Pro-M - Oktatási Üzletág - Wiki - Szerkesztő közreműködései [hu]

EntraID in eduID.hu

2026-02-12T21:10:04Z

Mohacsi(AT)niif.hu:

== Overview ==

This document explains how to configure SimpleSAMLphp so that it uses Microsoft Entra ID as the authentication authority (Identity Provider) and then acts as a SAML Identity Provider (IdP) to external federated Service Providers (SPs). This pattern is commonly known as an **authentication proxy** or **IdP proxy**.

In plain terms:

* End users authenticate against **Entra ID**.
* SimpleSAMLphp receives this authentication and optionally enriches or transforms attributes.
* SimpleSAMLphp then issues SAML assertions to federation partners or internal applications.

The proxy setup looks like this:

```
┌────────────────────────────────┐
│ SimpleSAMLphp Proxy │
│ ┌────────┐ ┌────────┐ │
│ │ SP │ <--> │ IDP │ │
│ └───┬────┘ └────┬───┘ │
└──────┼──────────────────┼──────┘
│ │
┌──────▼───────┐ ┌───────▼───────┐
│ Entra ID IdP │ │ Federation SP │
└──────────────┘ └───────────────┘
```

== Configure a SimpleSAMLphp SAML 2.0 Service Provider ==

To configure SimpleSAMLphp as a SAML 2.0 Service Provider, a new authentication source must be defined in the file _config/authsources.php_. This authentication source represents SimpleSAMLphp in its SP role towards Entra ID and is used to publish SP metadata.

The following example shows a minimal configuration suitable for use with Microsoft Entra ID:

```php
$config = [
/* ... */
/* An authentication source that can authenticate against SAML 2.0 IdPs. */
'entraid-sp' => [
'saml:SP',
// The entity ID of this SP.
'entityID' => 'https://proxy.example.org/simplesaml',
// The entity ID of the IdP this SP should contact.
'idp' => 'https://sts.windows.net/<your-entra-tenant-id>/'
'name' => ['en' => 'Microsoft Entra ID'],
// certificates
'certificate' => 'server.crt',
'privatekey' => 'server.key',
'privatekey_pass' => 'YourPrivateKeyPassphrase', /* you encrypt your private key, right? */
'authproc' => [
/* authproc rules*/
],
// fine tuning the auth source for Entra ID
'sign.authnrequest' => true,
'sign.logout' => true,
'proxymode.passAuthnContextClassRef' => true,
'disable_scoping' => true,
'signature.algorithm' => 'http://www.w3.org/2001/04/xmldsig-more#rsa-sha256',
],
],
```

== Configure SimpleSAMLphp SAML 2.0 Identity Provider ==

In order for SimpleSAMLphp to issue SAML assertions to downstream Service Providers, it must be configured as a SAML 2.0 Identity Provider. This configuration is defined in the file _metadata/saml20-idp-hosted.php_.

The IdP configuration references the previously defined authentication source, effectively chaining authentication to Entra ID.

```php
$metadata['http://proxy.example.org/idp'] = [
/*
* The hostname of the server (VHOST) that will use this SAML entity.
*
* Can be '__DEFAULT__', to use this entry by default.
*/
'host' => '__DEFAULT__',
// X.509 key and certificate. Relative to the cert directory.
'privatekey' => 'server.pem',
'privatekey_pass' => 'YourPrivateKeyPassphrase',
'certificate' => 'server.crt',
/*
* Authentication source to use. Must be one that is configured in
* 'config/authsources.php'.
*/
'auth' => 'entraid-sp', // proxy to Microsoft Entra ID
'attributes.NameFormat' => 'urn:oasis:names:tc:SAML:2.0:attrname-format:uri',
'authproc' => [
],
];
```

== Create a new Enterprise Application in Entra ID ==

=== 1. Create a new Enterprise Application ===

A new **Enterprise Application** must be created in the Entra ID portal to represent SimpleSAMLphp in its role as a SAML Service Provider. This can be done by navigating to the **Enterprise applications** section of the Entra ID portal and creating a new application. During creation, the option to create a custom application that is not found in the gallery should be selected. A descriptive name and also select *Integrate any other application you don't find in the gallery*.

=== 2. Configure SAML-based Single Sign-On ===

After the application has been created, SAML-based single sign-on must be enabled. This is done by opening the application, navigating to the **Single sign-on** section, and selecting **SAML** as the sign-on method. The trust relationship between Entra ID and SimpleSAMLphp is established by uploading the SAML 2.0 SP metadata generated by SimpleSAMLphp. The metadata upload automatically populates the basic SAML configuration, including the entity ID and assertion consumer service URL.

=== 3. Download Entra ID Federation Metadata ===

To finalise the SimpleSAMLphp side of the bilateral trust relationship between your Entra ID tenant and SimpleSAMLphp, copy your Enterprise Application’s _App Federation Metadata_. Using SimpleSAMLphp’s Metadata Converter (found on the _Federation_ tab of SimpleSAMLphp’s admin portal), convert your App Federation Metadata to SimpleSAMLphp’s native PHP format. Once you have the converted metadata, paste it into the _metadata/saml20-idp-remote.php_ file.

=== 4. Configure Attribute Claims Rules ===

Attribute and claim mappings can be adjusted in the Entra ID application to ensure that the required user attributes are released to SimpleSAMLphp. These attributes will later be available for transformation, filtering, or enrichment before being sent to downstream Service Providers.

== Attribute Mapping and Transformation ==

When authenticating against Microsoft Entra ID, user attributes are returned as SAML claims using Microsoft-specific or WS-Federation-style claim URIs. In most federation environments, these claims must be mapped to standard SAML or eduPerson attribute names before they are released to downstream Service Providers.

SimpleSAMLphp performs attribute mapping through authentication processing filters. Mapping rules are applied in the `authproc` section of the authentication source that represents Entra ID, ensuring that attributes are normalized as soon as they enter SimpleSAMLphp. These mappings can either reuse [built-in attribute maps provided](https://github.com/simplesamlphp/simplesamlphp/blob/master/attributemap/entra2name.php) by SimpleSAMLphp or be defined explicitly using custom rules.

Here is an example of using `core:AttributeMap` processing filter:
```php
'authproc' => [
/* ... */
60 => [
'class' => 'core:AttributeMap',
/* there are several versions of the userprincipalname claim, you only need the one you use */
'http://schemas.xmlsoap.org/claims/UPN' => 'eduPersonPrincipalName',
'http://schemas.xmlsoap.org/ws/2005/05/identity/claims/upn' => 'eduPersonPrincipalName',
'http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name' => 'eduPersonPrincipalName',
/* other possible attributes */
'http://schemas.xmlsoap.org/claims/CommonName' => 'displayName',
'http://schemas.xmlsoap.org/ws/2005/05/identity/claims/givenname' => 'givenName',
'http://schemas.xmlsoap.org/ws/2005/05/identity/claims/surname' => 'sn',
'http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress' => 'mail',
'http://schemas.microsoft.com/ws/2008/06/identity/claims/groups' => 'memberOf',
],
/* ... */
],
```

or
```php
'authproc' => [
60 => [
'class' => 'core:AttributeMap',
'attributemap' => 'entra2name',
],
],
```

Once mapped, attributes can be further filtered, enriched, or selectively released by additional authentication processing filters before being issued by the proxy IdP.

== Configure SimpleSAMLphp to Use Entra ID as an Authentication Source ==

With the Enterprise Application configured, SimpleSAMLphp must be instructed to use Entra ID as its authentication source. This is done by setting the IdP entity ID in the entraid-sp authentication source to the Entra ID tenant identifier.

```php
'idp' => 'https://sts.windows.net/<your-entra-tenant-id>/',
```

This configuration causes SimpleSAMLphp, acting as a Service Provider, to redirect authentication requests to Entra ID. After importing the Entra ID metadata, the corresponding entity ID should be visible under SAML 2.0 IdP metadata on the Federation tab of the SimpleSAMLphp admin interface.

== Testing ==

You should now be able to go to the _Test_ tab in the admin portal, log in to your _entraid-sp_ authentication source, and be redirected to your Entra ID application’s login page.
Once logged in, it is worth verifying that SimpleSAMLphp is correctly receiving the attributes from Entra ID.

== Sources ==

* <https://nathansenblog.wordpress.com/2021/02/23/azure-ad-single-sign-on-with-simplesamlphp/>
* <https://safire.ac.za/technical/resources/configuring-simplesamlphp-to-use-entra-id/>

EntraID in eduID.hu

2026-02-12T12:47:52Z

Mohacsi(AT)niif.hu: Új oldal, tartalma: „## Overview This document explains how to configure SimpleSAMLphp so that it uses Microsoft Entra ID as the authentication authority (Identity Provider) and then acts…”

## Overview

This document explains how to configure SimpleSAMLphp so that it uses Microsoft Entra ID as the authentication authority (Identity Provider) and then acts as a SAML Identity Provider (IdP) to external federated Service Providers (SPs). This pattern is commonly known as an **authentication proxy** or **IdP proxy**.

In plain terms:

- End users authenticate against **Entra ID**.
- SimpleSAMLphp receives this authentication and optionally enriches or transforms attributes.
- SimpleSAMLphp then issues SAML assertions to federation partners or internal applications.

The proxy setup looks like this:

```
┌────────────────────────────────┐
│ SimpleSAMLphp Proxy │
│ ┌────────┐ ┌────────┐ │
│ │ SP │ <--> │ IDP │ │
│ └───┬────┘ └────┬───┘ │
└──────┼──────────────────┼──────┘
│ │
┌──────▼───────┐ ┌───────▼───────┐
│ Entra ID IdP │ │ Federation SP │
└──────────────┘ └───────────────┘
```

## Configure a SimpleSAMLphp SAML 2.0 Service Provider

To configure SimpleSAMLphp as a SAML 2.0 Service Provider, a new authentication source must be defined in the file _config/authsources.php_. This authentication source represents SimpleSAMLphp in its SP role towards Entra ID and is used to publish SP metadata.

The following example shows a minimal configuration suitable for use with Microsoft Entra ID:

```php
$config = [
/* ... */

/* An authentication source that can authenticate against SAML 2.0 IdPs. */
'entraid-sp' => [
'saml:SP',

// The entity ID of this SP.
'entityID' => 'https://proxy.example.org/simplesaml',

// The entity ID of the IdP this SP should contact.
'idp' => 'https://sts.windows.net/<your-entra-tenant-id>/'
'name' => ['en' => 'Microsoft Entra ID'],

// certificates
'certificate' => 'server.crt',
'privatekey' => 'server.key',
'privatekey_pass' => 'YourPrivateKeyPassphrase', /* you encrypt your private key, right? */

'authproc' => [
/* authproc rules*/
],

// fine tuning the auth source for Entra ID
'sign.authnrequest' => true,
'sign.logout' => true,
'proxymode.passAuthnContextClassRef' => true,
'disable_scoping' => true,
'signature.algorithm' => 'http://www.w3.org/2001/04/xmldsig-more#rsa-sha256',
],
],
```

## Configure SimpleSAMLphp SAML 2.0 Identity Provider

In order for SimpleSAMLphp to issue SAML assertions to downstream Service Providers, it must be configured as a SAML 2.0 Identity Provider. This configuration is defined in the file _metadata/saml20-idp-hosted.php_.

The IdP configuration references the previously defined authentication source, effectively chaining authentication to Entra ID.

```php
$metadata['http://proxy.example.org/idp'] = [
/*
* The hostname of the server (VHOST) that will use this SAML entity.
*
* Can be '__DEFAULT__', to use this entry by default.
*/
'host' => '__DEFAULT__',

// X.509 key and certificate. Relative to the cert directory.
'privatekey' => 'server.pem',
'privatekey_pass' => 'YourPrivateKeyPassphrase',
'certificate' => 'server.crt',

/*
* Authentication source to use. Must be one that is configured in
* 'config/authsources.php'.
*/
'auth' => 'entraid-sp', // proxy to Microsoft Entra ID

'attributes.NameFormat' => 'urn:oasis:names:tc:SAML:2.0:attrname-format:uri',
'authproc' => [
],
];
```

## Create a new Enterprise Application in Entra ID

### 1. Create a new Enterprise Application

A new **Enterprise Application** must be created in the Entra ID portal to represent SimpleSAMLphp in its role as a SAML Service Provider. This can be done by navigating to the **Enterprise applications** section of the Entra ID portal and creating a new application. During creation, the option to create a custom application that is not found in the gallery should be selected. A descriptive name and also select *Integrate any other application you don't find in the gallery*.

### 2. Configure SAML-based Single Sign-On

After the application has been created, SAML-based single sign-on must be enabled. This is done by opening the application, navigating to the **Single sign-on** section, and selecting **SAML** as the sign-on method. The trust relationship between Entra ID and SimpleSAMLphp is established by uploading the SAML 2.0 SP metadata generated by SimpleSAMLphp. The metadata upload automatically populates the basic SAML configuration, including the entity ID and assertion consumer service URL.

### 3. Download Entra ID Federation Metadata

To finalise the SimpleSAMLphp side of the bilateral trust relationship between your Entra ID tenant and SimpleSAMLphp, copy your Enterprise Application’s _App Federation Metadata_. Using SimpleSAMLphp’s Metadata Converter (found on the _Federation_ tab of SimpleSAMLphp’s admin portal), convert your App Federation Metadata to SimpleSAMLphp’s native PHP format. Once you have the converted metadata, paste it into the _metadata/saml20-idp-remote.php_ file.

### 4. Configure Attribute Claims Rules

Attribute and claim mappings can be adjusted in the Entra ID application to ensure that the required user attributes are released to SimpleSAMLphp. These attributes will later be available for transformation, filtering, or enrichment before being sent to downstream Service Providers.

## Attribute Mapping and Transformation

When authenticating against Microsoft Entra ID, user attributes are returned as SAML claims using Microsoft-specific or WS-Federation-style claim URIs. In most federation environments, these claims must be mapped to standard SAML or eduPerson attribute names before they are released to downstream Service Providers.

SimpleSAMLphp performs attribute mapping through authentication processing filters. Mapping rules are applied in the `authproc` section of the authentication source that represents Entra ID, ensuring that attributes are normalized as soon as they enter SimpleSAMLphp. These mappings can either reuse [built-in attribute maps provided](https://github.com/simplesamlphp/simplesamlphp/blob/master/attributemap/entra2name.php) by SimpleSAMLphp or be defined explicitly using custom rules.

Here is an example of using `core:AttributeMap` processing filter:
```php
'authproc' => [
/* ... */
60 => [
'class' => 'core:AttributeMap',
/* there are several versions of the userprincipalname claim, you only need the one you use */
'http://schemas.xmlsoap.org/claims/UPN' => 'eduPersonPrincipalName',
'http://schemas.xmlsoap.org/ws/2005/05/identity/claims/upn' => 'eduPersonPrincipalName',
'http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name' => 'eduPersonPrincipalName',
/* other possible attributes */
'http://schemas.xmlsoap.org/claims/CommonName' => 'displayName',
'http://schemas.xmlsoap.org/ws/2005/05/identity/claims/givenname' => 'givenName',
'http://schemas.xmlsoap.org/ws/2005/05/identity/claims/surname' => 'sn',
'http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress' => 'mail',
'http://schemas.microsoft.com/ws/2008/06/identity/claims/groups' => 'memberOf',
],
/* ... */
],
```

or
```php
'authproc' => [
60 => [
'class' => 'core:AttributeMap',
'attributemap' => 'entra2name',
],
],
```

Once mapped, attributes can be further filtered, enriched, or selectively released by additional authentication processing filters before being issued by the proxy IdP.

## Configure SimpleSAMLphp to Use Entra ID as an Authentication Source

With the Enterprise Application configured, SimpleSAMLphp must be instructed to use Entra ID as its authentication source. This is done by setting the IdP entity ID in the entraid-sp authentication source to the Entra ID tenant identifier.

```php
'idp' => 'https://sts.windows.net/<your-entra-tenant-id>/',
```

This configuration causes SimpleSAMLphp, acting as a Service Provider, to redirect authentication requests to Entra ID. After importing the Entra ID metadata, the corresponding entity ID should be visible under SAML 2.0 IdP metadata on the Federation tab of the SimpleSAMLphp admin interface.

## Testing

You should now be able to go to the _Test_ tab in the admin portal, log in to your _entraid-sp_ authentication source, and be redirected to your Entra ID application’s login page.
Once logged in, it is worth verifying that SimpleSAMLphp is correctly receiving the attributes from Entra ID.

## Sources

- <https://nathansenblog.wordpress.com/2021/02/23/azure-ad-single-sign-on-with-simplesamlphp/>
- <https://safire.ac.za/technical/resources/configuring-simplesamlphp-to-use-entra-id/>

AAI

2026-02-12T12:47:02Z

Mohacsi(AT)niif.hu: /* Kiegészítő tudnivalók */

=== Meghatározások ===

* [[Föderáció]]
* [[Pont-pont bizalmi kapcsolati modell]]
* [[Metadata]]
* [[Föderációs modellek]]
* [[WAYF | Home Location Service]]
* [[Shibboleth]]
* [[AAIGettingStarted | Hogy kezdjem?]]

===Föderációs alapinfrastruktúrák (IdP-k, SP-k)===
Tapasztalatok alapján IdP esetén egyszerűsége miatt talán jobb választás a simpleSAMLphp, SP esetén Shibboleth ill. simpleSAMLphp egyaránt megfelelő választás mind beállítási, mind üzemeltetési szempontból.
* Shibboleth IdP: [[Shib3IdpInstall|Telepítés, beállítás]], [[Shibboleth3 IdP|Egyéb leírások]], [[Shibboleth2 IdP|Shibboleth 2 IdP leírások]]
* Shibboleth SP: [[ShibSP_QuickStart|Kezdőlépések]], [[Shibboleth2 SP|Egyéb leírások]]
* simpleSAMLphp IdP és SP: [[SSP_QuickStart|Kezdőlépések]] [[SSP2|SimpleSAMLphp 2]]
* [[AAI/AzureADasAuthsource|Microsoft Azure AD hitelesítési forrás simpleSAMLphp-ben]]
* [[IdP_whichone|Melyik IdP-t válasszam?]]

===HREF/eduID föderációhoz kapcsolódó tudnivalók===
* [[HREF Key Rollover 2020]]: Új metaadat aláírókulcs a HREF föderációban
* [[HREF Key Rollover 2020 English]]: New metadata signing certificate
* [[HREFContract]]: A föderációhoz kapcsolódó dokumentációk gyűjtőlapja
* [[HREFAttributeSpec]]: A föderációban használható attribútumok specifikációja
* [[HREFMetadataSpec]]: A föderációban használt metadata specifikációja
* [[Resource_Registry]]: A föderáció adminisztrációs felületének leírása
* [[JoiningEduGAIN]]: Tudnivalók az eduGAIN csatlakozással kapcsolatban
* [[MDX]]: Igény szerinti metaadat-kiszolgálás
* [[Sirtfi]]: Föderációs és föderációközi együttműködéshez kapcsolódó incidenskezelés keretei
* [[URN]]: Magyar NREN-nél használt speciális azonosítók tára
* [[URN_SCHAC]]: eduID.hu föderációban használt speciális azonosítók tára

===További föderációs megoldások===
* [[Shibboleth2 DiscoveryService]]: Shibboleth 2.0 SAML-kompatibilis Discovery Service
* [[OpenSSO]]: Nehézsúlyú Java hozzáférés-szabályozást és federációt megvalósító rendszer
* [[OpenID]]: Széles körben támogatott, de nem SAML-alapú federációt megvalósító rendszer
* [[GoogleAuth]]: Google, mint [[OpenID]] szabványú IdP
* [[mod_mellon]]: SP megoldás apache modulban. A SAML2 motort a [http://lasso.entrouvert.org Lasso] valósítja meg. [http://docs.feide.no/fs-0050]
* [[oiosaml.java]]: Java SP megoldás, amit a Dán állam is használ. [http://www.softwareborsen.dk/projekter/softwarecenter/brugerstyring/oio-saml-java]
* [[UApprove]]: Shibboleth 2.1.x IdP-hez illeszthető "consent-modul" beállításának leírása
* [[Shibboleth troubleshooting]]: Shibboleth hibaelhárítás
* [[Shibboleth Service Provider (SP) és Docker]]: Shibboleth és Docker összehangolása

===Kiegészítő tudnivalók===
* [[AAI_szolgáltatási_IP | Szolgáltatási IP tartományok ]]
* [[Alkalmazások illesztése]]: Néhány alkalmazás Shibboleth-illesztésének leírása
* [[Interoperabilitás mátrix]]: Shibboleth, OpenSSO, simpleSAMLphp együttműködési mátrix
* [[Eszközök]]: Hasznos eszközök föderációk üzemeltetéséhez, használatához
* [[Intézmény átnevezés]]: megfontolandó szempontok
* [[FedCerts | Tanúsítványok a föderációban]]
* [[HEXAATest | Test HEXAA (or any SAML AA) from command line]]
* [[EduIDTest | Hogyan teszteljünk eduID IdP-t vagy SP-t?]]
* [[Erasmusplus_ESI | Erasmus+ és ESI információk]]
* [[Publikációk]]
* [[AAI/AzureADasAuthsource | Azure AD használata azonosítási forrásként ]]
* [[EntraID in eduID.hu]]

[[Kategória: Összefoglaló lapok]]

AAI szolgáltatási IP

2025-10-20T13:47:39Z

Mohacsi(AT)niif.hu: /* eduID szolgáltatási IP-k */

= eduID szolgáltatási IP-k =

''elavult''

{| class="wikitable alternance centre"
|+ IP tartományok
|-
| 193.224.92.0/24
|-
| 193.225.14.128/25
|-
| 2001:738:0:431::/64
|}

URN

2025-10-20T13:46:48Z

Mohacsi(AT)niif.hu: /* Namespaces administered by KIFÜ */

== Registrations in the urn:geant:niif.hu Namespace ==

GEANT has delegated the operation of urn:geant:niif.hu namespace to NIIFI -> KIFÜ. KIFÜ administers the Uniform Resource Name namespace urn:geant:niif.hu, which enables all scientific institutions in Hungary to assign unique, permanent and globally valid names to different resources. The exact use of the entries is not prescribed. GÉANT primarily wants to promote standardization within the scientific community and especially the interoperability of middleware with the namespace.

If you want to request a delegation, please send an email to urn@niif.hu .

=== Namespaces administered by KIFÜ ===
{| class="wikitable sortable"
|-
! Namespace !! Purpose !! Date Registered !! Registry link/email
|-
| urn:geant:niif.hu:niif|| Namespace supporting KIFÜ systems || 10 March 2010 || info@eduid.hu
|-
| - || - || - || -
|}

SSP2

2025-10-01T16:56:54Z

Mohacsi(AT)niif.hu:

Az alábbi lapon megkíséreljük összefoglalni a legfontosabb lépéseket, melyek általános esetben elegendőek ahhoz, hogy működő SimpleSAMLphp (SSP) 2.x alkalmazást állítsunk üzembe.

==Telepítés==
Először is nagyvonalakban leírásra kerülnek az előkészületek ezt követően pedig maga a szoftver telepítése és beállítása.
===Előkészületek===
Ahhoz, hogy problémamentesen telepíthessük SSP alkalmazásunkat, az alábbi szoftverkomponenseknek kell működniük szerverünkön.
* A következő könyvtárakat kiegészítőket telepíteni kell: <code>wget openssl unzip build-essential libldap2-dev libldap-common</code>
* PHP futtatására alkalmas webszerver
* PHP környezet (>=8.0)
* A következő PHP kiterjesztéseket engedélyezni kell
** <code>posix, date , dom , fileinfo , filter , hash , json , libxml , mbstring , openssl , pcre , session , simplexml , sodium , SPL, zlib, ldap</code>
** Adatbázisból történő autentikáció esetén a megfelelő adatbázis-csatolót <code>mysqli, pdo, pdo_mysql</code>
** RADIUS szerveren keresztül történő autentikáció esetén: <code>radius</code>
* Információk, certek:
** Bár a szoftver képes futni mariadb, és redis nélkül, ezek vagy hasonló megoldások használata éles környezetben ajánlott.
*** Amennyiben ezeket szándékozunk használni database connection stringgel kell rendelkezni, redis elérhetőséggel és jelszóval rendelkezni.
*** Az adatbázis szerkezetének kialakítása a használt moduloktól függ, a leggyakoribb a consent modul, ott van is dokumentáció az adatbázis inicializálásáról.

** Szükséges 2 certpár, az egyik az apachenak a másik az SSP-nek ezutóbbi lehet önalárírt, és nem ajánlott ugyan azt használni.

====Composer====

A '''[https://getcomposer.org composer]''' PHP csomagkezelőt is telepíteni kell (akár forrásból, akár csomagból), hogy telepíteni lehessen a SimpleSAMLphp futásához szükséges PHP library-ket.

===Telepítés===
Elvégezhető composerrel például a <code>/var/</code> mappában:

<code>composer create-project simplesamlphp/simplesamlphp:2.1.3</code>

Mappaszerkezet módosítása:

mv simplesamlphp simplesamlphp-prod #Tetszőleges átnevezés
mkdir -p simplesamlphp-prod/cert
mkdir -p /var/simplesamlphp-prod/log/stats/
mkdir -p /var/simplesamlphp-prod/mdx-cache/
chown -R www-data:www-data /var/simplesamlphp-prod/mdx-cache/
chown -R www-data:www-data /var/simplesamlphp-prod/log/
chown -R www-data:www-data /var/simplesamlphp-prod/metadata/

Composerrel a szükséges modulok telepítése (például LDAP, REDIS, vagy consent):

composer require simplesamlphp/simplesamlphp-module-ldap:v2.3.2
composer require predis/predis:2.2.2
composer require simplesamlphp/simplesamlphp-module-consent:1.3.2

Ezzel a telepítés, és a szükséges kiegészítők telepítése megtörtént.

===Apache konfigurálás===

A webről csak a <code>/var/simplesamlphp-prod/public</code> könyvtárat kell elérni. '''Tilos''' a teljes simplesamlphp könyvtárat a DocumentRoot alá tenni!

Alias /simplesaml /var/simplesamlphp-prod/public
<Directory /var/simplesamlphp-prod/public>
Require all granted
</Directory>
===Simplesamlphp Alapbeállítások===
====Konfigurációs fájlok====
Amennyiben korábbi verziókat használtunk,

jó megközelítés lehet diff segítségével ellenőrizni a különbségeket a korábbi <code>config.php</code> fileunk és a <code>config.php.dist</code> között.

Ha ilyennel nem rendelkezünk akkor lehet rögtön alapul venni a <code>config.php.dist</code>-et és hasonlóképp a metadata-templates mappát.

====Konfigurációs fájlok szerkesztése====

=====Baseurlpath beállítása=====

- Állítsuk be a baseurlpath opciót. Mutasson a telepítés URL-jére, ahol a SimpleSAMLphp elérhető:

<code>'baseurlpath' => 'https://your.canonical.host.name/simplesaml/',</code>

=====Adminisztrációs adatok beállítása=====

* '''Az "admin" felhasználó jelszavát, mellyel webes felületen keresztül be tud lépni a települő SSP-be.'''
'auth.adminpassword' => 'ujjelszotirdide',
* '''Titkosítási feladatokhoz szükséges "salt", azaz véletlenszerűen összeálló karaktersorozat'''
'secretsalt' => 'randombytesinsertedhere',
A karaktersorozat előállításában segíthet az alábbi parancs:
tr -c -d '0123456789abcdefghijklmnopqrstuvwxyz' </dev/urandom | dd bs=32 count=1 2>/dev/null;echo
* '''Elérhetőségeket, amely adatok bekerülnek majd a generált metaadatba'''
'technicalcontact_name' => 'Gipsz Jakab',
'technicalcontact_email' => 'jakab.gipsz@example.org',
* '''Nyelv és időzóna adatok'''
'language.default' => 'hu',
'timezone' => 'Europe/Budapest',

Az alapadatok megadása után mentsük és zárjuk be a '''config.php'''-t.

=====Naplózás beállítása=====

Alapértelmezetten a SimpleSAMLphp a '''syslog'''-ba irányítja a naplózást.

Ha fájlba akarunk naplózni, akkor a megfelelő könyvtárhoz biztosítsunk írás jogot a webszerver felhasználónak, és ne felejtsünk el gondoskodni a naplófájlok rotálásáról!

* Naplózási szint beállítása a '''config/config.php'''-ban
'debug' => array(
'saml' => true,
'backtraces' => true,
'validatexml' => false,
),
'logging.level' => SimpleSAML\Logger::DEBUG,
'logging.handler' => 'file',

<span style="color:red">A "SimpleSAML\Logger::DEBUG" a legrészletesebb naplózási beállítás, éles rendszernél nem ajánlott csak hiba keresés esetén.</span>

=====Modulok engedélyezése=====
'module.enable' => [
'exampleauth' => true,
'saml' => false, //
'core' => null, // Alapértelmezett érték
'ldap' => true, // 2.x verzióban külön telepíteni és engedélyezni kell az ldap modult.
'admin' => true, // Ezt szükséges engedélyezni hogy elérhessük az adminisztrációs felületet
],

=====Tanúsítvány készítése=====

<span style="color:red">Nem ajánlott a SimpleSAMLphp-hoz és webszerverhez ugyanazt a tanúsítvány használni!</span>

* A SimpleSAMLphp alapértelmezetten a tanúsítványt a '''cert''' mappában keresi.

* Az alábbi paranccsal egy 10 éves [[FedCerts | self-signed tanúsítvány]] generálunk a SimpleSMALphp számára.
openssl req -new -newkey rsa:3072 -x509 -days 3652 -nodes -out cert/saml-example-org.crt -keyout cert/saml-example-org.key

A fingerprint az alábbi módon kérdezhető le a legegyszerűbben
openssl x509 -fingerprint -noout -in cert/saml-example-org.crt

===Telepítés kész===
Amennyiben elkészültünk a fenti lépésekkel, úgy a [https://service.example.org/simplesaml/admin https://service.example.org/simplesaml/admin] címen elérjük a telepített SSP-nk webes adminfelületét.

==Identity Provider (IdP) beállítás==
===Alapbeállítások===
'''IdP''' engedélyezése: a '''config/config.php''' fájlban kell a saml20 idp-t "true"-re állítani.
'enable.saml20-idp' => true,

===Metaadat alapok===
A beállítandó IdP alapvető paraméterei a <code>metadata/saml20-idp-hosted.php</code> fájlban állíthatók. Az alábbi kódrészlet egy minimális, de már működő példát mutat.
<source lang="php">
<?php
$metadata['https://example.org/saml-idp'] = [
/*
* The hostname for this IdP. This makes it possible to run multiple
* IdPs from the same configuration. '__DEFAULT__' means that this one
* should be used by default.
*/
'host' => '__DEFAULT__',
/*
* The private key and certificate to use when signing responses.
* These can be stored as files in the cert-directory or retrieved
* from a database.
*/
'privatekey' => 'example.org.pem',
'certificate' => 'example.org.crt',
/*
* The authentication source which should be used to authenticate the
* user. This must match one of the entries in config/authsources.php.
*/
'auth' => 'example-ldap',
];
</source>

A fentebb hivatkozott certeket korábban létrehoztuk, de az example-ldap auth forrást még nem:

===LDAP autentikáció===

Javasolt az LDAP-ban egy olyan bejegyzést létrehozni az IdP számára, amely olvasni tudja a felhasználóknak a föderációban használt attribútumait. Az azonosítás alapértelmezett módon a felhasználó nevében történő újra bind-olással történik, így a jelszóhoz nem kell hozzáférést adni.

