Pro-M - Oktatási Üzletág - Wiki - Szerkesztő közreműködései [hu]

EARC

2016-02-29T10:00:08Z

Sitya(AT)niif.hu: Új oldal, tartalma: „= eduGAIN Attribute Release Check = == Evaluation == === Ranks (for each SP): === * A: IdP sends all necessary information * B: IdP sends minimal information * C: IdP …”

= eduGAIN Attribute Release Check =
== Evaluation ==

=== Ranks (for each SP): ===
* A: IdP sends all necessary information
* B: IdP sends minimal information
* C: IdP sends basic information while some required information is missing
* C: IdP sends eduPersonTargetedId with the wrong (legacy) syntax
* D: IdP sends superfluous personal information
* D: IdP sends some subset of the requested information, but not the basic information (see definition below)
* F: Incorrect value syntax (except for eptid above)
* F: R&S category support is indicated but its requirements are not satisfied
* F: No attributes received

'''Additional points (A-C):'''
* IdP R&S support is indicated

'''Penalty points (A-C):'''
* Redundant attributes are missing, but information is available
* IdP sends superfluous non-personal information (eptid, homeOrganizationType, etc)

== Definitions ==
* attribute: a non-empty SAML Attribute sent as a part of a SAML AttributeStatement
* information: either an attribute or a set of attributes for which a transformation or combination algorithm is available to produce data for an application (ie: e-mail, affiliation, name)
* requested information: the set of attributes or meta-attributes (such as a non-reassigned identifier or a name), that is requested by the SP by using SAML metadata, whether or not isRequired is flagged.
* all necessary information: set of released attributes that can provide all requested information
* minimal information = required information: If the tested SP has an entity category, where the minimal set is defined (such as R&S), the minimal information is the minimal set. Otherwise it is the set of attributes that can provide the subset of requested information, where isRequired is set in the SAML metadata.
* basic information: a set of attributes, including at least a persistent identifier represented by at least one of:
** eduPersonPrincipalName
** eduPersonTargetedId (either as a SAML NameID or an attribute)
** eduPersonUniqueId
* superfluous attribute: attribute that is sent by the IdP even though the information is not requested by the SP. Sending the same attribute in different NameFormats (such as URI and OID) does not count as superfluous information
* R&S requirements: according to the R&S specification, the following attributes must be provided by an R&S IdP:
** eduPersonPrincipalName
** mail
** displayName OR (givenName AND sn)
* redundant attributes: information that can be extracted from one or more attributes:
** schacHomeOrganization <= eduPersonScopedAffiliation / eduPersonPrincipalName
** eduPersonAffiliation <= eduPersonScopedAffiliation
** cn <= sn+givenName
** cn <= displayName

HREF attribútum specifikáció

2016-02-29T09:47:12Z

Sitya(AT)niif.hu: /* schacYearOfBirth */

== A specifikáció célja ==
A föderációban az IdP SAML attribútumokban ad meg adatokat a felhasználóról az SP-nek. Ahhoz, hogy az adatokban hordozott információ átadása pontos legyen, fontos, hogy a használt attribútumokat a két fél ugyanúgy értelmezze.

Az attribútumok pontos meghatározása az attribútumok sémájában található. A specifikációban az alábbi sémákat használtuk fel:
* ''person'', ''organizationalPerson'' (X.521)
* ''inetOrgPerson'' (RFC2798)
* ''eduPerson'' (http://middleware.internet2.edu/eduperson/)
* ''SCHAC'' (http://www.terena.org/activities/tf-emc2/schacreleases.html)
* ''niifPerson'', ''niifEduPerson'' ([[NIIFSchema]])

A fenti dokumentumokban definiált attribútumoknak a föderációban való ''értelmezését'' határozza meg az Attribútum Specifikáció. Ez néhány esetben valamivel szűkebb, mint az eredeti definíció, azért, hogy az információt az SP-k pontosabban értelmezhessék.

