feldolgozniuk és tárolniuk, mikor a felhasználóiknak jó eséllyel a fájlokban tárolt entitások töredékére van csak szükségük. Ezért az egyes entitásokat be lehet úgy állítani, hogy csak akkor töltsék le az adott entitás metaadatát, mikor arra szükség van (az első letöltés után természetesen helyben tároldóik a metaadat a &lt;code&gt;cacheDuration&lt;/code&gt;-ben megadott ideig). Az MDX kiszolgáló az alábbi szabvány szerint tudja visszaadni egy-egy entitás metaadatát: &lt;code&gt;http://mdx.eduid.hu/entities/{urlencoded}$entityID&lt;/code&gt;, pl: &lt;code&gt;http://mdx.eduid.hu/entities/https%3A%2F%2Fdev.aai.niif.hu%2Fshibboleth&lt;/code&gt;<br /> <br /> == Dinamikus metadata kiszolgálás a HREF-ben ==<br /> Az MDX kiszolgáló a '''http://mdx.eduid.hu''' alatt szolgáltat, és a ''href'' és az ''edugain'' metadata halmazokat tartalmazza.<br /> <br /> Mindkét kiszolgáló ugyanazzal a kulccsal írja alá a lekért metaadat-állományt. <br /> * A tanúsítvány letölthető innen: https://metadata.eduid.hu/certs/href-metadata-signer-2020.crt <br /> * SHA-1 lenyomata: &lt;code&gt;C3:72:DC:75:4C:FA:BA:65:63:52:D9:6B:47:5B:44:7E:AA:F6:45:61&lt;/code&gt; . <br /> <br /> === Fontos tudnivaló Discovery Service használattal kapcsolatban ===<br /> Lévén az MDX-et használó SP-knél nem áll rendelkezésre folyamatosan az összes potenciális IdP listája, így a beépített Discovery Service-ek nem működnek. Ha MDX-et használunk, akkor valamilyen külső Discvery Service-t kell használnunk. A HREF-ben a https://discovery.eduid.hu a központi Discovery Service. <br /> <br /> Emellett maga az MDX kiszolgáló is biztosít Discovery Service felületet, ehhez akár Shibboleth SP-nél, akár simpleSAMLphp SP-nél a konfigurációban az alábbi URL-t kell megadni, mint Discovery Service: https://mdx.eduid.hu/role/idp.ds . Ez a Discovery Service tartalmazza a hazai eduID-ben, valamint az eduGAIN-ben levő összes IdP-t. (És, ellentétben a hagyományos https://discovery.eduid.hu/edugain szolgáltatással, ez tartlamazza a magyar VHO-t is VHO IdP néven.)<br /> <br /> == MDX használata kliens oldalon ==<br /> === SimpleSAMLphp ===<br /> <br /> Az 1.14-es kiadástól kezdve a SimpleSAMLphp tartalmazza az dinamikus metadata lekérdezés funkciót, amely mind IdP, mind SP szerepben egységes módon használható. A config/config.php állományban metadata.sources szekcióban kell elhelyezni az alábbi blokkot:<br /> <br /> &lt;source lang=&quot;php&quot;&gt;<br /> 'metadata.sources' =&gt; array(<br /> array('type' =&gt; 'flatfile'), // ez a *-hosted metadata konfiguráció betöltése miatt szükséges<br /> array(<br /> 'type' =&gt; 'mdx',<br /> 'server' =&gt; 'http://mdx.eduid.hu',<br /> 'cachedir' =&gt; '/var/simplesamlphp/mdx-cache', //opcionális, de ajánlott<br /> 'cachelength' =&gt; 86400, //opcionális,<br /> 'validateFingerprint' =&gt; 'C3:72:DC:75:4C:FA:BA:65:63:52:D9:6B:47:5B:44:7E:AA:F6:45:61' //opcionális <br /> ),<br /> ),<br /> &lt;/source&gt;<br /> <br /> <br /> A dinamikus és a statikus metadataforrások egyidejű használatára egy példa: [[SimpleSAMLMixedMetadata]]<br /> <br /> === Shibboleth SP ===<br /> <br /> * Le kell tölteni a /etc/shibboleth alá az aláíró tanúsítványát innen: https://metadata.eduid.hu/certs/href-metadata-signer-2020.crt<br /> * Az alábbi blokkot be kell szúrni a &lt;code&gt;/etc/shibboleth/shibboleth2.xml&lt;/code&gt; fájlba<br /> <br /> &lt;source lang=&quot;xml&quot;&gt;<br /> &lt;MetadataProvider type=&quot;Dynamic&quot; ignoreTransport=&quot;true&quot;&gt;<br /> &lt;Subst&gt;http://mdx.eduid.hu/entities/$entityID&lt;/Subst&gt;<br /> &lt;MetadataFilter type=&quot;Signature&quot; certificate=&quot;href-metadata-signer-2020.crt&quot;/&gt;<br /> &lt;/MetadataProvider&gt;<br /> &lt;/source&gt;<br /> <br /> === Shibboleth IdPv3 ===<br /> <br /> * Le kell tölteni a &lt;code&gt;${idp.home}/credentials/&lt;/code&gt; alá az aláíró tanúsítványát innen: https://metadata.eduid.hu/certs/href-metadata-signer-2020.crt<br /> * A &lt;code&gt;conf/metadata-providers.xml&lt;/code&gt; fájlt kell szerkeszteni az alábbi módon:<br /> &lt;source lang=&quot;xml&quot;&gt;<br /> <br /> &lt;MetadataProvider<br /> xmlns=&quot;urn:mace:shibboleth:2.0:metadata&quot;<br /> xmlns:xsi=&quot;http://www.w3.org/2001/XMLSchema-instance&quot;<br /> xsi:schemaLocation=&quot;urn:mace:shibboleth:2.0:metadata http://shibboleth.net/schema/idp/shibboleth-metadata.xsd&quot;<br /> id=&quot;dynamicMDQ&quot; xsi:type=&quot;DynamicHTTPMetadataProvider&quot;&gt;<br /> <br /> <br /> &lt;!--<br /> Require a validUntil XML attribute on the EntityDescriptor element<br /> and make sure its value is no more than 14 days into the future<br /> --&gt;<br /> &lt;MetadataFilter xsi:type=&quot;RequiredValidUntil&quot; maxValidityInterval=&quot;P14D&quot; /&gt;<br /> <br /> <br /> &lt;!-- Verify the signature on the metadata file --&gt;<br /> &lt;MetadataFilter xsi:type=&quot;SignatureValidation&quot; requireSignedMetadata=&quot;true&quot;<br /> certificateFile=&quot;${idp.home}/credentials/href-metadata-signer-2020.crt&quot; /&gt;<br /> <br /> &lt;!-- The MetadataQueryProtocol element specifies the base URL for the query protocol. --&gt;<br /> &lt;MetadataQueryProtocol&gt;http://mdx.eduid.hu/&lt;/MetadataQueryProtocol&gt;<br /> &lt;/MetadataProvider&gt;<br /> <br /> <br /> &lt;/source&gt;</div>

Dattila(AT)niif.hu https://wiki.niif.hu/index.php?title=MDX&diff=4924 2022-03-24T10:20:59Z

<p>Dattila(AT)niif.hu: mdx =&gt; mdx-2020</p> <hr /> <div>Az MDX, azaz MetaDataeXchange protokolt erőforrás optimalizálás céljából találták ki, hogy ne kelljen egyes IdP-knek és SP-knek indokolatlanul nagy XML fájlokat feldolgozniuk és tárolniuk, mikor a felhasználóiknak jó eséllyel a fájlokban tárolt entitások töredékére van csak szükségük. Ezért az egyes entitásokat be lehet úgy állítani, hogy csak akkor töltsék le az adott entitás metaadatát, mikor arra szükség van (az első letöltés után természetesen helyben tároldóik a metaadat a &lt;code&gt;cacheDuration&lt;/code&gt;-ben megadott ideig). Az MDX kiszolgáló az alábbi szabvány szerint tudja visszaadni egy-egy entitás metaadatát: &lt;code&gt;http://mdx.eduid.hu/entities/{urlencoded}$entityID&lt;/code&gt;, pl: &lt;code&gt;http://mdx.eduid.hu/entities/https%3A%2F%2Fdev.aai.niif.hu%2Fshibboleth&lt;/code&gt;<br /> <br /> == Dinamikus metadata kiszolgálás a HREF-ben ==<br /> Az MDX kiszolgáló a '''http://mdx-2020.eduid.hu''' alatt szolgáltat, és a ''href'' és az ''edugain'' metadata halmazokat tartalmazza.<br /> <br /> Mindkét kiszolgáló ugyanazzal a kulccsal írja alá a lekért metaadat-állományt. <br /> * A tanúsítvány letölthető innen: https://metadata.eduid.hu/certs/href-metadata-signer-2020.crt <br /> * SHA-1 lenyomata: &lt;code&gt;C3:72:DC:75:4C:FA:BA:65:63:52:D9:6B:47:5B:44:7E:AA:F6:45:61&lt;/code&gt; . <br /> <br /> === Fontos tudnivaló Discovery Service használattal kapcsolatban ===<br /> Lévén az MDX-et használó SP-knél nem áll rendelkezésre folyamatosan az összes potenciális IdP listája, így a beépített Discovery Service-ek nem működnek. Ha MDX-et használunk, akkor valamilyen külső Discvery Service-t kell használnunk. A HREF-ben a https://discovery.eduid.hu a központi Discovery Service. <br /> <br /> Emellett maga az MDX kiszolgáló is biztosít Discovery Service felületet, ehhez akár Shibboleth SP-nél, akár simpleSAMLphp SP-nél a konfigurációban az alábbi URL-t kell megadni, mint Discovery Service: https://mdx.eduid.hu/role/idp.ds . Ez a Discovery Service tartalmazza a hazai eduID-ben, valamint az eduGAIN-ben levő összes IdP-t. (És, ellentétben a hagyományos https://discovery.eduid.hu/edugain szolgáltatással, ez tartlamazza a magyar VHO-t is VHO IdP néven.)<br /> <br /> == MDX használata kliens oldalon ==<br /> === SimpleSAMLphp ===<br /> <br /> Az 1.14-es kiadástól kezdve a SimpleSAMLphp tartalmazza az dinamikus metadata lekérdezés funkciót, amely mind IdP, mind SP szerepben egységes módon használható. A config/config.php állományban metadata.sources szekcióban kell elhelyezni az alábbi blokkot:<br /> <br /> &lt;source lang=&quot;php&quot;&gt;<br /> 'metadata.sources' =&gt; array(<br /> array('type' =&gt; 'flatfile'), // ez a *-hosted metadata konfiguráció betöltése miatt szükséges<br /> array(<br /> 'type' =&gt; 'mdx',<br /> 'server' =&gt; 'http://mdx-2020.eduid.hu',<br /> 'cachedir' =&gt; '/var/simplesamlphp/mdx-cache', //opcionális, de ajánlott<br /> 'cachelength' =&gt; 86400, //opcionális,<br /> 'validateFingerprint' =&gt; 'C3:72:DC:75:4C:FA:BA:65:63:52:D9:6B:47:5B:44:7E:AA:F6:45:61' //opcionális <br /> ),<br /> ),<br /> &lt;/source&gt;<br /> <br /> <br /> A dinamikus és a statikus metadataforrások egyidejű használatára egy példa: [[SimpleSAMLMixedMetadata]]<br /> <br /> === Shibboleth SP ===<br /> <br /> * Le kell tölteni a /etc/shibboleth alá az aláíró tanúsítványát innen: https://metadata.eduid.hu/certs/href-metadata-signer-2020.crt<br /> * Az alábbi blokkot be kell szúrni a &lt;code&gt;/etc/shibboleth/shibboleth2.xml&lt;/code&gt; fájlba<br /> <br /> &lt;source lang=&quot;xml&quot;&gt;<br /> &lt;MetadataProvider type=&quot;Dynamic&quot; ignoreTransport=&quot;true&quot;&gt;<br /> &lt;Subst&gt;http://mdx.eduid.hu/entities/$entityID&lt;/Subst&gt;<br /> &lt;MetadataFilter type=&quot;Signature&quot; certificate=&quot;href-metadata-signer-2020.crt&quot;/&gt;<br /> &lt;/MetadataProvider&gt;<br /> &lt;/source&gt;<br /> <br /> === Shibboleth IdPv3 ===<br /> <br /> * Le kell tölteni a &lt;code&gt;${idp.home}/credentials/&lt;/code&gt; alá az aláíró tanúsítványát innen: https://metadata.eduid.hu/certs/href-metadata-signer-2020.crt<br /> * A &lt;code&gt;conf/metadata-providers.xml&lt;/code&gt; fájlt kell szerkeszteni az alábbi módon:<br /> &lt;source lang=&quot;xml&quot;&gt;<br /> <br /> &lt;MetadataProvider<br /> xmlns=&quot;urn:mace:shibboleth:2.0:metadata&quot;<br /> xmlns:xsi=&quot;http://www.w3.org/2001/XMLSchema-instance&quot;<br /> xsi:schemaLocation=&quot;urn:mace:shibboleth:2.0:metadata http://shibboleth.net/schema/idp/shibboleth-metadata.xsd&quot;<br /> id=&quot;dynamicMDQ&quot; xsi:type=&quot;DynamicHTTPMetadataProvider&quot;&gt;<br /> <br /> <br /> &lt;!--<br /> Require a validUntil XML attribute on the EntityDescriptor element<br /> and make sure its value is no more than 14 days into the future<br /> --&gt;<br /> &lt;MetadataFilter xsi:type=&quot;RequiredValidUntil&quot; maxValidityInterval=&quot;P14D&quot; /&gt;<br /> <br /> <br /> &lt;!-- Verify the signature on the metadata file --&gt;<br /> &lt;MetadataFilter xsi:type=&quot;SignatureValidation&quot; requireSignedMetadata=&quot;true&quot;<br /> certificateFile=&quot;${idp.home}/credentials/href-metadata-signer-2020.crt&quot; /&gt;<br /> <br /> &lt;!-- The MetadataQueryProtocol element specifies the base URL for the query protocol. --&gt;<br /> &lt;MetadataQueryProtocol&gt;http://mdx-2020.eduid.hu/&lt;/MetadataQueryProtocol&gt;<br /> &lt;/MetadataProvider&gt;<br /> <br /> <br /> &lt;/source&gt;</div>