Ahhoz, hogy megadhassuk az LDAP-hoz tartozó beállításokat, a <code>config/authsources.php</code> fájlt kell szerkesztenünk. Az alábbi kódrészletet elegendő beszúrni, és az egyes változóknak a helyi LDAP-nak megfelelő adatokat értékül adni.
<source lang="php">
'example-ldap' => [
'ldap:Ldap',

/**
* The connection string for the LDAP-server.
* You can add multiple by separating them with a space.
*/
'connection_string' => 'ldap.example.org',

/**
* Whether SSL/TLS should be used when contacting the LDAP server.
* Possible values are 'ssl', 'tls' or 'none'
*/
'encryption' => 'ssl',

/**
* The LDAP version to use when interfacing the LDAP-server.
* Defaults to 3
*/
'version' => 3,

/**
* Set to TRUE to enable LDAP debug level. Passed to the LDAP connector class.
*
* Default: FALSE
* Required: No
*/
'debug' => false,

/**
* The LDAP-options to pass when setting up a connection
* See [Symfony documentation]
*/
'options' => [
/**
* Set whether to follow referrals.
* AD Controllers may require 0x00 to function.
* Possible values are 0x00 (NEVER), 0x01 (SEARCHING),
* 0x02 (FINDING) or 0x03 (ALWAYS).
*/
'referrals' => 0x00,

'network_timeout' => 3,
],

/**
* The connector to use.
* Defaults to '\SimpleSAML\Module\ldap\Connector\Ldap', but can be set
* to '\SimpleSAML\Module\ldap\Connector\ActiveDirectory' when
* authenticating against Microsoft Active Directory. This will
* provide you with more specific error messages.
*/
'connector' => '\SimpleSAML\Module\ldap\Connector\Ldap',

/**
* Which attributes should be retrieved from the LDAP server.
* This can be an array of attribute names, or NULL, in which case
* all attributes are fetched.
*/
'attributes' => null,

/**
* Which attributes should be base64 encoded after retrieval from
* the LDAP server.
*/
'attributes.binary' => [
'jpegPhoto',
'objectGUID',
'objectSid',
'mS-DS-ConsistencyGuid'
],

/**
* The pattern which should be used to create the user's DN given
* the username. %username% in this pattern will be replaced with
* the user's username.
*
* This option is not used if the search.enable option is set to TRUE.
*/
'dnpattern' => 'uid=%username%,ou=people,dc=example,dc=org',

/**
* As an alternative to specifying a pattern for the users DN, it is
* possible to search for the username in a set of attributes. This is
* enabled by this option.
*/
'search.enable' => false,

/**
* An array on DNs which will be used as a base for the search. In
* case of multiple strings, they will be searched in the order given.
*/
'search.base' => [
'ou=people,dc=example,dc=org',
],

/**
* The scope of the search. Valid values are 'sub' and 'one' and
* 'base', first one being the default if no value is set.
*/
'search.scope' => 'sub',

/**
* The attribute(s) the username should match against.
*
* This is an array with one or more attribute names. Any of the
* attributes in the array may match the value the username.
*/
'search.attributes' => ['uid', 'mail'],

/**
* Additional filters that must match for the entire LDAP search to
* be true.
*
* This should be a single string conforming to [RFC 1960]
* and [RFC 2544]. The string is appended to the search attributes
*/
'search.filter' => '(&(objectClass=Person)(|(sn=Doe)(cn=John *)))',

/**
* The username & password where SimpleSAMLphp should bind to before
* searching. If this is left NULL, no bind will be performed before
* searching.
*/
'search.username' => null,
'search.password' => null,
],
</source>

Megfelelő beállítások után a dinamikusan generált metadata a <code>/saml2/idp/metadata.php</code> útvonalon érhető el.

===Tesztelés===
A usereknek már nincs adminisztrációs felület azonban adminként még be lehet lépni amennyiben a core modulok között engedélyeztük az admin felületet: `https://service.example.org/simplesaml/admin/`

A belépést követően a teszt fülre kattintva tesztelhetjük az authentikációs forrásokat:

https://idp.niif.hu/simplesaml/module.php/admin/test

===Kézi metadata csere, élesített SP-vel===

Az IdP metadata valamint metadata eszközök megtalálhatók a következő oldalon (admin fiók szükséges): [https://idp.example/simplesaml/module.php/admin/federation](https://idp.example/simplesaml/module.php/admin/federation)

Amennyiben az SP is simplesamlphp használhatjuk a fentihez hasonló elérési úton található SimplesSAMLphp SP Metadatát, ez php formátumban van, ellenkező esetben pl shibboleth sp meg kell keresnünk a metaadat XML-t majd a fentebb említett federation oldalon található XML →simplesamlphp metadata konvertert használni.

Az így kapott php formátumú metaadatokat pedig be kell illeszteni az IdP-n a <code>metadata/saml20-sp-remote.php</code> fileba a következő példához hasonlóképp:

<source lang="php">
<?php

$metadata['https://sp.example.org/simplesaml/module.php/saml/sp/metadata.php/default-sp'] = [
'AssertionConsumerService' => 'https://sp.example.org/simplesaml/module.php/saml/sp/saml2-acs.php/default-sp',
'SingleLogoutService' => 'https://sp.example.org/simplesaml/module.php/saml/sp/saml2-logout.php/default-sp',
];
</source>

A másik (SP) oldalon amennyiben szintén simplesamlphp van, az idp metaadatokat hasonlóképp hasonlóképp érjük el majd illesszük be a metadata/saml20-idp-remote.php
fileba.

<source lang="php">
<?php
$metadata['https://example.org/saml-idp'] = [
'SingleSignOnService' => 'https://example.org/simplesaml/saml2/idp/SSOService.php',
'SingleLogoutService' => 'https://example.org/simplesaml/saml2/idp/SingleLogoutService.php',
'certificate' => 'example.pem',
];

</source>

A certet a config php-ban beállított certdir-ben keresi (alapértelmezetten /cert)
Amennyiben más SP-t használunk az idp XML metadatájára lesz szükség amely szintén föderáció fül alatt érhető el ([https://idp.example/simplesaml/module.php/admin/federation](https://idp.niif.hu/simplesaml/module.php/admin/federation)), és az SPn-nek releváns dokumentációt kell követni.

==Service Provider (SP) beállítás==
===Alapbeállítások===

A telepített alkalmazásunk által kezelt SP-ket a '''config/authsources.php''' fájlban tudjuk beállítani.
A SimpleSAMLphp a tanúsítvány fájlokat a korábban létrehozott '''cert''' mappában fogja keresni, a fájlokat elég relatív elérési úttal megadni.

<source lang="php">
<?php
$config = [

/* This is the name of this authentication source, and will be used to access it later. */
'default-sp' => [
'saml:SP',
'entityID' => 'https://myapp.example.org/',
'privatekey' => 'saml.pem',
'certificate' => 'saml.crt',
'idp' => 'https://example.org/saml-idp', //Alapértelmezett IdP beállítása
],

];

</source>

===Tesztelés===

A fent elvégzett alapbeállítások után már tudjuk tesztelni a, hogy a felépített IdP - SP kapcsolat működik-e.

SP oldalon nyissuk meg a '''admin''' teszt felületet:

https://idp.niif.hu/simplesaml/module.php/admin/test

Itt kattintsunk a default SP-re

==HREF-integráció==

===Metadata beállítása (IdP és SP is)===
Javasolt [[MDX | dinamikus metaadatforrást (MDX)]] használni, opcionálisan kiegészítve statikus állományokkal. Részletes leírás itt: [[SimpleSAMLMixedMetadata]]

===IdP===
Amennyiben van SSP alapú IdP-nk, melyet szeretnénk a föderáció részévé tenni, úgy a teendők a következők.
* (Az adminisztratív teendőktől itt most eltekintünk, a csatlakozás folyamata [[HREFJoin|itt van leírva]])
* Kell küldeni egy levelet a [mailto:info@eduid.hu info@eduid.hu] címre, benne néhány mondat mellett az IdP metaadatának URL-jével (https://example/org/simplesaml/module.php/saml/idp/metadata)
* Ha minden rendben megy, akkor az IdP bekerül a [[Resource_Registry]]-be, ezáltal a föderációs metaadatba is.
* Az előző pontban leírt módon be kell állítani a központi metadata feldolgozását.
* Amennyiben a föderációs metaadatban már szerepel a mi IdP-nk is, úgy a föderáció valamelyik, tesztelési célokat szolgáló SP-jénél ki is próbálhatjuk a bejelentkezést.

:'''Fontos''', hogy a föderációs Discovery Service óránként generálja újra az IdP-k listáját, így ennyi idő mindenképp szükséges, hogy az új IdP megjelenjen itt, az egyes SP-k pedig két óránként töltik újra a metaadatot, így előfordulhat, hogy azonnal nem fog minden működni, de néhány óra alatt várhatóan beindul. :)

:Tesztelésre használható oldal: https://attributes.eduid.hu

* Ahhoz, hogy a Resource Registry-be is be tudjunk lépni és az IdP további, a föderációra vonatkozó beállításait meg tudjuk ejteni, ehhez az IdP-nek ki kell adnia az alábbi attribútumokat:
** [[HREFAttributeSpec#mail|mail]] - ez belépés után, manuálisan is beállítható
** [[HREFAttributeSpec#eduPersonPrincipalName|eduPersonPrincipalName]]
** <del>[[HREFAttributeSpec#schacHomeOrganizationType|schacHomeOrganizationType]]</del> (az attribútumot hamarosan kivezetjük a kötelező attribútumok közül)
** [[HREFAttributeSpec#eduScopedAffiliation|eduPersonScopedAffiliation]]

====Attribútumok kezelése====
Beállított IdP-nk alapértelmezés szerint azokat az attribútumokat adja ki, melyeket a metaadat alapján az SP kért (Lásd a metadatában a RequestedAttribute elemeket), és egyúttal alapból meg tudta szerezni a felhasználói adatbázisból, esetünkben az LDAP-ból. Mivel néhány attribútum nem szerepel az LDAP-ban, hanem az IdP-ben kell előállítani, így pár helyen módosítanunk kell az alapértelmezett konfiguráción.

A <code>metadata/saml20-idp-hosted.php</code> fájlba szerkesszük be az alábbi kódrészlet értelemszerűen módosított változatát. Az <code>'auth' => 'example-ldap',</code> sor alatt kezdjük. Fontos, hogy egyúttal a config.php <code>authproc.idp</code> részét kikommentezzük, nehogy az ottani sorszámokkal megadott default feladatok bekavarjanak.

<source lang="php">
'AttributeNameFormat' => 'urn:oasis:names:tc:SAML:2.0:attrname-format:uri',
'userid.attribute' => 'uid', // Itt adjuk meg, hogy mely, az LDAPból származó attribútum alapján fogja az IdP kiszámítani az eduPersonTargetedID-t
'authproc' => array(
10 => array(
'class' => 'core:AttributeMap',
'uid' => 'eduPersonPrincipalName'
//Itt az 'uid' az az attribútum az LDAP-ban, amely a felhasználó azonosítóját tartalmazza, mert ebből képezzük az eduPersonPrincipalName-t.
),
# 20 => array(
# 'class' => 'core:AttributeAdd',
# 'schacHomeOrganizationType' => array('urn:schac:homeOrganizationType:hu:university')
# //Kötelező statikus attribútum az [[HREFAttributeSpec#schacHomeOrganizationType|intézmény jellegének]] megfelelően
# ),
30 => array(
'class' => 'core:AttributeAlter',
'subject' => 'eduPersonPrincipalName',
'pattern' => '/^.*$/',
'replacement' => '${0}@intezmenydomain.hu',
// Itt adjuk hozzá az intézményi scope-ot az eduPersonPrincipalName már meglévő értékéhez
),
40 => array(
'class' => 'core:AttributeAlter',
'subject' => 'eduPersonAffiliation',
'pattern' => '/^.*$/',
'replacement' => '${0}@intezmenydomain.hu',
// Itt adjuk hozzá az intézményi scope-ot az eduPersonAffiliation már meglévő értékéhez
),
50 => array(
'class' => 'core:AttributeMap',
'eduPersonAffiliation' => 'eduPersonScopedAffiliation'
// Az LDAP-ból eduPersonAffiliation-ként érkező attribútumból föderációs elvárásoknak megfelelően eduPersonScopedAffiliationt készítünk
),
60 => array(
'class' => 'core:AttributeAdd',
'eduPersonScopedAffiliation' => array('member@intezmenydomain.hu')
// Az eduPersonScopedAffiliation-ben tesztelés céljából kiadhatjuk member értéket,
// így ha LDAP-ból nem jön érték, akkor is láthatjuk, hogy működik az attribútum kiadás
),
61 => array(
'class' => 'core:TargetedID',
'nameId' => TRUE,
),
// Itt állítjuk be, hogy az IdP előállítson és kiadhasson állandóazonosítóként eduPersonTargetedID-t, ha kérik
70 => array('class' => 'core:AttributeMap',
'name2oid'
// Az LDAP-os attribútum nevekből itt kreálunk szabványos urn:oid formátumúakat
),
80 => 'core:AttributeLimit',
), // .authproc
'simplesaml.nameidattribute' => 'eduPersonPrincipalName',
'attributeencodings' => array(
'urn:oid:1.3.6.1.4.1.5923.1.1.1.10' => 'raw',
),
'sign.logout' => true
</source>

: További tudnivalók a [[Resource_Registry|Resource Registry-ről]], ill. a [[HREFAttributeSpec|Föderációs attribútum specifikációról]].

* Ha minden rendben ment, akkor a Resource Registry-ben regisztrált IdP-hez tartozó adminisztrációs jogok átkerülnek az IdP technikai gazdájához, s ezzel a folyamat kész is.

===SP===
Amennyiben IdP-t is beállítottunk, és be is tudunk lépni a Resource Registry-be, úgy nincs más dolgunk, mint az RR-ben új SP-t hozzáadni a föderációhoz, amely a megfelelő átfutási idő után a föderáció minden tagjánál látható is lesz.

Ellenkező esetben (nincs IdP, és nem is tervezünk beállítani), akkor az IdP hozzáadásánál részletezett pontokon kell végig menni a metaadat betöltéséig, s a továbbiakat az említett e-mail címen megbeszélni.

====Attribútum scopeok használata====
A HREF föderáció IdP-i ún. scopeolt attribútumokat is használnak. Ez a scopeolás azt jelenti, hogy minden egyes IdP csak a saját scopejában ad ki attribútumokat, és a Shibboleth SP-k ezt ellenőrzik is. A scope és az attribútum valódi értéke egy '@' karakterrel kerül elválasztásra (ilyen attribútumok jelenleg: [[HREFAttributeSpec#eduPersonAffiliation|eduPersonScopedAffiliation]] illetve [[HREFAttributeSpec#eduPersonPrincipalName|eduPersonPrincipalName]]).

A SimpleSAMLphp alapértelmezett telepítése nem szűri a hibásan scopeolt értékeket. Kiegészítő modulként szűrésre használható az NIIF által fejlesztett [https://github.com/NIIF/simplesamlphp-module-attributescope attributescope modul], ami reményeink szerint rövid távon a hivatalos SimpleSAMLphp kiadás része lehet.

A telepítésről és konfigurációról bővebben itt lehet olvasni: https://github.com/NIIF/simplesamlphp-module-attributescope

: Az <code>attributescope</code> modul használata esetén a következőképp kell módosítani a <code>config/config.php</code> fájlt:
<source lang="php">
authproc.sp = array(
...
// 49 => array('class' => 'core:AttributeMap', 'oid2name'),
50 => array( 'class' => 'attributescope:FilterAttributes'
),
...
),
</source>
Figyeljünk arra, hogy mire a modulhoz ér a vezérlés, az attribútumok nevei ''friendlyName'' alakúak legyenek (ne pedig ''oid''-ok). A példában erre utal a 49-es sor.

[[Category: AAI]] [[Category: simpleSAMLphp]] [[Category: HOWTO]]

Federation Policy

2025-05-09T07:39:11Z

Mohacsi(AT)niif.hu: NIIFI -> Pro-M

== About eduID ==
Hungarian Research and Educational Federation (HREF) is a SAML2-based Identity Federation of Hungarian higher education and research institutions, public collections and other content providers. For the end-users, the federation aims to be transparent, therefore the login procedure is communicated as '''''eduID login'''''.
== Contacts ==
The Federation is operated by [http://www.pro-m.hu Pro-M] (successor of KIFÜ which is successor of NIIF Institute) as a Federation Operator. Questions, concerns or any kind of requests about the Federation should be directed to any of the following addresses:
* '''eduid@pro-m.hu'''
* '''Péter Molnár and János Mohácsi''', ''Pro-M''
:35 Váci út
:H-1134 Budapest
:Hungary

News and information about the federation is published at http://eduid.hu (Hungarian only)
== Policy and principles of interoperation ==
=== Basic principles ===
# The aim of the Federation is to allow the use of services of its Members and Partners, where authorisation is based on the user information originating from the users' Home Institutions.
# Home Institutions must only authenticate users having a known affiliation to them.
# IdPs and SPs must not give false or misleading information about themselves.
# User information provided by IdPs should be as accurate as possible. SPs must take into account that parts of the received information may be at the discretion of the user.
# User credentials (i.e. passwords) stored by IdPs must be protected and verified only through secure procedures.
# SPs must request only the user attributes which are absolutely necessary for their operation.
# SPs must not ask users for their federation passwords.
# SPs must handle personal data according to the local privacy laws.
# IdPs and SPs must cooperate in the investigation of possible abuse/fraud.
# IT systems running IdPs and SPs must be operated with due diligence.
=== Data protection ===
* Prior joining the federation, every entity needs to publish the Data Protection Policy under which it operates. This policy must be kept up-to-date.
* Whenever the Data Protection Policy changes, the Federation Operator must be notified.
* Transfer of personal data is only allowed when either
** authorised by law, or
** the user expressed his or her consent on the data transfer.

=== Rules of membership ===
The Federation is operated by the Federation Operator, that also operates the national research network. Further participants are ''Members'' and ''Partners'' that must have a signed contract with the Operator.
# The following institutions may be '''Members''' of the federation:
#* Institutions of the higher education;
#* Institutions of the Hungarian Research Academy and other research institutions;
#* Institutions of secondary education;
#* Public collections.
# Any organisation might join as a '''Partner'''.
# All Members and Partners of the Federation might provide services.
# A Partner might participate in the meeting of the Members' Board as an observer, without having rights to vote.
# Only Members are entitled to
#* supply user identity information to the federation
#* send representatives into the Members' Board with a right to vote.

== Governance ==
The governance body of the federation is the '''Members' Board (MB)'''. Every Federation Member may send one representative person to the Members' Board, who has one vote.

The working language of the MB is Hungarian. The Board publishes its decisions and guidelines at http://eduid.hu/dokumentumok in Hungarian, although whenever the topic is of interest of any international Partner, it shall be translated to English and the administrative contacts shall be notified.

MB is authorised to
* accept new Federation documents or modify existing ones,
* accept application of new Members and Partners

Partners may also send representatives for MB meetings, without voting rights.

== Legal ==
The Federation itself is not a legal entity, Members and Partners establish a legal connection to the Federation Operator. Any legal claims between Members and/or Partners shall be directed to the organisation operating the Identity Provider or the Service Provider.

Cloud365 Domains

2025-04-22T09:00:03Z

Mohacsi(AT)niif.hu:

== Domainek kezdeti konfigurálása ==
Két szabálynak kell megfelelni:
* az Office365 csak olyan domaineken szolgáltat, amelyet az intézmény előtte az adminisztrációs felületen validált
* az EduID365 portálon a használt domaineket fel kell venni a ''portál'' adminisztrációs felületén. Ennek a lépésnek az Office365 Admin felületen történő beállítása után, ám az első felhasználó belépése előtt meg kell történnie.

Az Office365 alapértelmezetten azt gondolja, hogy az intézmény az adott domain e-mail szolgáltatását is az Office365-re bízza. Amennyiben ez nincs így (márpedig gyakran nincs) az alábbiakat kell tenni:
* természetesen '''nem szabad átállítani a domainhez tartozó MX rekordokat''' olyan módon, ahogyan a domain beállítási segédlet javasolná;
* a validált domainek beállításait [[Office365MailFlow|módosítani kell]]

== Aldomainek utólagos konfigurálása ==
Miután az eduID Cloud 365 konfigurálta a fő domaint, újabb domainek hozzáadása már csak PowerShell használatával lehetséges.

Ehhez első lépésként konfigurálni kell egy PowerShell kapcsolatot [https://msdn.microsoft.com/en-us/library/jj151815.aspx a hivatkozott leírás szerint]. Ezután a következő paranccsal adhatjuk hozzá a domaint:
New-MsolDomain -Name {subdomain}.domain.hu -Authentication Federated

Ezután a lépés után a Cloud 365 portálon is hozzá kell adni az új aldomaint.
== A felhasználók domainje ==
Az alábbi ábra azt mutatja be, hogy a rendszer egyes komponensei milyen adatok alapján dolgoznak:

[[Image:Eduid365-attributes.jpg|border|600px]]

=== Office 365 ===
Az Office 365 két attribútumot kaphat:
* ''ImmutableID'': ez egy UUID formátumú azonosító, amelyet az ''eduPersonPrincipalName'' attribútumból kell generálni MD5 hash használatával
* ''IDPEmail'': olvasható azonosító, valamint a felhős levelezésben használt e-mail cím

{{INFO|Az ''IDPEmail'' domain részének olyan domainnek kell lennie, amelyet az intézmény az Office365-nél korábban validált. Amennyiben a felhasználó használja az Office365 online mail szolgáltatást, ez a cím kötelezően megegyezik a szolgáltatott e-mail címmel.}}
=== hub.eduid.hu ===
A portál az alábbi attribútumokat várja:
* ''EduPersonPrincipalName'': állandó azonosító, amelyből a portál az előző szakaszban leírt módszerrel állítja elő az ''ImmutableID'' értékét
* ''eduPersonScopedAffiliation'': a felhasználó intézményhez való viszonya; ettől függ az elérhető licencek köre
* ''displayName'': a felhasználó megjelenített neve
* ''mail''
** az az e-mail cím, amelyre a portál a használathoz szükséges értesítéseket küldi (pl. ha a felhasználónak a licencek megtartásához újból be kell jelentkeznie)
** amennyiben nem érkezik az opcionális ''IDPEmail'' attribútum, akkor ez alapján generálja az Office365 számára ezt az értéket
* (opcionális) ''schacExpiryDate'': a felhasználó licenceinek lejárati ideje
* (opcionális) ''IDPEmail'': amennyiben az Office365-ben használt e-mail azonosító és az értesítési cím eltér, ebben az attribútumban lehet megadni az Office365-ben használt címet. Ennek domain részére az előző szakaszban kiemelt megjegyzés vonatkozik.

Cloud365 Domains

2025-04-22T08:59:03Z

Mohacsi(AT)niif.hu:

== Domainek kezdeti konfigurálása ==
Két szabálynak kell megfelelni:
* az Office365 csak olyan domaineken szolgáltat, amelyet az intézmény előtte az adminisztrációs felületen validált
* az EduID365 portálon a használt domaineket fel kell venni a ''portál'' adminisztrációs felületén. Ennek a lépésnek az Office365 Admin felületen történő beállítása után, ám az első felhasználó belépése előtt meg kell történnie.

Az Office365 alapértelmezetten azt gondolja, hogy az intézmény az adott domain e-mail szolgáltatását is az Office365-re bízza. Amennyiben ez nincs így (márpedig gyakran nincs) az alábbiakat kell tenni:
* természetesen '''nem szabad átállítani a domainhez tartozó MX rekordokat''' olyan módon, ahogyan a domain beállítási segédlet javasolná;
* a validált domainek beállításait [[Office365MailFlow|módosítani kell]]

== Aldomainek utólagos konfigurálása ==
Miután az eduID Cloud 365 konfigurálta a fő domaint, újabb domainek hozzáadása már csak PowerShell használatával lehetséges.

Ehhez első lépésként konfigurálni kell egy PowerShell kapcsolatot [https://msdn.microsoft.com/en-us/library/jj151815.aspx a hivatkozott leírás szerint]. Ezután a következő paranccsal adhatjuk hozzá a domaint:
New-MsolDomain -Name {subdomain}.domain.hu -Authentication Federated

Ezután a lépés után a Cloud 365 portálon is hozzá kell adni az új aldomaint.
== A felhasználók domainje ==
Az alábbi ábra azt mutatja be, hogy a rendszer egyes komponensei milyen adatok alapján dolgoznak:

[[Image:Eduid365-attributes.jpg|border|600px]]

=== Office 365 ===
Az Office 365 két attribútumot kaphat:
* ''ImmutableID'': ez egy UUID formátumú azonosító, amelyet az ''eduPersonPrincipalName'' attribútumból kell generálni MD5 hash használatával
* ''IDPEmail'': olvasható azonosító, valamint a felhős levelezésben használt e-mail cím

{{INFO|Az ''IDPEmail'' domain részének olyan domainnek kell lennie, amelyet az intézmény az Office365-nél korábban validált. Amennyiben a felhasználó használja az Office365 online mail szolgáltatást, ez a cím kötelezően megegyezik a szolgáltatott e-mail címmel.}}
=== hup.eduid.hu ===
A portál az alábbi attribútumokat várja:
* ''EduPersonPrincipalName'': állandó azonosító, amelyből a portál az előző szakaszban leírt módszerrel állítja elő az ''ImmutableID'' értékét
* ''eduPersonScopedAffiliation'': a felhasználó intézményhez való viszonya; ettől függ az elérhető licencek köre
* ''displayName'': a felhasználó megjelenített neve
* ''mail''
** az az e-mail cím, amelyre a portál a használathoz szükséges értesítéseket küldi (pl. ha a felhasználónak a licencek megtartásához újból be kell jelentkeznie)
** amennyiben nem érkezik az opcionális ''IDPEmail'' attribútum, akkor ez alapján generálja az Office365 számára ezt az értéket
* (opcionális) ''schacExpiryDate'': a felhasználó licenceinek lejárati ideje
* (opcionális) ''IDPEmail'': amennyiben az Office365-ben használt e-mail azonosító és az értesítési cím eltér, ebben az attribútumban lehet megadni az Office365-ben használt címet. Ennek domain részére az előző szakaszban kiemelt megjegyzés vonatkozik.

Harica

2025-01-23T09:15:01Z

Mohacsi(AT)niif.hu:

= Harica eduID intergráció=

Az új Harica TCS szolgáltató lehetővé teszi az eduGAIN bejelentkezést "Institutional Login" gomb segítségével.

= Harica bejelentkezés eduID-val nem műküdik =

A HARICA rendszerében a felhasználói fiók létrehozása nem sikerül, mert az Identity Provider (IdP) nem biztosítja a szükséges attribútumokat a Service Provider (SP) részére. A hibaüzenet a következő:

"Your Identity Provider (IdP) does not provide HARICA with the appropriate info (attributes) for your account. Please contact your IdP to fix this issue."

A megoldáshoz szükséges attribútumok listája a következő:

{| class="wikitable"
! Attribútum || OID || Kötelező
|-
| eduPersonTargetedID || urn:oid:1.3.6.1.4.1.5923.1.1.1.10 || Igen
|-
| givenName || urn:oid:2.5.4.42 || Igen
|-
| mail || urn:oid:0.9.2342.19200300.100.1.3 || Igen
|-
| surname || urn:oid:2.5.4.4 || Igen
|-
| displayName || urn:oid:2.16.840.1.113730.3.1.241 || Nem
|-
| eduPersonEntitlement || urn:oid:1.3.6.1.4.1.5923.1.1.1.7 || Nem
|-
| eduPersonOrgUnitDN || urn:oid:1.3.6.1.4.1.5923.1.1.1.3 || Nem
|-
| eduPersonPrimaryAffiliation || urn:oid:1.3.6.1.4.1.5923.1.1.1.5 || Nem
|}

== SSP 2.x Megoldás ==

Az attribútumok kezelésére a [[https://github.com/NIIF/simplesamlphp-module-attributelimit| NIIF SimpleSAMLphp AttributeLimit ]] modul került használatra. Az alábbi konfiguráció az authproc szekcióban biztosítja, hogy a szükséges attribútumok átadásra kerüljenek a HARICA SP-jeinek.

=== Konfiguráció ===

Az alábbi beállításokat add hozzá ahhoz a filehoz ahol az authproc történik, pl saml20-idp-hosted.php:

10 => [
'class' => 'attributelimit:AttributeLimit',
'https://www.harica.gr/simplesamlphp/module.php/saml/sp/metadata.php/pki-grnet-sp' => [
'urn:oid:0.9.2342.19200300.100.1.3', // mail
'urn:oid:1.3.6.1.4.1.5923.1.1.1.6', // eduPersonPrincipalName
'urn:oid:2.5.4.42', // givenName
'urn:oid:2.5.4.4', // surname (sn)
'urn:oid:2.16.840.1.113730.3.1.241', // displayName
'urn:oid:1.3.6.1.4.1.25178.1.2.9', // schacHomeOrganization
'urn:oid:1.3.6.1.4.1.5923.1.1.1.10', // eduPersonTargetedId
],
'https://cm-stg.harica.gr/simplesamlphp/module.php/saml/sp/metadata.php/harica-cm-stg-sp' => [
'urn:oid:0.9.2342.19200300.100.1.3', // mail
'urn:oid:1.3.6.1.4.1.5923.1.1.1.6', // eduPersonPrincipalName
'urn:oid:2.5.4.42', // givenName
'urn:oid:2.5.4.4', // surname (sn)
'urn:oid:2.16.840.1.113730.3.1.241', // displayName
'urn:oid:1.3.6.1.4.1.25178.1.2.9', // schacHomeOrganization
'urn:oid:1.3.6.1.4.1.5923.1.1.1.10', // eduPersonTargetedId
],
],

=== Magyarázat ===
1. Az `authproc` szekcióban a `attributelimit` modul segítségével szabályozzuk, hogy mely attribútumok kerüljenek továbbításra az SP részére.

2. Az egyes SP-khez tartozó attribútumokat külön definiáljuk az SP metaadat URL alapján.

3. Az attribútumokat az OID alapján adjuk meg, például:
- `urn:oid:0.9.2342.19200300.100.1.3` a **mail** attribútumot jelenti.

== Ellenőrzés ==

Jelentkezz be az IdP-n keresztül, és ellenőrizd, például saml tracer segítségével hogy átadásra kerülnek e a kötelező attribútumok.

== Egyéb megoldás ==

Amennyiben az idp-nk nem simplesamlphp vagy nem szeretnénk az attributelimit modult használni, más módon kell az IdP-t konfigurálni a kötelező attribútumok kiadására.

Harica

2025-01-23T09:12:40Z

Mohacsi(AT)niif.hu: /* Egy gyakori probléma */

= Harica =

= Harica bejelentkezés eduID-val nem műküdik =

A HARICA rendszerében a felhasználói fiók létrehozása nem sikerül, mert az Identity Provider (IdP) nem biztosítja a szükséges attribútumokat a Service Provider (SP) részére. A hibaüzenet a következő:

"Your Identity Provider (IdP) does not provide HARICA with the appropriate info (attributes) for your account. Please contact your IdP to fix this issue."

A megoldáshoz szükséges attribútumok listája a következő:

{| class="wikitable"
! Attribútum || OID || Kötelező
|-
| eduPersonTargetedID || urn:oid:1.3.6.1.4.1.5923.1.1.1.10 || Igen
|-
| givenName || urn:oid:2.5.4.42 || Igen
|-
| mail || urn:oid:0.9.2342.19200300.100.1.3 || Igen
|-
| surname || urn:oid:2.5.4.4 || Igen
|-
| displayName || urn:oid:2.16.840.1.113730.3.1.241 || Nem
|-
| eduPersonEntitlement || urn:oid:1.3.6.1.4.1.5923.1.1.1.7 || Nem
|-
| eduPersonOrgUnitDN || urn:oid:1.3.6.1.4.1.5923.1.1.1.3 || Nem
|-
| eduPersonPrimaryAffiliation || urn:oid:1.3.6.1.4.1.5923.1.1.1.5 || Nem
|}

== Megoldás ==

Az attribútumok kezelésére a [[https://github.com/NIIF/simplesamlphp-module-attributelimit| NIIF SimpleSAMLphp AttributeLimit ]] modul került használatra. Az alábbi konfiguráció az authproc szekcióban biztosítja, hogy a szükséges attribútumok átadásra kerüljenek a HARICA SP-jeinek.

=== Konfiguráció ===

Az alábbi beállításokat add hozzá ahhoz a filehoz ahol az authproc történik, pl saml20-idp-hosted.php:

10 => [
'class' => 'attributelimit:AttributeLimit',
'https://www.harica.gr/simplesamlphp/module.php/saml/sp/metadata.php/pki-grnet-sp' => [
'urn:oid:0.9.2342.19200300.100.1.3', // mail
'urn:oid:1.3.6.1.4.1.5923.1.1.1.6', // eduPersonPrincipalName
'urn:oid:2.5.4.42', // givenName
'urn:oid:2.5.4.4', // surname (sn)
'urn:oid:2.16.840.1.113730.3.1.241', // displayName
'urn:oid:1.3.6.1.4.1.25178.1.2.9', // schacHomeOrganization
'urn:oid:1.3.6.1.4.1.5923.1.1.1.10', // eduPersonTargetedId
],
'https://cm-stg.harica.gr/simplesamlphp/module.php/saml/sp/metadata.php/harica-cm-stg-sp' => [
'urn:oid:0.9.2342.19200300.100.1.3', // mail
'urn:oid:1.3.6.1.4.1.5923.1.1.1.6', // eduPersonPrincipalName
'urn:oid:2.5.4.42', // givenName
'urn:oid:2.5.4.4', // surname (sn)
'urn:oid:2.16.840.1.113730.3.1.241', // displayName
'urn:oid:1.3.6.1.4.1.25178.1.2.9', // schacHomeOrganization
'urn:oid:1.3.6.1.4.1.5923.1.1.1.10', // eduPersonTargetedId
],
],

=== Magyarázat ===
1. Az `authproc` szekcióban a `attributelimit` modul segítségével szabályozzuk, hogy mely attribútumok kerüljenek továbbításra az SP részére.

2. Az egyes SP-khez tartozó attribútumokat külön definiáljuk az SP metaadat URL alapján.

3. Az attribútumokat az OID alapján adjuk meg, például:
- `urn:oid:0.9.2342.19200300.100.1.3` a **mail** attribútumot jelenti.

== Ellenőrzés ==

Jelentkezz be az IdP-n keresztül, és ellenőrizd, például saml tracer segítségével hogy átadásra kerülnek e a kötelező attribútumok.