A specifikációban felsoroltakon túl az IdP-k tetszőleges attribútumot megvalósíthatnak és kiadhatnak ''bilaterális megállapodás'' alapján.
== Attribútumok használata ==
=== Meghatározások ===
* '''Implementáció''' (megvalósítás): egy IdP abban az esetben ''implementál'' egy attribútumot, ha az attribútumban hordozott információ a föderációs specifikációnak megfelelő szemantikai és formai követelmények szerint a rendelkezésére áll. Ez jelentheti azt, hogy a felhasználói adatbázisban a felhasználó bejegyzése tartalmazza ezt az attribútumot, de az attribútum más módon is előállhat (pl. statikusan vagy más attribútumokból dinamikusan generálva). Az implementáció részleteivel kapcsolatban a föderáció nem fogalmaz meg megkötést
* '''Attribútum kiadás''': az attribútum átadása néhány (vagy a föderációban található összes) SP-nek.

=== Implementációs szintek ===
* '''Kötelező''': az attribútumot kötelező az IdP-nek implementálni. (Nem kötelező kiadnia.)
* '''Ajánlott''': az attribútumot ajánlott az IdP-nek implementálni, de ez néhány intézménynél lehetetlen vagy nehézségekbe ütközhet
* '''Opcionális''': az attribútumot az IdP a saját döntése szerint megvalósíthatja.
:: Fontos kiemelni, hogy amennyiben egy IdP implementál egy opcionális attribútumot, azt '''a specifikáció szerint KÖTELEZŐ megtennie''', azaz követve a specifikáció szemantikai és szintaktikai előírásait.

=== SP attribútum-igények ===
Az SP-k a [[Resource Registry]]-ben, és ezen keresztül a [[Metadata|metadata]] állományban jelezhetik, hogy egy attribútum számukra megkövetelt (required) vagy ajánlott (desired).
* '''Megkövetelt''': az alkalmazás működéséhez elengedhetetlen az attribútum
:: pl. <code>eduPersonPrincipalName</code> olyan alkalmazásokhoz, amelyek nincsenek felkészítve átlátszatlan (opaque) azonosítók kezelésére
* '''Ajánlott''': az alkalmazás működését megkönnyíti az attribútum
:: pl. a <code>cn</code> attribútum átadásakor az alkalmazás nem kéri be a felhasználó teljes nevét regisztrációkor

=== Hibakezelés ===
Abban az esetben, ha egy IdP nem adja ki egy vagy több az SP számára elengedhetetlen attribútumot, az SP-nek KÖTELEZŐ a felhasználónak hibaüzenetet adnia. (Ugyanis egy SP csak abban az esetben jelölhet meg egy attribútumot ''megkövetelt attribútumnak'', ha ez az alkalmazás működéséhez elengedhetetlen, minden egyéb esetben ''ajánlott''-nak kell megjelölnie.) Azonban ez a hibaüzenet lehetséges, hogy a felhasználó számára nehezen értelmezhető (pl: ''Authorization Required'').

Ezért az IdP-k számára AJÁNLOTT kiadni azokat az attribútumokat, amelyeket az SP-k ''megkövetelt''-nek jelölnek meg.

== Attribútumok listája ==

=== Lista ===
==== Kötelező attribútumok ====
{| {{prettytable}}
|eduPersonTargetedID
|-
|eduPersonScopedAffiliation
|-
|schacHomeOrganizationType
|-
|eduPersonPrincipalName
|}
==== Ajánlott attribútumok ====
{| {{prettytable}}
|displayName
|-
|mail
|-
|eduPersonEntitlement
|-
|}

=== Állandó felhasználói azonosítók ===
Bizonyos alkalmazások esetén szükséges alkalmazás-specifikus adatokat is tárolni. Ilyen példa lehet egy webes naptárnál a felhasználóhoz kötődő bejegyzések, vagy egy wikinél a felhasználó szerkesztései. Ezeket az alkalmazások valamilyen helyi adatbázisban tárolják, a kulcs a felhasználó és az adatbázis bejegyzés között pedig egy '''állandó azonosító'''.