Dattila(AT)niif.hu https://wiki.niif.hu/index.php?title=MDX&diff=4912 2022-02-14T12:59:15Z

<p>Dattila(AT)niif.hu: /* Shibboleth SP */</p> <hr /> <div>Az MDX, azaz MetaDataeXchange protokolt erőforrás optimalizálás céljából találták ki, hogy ne kelljen egyes IdP-knek és SP-knek indokolatlanul nagy XML fájlokat feldolgozniuk és tárolniuk, mikor a felhasználóiknak jó eséllyel a fájlokban tárolt entitások töredékére van csak szükségük. Ezért az egyes entitásokat be lehet úgy állítani, hogy csak akkor töltsék le az adott entitás metaadatát, mikor arra szükség van (az első letöltés után természetesen helyben tároldóik a metaadat a &lt;code&gt;cacheDuration&lt;/code&gt;-ben megadott ideig). Az MDX kiszolgáló az alábbi szabvány szerint tudja visszaadni egy-egy entitás metaadatát: &lt;code&gt;http://mdx.eduid.hu/entities/{urlencoded}$entityID&lt;/code&gt;, pl: &lt;code&gt;http://mdx.eduid.hu/entities/https%3A%2F%2Fdev.aai.niif.hu%2Fshibboleth&lt;/code&gt;<br /> <br /> == Dinamikus metadata kiszolgálás a HREF-ben ==<br /> Az MDX kiszolgáló a '''http://mdx.eduid.hu''' alatt szolgáltat, és a ''href'' és az ''edugain'' metadata halmazokat tartalmazza.<br /> <br /> Mindkét kiszolgáló ugyanazzal a kulccsal írja alá a lekért metaadat-állományt. <br /> * A tanúsítvány letölthető innen: https://metadata.eduid.hu/certs/href-metadata-signer-2020.crt <br /> * SHA-1 lenyomata: &lt;code&gt;C3:72:DC:75:4C:FA:BA:65:63:52:D9:6B:47:5B:44:7E:AA:F6:45:61&lt;/code&gt; . <br /> <br /> === Fontos tudnivaló Discovery Service használattal kapcsolatban ===<br /> Lévén az MDX-et használó SP-knél nem áll rendelkezésre folyamatosan az összes potenciális IdP listája, így a beépített Discovery Service-ek nem működnek. Ha MDX-et használunk, akkor valamilyen külső Discvery Service-t kell használnunk. A HREF-ben a https://discovery.eduid.hu a központi Discovery Service. <br /> <br /> Emellett maga az MDX kiszolgáló is biztosít Discovery Service felületet, ehhez akár Shibboleth SP-nél, akár simpleSAMLphp SP-nél a konfigurációban az alábbi URL-t kell megadni, mint Discovery Service: https://mdx.eduid.hu/role/idp.ds . Ez a Discovery Service tartalmazza a hazai eduID-ben, valamint az eduGAIN-ben levő összes IdP-t. (És, ellentétben a hagyományos https://discovery.eduid.hu/edugain szolgáltatással, ez tartlamazza a magyar VHO-t is VHO IdP néven.)<br /> <br /> == MDX használata kliens oldalon ==<br /> === SimpleSAMLphp ===<br /> <br /> Az 1.14-es kiadástól kezdve a SimpleSAMLphp tartalmazza az dinamikus metadata lekérdezés funkciót, amely mind IdP, mind SP szerepben egységes módon használható. A config/config.php állományban metadata.sources szekcióban kell elhelyezni az alábbi blokkot:<br /> <br /> &lt;source lang=&quot;php&quot;&gt;<br /> 'metadata.sources' =&gt; array(<br /> array('type' =&gt; 'flatfile'), // ez a *-hosted metadata konfiguráció betöltése miatt szükséges<br /> array(<br /> 'type' =&gt; 'mdx',<br /> 'server' =&gt; 'http://mdx.eduid.hu',<br /> 'cachedir' =&gt; '/var/simplesamlphp/mdx-cache', //opcionális, de ajánlott<br /> 'cachelength' =&gt; 86400, //opcionális,<br /> 'validateFingerprint' =&gt; '91:81:AD:2B:F1:C1:4E:47:93:A2:9D:49:34:B7:77:62:4F:2F:98:43' //opcionális <br /> ),<br /> ),<br /> &lt;/source&gt;<br /> <br /> <br /> A dinamikus és a statikus metadataforrások egyidejű használatára egy példa: [[SimpleSAMLMixedMetadata]]<br /> <br /> === Shibboleth SP ===<br /> <br /> * Le kell tölteni a /etc/shibboleth alá az aláíró tanúsítványát innen: http://metadata.eduid.hu/current/mdx-test-signer-2015.crt<br /> * Az alábbi blokkot be kell szúrni a &lt;code&gt;/etc/shibboleth/shibboleth2.xml&lt;/code&gt; fájlba<br /> <br /> &lt;source lang=&quot;xml&quot;&gt;<br /> &lt;MetadataProvider type=&quot;Dynamic&quot; ignoreTransport=&quot;true&quot;&gt;<br /> &lt;Subst&gt;http://mdx.eduid.hu/entities/$entityID&lt;/Subst&gt;<br /> &lt;MetadataFilter type=&quot;Signature&quot; certificate=&quot;href-metadata-signer-2020.crt&quot;/&gt;<br /> &lt;/MetadataProvider&gt;<br /> &lt;/source&gt;<br /> <br /> === Shibboleth IdPv3 ===<br /> <br /> * Le kell tölteni a &lt;code&gt;${idp.home}/credentials/&lt;/code&gt; alá az aláíró tanúsítványát innen: http://metadata.eduid.hu/current/mdx-test-signer-2015.crt<br /> * A &lt;code&gt;conf/metadata-providers.xml&lt;/code&gt; fájlt kell szerkeszteni az alábbi módon:<br /> &lt;source lang=&quot;xml&quot;&gt;<br /> <br /> &lt;MetadataProvider<br /> xmlns=&quot;urn:mace:shibboleth:2.0:metadata&quot;<br /> xmlns:xsi=&quot;http://www.w3.org/2001/XMLSchema-instance&quot;<br /> xsi:schemaLocation=&quot;urn:mace:shibboleth:2.0:metadata http://shibboleth.net/schema/idp/shibboleth-metadata.xsd&quot;<br /> id=&quot;dynamicMDQ&quot; xsi:type=&quot;DynamicHTTPMetadataProvider&quot;&gt;<br /> <br /> <br /> &lt;!--<br /> Require a validUntil XML attribute on the EntityDescriptor element<br /> and make sure its value is no more than 14 days into the future<br /> --&gt;<br /> &lt;MetadataFilter xsi:type=&quot;RequiredValidUntil&quot; maxValidityInterval=&quot;P14D&quot; /&gt;<br /> <br /> <br /> &lt;!-- Verify the signature on the metadata file --&gt;<br /> &lt;MetadataFilter xsi:type=&quot;SignatureValidation&quot; requireSignedMetadata=&quot;true&quot;<br /> certificateFile=&quot;${idp.home}/credentials/mdx-signer.crt&quot; /&gt;<br /> <br /> &lt;!-- The MetadataQueryProtocol element specifies the base URL for the query protocol. --&gt;<br /> &lt;MetadataQueryProtocol&gt;http://mdx.eduid.hu/&lt;/MetadataQueryProtocol&gt;<br /> &lt;/MetadataProvider&gt;<br /> <br /> <br /> &lt;/source&gt;</div>

Dattila(AT)niif.hu https://wiki.niif.hu/index.php?title=MDX&diff=4911 2022-02-11T10:14:30Z

<p>Dattila(AT)niif.hu: /* Dinamikus metadata kiszolgálás a HREF-ben */ aláírókulcs csere</p> <hr /> <div>Az MDX, azaz MetaDataeXchange protokolt erőforrás optimalizálás céljából találták ki, hogy ne kelljen egyes IdP-knek és SP-knek indokolatlanul nagy XML fájlokat feldolgozniuk és tárolniuk, mikor a felhasználóiknak jó eséllyel a fájlokban tárolt entitások töredékére van csak szükségük. Ezért az egyes entitásokat be lehet úgy állítani, hogy csak akkor töltsék le az adott entitás metaadatát, mikor arra szükség van (az első letöltés után természetesen helyben tároldóik a metaadat a &lt;code&gt;cacheDuration&lt;/code&gt;-ben megadott ideig). Az MDX kiszolgáló az alábbi szabvány szerint tudja visszaadni egy-egy entitás metaadatát: &lt;code&gt;http://mdx.eduid.hu/entities/{urlencoded}$entityID&lt;/code&gt;, pl: &lt;code&gt;http://mdx.eduid.hu/entities/https%3A%2F%2Fdev.aai.niif.hu%2Fshibboleth&lt;/code&gt;<br /> <br /> == Dinamikus metadata kiszolgálás a HREF-ben ==<br /> Az MDX kiszolgáló a '''http://mdx.eduid.hu''' alatt szolgáltat, és a ''href'' és az ''edugain'' metadata halmazokat tartalmazza.<br /> <br /> Mindkét kiszolgáló ugyanazzal a kulccsal írja alá a lekért metaadat-állományt. <br /> * A tanúsítvány letölthető innen: https://metadata.eduid.hu/certs/href-metadata-signer-2020.crt <br /> * SHA-1 lenyomata: &lt;code&gt;C3:72:DC:75:4C:FA:BA:65:63:52:D9:6B:47:5B:44:7E:AA:F6:45:61&lt;/code&gt; . <br /> <br /> === Fontos tudnivaló Discovery Service használattal kapcsolatban ===<br /> Lévén az MDX-et használó SP-knél nem áll rendelkezésre folyamatosan az összes potenciális IdP listája, így a beépített Discovery Service-ek nem működnek. Ha MDX-et használunk, akkor valamilyen külső Discvery Service-t kell használnunk. A HREF-ben a https://discovery.eduid.hu a központi Discovery Service. <br /> <br /> Emellett maga az MDX kiszolgáló is biztosít Discovery Service felületet, ehhez akár Shibboleth SP-nél, akár simpleSAMLphp SP-nél a konfigurációban az alábbi URL-t kell megadni, mint Discovery Service: https://mdx.eduid.hu/role/idp.ds . Ez a Discovery Service tartalmazza a hazai eduID-ben, valamint az eduGAIN-ben levő összes IdP-t. (És, ellentétben a hagyományos https://discovery.eduid.hu/edugain szolgáltatással, ez tartlamazza a magyar VHO-t is VHO IdP néven.)<br /> <br /> == MDX használata kliens oldalon ==<br /> === SimpleSAMLphp ===<br /> <br /> Az 1.14-es kiadástól kezdve a SimpleSAMLphp tartalmazza az dinamikus metadata lekérdezés funkciót, amely mind IdP, mind SP szerepben egységes módon használható. A config/config.php állományban metadata.sources szekcióban kell elhelyezni az alábbi blokkot:<br /> <br /> &lt;source lang=&quot;php&quot;&gt;<br /> 'metadata.sources' =&gt; array(<br /> array('type' =&gt; 'flatfile'), // ez a *-hosted metadata konfiguráció betöltése miatt szükséges<br /> array(<br /> 'type' =&gt; 'mdx',<br /> 'server' =&gt; 'http://mdx.eduid.hu',<br /> 'cachedir' =&gt; '/var/simplesamlphp/mdx-cache', //opcionális, de ajánlott<br /> 'cachelength' =&gt; 86400, //opcionális,<br /> 'validateFingerprint' =&gt; '91:81:AD:2B:F1:C1:4E:47:93:A2:9D:49:34:B7:77:62:4F:2F:98:43' //opcionális <br /> ),<br /> ),<br /> &lt;/source&gt;<br /> <br /> <br /> A dinamikus és a statikus metadataforrások egyidejű használatára egy példa: [[SimpleSAMLMixedMetadata]]<br /> <br /> === Shibboleth SP ===<br /> <br /> * Le kell tölteni a /etc/shibboleth alá az aláíró tanúsítványát innen: http://metadata.eduid.hu/current/mdx-test-signer-2015.crt<br /> * Az alábbi blokkot be kell szúrni a &lt;code&gt;/etc/shibboleth/shibboleth2.xml&lt;/code&gt; fájlba<br /> <br /> &lt;source lang=&quot;xml&quot;&gt;<br /> &lt;MetadataProvider type=&quot;Dynamic&quot; ignoreTransport=&quot;true&quot;&gt;<br /> &lt;Subst&gt;http://mdx.eduid.hu/entities/$entityID&lt;/Subst&gt;<br /> &lt;MetadataFilter type=&quot;Signature&quot; certificate=&quot;mdx-test-signer-2015.crt&quot;/&gt;<br /> &lt;/MetadataProvider&gt;<br /> &lt;/source&gt;<br /> <br /> === Shibboleth IdPv3 ===<br /> <br /> * Le kell tölteni a &lt;code&gt;${idp.home}/credentials/&lt;/code&gt; alá az aláíró tanúsítványát innen: http://metadata.eduid.hu/current/mdx-test-signer-2015.crt<br /> * A &lt;code&gt;conf/metadata-providers.xml&lt;/code&gt; fájlt kell szerkeszteni az alábbi módon:<br /> &lt;source lang=&quot;xml&quot;&gt;<br /> <br /> &lt;MetadataProvider<br /> xmlns=&quot;urn:mace:shibboleth:2.0:metadata&quot;<br /> xmlns:xsi=&quot;http://www.w3.org/2001/XMLSchema-instance&quot;<br /> xsi:schemaLocation=&quot;urn:mace:shibboleth:2.0:metadata http://shibboleth.net/schema/idp/shibboleth-metadata.xsd&quot;<br /> id=&quot;dynamicMDQ&quot; xsi:type=&quot;DynamicHTTPMetadataProvider&quot;&gt;<br /> <br /> <br /> &lt;!--<br /> Require a validUntil XML attribute on the EntityDescriptor element<br /> and make sure its value is no more than 14 days into the future<br /> --&gt;<br /> &lt;MetadataFilter xsi:type=&quot;RequiredValidUntil&quot; maxValidityInterval=&quot;P14D&quot; /&gt;<br /> <br /> <br /> &lt;!-- Verify the signature on the metadata file --&gt;<br /> &lt;MetadataFilter xsi:type=&quot;SignatureValidation&quot; requireSignedMetadata=&quot;true&quot;<br /> certificateFile=&quot;${idp.home}/credentials/mdx-signer.crt&quot; /&gt;<br /> <br /> &lt;!-- The MetadataQueryProtocol element specifies the base URL for the query protocol. --&gt;<br /> &lt;MetadataQueryProtocol&gt;http://mdx.eduid.hu/&lt;/MetadataQueryProtocol&gt;<br /> &lt;/MetadataProvider&gt;<br /> <br /> <br /> &lt;/source&gt;</div>