== Egyéb megoldás ==

Amennyiben az idp-nk nem simplesamlphp vagy nem szeretnénk az attributelimit modult használni, más módon kell rábírni az IdP-t a kötelező attribútumok kiadására.

SSP2

2024-08-06T08:39:40Z

Mohacsi(AT)niif.hu: Új oldal, tartalma: „== SSP2 leírás ==”

== SSP2 leírás ==

AAI

2024-08-06T08:38:12Z

Mohacsi(AT)niif.hu: SSP2 link

Erasmusplus ESI

2024-08-06T08:36:32Z

Mohacsi(AT)niif.hu:

== Erasmus+ és ESI ==
Az Európai Hallgatói Kártya Kezdeményezés részeként az Európai Bizottság 2021 júniusától kezdve digitális formában kívánja támogatni az Erasmus programhoz kapcsolódó összes szolgáltatást, mint például az [https://learning-agreement.eu/user/login Online Learning Agreement] (OLA) és az Erasmus+ mobilalkalmazást. A digitalizálás alapvető része a hallgatók azonosítása, amely az [[https://edugain.org eduGAIN]]-en keresztül fog történni.Az eduGAIN szövetség hazai képviselője a KIFÜ, aki Magyarországon az eduID.hu szövetséget működteti, hogy az oktatás, kutatás és közgyűjtemények szereplői az intézményi hitelesítő adataikkal bejelentkezhessenek az eduGAIN szolgáltatásokba. Az eduGAIN-ben a szolgáltatások sikeres azonosítás esetén azonnal megkapják a felhasználók helyes azonosításához és jogosultság kezeléséhez szükséges információkat. Az MyAcademicID működéséhez, az európai hallgatói azonosító (European Student Identifier) helyes létrehozásához és az Erasmus+ szolgáltatásokban szükséges attribútumok beállításhoz szükséges információk az alábbiak.

===MyAcademicID proxy===

Az Erasmus+ szolgáltatásokhoz való hozzáférés a [https://wiki.geant.org/display/SM/MyAcademicID+Identity+and+Access+Management+Service MyAcademicID] projektben létrehozott és a GEANT által kezelt proxyn keresztül történik. Ez azt jelenti, hogy az Erasmus+ összes szolgáltatásának egyetlen szolgáltatója van a következő entitásazonosítóval:
<pre>
https://proxy.prod.erasmus.eduteams.org/metadata/backend.xml
</pre>
A Szolgáltatót az eduID.hu az eduGAIN-en keresztül teszi közzé, így ha az intézménye tagja az eduGAIN-nek is (lásd: Metaadatok), akkor nem kell további lépéseket tenni. Ellenkező esetben lépjen kapcsolatba először a [mailto:info@eduid.hu KIFÜ eduID.hu] csapatával, hogy kérje identitásszolgáltatójának exportálását az eduGAIN-ba, majd konfigurálja be az eduID.hu szolgáltatás által terjesztett eduGAIN metaadatokat (lásd: [[Metadata]] ).

===Attributumok===

Az Erasmus + szolgáltatások eléréséhez szükséges attribútumok a következők.

{| class="wikitable"
|+
!Attributumok
!Leírás
!Példa
|-
|eduPersonPrincipalName
|Állandó, nem célzott, nem újra kiosztható globálisan egyedi azonosító
|<code>username@foobar.hu</code>
|-
|eduPersonTargetedID
|Nem átlátszó, célzott (minden szolgáltatónál más) azonosító, amely nem osztható ki újra
|<samp><code><nowiki>https://idp.foobar.hu/idp/shibboleth!https://sp.example.com/shibboleth!a1b2c3d4-789a-4ca7-8ff9-43216789bdc</nowiki></code></samp>
|-
|displayName
|A felhasználó megjelenítendő neve. '''Szükséges, ha nincsen cn, vagy givenName+sn.'''
|
|-
|cn
|A felhasználó teljes neve. '''Szükséges, ha nincsen displayName vagy givenName+sn.'''
|<code>Gipsz Jakab Aladár</code>
|-
|givenName
|Felhasználó keresztneve. '''Szükséges, ha nincsen displayName vagy cn.'''
|<code>Jakab</code>
|-
|sn
|Felhasználó családi neve. '''Szükséges, ha nincsen displayName vagy cn.'''
|<code>Gipsz</code>
|-
|eduPersonAffiliation
|Felhasználó és intézmény közti viszony leírása.
|<code>[member, student]</code>
|-
|eduPersonScopedAffiliation
|Felhasználó és intézmény közti viszony leírása. scope-al
|<code>[member@foobar.hu, student@foobar.hu]</code>
|-
|schacPersonalUniqueCode
|A szervezet által hozzárendelt személyes egyedi kód (URN). '''Az európai hallgatói azonosító kódolására és továbbítására szolgál.
|<code><nowiki>urn:schac:personalUniqueCode:int:esi:foobar.hu:123456789</nowiki></code>
|-
|schacHomeOrganization
|Szervezete domainje.
|<code>foobar.hu</code>
|-
|schacHomeOrganizationType
|Szervezet típusa (URN)
|<code><nowiki>urn:schac:homeOrganizationType:eu:higherEducationalInstitution</nowiki></code>
|-
|}

===European Student Identifier===

Az European Student Identifier (ESI) globálisan egyedi, tartós, nem célzott azonosító (minden szolgáltatónál ugyanaz marad). Titkosítva kerül továbbításra a <code>schacPersonalUniqueCode</code> attribútumon keresztül. Az ESI két fő módját támogatott:

#<u>országos kód</u>:ha rendelkezésre áll nemzeti hallgatói kód
#<u>intézményenként</u>:jelenleg ez támogatható Magyarországi szinten

Az ESI három részből áll:

* változatlan URN névtér: <code><nowiki>urn:schac:personalUniqueCode:int:esi:</nowiki>:</code>
* szervezet domainje: foobar.hu
* hallgatói azonosító kód (pl. belső nyilvántartási szám): 123456789

Az így kapott teljes ESI: <code><nowiki>urn:schac:personalUniqueCode:int:esi:foo.bar:123456789</nowiki></code>

Az ESI teljes specifikációja elérhető a GEANT wiki-n:

https://wiki.geant.org/display/SM/European+Student+Identifier

=== EWP adminisztrátori funkció ===

Az eduGAIN közösség 2022 öszén definiálta '''EWP Admin szerepkört'''. EWP Admin szerepkör (Erasmus Without Paper Administrator szerepkör) lehetővé teszi az Erasmus+ tevékenységeiben részt vevő felsőoktatási intézmények (HEI) felhatalmazott képviselői számára, hogy szabványos módon bejelentkezzenek az EWP-eszközökbe és EWP-információik és -beállításaik kezelése egységes legyen. Erről bővebb információ itt található:

https://wiki.geant.org/display/SM/EWP+Admin+Role

=== További információk ===

https://wiki.geant.org/display/SM/Identifier+in+Erasmus+mobility

Erasmusplus ESI

2024-08-06T08:31:16Z

Mohacsi(AT)niif.hu:

== Erasmus+ és ESI ==
Az Európai Hallgatói Kártya Kezdeményezés részeként az Európai Bizottság 2021 júniusától kezdve digitális formában kívánja támogatni az Erasmus programhoz kapcsolódó összes szolgáltatást, mint például az [https://learning-agreement.eu/user/login Online Learning Agreement] (OLA) és az Erasmus+ mobilalkalmazást. A digitalizálás alapvető része a hallgatók azonosítása, amely az [[https://edugain.org eduGAIN]]-en keresztül fog történni.Az eduGAIN szövetség hazai képviselője a KIFÜ, aki Magyarországon az eduID.hu szövetséget működteti, hogy az oktatás, kutatás és közgyűjtemények szereplői az intézményi hitelesítő adataikkal bejelentkezhessenek az eduGAIN szolgáltatásokba. Az eduGAIN-ben a szolgáltatások sikeres azonosítás esetén azonnal megkapják a felhasználók helyes azonosításához és jogosultság kezeléséhez szükséges információkat. Az MyAcademicID működéséhez, az európai hallgatói azonosító (European Student Identifier) helyes létrehozásához és az Erasmus+ szolgáltatásokban szükséges attribútumok beállításhoz szükséges információk az alábbiak. [[loka]]

===MyAcademicID proxy===

Az Erasmus+ szolgáltatásokhoz való hozzáférés a [https://wiki.geant.org/display/SM/MyAcademicID+Identity+and+Access+Management+Service MyAcademicID] projektben létrehozott és a GEANT által kezelt proxyn keresztül történik. Ez azt jelenti, hogy az Erasmus+ összes szolgáltatásának egyetlen szolgáltatója van a következő entitásazonosítóval:
<pre>
https://proxy.prod.erasmus.eduteams.org/metadata/backend.xml
</pre>
A Szolgáltatót az eduID.hu az eduGAIN-en keresztül teszi közzé, így ha az intézménye tagja az eduGAIN-nek is (lásd: Metaadatok), akkor nem kell további lépéseket tenni. Ellenkező esetben lépjen kapcsolatba először a [mailto:info@eduid.hu KIFÜ eduID.hu] csapatával, hogy kérje identitásszolgáltatójának exportálását az eduGAIN-ba, majd konfigurálja be az eduID.hu szolgáltatás által terjesztett eduGAIN metaadatokat (lásd: [[Metadata]] ).

===Attributumok===

Az Erasmus + szolgáltatások eléréséhez szükséges attribútumok a következők.

{| class="wikitable"
|+
!Attributumok
!Leírás
!Példa
|-
|eduPersonPrincipalName
|Állandó, nem célzott, nem újra kiosztható globálisan egyedi azonosító
|<code>username@foobar.hu</code>
|-
|eduPersonTargetedID
|Nem átlátszó, célzott (minden szolgáltatónál más) azonosító, amely nem osztható ki újra
|<samp><code><nowiki>https://idp.foobar.hu/idp/shibboleth!https://sp.example.com/shibboleth!a1b2c3d4-789a-4ca7-8ff9-43216789bdc</nowiki></code></samp>
|-
|displayName
|A felhasználó megjelenítendő neve. '''Szükséges, ha nincsen cn, vagy givenName+sn.'''
|
|-
|cn
|A felhasználó teljes neve. '''Szükséges, ha nincsen displayName vagy givenName+sn.'''
|<code>Gipsz Jakab Aladár</code>
|-
|givenName
|Felhasználó keresztneve. '''Szükséges, ha nincsen displayName vagy cn.'''
|<code>Jakab</code>
|-
|sn
|Felhasználó családi neve. '''Szükséges, ha nincsen displayName vagy cn.'''
|<code>Gipsz</code>
|-
|eduPersonAffiliation
|Felhasználó és intézmény közti viszony leírása.
|<code>[member, student]</code>
|-
|eduPersonScopedAffiliation
|Felhasználó és intézmény közti viszony leírása. scope-al
|<code>[member@foobar.hu, student@foobar.hu]</code>
|-
|schacPersonalUniqueCode
|A szervezet által hozzárendelt személyes egyedi kód (URN). '''Az európai hallgatói azonosító kódolására és továbbítására szolgál.
|<code><nowiki>urn:schac:personalUniqueCode:int:esi:foobar.hu:123456789</nowiki></code>
|-
|schacHomeOrganization
|Szervezete domainje.
|<code>foobar.hu</code>
|-
|schacHomeOrganizationType
|Szervezet típusa (URN)
|<code><nowiki>urn:schac:homeOrganizationType:eu:higherEducationalInstitution</nowiki></code>
|-
|}

===European Student Identifier===

Az European Student Identifier (ESI) globálisan egyedi, tartós, nem célzott azonosító (minden szolgáltatónál ugyanaz marad). Titkosítva kerül továbbításra a <code>schacPersonalUniqueCode</code> attribútumon keresztül. Az ESI két fő módját támogatott:

#<u>országos kód</u>:ha rendelkezésre áll nemzeti hallgatói kód
#<u>intézményenként</u>:jelenleg ez támogatható Magyarországi szinten

Az ESI három részből áll:

* változatlan URN névtér: <code><nowiki>urn:schac:personalUniqueCode:int:esi:</nowiki>:</code>
* szervezet domainje: foobar.hu
* hallgatói azonosító kód (pl. belső nyilvántartási szám): 123456789

Az így kapott teljes ESI: <code><nowiki>urn:schac:personalUniqueCode:int:esi:foo.bar:123456789</nowiki></code>

Az ESI teljes specifikációja elérhető a GEANT wiki-n:

https://wiki.geant.org/display/SM/European+Student+Identifier

=== EWP adminisztrátori funkció ===

Az eduGAIN közösség 2022 öszén definiálta '''EWP Admin szerepkört'''. EWP Admin szerepkör (Erasmus Without Paper Administrator szerepkör) lehetővé teszi az Erasmus+ tevékenységeiben részt vevő felsőoktatási intézmények (HEI) felhatalmazott képviselői számára, hogy szabványos módon bejelentkezzenek az EWP-eszközökbe és EWP-információik és -beállításaik kezelése egységes legyen. Erről bővebb információ itt található:

https://wiki.geant.org/display/SM/EWP+Admin+Role

=== További információk ===

https://wiki.geant.org/display/SM/Identifier+in+Erasmus+mobility

Intézményi üzemeltetésű Sulinet Eduroam AP-k konfigurációja

2023-10-24T13:58:28Z

Mohacsi(AT)niif.hu:

Az eduroam hálózat lehetőséget biztosít arra, hogy a Sulinet Dashboard felületen felvett felhasználók bármilyen, eduroam SSID-t használó intézményben internet-hozzáféréshez jussanak.

Ezzel kapcsolatban felmerültek igények, hogy bármilyen típusú, az intézmény által üzemeltetett eszközzel is megvalósítható legyen ezen hozzáférés. Ezen szolgáltatás igénybevételéhez egy olyan iskolai eduroam/eduID felhasználási szerződést kell kötni az intézménnyel, amelyben az intézmény vállalja, hogy az eduroam szabályai szerint működteti az AP-ket és erre vonatkozó szerződést köt a KIFÜ-vel.

Technikailag legtöbb vezeték nélküli eszközön megvalósítható az eduroam hálózat beállítása;

==Eszköz beállításához szükséges paraméterek==

Bármilyen vezeték nélkül eszköz, mely képes kezelni a WPA2 Enterprise protokollt, azon be lehet állítani az eduroam hálózatot az alábbiak szerint (egyelőre csak úgy működik, ha a vezeték nélküli eszköz a sulinetes router privát vagy védett szemensére van kötve):

Radius szerver IP: 195.111.98.15, 195.111.115.15

Radius szerver hitelesítéshez használt port (authentication port): 1812

Radius szerver naplózáshoz használt port (accouting port): 1813

Jelszó (shared secret): minden végpontnak egyedi shared secretje van, amit a Dashboardon olvashat

A WPA2 Enterprise protokoll általában az eszköz WIFI-vel foglalkozó menüjének a Wireless Security menüjében található meg.

A fentieken kívül ügyelni kell a következőkre:

* a WPA verzió 2-es legyen

* a titkosítás automatikus vagy AES legyen

Ha minden beállítás megtörtént és fogható az eduroam SSID a vezeték nélküli eszköz révén, akkor a Windows operációs rendszert használók tekintsék meg ezt a leírást a gyors csatlakozás érdekében.

== SOHO eszköz beállításához szükséges paraméterek==

A konfigurációs segédlet egy TP-LINK TL-WR1043ND V1 eszközön kerül bemutatásra a gyári szoftverrel.

* Győződjön meg róla, hogy az eszköz csatlakozik a villamos hálózathoz! Csatlakoztasson egy ethernet kábelt a router 1-4 portjai közül bármelyikre! Nyisson meg egy böngészőt és írja be a címsorba a router IP címét, mint rá kötött eszköz alapértelmezett átjáróját: 192.168.1.1
: A router kérni fogja a belépéshez szükséges felhasználói nevet és jelszót. Ezen információ a router alján lévő matricán található meg Username és Password formájában.

* Navigáljon a router webes felületén a Wireless menüpontra! Írja át a gyári SSID-t eduroam-ra, válassza ki régiónak Magyarországot; a többi beállítás maradhat változatlanul, majd kattintson a Save gombra!

: [[File:Tp_1.jpg|800px]]

* Navigáljon a Wireless Security almenüpontra és kattintson a WPA/WPA2 menüpontra! Válassza ki a Version-nál a WPA2-t, adja meg a Radius Server IP résznél a 195.111.115.15 címet, adja meg a Sulinet Dashboardon kijelzett karaktersorozatot a Radius Password mezőbe, majd kattintson a Save gombra. A router esetlegesen felhívhatja a figyelmét arra, hogy a beállítások csak a router újraindítása után lépnek érvénybe, ekkor indítsa újra az eszközt!

: [[Fájl:tp_2.jpg|800px]]

==OpenWRT telepítése a példakánt TP-LINK TL-WR1043ND v1 routerre==

* Töltse le az OpenWRT lefrissebb verzióját a https://firmware-selector.openwrt.org/ oldalról - Első alkalommal '''Factory image''' majd később '''sysupgrade'''.

: <span style="color: red"> '''Fontos! Az eredeti fájlról készült SHA256 lenyomatot mindig hasonlítsa össze a letöltött fájl SHA256 lenyomatával és csak akkor használja a fájlt, ha az SHA256 lenyomatok egyeznek, ellenkező esetben a router működésképtelennél válhat!'''</span>

* Kövesse az előző bekezdés első pontja szerinti utasításokat! Ha eljutott a router webes felületére, akkor navigáljon a System Tools menü, Firmware Upgrade almenüjére!

: [[Fájl:tp_3.jpg|800px]]

* A fájl letöltése után kattintson a Tallózás gombra és keresse meg a letöltött fájlt majd kattintson az Upgrade gombra! A router megerősítést kér a frissítés végrehajtásához, ezt hagyja jóvá egy OK gombra történő kattintással!

: <span style="color: red"> '''Fontos! Szoftverfrissítés idejére mindig biztosítson szünetmentes tápellátást az eszköznek, mert a frissítés közbeni esetleges áramszünettől a router működésképtelenné válhat!'''</span>

: A router automatikusan újra fog indulni. Az új szoftver betöltését a SYS led folyamatos világítása jelzi.

* Nyisson egy böngészőt és írja be a router IP címét a címsorba: 192.168.1.1
: Használja a root felhasználót és a jelszó mezőt hagyja üresen, majd kattintson a Bejelentkezés gombra.

: [[Fájl:1.jpg|800px]]

* Az OpenWRT arra kéri, hogy változtassa meg a jelszavát. Ehhez kattintson a piros kiemelésben található "Ugrás a jelszó beállításához..." linkre.

: [[Fájl:2.jpg|800px]]

* Adja meg a jelszót, majd kattintson a Mentés és Alkalmazás gombra! Ezt követően már sikerülni fog az SSH-n keresztül történő belépés a routerre.

: [[Fájl:3.jpg|800px]]

* A Rendszer menü, Szoftver almenüben megtekintheti a router flash memóriáján lévő szabad helyet. Itt legalább 352 KB szabad helyre van szükség.

: [[Fájl:4.jpg|800px]]

* Lépjen be a routerre SSH-n keresztül! Ehhez használhatja a Putty terminál-emulációs szoftvert, mely letölthető innen: http://the.earth.li/~sgtatham/putty/latest/x86/putty.exe

* Nyissa meg a letöltött terminál-emulációs szoftvert és töltse ki a lenti kép szerint, majd nyomja meg az Open gombot!

: [[Fájl:6.jpg]]

* A felület megjeleníti a router SSH kulcsának publikus részét. Ezt fogadja el a belépéshez! A router felhasználói nevet és jelszót fog kérni: ez root és a korábban beállított jelszó párosa.

: [[Fájl:7.jpg]]

* Csatlakoztassa a router WAN feliratú, kék színű portját a sulinetes 892FSP router privát, védett vagy publikus szegmensbeli portjára!

* Miután a router DHCP-n keresztül kapott IP címet a Cisco eszköztől, adja ki a router SSH felületén az opkg update parancsot!

: [[Fájl:8.jpg]]

* Amennyiben a Cisco router publikus szegmensére kötötte az eszközét, akkor statikus IP beállításokra van szükség. Keresse fel a Hálózatok menü, Interfészek, WAN füleket! Az alapértlemezett beállítás a DHCP ügyfél.

: [[Fájl:8_1.jpg|800px]]

* Kattintson a legördülő menübe és válassza ki a Statikus cím lehetőséget, majd kattintson a Protokoll csere gombra! Ha a protokoll csere megtörtént, akkor beállíthatóak kézzel az IP címek.

: [[Fájl:8_2.jpg|800px]]

* Ennek megtörténte után távolítsa el a wpad-mini csomagot az opkg remove wpad-mini paranccsal és telepítse a wpad csomagot az opkg install wpad paranccsal! Ez kis időt igénybe vehet. Ha a telepítés megtörtént, lépjen ki az SSH felületről az exit paranccsal!

: [[Fájl:9.jpg]]

* Navigáljon ismét a router webes felületén: keresse fel a Hálózat menü, Wifi almenüjét, majd kattintson a Szerkesztés gombra!

: [[Fájl:10.jpg|800px]]

* Lent, az Interfész beállítások résznél írja be az eduroam szót, mint ESSID-t, majd kattintson a Vezetéknélküli biztonság fülre!

: [[Fájl:11.jpg|800px]]

* Állítsa be a kép szerint a felületet majd kattintson a Mentés és Alkalmazás gombra! Ha mindennel elkészült és a Vezetéknélküli hálózat letiltva résznél Engedélyezés gombot lát, akkor nyomja meg!
: Az eduroam hálózat innentől kezdve használható a routeren.

: [[Fájl:12.jpg|800px]]

: Az eduroam használatához történő csatlakozáshoz szükséges információkat az alábbi linken tudja elolvasni: https://kifu.gov.hu/iskolai-eduroam-hasznalata/

==Konfiguráció Cisco AP-k esetén==

Az alábbi konfiguráció egy Cisco AIR-SAP1602I-E-K9 típusú AP lényegi konfigurációja, mely segítséget nyújthat az intézmény által üzemeltetett eszköz beállításához.

<code>
! Cisco típusú eszköz esetén a különféle hitelesítési-, authoricáiós- és logolási művelethez engedélyezni kell az AAA-t (Authentication, Authorization, Accounting)<br />
aaa new-model<br />
! RADIUS szerver csoportot kell létrehozni radius_eduroam néven (bármilyen név csoportnév megfelelő, viszont később tudni kell rá hivatkozni), melybe a lenti két szerver tartozik; konkrét szerver IP definiálása lejjebb található<br />
aaa group server radius radius_eduroam
server name radius2.eduroam
server name radius1.eduroam<br />
! létre kell hozni egy AAA method-listet, ami a fenti Eduroam szerverekre hivatkozik<br />
aaa authentication login eap_eduroam group radius_eduroam<br />
! a lenti beállítással rögzítésre kerülnek a hitelesítés hibák (téves jelszó, téves felhasználói név használata)<br />
aaa accounting send stop-record authentication failure
aaa accounting update newinfo<br />
! létre kell hozni egy accounting_eduroam nevű method-listet (szintén bármilyen más fantázianév megfelelő, viszont később tudni kell rá hivatkozni), ami a hálózati tevékenység logolását engedélyezi; ez szintén a radius-szerverekre hivatkozik<br />
aaa accounting network accounting_eduroam start-stop group radius_eduroam<br />
! beállítjuk, hogy az AP több SSID-t is kezeljen és logoljon (amennyiben az intézménynek van saját SSID-ja az eduroam-on kívül)<br />
dot11 mbssid
dot11 syslog<br />
! létre kell hozni az eduroam nevű SSID-t és úgy beállítani, hogy a RADIUS szervereket használja a hitelesítéshez<br />
dot11 ssid eduroam
vlan 101
authentication open eap eap_eduroam
authentication network-eap eap_eduroam
authentication key-management wpa version 2
accounting accounting_eduroam
mbssid guest-mode<br />
! attól függően, hogy az AP tudja-e a 802.11a-t, attól függően Dot11Radio0 és/vagy Dot11Radio1 interfészeken is be kell állítani az eduroam vlan titkosítását és az SSID interfészhez történő hozzárendelését<br />
interface Dot11Radio0 és/vagy Dot11Radio1
encryption vlan 101 mode ciphers aes-ccm
ssid eduroam<br />
! hozzá kell rendelni a BVI1 interfészt egy tetszőleges VLAN-hoz, aminek egyeznie kell a fenti dot11 ssid eduroam parancsban megadottakkal<br />
interface Dot11Radio0.101
encapsulation dot1Q 101
no ip route-cache
bridge-group 1
bridge-group 1 subscriber-loop-control
bridge-group 1 spanning-disabled
bridge-group 1 block-unknown-source
no bridge-group 1 source-learning
no bridge-group 1 unicast-flooding<br />
! az AP uplink interfészét is hozzá kell rendelni a BVI1 interfészhez<br />
interface GigabitEthernet0
bridge-group 1
bridge-group 1 spanning-disabled
no bridge-group 1 source-learning<br />
! IP adatokkal el kell látni a BVI1 interfészt; a lenti példában DHCP-n keresztül kapja meg a menedzseléshez szükséges IP címet, ami az ap1 kliens-azonosító miatt mindig ugyanaz lesz< br/>
interface BVI1
ip dhcp client client-id ascii ap1
ip address dhcp
no ip route-cache<br />
! meg kell adni egy interfészt, amit forrás-címként fog használni az eszköz a radius-szerverrel történő kommunikáláshoz, pl. Loopback0<br />
ip radius source-interface Loopback0<br />
! meg kell adni a legelső sorokban meghatározott radius-szerverek IP-jét, a kommunikációs portokat és a radius-szerver által használt jelszót titkosított formában<br />
radius-server attribute 32 include-in-access-req format %h
radius server radius1.eduroam
address ipv4 195.111.98.15 auth-port 1812 acct-port 1813
key 0 ''egyedi_shared_secret_helye''
radius server radius2.eduroam
address ipv4 195.111.115.15 auth-port 1812 acct-port 1813
key 0 ''egyedi_shared_secret_helye''<br />
! engedélyezzük az STP-t és az IP routolását a BVI1-hez rendelt interfészeken<br />
bridge 1 protocol ieee
bridge 1 route ip
bridge irb
</code>

Intézményi üzemeltetésű Sulinet Eduroam AP-k konfigurációja

2023-10-24T13:56:19Z

Mohacsi(AT)niif.hu:

Az eduroam hálózat lehetőséget biztosít arra, hogy a Sulinet Dashboard felületen felvett felhasználók bármilyen, eduroam SSID-t használó intézményben internet-hozzáféréshez jussanak.

Ezzel kapcsolatban felmerültek igények, hogy bármilyen típusú, az intézmény által üzemeltetett eszközzel is megvalósítható legyen ezen hozzáférés. Ezen szolgáltatás igénybevételéhez egy olyan iskolai eduroam/eduID felhasználási szerződést kell kötni az intézménnyel, amelyben az intézmény vállalja, hogy az eduroam szabályai szerint működteti az AP-ket és erre vonatkozó szerződést köt a KIFÜ-vel.

Technikailag legtöbb vezeték nélküli eszközön megvalósítható az eduroam hálózat beállítása;

==Eszköz beállításához szükséges paraméterek==

Bármilyen vezeték nélkül eszköz, mely képes kezelni a WPA2 Enterprise protokollt, azon be lehet állítani az eduroam hálózatot az alábbiak szerint (egyelőre csak úgy működik, ha a vezeték nélküli eszköz a sulinetes router privát vagy védett szemensére van kötve):

Radius szerver IP: 195.111.98.15, 195.111.115.15

Radius szerver hitelesítéshez használt port (authentication port): 1812

Radius szerver naplózáshoz használt port (accouting port): 1813

Jelszó (shared secret): minden végpontnak egyedi shared secretje van, amit a Dashboardon olvashat

A WPA2 Enterprise protokoll általában az eszköz WIFI-vel foglalkozó menüjének a Wireless Security menüjében található meg.

A fentieken kívül ügyelni kell a következőkre:

* a WPA verzió 2-es legyen

* a titkosítás automatikus vagy AES legyen

Ha minden beállítás megtörtént és fogható az eduroam SSID a vezeték nélküli eszköz révén, akkor a Windows operációs rendszert használók tekintsék meg ezt a leírást a gyors csatlakozás érdekében.

== SOHO eszköz beállításához szükséges paraméterek==

A konfigurációs segédlet egy TP-LINK TL-WR1043ND V1 eszközön kerül bemutatásra a gyári szoftverrel.

* Győződjön meg róla, hogy az eszköz csatlakozik a villamos hálózathoz! Csatlakoztasson egy ethernet kábelt a router 1-4 portjai közül bármelyikre! Nyisson meg egy böngészőt és írja be a címsorba a router IP címét, mint rá kötött eszköz alapértelmezett átjáróját: 192.168.1.1
: A router kérni fogja a belépéshez szükséges felhasználói nevet és jelszót. Ezen információ a router alján lévő matricán található meg Username és Password formájában.

* Navigáljon a router webes felületén a Wireless menüpontra! Írja át a gyári SSID-t eduroam-ra, válassza ki régiónak Magyarországot; a többi beállítás maradhat változatlanul, majd kattintson a Save gombra!

: [[File:Tp_1.jpg|800px]]

* Navigáljon a Wireless Security almenüpontra és kattintson a WPA/WPA2 menüpontra! Válassza ki a Version-nál a WPA2-t, adja meg a Radius Server IP résznél a 195.111.115.15 címet, adja meg a Sulinet Dashboardon kijelzett karaktersorozatot a Radius Password mezőbe, majd kattintson a Save gombra. A router esetlegesen felhívhatja a figyelmét arra, hogy a beállítások csak a router újraindítása után lépnek érvénybe, ekkor indítsa újra az eszközt!

: [[Fájl:tp_2.jpg|800px]]

==OpenWRT telepítése a példakánt TP-LINK TL-WR1043ND v1 routerre==

* Töltse le az OpenWRT lefrissebb verzióját a https://firmware-selector.openwrt.org/ oldalról - Első alkalommal '''Factory image''' majd később '''sysupgrade'''.

: <span style="color: red"> '''Fontos! Az eredeti fájlról készült SHA256 lenyomatot mindig hasonlítsa össze a letöltött fájl SHA256 lenyomatával és csak akkor használja a fájlt, ha az SHA256 lenyomatok egyeznek, ellenkező esetben a router működésképtelennél válhat!'''</span>

* Kövesse az előző bekezdés első pontja szerinti utasításokat! Ha eljutott a router webes felületére, akkor navigáljon a System Tools menü, Firmware Upgrade almenüjére!

: [[Fájl:tp_3.jpg|800px]]

* A fájl letöltése után kattintson a Tallózás gombra és keresse meg a letöltött fájlt majd kattintson az Upgrade gombra! A router megerősítést kér a frissítés végrehajtásához, ezt hagyja jóvá egy OK gombra történő kattintással!

: <span style="color: red"> '''Fontos! Szoftverfrissítés idejére mindig biztosítson szünetmentes tápellátást az eszköznek, mert a frissítés közbeni esetleges áramszünettől a router működésképtelenné válhat!'''</span>

: A router automatikusan újra fog indulni. Az új szoftver betöltését a SYS led folyamatos világítása jelzi.

* Nyisson egy böngészőt és írja be a router IP címét a címsorba: 192.168.1.1
: Használja a root felhasználót és a jelszó mezőt hagyja üresen, majd kattintson a Bejelentkezés gombra.

: [[Fájl:1.jpg|800px]]

* Az OpenWRT arra kéri, hogy változtassa meg a jelszavát. Ehhez kattintson a piros kiemelésben található "Ugrás a jelszó beállításához..." linkre.

: [[Fájl:2.jpg|800px]]

* Adja meg a jelszót, majd kattintson a Mentés és Alkalmazás gombra! Ezt követően már sikerülni fog az SSH-n keresztül történő belépés a routerre.

: [[Fájl:3.jpg|800px]]

* A Rendszer menü, Szoftver almenüben megtekintheti a router flash memóriáján lévő szabad helyet. Itt legalább 352 KB szabad helyre van szükség.

: [[Fájl:4.jpg|800px]]

* Lépjen be a routerre SSH-n keresztül! Ehhez használhatja a Putty terminál-emulációs szoftvert, mely letölthető innen: http://the.earth.li/~sgtatham/putty/latest/x86/putty.exe

* Nyissa meg a letöltött terminál-emulációs szoftvert és töltse ki a lenti kép szerint, majd nyomja meg az Open gombot!

: [[Fájl:6.jpg]]

* A felület megjeleníti a router SSH kulcsának publikus részét. Ezt fogadja el a belépéshez! A router felhasználói nevet és jelszót fog kérni: ez root és a korábban beállított jelszó párosa.

: [[Fájl:7.jpg]]

* Csatlakoztassa a router WAN feliratú, kék színű portját a sulinetes 892FSP router privát, védett vagy publikus szegmensbeli portjára!

* Miután a router DHCP-n keresztül kapott IP címet a Cisco eszköztől, adja ki a router SSH felületén az opkg update parancsot!

: [[Fájl:8.jpg]]

* Amennyiben a Cisco router publikus szegmensére kötötte az eszközét, akkor statikus IP beállításokra van szükség. Keresse fel a Hálózatok menü, Interfészek, WAN füleket! Az alapértlemezett beállítás a DHCP ügyfél.

: [[Fájl:8_1.jpg|800px]]

* Kattintson a legördülő menübe és válassza ki a Statikus cím lehetőséget, majd kattintson a Protokoll csere gombra! Ha a protokoll csere megtörtént, akkor beállíthatóak kézzel az IP címek.

: [[Fájl:8_2.jpg|800px]]

* Ennek megtörténte után távolítsa el a wpad-mini csomagot az opkg remove wpad-mini paranccsal és telepítse a wpad csomagot az opkg install wpad paranccsal! Ez kis időt igénybe vehet. Ha a telepítés megtörtént, lépjen ki az SSH felületről az exit paranccsal!

: [[Fájl:9.jpg]]

* Navigáljon ismét a router webes felületén: keresse fel a Hálózat menü, Wifi almenüjét, majd kattintson a Szerkesztés gombra!

: [[Fájl:10.jpg|800px]]

* Lent, az Interfész beállítások résznél írja be az eduroam szót, mint ESSID-t, majd kattintson a Vezetéknélküli biztonság fülre!

: [[Fájl:11.jpg|800px]]

* Állítsa be a kép szerint a felületet majd kattintson a Mentés és Alkalmazás gombra! Ha mindennel elkészült és a Vezetéknélküli hálózat letiltva résznél Engedélyezés gombot lát, akkor nyomja meg!
: Az eduroam hálózat innentől kezdve használható a routeren.

: [[Fájl:12.jpg|800px]]

: Az eduroam használatához történő csatlakozáshoz szükséges információkat az alábbi linken tudja elolvasni: http://sulinet.niif.hu/eduroam#bevezet-s

==Konfiguráció Cisco AP-k esetén==

Az alábbi konfiguráció egy Cisco AIR-SAP1602I-E-K9 típusú AP lényegi konfigurációja, mely segítséget nyújthat az intézmény által üzemeltetett eszköz beállításához.

<code>
! Cisco típusú eszköz esetén a különféle hitelesítési-, authoricáiós- és logolási művelethez engedélyezni kell az AAA-t (Authentication, Authorization, Accounting)<br />
aaa new-model<br />
! RADIUS szerver csoportot kell létrehozni radius_eduroam néven (bármilyen név csoportnév megfelelő, viszont később tudni kell rá hivatkozni), melybe a lenti két szerver tartozik; konkrét szerver IP definiálása lejjebb található<br />
aaa group server radius radius_eduroam
server name radius2.eduroam
server name radius1.eduroam<br />
! létre kell hozni egy AAA method-listet, ami a fenti Eduroam szerverekre hivatkozik<br />
aaa authentication login eap_eduroam group radius_eduroam<br />
! a lenti beállítással rögzítésre kerülnek a hitelesítés hibák (téves jelszó, téves felhasználói név használata)<br />
aaa accounting send stop-record authentication failure
aaa accounting update newinfo<br />
! létre kell hozni egy accounting_eduroam nevű method-listet (szintén bármilyen más fantázianév megfelelő, viszont később tudni kell rá hivatkozni), ami a hálózati tevékenység logolását engedélyezi; ez szintén a radius-szerverekre hivatkozik<br />
aaa accounting network accounting_eduroam start-stop group radius_eduroam<br />
! beállítjuk, hogy az AP több SSID-t is kezeljen és logoljon (amennyiben az intézménynek van saját SSID-ja az eduroam-on kívül)<br />
dot11 mbssid
dot11 syslog<br />
! létre kell hozni az eduroam nevű SSID-t és úgy beállítani, hogy a RADIUS szervereket használja a hitelesítéshez<br />
dot11 ssid eduroam
vlan 101
authentication open eap eap_eduroam
authentication network-eap eap_eduroam
authentication key-management wpa version 2
accounting accounting_eduroam
mbssid guest-mode<br />
! attól függően, hogy az AP tudja-e a 802.11a-t, attól függően Dot11Radio0 és/vagy Dot11Radio1 interfészeken is be kell állítani az eduroam vlan titkosítását és az SSID interfészhez történő hozzárendelését<br />
interface Dot11Radio0 és/vagy Dot11Radio1
encryption vlan 101 mode ciphers aes-ccm
ssid eduroam<br />
! hozzá kell rendelni a BVI1 interfészt egy tetszőleges VLAN-hoz, aminek egyeznie kell a fenti dot11 ssid eduroam parancsban megadottakkal<br />
interface Dot11Radio0.101
encapsulation dot1Q 101
no ip route-cache
bridge-group 1
bridge-group 1 subscriber-loop-control
bridge-group 1 spanning-disabled
bridge-group 1 block-unknown-source
no bridge-group 1 source-learning
no bridge-group 1 unicast-flooding<br />
! az AP uplink interfészét is hozzá kell rendelni a BVI1 interfészhez<br />
interface GigabitEthernet0
bridge-group 1
bridge-group 1 spanning-disabled
no bridge-group 1 source-learning<br />
! IP adatokkal el kell látni a BVI1 interfészt; a lenti példában DHCP-n keresztül kapja meg a menedzseléshez szükséges IP címet, ami az ap1 kliens-azonosító miatt mindig ugyanaz lesz< br/>
interface BVI1
ip dhcp client client-id ascii ap1
ip address dhcp
no ip route-cache<br />
! meg kell adni egy interfészt, amit forrás-címként fog használni az eszköz a radius-szerverrel történő kommunikáláshoz, pl. Loopback0<br />
ip radius source-interface Loopback0<br />
! meg kell adni a legelső sorokban meghatározott radius-szerverek IP-jét, a kommunikációs portokat és a radius-szerver által használt jelszót titkosított formában<br />
radius-server attribute 32 include-in-access-req format %h
radius server radius1.eduroam
address ipv4 195.111.98.15 auth-port 1812 acct-port 1813
key 0 ''egyedi_shared_secret_helye''
radius server radius2.eduroam
address ipv4 195.111.115.15 auth-port 1812 acct-port 1813
key 0 ''egyedi_shared_secret_helye''<br />
! engedélyezzük az STP-t és az IP routolását a BVI1-hez rendelt interfészeken<br />
bridge 1 protocol ieee
bridge 1 route ip
bridge irb
</code>

Intézményi üzemeltetésű Sulinet Eduroam AP-k konfigurációja

2023-10-24T13:51:17Z

Mohacsi(AT)niif.hu:

Az eduroam hálózat lehetőséget biztosít arra, hogy a Sulinet Dashboard felületen felvett felhasználók bármilyen, eduroam SSID-t használó intézményben internet-hozzáféréshez jussanak.

Ezzel kapcsolatban felmerültek igények, hogy bármilyen típusú, az intézmény által üzemeltetett eszközzel is megvalósítható legyen ezen hozzáférés. Ezen szolgáltatás igénybevételéhez egy olyan iskolai eduroam/eduID felhasználási szerződést kell kötni az intézménnyel, amelyben az intézmény vállalja, hogy az eduroam szabályai szerint működteti az AP-ket és erre vonatkozó szerződést köt a KIFÜ-vel.

Technikailag legtöbb vezeték nélküli eszközön megvalósítható az eduroam hálózat beállítása;

==Eszköz beállításához szükséges paraméterek==

Bármilyen vezeték nélkül eszköz, mely képes kezelni a WPA2 Enterprise protokollt, azon be lehet állítani az eduroam hálózatot az alábbiak szerint (egyelőre csak úgy működik, ha a vezeték nélküli eszköz a sulinetes router privát vagy védett szemensére van kötve):

Radius szerver IP: 195.111.98.15, 195.111.115.15

Radius szerver hitelesítéshez használt port (authentication port): 1812

Radius szerver naplózáshoz használt port (accouting port): 1813

Jelszó (shared secret): minden végpontnak egyedi shared secretje van, amit a Dashboardon olvashat

A WPA2 Enterprise protokoll általában az eszköz WIFI-vel foglalkozó menüjének a Wireless Security menüjében található meg.

A fentieken kívül ügyelni kell a következőkre:

* a WPA verzió 2-es legyen

* a titkosítás automatikus vagy AES legyen

Ha minden beállítás megtörtént és fogható az eduroam SSID a vezeték nélküli eszköz révén, akkor a Windows operációs rendszert használók tekintsék meg ezt a leírást a gyors csatlakozás érdekében.

== SOHO eszköz beállításához szükséges paraméterek==

A konfigurációs segédlet egy TP-LINK TL-WR1043ND V1 eszközön kerül bemutatásra a gyári szoftverrel.

* Győződjön meg róla, hogy az eszköz csatlakozik a villamos hálózathoz! Csatlakoztasson egy ethernet kábelt a router 1-4 portjai közül bármelyikre! Nyisson meg egy böngészőt és írja be a címsorba a router IP címét, mint rá kötött eszköz alapértelmezett átjáróját: 192.168.1.1
: A router kérni fogja a belépéshez szükséges felhasználói nevet és jelszót. Ezen információ a router alján lévő matricán található meg Username és Password formájában.

* Navigáljon a router webes felületén a Wireless menüpontra! Írja át a gyári SSID-t eduroam-ra, válassza ki régiónak Magyarországot; a többi beállítás maradhat változatlanul, majd kattintson a Save gombra!

: [[File:Tp_1.jpg|800px]]

* Navigáljon a Wireless Security almenüpontra és kattintson a WPA/WPA2 menüpontra! Válassza ki a Version-nál a WPA2-t, adja meg a Radius Server IP résznél a 195.111.115.15 címet, adja meg a Sulinet Dashboardon kijelzett karaktersorozatot a Radius Password mezőbe, majd kattintson a Save gombra. A router esetlegesen felhívhatja a figyelmét arra, hogy a beállítások csak a router újraindítása után lépnek érvénybe, ekkor indítsa újra az eszközt!

: [[Fájl:tp_2.jpg|800px]]

==OpenWRT telepítése a példakánt TP-LINK TL-WR1043ND v1 routerre==

* Töltse le az OpenWRT lefrissebb verzióját a https://firmware-selector.openwrt.org/ oldalrólm

: <span style="color: red"> '''Fontos! Az eredeti fájlról készült MD5 lenyomatot mindig hasonlítsa össze a letöltött fájl MD5 lenyomatával és csak akkor használja a fájlt, ha az MD5 lenyomatok egyeznek, ellenkező esetben a router működésképtelennél válhat!'''</span>

* Kövesse az előző bekezdés első pontja szerinti utasításokat! Ha eljutott a router webes felületére, akkor navigáljon a System Tools menü, Firmware Upgrade almenüjére!

: [[Fájl:tp_3.jpg|800px]]

* A fájl letöltése után kattintson a Tallózás gombra és keresse meg a letöltött fájlt majd kattintson az Upgrade gombra! A router megerősítést kér a frissítés végrehajtásához, ezt hagyja jóvá egy OK gombra történő kattintással!

: <span style="color: red"> '''Fontos! Szoftverfrissítés idejére mindig biztosítson szünetmentes tápellátást az eszköznek, mert a frissítés közbeni esetleges áramszünettől a router működésképtelenné válhat!'''</span>

: A router automatikusan újra fog indulni. Az új szoftver betöltését a SYS led folyamatos világítása jelzi.

* Nyisson egy böngészőt és írja be a router IP címét a címsorba: 192.168.1.1
: Használja a root felhasználót és a jelszó mezőt hagyja üresen, majd kattintson a Bejelentkezés gombra.

: [[Fájl:1.jpg|800px]]

* Az OpenWRT arra kéri, hogy változtassa meg a jelszavát. Ehhez kattintson a piros kiemelésben található "Ugrás a jelszó beállításához..." linkre.

: [[Fájl:2.jpg|800px]]

* Adja meg a jelszót, majd kattintson a Mentés és Alkalmazás gombra! Ezt követően már sikerülni fog az SSH-n keresztül történő belépés a routerre.

: [[Fájl:3.jpg|800px]]

* A Rendszer menü, Szoftver almenüben megtekintheti a router flash memóriáján lévő szabad helyet. Itt legalább 352 KB szabad helyre van szükség.

: [[Fájl:4.jpg|800px]]

* Lépjen be a routerre SSH-n keresztül! Ehhez használhatja a Putty terminál-emulációs szoftvert, mely letölthető innen: http://the.earth.li/~sgtatham/putty/latest/x86/putty.exe

* Nyissa meg a letöltött terminál-emulációs szoftvert és töltse ki a lenti kép szerint, majd nyomja meg az Open gombot!

: [[Fájl:6.jpg]]

* A felület megjeleníti a router SSH kulcsának publikus részét. Ezt fogadja el a belépéshez! A router felhasználói nevet és jelszót fog kérni: ez root és a korábban beállított jelszó párosa.

: [[Fájl:7.jpg]]

* Csatlakoztassa a router WAN feliratú, kék színű portját a sulinetes 892FSP router privát, védett vagy publikus szegmensbeli portjára!

* Miután a router DHCP-n keresztül kapott IP címet a Cisco eszköztől, adja ki a router SSH felületén az opkg update parancsot!

: [[Fájl:8.jpg]]

* Amennyiben a Cisco router publikus szegmensére kötötte az eszközét, akkor statikus IP beállításokra van szükség. Keresse fel a Hálózatok menü, Interfészek, WAN füleket! Az alapértlemezett beállítás a DHCP ügyfél.

: [[Fájl:8_1.jpg|800px]]

* Kattintson a legördülő menübe és válassza ki a Statikus cím lehetőséget, majd kattintson a Protokoll csere gombra! Ha a protokoll csere megtörtént, akkor beállíthatóak kézzel az IP címek.

: [[Fájl:8_2.jpg|800px]]

* Ennek megtörténte után távolítsa el a wpad-mini csomagot az opkg remove wpad-mini paranccsal és telepítse a wpad csomagot az opkg install wpad paranccsal! Ez kis időt igénybe vehet. Ha a telepítés megtörtént, lépjen ki az SSH felületről az exit paranccsal!

: [[Fájl:9.jpg]]

* Navigáljon ismét a router webes felületén: keresse fel a Hálózat menü, Wifi almenüjét, majd kattintson a Szerkesztés gombra!

: [[Fájl:10.jpg|800px]]

* Lent, az Interfész beállítások résznél írja be az eduroam szót, mint ESSID-t, majd kattintson a Vezetéknélküli biztonság fülre!

: [[Fájl:11.jpg|800px]]

* Állítsa be a kép szerint a felületet majd kattintson a Mentés és Alkalmazás gombra! Ha mindennel elkészült és a Vezetéknélküli hálózat letiltva résznél Engedélyezés gombot lát, akkor nyomja meg!
: Az eduroam hálózat innentől kezdve használható a routeren.

: [[Fájl:12.jpg|800px]]

: Az eduroam használatához történő csatlakozáshoz szükséges információkat az alábbi linken tudja elolvasni: http://sulinet.niif.hu/eduroam#bevezet-s

==Konfiguráció Cisco AP-k esetén==

Az alábbi konfiguráció egy Cisco AIR-SAP1602I-E-K9 típusú AP lényegi konfigurációja, mely segítséget nyújthat az intézmény által üzemeltetett eszköz beállításához.

<code>
! Cisco típusú eszköz esetén a különféle hitelesítési-, authoricáiós- és logolási művelethez engedélyezni kell az AAA-t (Authentication, Authorization, Accounting)<br />
aaa new-model<br />
! RADIUS szerver csoportot kell létrehozni radius_eduroam néven (bármilyen név csoportnév megfelelő, viszont később tudni kell rá hivatkozni), melybe a lenti két szerver tartozik; konkrét szerver IP definiálása lejjebb található<br />
aaa group server radius radius_eduroam
server name radius2.eduroam
server name radius1.eduroam<br />
! létre kell hozni egy AAA method-listet, ami a fenti Eduroam szerverekre hivatkozik<br />
aaa authentication login eap_eduroam group radius_eduroam<br />
! a lenti beállítással rögzítésre kerülnek a hitelesítés hibák (téves jelszó, téves felhasználói név használata)<br />
aaa accounting send stop-record authentication failure
aaa accounting update newinfo<br />
! létre kell hozni egy accounting_eduroam nevű method-listet (szintén bármilyen más fantázianév megfelelő, viszont később tudni kell rá hivatkozni), ami a hálózati tevékenység logolását engedélyezi; ez szintén a radius-szerverekre hivatkozik<br />
aaa accounting network accounting_eduroam start-stop group radius_eduroam<br />
! beállítjuk, hogy az AP több SSID-t is kezeljen és logoljon (amennyiben az intézménynek van saját SSID-ja az eduroam-on kívül)<br />
dot11 mbssid
dot11 syslog<br />
! létre kell hozni az eduroam nevű SSID-t és úgy beállítani, hogy a RADIUS szervereket használja a hitelesítéshez<br />
dot11 ssid eduroam
vlan 101
authentication open eap eap_eduroam
authentication network-eap eap_eduroam
authentication key-management wpa version 2
accounting accounting_eduroam
mbssid guest-mode<br />
! attól függően, hogy az AP tudja-e a 802.11a-t, attól függően Dot11Radio0 és/vagy Dot11Radio1 interfészeken is be kell állítani az eduroam vlan titkosítását és az SSID interfészhez történő hozzárendelését<br />
interface Dot11Radio0 és/vagy Dot11Radio1
encryption vlan 101 mode ciphers aes-ccm
ssid eduroam<br />
! hozzá kell rendelni a BVI1 interfészt egy tetszőleges VLAN-hoz, aminek egyeznie kell a fenti dot11 ssid eduroam parancsban megadottakkal<br />
interface Dot11Radio0.101
encapsulation dot1Q 101
no ip route-cache
bridge-group 1
bridge-group 1 subscriber-loop-control
bridge-group 1 spanning-disabled
bridge-group 1 block-unknown-source
no bridge-group 1 source-learning
no bridge-group 1 unicast-flooding<br />
! az AP uplink interfészét is hozzá kell rendelni a BVI1 interfészhez<br />
interface GigabitEthernet0
bridge-group 1
bridge-group 1 spanning-disabled
no bridge-group 1 source-learning<br />
! IP adatokkal el kell látni a BVI1 interfészt; a lenti példában DHCP-n keresztül kapja meg a menedzseléshez szükséges IP címet, ami az ap1 kliens-azonosító miatt mindig ugyanaz lesz< br/>
interface BVI1
ip dhcp client client-id ascii ap1
ip address dhcp
no ip route-cache<br />
! meg kell adni egy interfészt, amit forrás-címként fog használni az eszköz a radius-szerverrel történő kommunikáláshoz, pl. Loopback0<br />
ip radius source-interface Loopback0<br />
! meg kell adni a legelső sorokban meghatározott radius-szerverek IP-jét, a kommunikációs portokat és a radius-szerver által használt jelszót titkosított formában<br />
radius-server attribute 32 include-in-access-req format %h
radius server radius1.eduroam
address ipv4 195.111.98.15 auth-port 1812 acct-port 1813
key 0 ''egyedi_shared_secret_helye''
radius server radius2.eduroam
address ipv4 195.111.115.15 auth-port 1812 acct-port 1813
key 0 ''egyedi_shared_secret_helye''<br />
! engedélyezzük az STP-t és az IP routolását a BVI1-hez rendelt interfészeken<br />
bridge 1 protocol ieee
bridge 1 route ip
bridge irb
</code>

Intézményi üzemeltetésű Sulinet Eduroam AP-k konfigurációja

2023-10-24T13:47:35Z

Mohacsi(AT)niif.hu:

Az eduroam hálózat lehetőséget biztosít arra, hogy a Sulinet Dashboard felületen felvett felhasználók bármilyen, eduroam SSID-t használó intézményben internet-hozzáféréshez jussanak.

Ezzel kapcsolatban felmerültek igények, hogy bármilyen típusú, az intézmény által üzemeltetett eszközzel is megvalósítható legyen ezen hozzáférés. Ezen szolgáltatás igénybevételéhez egy olyan iskolai eduroam/eduID felhasználási szerződést kell kötni az intézménnyel, amelyben az intézmény vállalja, hogy az eduroam szabályai szerint működteti az AP-ket és erre vonatkozó szerződést köt a KIFÜ-vel.

Technikailag legtöbb vezeték nélküli eszközön megvalósítható az eduroam hálózat beállítása;

==Eszköz beállításához szükséges paraméterek==

Bármilyen vezeték nélkül eszköz, mely képes kezelni a WPA2 Enterprise protokollt, azon be lehet állítani az eduroam hálózatot az alábbiak szerint (egyelőre csak úgy működik, ha a vezeték nélküli eszköz a sulinetes router privát vagy védett szemensére van kötve):

Radius szerver IP: 195.111.98.15, 195.111.115.15

Radius szerver hitelesítéshez használt port (authentication port): 1812

Radius szerver naplózáshoz használt port (accouting port): 1813

Jelszó (shared secret): minden végpontnak egyedi shared secretje van, amit a Dashboardon olvashat

A WPA2 Enterprise protokoll általában az eszköz WIFI-vel foglalkozó menüjének a Wireless Security menüjében található meg.

A fentieken kívül ügyelni kell a következőkre:

* a WPA verzió 2-es legyen

* a titkosítás automatikus vagy AES legyen

Ha minden beállítás megtörtént és fogható az eduroam SSID a vezeték nélküli eszköz révén, akkor a Windows operációs rendszert használók tekintsék meg ezt a leírást a gyors csatlakozás érdekében.

== SOHO eszköz beállításához szükséges paraméterek==

A konfigurációs segédlet egy TP-LINK TL-WR1043ND V1 eszközön kerül bemutatásra a gyári szoftverrel.

* Győződjön meg róla, hogy az eszköz csatlakozik a villamos hálózathoz! Csatlakoztasson egy ethernet kábelt a router 1-4 portjai közül bármelyikre! Nyisson meg egy böngészőt és írja be a címsorba a router IP címét, mint rá kötött eszköz alapértelmezett átjáróját: 192.168.1.1
: A router kérni fogja a belépéshez szükséges felhasználói nevet és jelszót. Ezen információ a router alján lévő matricán található meg Username és Password formájában.

* Navigáljon a router webes felületén a Wireless menüpontra! Írja át a gyári SSID-t eduroam-ra, válassza ki régiónak Magyarországot; a többi beállítás maradhat változatlanul, majd kattintson a Save gombra!

: [[File:Tp_1.jpg|800px]]

* Navigáljon a Wireless Security almenüpontra és kattintson a WPA/WPA2 menüpontra! Válassza ki a Version-nál a WPA2-t, adja meg a Radius Server IP résznél a 195.111.115.15 címet, adja meg a Sulinet Dashboardon kijelzett karaktersorozatot a Radius Password mezőbe, majd kattintson a Save gombra. A router esetlegesen felhívhatja a figyelmét arra, hogy a beállítások csak a router újraindítása után lépnek érvénybe, ekkor indítsa újra az eszközt!

: [[Fájl:tp_2.jpg|800px]]

==OpenWRT telepítése a TP-LINK TL-WR1043ND v1 routerre==

* Töltse le az OpenWRT Barrier Breaker 14.07 by suste/HeadLess felhasználók által készített szoftvert az alábbi linkről: http://susteopenwrt.ipdns.hu/?directory=.%2FOpenwrt_Barrier_Breaker%2FTP-LINK-TL-WR1043N-ND-V1%2F

: Ezen a linken válassza ki a suste-OpenWRT-BB-0.7-tl-wr1043nd-v1-squashfs-factory.bin nevű fájlt és töltse le!
: <span style="color: red"> '''Fontos! Az eredeti fájlról készült MD5 lenyomatot mindig hasonlítsa össze a letöltött fájl MD5 lenyomatával és csak akkor használja a fájlt, ha az MD5 lenyomatok egyeznek, ellenkező esetben a router működésképtelennél válhat!'''</span>

* Kövesse az előző bekezdés első pontja szerinti utasításokat! Ha eljutott a router webes felületére, akkor navigáljon a System Tools menü, Firmware Upgrade almenüjére!

: [[Fájl:tp_3.jpg|800px]]

* A fájl letöltése után kattintson a Tallózás gombra és keresse meg a letöltött fájlt majd kattintson az Upgrade gombra! A router megerősítést kér a frissítés végrehajtásához, ezt hagyja jóvá egy OK gombra történő kattintással!

: <span style="color: red"> '''Fontos! Szoftverfrissítés idejére mindig biztosítson szünetmentes tápellátást az eszköznek, mert a frissítés közbeni esetleges áramszünettől a router működésképtelenné válhat!'''</span>

: A router automatikusan újra fog indulni. Az új szoftver betöltését a SYS led folyamatos világítása jelzi.

* Nyisson egy böngészőt és írja be a router IP címét a címsorba: 192.168.1.1
: Használja a root felhasználót és a jelszó mezőt hagyja üresen, majd kattintson a Bejelentkezés gombra.

: [[Fájl:1.jpg|800px]]

* Az OpenWRT arra kéri, hogy változtassa meg a jelszavát. Ehhez kattintson a piros kiemelésben található "Ugrás a jelszó beállításához..." linkre.

: [[Fájl:2.jpg|800px]]

* Adja meg a jelszót, majd kattintson a Mentés és Alkalmazás gombra! Ezt követően már sikerülni fog az SSH-n keresztül történő belépés a routerre.

: [[Fájl:3.jpg|800px]]

* A Rendszer menü, Szoftver almenüben megtekintheti a router flash memóriáján lévő szabad helyet. Itt legalább 352 KB szabad helyre van szükség.

: [[Fájl:4.jpg|800px]]

* Lépjen be a routerre SSH-n keresztül! Ehhez használhatja a Putty terminál-emulációs szoftvert, mely letölthető innen: http://the.earth.li/~sgtatham/putty/latest/x86/putty.exe

* Nyissa meg a letöltött terminál-emulációs szoftvert és töltse ki a lenti kép szerint, majd nyomja meg az Open gombot!

: [[Fájl:6.jpg]]

* A felület megjeleníti a router SSH kulcsának publikus részét. Ezt fogadja el a belépéshez! A router felhasználói nevet és jelszót fog kérni: ez root és a korábban beállított jelszó párosa.

: [[Fájl:7.jpg]]

* Csatlakoztassa a router WAN feliratú, kék színű portját a sulinetes 892FSP router privát, védett vagy publikus szegmensbeli portjára!

* Miután a router DHCP-n keresztül kapott IP címet a Cisco eszköztől, adja ki a router SSH felületén az opkg update parancsot!

: [[Fájl:8.jpg]]

* Amennyiben a Cisco router publikus szegmensére kötötte az eszközét, akkor statikus IP beállításokra van szükség. Keresse fel a Hálózatok menü, Interfészek, WAN füleket! Az alapértlemezett beállítás a DHCP ügyfél.

: [[Fájl:8_1.jpg|800px]]

* Kattintson a legördülő menübe és válassza ki a Statikus cím lehetőséget, majd kattintson a Protokoll csere gombra! Ha a protokoll csere megtörtént, akkor beállíthatóak kézzel az IP címek.

: [[Fájl:8_2.jpg|800px]]

* Ennek megtörténte után távolítsa el a wpad-mini csomagot az opkg remove wpad-mini paranccsal és telepítse a wpad csomagot az opkg install wpad paranccsal! Ez kis időt igénybe vehet. Ha a telepítés megtörtént, lépjen ki az SSH felületről az exit paranccsal!

: [[Fájl:9.jpg]]

* Navigáljon ismét a router webes felületén: keresse fel a Hálózat menü, Wifi almenüjét, majd kattintson a Szerkesztés gombra!

: [[Fájl:10.jpg|800px]]

* Lent, az Interfész beállítások résznél írja be az eduroam szót, mint ESSID-t, majd kattintson a Vezetéknélküli biztonság fülre!

: [[Fájl:11.jpg|800px]]

* Állítsa be a kép szerint a felületet majd kattintson a Mentés és Alkalmazás gombra! Ha mindennel elkészült és a Vezetéknélküli hálózat letiltva résznél Engedélyezés gombot lát, akkor nyomja meg!
: Az eduroam hálózat innentől kezdve használható a routeren.

: [[Fájl:12.jpg|800px]]

: Az eduroam használatához történő csatlakozáshoz szükséges információkat az alábbi linken tudja elolvasni: http://sulinet.niif.hu/eduroam#bevezet-s

==Konfiguráció Cisco AP-k esetén==

Az alábbi konfiguráció egy Cisco AIR-SAP1602I-E-K9 típusú AP lényegi konfigurációja, mely segítséget nyújthat az intézmény által üzemeltetett eszköz beállításához.

<code>
! Cisco típusú eszköz esetén a különféle hitelesítési-, authoricáiós- és logolási művelethez engedélyezni kell az AAA-t (Authentication, Authorization, Accounting)<br />
aaa new-model<br />
! RADIUS szerver csoportot kell létrehozni radius_eduroam néven (bármilyen név csoportnév megfelelő, viszont később tudni kell rá hivatkozni), melybe a lenti két szerver tartozik; konkrét szerver IP definiálása lejjebb található<br />
aaa group server radius radius_eduroam
server name radius2.eduroam
server name radius1.eduroam<br />
! létre kell hozni egy AAA method-listet, ami a fenti Eduroam szerverekre hivatkozik<br />
aaa authentication login eap_eduroam group radius_eduroam<br />
! a lenti beállítással rögzítésre kerülnek a hitelesítés hibák (téves jelszó, téves felhasználói név használata)<br />
aaa accounting send stop-record authentication failure
aaa accounting update newinfo<br />
! létre kell hozni egy accounting_eduroam nevű method-listet (szintén bármilyen más fantázianév megfelelő, viszont később tudni kell rá hivatkozni), ami a hálózati tevékenység logolását engedélyezi; ez szintén a radius-szerverekre hivatkozik<br />
aaa accounting network accounting_eduroam start-stop group radius_eduroam<br />
! beállítjuk, hogy az AP több SSID-t is kezeljen és logoljon (amennyiben az intézménynek van saját SSID-ja az eduroam-on kívül)<br />
dot11 mbssid
dot11 syslog<br />
! létre kell hozni az eduroam nevű SSID-t és úgy beállítani, hogy a RADIUS szervereket használja a hitelesítéshez<br />
dot11 ssid eduroam
vlan 101
authentication open eap eap_eduroam
authentication network-eap eap_eduroam
authentication key-management wpa version 2
accounting accounting_eduroam
mbssid guest-mode<br />
! attól függően, hogy az AP tudja-e a 802.11a-t, attól függően Dot11Radio0 és/vagy Dot11Radio1 interfészeken is be kell állítani az eduroam vlan titkosítását és az SSID interfészhez történő hozzárendelését<br />
interface Dot11Radio0 és/vagy Dot11Radio1
encryption vlan 101 mode ciphers aes-ccm
ssid eduroam<br />
! hozzá kell rendelni a BVI1 interfészt egy tetszőleges VLAN-hoz, aminek egyeznie kell a fenti dot11 ssid eduroam parancsban megadottakkal<br />
interface Dot11Radio0.101
encapsulation dot1Q 101
no ip route-cache
bridge-group 1
bridge-group 1 subscriber-loop-control
bridge-group 1 spanning-disabled
bridge-group 1 block-unknown-source
no bridge-group 1 source-learning
no bridge-group 1 unicast-flooding<br />
! az AP uplink interfészét is hozzá kell rendelni a BVI1 interfészhez<br />
interface GigabitEthernet0
bridge-group 1
bridge-group 1 spanning-disabled
no bridge-group 1 source-learning<br />
! IP adatokkal el kell látni a BVI1 interfészt; a lenti példában DHCP-n keresztül kapja meg a menedzseléshez szükséges IP címet, ami az ap1 kliens-azonosító miatt mindig ugyanaz lesz< br/>
interface BVI1
ip dhcp client client-id ascii ap1
ip address dhcp
no ip route-cache<br />
! meg kell adni egy interfészt, amit forrás-címként fog használni az eszköz a radius-szerverrel történő kommunikáláshoz, pl. Loopback0<br />
ip radius source-interface Loopback0<br />
! meg kell adni a legelső sorokban meghatározott radius-szerverek IP-jét, a kommunikációs portokat és a radius-szerver által használt jelszót titkosított formában<br />
radius-server attribute 32 include-in-access-req format %h
radius server radius1.eduroam
address ipv4 195.111.98.15 auth-port 1812 acct-port 1813
key 0 ''egyedi_shared_secret_helye''
radius server radius2.eduroam
address ipv4 195.111.115.15 auth-port 1812 acct-port 1813
key 0 ''egyedi_shared_secret_helye''<br />
! engedélyezzük az STP-t és az IP routolását a BVI1-hez rendelt interfészeken<br />
bridge 1 protocol ieee
bridge 1 route ip
bridge irb
</code>

Erasmusplus ESI

2023-01-16T10:58:58Z

Mohacsi(AT)niif.hu: EWP admin

EduidFedStats

2022-10-24T13:29:05Z

Mohacsi(AT)niif.hu:

Ezen az oldalon a föderációban résztvevő IdP-k történő becsatornázásáról lehet olvasni.