Dattila(AT)niif.hu https://wiki.niif.hu/index.php?title=AAI/AzureADasAuthsource&diff=4910 2022-02-09T13:24:53Z

<p>Dattila(AT)niif.hu: /* Teendők SimpleSAMLPHP (SSP) oldalon */</p> <hr /> <div>Amennyiben Azure AD-ban tároljuk a felhasználói adatokat, úgy lehetőség van azt azonosítási forrásként is használni. A [[SimpleSAMLphp]] oldalon leírt telepítés után az alábbiak elvégzésére van szükség:<br /> (ez csak egy példakonfiguráció, természetesen el lehet ettől térni)<br /> <br /> == Teendők SimpleSAMLPHP (SSP) oldalon ==<br /> <br /> Keressük ki az Azure AD-ból a Tenant ID-t. A beállítás során erre _TenantID_-val fogunk hivatkozni, oda minden esetben ezt az azonosítót kell behelyettesíteni. Az azonosítót jelenleg a <br /> https://portal.azure.com/#blade/Microsoft_AAD_IAM/ActiveDirectoryMenuBlade/Overview oldalon keresztül lehet beszerezni<br /> (Forrás: https://docs.microsoft.com/en-us/azure/active-directory/fundamentals/active-directory-how-to-find-tenant)<br /> <br /> A _DOMAIN_ helyére a használni kívánt scope-ot szükséges behelyettesíteni (pl intezmeny.hu)<br /> <br /> === config/authsources.php fájlba ===<br /> <br /> &lt;source lang=&quot;php&quot;&gt;<br /> 'default-sp' =&gt; [<br /> 'saml:SP',<br /> <br /> // The entity ID of this SP.<br /> // Can be NULL/unset, in which case an entity ID is generated based on the metadata URL.<br /> 'entityID' =&gt; null,<br /> <br /> // The entity ID of the IdP this SP should contact.<br /> // Can be NULL/unset, in which case the user will be shown a list of available IdPs.<br /> 'idp' =&gt; 'https://sts.windows.net/_TenantID_/',<br /> <br /> // The URL to the discovery service.<br /> // Can be NULL/unset, in which case a builtin discovery service will be used.<br /> 'discoURL' =&gt; null,<br /> 'NameIDFormat' =&gt; 'urn:oasis:names:tc:SAML:2.0:nameid-format:persistent',<br /> 'simplesaml.nameidattribute' =&gt; 'eduPersonTargetedID',<br /> <br /> /*<br /> * The attributes parameter must contain an array of desired attributes by the SP.<br /> * The attributes can be expressed as an array of names or as an associative array<br /> * in the form of 'friendlyName' =&gt; 'name'. This feature requires 'name' to be set.<br /> * The metadata will then be created as follows:<br /> * &lt;md:RequestedAttribute FriendlyName=&quot;friendlyName&quot; Name=&quot;name&quot; /&gt;<br /> */<br /> /*<br /> 'name' =&gt; [<br /> 'en' =&gt; 'A service',<br /> 'no' =&gt; 'En tjeneste',<br /> ],<br /> <br /> 'attributes' =&gt; [<br /> 'attrname' =&gt; 'urn:oid:x.x.x.x',<br /> ],<br /> 'attributes.required' =&gt; [<br /> 'urn:oid:x.x.x.x',<br /> ],<br /> */<br /> ],<br /> <br /> &lt;/source&gt;<br /> <br /> === config/config-metarefresh.php fájlba ===<br /> <br /> &lt;source lang=&quot;php&quot;&gt;<br /> $config = [<br /> <br /> 'sets' =&gt; [<br /> 'azure' =&gt; [<br /> 'cron' =&gt; ['hourly'],<br /> 'sources' =&gt; [<br /> [<br /> 'src' =&gt; 'https://login.microsoftonline.com/_TenantID_/federationmetadata/2007-06/federationmetadata.xml',<br /> ],<br /> ],<br /> 'expireAfter' =&gt; 34560060, // Maximum 4 days cache time (3600*24*4)<br /> 'outputDir' =&gt; 'metadata/metarefresh-azure',<br /> 'outputFormat' =&gt; 'flatfile',<br /> ],<br /> ],<br /> ];<br /> &lt;/source&gt;<br /> <br /> === metadata/saml20-idp-hosted.php ===<br /> <br /> A <br /> <br /> &lt;source lang=&quot;php&quot;&gt;<br /> <br /> 'authproc' =&gt; [<br /> <br /> 10 =&gt; [<br /> 'class' =&gt; 'core:AttributeMap',<br /> 'azure2name'<br /> ],<br /> <br /> 15 =&gt; [<br /> 'class' =&gt; 'core:AttributeCopy',<br /> 'eduPersonPrincipalName' =&gt; 'schacPersonalUniqueCode',<br /> ],<br /> <br /> 16 =&gt; [<br /> 'class' =&gt; 'core:PHP',<br /> 'code' =&gt; '<br /> $attributes[&quot;schacPersonalUniqueCode&quot;][0] = &quot;urn:schac:personalUniqueCode:int:esi:_DOMAIN_:&quot; . $attributes[&quot;schacPersonalUniqueCode&quot;][0];<br /> ',<br /> ],<br /> <br /> 18 =&gt; [<br /> 'class' =&gt; 'core:AttributeAlter',<br /> 'subject' =&gt; 'eduPersonPrincipalName',<br /> 'pattern' =&gt; '/^.*$/',<br /> 'replacement' =&gt; '${0}@_DOMAIN_',<br /> 'target' =&gt; 'eduPersonPrincipalName'<br /> ],<br /> <br /> 20 =&gt; [<br /> 'class' =&gt; 'core:AttributeAdd',<br /> 'eduPersonEntitlement' =&gt; array('urn:mace:dir:entitlement:common-lib-terms')<br /> ],<br /> <br /> 22 =&gt; [<br /> 'class' =&gt; 'core:AttributeAdd',<br /> 'schacHomeOrganization' =&gt; array('_DOMAIN_')<br /> ],<br /> <br /> 23 =&gt; [<br /> 'class' =&gt; 'core:AttributeAdd',<br /> 'schacHomeOrganizationType' =&gt; array('urn:schac:homeOrganizationType:eu:higherEducationalInstitution')<br /> ],<br /> <br /> // Azure AD-ban célszerű az affilation-t (intézményhez való viszonyt, pl hallgató, oktató, dolgozó) security group alapján meghatározni. Ezeknek az objektum azonosítóját át fogja adni az Azure AD, amit könnyen kicserélhetünk a kívánt affilation-re:<br /> <br /> 31 =&gt; [<br /> 'class' =&gt; 'core:AttributeAlter',<br /> 'subject' =&gt; 'eduPersonAffiliation',<br /> 'pattern' =&gt; '/^_eduID_Dolgozó_GroupID_$/', // _eduID_Dolgozó_GroupID_ értéket cseréljük a megfelelő Objektum ID-ra<br /> 'replacement' =&gt; 'faculty',<br /> ],<br /> <br /> 32 =&gt; [<br /> 'class' =&gt; 'core:AttributeAlter',<br /> 'subject' =&gt; 'eduPersonAffiliation',<br /> 'pattern' =&gt; '/^_eduID_Hallgató_GroupID_$/', // _eduID_Hallgató_GroupID_ értéket cseréljük a megfelelő Objektum ID-ra<br /> 'replacement' =&gt; 'student',<br /> ],<br /> <br /> 33 =&gt; [<br /> 'class' =&gt; 'core:AttributeAlter',<br /> 'subject' =&gt; 'eduPersonAffiliation',<br /> 'pattern' =&gt; '/^_eduID_Admin_GroupID_$/', // _eduID_Admin_GroupID_ értéket cseréljük a megfelelő Objektum ID-ra<br /> 'replacement' =&gt; 'staff',<br /> ],<br /> <br /> 34 =&gt; [<br /> 'class' =&gt; 'core:AttributeAdd',<br /> 'eduPersonAffiliation' =&gt; array('member'),<br /> ],<br /> <br /> 35 =&gt; [<br /> 'class' =&gt; 'core:AttributeCopy',<br /> 'eduPersonAffiliation' =&gt; 'eduPersonScopedAffiliation'<br /> ],<br /> <br /> 36 =&gt; [<br /> 'class' =&gt; 'core:AttributeAlter',<br /> 'subject' =&gt; 'eduPersonScopedAffiliation',<br /> 'pattern' =&gt; '/^.*$/',<br /> 'replacement' =&gt; '${0}@$_DOMAIN_',<br /> ],<br /> <br /> 50 =&gt; [<br /> 'class' =&gt; 'core:TargetedID',<br /> 'identifyingAttribute' =&gt; 'eduPersonPrincipalName',<br /> 'nameId' =&gt; TRUE,<br /> ],<br /> <br /> 60 =&gt; [<br /> 'class' =&gt; 'core:AttributeMap',<br /> 'name2oid'<br /> ],<br /> 75 =&gt; [<br /> 'class' =&gt; 'entitycategories:EntityCategory',<br /> 'default' =&gt; true,<br /> 'strict' =&gt; false,<br /> 'allowRequestedAttributes' =&gt; true,<br /> 'http://eduid.hu/category/registered-by-eduidhu' =&gt; [],<br /> 'http://www.geant.net/uri/dataprotection-code-of-conduct/v1' =&gt; [<br /> 'urn:oid:2.16.840.1.113730.3.1.241', # displayName<br /> 'urn:oid:2.5.4.4', # sn<br /> 'urn:oid:2.5.4.42', # givenName<br /> 'urn:oid:0.9.2342.19200300.100.1.3', # mail<br /> 'urn:oid:1.3.6.1.4.1.5923.1.1.1.6', # eduPersonPrincipalName<br /> 'urn:oid:1.3.6.1.4.1.5923.1.1.1.9', # eduPersonScopedAffiliation<br /> 'urn:oid:1.3.6.1.4.1.5923.1.1.1.1', # eduPersonAffiliation<br /> ],<br /> 'http://refeds.org/category/research-and-scholarship' =&gt; [<br /> 'urn:oid:2.16.840.1.113730.3.1.241', # displayName<br /> 'urn:oid:2.5.4.4', # sn<br /> 'urn:oid:2.5.4.42', # givenName<br /> 'urn:oid:0.9.2342.19200300.100.1.3', # mail<br /> 'urn:oid:1.3.6.1.4.1.5923.1.1.1.6', # eduPersonPrincipalName<br /> 'urn:oid:1.3.6.1.4.1.5923.1.1.1.9', # eduPersonScopedAffiliation<br /> 'urn:oid:1.3.6.1.4.1.5923.1.1.1.1', # eduPersonAffiliation<br /> ],<br /> ],<br /> <br /> 90 =&gt; 'core:AttributeLimit',<br /> ],<br /> <br /> 'simplesaml.nameidattribute' =&gt; 'urn:oid:1.3.6.1.4.1.5923.1.1.1.6',<br /> <br /> 'attributeencodings' =&gt; array(<br /> 'urn:oid:1.3.6.1.4.1.5923.1.1.1.10' =&gt; 'raw', /* eduPersonTargetedID with oid NameFormat. */<br /> ),<br /> <br /> 'sign.logout' =&gt; true<br /> <br /> ];<br /> <br /> &lt;/source&gt;<br /> <br /> === attributemap/azure2oid.php ===<br /> <br /> &lt;source&gt;<br /> &lt;?php<br /> $attributemap = [<br /> // displayName<br /> 'http://schemas.microsoft.com/identity/claims/displayname' =&gt; 'urn:oid:2.16.840.1.113730.3.1.241',<br /> // eppn<br /> 'http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name' =&gt; 'urn:oid:1.3.6.1.4.1.5923.1.1.1.6',<br /> // givenName<br /> 'http://schemas.xmlsoap.org/ws/2005/05/identity/claims/givenname' =&gt; 'urn:oid:2.5.4.42',<br /> // cn<br /> 'http://schemas.xmlsoap.org/ws/2005/05/identity/claims/surname' =&gt; 'urn:oid:2.5.4.3',<br /> // surname<br /> 'http://schemas.xmlsoap.org/ws/2005/05/identity/claims/surname' =&gt; 'urn:oid:2.5.4.4',<br /> // mail<br /> 'http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress' =&gt; 'urn:oid:0.9.2342.19200300.100.1.3',<br /> // o &amp; organisation<br /> 'http://schemas.microsoft.com/identity/claims/tenantid' =&gt; 'urn:oid:2.5.4.10',<br /> ];<br /> &lt;/source&gt;<br /> <br /> === attributemap/azure2name.php ===<br /> <br /> &lt;source&gt;<br /> &lt;?php<br /> $attributemap = [<br /> // eppn<br /> 'http://schemas.microsoft.com/identity/claims/objectidentifier' =&gt; 'eduPersonPrincipalName',<br /> // mail<br /> 'http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress' =&gt; 'mail',<br /> // displayName<br /> 'http://schemas.microsoft.com/identity/claims/displayname' =&gt; 'displayName',<br /> // givenName<br /> 'http://schemas.xmlsoap.org/ws/2005/05/identity/claims/givenname' =&gt; 'givenName',<br /> // cn<br /> 'http://schemas.xmlsoap.org/ws/2005/05/identity/claims/surname' =&gt; 'sn',<br /> // affiliation<br /> 'http://schemas.microsoft.com/ws/2008/06/identity/claims/groups' =&gt; 'eduPersonAffiliation',<br /> ];<br /> &lt;/source&gt;<br /> <br /> == Teendők Azure AD oldalon ==<br /> <br /> 1. A https://portal.azure.com/ oldalon jelentkezzünk be egy adminisztrátori fiókkal<br /> <br /> 2. Válasszuk az &quot;App registrations&quot;-t<br /> <br /> 3. &quot;New registration&quot;<br /> <br /> 4. &quot;Redirect URI (optional)&quot; -nál adjuk meg a telepített SSP default SP címét. Pl: https://idp._DOMAIN_/simplesaml/module.php/saml/sp/metadata.php/default-sp<br /> <br /> 5. &quot;Token configuration&quot; =&gt; &quot;Add optional claim&quot; =&gt; &quot;Token type&quot;-nál válasszuk a &quot;SAML&quot;-t és jelöljük ki az összes attribútumot, majd, &quot;Add&quot;<br /> <br /> 6 &quot;Add groups claim&quot;, majd mentsük el<br /> <br /> [[Fájl:Token configuration.png|none|bélyegkép]]<br /> <br /> 7. Állítsuk be az API persmissions-t az alábbi alapján:<br /> <br /> [[Fájl:API permissions.png|none|bélyegkép]]<br /> <br /> Teszt</div>