* eduID statisztikák:
* statisztikai projektről bővebben, angolul: [[FederationStats]]

==Általában==
Egy IdP-nek naponta egyszer kell beküldenie az összesített, előző napra vonatkozó statisztikáit. A beküldendő fájl az alábbi módon épül fel:

ENTITYID https://idp.niif.hu/idp/shibboleth
APIKEY 0123.......
DATE 2009-03-18

STAT AUTH
68 logins

STAT USER_COUNT
16 unique userids

STAT SSO_TO_SERVICE
1 | urn:geant:niif.hu:niifi:sp:register.ca.niif.hu
12 | https://repo.niif.hu/shibboleth
1 | https://sandbox.aai.niif.hu/shibboleth
5 | https://sysmonitor.hbone.hu/shibboleth
10 | https://www.ki.iif.hu/shibboleth
1 | https://noc6.vh.hbone.hu/shibboleth
21 | https://webadmin.iif.hu/shibboleth
3 | https://rrd-ma.perfsonar.vh.hbone.hu/shibboleth
7 | https://ugyeletes.vh.hbone.hu/shibboleth
2 | https://noc.grid.niif.hu/shibboleth
1 | https://wiki.voip.niif.hu/shibboleth
2 | https://netmonitor.hbone.hu/shibboleth
2 | https://idp.sch.bme.hu:443/opensso/sp/test

A fájl szerkezetileg két részre osztható. Az első három sorban kerül megadásra, hogy a statisztika miről szól (az idp entityID-ja, egy speciális 40 karakteres azonosítója és a dátum), a továbbiakban pedig az egyelőre három különböző statisztika típusra vonatkozó értékek.
* AUTH: az adott napon történt autentikációk száma
* USER_COUNT: az adott napon autentikált felhasználók száma
* SSO_TO_SERVICE: SP-k szerinti bontásban mutatja, hogy az adott napon egy-egy SP-hez hány felhasználót irányított az IdP

==Teendők==
# Kivonatoló python szkript letöltése. Jelenleg [[Média:Audit_shib._py|Shibboleth-hez]] és [[Média:Audit_ssp._py|simpleSAMLphp-hez]] készítettük el.
# A beküldendő fájlt elkészítő [[FederationStats#Running_the_log_statistics_collector|szkript]] letöltése - ugyanaz Shibboleth-hez is és impleSAMLphp-hez is, lévén a forrás, melyből dolgoznak (a fenti szkript kimenete) ugyanaz.
# Az utóbbi szkript elején meg kell adni a beállításokat.

<source lang="bash">
PARSER_COMMAND="/opt/shibboleth-idp/bin/audit_r7.py" //Az első lépésben letöltött szkript elérési útvonala
SOURCEDIR="/opt/shibboleth-idp/logs" //A statisztika alapját képző logok elérési útvonala
TARGETDIR="/tmp" //Munkakönyvtár - itt hozza létre a beküldendő fájlokat a szkript, majd beküldés után törli is őket innen

ENTITYID="idp-entity-id" //Az idp entityID-je
APIKEY="aaa..." //A 40 karakteres egyedi azonosító. Ezt az első beküldés előtt meg kell kérni: aai@niif.hu
LOCATION2PUT="http://eduid.hu/stats/import_stats" //Az eduID statisztikái ezen az url-en keresztül kerülnek fogadásra

//Az alábbi két sorban az audit logokat tartalmazó fájlnév mintáját adjuk meg - ez idp-nként változhat, az alábbi példa egy Shibboleth IdP-re vonatkozik
DATE=`date -d "yesterday" +"%Y-%m-%d"`
SOURCEFILE="$SOURCEDIR/idp-audit-$DATE.log"
</source>

Mindezek után az utóbbi szkriptet célszerű betenni egy cronjobba, mindennapi futtatással. Érdemes kora hajnali időpontot megadni, hisz ekkor már elérhetők az előző napi statisztikák, és az adott nap munkaidőben pedig már tudjuk nézegetni a beküldött adatokat :)

===Alternatív megoldás ===
Shibboleth-hez választható cstamas python szkriptje is, amely által kihagyható a shell szkriptes ügyeskedés, és minden egy python configon keresztül adható meg.

* Szkript: [[Fájl:Audit_shib_cstamas._py]]
* Példa konfig: [[Fájl:Audit_shib_cstamas.cfg]]

Használata:
review
./Audit_shib_cstamas.py -lupe -d 2010-11-28 --config Audit_shib_cstamas.cfg /tmp/idp-audit-2010-11-28.log

upload
./Audit_shib_cstamas.py -lupe -d 2010-11-28 --config Audit_shib_cstamas.cfg --up /tmp/idp-audit-2010-11-28.log

Természetesen a megfelelő beállítások után ezt is napi rendszerességgel kell lefuttatni.

Erre ime egy megoldas, ez cronjobbal vagy valami alternativ utemezovel indithato.

<source lang="bash">
#!/bin/sh

set -e

cd /ahol-a-script-van
# vagy a scriptet berakod a pathba es teljes utvonallal hivatkozol a konfigra

for i in /usr/local/shibboleth-idp-2.2.0-slo9/logs/idp-audit-201*log
do
d=$(echo $i | cut -b 53-62)
# XXX a cut -nak a datumot kell kiszednie a fajlnevbol, igy valtoztatas szukseges
./Audit_shib_cstamas.py -lupe -d $d --config Audit_shib_cstamas.cfg --up $i
gzip -v9 $i
sleep 5
done
</source>

FederationStats

2022-10-24T13:27:55Z

Mohacsi(AT)niif.hu: /* Federation usage statistics */

= Federation usage statistics =
{{TODO_EN|I am a stub, please fix me!}}

Federation visualization project - discountinued.
* source (ruby on rails) https://repo.niif.hu/gitweb/gitweb.cgi?p=federation-stats.git;a=summary
* live demo

== Running the sample project ==
* Install Ruby
* Install Rails (<code>gem install rails</code>)
* Setup a <code>development.sqlite3</code> database with the <code>rake db:setup</code> command
* Fire up <code>script/server</code>, it will run the project on localhost:3000

== Statistic types ==
Currently we have the following types of statistics:
* Unique users per day (<code>USER_COUNT</code>)
* AuthnResponse per day (<code>AUTH</code>)
* AuthnResponse per service per day (<code>SSO_TO_SERVICE</code>)

== Log statistics format ==
The following simple format is used to convey statistics from IdPs to the central module - the white spaces (new lines) are important:

ENTITYID #ENTITYID#
APIKEY #API_KEY#
DATE yyyy-mm-dd

STAT #STAT_ID#
xxxx

STAT #STAT_ID#
yyyy

STAT #STAT_ID#
ww | #PEER_ENTITY_1#
zz | #PEER_ENTITY_2#

The following sample might help understanding the format:

ENTITYID https://idp.niif.hu/idp/shibboleth
APIKEY 0123.......
DATE 2009-03-18

STAT AUTH
68 logins

STAT USER_COUNT
16 unique userids

STAT SSO_TO_SERVICE
1 | urn:geant:niif.hu:niifi:sp:register.ca.niif.hu
12 | https://repo.niif.hu/shibboleth
1 | https://sandbox.aai.niif.hu/shibboleth
5 | https://sysmonitor.hbone.hu/shibboleth
10 | https://www.ki.iif.hu/shibboleth
1 | https://noc6.vh.hbone.hu/shibboleth
21 | https://webadmin.iif.hu/shibboleth
3 | https://rrd-ma.perfsonar.vh.hbone.hu/shibboleth
7 | https://ugyeletes.vh.hbone.hu/shibboleth
2 | https://noc.grid.niif.hu/shibboleth
1 | https://wiki.voip.niif.hu/shibboleth
2 | https://netmonitor.hbone.hu/shibboleth
2 | https://idp.sch.bme.hu:443/opensso/sp/test

== Running the log statistics collector ==
This following script can be used the collect statistics from the idp audit logs of Shibboleth 2 IdP generated on the day before running. It is based on Peter Schober's audit_r7.py, and good for run from daily cronjob:

<source lang="bash">
#!/bin/bash

#Config section
PARSER_COMMAND="/opt/shibboleth-idp/bin/audit_r7.py"
SOURCEDIR="/opt/shibboleth-idp/logs"
TARGETDIR="/tmp"

ENTITYID="idp-entity-id"
APIKEY="aaa..."
LOCATION2PUT="https://fedstats.example.org/import_stats"

DATE=`date -d "yesterday" +"%Y-%m-%d"`
SOURCEFILE="$SOURCEDIR/idp-audit-$DATE.log"

#Should not edit below this

if [ -f $SOURCEFILE ]
then
LOGINS=`$PARSER_COMMAND -l $SOURCEFILE`
UNIQUE_LOGINS=`$PARSER_COMMAND -u $SOURCEFILE`
SERVICES=`$PARSER_COMMAND -p $SOURCEFILE | sed '/^[0-9]/p' -n`

TARGETFILE="stat-$DATE.log"

echo "ENTITYID $ENTITYID
APIKEY $APIKEY
DATE $DATE

STAT AUTH
$LOGINS

STAT USER_COUNT
$UNIQUE_LOGINS

STAT SSO_TO_SERVICE
$SERVICES
" > $TARGETDIR/$TARGETFILE

wget -q --no-check-certificate --post-file=$TARGETDIR/$TARGETFILE $LOCATION2PUT -O /dev/null
rm $TARGETDIR/$TARGETFILE
fi

</source>

The script below can be used the collect statistics from all the idp audit logs placed in a folder.

<source lang="bash">
#!/bin/bash

#Config section
PARSER_COMMAND="/opt/shibboleth-idp/bin/audit_r7.py"
SOURCEDIR="/opt/shibboleth-idp/logs"
TARGETDIR="/tmp"

ENTITYID="idp-entity-id"
APIKEY="aaa..."
LOCATION2PUT="https://fedstats.example.org/import_stats"

FILES="idp-audit-*.log"

#Should not edit below this
cd $SOURCEDIR
for f in $FILES
do
if [ -f $f ]
then
echo "Processing $f file..."
DATE=${f:10:10}
LOGINS=`$PARSER_COMMAND -l $f`
UNIQUE_LOGINS=`$PARSER_COMMAND -u $f`
SERVICES=`$PARSER_COMMAND -p $f | sed '/^[0-9]/p' -n`

TARGETFILE="stat-$DATE.log"

echo "ENTITYID $ENTITYID
APIKEY $APIKEY
DATE $DATE

STAT AUTH
$LOGINS

STAT USER_COUNT
$UNIQUE_LOGINS

STAT SSO_TO_SERVICE
$SERVICES
" > $TARGETDIR/$TARGETFILE

wget -q --no-check-certificate --post-file=$TARGETDIR/$TARGETFILE $LOCATION2PUT -O /dev/null
rm $TARGETDIR/$TARGETFILE
fi
done
</source>

== Feeding the database with the statistics ==
The federation statistics rails project contains the <code>script/stat_parser/file.rb</code> command which can process the statistics format and load the data to the database. Note that this script currently contains an absolute path for the <code>script/runner</code> script, so you must fix this before use.

== Using HTTP-Post to feed the database ==
When deployed, the rails project provides a <code>/import_stats</code> URL to which one could POST the generated statistics file.

== Creating IdPs ==
Use the rails console to create new idps:

$ RAILS_ENV=production script/console

>> Entity.create :name => 'foo', :entity_type => 'idp'

=> #<Entity id: 1, name: "foo", entity_type: "idp", created_at: "2010-11-29 14:55:40", updated_at: "2010-11-29 14:55:40", api_key: "da9l233a45698fa5c4a252e301e3da2sf5ece24e">

[[Category:Csonkok]]

Managed idp

2022-06-03T12:42:01Z

Mohacsi(AT)niif.hu: mendzselt eduID IdP

== Menedzselt eduID IdP szolgáltatás ==
A menedzselt eduID IdP egy olyan szolgáltatás, amelyet a KIFÜ működtet azon intézményeknek, amelyek:
* KIFÜ csatlakozó intézmények vagy jogosultak igénybe venni a KIFÜ oktatás, kutatási, közgyújtemények számára nyújtott szolgáltatásokat;
* nem rendelkeznek az Identity Provider (IdP) szolgáltatás bevezetéséhez és karbantartásához szükséges infrastruktúrával vagy technikailag felkészült emberekkel.

A KIFÜ és az intézmény közötti szerződés aláírása után lehetőség nyílik a következőkre:
* felhasználói fiókok létrehozása az intézmény által kijelölt adminisztrátor(ok) által;
* eduID tagként részvétel az eduID szolgáltatásaiban (beleértve az eduGAIN és Erasmus+ szolgáltatásokat is)

A szerződéssel kapcsolatban kérjük keresse a KIFÜ ügyfélszolgálatát.

Pro-M Oktatási Üzletág szolgáltatások

2022-06-03T12:28:00Z

Mohacsi(AT)niif.hu: managed_idp

<div class="starter_top" style="display: flex; flex-flow: row wrap; justify-content: space-between; margin: 1em 0;">
<div class="starter1" style="box-sizing: border-box; float: left; width: 32%; padding: 0; border: 1px solid #4277bc;">
<div class="starter1b" style="font-size: 105%; padding: 0.3em; font-weight: bold; min-height: 2em; vertical-align: middle; background-color: #4277bc; color: white;">AAI & Eduroam</div>
<div class="starter1c" style="background: #ffffff; padding: 0.2em 0.4em;">

* [[AAI]]: AAI-val és az eduID föderációval kapcsolatos leírások
* [[EduID_Cloud365 | EduID Cloud 365]]: Office 365 elérése EduID segítségével
* [[Eduroam]]: Eduroam-al kapcsolatos leírások
* [[managed_idp |Menedzselt eduID IdP]]
</div>
</div>
<div class="starter1" style="padding: 0; border: 1px solid #4277bc; width: 33%;">
<div class="starter1b" style="font-size: 105%; padding: 0.3em; font-weight: bold; min-height: 2em; vertical-align: middle; background-color: #4277bc; color: white;">Felhő szolgáltatások</div>
<div class="starter1c" style="background: #ffffff; padding: 0.2em 0.4em;">

* [[C4E|Cloud for Education (C4E)]]
* [[NIIF_E-mail|E-mail kliensek beállításai]]
</div>
</div>

<div class="starter1" style="padding: 0; border: 1px solid #4277bc; width: 33%;">
<div class="starter1b" style="font-size: 105%; padding: 0.3em; font-weight: bold; min-height: 2em; vertical-align: middle; background-color: #4277bc; color: white;">HPC</div>

* [[HPC|NIIF szuperszámítógépek]]

<div class="starter1c" style="background: #ffffff; padding: 0.2em 0.4em;"></div>
</div>
</div>

<div class="starter_bot" style="display: flex; flex-flow: row wrap; justify-content: space-between; margin: 1em 0;">
<div class="starter1" style="box-sizing: border-box; float: left; width: 32%; padding: 0; border: 1px solid #4277bc;">
<div class="starter1b" style="font-size: 105%; padding: 0.3em; font-weight: bold; min-height: 2em; vertical-align: middle; background-color: #4277bc; color: white;">Multimédia</div>
<div class="starter1c" style="background: #ffffff; padding: 0.2em 0.4em;">

* [[VVC]]: Voice Video Collaboration
</div>
</div>

<div class="starter1" style="box-sizing: border-box; float: left; width: 33%; padding: 0; border: 1px solid #4277bc;">
<div class="starter1b" style="font-size: 105%; padding: 0.3em; font-weight: bold; min-height: 2em; vertical-align: middle; background-color: #4277bc; color: white;">Diákháló</div>
<div class="starter1c" style="background: #ffffff; padding: 0.2em 0.4em;">

* [[SulinetDashboard | SulinetAdmin Dashboard]]: Sulinet infrastruktúra szolgáltatásokkal kapcsolatos integrált adminisztrációs rendszer
* [[SRM | Sulinet Rendszergazda Menedzser]]: Iskolák rendszergazdáinak kezelése
* [[Sulinet Eduroam | Intézményi üzemeltetésű Sulinet Eduroam AP-k konfigurációja]]
</div>

</div>
<div class="starter1" style="box-sizing: border-box; float: left; width: 33%; padding: 0; border: 1px solid #4277bc;">
<div class="starter1b" style="font-size: 105%; padding: 0.3em; font-weight: bold; min-height: 2em; vertical-align: middle; background-color: #4277bc; color: white;">Ügyféltámogatás</div>
<div class="starter1c" style="background: #ffffff; padding: 0.2em 0.4em;">

* CSIRT, [[Andromeda malware | Andromeda malware]]: Andromeda malware-el kapcsolatos bejelentések.
</div>
</div>
</div>

== Egyéb szolgáltatásokhoz tartozó leírások ==
* [[Archiver | Tape archiver]]
* [[Névtár]]: NIIF Névtárban hasznos tudnivalók, LDAP alapú alkalmazás-integráció, stb.
* [[TCS | Szerver tanúsítvány szolgáltatás]]

----
: [[Wiki Login|Bővebben a Wiki belépésről]]
: [[Szerkesztési irányelvek]]
: [[Segítség a MediaWiki használatához]]

HPC felhasznaloi alapelvek

2022-01-28T12:30:11Z

Mohacsi(AT)niif.hu: /* A KIFÜ Szuperszámítógép Felhasználói Szabályzata */

== A KIFÜ Szuperszámítógép Felhasználói Szabályzata ==
Az alábbi dokumentum által rögzített szabályok a Kormányzati Informatikai Fejlesztési Ügynökség (KIFÜ) Szuperszámítógép Központ összes felhasználója számára kötelezően betartandók. A szabályok megszegését a KIFÜ szankcionálja. Noha a szabályok számos tiltást is tartalmaznak, ezek célja természetesen nem a munka megnehezítése vagy kényelmetlenné tétele. Az üzemeltetők szándéka az, hogy ezt a nagy értékű erőforrást minél biztonságosabban és minél hatékonyabban, minél több felhasználó használhassa. Ezért van szükség az olykor szigorú rendszabályok maradéktalan betartására, melyek egyben a felhasználók érdekeit is szolgálják.

'''1. A témaszám'''
# A témaszámok egyediek, személyre szólóak, át nem ruházhatók, kölcsön nem adhatók még ideiglenesen sem.
# A témaszám tulajdonosa a témaszámot kizárólag az igényléskor bejelentett projekthez és feladatokhoz használhatja.
# A témaszám átvételével a felhasználó deklarálja, hogy megismerte, elfogadja és magára nézve kötelezőnek tartja a szuperszámítógép Felhasználói Szabályzatát.

'''2. Biztonság'''
# Minden körülmények között törekedni kell a rendszer és adatainak maximális biztonságára.
# A rendszerben észlelt bármilyen biztonsági probléma, hiba vagy a témaszám illegális használatára, a rendszerbe való betörésre utaló jelek esetén haladéktalanul értesíteni kell a KIFÜ-t.
# A felhasználó számítógépe és a szuperszámítógép között kizárólag biztonságos (titkosított adatátvitelt használó)protokollok segítségével szabad kapcsolatot teremteni. Mind az alfanumerikus illetve a grafikus felületek továbbításához, a file transzferhez az ssh (secure shell) protokollt kell használni.
# Tilos a szuperszámítógépet elektronikus levelezésre, Webböngészésre használni, valamint tilos rajta hálózati szolgáltatásokat üzemeltetni.
# A standard, telepített alkalmazásokon kívül csak a Kormányzati Informatikai Fejlesztési Ügynökség (KIFÜ) külön engedélyével futtathatók olyan szoftverek amelyek önálló hálózati kommunikációt végeznek.

'''3. A szuperszámítógép használata'''
# A szuperszámítógépet csak érvényes témaszám birtokában, a témaszám igénylésekor megjelölt feladatokra lehet használni a kapott kvóták keretein belül.
# A szuperszámítógép erőforrásait takarékosan kell használni, kerülve a szükségesnél több kapacitás használatát.
# Tilos az erőforrásokat a kapott kvóták keretein túl igénybe venni, vagy ezt megkísérelni.
# Tilos az operációs rendszer védelmi rendszerének a feltörését megkísérelni.
# Tilos a szuperszámítógépre nem jogtiszta szoftvereket telepíteni.
# Tilos a szuperszámítógépet bármilyen törvénybe ütköző cselekedetre használni.
# Tilos a szuperszámítógéppel olyan tevékenységet folytatni, amely ellentétes a [https://kifu.gov.hu/sites/default/files/KIF%C3%9C_NIIF_Program_Felhaszn%C3%A1l%C3%B3i_Szab%C3%A1lyzat_v1.pdf KIFÜ NIIF Program használatának szabályzatával.](KIFÜ AUP)
# A felhasználó a Felhasználói Szabályzat rendelkezéseinek betartásán túlmenően mindenkor köteles elfogadni és követni a szuperszámítógépet üzemeltető személyzet esetleges utasításait.
# A felhasználó kizárólagosan felelős a témaszámán folytatott mindennemű tevékenységért és a rendelkezésére bocsátott erőforrásokért erkölcsi, anyagi és jogi értelemben egyaránt.

'''4. Az üzemeltető jogai'''
# A szuperszámítógép felhasználója tudomásul veszi, hogy a felhasználás tényére, a projektre és annak eredményeire a KIFÜ nyilvánosan is hivatkozhat.
# Az üzemeltetőnek jogában áll a rendszer karbantartása illetve hibaelhárítás során a felhasználó katalógusaiba és file-jaiba betekinteni, noha azok tartalmát harmadik féllel nem közölheti (kivéve, ha a Felhasználói Szabályzat megsértésének alapos gyanúja merül fel a felhasználóval szemben).
# A KIFÜ-nek jogában áll a felhasználót szankcionálni abban az esetben ha alapos gyanú merül fel arra vonatkozólag, hogy a felhasználó a Felhasználói Szabályzat rendelkezéseit megsértette. A szankcionálás állhat a hozzáférés korlátozásából vagy felfüggesztéséből, de súlyosabb esetben jogi felelősségre vonás is kezdeményezhető.

'''5. Hivatkozási és beszámolási kötelezettség'''
# A szuperszámítógép alkalmazásával elért tudományos eredmények, tapasztalatok hazai és nemzetközi publikációiban meg kell említeni a KIFÜ infrastruktúra alkalmazásának tényét.
# A szuperszámítógépet felhasználó projektek státuszáról, előrehaladásáról, elért eredményeiről évente legalább egyszer,(illetve a projekt befejeződésekor, a témaszám megszűnésekor, vagy a KIFÜ külön kérésére bármikor) rövid írásos összegzést kell küldeni a KIFÜ-nek melyben többek között meg kell adni a projekttel kapcsolatban megjelent publikációk jegyzékét és elérhetőségét is. Az éves beszámoló megküldésének határideje november 30.

[[Kategória: HPC]]

EduID Cloud365

2021-11-09T08:33:00Z

Mohacsi(AT)niif.hu: szolgáltatás név módosítás

Szükséges lépések a [https://o365.eduid.hu O365.eduid.hu szolgáltatás] igénybevételéhez:
# Intézményi Office365 (intezmenynev.onmicrosoft.com) account igénylése, licenc jogosultságok ellenőrzése
# <del>''"Modern authentication public preview"'' (valójában: [https://msdn.microsoft.com/en-us/library/azure/jj573266.aspx Azure AD Authentication Library]) bekapcsolása az Office365 management felületén</del>
# [[Cloud365_Domains | Domainek beállítása]]
# [[O365 SAML | SAML IdP konfiguráció]]
# Jelzés küldése az aai (AT) niif . hu címre, hogy bekapcsolható a SAML átjáró
# Adminisztrátori belépés a [https://o365.eduid.hu O365.eduid.hu portálra]
#* A portálon az Office365 kapcsolat beállítása
#* Licenc jogosultságok beállítása (milyen termékek érhetők el tanárok, ill. diákok számára)

[[Category: Csonkok]]
[[Category: AAI]]

Eduroam

2021-09-14T10:38:44Z

Mohacsi(AT)niif.hu:

== Szolgáltatás leírása ==

Az eduroam szolgáltatás tartalma, hogy a KIFÜ egy országos szintű megbízható eduroam radius routing infrastuktúrát működtet, amely lehetővé teszi az eduroam tagok számára, hogy saját eduroam azonosítási és kiszolgáló infrastruktúrát működtetve résztvegyenek a hazai és nemzetközi eduroam szolgáltatásban. Az eduroam szolgáltatás biztosítja az eduroam szövetségben résztvevő intézmény hallgatói és oktatói számára a WiFi hálózathoz való biztonságos csatlakozást akár egy távoli intézményből. A felhasználóknak csak egyszer kell beállítaniuk a WiFi hozzáférést (igényelni és telepíteni a hozzáférési tokent) és utána minden intézményben, ahol a hálózathoz lehetőség van WiFi-n keresztül csatlakozni, további beállítás és konfiguráció nélkül működni fog a hozzáférés. Az országos eduraom radius routing infrastruktúra szolgáltatási paramétereit és előírásait az eduroam szabályzat (ERSZ) tartalmazza.

A szolgáltatás részeként KIFÜ egy adatbázist működtet a nemzetközi eduroam szabályzatnak megfelelően.

A szolgáltatás következő komponense egy konfigurációs segéd (eduroam Configuration AssistanT vagy eduroam CAT), amely segítséget nyújt az eduroam tagoknak, hogy egy biztonságos és könnyen használható telepítő készletet tudjanak nyújtani a felhasználóiknak a legelterjedtebb operációs rendszerek esetén.

A szolgáltatás részeként a KIFÜ folyamatosan karbantartja, a felhasználói/tagi és nemzetközi igényeknek és szabályzatoknak megfelelően az eduroam szabályzatait (ERSZ)

== Szolgáltatás bejelentési interfész ==

A bejelentések (hiba és szolgáltatás igénylés is) az eduroam@niif.hu címre írt e-mail segítségével (vagy az ügyfélszolgálatra történő telefonálással történik). A bejelentésből OTRS ticket keletkezik

Erasmusplus ESI

2021-08-13T06:56:55Z

Mohacsi(AT)niif.hu:

== Erasmus+ és ESI ==
Az Európai Hallgatói Kártya Kezdeményezés részeként az Európai Bizottság 2021 júniusától kezdve digitális formában kívánja támogatni az Erasmus programhoz kapcsolódó összes szolgáltatást, mint például az [https://learning-agreement.eu/user/login Online Learning Agreement] (OLA) és az Erasmus+ mobilalkalmazást. A digitalizálás alapvető része a hallgatók azonosítása, amely az [[https://edugain.org eduGAIN]]-en keresztül fog történni.Az eduGAIN szövetség hazai képviselője a KIFÜ, aki Magyarországon az eduID.hu szövetséget működteti, hogy az oktatás, kutatás és közgyűjtemények szereplői az intézményi hitelesítő adataikkal bejelentkezhessenek az eduGAIN szolgáltatásokba. Az eduGAIN-ben a szolgáltatások sikeres azonosítás esetén azonnal megkapják a felhasználók helyes azonosításához és jogosultság kezeléséhez szükséges információkat. Az MyAcademicID működéséhez, az európai hallgatói azonosító (European Student Identifier) helyes létrehozásához és az Erasmus+ szolgáltatásokban szükséges attribútumok beállításhoz szükséges információk az alábbiak.

===MyAcademicID proxy===

Az Erasmus+ szolgáltatásokhoz való hozzáférés a [https://wiki.geant.org/display/SM/MyAcademicID+Identity+and+Access+Management+Service MyAcademicID] projektben létrehozott és a GEANT által kezelt proxyn keresztül történik. Ez azt jelenti, hogy az Erasmus+ összes szolgáltatásának egyetlen szolgáltatója van a következő entitásazonosítóval:
<pre>
https://proxy.prod.erasmus.eduteams.org/metadata/backend.xml
</pre>
A Szolgáltatót az eduID.hu az eduGAIN-en keresztül teszi közzé, így ha az intézménye tagja az eduGAIN-nek is (lásd: Metaadatok), akkor nem kell további lépéseket tenni. Ellenkező esetben lépjen kapcsolatba először a [mailto:info@eduid.hu KIFÜ eduID.hu] csapatával, hogy kérje identitásszolgáltatójának exportálását az eduGAIN-ba, majd konfigurálja be az eduID.hu szolgáltatás által terjesztett eduGAIN metaadatokat (lásd: [[Metadata]] ).

===Attributumok===

Az Erasmus + szolgáltatások eléréséhez szükséges attribútumok a következők.

{| class="wikitable"
|+
!Attributumok
!Leírás
!Példa
|-
|eduPersonPrincipalName
|Állandó, nem célzott, nem újra kiosztható globálisan egyedi azonosító
|<code>username@foobar.hu</code>
|-
|eduPersonTargetedID
|Nem átlátszó, célzott (minden szolgáltatónál más) azonosító, amely nem osztható ki újra
|<samp><code><nowiki>https://idp.foobar.hu/idp/shibboleth!https://sp.example.com/shibboleth!a1b2c3d4-789a-4ca7-8ff9-43216789bdc</nowiki></code></samp>
|-
|displayName
|A felhasználó megjelenítendő neve. '''Szükséges, ha nincsen cn, vagy givenName+sn.'''
|
|-
|cn
|A felhasználó teljes neve. '''Szükséges, ha nincsen displayName vagy givenName+sn.'''
|<code>Gipsz Jakab Aladár</code>
|-
|givenName
|Felhasználó keresztneve. '''Szükséges, ha nincsen displayName vagy cn.'''
|<code>Jakab</code>
|-
|sn
|Felhasználó családi neve. '''Szükséges, ha nincsen displayName vagy cn.'''
|<code>Gipsz</code>
|-
|eduPersonAffiliation
|Felhasználó és intézmény közti viszony leírása.
|<code>[member, student]</code>
|-
|eduPersonScopedAffiliation
|Felhasználó és intézmény közti viszony leírása. scope-al
|<code>[member@foobar.hu, student@foobar.hu]</code>
|-
|schacPersonalUniqueCode
|A szervezet által hozzárendelt személyes egyedi kód (URN). '''Az európai hallgatói azonosító kódolására és továbbítására szolgál.
|<code><nowiki>urn:schac:personalUniqueCode:int:esi:foobar.hu:123456789</nowiki></code>
|-
|schacHomeOrganization
|Szervezete domainje.
|<code>foobar.hu</code>
|-
|schacHomeOrganizationType
|Szervezet típusa (URN)
|<code><nowiki>urn:schac:homeOrganizationType:eu:higherEducationalInstitution</nowiki></code>
|-
|}

===European Student Identifier===

Az European Student Identifier (ESI) globálisan egyedi, tartós, nem célzott azonosító (minden szolgáltatónál ugyanaz marad). Titkosítva kerül továbbításra a <code>schacPersonalUniqueCode</code> attribútumon keresztül. Az ESI két fő módját támogatott:

#<u>országos kód</u>:ha rendelkezésre áll nemzeti hallgatói kód
#<u>intézményenként</u>:jelenleg ez támogatható Magyarországi szinten

Az ESI három részből áll:

* változatlan URN névtér: <code><nowiki>urn:schac:personalUniqueCode:int:esi:</nowiki>:</code>
* szervezet domainje: foobar.hu
* hallgatói azonosító kód (pl. belső nyilvántartási szám): 123456789

Az így kapott teljes ESI: <code><nowiki>urn:schac:personalUniqueCode:int:esi:foo.bar:123456789</nowiki></code>

Az ESI teljes specifikációja elérhető a GEANT wiki-n:

https://wiki.geant.org/display/SM/European+Student+Identifier

=== További információk ===

https://wiki.geant.org/display/SM/Identifier+in+Erasmus+mobility

URN SCHAC

2021-05-07T12:43:26Z

Mohacsi(AT)niif.hu:

== URN schac sémák ==

URN SCHAC

2021-05-07T12:42:43Z

Mohacsi(AT)niif.hu: Üres oldal létrehozva

Erasmusplus ESI

2021-04-13T16:22:17Z

Mohacsi(AT)niif.hu:

== Erasmus+ és ESI ==
Az Európai Hallgatói Kártya Kezdeményezés részeként az Európai Bizottság 2021 júniusától kezdve digitális formában kívánja támogatni az Erasmus programhoz kapcsolódó összes szolgáltatást, mint például az [https://learning-agreement.eu/user/login Online Learning Agreement] (OLA) és az Erasmus+ mobilalkalmazást. A digitalizálás alapvető része a hallgatók azonosítása, amely az [[https://edugain.org eduGAIN]]-en keresztül fog történni.Az eduGAIN szövetség hazai képviselője a KIFÜ, aki Magyarországon az eduID.hu szövetséget működteti, hogy az oktatás, kutatás és közgyűjtemények szereplői az intézményi hitelesítő adataikkal bejelentkezhessenek az eduGAIN szolgáltatásokba. Az eduGAIN-ben a szolgáltatások sikeres azonosítás esetén azonnal megkapják a felhasználók helyes azonosításához és jogosultság kezeléséhez szükséges információkat. Az MyAcademicID működéséhez, az európai hallgatói azonosító (European Student Identifier) helyes létrehozásához és az Erasmus+ szolgáltatásokban szükséges attribútumok beállításhoz szükséges információk az alábbiak.