Dattila(AT)niif.hu https://wiki.niif.hu/index.php?title=AAI&diff=4901 2021-10-25T12:29:12Z

<p>Dattila(AT)niif.hu: AzureADasAuthsource hozzáadása</p> <hr /> <div>=== Meghatározások ===<br /> <br /> * [[Föderáció]]<br /> * [[Pont-pont bizalmi kapcsolati modell]]<br /> * [[Metadata]]<br /> * [[Föderációs modellek]]<br /> * [[WAYF | Home Location Service]]<br /> * [[Shibboleth]]<br /> * [[AAIGettingStarted | Hogy kezdjem?]]<br /> <br /> ===Föderációs alapinfrastruktúrák (IdP-k, SP-k)===<br /> Tapasztalatok alapján IdP esetén egyszerűsége miatt talán jobb választás a simpleSAMLphp, SP esetén Shibboleth ill. simpleSAMLphp egyaránt megfelelő választás mind beállítási, mind üzemeltetési szempontból.<br /> * Shibboleth IdP: [[Shib3IdpInstall|Telepítés, beállítás]], [[Shibboleth3 IdP|Egyéb leírások]], [[Shibboleth2 IdP|Shibboleth 2 IdP leírások]]<br /> * Shibboleth SP: [[ShibSP_QuickStart|Kezdőlépések]], [[Shibboleth2 SP|Egyéb leírások]]<br /> * simpleSAMLphp IdP és SP: [[SSP_QuickStart|Kezdőlépések]]<br /> * [[AAI/AzureADasAuthsource|Microsoft Azure AD hitelesítési forrás simpleSAMLphp-ben]]<br /> * [[IdP_whichone|Melyik IdP-t válasszam?]]<br /> <br /> ===HREF/eduID föderációhoz kapcsolódó tudnivalók===<br /> * [[HREF Key Rollover 2020]]: Új metaadat aláírókulcs a HREF föderációban<br /> * [[HREF Key Rollover 2020 English]]: New metadata signing certificate<br /> * [[HREFContract]]: A föderációhoz kapcsolódó dokumentációk gyűjtőlapja<br /> * [[HREFAttributeSpec]]: A föderációban használható attribútumok specifikációja<br /> * [[HREFMetadataSpec]]: A föderációban használt metadata specifikációja<br /> * [[Resource_Registry]]: A föderáció adminisztrációs felületének leírása<br /> * [[JoiningEduGAIN]]: Tudnivalók az eduGAIN csatlakozással kapcsolatban<br /> * [[MDX]]: Igény szerinti metaadat-kiszolgálás<br /> * [[Sirtfi]]: Föderációs és föderációközi együttműködéshez kapcsolódó incidenskezelés keretei<br /> * [[URN]]: Magyar NREN-nél használt speciális azonosítók tára<br /> * [[URN_SCHAC]]: eduID.hu föderációban használt speciális azonosítók tára<br /> <br /> ===További föderációs megoldások===<br /> * [[Shibboleth2 DiscoveryService]]: Shibboleth 2.0 SAML-kompatibilis Discovery Service<br /> * [[OpenSSO]]: Nehézsúlyú Java hozzáférés-szabályozást és federációt megvalósító rendszer<br /> * [[OpenID]]: Széles körben támogatott, de nem SAML-alapú federációt megvalósító rendszer<br /> * [[GoogleAuth]]: Google, mint [[OpenID]] szabványú IdP<br /> * [[mod_mellon]]: SP megoldás apache modulban. A SAML2 motort a [http://lasso.entrouvert.org Lasso] valósítja meg. [http://docs.feide.no/fs-0050]<br /> * [[oiosaml.java]]: Java SP megoldás, amit a Dán állam is használ. [http://www.softwareborsen.dk/projekter/softwarecenter/brugerstyring/oio-saml-java]<br /> * [[UApprove]]: Shibboleth 2.1.x IdP-hez illeszthető &quot;consent-modul&quot; beállításának leírása<br /> * [[Shibboleth troubleshooting]]: Shibboleth hibaelhárítás<br /> * [[Shibboleth Service Provider (SP) és Docker]]: Shibboleth és Docker összehangolása<br /> <br /> ===Kiegészítő tudnivalók===<br /> * [[AAI_szolgáltatási_IP | Szolgáltatási IP tartományok ]]<br /> * [[Alkalmazások illesztése]]: Néhány alkalmazás Shibboleth-illesztésének leírása<br /> * [[Interoperabilitás mátrix]]: Shibboleth, OpenSSO, simpleSAMLphp együttműködési mátrix<br /> * [[Eszközök]]: Hasznos eszközök föderációk üzemeltetéséhez, használatához<br /> * [[Intézmény átnevezés]]: megfontolandó szempontok<br /> * [[FedCerts | Tanúsítványok a föderációban]]<br /> * [[HEXAATest | Test HEXAA (or any SAML AA) from command line]] <br /> * [[EduIDTest | Hogyan teszteljünk eduID IdP-t vagy SP-t?]]<br /> * [[Erasmusplus_ESI | Erasmus+ és ESI információk]]<br /> * [[Publikációk]]<br /> * [[AAI/AzureADasAuthsource | Azure AD használata azonosítási forrásként ]]<br /> <br /> [[Kategória: Összefoglaló lapok]]</div>

Dattila(AT)niif.hu https://wiki.niif.hu/index.php?title=AAI/AzureADasAuthsource&diff=4898 2021-10-13T14:08:34Z

<p>Dattila(AT)niif.hu: Képek javítása</p> <hr /> <div>Amennyiben Azure AD-ban tároljuk a felhasználói adatokat, úgy lehetőség van azt azonosítási forrásként is használni. A [[SimpleSAMLphp]] oldalon leírt telepítés után az alábbiak elvégzésére van szükség:<br /> (ez csak egy példakonfiguráció, természetesen el lehet ettől térni)<br /> <br /> == Teendők SimpleSAMLPHP (SSP) oldalon ==<br /> <br /> Keressük ki az Azure AD-ból a Tenant ID-t. A beállítás során erre _TenantID_-val fogunk hivatkozni, oda minden esetben ezt az azonosítót kell behelyettesíteni. Az azonosítót jelenleg a <br /> https://portal.azure.com/#blade/Microsoft_AAD_IAM/ActiveDirectoryMenuBlade/Overview oldalon keresztül lehet beszerezni<br /> (Forrás: https://docs.microsoft.com/en-us/azure/active-directory/fundamentals/active-directory-how-to-find-tenant)<br /> <br /> A _DOMAIN_ helyére a használni kívánt scope-ot szükséges behelyettesíteni (pl intezmeny.hu)<br /> <br /> === config/authsources.php fájlba ===<br /> <br /> &lt;source lang=&quot;php&quot;&gt;<br /> 'default-sp' =&gt; [<br /> 'saml:SP',<br /> <br /> // The entity ID of this SP.<br /> // Can be NULL/unset, in which case an entity ID is generated based on the metadata URL.<br /> 'entityID' =&gt; null,<br /> <br /> // The entity ID of the IdP this SP should contact.<br /> // Can be NULL/unset, in which case the user will be shown a list of available IdPs.<br /> 'idp' =&gt; 'https://sts.windows.net/_TenantID_/',<br /> <br /> // The URL to the discovery service.<br /> // Can be NULL/unset, in which case a builtin discovery service will be used.<br /> 'discoURL' =&gt; null,<br /> 'NameIDFormat' =&gt; 'urn:oasis:names:tc:SAML:2.0:nameid-format:persistent',<br /> 'simplesaml.nameidattribute' =&gt; 'eduPersonTargetedID',<br /> <br /> /*<br /> * The attributes parameter must contain an array of desired attributes by the SP.<br /> * The attributes can be expressed as an array of names or as an associative array<br /> * in the form of 'friendlyName' =&gt; 'name'. This feature requires 'name' to be set.<br /> * The metadata will then be created as follows:<br /> * &lt;md:RequestedAttribute FriendlyName=&quot;friendlyName&quot; Name=&quot;name&quot; /&gt;<br /> */<br /> /*<br /> 'name' =&gt; [<br /> 'en' =&gt; 'A service',<br /> 'no' =&gt; 'En tjeneste',<br /> ],<br /> <br /> 'attributes' =&gt; [<br /> 'attrname' =&gt; 'urn:oid:x.x.x.x',<br /> ],<br /> 'attributes.required' =&gt; [<br /> 'urn:oid:x.x.x.x',<br /> ],<br /> */<br /> ],<br /> <br /> &lt;/source&gt;<br /> <br /> === config/config-metarefresh.php fájlba ===<br /> <br /> &lt;source lang=&quot;php&quot;&gt;<br /> $config = [<br /> <br /> 'sets' =&gt; [<br /> 'azure' =&gt; [<br /> 'cron' =&gt; ['hourly'],<br /> 'sources' =&gt; [<br /> [<br /> 'src' =&gt; 'https://login.microsoftonline.com/_TenantID_/federationmetadata/2007-06/federationmetadata.xml',<br /> ],<br /> ],<br /> 'expireAfter' =&gt; 34560060, // Maximum 4 days cache time (3600*24*4)<br /> 'outputDir' =&gt; 'metadata/metarefresh-azure',<br /> 'outputFormat' =&gt; 'flatfile',<br /> ],<br /> ],<br /> ];<br /> &lt;/source&gt;<br /> <br /> === metadata/saml20-idp-hosted.php ===<br /> <br /> A <br /> <br /> &lt;source lang=&quot;php&quot;&gt;<br /> <br /> 'authproc' =&gt; [<br /> <br /> 10 =&gt; [<br /> 'class' =&gt; 'core:AttributeMap',<br /> 'azure2name'<br /> ],<br /> <br /> 15 =&gt; [<br /> 'class' =&gt; 'core:AttributeCopy',<br /> 'eduPersonPrincipalName' =&gt; 'schacPersonalUniqueCode',<br /> ],<br /> <br /> 16 =&gt; [<br /> 'class' =&gt; 'core:PHP',<br /> 'code' =&gt; '<br /> $attributes[&quot;schacPersonalUniqueCode&quot;][0] = &quot;urn:schac:personalUniqueCode:int:esi:_DOMAIN_:&quot; . $attributes[&quot;schacPersonalUniqueCode&quot;][0];<br /> ',<br /> ],<br /> <br /> 18 =&gt; [<br /> 'class' =&gt; 'core:AttributeAlter',<br /> 'subject' =&gt; 'eduPersonPrincipalName',<br /> 'pattern' =&gt; '/^.*$/',<br /> 'replacement' =&gt; '${0}@_DOMAIN_',<br /> 'target' =&gt; 'eduPersonPrincipalName'<br /> ],<br /> <br /> 20 =&gt; [<br /> 'class' =&gt; 'core:AttributeAdd',<br /> 'eduPersonEntitlement' =&gt; array('urn:mace:dir:entitlement:common-lib-terms')<br /> ],<br /> <br /> 22 =&gt; [<br /> 'class' =&gt; 'core:AttributeAdd',<br /> 'schacHomeOrganization' =&gt; array('_DOMAIN_')<br /> ],<br /> <br /> 23 =&gt; [<br /> 'class' =&gt; 'core:AttributeAdd',<br /> 'schacHomeOrganizationType' =&gt; array('urn:schac:homeOrganizationType:eu:higherEducationalInstitution')<br /> ],<br /> <br /> // Azure AD-ban célszerű az affilation-t (intézményhez való viszonyt, pl hallgató, oktató, dolgozó) security group alapján meghatározni. Ezeknek az objektum azonosítóját át fogja adni az Azure AD, amit könnyen kicserélhetünk a kívánt affilation-re:<br /> <br /> 31 =&gt; [<br /> 'class' =&gt; 'core:AttributeAlter',<br /> 'subject' =&gt; 'eduPersonAffiliation',<br /> 'pattern' =&gt; '/^_eduID_Dolgozó_GroupID_$/', // _eduID_Dolgozó_GroupID_ értéket cseréljük a megfelelő Objektum ID-ra<br /> 'replacement' =&gt; 'faculty',<br /> ],<br /> <br /> 32 =&gt; [<br /> 'class' =&gt; 'core:AttributeAlter',<br /> 'subject' =&gt; 'eduPersonAffiliation',<br /> 'pattern' =&gt; '/^_eduID_Hallgató_GroupID_$/', // _eduID_Hallgató_GroupID_ értéket cseréljük a megfelelő Objektum ID-ra<br /> 'replacement' =&gt; 'student',<br /> ],<br /> <br /> 33 =&gt; [<br /> 'class' =&gt; 'core:AttributeAlter',<br /> 'subject' =&gt; 'eduPersonAffiliation',<br /> 'pattern' =&gt; '/^_eduID_Admin_GroupID_$/', // _eduID_Admin_GroupID_ értéket cseréljük a megfelelő Objektum ID-ra<br /> 'replacement' =&gt; 'staff',<br /> ],<br /> <br /> 34 =&gt; [<br /> 'class' =&gt; 'core:AttributeAdd',<br /> 'eduPersonAffiliation' =&gt; array('member'),<br /> ],<br /> <br /> 35 =&gt; [<br /> 'class' =&gt; 'core:AttributeCopy',<br /> 'eduPersonAffiliation' =&gt; 'eduPersonScopedAffiliation'<br /> ],<br /> <br /> 36 =&gt; [<br /> 'class' =&gt; 'core:AttributeAlter',<br /> 'subject' =&gt; 'eduPersonScopedAffiliation',<br /> 'pattern' =&gt; '/^.*$/',<br /> 'replacement' =&gt; '${0}@$_DOMAIN_',<br /> ],<br /> <br /> 50 =&gt; [<br /> 'class' =&gt; 'core:TargetedID',<br /> 'identifyingAttribute' =&gt; 'eduPersonPrincipalName',<br /> 'nameId' =&gt; TRUE,<br /> ],<br /> <br /> 60 =&gt; [<br /> 'class' =&gt; 'core:AttributeMap',<br /> 'name2oid'<br /> ],<br /> 75 =&gt; [<br /> 'class' =&gt; 'entitycategories:EntityCategory',<br /> 'default' =&gt; true,<br /> 'strict' =&gt; false,<br /> 'allowRequestedAttributes' =&gt; true,<br /> 'http://eduid.hu/category/registered-by-eduidhu' =&gt; [],<br /> 'http://www.geant.net/uri/dataprotection-code-of-conduct/v1' =&gt; [<br /> 'urn:oid:2.16.840.1.113730.3.1.241', # displayName<br /> 'urn:oid:2.5.4.4', # sn<br /> 'urn:oid:2.5.4.42', # givenName<br /> 'urn:oid:0.9.2342.19200300.100.1.3', # mail<br /> 'urn:oid:1.3.6.1.4.1.5923.1.1.1.6', # eduPersonPrincipalName<br /> 'urn:oid:1.3.6.1.4.1.5923.1.1.1.9', # eduPersonScopedAffiliation<br /> 'urn:oid:1.3.6.1.4.1.5923.1.1.1.1', # eduPersonAffiliation<br /> ],<br /> 'http://refeds.org/category/research-and-scholarship' =&gt; [<br /> 'urn:oid:2.16.840.1.113730.3.1.241', # displayName<br /> 'urn:oid:2.5.4.4', # sn<br /> 'urn:oid:2.5.4.42', # givenName<br /> 'urn:oid:0.9.2342.19200300.100.1.3', # mail<br /> 'urn:oid:1.3.6.1.4.1.5923.1.1.1.6', # eduPersonPrincipalName<br /> 'urn:oid:1.3.6.1.4.1.5923.1.1.1.9', # eduPersonScopedAffiliation<br /> 'urn:oid:1.3.6.1.4.1.5923.1.1.1.1', # eduPersonAffiliation<br /> ],<br /> ],<br /> <br /> 90 =&gt; 'core:AttributeLimit',<br /> ],<br /> <br /> 'simplesaml.nameidattribute' =&gt; 'urn:oid:1.3.6.1.4.1.5923.1.1.1.6',<br /> <br /> 'attributeencodings' =&gt; array(<br /> 'urn:oid:1.3.6.1.4.1.5923.1.1.1.10' =&gt; 'raw', /* eduPersonTargetedID with oid NameFormat. */<br /> ),<br /> <br /> 'sign.logout' =&gt; true<br /> <br /> ];<br /> <br /> &lt;/source&gt;<br /> <br /> == Teendők Azure AD oldalon ==<br /> <br /> 1. A https://portal.azure.com/ oldalon jelentkezzünk be egy adminisztrátori fiókkal<br /> <br /> 2. Válasszuk az &quot;App registrations&quot;-t<br /> <br /> 3. &quot;New registration&quot;<br /> <br /> 4. &quot;Redirect URI (optional)&quot; -nál adjuk meg a telepített SSP default SP címét. Pl: https://idp._DOMAIN_/simplesaml/module.php/saml/sp/metadata.php/default-sp<br /> <br /> 5. &quot;Token configuration&quot; =&gt; &quot;Add optional claim&quot; =&gt; &quot;Token type&quot;-nál válasszuk a &quot;SAML&quot;-t és jelöljük ki az összes attribútumot, majd, &quot;Add&quot;<br /> <br /> 6 &quot;Add groups claim&quot;, majd mentsük el<br /> <br /> [[Fájl:Token configuration.png|none|bélyegkép]]<br /> <br /> 7. Állítsuk be az API persmissions-t az alábbi alapján:<br /> <br /> [[Fájl:API permissions.png|none|bélyegkép]]</div>

Dattila(AT)niif.hu https://wiki.niif.hu/index.php?title=AAI/AzureADasAuthsource&diff=4897 2021-10-13T14:06:20Z