===MyAcademicID proxy===

Az Erasmus+ szolgáltatásokhoz való hozzáférés a [https://wiki.geant.org/display/SM/MyAcademicID+Identity+and+Access+Management+Service MyAcademicID] projektben létrehozott és a GEANT által kezelt proxyn keresztül történik. Ez azt jelenti, hogy az Erasmus+ összes szolgáltatásának egyetlen szolgáltatója van a következő entitásazonosítóval:
<pre>
https://proxy.prod.erasmus.eduteams.org/metadata/backend.xml
</pre>
A Szolgáltatót az eduID.hu az eduGAIN-en keresztül teszi közzé, így ha az intézménye tagja az eduGAIN-nek is (lásd: Metaadatok), akkor nem kell további lépéseket tenni. Ellenkező esetben lépjen kapcsolatba először a [mailto:info@eduid.hu KIFÜ eduID.hu] szolgáltatással, hogy kérje identitásszolgáltatójának exportálását az eduGAIN-ba, majd konfigurálja be az eduID.hu szolgáltatás által terjesztett eduGAIN-metaadatokat (lásd: Metaadatok).

===Attributumok===

Az Erasmus + szolgáltatások eléréséhez szükséges attribútumok a következők.

{| class="wikitable"
|+
!Attributumok
!Leírás
!Példa
|-
|eduPersonPrincipalName
|Állandó, nem célzott, nem újra kiosztható globálisan egyedi azonosító
|<code>username@foobar.hu</code>
|-
|eduPersonTargetedID
|Nem átlátszó, célzott (minden szolgáltatónál más) azonosító, amely nem osztható ki újra
|<samp><code><nowiki>https://idp.foobar.hu/idp/shibboleth!https://sp.example.com/shibboleth!a1b2c3d4-789a-4ca7-8ff9-43216789bdc</nowiki></code></samp>
|-
|displayName
|A felhasználó megjelenítendő neve. '''Szükséges, ha nincsen cn, vagy givenName+sn.'''
|
|-
|cn
|A felhasználó teljes neve. '''Szükséges, ha nincsen displayName vagy givenName+sn.'''
|<code>Gipsz Jakab Aladár</code>
|-
|givenName
|Felhasználó keresztneve. '''Szükséges, ha nincsen displayName vagy cn.'''
|<code>Jakab</code>
|-
|sn
|Felhasználó családi neve. '''Szükséges, ha nincsen displayName vagy cn.'''
|<code>Gipsz</code>
|-
|eduPersonAffiliation
|Felhasználó és intézmény közti viszony leírása.
|<code>[member, student]</code>
|-
|eduPersonScopedAffiliation
|Felhasználó és intézmény közti viszony leírása. scope-al
|<code>[member@foobar.hu, student@foobar.hu]</code>
|-
|schacPersonalUniqueCode
|A szervezet által hozzárendelt személyes egyedi kód (URN). '''Az európai hallgatói azonosító kódolására és továbbítására szolgál.
|<code><nowiki>urn:schac:personalUniqueCode:int:esi:foobar.hu:123456789</nowiki></code>
|-
|schacHomeOrganization
|Szervezete domainje.
|<code>foobar.hu</code>
|-
|schacHomeOrganizationType
|Szervezet típusa (URN)
|<code><nowiki>urn:schac:homeOrganizationType:eu:higherEducationalInstitution</nowiki></code>
|-
|}

===European Student Identifier===

Az European Student Identifier (ESI) globálisan egyedi, tartós, nem célzott azonosító (minden szolgáltatónál ugyanaz marad). Titkosítva kerül továbbításra a <code>schacPersonalUniqueCode</code> attribútumon keresztül. Az ESI két fő módját támogatott:

#<u>országos kód</u>:ha rendelkezésre áll nemzeti hallgatói kód
#<u>intézményenként</u>:jelenleg ez támogatható Magyarországi szinten

Az ESI három részből áll:

* változatlan URN névtér: <code><nowiki>urn:schac:personalUniqueCode:int:esi:</nowiki>:</code>
* szervezet domainje: foobar.hu
* hallgatói azonosító kód (pl. belső nyilvántartási szám): 123456789

Az így kapott teljes ESI: <code><nowiki>urn:schac:personalUniqueCode:int:esi:foo.bar:123456789</nowiki></code>

Az ESI teljes specifikációja elérhető a GEANT wiki-n:

https://wiki.geant.org/display/SM/European+Student+Identifier

=== További információk ===

https://wiki.geant.org/display/SM/Identifier+in+Erasmus+mobility

Erasmusplus ESI

2021-04-13T15:54:13Z

Mohacsi(AT)niif.hu: helyesírás

== Erasmus+ és ESI ==
Az Európai Hallgatói Kártya Kezdeményezés részeként az Európai Bizottság 2021 júniusától kezdve digitális formában kívánja támogatni az Erasmus programhoz kapcsolódó összes szolgáltatást, mint például az [https://learning-agreement.eu/user/login Online Learning Agreement] (OLA) és az Erasmus+ mobilalkalmazást. A digitalizálás alapvető része a hallgatók azonosítása, amely az [[https://edugain.org eduGAIN]]-en keresztül fog történni.Az eduGAIN szövetség hazai képviselője a KIFÜ, aki Magyarországon az eduID.hu szövetséget működteti, hogy az oktatás, kutatás és közgyűjtemények szereplői az intézményi hitelesítő adataikkal bejelentkezhessenek az eduGAIN szolgáltatásokba. Az eduGAIN-ben a szolgáltatások sikeres azonosítás esetén azonnal megkapják a felhasználók helyes azonosításához és jogosultság kezeléséhez szükséges információkat. Az MyAcademicID működéséhez, az európai hallgatói azonosító (European Student Identifier) helyes létrehozásához és az Erasmus+ szolgáltatásokban szükséges attribútumok beállításhoz szükséges információk az alábbiak.

===MyAcademicID proxy===

Az Erasmus+ szolgáltatásokhoz való hozzáférés a [https://wiki.geant.org/display/SM/MyAcademicID+Identity+and+Access+Management+Service MyAcademicID] projektben létrehozott és a GEANT által kezelt proxyn keresztül történik. Ez azt jelenti, hogy az Erasmus+ összes szolgáltatásának egyetlen szolgáltatója van a következő entitásazonosítóval:
<pre>
https://proxy.prod.erasmus.eduteams.org/metadata/backend.xml
</pre>
A Szolgáltatót az eduID.hu az eduGAIN-en keresztül teszi közzé, így ha az intézménye tagja az eduGAIN-nek is (lásd: Metaadatok), akkor nem kell további lépéseket tenni. Ellenkező esetben lépjen kapcsolatba először a [mailto:info@eduid.hu KIFÜ eduID.hu] szolgáltatással, hogy kérje identitásszolgáltatójának exportálását az eduGAIN-ba, majd konfigurálja be az eduID.hu szolgáltatás által terjesztett eduGAIN-metaadatokat (lásd: Metaadatok).

===Attributumok===

Az Erasmus + szolgáltatások eléréséhez szükséges attribútumok a következők.

{| class="wikitable"
|+
!Attributumok
!Leírás
!Példa
|-
|eduPersonPrincipalName
|Állandó, nem célzott, nem újra kiosztható globálisan egyedi azonosító
|<code>username@foobar.hu</code>
|-
|eduPersonTargetedID
|Nem átlátszó, célzott (minden szolgáltatónál más) azonosító, amely nem osztható ki újra
|<samp><code><nowiki>https://idp.foobar.hu/idp/shibboleth!https://sp.example.com/shibboleth!a1b2c3d4-789a-4ca7-8ff9-43216789bdc</nowiki></code></samp>
|-
|displayName
|A felhasználó megjelenítendő neve. '''Szükséges, ha nincsen cn, vagy givenName+sn.'''
|
|-
|cn
|A felhasználó teljes neve. '''Szükséges, ha nincsen displayName vagy givenName+sn.'''
|<code>Gipsz Jakab Aladár</code>
|-
|givenName
|Felhasználó keresztneve. '''Szükséges, ha nincsen displayName vagy cn.'''
|<code>Jakab</code>
|-
|sn
|Felhasználó családi neve. '''Szükséges, ha nincsen displayName vagy cn.'''
|<code>Gipsz</code>
|-
|eduPersonAffiliation
|Felhasználó és intézmény közti viszony leírása.
|<code>[member, student]</code>
|-
|eduPersonScopedAffiliation
|Felhasználó és intézmény közti viszony leírása. scope-al
|<code>[member@foobar.hu, student@foobar.hu]</code>
|-
|schacPersonalUniqueCode
|A szervezet által hozzárendelt személyes egyedi kód (URN). '''Az európai hallgatói azonosító kódolására és továbbítására szolgál.
|<code><nowiki>urn:schac:personalUniqueCode:int:esi:foobar.hu:123456789</nowiki></code>
|-
|schacHomeOrganization
|Szervezete domainje.
|<code>foobar.hu</code>
|-
|schacHomeOrganizationType
|Szervezet típusa (URN)
|<code><nowiki>urn:schac:homeOrganizationType:eu:higherEducationalInstitution</nowiki></code>
|-
|}

===European Student Identifier===

Az European Student Identifier (ESI) globálisan egyedi, tartós, nem célzott azonosító (minden szolgáltatónál ugyanaz marad). Titkosítva kerül továbbításra a <code>schacPersonalUniqueCode</code> attribútumon keresztül. Az ESI két fő módját támogatott:

#<u>országos kód</u>:ha rendelkezésre áll nemzeti hallgatói kód
#<u>intézményenként</u>:jelenleg ez támogatható Magyarországi szinten

Az ESI három részből áll:

* változatlan URN névtér: <code><nowiki>urn:schac:personalUniqueCode:int:esi:</nowiki>:</code>
* szervezet domainje: foobar.hu
* hallgatói azonosító kód (pl. belső nyilvántartási szám): 123456789

Az így kapott teljes ESI: <code><nowiki>urn:schac:personalUniqueCode:int:esi:foo.bar:123456789</nowiki></code>

Az ESI teljes specifikációja elérhető a GEANT wiki-n:

https://wiki.geant.org/display/SM/European+Student+Identifier

Erasmusplus ESI

2021-03-22T19:01:05Z

Mohacsi(AT)niif.hu:

== Erasmus+ és ESI ==
Az Európai Hallgatói Kártya Kezdeményezés részeként az Európai Bizottság 2021 júniusától kezdve digitális formában kívánja támogatni az Erasmus programhoz kapcsolódó összes szolgáltatást, mint például az [https://learning-agreement.eu/user/login Online Learning Agreement] (OLA) és az Erasmus+ mobilalkalmazást. A digitalizálás alapvető része a hallgatók azonosítása, amely az [[https://edugain.org eduGAIN]]-en keresztül fog történni.Az eduGAIN szövetség hazai képviselője a KIFÜ, aki Magyarországon az eduID.hu szövetséget működteti, hogy az oktatás, kutatás és közgyűjtemények szereplői az intézményi hitelesítő adataikkal bejelentkezhessenek az eduGAIN szolgáltatásokba. Az eduGAIN-ben a szolgáltatások sikeres azonosítás esetén azonnal megkapják a felhasználók helyes azonosításához és jogosultság kezeléséhez szükséges információkat. Az európai hallgatói azonosító helyes létrehozásáhoy és az Erasmus+ szolgáltatóhoz szükséges attribútumok az alábbiak.

===MyAcademicID proxy===

Az Erasmus+ szolgáltatásokhoz való hozzáférés a [https://wiki.geant.org/display/SM/MyAcademicID+Identity+and+Access+Management+Service MyAcademicID] projektben létrehozott és a GEANT által kezelt proxyn keresztül történik. Ez azt jelenti, hogy az Erasmus+ összes szolgáltatásának egyetlen szolgáltatója van a következő entitásazonosítóval:
<pre>
https://proxy.prod.erasmus.eduteams.org/metadata/backend.xml
</pre>
A Szolgáltatót az eduID.hu az eduGAIN-en keresztül teszi közzé, így ha az intézménye tagja az eduGAIN-nek is (lásd: Metaadatok), akkor nem kell további lépéseket tenni. Ellenkező esetben lépjen kapcsolatba először a [mailto:info@eduid.hu KIFÜ eduID.hu] szolgáltatással, hogy kérje identitásszolgáltatójának exportálását az eduGAIN-ba, majd konfigurálnia kell az eduID.hu szolgáltatás által terjesztett eduGAIN-metaadatokat (lásd: Metaadatok).

===Attributumok===

Az Erasmus + szolgáltatások eléréséhez szükséges attribútumok a következők.

{| class="wikitable"
|+
!Attributumok
!Leírás
!Példa
|-
|eduPersonPrincipalName
|Állandó, nem célzott, nem újra kiosztható globálisan egyedi azonosító
|<code>username@foobar.hu</code>
|-
|eduPersonTargetedID
|Nem átlátszó, célzott (minden szolgáltatónál más) azonosító, amely nem osztható ki újra
|<samp><code><nowiki>https://idp.foobar.hu/idp/shibboleth!https://sp.example.com/shibboleth!a1b2c3d4-789a-4ca7-8ff9-43216789bdc</nowiki></code></samp>
|-
|displayName
|A felhasználó megjelenítendő neve. '''Szükséges, ha nincsen cn, vagy givenName+sn.'''
|
|-
|cn
|A felhasználó teljes neve. '''Szükséges, ha nincsen displayName vagy givenName+sn.'''
|<code>Gipsz Jakab Aladár</code>
|-
|givenName
|Felhasználó keresztneve. '''Szükséges, ha nincsen displayName vagy cn.'''
|<code>Jakab</code>
|-
|sn
|Felhasználó családi neve. '''Szükséges, ha nincsen displayName vagy cn.'''
|<code>Gipsz</code>
|-
|eduPersonAffiliation
|Felhasználó és intézmény közti viszony leírása.
|<code>[member, student]</code>
|-
|eduPersonScopedAffiliation
|Felhasználó és intézmény közti viszony leírása. scope-al
|<code>[member@foobar.hu, student@foobar.hu]</code>
|-
|schacPersonalUniqueCode
|A szervezet által hozzárendelt személyes egyedi kód (URN). '''Az európai hallgatói azonosító kódolására és továbbítására szolgál.
|<code><nowiki>urn:schac:personalUniqueCode:int:esi:foobar.hu:123456789</nowiki></code>
|-
|schacHomeOrganization
|Szervezete domainje.
|<code>foobar.hu</code>
|-
|schacHomeOrganizationType
|Szervezet típusa (URN)
|<code><nowiki>urn:schac:homeOrganizationType:eu:higherEducationalInstitution</nowiki></code>
|-
|}

===European Student Identifier===

Az European Student Identifier (ESI) globálisan egyedi, tartós, nem célzott azonosító (minden szolgáltatónál ugyanaz marad). Titkosítva kerül továbbításra a <code>schacPersonalUniqueCode</code> attribútumon keresztül. Az ESI két fő módját támogatott:

#<u>országos kód</u>:ha rendelkezésre áll nemzeti hallgatói kód
#<u>intézményenként</u>:jelenleg ez támogatható Magyaroroszági szinten

Az ESI három részből áll:

* változatlan URN névtér: <code><nowiki>urn:schac:personalUniqueCode:int:esi:</nowiki>:</code>
* szervezet domainje: foobar.hu
* hallgatói azonosító kód (pl. belső nyilvántartási szám): 123456789

Az így kapott teljes ESI: <code><nowiki>urn:schac:personalUniqueCode:int:esi:foo.bar:123456789</nowiki></code>

Az ESI teljes specifikációja elérhető a GEANT wiki-n:

https://wiki.geant.org/display/SM/European+Student+Identifier

Erasmusplus ESI

2021-03-22T12:37:07Z

Mohacsi(AT)niif.hu:

Az Európai Hallgatói Kártya Kezdeményezés részeként az Európai Bizottság 2021 júniusától kezdve digitális formában kívánja támogatni az Erasmus programhoz kapcsolódó összes szolgáltatást, mint például az [https://learning-agreement.eu/user/login Online Learning Agreement] (OLA) és az Erasmus+ mobilalkalmazást. A digitalizálás alapvető része a hallgatók azonosítása, amely az [[https://edugain.org eduGAIN]]-en keresztül fog történni.Az eduGAIN szövetség hazai képviselője a KIFÜ, aki Magyarországon az eduID.hu szövetséget működteti, hogy az oktatás, kutatás és közgyűjtemények szereplői az intézményi hitelesítő adataikkal bejelentkezhessenek az eduGAIN szolgáltatásokba. Az eduGAIN-ben a szolgáltatások sikeres azonosítás esetén azonnal megkapják a felhasználók helyes azonosításához és jogosultság kezeléséhez szükséges információkat. Az európai hallgatói azonosító helyes létrehozásáhoy és az Erasmus+ szolgáltatóhoz szükséges attribútumok az alábbiak.

===MyAcademicID proxy===

Az Erasmus+ szolgáltatásokhoz való hozzáférés a [https://wiki.geant.org/display/SM/MyAcademicID+Identity+and+Access+Management+Service MyAcademicID] projektben létrehozott és a GEANT által kezelt proxyn keresztül történik. Ez azt jelenti, hogy az Erasmus+ összes szolgáltatásának egyetlen szolgáltatója van a következő entitásazonosítóval:
<pre>
https://proxy.prod.erasmus.eduteams.org/metadata/backend.xml
</pre>
A Szolgáltatót az eduID.hu az eduGAIN-en keresztül teszi közzé, így ha az intézménye tagja az eduGAIN-nek is (lásd: Metaadatok), akkor nem kell további lépéseket tenni. Ellenkező esetben lépjen kapcsolatba először a [mailto:info@eduid.hu KIFÜ eduID.hu] szolgáltatással, hogy kérje identitásszolgáltatójának exportálását az eduGAIN-ba, majd konfigurálnia kell az eduID.hu szolgáltatás által terjesztett eduGAIN-metaadatokat (lásd: Metaadatok).

===Attributumok===

Az Erasmus + szolgáltatások eléréséhez szükséges attribútumok a következők.

{| class="wikitable"
|+
!Attributumok
!Leírás
!Példa
|-
|eduPersonPrincipalName
|Állandó, nem célzott, nem újra kiosztható globálisan egyedi azonosító
|<code>username@foobar.hu</code>
|-
|eduPersonTargetedID
|Nem átlátszó, célzott (minden szolgáltatónál más) azonosító, amely nem osztható ki újra
|<samp><code><nowiki>https://idp.foobar.hu/idp/shibboleth!https://sp.example.com/shibboleth!a1b2c3d4-789a-4ca7-8ff9-43216789bdc</nowiki></code></samp>
|-
|displayName
|A felhasználó megjelenítendő neve. '''Szükséges, ha nincsen cn, vagy givenName+sn.'''
|
|-
|cn
|A felhasználó teljes neve. '''Szükséges, ha nincsen displayName vagy givenName+sn.'''
|<code>Gipsz Jakab Aladár</code>
|-
|givenName
|Felhasználó keresztneve. '''Szükséges, ha nincsen displayName vagy cn.'''
|<code>Jakab</code>
|-
|sn
|Felhasználó családi neve. '''Szükséges, ha nincsen displayName vagy cn.'''
|<code>Gipsz</code>
|-
|eduPersonAffiliation
|Felhasználó és intézmény közti viszony leírása.
|<code>[member, student]</code>
|-
|eduPersonScopedAffiliation
|Felhasználó és intézmény közti viszony leírása. scope-al
|<code>[member@foobar.hu, student@foobar.hu]</code>
|-
|schacPersonalUniqueCode
|A szervezet által hozzárendelt személyes egyedi kód (URN). '''Az európai hallgatói azonosító kódolására és továbbítására szolgál.
|<code><nowiki>urn:schac:personalUniqueCode:int:esi:foobar.hu:123456789</nowiki></code>
|-
|schacHomeOrganization
|Szervezete domainje.
|<code>foobar.hu</code>
|-
|schacHomeOrganizationType
|Szervezet típusa (URN)
|<code><nowiki>urn:schac:homeOrganizationType:eu:higherEducationalInstitution</nowiki></code>
|-
|}

===European Student Identifier===

Az European Student Identifier (ESI) globálisan egyedi, tartós, nem célzott azonosító (minden szolgáltatónál ugyanaz marad). Titkosítva kerül továbbításra a <code>schacPersonalUniqueCode</code> attribútumon keresztül. Az ESI két fő módját támogatott:

#<u>országos kód</u>:ha rendelkezésre áll nemzeti hallgatói kód
#<u>intézményenként</u>:jelenleg ez támogatható Magyaroroszági szinten

Az ESI három részből áll:

* változatlan URN névtér: <code><nowiki>urn:schac:personalUniqueCode:int:esi:</nowiki>:</code>
* szervezet domainje: foobar.hu
* hallgatói azonosító kód (pl. belső nyilvántartási szám): 123456789

Az így kapott teljes ESI: <code><nowiki>urn:schac:personalUniqueCode:int:esi:foo.bar:123456789</nowiki></code>

Az ESI teljes specifikációja elérhető a GEANT wiki-n:

https://wiki.geant.org/display/SM/European+Student+Identifier

Erasmusplus ESI

2021-03-22T12:35:10Z

Mohacsi(AT)niif.hu: ESI leírás

Az Európai Hallgatói Kártya Kezdeményezés részeként az Európai Bizottság 2021 júniusától kezdve digitális formában kívánja támogatni az Erasmus programhoz kapcsolódó összes szolgáltatást, mint például az [https://learning-agreement.eu/user/login Online Learning Agreement] (OLA) és az Erasmus+ mobilalkalmazást. A digitalizálás alapvető része a hallgatók azonosítása, amely az [[eduGAIN|https://edugain.org]]-en keresztül fog történni.Az eduGAIN szövetség hazai képviselője a KIFÜ, aki Magyarországon az eduID.hu szövetséget működteti, hogy az oktatás, kutatás és közgyűjtemények szereplői az intézményi hitelesítő adataikkal bejelentkezhessenek az eduGAIN szolgáltatásokba. Az eduGAIN-ben a szolgáltatások sikeres azonosítás esetén azonnal megkapják a felhasználók helyes azonosításához és jogosultság kezeléséhez szükséges információkat. Az európai hallgatói azonosító helyes létrehozásáhoy és az Erasmus+ szolgáltatóhoz szükséges attribútumok az alábbiak.

===MyAcademicID proxy===

Az Erasmus+ szolgáltatásokhoz való hozzáférés a [https://wiki.geant.org/display/SM/MyAcademicID+Identity+and+Access+Management+Service MyAcademicID] projektben létrehozott és a GEANT által kezelt proxyn keresztül történik. Ez azt jelenti, hogy az Erasmus+ összes szolgáltatásának egyetlen szolgáltatója van a következő entitásazonosítóval:
<pre>
https://proxy.prod.erasmus.eduteams.org/metadata/backend.xml
</pre>
A Szolgáltatót az eduID.hu az eduGAIN-en keresztül teszi közzé, így ha az intézménye tagja az eduGAIN-nek is (lásd: Metaadatok), akkor nem kell további lépéseket tenni. Ellenkező esetben lépjen kapcsolatba először a [mailto:info@eduid.hu KIFÜ eduID.hu] szolgáltatással, hogy kérje identitásszolgáltatójának exportálását az eduGAIN-ba, majd konfigurálnia kell az eduID.hu szolgáltatás által terjesztett eduGAIN-metaadatokat (lásd: Metaadatok).

===Attributumok===

Az Erasmus + szolgáltatások eléréséhez szükséges attribútumok a következők.

{| class="wikitable"
|+
!Attributumok
!Leírás
!Példa
|-
|eduPersonPrincipalName
|Állandó, nem célzott, nem újra kiosztható globálisan egyedi azonosító
|<code>username@foobar.hu</code>
|-
|eduPersonTargetedID
|Nem átlátszó, célzott (minden szolgáltatónál más) azonosító, amely nem osztható ki újra
|<samp><code><nowiki>https://idp.foobar.hu/idp/shibboleth!https://sp.example.com/shibboleth!a1b2c3d4-789a-4ca7-8ff9-43216789bdc</nowiki></code></samp>
|-
|displayName
|A felhasználó megjelenítendő neve. '''Szükséges, ha nincsen cn, vagy givenName+sn.'''
|
|-
|cn
|A felhasználó teljes neve. '''Szükséges, ha nincsen displayName vagy givenName+sn.'''
|<code>Gipsz Jakab Aladár</code>
|-
|givenName
|Felhasználó keresztneve. '''Szükséges, ha nincsen displayName vagy cn.'''
|<code>Jakab</code>
|-
|sn
|Felhasználó családi neve. '''Szükséges, ha nincsen displayName vagy cn.'''
|<code>Gipsz</code>
|-
|eduPersonAffiliation
|Felhasználó és intézmény közti viszony leírása.
|<code>[member, student]</code>
|-
|eduPersonScopedAffiliation
|Felhasználó és intézmény közti viszony leírása. scope-al
|<code>[member@foobar.hu, student@foobar.hu]</code>
|-
|schacPersonalUniqueCode
|A szervezet által hozzárendelt személyes egyedi kód (URN). '''Az európai hallgatói azonosító kódolására és továbbítására szolgál.
|<code><nowiki>urn:schac:personalUniqueCode:int:esi:foobar.hu:123456789</nowiki></code>
|-
|schacHomeOrganization
|Szervezete domainje.
|<code>foobar.hu</code>
|-
|schacHomeOrganizationType
|Szervezet típusa (URN)
|<code><nowiki>urn:schac:homeOrganizationType:eu:higherEducationalInstitution</nowiki></code>
|-
|}

===European Student Identifier===

Az European Student Identifier (ESI) globálisan egyedi, tartós, nem célzott azonosító (minden szolgáltatónál ugyanaz marad). Titkosítva kerül továbbításra a <code>schacPersonalUniqueCode</code> attribútumon keresztül. Az ESI két fő módját támogatott:

#<u>országos kód</u>:ha rendelkezésre áll nemzeti hallgatói kód
#<u>intézményenként</u>:jelenleg ez támogatható Magyaroroszági szinten

Az ESI három részből áll:

* változatlan URN névtér: <code><nowiki>urn:schac:personalUniqueCode:int:esi:</nowiki>:</code>
* szervezet domainje: foobar.hu
* hallgatói azonosító kód (pl. belső nyilvántartási szám): 123456789

Az így kapott teljes ESI: <code><nowiki>urn:schac:personalUniqueCode:int:esi:foo.bar:123456789</nowiki></code>

Az ESI teljes specifikációja elérhető a GEANT wiki-n:

https://wiki.geant.org/display/SM/European+Student+Identifier

AAI

2021-03-22T11:52:45Z

Mohacsi(AT)niif.hu: /* Kiegészítő tudnivalók */ ESI

=== Meghatározások ===

* [[Föderáció]]
* [[Pont-pont bizalmi kapcsolati modell]]
* [[Metadata]]
* [[Föderációs modellek]]
* [[WAYF | Home Location Service]]
* [[Shibboleth]]
* [[AAIGettingStarted | Hogy kezdjem?]]

===Föderációs alapinfrastruktúrák (IdP-k, SP-k)===
Tapasztalatok alapján IdP esetén egyszerűsége miatt talán jobb választás a simpleSAMLphp, SP esetén Shibboleth ill. simpleSAMLphp egyaránt megfelelő választás mind beállítási, mind üzemeltetési szempontból.
* Shibboleth IdP: [[Shib3IdpInstall|Telepítés, beállítás]], [[Shibboleth3 IdP|Egyéb leírások]], [[Shibboleth2 IdP|Shibboleth 2 IdP leírások]]
* Shibboleth SP: [[ShibSP_QuickStart|Kezdőlépések]], [[Shibboleth2 SP|Egyéb leírások]]
* simpleSAMLphp IdP és SP: [[SSP_QuickStart|Kezdőlépések]]
* [[IdP_whichone|Melyik IdP-t válasszam?]]

===HREF/eduID föderációhoz kapcsolódó tudnivalók===
* [[HREFContract]]: A föderációhoz kapcsolódó dokumentációk gyűjtőlapja
* [[HREFAttributeSpec]]: A föderációban használható attribútumok specifikációja
* [[HREFMetadataSpec]]: A föderációban használt metadata specifikációja
* [[Resource_Registry]]: A föderáció adminisztrációs felületének leírása
* [[JoiningEduGAIN]]: Tudnivalók az eduGAIN csatlakozással kapcsolatban
* [[MDX]]: Igény szerinti metaadat-kiszolgálás
* [[Sirtfi]]: Föderációs és föderációközi együttműködéshez kapcsolódó incidenskezelés keretei
* [[URN]]: Magyar NREN-nél használt speciális azonosítók tára
* [[URN_SCHAC]]: eduID.hu föderációban használt speciális azonosítók tára

===További föderációs megoldások===
* [[Shibboleth2 DiscoveryService]]: Shibboleth 2.0 SAML-kompatibilis Discovery Service
* [[OpenSSO]]: Nehézsúlyú Java hozzáférés-szabályozást és federációt megvalósító rendszer
* [[OpenID]]: Széles körben támogatott, de nem SAML-alapú federációt megvalósító rendszer
* [[GoogleAuth]]: Google, mint [[OpenID]] szabványú IdP
* [[mod_mellon]]: SP megoldás apache modulban. A SAML2 motort a [http://lasso.entrouvert.org Lasso] valósítja meg. [http://docs.feide.no/fs-0050]
* [[oiosaml.java]]: Java SP megoldás, amit a Dán állam is használ. [http://www.softwareborsen.dk/projekter/softwarecenter/brugerstyring/oio-saml-java]
* [[UApprove]]: Shibboleth 2.1.x IdP-hez illeszthető "consent-modul" beállításának leírása
* [[Shibboleth troubleshooting]]: Shibboleth hibaelhárítás
* [[Shibboleth Service Provider (SP) és Docker]]: Shibboleth és Docker összehangolása

===Kiegészítő tudnivalók===
* [[AAI_szolgáltatási_IP | Szolgáltatási IP tartományok ]]
* [[Alkalmazások illesztése]]: Néhány alkalmazás Shibboleth-illesztésének leírása
* [[Interoperabilitás mátrix]]: Shibboleth, OpenSSO, simpleSAMLphp együttműködési mátrix
* [[Eszközök]]: Hasznos eszközök föderációk üzemeltetéséhez, használatához
* [[Intézmény átnevezés]]: megfontolandó szempontok
* [[FedCerts | Tanúsítványok a föderációban]]
* [[HEXAATest | Test HEXAA (or any SAML AA) from command line]]
* [[EduIDTest | Hogyan teszteljünk eduID IdP-t vagy SP-t?]]
* [[Erasmusplus_ESI | Erasmus+ és ESI információk]]
* [[Publikációk]]

[[Kategória: Összefoglaló lapok]]

AAI

2020-11-13T15:34:50Z

Mohacsi(AT)niif.hu:

=== Meghatározások ===

* [[Föderáció]]
* [[Pont-pont bizalmi kapcsolati modell]]
* [[Metadata]]
* [[Föderációs modellek]]
* [[WAYF | Home Location Service]]
* [[Shibboleth]]
* [[AAIGettingStarted | Hogy kezdjem?]]