<p>Dattila(AT)niif.hu: sorszámozás javítása</p> <hr /> <div>Amennyiben Azure AD-ban tároljuk a felhasználói adatokat, úgy lehetőség van azt azonosítási forrásként is használni. A [[SimpleSAMLphp]] oldalon leírt telepítés után az alábbiak elvégzésére van szükség:<br /> (ez csak egy példakonfiguráció, természetesen el lehet ettől térni)<br /> <br /> == Teendők SimpleSAMLPHP (SSP) oldalon ==<br /> <br /> Keressük ki az Azure AD-ból a Tenant ID-t. A beállítás során erre _TenantID_-val fogunk hivatkozni, oda minden esetben ezt az azonosítót kell behelyettesíteni. Az azonosítót jelenleg a <br /> https://portal.azure.com/#blade/Microsoft_AAD_IAM/ActiveDirectoryMenuBlade/Overview oldalon keresztül lehet beszerezni<br /> (Forrás: https://docs.microsoft.com/en-us/azure/active-directory/fundamentals/active-directory-how-to-find-tenant)<br /> <br /> A _DOMAIN_ helyére a használni kívánt scope-ot szükséges behelyettesíteni (pl intezmeny.hu)<br /> <br /> === config/authsources.php fájlba ===<br /> <br /> &lt;source lang=&quot;php&quot;&gt;<br /> 'default-sp' =&gt; [<br /> 'saml:SP',<br /> <br /> // The entity ID of this SP.<br /> // Can be NULL/unset, in which case an entity ID is generated based on the metadata URL.<br /> 'entityID' =&gt; null,<br /> <br /> // The entity ID of the IdP this SP should contact.<br /> // Can be NULL/unset, in which case the user will be shown a list of available IdPs.<br /> 'idp' =&gt; 'https://sts.windows.net/_TenantID_/',<br /> <br /> // The URL to the discovery service.<br /> // Can be NULL/unset, in which case a builtin discovery service will be used.<br /> 'discoURL' =&gt; null,<br /> 'NameIDFormat' =&gt; 'urn:oasis:names:tc:SAML:2.0:nameid-format:persistent',<br /> 'simplesaml.nameidattribute' =&gt; 'eduPersonTargetedID',<br /> <br /> /*<br /> * The attributes parameter must contain an array of desired attributes by the SP.<br /> * The attributes can be expressed as an array of names or as an associative array<br /> * in the form of 'friendlyName' =&gt; 'name'. This feature requires 'name' to be set.<br /> * The metadata will then be created as follows:<br /> * &lt;md:RequestedAttribute FriendlyName=&quot;friendlyName&quot; Name=&quot;name&quot; /&gt;<br /> */<br /> /*<br /> 'name' =&gt; [<br /> 'en' =&gt; 'A service',<br /> 'no' =&gt; 'En tjeneste',<br /> ],<br /> <br /> 'attributes' =&gt; [<br /> 'attrname' =&gt; 'urn:oid:x.x.x.x',<br /> ],<br /> 'attributes.required' =&gt; [<br /> 'urn:oid:x.x.x.x',<br /> ],<br /> */<br /> ],<br /> <br /> &lt;/source&gt;<br /> <br /> === config/config-metarefresh.php fájlba ===<br /> <br /> &lt;source lang=&quot;php&quot;&gt;<br /> $config = [<br /> <br /> 'sets' =&gt; [<br /> 'azure' =&gt; [<br /> 'cron' =&gt; ['hourly'],<br /> 'sources' =&gt; [<br /> [<br /> 'src' =&gt; 'https://login.microsoftonline.com/_TenantID_/federationmetadata/2007-06/federationmetadata.xml',<br /> ],<br /> ],<br /> 'expireAfter' =&gt; 34560060, // Maximum 4 days cache time (3600*24*4)<br /> 'outputDir' =&gt; 'metadata/metarefresh-azure',<br /> 'outputFormat' =&gt; 'flatfile',<br /> ],<br /> ],<br /> ];<br /> &lt;/source&gt;<br /> <br /> === metadata/saml20-idp-hosted.php ===<br /> <br /> A <br /> <br /> &lt;source lang=&quot;php&quot;&gt;<br /> <br /> 'authproc' =&gt; [<br /> <br /> 10 =&gt; [<br /> 'class' =&gt; 'core:AttributeMap',<br /> 'azure2name'<br /> ],<br /> <br /> 15 =&gt; [<br /> 'class' =&gt; 'core:AttributeCopy',<br /> 'eduPersonPrincipalName' =&gt; 'schacPersonalUniqueCode',<br /> ],<br /> <br /> 16 =&gt; [<br /> 'class' =&gt; 'core:PHP',<br /> 'code' =&gt; '<br /> $attributes[&quot;schacPersonalUniqueCode&quot;][0] = &quot;urn:schac:personalUniqueCode:int:esi:_DOMAIN_:&quot; . $attributes[&quot;schacPersonalUniqueCode&quot;][0];<br /> ',<br /> ],<br /> <br /> 18 =&gt; [<br /> 'class' =&gt; 'core:AttributeAlter',<br /> 'subject' =&gt; 'eduPersonPrincipalName',<br /> 'pattern' =&gt; '/^.*$/',<br /> 'replacement' =&gt; '${0}@_DOMAIN_',<br /> 'target' =&gt; 'eduPersonPrincipalName'<br /> ],<br /> <br /> 20 =&gt; [<br /> 'class' =&gt; 'core:AttributeAdd',<br /> 'eduPersonEntitlement' =&gt; array('urn:mace:dir:entitlement:common-lib-terms')<br /> ],<br /> <br /> 22 =&gt; [<br /> 'class' =&gt; 'core:AttributeAdd',<br /> 'schacHomeOrganization' =&gt; array('_DOMAIN_')<br /> ],<br /> <br /> 23 =&gt; [<br /> 'class' =&gt; 'core:AttributeAdd',<br /> 'schacHomeOrganizationType' =&gt; array('urn:schac:homeOrganizationType:eu:higherEducationalInstitution')<br /> ],<br /> <br /> // Azure AD-ban célszerű az affilation-t (intézményhez való viszonyt, pl hallgató, oktató, dolgozó) security group alapján meghatározni. Ezeknek az objektum azonosítóját át fogja adni az Azure AD, amit könnyen kicserélhetünk a kívánt affilation-re:<br /> <br /> 31 =&gt; [<br /> 'class' =&gt; 'core:AttributeAlter',<br /> 'subject' =&gt; 'eduPersonAffiliation',<br /> 'pattern' =&gt; '/^_eduID_Dolgozó_GroupID_$/', // _eduID_Dolgozó_GroupID_ értéket cseréljük a megfelelő Objektum ID-ra<br /> 'replacement' =&gt; 'faculty',<br /> ],<br /> <br /> 32 =&gt; [<br /> 'class' =&gt; 'core:AttributeAlter',<br /> 'subject' =&gt; 'eduPersonAffiliation',<br /> 'pattern' =&gt; '/^_eduID_Hallgató_GroupID_$/', // _eduID_Hallgató_GroupID_ értéket cseréljük a megfelelő Objektum ID-ra<br /> 'replacement' =&gt; 'student',<br /> ],<br /> <br /> 33 =&gt; [<br /> 'class' =&gt; 'core:AttributeAlter',<br /> 'subject' =&gt; 'eduPersonAffiliation',<br /> 'pattern' =&gt; '/^_eduID_Admin_GroupID_$/', // _eduID_Admin_GroupID_ értéket cseréljük a megfelelő Objektum ID-ra<br /> 'replacement' =&gt; 'staff',<br /> ],<br /> <br /> 34 =&gt; [<br /> 'class' =&gt; 'core:AttributeAdd',<br /> 'eduPersonAffiliation' =&gt; array('member'),<br /> ],<br /> <br /> 35 =&gt; [<br /> 'class' =&gt; 'core:AttributeCopy',<br /> 'eduPersonAffiliation' =&gt; 'eduPersonScopedAffiliation'<br /> ],<br /> <br /> 36 =&gt; [<br /> 'class' =&gt; 'core:AttributeAlter',<br /> 'subject' =&gt; 'eduPersonScopedAffiliation',<br /> 'pattern' =&gt; '/^.*$/',<br /> 'replacement' =&gt; '${0}@$_DOMAIN_',<br /> ],<br /> <br /> 50 =&gt; [<br /> 'class' =&gt; 'core:TargetedID',<br /> 'identifyingAttribute' =&gt; 'eduPersonPrincipalName',<br /> 'nameId' =&gt; TRUE,<br /> ],<br /> <br /> 60 =&gt; [<br /> 'class' =&gt; 'core:AttributeMap',<br /> 'name2oid'<br /> ],<br /> 75 =&gt; [<br /> 'class' =&gt; 'entitycategories:EntityCategory',<br /> 'default' =&gt; true,<br /> 'strict' =&gt; false,<br /> 'allowRequestedAttributes' =&gt; true,<br /> 'http://eduid.hu/category/registered-by-eduidhu' =&gt; [],<br /> 'http://www.geant.net/uri/dataprotection-code-of-conduct/v1' =&gt; [<br /> 'urn:oid:2.16.840.1.113730.3.1.241', # displayName<br /> 'urn:oid:2.5.4.4', # sn<br /> 'urn:oid:2.5.4.42', # givenName<br /> 'urn:oid:0.9.2342.19200300.100.1.3', # mail<br /> 'urn:oid:1.3.6.1.4.1.5923.1.1.1.6', # eduPersonPrincipalName<br /> 'urn:oid:1.3.6.1.4.1.5923.1.1.1.9', # eduPersonScopedAffiliation<br /> 'urn:oid:1.3.6.1.4.1.5923.1.1.1.1', # eduPersonAffiliation<br /> ],<br /> 'http://refeds.org/category/research-and-scholarship' =&gt; [<br /> 'urn:oid:2.16.840.1.113730.3.1.241', # displayName<br /> 'urn:oid:2.5.4.4', # sn<br /> 'urn:oid:2.5.4.42', # givenName<br /> 'urn:oid:0.9.2342.19200300.100.1.3', # mail<br /> 'urn:oid:1.3.6.1.4.1.5923.1.1.1.6', # eduPersonPrincipalName<br /> 'urn:oid:1.3.6.1.4.1.5923.1.1.1.9', # eduPersonScopedAffiliation<br /> 'urn:oid:1.3.6.1.4.1.5923.1.1.1.1', # eduPersonAffiliation<br /> ],<br /> ],<br /> <br /> 90 =&gt; 'core:AttributeLimit',<br /> ],<br /> <br /> 'simplesaml.nameidattribute' =&gt; 'urn:oid:1.3.6.1.4.1.5923.1.1.1.6',<br /> <br /> 'attributeencodings' =&gt; array(<br /> 'urn:oid:1.3.6.1.4.1.5923.1.1.1.10' =&gt; 'raw', /* eduPersonTargetedID with oid NameFormat. */<br /> ),<br /> <br /> 'sign.logout' =&gt; true<br /> <br /> ];<br /> <br /> &lt;/source&gt;<br /> <br /> == Teendők Azure AD oldalon ==<br /> <br /> 1. A https://portal.azure.com/ oldalon jelentkezzünk be egy adminisztrátori fiókkal<br /> 2. Válasszuk az &quot;App registrations&quot;-t<br /> 3. &quot;New registration&quot;<br /> 4. &quot;Redirect URI (optional)&quot; -nál adjuk meg a telepített SSP default SP címét. Pl: https://idp._DOMAIN_/simplesaml/module.php/saml/sp/metadata.php/default-sp<br /> 5. &quot;Token configuration&quot; =&gt; &quot;Add optional claim&quot; =&gt; &quot;Token type&quot;-nál válasszuk a &quot;SAML&quot;-t és jelöljük ki az összes attribútumot, majd, &quot;Add&quot;<br /> 6 &quot;Add groups claim&quot;, majd mentsük el<br /> <br /> [[Fájl:Token configuration.png|bélyegkép]]<br /> <br /> 7. Állítsuk be az API persmissions-t az alábbi alapján:<br /> <br /> [[Fájl:API permissions.png|bélyegkép]]</div>

Dattila(AT)niif.hu https://wiki.niif.hu/index.php?title=AAI/AzureADasAuthsource&diff=4896 2021-10-13T14:05:30Z

<p>Dattila(AT)niif.hu: Új oldal, tartalma: „Amennyiben Azure AD-ban tároljuk a felhasználói adatokat, úgy lehetőség van azt azonosítási forrásként is használni. A SimpleSAMLphp oldalon leírt telep…”</p> <hr /> <div>Amennyiben Azure AD-ban tároljuk a felhasználói adatokat, úgy lehetőség van azt azonosítási forrásként is használni. A [[SimpleSAMLphp]] oldalon leírt telepítés után az alábbiak elvégzésére van szükség:<br /> (ez csak egy példakonfiguráció, természetesen el lehet ettől térni)<br /> <br /> == Teendők SimpleSAMLPHP (SSP) oldalon ==<br /> <br /> Keressük ki az Azure AD-ból a Tenant ID-t. A beállítás során erre _TenantID_-val fogunk hivatkozni, oda minden esetben ezt az azonosítót kell behelyettesíteni. Az azonosítót jelenleg a <br /> https://portal.azure.com/#blade/Microsoft_AAD_IAM/ActiveDirectoryMenuBlade/Overview oldalon keresztül lehet beszerezni<br /> (Forrás: https://docs.microsoft.com/en-us/azure/active-directory/fundamentals/active-directory-how-to-find-tenant)<br /> <br /> A _DOMAIN_ helyére a használni kívánt scope-ot szükséges behelyettesíteni (pl intezmeny.hu)<br /> <br /> === config/authsources.php fájlba ===<br /> <br /> &lt;source lang=&quot;php&quot;&gt;<br /> 'default-sp' =&gt; [<br /> 'saml:SP',<br /> <br /> // The entity ID of this SP.<br /> // Can be NULL/unset, in which case an entity ID is generated based on the metadata URL.<br /> 'entityID' =&gt; null,<br /> <br /> // The entity ID of the IdP this SP should contact.<br /> // Can be NULL/unset, in which case the user will be shown a list of available IdPs.<br /> 'idp' =&gt; 'https://sts.windows.net/_TenantID_/',<br /> <br /> // The URL to the discovery service.<br /> // Can be NULL/unset, in which case a builtin discovery service will be used.<br /> 'discoURL' =&gt; null,<br /> 'NameIDFormat' =&gt; 'urn:oasis:names:tc:SAML:2.0:nameid-format:persistent',<br /> 'simplesaml.nameidattribute' =&gt; 'eduPersonTargetedID',<br /> <br /> /*<br /> * The attributes parameter must contain an array of desired attributes by the SP.<br /> * The attributes can be expressed as an array of names or as an associative array<br /> * in the form of 'friendlyName' =&gt; 'name'. This feature requires 'name' to be set.<br /> * The metadata will then be created as follows:<br /> * &lt;md:RequestedAttribute FriendlyName=&quot;friendlyName&quot; Name=&quot;name&quot; /&gt;<br /> */<br /> /*<br /> 'name' =&gt; [<br /> 'en' =&gt; 'A service',<br /> 'no' =&gt; 'En tjeneste',<br /> ],<br /> <br /> 'attributes' =&gt; [<br /> 'attrname' =&gt; 'urn:oid:x.x.x.x',<br /> ],<br /> 'attributes.required' =&gt; [<br /> 'urn:oid:x.x.x.x',<br /> ],<br /> */<br /> ],<br /> <br /> &lt;/source&gt;<br /> <br /> === config/config-metarefresh.php fájlba ===<br /> <br /> &lt;source lang=&quot;php&quot;&gt;<br /> $config = [<br /> <br /> 'sets' =&gt; [<br /> 'azure' =&gt; [<br /> 'cron' =&gt; ['hourly'],<br /> 'sources' =&gt; [<br /> [<br /> 'src' =&gt; 'https://login.microsoftonline.com/_TenantID_/federationmetadata/2007-06/federationmetadata.xml',<br /> ],<br /> ],<br /> 'expireAfter' =&gt; 34560060, // Maximum 4 days cache time (3600*24*4)<br /> 'outputDir' =&gt; 'metadata/metarefresh-azure',<br /> 'outputFormat' =&gt; 'flatfile',<br /> ],<br /> ],<br /> ];<br /> &lt;/source&gt;<br /> <br /> === metadata/saml20-idp-hosted.php ===<br /> <br /> A <br /> <br /> &lt;source lang=&quot;php&quot;&gt;<br /> <br /> 'authproc' =&gt; [<br /> <br /> 10 =&gt; [<br /> 'class' =&gt; 'core:AttributeMap',<br /> 'azure2name'<br /> ],<br /> <br /> 15 =&gt; [<br /> 'class' =&gt; 'core:AttributeCopy',<br /> 'eduPersonPrincipalName' =&gt; 'schacPersonalUniqueCode',<br /> ],<br /> <br /> 16 =&gt; [<br /> 'class' =&gt; 'core:PHP',<br /> 'code' =&gt; '<br /> $attributes[&quot;schacPersonalUniqueCode&quot;][0] = &quot;urn:schac:personalUniqueCode:int:esi:_DOMAIN_:&quot; . $attributes[&quot;schacPersonalUniqueCode&quot;][0];<br /> ',<br /> ],<br /> <br /> 18 =&gt; [<br /> 'class' =&gt; 'core:AttributeAlter',<br /> 'subject' =&gt; 'eduPersonPrincipalName',<br /> 'pattern' =&gt; '/^.*$/',<br /> 'replacement' =&gt; '${0}@_DOMAIN_',<br /> 'target' =&gt; 'eduPersonPrincipalName'<br /> ],<br /> <br /> 20 =&gt; [<br /> 'class' =&gt; 'core:AttributeAdd',<br /> 'eduPersonEntitlement' =&gt; array('urn:mace:dir:entitlement:common-lib-terms')<br /> ],<br /> <br /> 22 =&gt; [<br /> 'class' =&gt; 'core:AttributeAdd',<br /> 'schacHomeOrganization' =&gt; array('_DOMAIN_')<br /> ],<br /> <br /> 23 =&gt; [<br /> 'class' =&gt; 'core:AttributeAdd',<br /> 'schacHomeOrganizationType' =&gt; array('urn:schac:homeOrganizationType:eu:higherEducationalInstitution')<br /> ],<br /> <br /> // Azure AD-ban célszerű az affilation-t (intézményhez való viszonyt, pl hallgató, oktató, dolgozó) security group alapján meghatározni. Ezeknek az objektum azonosítóját át fogja adni az Azure AD, amit könnyen kicserélhetünk a kívánt affilation-re:<br /> <br /> 31 =&gt; [<br /> 'class' =&gt; 'core:AttributeAlter',<br /> 'subject' =&gt; 'eduPersonAffiliation',<br /> 'pattern' =&gt; '/^_eduID_Dolgozó_GroupID_$/', // _eduID_Dolgozó_GroupID_ értéket cseréljük a megfelelő Objektum ID-ra<br /> 'replacement' =&gt; 'faculty',<br /> ],<br /> <br /> 32 =&gt; [<br /> 'class' =&gt; 'core:AttributeAlter',<br /> 'subject' =&gt; 'eduPersonAffiliation',<br /> 'pattern' =&gt; '/^_eduID_Hallgató_GroupID_$/', // _eduID_Hallgató_GroupID_ értéket cseréljük a megfelelő Objektum ID-ra<br /> 'replacement' =&gt; 'student',<br /> ],<br /> <br /> 33 =&gt; [<br /> 'class' =&gt; 'core:AttributeAlter',<br /> 'subject' =&gt; 'eduPersonAffiliation',<br /> 'pattern' =&gt; '/^_eduID_Admin_GroupID_$/', // _eduID_Admin_GroupID_ értéket cseréljük a megfelelő Objektum ID-ra<br /> 'replacement' =&gt; 'staff',<br /> ],<br /> <br /> 34 =&gt; [<br /> 'class' =&gt; 'core:AttributeAdd',<br /> 'eduPersonAffiliation' =&gt; array('member'),<br /> ],<br /> <br /> 35 =&gt; [<br /> 'class' =&gt; 'core:AttributeCopy',<br /> 'eduPersonAffiliation' =&gt; 'eduPersonScopedAffiliation'<br /> ],<br /> <br /> 36 =&gt; [<br /> 'class' =&gt; 'core:AttributeAlter',<br /> 'subject' =&gt; 'eduPersonScopedAffiliation',<br /> 'pattern' =&gt; '/^.*$/',<br /> 'replacement' =&gt; '${0}@$_DOMAIN_',<br /> ],<br /> <br /> 50 =&gt; [<br /> 'class' =&gt; 'core:TargetedID',<br /> 'identifyingAttribute' =&gt; 'eduPersonPrincipalName',<br /> 'nameId' =&gt; TRUE,<br /> ],<br /> <br /> 60 =&gt; [<br /> 'class' =&gt; 'core:AttributeMap',<br /> 'name2oid'<br /> ],<br /> 75 =&gt; [<br /> 'class' =&gt; 'entitycategories:EntityCategory',<br /> 'default' =&gt; true,<br /> 'strict' =&gt; false,<br /> 'allowRequestedAttributes' =&gt; true,<br /> 'http://eduid.hu/category/registered-by-eduidhu' =&gt; [],<br /> 'http://www.geant.net/uri/dataprotection-code-of-conduct/v1' =&gt; [<br /> 'urn:oid:2.16.840.1.113730.3.1.241', # displayName<br /> 'urn:oid:2.5.4.4', # sn<br /> 'urn:oid:2.5.4.42', # givenName<br /> 'urn:oid:0.9.2342.19200300.100.1.3', # mail<br /> 'urn:oid:1.3.6.1.4.1.5923.1.1.1.6', # eduPersonPrincipalName<br /> 'urn:oid:1.3.6.1.4.1.5923.1.1.1.9', # eduPersonScopedAffiliation<br /> 'urn:oid:1.3.6.1.4.1.5923.1.1.1.1', # eduPersonAffiliation<br /> ],<br /> 'http://refeds.org/category/research-and-scholarship' =&gt; [<br /> 'urn:oid:2.16.840.1.113730.3.1.241', # displayName<br /> 'urn:oid:2.5.4.4', # sn<br /> 'urn:oid:2.5.4.42', # givenName<br /> 'urn:oid:0.9.2342.19200300.100.1.3', # mail<br /> 'urn:oid:1.3.6.1.4.1.5923.1.1.1.6', # eduPersonPrincipalName<br /> 'urn:oid:1.3.6.1.4.1.5923.1.1.1.9', # eduPersonScopedAffiliation<br /> 'urn:oid:1.3.6.1.4.1.5923.1.1.1.1', # eduPersonAffiliation<br /> ],<br /> ],<br /> <br /> 90 =&gt; 'core:AttributeLimit',<br /> ],<br /> <br /> 'simplesaml.nameidattribute' =&gt; 'urn:oid:1.3.6.1.4.1.5923.1.1.1.6',<br /> <br /> 'attributeencodings' =&gt; array(<br /> 'urn:oid:1.3.6.1.4.1.5923.1.1.1.10' =&gt; 'raw', /* eduPersonTargetedID with oid NameFormat. */<br /> ),<br /> <br /> 'sign.logout' =&gt; true<br /> <br /> ];<br /> <br /> &lt;/source&gt;<br /> <br /> == Teendők Azure AD oldalon ==<br /> <br /> # A https://portal.azure.com/ oldalon jelentkezzünk be egy adminisztrátori fiókkal<br /> # Válasszuk az &quot;App registrations&quot;-t<br /> # &quot;New registration&quot;<br /> # &quot;Redirect URI (optional)&quot; -nál adjuk meg a telepített SSP default SP címét. Pl: https://idp._DOMAIN_/simplesaml/module.php/saml/sp/metadata.php/default-sp<br /> # &quot;Token configuration&quot; =&gt; &quot;Add optional claim&quot; =&gt; &quot;Token type&quot;-nál válasszuk a &quot;SAML&quot;-t és jelöljük ki az összes attribútumot, majd, &quot;Add&quot;<br /> # &quot;Add groups claim&quot;, majd mentsük el<br /> <br /> [[Fájl:Token configuration.png|bélyegkép]]<br /> <br /> # Állítsuk be az API persmissions-t az alábbi alapján:<br /> <br /> [[Fájl:API permissions.png|bélyegkép]]</div>

Dattila(AT)niif.hu https://wiki.niif.hu/index.php?title=F%C3%A1jl:API_permissions.png&diff=4895 2021-10-13T14:04:57Z

<p>Dattila(AT)niif.hu: </p> <hr /> <div>API permissions</div>

Dattila(AT)niif.hu https://wiki.niif.hu/index.php?title=F%C3%A1jl:Token_configuration.png&diff=4894 2021-10-13T14:02:31Z

<p>Dattila(AT)niif.hu: </p> <hr /> <div>Token configuration</div>

Dattila(AT)niif.hu https://wiki.niif.hu/index.php?title=Metadata_Specification&diff=4627 2020-06-04T06:18:42Z

<p>Dattila(AT)niif.hu: /* Verification of the metadata file */</p> <hr /> <div>Information about the entities of the Federation is maintained in a signed XML document, called the federation metadata.<br /> <br /> == Metadata publishing rules ==<br /> The metadata file is available both at http://metadata.eduid.hu/current/href.xml and https://metadata.eduid.hu/current/href.xml, however the unencrypted method is preferred. The file is stored on a highly available file server.<br /> <br /> The metadata file is re-published every ''4 hours'' or whenever the entity information changes (eg. entities are added or modified). Entities are expected to refresh metadata information regularly, although the &lt;code&gt;cacheDuration&lt;/code&gt; attribute is currently not in use (for interoperability reasons).<br /> <br /> == Trust in metadata ==<br /> The information inside the metadata file must not be trusted after the date specified in the &lt;code&gt;validUntil&lt;/code&gt; field of the topmost &lt;code&gt;EntitiesDescriptor&lt;/code&gt; is expired. The expiration time is is set to '''7 days''' after the instant of the signature.<br /> <br /> === Verification of the metadata file ===<br /> The contents of the metadata file must be trusted only if the signature of the Federation Operator can be validated.<br /> <br /> The Federation Operator uses a self-signed certificate for signing the metadata file, therefore the signing key must be explicitly trusted. Properties of the signing certificate:<br /> * DN: &lt;code&gt;C=HU, O=NIIF Institute, OU=eduID Federation Operator, CN=Metadata Signer/emailAddress=aai@niif.hu&lt;/code&gt;<br /> * MD5 fingerprint: &lt;code&gt;21:8C:BE:B4:D1:D6:12:C4:67:9F:16:FA:93:36:F6:A4&lt;/code&gt;<br /> * SHA1 fingerprint: &lt;code&gt;FE:AE:0B:E8:FB:59:ED:F7:CB:7F:69:DF:19:4F:8B:6D:C7:F6:96:66&lt;/code&gt;<br /> * Availability: from &lt;code&gt;Oct 5 08:18:46 2011 GMT&lt;/code&gt; until &lt;code&gt;Sep 30 08:18:46 2031 GMT&lt;/code&gt;<br /> <br /> The certificate used for signing can be downloaded from https://metadata.eduid.hu/2011/href-metadata-signer-2011.crt , which link should lead to a page without certificate warnings with most browsers. It is recommended to request the signing certificate from the Federation Operator by using some other verifiable transport as well (such as PGP-signed email).<br /> <br /> === Signing procedure ===<br /> Information about the entities is retrieved from the Resource Registry by using strong server authentication. If the contents of the metadata changes, it is saved to a version control system and the 'diff' is sent to a public mailing list ([https://listserv.niif.hu/mailman/listinfo/href-metadata-changes href-metadata-changes])<br /> <br /> The signing operation is done by a PIN-protected hardware token.<br /> <br /> === Signing key change or revocation ===<br /> Changes of the signing key/certificate is always negotiated with the technical contacts of all federation entities.<br /> == Authenticating peer entities ==<br /> It is recommended for all entities to use self-signed certificates, however, even if an entity uses a certificate signed by an external CA, it shall not be assumed that peers use any kind of PKI path validation or revocation checking.<br /> === Entity certificate change or revocation ===<br /> An entity should change its signing certificate by allowing a time frame, when both the old and the new certificate is available in the metadata. <br /> <br /> If an entity certificate is compromised, the Federation Operator must be notified immediately. The certificate is removed from the metadata and either replaced by a new one or the entity is removed from the metadata file. On such an incident, all technical contacts are notified to do an immediate metadata refresh to shorten the attack window.<br /> <br /> == Metadata extensions ==<br /> Extension elements must be either interpreted according to their specification or ignored completely (while they are valid XML).<br /> <br /> == Non-federation metadata sets ==<br /> The federation signing engine is able to produce files other than the federation metadata (called metadata sets). These files are available at https://metadata.eduid.hu/current/, all signed with the same credentials as the federation metadata, therefore it is easy to add them as an auxiliary metadata source.<br /> * &lt;code&gt;href-test.xml&lt;/code&gt;: staging federation metadata. Any federation member may register entities in this set.<br /> * &lt;code&gt;href-edugain.xml&lt;/code&gt;: entities that are '''exported''' to [http://edugain.org eduGAIN] confederation. This file is consumed by eduGAIN MDS only. As eduGAIN follows an opt-in policy, only those entities are present in this set, whose administrators explicitly requested to be published in eduGAIN.<br /> * &lt;code&gt;edugain.xml&lt;/code&gt;: entities that are '''imported''' from [http://edugain.org eduGAIN] confederation (minus Hungarian entities). If an entity wants to collaborate with eduGAIN entities from other federations, it needs to load this file.<br /> * &lt;code&gt;&lt;institution&gt;.xml&lt;/code&gt;: institution-specific metadata sets, which are maintained by the administrators of the institution. SPs inside this set are not required to be accepted by the federation, thus they are assumed to be used within the institution only.<br /> <br /> Although an entity might appear in multiple sets, the entity information (including the entityID) must be the same across all sets. It is not allowed to register the same entity into multiple institution sets; the federation set must be used instead.<br /> <br /> == Metadata registration ==<br /> Entity metadata management is performed by using Resource Registry, no direct editing is supported.<br /> <br /> Depending on the access level, the following administrative tasks may be performed:<br /> * ''Federation administrators'' are entitled to:<br /> ** register new institutions<br /> ** manage ''Institutional Administrators''<br /> ** manage Partner SPs<br /> ** add or remove IdPs<br /> ** manage production federation set and eduGAIN export set (see the section about metadata sets above)<br /> * ''Institutional Administrators'' are entitled to:<br /> ** register new SPs and place them to the institutional metadata and/or staging federation metadata sets<br /> ** manage the SPs of the institution<br /> ** request the inclusion of an SP to the federation metadata or the eduGAIN export from the Federation Operator<br /> ** add or remove SP administrators<br /> ** add or remove Privacy Administrators<br /> ** manage the IdP(s) of the institution <br /> * ''SP administrators'' are entitled to:<br /> ** manage the SPs, which are assigned to them<br /> * ''Privacy Administrators'' are entitled to:<br /> ** manage attribute release rules of the IdP of the institution<br /> <br /> Accordingly, all partner SP metadata management is performed by the Federation Operator, by the request of the Techical/Administrative Contact of the Partner.</div>