===Föderációs alapinfrastruktúrák (IdP-k, SP-k)===
Tapasztalatok alapján IdP esetén egyszerűsége miatt talán jobb választás a simpleSAMLphp, SP esetén Shibboleth ill. simpleSAMLphp egyaránt megfelelő választás /etc/ssl/certs/adminmail.sulinet.hu.crtmind beállítási, mind üzemeltetési szempontból.
* Shibboleth IdP: [[Shib3IdpInstall|Telepítés, beállítás]], [[Shibboleth3 IdP|Egyéb leírások]], [[Shibboleth2 IdP|Shibboleth 2 IdP leírások]]
* Shibboleth SP: [[ShibSP_QuickStart|Kezdőlépések]], [[Shibboleth2 SP|Egyéb leírások]]
* simpleSAMLphp IdP és SP: [[SSP_QuickStart|Kezdőlépések]]
* [[IdP_whichone|Melyik IdP-t válasszam?]]
* Ha nem értek hozzá, jó választás lehet a [https://samlidp.io samlidp.io - SAML Identity Provider as a Service]

===HREF/eduID föderációhoz kapcsolódó tudnivalók===
* [[HREFContract]]: A föderációhoz kapcsolódó dokumentációk gyűjtőlapja
* [[HREFAttributeSpec]]: A föderációban használható attribútumok specifikációja
* [[HREFMetadataSpec]]: A föderációban használt metadata specifikációja
* [[Resource_Registry]]: A föderáció adminisztrációs felületének leírása
* [[JoiningEduGAIN]]: Tudnivalók az eduGAIN csatlakozással kapcsolatban
* [[MDX]]: Igény szerinti metaadat-kiszolgálás
* [[Sirtfi]]: Föderációs és föderációközi együttműködéshez kapcsolódó incidenskezelés keretei
* [[URN]]: Magyar NREN-nél használt speciális azonosítók tára
* [[URN_SCHAC]]: eduID.hu föderációban használt speciális azonosítók tára

===További föderációs megoldások===
* [[Shibboleth2 DiscoveryService]]: Shibboleth 2.0 SAML-kompatibilis Discovery Service
* [[OpenSSO]]: Nehézsúlyú Java hozzáférés-szabályozást és federációt megvalósító rendszer
* [[OpenID]]: Széles körben támogatott, de nem SAML-alapú federációt megvalósító rendszer
* [[GoogleAuth]]: Google, mint [[OpenID]] szabványú IdP
* [[mod_mellon]]: SP megoldás apache modulban. A SAML2 motort a [http://lasso.entrouvert.org Lasso] valósítja meg. [http://docs.feide.no/fs-0050]
* [[oiosaml.java]]: Java SP megoldás, amit a Dán állam is használ. [http://www.softwareborsen.dk/projekter/softwarecenter/brugerstyring/oio-saml-java]
* [[UApprove]]: Shibboleth 2.1.x IdP-hez illeszthető "consent-modul" beállításának leírása
* [[Shibboleth troubleshooting]]: Shibboleth hibaelhárítás
* [[Shibboleth Service Provider (SP) és Docker]]: Shibboleth és Docker összehangolása

===Kiegészítő tudnivalók===
* [[AAI_szolgáltatási_IP | Szolgáltatási IP tartományok ]]
* [[Alkalmazások illesztése]]: Néhány alkalmazás Shibboleth-illesztésének leírása
* [[Interoperabilitás mátrix]]: Shibboleth, OpenSSO, simpleSAMLphp együttműködési mátrix
* [[Eszközök]]: Hasznos eszközök föderációk üzemeltetéséhez, használatához
* [[Intézmény átnevezés]]: megfontolandó szempontok
* [[FedCerts | Tanúsítványok a föderációban]]
* [[HEXAATest | Test HEXAA (or any SAML AA) from command line]]
* [[EduIDTest | Hogyan teszteljünk eduID IdP-t vagy SP-t?]]
* [[Publikációk]]

[[Kategória: Összefoglaló lapok]]

URN

2020-11-13T15:20:33Z

Mohacsi(AT)niif.hu: /* Registrations in the urn:geant:niif.hu Namespace */

URN

2020-11-13T13:36:47Z

Mohacsi(AT)niif.hu: Új oldal, tartalma: „== Registrations in the urn:geant:niif.hu Namespace == GEANT has delegated the operation of urn:geant:niif.hu namespace to NIIFI -> KIFÜ. === Namespaces administered…”

== Registrations in the urn:geant:niif.hu Namespace ==

GEANT has delegated the operation of urn:geant:niif.hu namespace to NIIFI -> KIFÜ.

=== Namespaces administered by KIFÜ ===
{| class="wikitable sortable"
|-
! Namespace !! Purpose !! Date Registered !! Registry link
|-
| - || - || - || -
|-
| - || - || - || -
|}

AAI

2020-11-13T13:30:21Z

Mohacsi(AT)niif.hu:

=== Meghatározások ===

* [[Föderáció]]
* [[Pont-pont bizalmi kapcsolati modell]]
* [[Metadata]]
* [[Föderációs modellek]]
* [[WAYF | Home Location Service]]
* [[Shibboleth]]
* [[AAIGettingStarted | Hogy kezdjem?]]

===Föderációs alapinfrastruktúrák (IdP-k, SP-k)===
Tapasztalatok alapján IdP esetén egyszerűsége miatt talán jobb választás a simpleSAMLphp, SP esetén Shibboleth ill. simpleSAMLphp egyaránt megfelelő választás /etc/ssl/certs/adminmail.sulinet.hu.crtmind beállítási, mind üzemeltetési szempontból.
* Shibboleth IdP: [[Shib3IdpInstall|Telepítés, beállítás]], [[Shibboleth3 IdP|Egyéb leírások]], [[Shibboleth2 IdP|Shibboleth 2 IdP leírások]]
* Shibboleth SP: [[ShibSP_QuickStart|Kezdőlépések]], [[Shibboleth2 SP|Egyéb leírások]]
* simpleSAMLphp IdP és SP: [[SSP_QuickStart|Kezdőlépések]]
* [[IdP_whichone|Melyik IdP-t válasszam?]]
* Ha nem értek hozzá, jó választás lehet a [https://samlidp.io samlidp.io - SAML Identity Provider as a Service]

===HREF/eduID föderációhoz kapcsolódó tudnivalók===
* [[HREFContract]]: A föderációhoz kapcsolódó dokumentációk gyűjtőlapja
* [[HREFAttributeSpec]]: A föderációban használható attribútumok specifikációja
* [[HREFMetadataSpec]]: A föderációban használt metadata specifikációja
* [[Resource_Registry]]: A föderáció adminisztrációs felületének leírása
* [[JoiningEduGAIN]]: Tudnivalók az eduGAIN csatlakozással kapcsolatban
* [[MDX]]: Igény szerinti metaadat-kiszolgálás
* [[Sirtfi]]: Föderációs és föderációközi együttműködéshez kapcsolódó incidenskezelés keretei
* [[URN]]: eduID.hu föderációban és magyar NRN-nél használt speciális azonosítók tára

===További föderációs megoldások===
* [[Shibboleth2 DiscoveryService]]: Shibboleth 2.0 SAML-kompatibilis Discovery Service
* [[OpenSSO]]: Nehézsúlyú Java hozzáférés-szabályozást és federációt megvalósító rendszer
* [[OpenID]]: Széles körben támogatott, de nem SAML-alapú federációt megvalósító rendszer
* [[GoogleAuth]]: Google, mint [[OpenID]] szabványú IdP
* [[mod_mellon]]: SP megoldás apache modulban. A SAML2 motort a [http://lasso.entrouvert.org Lasso] valósítja meg. [http://docs.feide.no/fs-0050]
* [[oiosaml.java]]: Java SP megoldás, amit a Dán állam is használ. [http://www.softwareborsen.dk/projekter/softwarecenter/brugerstyring/oio-saml-java]
* [[UApprove]]: Shibboleth 2.1.x IdP-hez illeszthető "consent-modul" beállításának leírása
* [[Shibboleth troubleshooting]]: Shibboleth hibaelhárítás
* [[Shibboleth Service Provider (SP) és Docker]]: Shibboleth és Docker összehangolása

===Kiegészítő tudnivalók===
* [[AAI_szolgáltatási_IP | Szolgáltatási IP tartományok ]]
* [[Alkalmazások illesztése]]: Néhány alkalmazás Shibboleth-illesztésének leírása
* [[Interoperabilitás mátrix]]: Shibboleth, OpenSSO, simpleSAMLphp együttműködési mátrix
* [[Eszközök]]: Hasznos eszközök föderációk üzemeltetéséhez, használatához
* [[Intézmény átnevezés]]: megfontolandó szempontok
* [[FedCerts | Tanúsítványok a föderációban]]
* [[HEXAATest | Test HEXAA (or any SAML AA) from command line]]
* [[EduIDTest | Hogyan teszteljünk eduID IdP-t vagy SP-t?]]
* [[Publikációk]]

[[Kategória: Összefoglaló lapok]]

HREF Key Rollover 2020

2020-11-10T17:53:45Z

Mohacsi(AT)niif.hu:

== Bevezetés ==
A HREF új metadata aláíró kulcsra áll át a SAML 2.0 metaadataiban. Ehhez HREF szövetségi tagnak és partnernek új metadata aláíró kulcsokat konfigurálni és be kell töltenie az eduID.hu-t támogató rendszereiben. Ezt mostantól 2021. május 1-ig kell megtenni. Ezt követően a régi (több mint 6 éves) kulcs letiltásra kerül, és a felhasználók már nem tudnak bejelentkezni egy olyan szolgáltatásba, amely még mindig a régi kulcsot használja.

A szokásos SP szoftverekben a változtatásnak egyszerűnek és jelentős leállás nélkül kell történnie. Lásd a beállításokat.
== Key Rollover ==

A metadata aláíró kulcs csere miatt szükséges a meglévő SP beállítások módosítása.

=== Elnevezések ===

HREF 2011 - meg kéne magyarázni őket

HREF 2015

HREF 2020

=== Domain név változások ===

==== HREF 2011 ====

{| class="wikitable"
|-
! Kulcs || Domain || Technikai domain || Állapot
|-
| HREF 2011 || metadata.eduid.hu || metadata-2011.eduid.hu || Jelenlegi éles szolgáltatás
|-
| HREF 2020 || - || metadata-2020.eduid.hu || Bevezetés alatt
|-
|}

==== HREF 2015 ====

{| class="wikitable"
|-
! Kulcs || Domain || Technikai domain || Állapot
|-
| HREF 2015 || mdx.eduid.hu || mdx-2015.eduid.hu || Jelenlegi éles szolgáltatás
|-
| HREF 2020 || - || mdx-2020.eduid.hu || Bevezetés alatt
|-
|}

== Shibboleth Service Provider beállítások ==

https://wiki.shibboleth.net/confluence/display/SP3/MetadataProvider

=== XML ===

<syntaxhighlight lang="xml" line>
<MetadataProvider type="Chaining">
<MetadataProvider type="XML" id="href-2011" url="http://metadata.eduid.hu/current/href.xml" backingFilePath="href-2011.xml">
<MetadataFilter type="Signature" certificate="href-metadata-signer-2011.crt"/>
<MetadataFilter type="RequireValidUntil" maxValidityInterval="864000"/>
</MetadataProvider>
<MetadataProvider type="XML" id="href-2020" url="http://metadata.eduid.hu/current/href.xml" backingFilePath="href-2020.xml">
<MetadataFilter type="Signature" certificate="href-metadata-signer-2020.crt"/>
<MetadataFilter type="RequireValidUntil" maxValidityInterval="864000"/>
</MetadataProvider>
</MetadataProvider>
</syntaxhighlight>

=== MDX ===

==== Shibboleth 3.X ====

<syntaxhighlight lang="xml" line>
<MetadataProvider type="MDQ" id="href-2015" ignoreTransport="true" baseUrl="https://mdx.eduid.hu/">
<MetadataFilter type="Signature" certificate="mdx-test-signer-2015.crt"/>
<MetadataFilter type="RequireValidUntil" maxValidityInterval="864000"/>
</MetadataProvider>
<MetadataProvider type="MDQ" id="href-2020" ignoreTransport="true" baseUrl="https://mdx.eduid.hu/">
<MetadataFilter type="Signature" certificate="href-metadata-signer-2020.crt"/>
<MetadataFilter type="RequireValidUntil" maxValidityInterval="864000"/>
</MetadataProvider>
</syntaxhighlight>

==== Shibboleth 2.X ====

<syntaxhighlight lang="xml" line>
<MetadataProvider type="Dynamic" id="href-2015" ignoreTransport="true">
<Subst>https://mdx.eduid.hu/entities/$entityID</Subst>
<MetadataFilter type="Signature" certificate="mdx-test-signer-2015.crt"/>
</MetadataProvider>
<MetadataProvider type="Dynamic" id="href-2020" ignoreTransport="true">
<Subst>https://mdx.eduid.hu/entities/$entityID</Subst>
<MetadataFilter type="Signature" certificate="href-metadata-signer-2020.crt"/>
</MetadataProvider>
</syntaxhighlight>

== SimpleSAMLphp ==

=== MDX ===

<syntaxhighlight lang="php" line>
//config/config.php
'metadata.sources' => [
['type' => 'flatfile'], // ez a *-hosted metadata konfiguráció betöltése miatt szükséges
[
'type' => 'mdq',
'server' => 'https://mdx.eduid.hu',
/* --- */
'validateFingerprint' => '91:81:AD:2B:F1:C1:4E:47:93:A2:9D:49:34:B7:77:62:4F:2F:98:43'
],
[
'type' => 'mdq',
'server' => 'https://mdx.eduid.hu',
/* --- */
'validateFingerprint' => 'C3:72:DC:75:4C:FA:BA:65:63:52:D9:6B:47:5B:44:7E:AA:F6:45:61'
],
],
</syntaxhighlight>

=== metarefresh ===

<syntaxhighlight lang="php" line>
// config/config-metarefresh.php
$config = [
'sets' => [
'href-2011' => [
'cron' => ['hourly'],
'sources' => [
[
'src' => 'https://metadata.eduid.hu/current/href.xml',
'validateFingerprint' => 'FE:AE:0B:E8:FB:59:ED:F7:CB:7F:69:DF:19:4F:8B:6D:C7:F6:96:66',
],
],
'expireAfter' => 60*60*24*7, // Maximum 4 days cache time.
'outputDir' => 'metadata/metarefresh-href-2011/',
'outputFormat' => 'flatfile',
],
'href-2020' => [
'cron' => ['hourly'],
'sources' => [
[
'src' => 'https://metadata.eduid.hu/current/href.xml',
'validateFingerprint' => 'C3:72:DC:75:4C:FA:BA:65:63:52:D9:6B:47:5B:44:7E:AA:F6:45:61',
],
],
'expireAfter' => 60*60*24*7, // Maximum 4 days cache time.
'outputDir' => 'metadata/metarefresh-href-2020/',
'outputFormat' => 'flatfile',
],
],
];
</syntaxhighlight>

<syntaxhighlight lang="php" line>
// config/config.php
'metadata.sources' => [
['type' => 'flatfile'],
['type' => 'flatfile', 'directory' => 'metadata/metarefresh-href-2011'],
['type' => 'flatfile', 'directory' => 'metadata/metarefresh-href-2020'],
],
</syntaxhighlight>

== FAQ /GYIK ==

* Miért cserél KIFÜ kulcsot?
* IdP-t érinti?
* Mi a helyzet az eduGAIN-t használó SP-kkel?
* Hogyan tudom ellenőrízni, hogy jó kulcsot használok?

HREF Key Rollover 2020

2020-11-10T17:22:40Z

Mohacsi(AT)niif.hu: bevezető

== Bevezetés ==
A HREF új metadata aláíró kulcsra áll át a SAML 2.0 metaadataiban. Ehhez HREF szövetségi tagnak és partnernek új metadata aláíró kulcsokat konfigurálni és be kell töltenie az eduID.hu-t támogató rendszereiben. Ezt mostantól 2021. május 1-ig kell megtenni. Ezt követően a régi (több mint 6 éves) kulcs letiltásra kerül, és a felhasználók már nem tudnak bejelentkezni egy olyan szolgáltatásba, amely még mindig a régi kulcsot használja.

A szokásos SP szoftverekben a változtatásnak egyszerűnek és jelentős leállás nélkül kell történnie. Lásd a beállításokat.
== Key Rollover ==

A metadata aláíró kulcs csere miatt szükséges a meglévő SP beállítások módosítása.

=== Elnevezések ===

HREF 2011

HREF 2015

HREF 2020

=== Domain név változások ===

==== HREF 2011 ====

{| class="wikitable"
|-
! Kulcs || Domain || Technikai domain || Állapot
|-
| HREF 2011 || metadata.eduid.hu || metadata-2011.eduid.hu || Jelenlegi éles szolgáltatás
|-
| HREF 2020 || - || metadata-2020.eduid.hu || Bevezetés alatt
|-
|}

==== HREF 2015 ====

{| class="wikitable"
|-
! Kulcs || Domain || Technikai domain || Állapot
|-
| HREF 2015 || mdx.eduid.hu || mdx-2015.eduid.hu || Jelenlegi éles szolgáltatás
|-
| HREF 2020 || - || mdx-2020.eduid.hu || Bevezetés alatt
|-
|}

== Shibboleth Service Provider ==

https://wiki.shibboleth.net/confluence/display/SP3/MetadataProvider

=== XML ===

<syntaxhighlight lang="xml" line>
<MetadataProvider type="Chaining">
<MetadataProvider type="XML" id="href-2011" url="http://metadata.eduid.hu/current/href.xml" backingFilePath="href-2011.xml">
<MetadataFilter type="Signature" certificate="href-metadata-signer-2011.crt"/>
<MetadataFilter type="RequireValidUntil" maxValidityInterval="864000"/>
</MetadataProvider>
<MetadataProvider type="XML" id="href-2020" url="http://metadata.eduid.hu/current/href.xml" backingFilePath="href-2020.xml">
<MetadataFilter type="Signature" certificate="href-metadata-signer-2020.crt"/>
<MetadataFilter type="RequireValidUntil" maxValidityInterval="864000"/>
</MetadataProvider>
</MetadataProvider>
</syntaxhighlight>

=== MDX ===

==== Shibboleth 3.X ====

<syntaxhighlight lang="xml" line>
<MetadataProvider type="MDQ" id="href-2015" ignoreTransport="true" baseUrl="https://mdx.eduid.hu/">
<MetadataFilter type="Signature" certificate="mdx-test-signer-2015.crt"/>
<MetadataFilter type="RequireValidUntil" maxValidityInterval="864000"/>
</MetadataProvider>
<MetadataProvider type="MDQ" id="href-2020" ignoreTransport="true" baseUrl="https://mdx.eduid.hu/">
<MetadataFilter type="Signature" certificate="href-metadata-signer-2020.crt"/>
<MetadataFilter type="RequireValidUntil" maxValidityInterval="864000"/>
</MetadataProvider>
</syntaxhighlight>

==== Shibboleth 2.X ====

<syntaxhighlight lang="xml" line>
<MetadataProvider type="Dynamic" id="href-2015" ignoreTransport="true">
<Subst>https://mdx.eduid.hu/entities/$entityID</Subst>
<MetadataFilter type="Signature" certificate="mdx-test-signer-2015.crt"/>
</MetadataProvider>
<MetadataProvider type="Dynamic" id="href-2020" ignoreTransport="true">
<Subst>https://mdx.eduid.hu/entities/$entityID</Subst>
<MetadataFilter type="Signature" certificate="href-metadata-signer-2020.crt"/>
</MetadataProvider>
</syntaxhighlight>

== SimpleSAMLphp ==

=== MDX ===

<syntaxhighlight lang="php" line>
//config/config.php
'metadata.sources' => [
['type' => 'flatfile'], // ez a *-hosted metadata konfiguráció betöltése miatt szükséges
[
'type' => 'mdq',
'server' => 'https://mdx.eduid.hu',
/* --- */
'validateFingerprint' => '91:81:AD:2B:F1:C1:4E:47:93:A2:9D:49:34:B7:77:62:4F:2F:98:43'
],
[
'type' => 'mdq',
'server' => 'https://mdx.eduid.hu',
/* --- */
'validateFingerprint' => 'C3:72:DC:75:4C:FA:BA:65:63:52:D9:6B:47:5B:44:7E:AA:F6:45:61'
],
],
</syntaxhighlight>

=== metarefresh ===

<syntaxhighlight lang="php" line>
// config/config-metarefresh.php
$config = [
'sets' => [
'href-2011' => [
'cron' => ['hourly'],
'sources' => [
[
'src' => 'https://metadata.eduid.hu/current/href.xml',
'validateFingerprint' => 'FE:AE:0B:E8:FB:59:ED:F7:CB:7F:69:DF:19:4F:8B:6D:C7:F6:96:66',
],
],
'expireAfter' => 60*60*24*7, // Maximum 4 days cache time.
'outputDir' => 'metadata/metarefresh-href-2011/',
'outputFormat' => 'flatfile',
],
'href-2020' => [
'cron' => ['hourly'],
'sources' => [
[
'src' => 'https://metadata.eduid.hu/current/href.xml',
'validateFingerprint' => 'C3:72:DC:75:4C:FA:BA:65:63:52:D9:6B:47:5B:44:7E:AA:F6:45:61',
],
],
'expireAfter' => 60*60*24*7, // Maximum 4 days cache time.
'outputDir' => 'metadata/metarefresh-href-2020/',
'outputFormat' => 'flatfile',
],
],
];
</syntaxhighlight>

<syntaxhighlight lang="php" line>
// config/config.php
'metadata.sources' => [
['type' => 'flatfile'],
['type' => 'flatfile', 'directory' => 'metadata/metarefresh-href-2011'],
['type' => 'flatfile', 'directory' => 'metadata/metarefresh-href-2020'],
],
</syntaxhighlight>

TCSCertTypes

2020-05-21T11:49:23Z

Mohacsi(AT)niif.hu:

{| class="wikitable"
|-
! Régi (Digicertes) típus név !! Sectigo tanúsítványtípus !! Leírás
|-
| style="background-color:#aea79f;"| SSL Plus || GÉANT OV SSL || Egy szerver névre érvényes tanúsítvány. A www.valami.hu-formájú nevek esetében tartalmazza a valami.hu nevet is.
|-
| style="background-color:#aea79f;"| Multi-Domain SSL || GÉANT OV Multi-Domain || Több szerver nevet tartalmazó tanúsítvány
|-
| style="background-color:#aea79f;"| EV SSL Plus || GÉANT EV SSL || Egy szerver névre érvényes Extended Validation tanúsítvány
|-
| style="background-color:#aea79f;"| EV Multi-Domain || GÉANT EV Multi-Domain || Több szerver névre érvényes Extended Validation tanúsítvány
|-
| style="background-color:#aea79f;"| Grid Robot Email || GÉANT IGTF-Classic-Robot Email || Grid e-mail szolgáltatásra és kliens azonosításra érvényes robot tanúsítvány, amelyet az IGTF Grid rendszerei elfogadnak
|-
| style="background-color:#aea79f;"| Grid Robot Name || GÉANT IGTF-MICS-Robot Personal || Általános Grid robot tanúsítvány, amelyet az IGTF Grid rendszerei elfogadnak
|-
| style="background-color:#aea79f;"| Digital Signature Plus || GÉANT Personal Certificate || Személyes tanúsítvány azonosításra, dokumentum és e-mail aláírásra.
|-
| style="background-color:#aea79f;"| WildCard Plus || GÉANT Wildcard SSL || Egy teljes tartományra érvényes szerver tanúsítvány (pl. *.domain.hu). Wildcard tanúsítványoknál nem lehetséges további neveket tenni a tanúsítványba, így egy wildcard tanúsítvány csak egyetlen domain alá érvényes.
|-
| style="background-color:#aea79f;"| Code Signing || Code Signing || Számítógépes programkódok aláírására szolgáló tanúsítvány
|-
| style="background-color:#aea79f;"| Document Signing || Document Signing Certificate || Hivatalos dokumentumok aláírására szolgáló tanúsítvány, amely tartalmazza az aláíró intézmény nevét is.
|-
| style="background-color:#aea79f;"| Grid Premium || GÉANT IGTF-MICS Personal || Biztonságos e-mail, dokumentum aláírás és kliens azonosítás céljaira érvényes olyan tanúsítvánnyal, amelyet az IGTF Grid rendszerei elfogadnak
|-
| style="background-color:#aea79f;"| Grid Host Multi-domain SSL || GÉANT IGTF Multi-Domain || Grid e-Science szerver tanúsítvány, amelyet az IGTF Grid rendszerei elfogadnak
|-
| style="background-color:#aea79f;"| . || GÉANT Unified Communications Certificate || .
|}

[[Category: TCS]]

Eduroam

2020-05-11T15:10:08Z

Mohacsi(AT)niif.hu:

== Szolgáltatás leírása ==

Az eduroam szolgáltatás tartalma, hogy a KIFÜ egy országos szintű megbízható eduroam radius routing infrastuktúrát működtet, amely lehetővé teszi az eduroam tagok számára, hogy saját eduroam azonosítási és kiszolgáló infrastruktúrát működtetve résztvegyenek a hazai és nemzetközi eduroam szolgáltatásban. Az eduroam szolgáltatás biztosítja az eduroam szövetségben résztvevő intézmény hallgatói és oktatói számára a WiFi hálózathoz való biztonságos csatlakozást akár egy távoli intézményből. A felhasználóknak csak egyszer kell beállítaniuk a WiFi hozzáférést (igényelni és telepíteni a hozzáférési tokent) és utána minden intézményben, ahol a hálózathoz lehetőség van WiFi-n keresztül csatlakozni, további beállítás és konfiguráció nélkül működni fog a hozzáférés. Az országos edruaom radius routing infrastruktúra szolgáltatási paramétereit és előírásait az eduroam szabályzat (ERSZ) tartalmazza.

A szolgáltatás részeként KIFÜ egy adatbázist működtet a nemzetközi eduroam szabályzatnak megfelelően.

A szolgáltatás következő komponense egy konfigurációs segéd (eduroam Configuration AssistanT vagy eduroam CAT), amely segítséget nyújt az eduroam tagoknak, hogy egy biztonságos és könnyen használható telepítő készletet tudjanak nyújtani a felhasználóiknak a legelterjedtebb operációs rendszerek esetén.

A szolgáltatás részeként a KIFÜ folyamatosan karbantartja, a felhasználói/tagi és nemzetközi igényeknek és szabályzatoknak megfelelően az eduroam szabályzatait (ERSZ)

== Szolgáltatás bejelentési interfész ==

A bejelentések (hiba és szolgáltatás igénylés is) az eduroam@niif.hu címre írt e-mail segítségével (vagy az ügyfélszolgálatra történő telefonálással történik). A bejelentésből OTRS ticket keletkezik

Pro-M Oktatási Üzletág szolgáltatások

2020-05-11T15:03:34Z

Mohacsi(AT)niif.hu: Eduroam lerások

<div class="starter_top" style="display: flex; flex-flow: row wrap; justify-content: space-between; margin: 1em 0;">
<div class="starter1" style="box-sizing: border-box; float: left; width: 32%; padding: 0; border: 1px solid #4277bc;">
<div class="starter1b" style="font-size: 105%; padding: 0.3em; font-weight: bold; min-height: 2em; vertical-align: middle; background-color: #4277bc; color: white;">AAI & Eduroam</div>
<div class="starter1c" style="background: #ffffff; padding: 0.2em 0.4em;">

* [[AAI]]: AAI-val és az eduID föderációval kapcsolatos leírások
* [[EduID_Cloud365 | EduID Cloud 365]]: Office 365 elérése EduID segítségével
* [[Eduroam]]: Eduroam-al kapcsolatos leírások
</div>
</div>
<div class="starter1" style="padding: 0; border: 1px solid #4277bc; width: 33%;">
<div class="starter1b" style="font-size: 105%; padding: 0.3em; font-weight: bold; min-height: 2em; vertical-align: middle; background-color: #4277bc; color: white;">Felhő szolgáltatások</div>
<div class="starter1c" style="background: #ffffff; padding: 0.2em 0.4em;">

* [[C4E|Cloud for Education (C4E)]]
* [[NIIF_E-mail|E-mail kliensek beállításai]]
</div>
</div>

<div class="starter1" style="padding: 0; border: 1px solid #4277bc; width: 33%;">
<div class="starter1b" style="font-size: 105%; padding: 0.3em; font-weight: bold; min-height: 2em; vertical-align: middle; background-color: #4277bc; color: white;">HPC</div>

* [[HPC|NIIF szuperszámítógépek]]

<div class="starter1c" style="background: #ffffff; padding: 0.2em 0.4em;"></div>
</div>
</div>

<div class="starter_bot" style="display: flex; flex-flow: row wrap; justify-content: space-between; margin: 1em 0;">
<div class="starter1" style="box-sizing: border-box; float: left; width: 32%; padding: 0; border: 1px solid #4277bc;">
<div class="starter1b" style="font-size: 105%; padding: 0.3em; font-weight: bold; min-height: 2em; vertical-align: middle; background-color: #4277bc; color: white;">Multimédia</div>
<div class="starter1c" style="background: #ffffff; padding: 0.2em 0.4em;">

* [[VVC]]: Voice Video Collaboration
</div>
</div>

<div class="starter1" style="box-sizing: border-box; float: left; width: 33%; padding: 0; border: 1px solid #4277bc;">
<div class="starter1b" style="font-size: 105%; padding: 0.3em; font-weight: bold; min-height: 2em; vertical-align: middle; background-color: #4277bc; color: white;">Diákháló</div>
<div class="starter1c" style="background: #ffffff; padding: 0.2em 0.4em;">

* [[SulinetDashboard | SulinetAdmin Dashboard]]: Sulinet infrastruktúra szolgáltatásokkal kapcsolatos integrált adminisztrációs rendszer
* [[SRM | Sulinet Rendszergazda Menedzser]]: Iskolák rendszergazdáinak kezelése
* [[Sulinet Eduroam | Intézményi üzemeltetésű Sulinet Eduroam AP-k konfigurációja]]
</div>

</div>
<div class="starter1" style="box-sizing: border-box; float: left; width: 33%; padding: 0; border: 1px solid #4277bc;">
<div class="starter1b" style="font-size: 105%; padding: 0.3em; font-weight: bold; min-height: 2em; vertical-align: middle; background-color: #4277bc; color: white;">Ügyféltámogatás</div>
<div class="starter1c" style="background: #ffffff; padding: 0.2em 0.4em;">

* CSIRT, [[Andromeda malware | Andromeda malware]]: Andromeda malware-el kapcsolatos bejelentések.
</div>
</div>
</div>

== Egyéb szolgáltatásokhoz tartozó leírások ==
* [[Archiver | Tape archiver]]
* [[Névtár]]: NIIF Névtárban hasznos tudnivalók, LDAP alapú alkalmazás-integráció, stb.
* [[TCS | Szerver tanúsítvány szolgáltatás]]

----
: [[Wiki Login|Bővebben a Wiki belépésről]]
: [[Szerkesztési irányelvek]]
: [[Segítség a MediaWiki használatához]]

Intézményi üzemeltetésű Sulinet Eduroam AP-k konfigurációja

2020-02-14T12:49:02Z

Mohacsi(AT)niif.hu: pontosítás az eljárásban

Az eduroam hálózat lehetőséget biztosít arra, hogy a Sulinet Dashboard felületen felvett felhasználók bármilyen, eduroam SSID-t használó intézményben internet-hozzáféréshez jussanak.

Ezzel kapcsolatban felmerültek igények, hogy bármilyen típusú, az intézmény által üzemeltetett eszközzel is megvalósítható legyen ezen hozzáférés. Ezen szolgáltatás igénybevételéhez egy olyan iskolai eduroam/eduID felhasználási szerződést kell kötni az intézménnyel, amelyben az intézmény vállalja, hogy az eduroam szabályai szerint működteti az AP-ket.

Technikailag legtöbb vezeték nélküli eszközön megvalósítható az eduroam hálózat beállítása;

==Eszköz beállításához szükséges paraméterek==

Bármilyen vezeték nélkül eszköz, mely képes kezelni a WPA2 Enterprise protokollt, azon be lehet állítani az eduroam hálózatot az alábbiak szerint (egyelőre csak úgy működik, ha a vezeték nélküli eszköz a sulinetes router privát vagy védett szemensére van kötve):

Radius szerver IP: 195.111.98.15, 195.111.115.15

Radius szerver hitelesítéshez használt port (authentication port): 1812

Radius szerver naplózáshoz használt port (accouting port): 1813

Jelszó (shared secret): minden végpontnak egyedi shared secretje van, amit a Dashboardon olvashat

A WPA2 Enterprise protokoll általában az eszköz WIFI-vel foglalkozó menüjének a Wireless Security menüjében található meg.

A fentieken kívül ügyelni kell a következőkre:

* a WPA verzió 2-es legyen

* a titkosítás automatikus vagy AES legyen

Ha minden beállítás megtörtént és fogható az eduroam SSID a vezeték nélküli eszköz révén, akkor a Windows operációs rendszert használók tekintsék meg ezt a leírást a gyors csatlakozás érdekében.

== SOHO eszköz beállításához szükséges paraméterek==

A konfigurációs segédlet egy TP-LINK TL-WR1043ND V1 eszközön kerül bemutatásra a gyári szoftverrel.

* Győződjön meg róla, hogy az eszköz csatlakozik a villamos hálózathoz! Csatlakoztasson egy ethernet kábelt a router 1-4 portjai közül bármelyikre! Nyisson meg egy böngészőt és írja be a címsorba a router IP címét, mint rá kötött eszköz alapértelmezett átjáróját: 192.168.1.1
: A router kérni fogja a belépéshez szükséges felhasználói nevet és jelszót. Ezen információ a router alján lévő matricán található meg Username és Password formájában.

* Navigáljon a router webes felületén a Wireless menüpontra! Írja át a gyári SSID-t eduroam-ra, válassza ki régiónak Magyarországot; a többi beállítás maradhat változatlanul, majd kattintson a Save gombra!

: [[File:Tp_1.jpg|800px]]

* Navigáljon a Wireless Security almenüpontra és kattintson a WPA/WPA2 menüpontra! Válassza ki a Version-nál a WPA2-t, adja meg a Radius Server IP résznél a 195.111.115.15 címet, adja meg a Sulinet Dashboardon kijelzett karaktersorozatot a Radius Password mezőbe, majd kattintson a Save gombra. A router esetlegesen felhívhatja a figyelmét arra, hogy a beállítások csak a router újraindítása után lépnek érvénybe, ekkor indítsa újra az eszközt!