Dattila(AT)niif.hu https://wiki.niif.hu/index.php?title=HPC&diff=4193 2017-09-02T15:35:53Z

<p>Dattila(AT)niif.hu: Hibás link a HPC vizualizációnál</p> <hr /> <div><br /> [[HPC_en|NIIF HPC in ENGLISH]]<br /> <br /> == A szuperszámítógépekről ==<br /> A Kormányzati Informatikai Fejlesztési Ügynökség (KIFÜ) szuperszámítógép szolgáltatása tudományos számítási feladatok futtatására, valamint tudományos célú adattárolásra szolgál. A jelenleg integrált szuperszámítógép-rendszer komponensei négy helyszínen találhatók:<br /> <br /> * Debreceni Egyetem<br /> * NIIFI központ<br /> * Pécsi Tudományegyetem<br /> * Szegedi Tudományegyetem<br /> * Miskolci Egyetem<br /> <br /> <br /> [[Fájl:Orszagos-attekinto_hpc.png|center|700px|alt=Az NIIF szuperszámítógépei térképen]]<br /> <br /> <br /> A tudományos számítási feladatok különböző típusainak minél szélesebb körű lefedettsége érdekében az egyes helyszíneken különböző felépítésű gépek találhatók: két helyszínen ccNUMA, három helyszínen pedig &quot;fat-node&quot; fürtözött megoldás. Az alrendszereket a KIFÜ nagy sávszélességű, alacsony késleltetésű HBONE+ adathálózatán keresztül, ARC grid köztesréteg, valamint harmonizált felhasználói azonosítás segítségével integráljuk egységes elvek mentén elérhető számítási egységgé. Az erőforrás jelenleg Magyarország legnagyobb tudományos számítás céljára felhasználható erőforrása, amely összesen 50 billió lebegőpontos művelet elvégzését teszi lehetővé másodpercenként.<br /> A szuperszámítógép-rendszert a KIFÜ üzemelteti és fejleszti. A rendszerhez regisztrációt követően, minden olyan személy vagy kutatócsoport hozzáférhet, amely tagintézményi szerződéses kapcsolatban áll a KIFÜ-vel.<br /> A gépen megtalálhatók és futtathatók a legkorszerűbb fejlesztőeszközök és tudományos számításra szolgáló alkalmazások, valamint, az NIIF Program adatközpontban elhelyezett alrendszer kivételével, valamennyi alrendszer kiegészül a számítási feladatok eredményeit megjelenítő vizualizációs eszközökkel.<br /> <br /> ==== Szuperszámítógépeink összehasonlítása ====<br /> <br /> {| class=&quot;wikitable&quot; border=&quot;1&quot; <br /> |- <br /> | Helyszín<br /> | Budapest<br /> | [[Budapest2_klaszter|Budapest2]]<br /> | Szeged<br /> | Debrecen<br /> | [[Debrecen2_GPU_klaszter|Debrecen2-GPU (Leo)]] <br /> | [[Debrecen2_Phi_klaszter|Debrecen3-Phi (Apollo) (tesztüzem)]] <br /> | Pécs<br /> <br /> | [[Miskolc_UV_2000|Miskolc]] (tesztüzem)<br /> |- <br /> | Típus<br /> | HP CP4000SL<br /> | HP SL250s <br /> | HP CP4000BL<br /> | SGI ICE8400EX<br /> | HP SL250s<br /> <br /> | HP Apollo 8000<br /> | SGI UV 1000<br /> <br /> | SGI UV 2000<br /> |- <br /> | CPU-k / node <br /> | 2<br /> | 2 <br /> | 4 <br /> | 2<br /> | 2<br /> <br /> | 2 <br /> | 192<br /> <br /> | 44 <br /> |- <br /> | Core-ok / CPU <br /> | 12<br /> | 10<br /> | 12<br /> | 6<br /> | 8<br /> | 12<br /> | 6<br /> | 8<br /> |- <br /> | Memória / node <br /> | 66 GB<br /> | 63 GB <br /> | 132 GB<br /> | 47 GB<br /> | 125 GB<br /> | 125 GB<br /> | 6 TB<br /> | 1.4 TB<br /> |- <br /> | Memória / core <br /> | 2.6 GB<br /> | 3 GB <br /> | 2.6 GB<br /> | 2.6 GB<br /> | 7.5 GB<br /> | 5,2 GB<br /> | 5 GB<br /> | 4 GB<br /> |- <br /> | CPU <br /> | AMD Opteron 6174 @ 2.2GHz<br /> | Intel Xeon E5-2680 v2 @ 2.80GHz <br /> | AMD Opteron 6174 @ 2.2GHz <br /> | Intel Xeon X5680 @ 3.33 GHz<br /> | Intel Xeon E5-2650 v2 @ 2.60GHz <br /> | Intel Xeon E5-2670 v3 @ 2.30GHz<br /> | Intel Xeon X7542 @ 2.66 GHz<br /> | Intel Xeon E5-4627 v2 @ 3.33 GHz<br /> |- <br /> | GPU <br /> | -<br /> | - <br /> | 2 * 6 Nvidia M2070<br /> | -<br /> | 68 * 3 Nvidia K20x + 16 * 3 Nvidia K40x <br /> | -<br /> | -<br /> | -<br /> |-<br /> | Intel Xeon Phi (KNC)<br /> | -<br /> | [[Intel_Xeon_Phi |14 * 2 * Intel(R) Xeon Phi(TM) MIC SE10/7120]]<br /> | -<br /> | - <br /> | -<br /> | [[Intel_Xeon_Phi |45 * 2 * Intel(R) Xeon Phi(TM) MIC SE10/7120]]<br /> | -<br /> | -<br /> |- <br /> | Linpack teljesítmény (Rmax)<br /> | 5 Tflops<br /> | 27 Tflops<br /> | 20 Tflops<br /> | 18 Tlops<br /> | 254 Tflops<br /> | ~106 Tflops<br /> | 10 Tflops<br /> | 8 Tflops<br /> |- <br /> | Compute node-ok száma <br /> | 32<br /> | 14<br /> | 50<br /> | 128<br /> | 84<br /> | 45<br /> | 1<br /> | 1<br /> |- <br /> | Dedikált storage <br /> | 50 TB<br /> | 500 TB<br /> | 250 TB<br /> | 500 TB<br /> | 585 TB (Phi-vel közös)<br /> | 585 TB (GPU-val közös)<br /> | 500 TB<br /> | 240 TB<br /> |- <br /> | Interconnect <br /> | IB QDR<br /> | IB NB FDR<br /> | IB QDR<br /> | IB QDR<br /> | IB NB FDR<br /> | IB NB FDR<br /> | Numalink 5<br /> | Numalink 6<br /> |- <br /> | Scheduler <br /> | [http://slurm.schedmd.com/ SLURM]<br /> | [http://slurm.schedmd.com/ SLURM] <br /> | [http://slurm.schedmd.com/ SLURM]<br /> | [http://slurm.schedmd.com/ SLURM]<br /> | [http://slurm.schedmd.com/ SLURM] <br /> | [http://slurm.schedmd.com/ SLURM]<br /> | [http://slurm.schedmd.com/ SLURM] <br /> | [http://slurm.schedmd.com/ SLURM] <br /> |- <br /> | MPI <br /> | OpenMPI (ompi)<br /> | IntelMPI (impi) <br /> | OpenMPI (ompi) <br /> | SGI MPT (mpt)<br /> | OpenMPI (ompi)<br /> <br /> | OpenMPI (ompi)<br /> | SGI MPT (mpt)<br /> <br /> | SGI MPT (mpt)<br /> |}<br /> <br /> == További információ ==<br /> === Az új HPC-k dokumentációja ===<br /> * [[Budapest2_klaszter|Budapest2]]<br /> * [[Miskolc_UV_2000|Miskolc]]<br /> * [[Debrecen2_GPU_klaszter|Debrecen2 GPU klaszter (LEO)]]<br /> * [[Debrecen2_Phi_klaszter|Debrecen3 Phi klaszter (Apollo)]]<br /> <br /> === Kapcsolódó oldalak===<br /> * [[HPC-Portal|HPC portál: projekt és témaszámok kezelése, leállások, statisztikák]]<br /> * [[NIIF_szuperszámítógépek_használata|A szuperszámítógépek használata]]<br /> * [[HPC-GYIK|GY.I.K]]<br /> * [http://www.niif.hu/hu/niif_intezet/az_niifi_szuperszamitogepek_hasznalata NIIF.HU HPC oldal]<br /> * [[HPC_software|Telepített HPC Szoftverek ]]<br /> * [https://wiki.niif.hu/index.php?title=HPC_felhasznaloi_alapelvek#Az_NIIF_Szupersz.C3.A1m.C3.ADt.C3.B3g.C3.A9p_Felhaszn.C3.A1l.C3.B3i_Szab.C3.A1lyzata Az NIIF Szuperszámítógép Felhasználói Szabályzata]<br /> * [https://wiki.niif.hu/index.php?title=HPC_konyvtarak#El.C3.A9rhet.C5.91_f.C3.A1jlrendszerek_a_HPC_k.C3.B6zpontokban Elérhető fájlrendszerek a HPC központokban]<br /> * [https://wiki.niif.hu/index.php?title=HPC_vizualizacio HPC vizualizációs infrastruktúra elérése]<br /> <br /> === Saját HPC oktató tartalmaink ===<br /> <br /> * [http://videotorium.hu/hu/channels/details/1895 HPC oktató videók]<br /> * [http://conference.niif.hu/event/3/session/23/contribution/25 HPC tutorial (NWS 2015) anyagai ]<br /> * [http://videotorium.hu/hu/events/details/1864,GPU_programozas_workshop GPU programozás workshop (videotorium)]<br /> * [[Intel_Xeon_Phi |Xeon Phi kártyák használata és alkamazások optimalizációja]]<br /> <br /> === Angol nyelvű tréningek, videók, anyagok ===<br /> * [http://www.training.prace-ri.eu PRACE training portal]<br /> * [[PRACE_User_Support|PRACE User Support]]<br /> * [http://colfaxresearch.com/how-16-04/ Xeon Phi Training]<br /> [[Kategória: HPC]]<br /> [[Kategória: Összefoglaló lapok]]</div>

Dattila(AT)niif.hu