: [[Fájl:tp_2.jpg|800px]]

==OpenWRT telepítése a TP-LINK TL-WR1043ND v1 routerre==

* Töltse le az OpenWRT Barrier Breaker 14.07 by suste/HeadLess felhasználók által készített szoftvert az alábbi linkről: http://susteopenwrt.ipdns.hu/?directory=.%2FOpenwrt_Barrier_Breaker%2FTP-LINK-TL-WR1043N-ND-V1%2F

: Ezen a linken válassza ki a suste-OpenWRT-BB-0.7-tl-wr1043nd-v1-squashfs-factory.bin nevű fájlt és töltse le!
: <span style="color: red"> '''Fontos! Az eredeti fájlról készült MD5 lenyomatot mindig hasonlítsa össze a letöltött fájl MD5 lenyomatával és csak akkor használja a fájlt, ha az MD5 lenyomatok egyeznek, ellenkező esetben a router működésképtelennél válhat!'''</span>

* Kövesse az előző bekezdés első pontja szerinti utasításokat! Ha eljutott a router webes felületére, akkor navigáljon a System Tools menü, Firmware Upgrade almenüjére!

: [[Fájl:tp_3.jpg|800px]]

* A fájl letöltése után kattintson a Tallózás gombra és keresse meg a letöltött fájlt majd kattintson az Upgrade gombra! A router megerősítést kér a frissítés végrehajtásához, ezt hagyja jóvá egy OK gombra történő kattintással!

: <span style="color: red"> '''Fontos! Szoftverfrissítés idejére mindig biztosítson szünetmentes tápellátást az eszköznek, mert a frissítés közbeni esetleges áramszünettől a router működésképtelenné válhat!'''</span>

: A router automatikusan újra fog indulni. Az új szoftver betöltését a SYS led folyamatos világítása jelzi.

* Nyisson egy böngészőt és írja be a router IP címét a címsorba: 192.168.1.1
: Használja a root felhasználót és a jelszó mezőt hagyja üresen, majd kattintson a Bejelentkezés gombra.

: [[Fájl:1.jpg|800px]]

* Az OpenWRT arra kéri, hogy változtassa meg a jelszavát. Ehhez kattintson a piros kiemelésben található "Ugrás a jelszó beállításához..." linkre.

: [[Fájl:2.jpg|800px]]

* Adja meg a jelszót, majd kattintson a Mentés és Alkalmazás gombra! Ezt követően már sikerülni fog az SSH-n keresztül történő belépés a routerre.

: [[Fájl:3.jpg|800px]]

* A Rendszer menü, Szoftver almenüben megtekintheti a router flash memóriáján lévő szabad helyet. Itt legalább 352 KB szabad helyre van szükség.

: [[Fájl:4.jpg|800px]]

* Lépjen be a routerre SSH-n keresztül! Ehhez használhatja a Putty terminál-emulációs szoftvert, mely letölthető innen: http://the.earth.li/~sgtatham/putty/latest/x86/putty.exe

* Nyissa meg a letöltött terminál-emulációs szoftvert és töltse ki a lenti kép szerint, majd nyomja meg az Open gombot!

: [[Fájl:6.jpg]]

* A felület megjeleníti a router SSH kulcsának publikus részét. Ezt fogadja el a belépéshez! A router felhasználói nevet és jelszót fog kérni: ez root és a korábban beállított jelszó párosa.

: [[Fájl:7.jpg]]

* Csatlakoztassa a router WAN feliratú, kék színű portját a sulinetes 892FSP router privát, védett vagy publikus szegmensbeli portjára!

* Miután a router DHCP-n keresztül kapott IP címet a Cisco eszköztől, adja ki a router SSH felületén az opkg update parancsot!

: [[Fájl:8.jpg]]

* Amennyiben a Cisco router publikus szegmensére kötötte az eszközét, akkor statikus IP beállításokra van szükség. Keresse fel a Hálózatok menü, Interfészek, WAN füleket! Az alapértlemezett beállítás a DHCP ügyfél.

: [[Fájl:8_1.jpg|800px]]

* Kattintson a legördülő menübe és válassza ki a Statikus cím lehetőséget, majd kattintson a Protokoll csere gombra! Ha a protokoll csere megtörtént, akkor beállíthatóak kézzel az IP címek.

: [[Fájl:8_2.jpg|800px]]

* Ennek megtörténte után távolítsa el a wpad-mini csomagot az opkg remove wpad-mini paranccsal és telepítse a wpad csomagot az opkg install wpad paranccsal! Ez kis időt igénybe vehet. Ha a telepítés megtörtént, lépjen ki az SSH felületről az exit paranccsal!

: [[Fájl:9.jpg]]

* Navigáljon ismét a router webes felületén: keresse fel a Hálózat menü, Wifi almenüjét, majd kattintson a Szerkesztés gombra!

: [[Fájl:10.jpg|800px]]

* Lent, az Interfész beállítások résznél írja be az eduroam szót, mint ESSID-t, majd kattintson a Vezetéknélküli biztonság fülre!

: [[Fájl:11.jpg|800px]]

* Állítsa be a kép szerint a felületet majd kattintson a Mentés és Alkalmazás gombra! Ha mindennel elkészült és a Vezetéknélküli hálózat letiltva résznél Engedélyezés gombot lát, akkor nyomja meg!
: Az eduroam hálózat innentől kezdve használható a routeren.

: [[Fájl:12.jpg|800px]]

: Az eduroam használatához történő csatlakozáshoz szükséges információkat az alábbi linken tudja elolvasni: http://sulinet.niif.hu/eduroam#bevezet-s

==Konfiguráció Cisco AP-k esetén==

Az alábbi konfiguráció egy Cisco AIR-SAP1602I-E-K9 típusú AP lényegi konfigurációja, mely segítséget nyújthat az intézmény által üzemeltetett eszköz beállításához.

<code>
! Cisco típusú eszköz esetén a különféle hitelesítési-, authoricáiós- és logolási művelethez engedélyezni kell az AAA-t (Authentication, Authorization, Accounting)<br />
aaa new-model<br />
! RADIUS szerver csoportot kell létrehozni radius_eduroam néven (bármilyen név csoportnév megfelelő, viszont később tudni kell rá hivatkozni), melybe a lenti két szerver tartozik; konkrét szerver IP definiálása lejjebb található<br />
aaa group server radius radius_eduroam
server name radius2.eduroam
server name radius1.eduroam<br />
! létre kell hozni egy AAA method-listet, ami a fenti Eduroam szerverekre hivatkozik<br />
aaa authentication login eap_eduroam group radius_eduroam<br />
! a lenti beállítással rögzítésre kerülnek a hitelesítés hibák (téves jelszó, téves felhasználói név használata)<br />
aaa accounting send stop-record authentication failure
aaa accounting update newinfo<br />
! létre kell hozni egy accounting_eduroam nevű method-listet (szintén bármilyen más fantázianév megfelelő, viszont később tudni kell rá hivatkozni), ami a hálózati tevékenység logolását engedélyezi; ez szintén a radius-szerverekre hivatkozik<br />
aaa accounting network accounting_eduroam start-stop group radius_eduroam<br />
! beállítjuk, hogy az AP több SSID-t is kezeljen és logoljon (amennyiben az intézménynek van saját SSID-ja az eduroam-on kívül)<br />
dot11 mbssid
dot11 syslog<br />
! létre kell hozni az eduroam nevű SSID-t és úgy beállítani, hogy a RADIUS szervereket használja a hitelesítéshez<br />
dot11 ssid eduroam
vlan 101
authentication open eap eap_eduroam
authentication network-eap eap_eduroam
authentication key-management wpa version 2
accounting accounting_eduroam
mbssid guest-mode<br />
! attól függően, hogy az AP tudja-e a 802.11a-t, attól függően Dot11Radio0 és/vagy Dot11Radio1 interfészeken is be kell állítani az eduroam vlan titkosítását és az SSID interfészhez történő hozzárendelését<br />
interface Dot11Radio0 és/vagy Dot11Radio1
encryption vlan 101 mode ciphers aes-ccm
ssid eduroam<br />
! hozzá kell rendelni a BVI1 interfészt egy tetszőleges VLAN-hoz, aminek egyeznie kell a fenti dot11 ssid eduroam parancsban megadottakkal<br />
interface Dot11Radio0.101
encapsulation dot1Q 101
no ip route-cache
bridge-group 1
bridge-group 1 subscriber-loop-control
bridge-group 1 spanning-disabled
bridge-group 1 block-unknown-source
no bridge-group 1 source-learning
no bridge-group 1 unicast-flooding<br />
! az AP uplink interfészét is hozzá kell rendelni a BVI1 interfészhez<br />
interface GigabitEthernet0
bridge-group 1
bridge-group 1 spanning-disabled
no bridge-group 1 source-learning<br />
! IP adatokkal el kell látni a BVI1 interfészt; a lenti példában DHCP-n keresztül kapja meg a menedzseléshez szükséges IP címet, ami az ap1 kliens-azonosító miatt mindig ugyanaz lesz< br/>
interface BVI1
ip dhcp client client-id ascii ap1
ip address dhcp
no ip route-cache<br />
! meg kell adni egy interfészt, amit forrás-címként fog használni az eszköz a radius-szerverrel történő kommunikáláshoz, pl. Loopback0<br />
ip radius source-interface Loopback0<br />
! meg kell adni a legelső sorokban meghatározott radius-szerverek IP-jét, a kommunikációs portokat és a radius-szerver által használt jelszót titkosított formában<br />
radius-server attribute 32 include-in-access-req format %h
radius server radius1.eduroam
address ipv4 195.111.98.15 auth-port 1812 acct-port 1813
key 0 ''egyedi_shared_secret_helye''
radius server radius2.eduroam
address ipv4 195.111.115.15 auth-port 1812 acct-port 1813
key 0 ''egyedi_shared_secret_helye''<br />
! engedélyezzük az STP-t és az IP routolását a BVI1-hez rendelt interfészeken<br />
bridge 1 protocol ieee
bridge 1 route ip
bridge irb
</code>

Intézményi üzemeltetésű Sulinet Eduroam AP-k konfigurációja

2015-12-08T11:32:55Z

Mohacsi(AT)niif.hu: atsrukturalas

Az eduroam hálózat lehetőséget biztosít arra, hogy a Sulinet Dashboard felületen felvett felhasználók bármilyen, eduroam SSID-t használó intézményben internet-hozzáféréshez jussanak.

Ezzel kapcsolatban felmerültek igények, hogy bármilyen típusú, az intézmény által üzemeltetett eszközzel is megvalósítható legyen ezen hozzáférés. A legtöbb vezeték nélküli eszközön megvalósítható az eduroam hálózat beállítása;

==Eszköz beállításához szükséges paraméterek==

Bármilyen vezeték nélkül eszköz, mely képes kezelni a WPA2 Enterprise protokollt, azon be lehet állítani az eduroam hálózatot az alábbiak szerint (egyelőre csak úgy működik, ha a vezeték nélküli eszköz a sulinetes router privát vagy védett szemensére van kötve):

Radius szerver IP: 195.111.98.15, 195.111.115.15

Radius szerver hitelesítéshez használt port (authentication port): 1812

Radius szerver naplózáshoz használt port (accouting port): 1813

Jelszó (shared secret): minden végpontnak egyedi shared secretje van, amit a Dashboardon olvashat

A WPA2 Enterprise protokoll általában az eszköz WIFI-vel foglalkozó menüjének a Wireless Security menüjében található meg.

A fentieken kívül ügyelni kell a következőkre:

* a WPA verzió 2-es legyen

* a titkosítás automatikus vagy AES legyen

Ha minden beállítás megtörtént és fogható az eduroam SSID a vezeték nélküli eszköz révén, akkor a Windows operációs rendszert használók tekintsék meg ezt a leírást a gyors csatlakozás érdekében.

== SOHO eszköz beállításához szükséges paraméterek==

A konfigurációs segédlet egy TP-LINK TL-WR1043ND V1 eszközön kerül bemutatásra a gyári szoftverrel.

* Győződjön meg róla, hogy az eszköz csatlakozik a villamos hálózathoz! Csatlakoztasson egy ethernet kábelt a router 1-4 portjai közül bármelyikre! Nyisson meg egy böngészőt és írja be a címsorba a router IP címét, mint rá kötött eszköz alapértelmezett átjáróját: 192.168.1.1
: A router kérni fogja a belépéshez szükséges felhasználói nevet és jelszót. Ezen információ a router alján lévő matricán található meg Username és Password formájában.

* Navigáljon a router webes felületén a Wireless menüpontra! Írja át a gyári SSID-t eduroam-ra, válassza ki régiónak Magyarországot; a többi beállítás maradhat változatlanul, majd kattintson a Save gombra!

: [[File:Tp_1.jpg|800px]]

* Navigáljon a Wireless Security almenüpontra és kattintson a WPA/WPA2 menüpontra! Válassza ki a Version-nál a WPA2-t, adja meg a Radius Server IP résznél a 195.111.115.15 címet, adja meg a Sulinet Dashboardon kijelzett karaktersorozatot a Radius Password mezőbe, majd kattintson a Save gombra. A router esetlegesen felhívhatja a figyelmét arra, hogy a beállítások csak a router újraindítása után lépnek érvénybe, ekkor indítsa újra az eszközt!

: [[Fájl:tp_2.jpg|800px]]

==OpenWRT telepítése a TP-LINK TL-WR1043ND v1 routerre==

* Töltse le az OpenWRT Barrier Breaker 14.07 by suste/HeadLess felhasználók által készített szoftvert az alábbi linkről: http://susteopenwrt.ipdns.hu/?directory=.%2FOpenwrt_Barrier_Breaker%2FTP-LINK-TL-WR1043N-ND-V1%2F

: Ezen a linken válassza ki a suste-OpenWRT-BB-0.7-tl-wr1043nd-v1-squashfs-factory.bin nevű fájlt és töltse le!
: <span style="color: red"> '''Fontos! Az eredeti fájlról készült MD5 lenyomatot mindig hasonlítsa össze a letöltött fájl MD5 lenyomatával és csak akkor használja a fájlt, ha az MD5 lenyomatok egyeznek, ellenkező esetben a router működésképtelennél válhat!'''</span>

* Kövesse az előző bekezdés első pontja szerinti utasításokat! Ha eljutott a router webes felületére, akkor navigáljon a System Tools menü, Firmware Upgrade almenüjére!

: [[Fájl:tp_3.jpg|800px]]

* A fájl letöltése után kattintson a Tallózás gombra és keresse meg a letöltött fájlt majd kattintson az Upgrade gombra! A router megerősítést kér a frissítés végrehajtásához, ezt hagyja jóvá egy OK gombra történő kattintással!

: <span style="color: red"> '''Fontos! Szoftverfrissítés idejére mindig biztosítson szünetmentes tápellátást az eszköznek, mert a frissítés közbeni esetleges áramszünettől a router működésképtelenné válhat!'''</span>

: A router automatikusan újra fog indulni. Az új szoftver betöltését a SYS led folyamatos világítása jelzi.

* Nyisson egy böngészőt és írja be a router IP címét a címsorba: 192.168.1.1
: Használja a root felhasználót és a jelszó mezőt hagyja üresen, majd kattintson a Bejelentkezés gombra.

: [[Fájl:1.jpg|800px]]

* Az OpenWRT arra kéri, hogy változtassa meg a jelszavát. Ehhez kattintson a piros kiemelésben található "Ugrás a jelszó beállításához..." linkre.

: [[Fájl:2.jpg|800px]]

* Adja meg a jelszót, majd kattintson a Mentés és Alkalmazás gombra! Ezt követően már sikerülni fog az SSH-n keresztül történő belépés a routerre.

: [[Fájl:3.jpg|800px]]

* A Rendszer menü, Szoftver almenüben megtekintheti a router flash memóriáján lévő szabad helyet. Itt legalább 352 KB szabad helyre van szükség.

: [[Fájl:4.jpg|800px]]

* Lépjen be a routerre SSH-n keresztül! Ehhez használhatja a Putty terminál-emulációs szoftvert, mely letölthető innen: http://the.earth.li/~sgtatham/putty/latest/x86/putty.exe

* Nyissa meg a letöltött terminál-emulációs szoftvert és töltse ki a lenti kép szerint, majd nyomja meg az Open gombot!

: [[Fájl:6.jpg]]

* A felület megjeleníti a router SSH kulcsának publikus részét. Ezt fogadja el a belépéshez! A router felhasználói nevet és jelszót fog kérni: ez root és a korábban beállított jelszó párosa.

: [[Fájl:7.jpg]]

* Csatlakoztassa a router WAN feliratú, kék színű portját a sulinetes 892FSP router privát, védett vagy publikus szegmensbeli portjára!

* Miután a router DHCP-n keresztül kapott IP címet a Cisco eszköztől, adja ki a router SSH felületén az opkg update parancsot!

: [[Fájl:8.jpg]]

* Amennyiben a Cisco router publikus szegmensére kötötte az eszközét, akkor statikus IP beállításokra van szükség. Keresse fel a Hálózatok menü, Interfészek, WAN füleket! Az alapértlemezett beállítás a DHCP ügyfél.

: [[Fájl:8_1.jpg|800px]]

* Kattintson a legördülő menübe és válassza ki a Statikus cím lehetőséget, majd kattintson a Protokoll csere gombra! Ha a protokoll csere megtörtént, akkor beállíthatóak kézzel az IP címek.

: [[Fájl:8_2.jpg|800px]]

* Ennek megtörténte után távolítsa el a wpad-mini csomagot az opkg remove wpad-mini paranccsal és telepítse a wpad csomagot az opkg install wpad paranccsal! Ez kis időt igénybe vehet. Ha a telepítés megtörtént, lépjen ki az SSH felületről az exit paranccsal!

: [[Fájl:9.jpg]]

* Navigáljon ismét a router webes felületén: keresse fel a Hálózat menü, Wifi almenüjét, majd kattintson a Szerkesztés gombra!

: [[Fájl:10.jpg|800px]]

* Lent, az Interfész beállítások résznél írja be az eduroam szót, mint ESSID-t, majd kattintson a Vezetéknélküli biztonság fülre!

: [[Fájl:11.jpg|800px]]

* Állítsa be a kép szerint a felületet majd kattintson a Mentés és Alkalmazás gombra! Ha mindennel elkészült és a Vezetéknélküli hálózat letiltva résznél Engedélyezés gombot lát, akkor nyomja meg!
: Az eduroam hálózat innentől kezdve használható a routeren.

: [[Fájl:12.jpg|800px]]

: Az eduroam használatához történő csatlakozáshoz szükséges információkat az alábbi linken tudja elolvasni: http://sulinet.niif.hu/eduroam#bevezet-s

==Konfiguráció Cisco AP-k esetén==

Az alábbi konfiguráció egy Cisco AIR-SAP1602I-E-K9 típusú AP lényegi konfigurációja, mely segítséget nyújthat az intézmény által üzemeltetett eszköz beállításához.

<code>
! Cisco típusú eszköz esetén a különféle hitelesítési-, authoricáiós- és logolási művelethez engedélyezni kell az AAA-t (Authentication, Authorization, Accounting)<br />
aaa new-model<br />
! RADIUS szerver csoportot kell létrehozni radius_eduroam néven (bármilyen név csoportnév megfelelő, viszont később tudni kell rá hivatkozni), melybe a lenti két szerver tartozik; konkrét szerver IP definiálása lejjebb található<br />
aaa group server radius radius_eduroam
server name radius2.eduroam
server name radius1.eduroam<br />
! létre kell hozni egy AAA method-listet, ami a fenti Eduroam szerverekre hivatkozik<br />
aaa authentication login eap_eduroam group radius_eduroam<br />
! a lenti beállítással rögzítésre kerülnek a hitelesítés hibák (téves jelszó, téves felhasználói név használata)<br />
aaa accounting send stop-record authentication failure
aaa accounting update newinfo<br />
! létre kell hozni egy accounting_eduroam nevű method-listet (szintén bármilyen más fantázianév megfelelő, viszont később tudni kell rá hivatkozni), ami a hálózati tevékenység logolását engedélyezi; ez szintén a radius-szerverekre hivatkozik<br />
aaa accounting network accounting_eduroam start-stop group radius_eduroam<br />
! beállítjuk, hogy az AP több SSID-t is kezeljen és logoljon (amennyiben az intézménynek van saját SSID-ja az eduroam-on kívül)<br />
dot11 mbssid
dot11 syslog<br />
! létre kell hozni az eduroam nevű SSID-t és úgy beállítani, hogy a RADIUS szervereket használja a hitelesítéshez<br />
dot11 ssid eduroam
vlan 101
authentication open eap eap_eduroam
authentication network-eap eap_eduroam
authentication key-management wpa version 2
accounting accounting_eduroam
mbssid guest-mode<br />
! attól függően, hogy az AP tudja-e a 802.11a-t, attól függően Dot11Radio0 és/vagy Dot11Radio1 interfészeken is be kell állítani az eduroam vlan titkosítását és az SSID interfészhez történő hozzárendelését<br />
interface Dot11Radio0 és/vagy Dot11Radio1
encryption vlan 101 mode ciphers aes-ccm
ssid eduroam<br />
! hozzá kell rendelni a BVI1 interfészt egy tetszőleges VLAN-hoz, aminek egyeznie kell a fenti dot11 ssid eduroam parancsban megadottakkal<br />
interface Dot11Radio0.101
encapsulation dot1Q 101
no ip route-cache
bridge-group 1
bridge-group 1 subscriber-loop-control
bridge-group 1 spanning-disabled
bridge-group 1 block-unknown-source
no bridge-group 1 source-learning
no bridge-group 1 unicast-flooding<br />
! az AP uplink interfészét is hozzá kell rendelni a BVI1 interfészhez<br />
interface GigabitEthernet0
bridge-group 1
bridge-group 1 spanning-disabled
no bridge-group 1 source-learning<br />
! IP adatokkal el kell látni a BVI1 interfészt; a lenti példában DHCP-n keresztül kapja meg a menedzseléshez szükséges IP címet, ami az ap1 kliens-azonosító miatt mindig ugyanaz lesz< br/>
interface BVI1
ip dhcp client client-id ascii ap1
ip address dhcp
no ip route-cache<br />
! meg kell adni egy interfészt, amit forrás-címként fog használni az eszköz a radius-szerverrel történő kommunikáláshoz, pl. Loopback0<br />
ip radius source-interface Loopback0<br />
! meg kell adni a legelső sorokban meghatározott radius-szerverek IP-jét, a kommunikációs portokat és a radius-szerver által használt jelszót titkosított formában<br />
radius-server attribute 32 include-in-access-req format %h
radius server radius1.eduroam
address ipv4 195.111.98.15 auth-port 1812 acct-port 1813
key 0 ''egyedi_shared_secret_helye''
radius server radius2.eduroam
address ipv4 195.111.115.15 auth-port 1812 acct-port 1813
key 0 ''egyedi_shared_secret_helye''<br />
! engedélyezzük az STP-t és az IP routolását a BVI1-hez rendelt interfészeken<br />
bridge 1 protocol ieee
bridge 1 route ip
bridge irb
</code>

Intézményi üzemeltetésű Sulinet Eduroam AP-k konfigurációja

2015-09-02T11:10:00Z

Mohacsi(AT)niif.hu: atstrukturalas

Az Eduroam hálózat lehetőséget biztosít arra, hogy a Sulinet Dashboard felületen felvett felhasználók bármilyen, Eduroam SSID-t használó intézményben internet-hozzáféréshez jussanak.
Ezzel kapcsolatban felmerültek igények, hogy bármilyen típusú, az intézmény által üzemeltetett eszközzel is megvalósítható legyen ezen hozzáférés.

==A konfigurációhoz szükséges paraméterek==
# Radius szerver(ek) neve/IP címe: ez a Sulinet Dashboard-on olvasható az ilyen konfigurációt működtető intézmények számára
# VPID specifikus egyedi shared secret: ez a Sulinet Dashboard-on olvasható az ilyen konfigurációt működtető intézmények számára

==Példa konfiguráció Cisco AP-k esetén==

Az alábbi konfiguráció egy Cisco AIR-SAP1602I-E-K9 típusú AP lényegi konfigurációja, mely segítséget nyújthat az intézmény által üzemeltetett eszköz beállításához.

! Cisco típusú eszköz esetén a különféle hitelesítési-, authoricáiós- és logolási művelethez engedélyezni kell az AAA-t (Authentication, Authorization, Accounting)
aaa new-model

! RADIUS szerver csoportot kell létrehozni radius_eduroam néven (bármilyen név csoportnév megfelelő, viszont később tudni kell rá hivatkozni), melybe a lenti két szerver tartozik; konkrét szerver IP definiálása lejjebb található
aaa group server radius radius_eduroam
server name radius2.eduroam
server name radius1.eduroam

! létre kell hozni egy AAA method-listet, ami a fenti Eduroam szerverekre hivatkozik
aaa authentication login eap_eduroam group radius_eduroam

! a lenti beállítással rögzítésre kerülnek a hitelesítés hibák (téves jelszó, téves felhasználói név használata)
! aaa accounting send stop-record authentication failure
! aaa accounting update newinfo

! létre kell hozni egy accounting_eduroam nevű method-listet (szintén bármilyen más fantázianév megfelelő, viszont később tudni kell rá hivatkozni), ami a hálózati tevékenység logolását engedélyezi; ez szintén a radius-szerverekre hivatkozik
aaa accounting network accounting_eduroam start-stop group radius_eduroam

! beállítjuk, hogy az AP több SSID-t is kezeljen és logoljon (amennyiben az intézménynek van saját SSID-ja az eduroam-on kívül)
dot11 mbssid
dot11 syslog

! létre kell hozni az eduroam nevű SSID-t és úgy beállítani, hogy a RADIUS szervereket használja a hitelesítéshez
dot11 ssid eduroam
vlan 101
authentication open eap eap_eduroam
authentication network-eap eap_eduroam
authentication key-management wpa version 2
accounting accounting_eduroam
mbssid guest-mode

! attól függően, hogy az AP tudja-e a 802.11a-t, attól függően Dot11Radio0 és/vagy Dot11Radio1 interfészeken is be kell állítani az eduroam vlan titkosítását és az SSID interfészhez történő hozzárendelését
interface Dot11Radio0 és/vagy Dot11Radio1
encryption vlan 101 mode ciphers aes-ccm
ssid eduroam

! hozzá kell rendelni a BVI1 interfészt egy tetszőleges VLAN-hoz, aminek egyeznie kell a fenti dot11 ssid eduroam parancsban megadottakkal
interface Dot11Radio0.101
encapsulation dot1Q 101
no ip route-cache
bridge-group 1
bridge-group 1 subscriber-loop-control
bridge-group 1 spanning-disabled
bridge-group 1 block-unknown-source
no bridge-group 1 source-learning
no bridge-group 1 unicast-flooding

! az AP uplink interfészét is hozzá kell rendelni a BVI1 interfészhez
interface GigabitEthernet0
bridge-group 1
bridge-group 1 spanning-disabled
no bridge-group 1 source-learning

! IP adatokkal el kell látni a BVI1 interfészt; a lenti példában DHCP-n keresztül kapja meg a menedzseléshez szükséges IP címet, ami az ap1 kliens-azonosító miatt mindig ugyanaz lesz
interface BVI1
ip dhcp client client-id ascii ap1
ip address dhcp
no ip route-cache

! meg kell adni egy interfészt, amit forrás-címként fog használni az eszköz a radius-szerverrel történő kommunikáláshoz, pl. Loopback0
ip radius source-interface Loopback0

! meg kell adni a legelső sorokban meghatározott radius-szerverek IP-jét, a kommunikációs portokat és a radius-szerver által használt jelszót titkosított formában
radius-server attribute 32 include-in-access-req format %h
radius server radius1.eduroam
address ipv4 195.111.98.15 auth-port 1812 acct-port 1813
key 0 <egyedi shared secret helye>
radius server radius2.eduroam
address ipv4 195.111.98.16 auth-port 1812 acct-port 1813
key 0 <egyedi shared secret helye>

! engedélyezzük az STP-t és az IP routolását a BVI1-hez rendelt interfészeken
bridge 1 protocol ieee
bridge 1 route ip
bridge irb

== Példa konfigurácio mikrotik AP esetén ==

Intézményi üzemeltetésű Sulinet Eduroam AP-k konfigurációja

2015-08-03T15:04:14Z

Mohacsi(AT)niif.hu: Mohacsi(AT)niif.hu átnevezte a(z) Sulinet Eduroam lapot a következő névre: Intézményi üzemeltetésű Sulinet Eduroam AP-k konfigurációja: pontosítás

Az Eduroam hálózat lehetőséget biztosít arra, hogy a Sulinet Dashboard felületen felvett felhasználók bármilyen, Eduroam SSID-t használó intézményben internet-hozzáféréshez jussanak.
Ezzel kapcsolatban felmerültek igények, hogy bármilyen típusú, az intézmény által üzemeltetett eszközzel is megvalósítható legyen ezen hozzáférés.
Az alábbi konfiguráció egy Cisco AIR-SAP1602I-E-K9 típusú AP lényegi konfigurációja, mely segítséget nyújthat az intézmény által üzemeltetett eszköz beállításához.

! Cisco típusú eszköz esetén a különféle hitelesítési-, authoricáiós- és logolási művelethez engedélyezni kell az AAA-t (Authentication, Authorization, Accounting)
aaa new-model

! RADIUS szerver csoportot kell létrehozni radius_eduroam néven (bármilyen név csoportnév megfelelő, viszont később tudni kell rá hivatkozni), melybe a lenti két szerver tartozik; konkrét szerver IP definiálása lejjebb található
aaa group server radius radius_eduroam
server name radius2.eduroam
server name radius1.eduroam

! létre kell hozni egy AAA method-listet, ami a fenti Eduroam szerverekre hivatkozik
aaa authentication login eap_eduroam group radius_eduroam

! a lenti beállítással rögzítésre kerülnek a hitelesítés hibák (téves jelszó, téves felhasználói név használata)
! aaa accounting send stop-record authentication failure
! aaa accounting update newinfo

! létre kell hozni egy accounting_eduroam nevű method-listet (szintén bármilyen más fantázianév megfelelő, viszont később tudni kell rá hivatkozni), ami a hálózati tevékenység logolását engedélyezi; ez szintén a radius-szerverekre hivatkozik
aaa accounting network accounting_eduroam start-stop group radius_eduroam

! beállítjuk, hogy az AP több SSID-t is kezeljen és logoljon (amennyiben az intézménynek van saját SSID-ja az eduroam-on kívül)
dot11 mbssid
dot11 syslog

! létre kell hozni az eduroam nevű SSID-t és úgy beállítani, hogy a RADIUS szervereket használja a hitelesítéshez
dot11 ssid eduroam
vlan 101
authentication open eap eap_eduroam
authentication network-eap eap_eduroam
authentication key-management wpa version 2
accounting accounting_eduroam
mbssid guest-mode

! attól függően, hogy az AP tudja-e a 802.11a-t, attól függően Dot11Radio0 és/vagy Dot11Radio1 interfészeken is be kell állítani az eduroam vlan titkosítását és az SSID interfészhez történő hozzárendelését
interface Dot11Radio0 és/vagy Dot11Radio1
encryption vlan 102 mode ciphers aes-ccm
ssid eduroam

! hozzá kell rendelni a BVI1 interfészt egy tetszőleges VLAN-hoz, aminek egyeznie kell a fenti dot11 ssid eduroam parancsban megadottakkal
interface Dot11Radio0.101
encapsulation dot1Q 101
no ip route-cache
bridge-group 1
bridge-group 1 subscriber-loop-control
bridge-group 1 spanning-disabled
bridge-group 1 block-unknown-source
no bridge-group 1 source-learning
no bridge-group 1 unicast-flooding

! az AP uplink interfészét is hozzá kell rendelni a BVI1 interfészhez
interface GigabitEthernet0
bridge-group 1
bridge-group 1 spanning-disabled
no bridge-group 1 source-learning

! IP adatokkal el kell látni a BVI1 interfészt; a lenti példában DHCP-n keresztül kapja meg a menedzseléshez szükséges IP címet, ami az ap1 kliens-azonosító miatt mindig ugyanaz lesz
interface BVI1
ip dhcp client client-id ascii ap1
ip address dhcp
no ip route-cache

! meg kell adni egy interfészt, amit forrás-címként fog használni az eszköz a radius-szerverrel történő kommunikáláshoz, pl. Loopback0
ip radius source-interface Loopback0

! meg kell adni a legelső sorokban meghatározott radius-szerverek IP-jét, a kommunikációs portokat és a radius-szerver által használt jelszót titkosított formában
radius-server attribute 32 include-in-access-req format %h
radius server radius1.eduroam
address ipv4 195.111.98.15 auth-port 1812 acct-port 1813
key 7 1527055501030A07631D300A0A103B5533644C73066158174C0E565C7B676805
radius server radius2.eduroam
address ipv4 195.111.98.16 auth-port 1812 acct-port 1813
key 7 097940501C2C363140220102323305650710062C433657420D405C5022372246

! engedélyezzük az STP-t és az IP routolását a BVI1-hez rendelt interfészeken
bridge 1 protocol ieee
bridge 1 route ip
bridge irb

Sulinet Eduroam

2015-08-03T15:04:14Z

Mohacsi(AT)niif.hu: Mohacsi(AT)niif.hu átnevezte a(z) Sulinet Eduroam lapot a következő névre: Intézményi üzemeltetésű Sulinet Eduroam AP-k konfigurációja: pontosítás

#ÁTIRÁNYÍTÁS [[Intézményi üzemeltetésű Sulinet Eduroam AP-k konfigurációja]]