Az állandó azonosítók lehetnek:
* '''statikusak''': a felhasználó létrehozásakor megadott adattal megegyezők
* '''számítottak''': a felhasználó valamelyik (vagy több) attribútumából algoritmikusan - általában hash eljárással - generáltak
* '''tároltak''': ezek általában olyan azonosítók, amelyet az IdP egy adatbázisban elsődleges kulcsként használ, azaz
** a felhasználói attribútumok változása esetén is állandó marad
** egyediségük biztosított

Az azonosítók az alábbi tulajdonságokkal rendelkezhetnek:
* '''állandóság''': az IdP-nek gondoskodnia kell arról, hogy a kiosztott azonosító a felhasználó intézménynél töltött életciklusa során állandó legyen.
:: Amennyiben egy állandó(nak szánt) azonosító mégis megváltozik, az nagyon nehéz helyzetbe hozhatja mind a felhasználót, mind az alkalmazás üzemeltetőt. Erre megoldás lehet a SAML2 NameID Mapping, azonban ezt jelenleg a föderációban használt szoftverek csak részlegesen vagy egyáltalán nem támogatják.
* '''nem osztható ki újra''' (''non-reassignable''): az IdP-nek gondoskodnia kell arról, hogy egy felhasználó azonosítóját később nem osztja ki másik felhasználónak.
:: Ennek algoritmikus biztosítása bizonyos esetekben nehézségekbe ütközhet (pl. hash ütközések, illetve bizonyos IdP-k kézzel osztanak azonosítókat), ezért jelen specifikáció csak azt követeli meg, hogy azonosító a gyakorlatban ne tegye lehetővé, hogy az alkalmazás oldalán a felhasználók összekeveredjenek. Különböző IdP-ktől jövő felhasználók azonosítói abban az esetben nem ütközhetnek, ha az azonosítónak része valamilyen, az IdP-re jellemző adat ([[Scope|scope]] vagy [[entityID]]).
* '''nem átlátszó''' (''opaque''): az ilyen azonosítók nem jellemzők a felhasználóra, az értékéből nem lehet következtetni a felhasználó személyére (pl. e-mail címére)
:: Nem minden azonosító rendelkezik ilyen tulajdonsággal, azonban intézmények között adatvédelmi szempontból kifejezetten kívánatos, hogy egy azonosító ne legyen jellemző a felhasználó személyére. A nem átlátszó azonosítót nem célszerű a felhasználók felé megjeleníteni.
* '''célzott''' (''targeted''): az ilyen azonosítók minden SP-nél különbözőek, s így az SP-k - az IdP közreműködése nélkül - nem képesek profilt készíteni egy felhasználóról, ami adatvédelmi szempontból kívánatos.
:: Nem minden azonosító rendelkezik ilyen tulajdonsággal.

Az állandó azonosító kiadható attribútumként, illetve a SAML Assertion NameID mezőjében. Bizonyos SP implementációk (pl. a Shibboleth 2.x) képesek arra, hogy az alkalmazás részére elfedjék azt, hogy az azonosító pontosan milyen attribútumban vagy NameID-ben érkezett, pl. úgy, hogy az azonosítót a REMOTE_USER változóban adják ki az alkalmazás számára.

====NameID formátumok - melyiket válasszam?====
A föderáció elvárja, hogy az IdP-k támogassák mind a tranziens NameID formátumot, mind a célzott, átlátszatlan azonosítót (melyek lehetnek tároltak vagy számítottak). A tárolt azonosítót célszerű SAML2 perszistens NameID-ként kiadni, a számított azonosító azonban csak az eduPersonTargetedID attribútumban adható ki, mivel nem rendelkezik a perszisztens NameID szemantikájával.

A Shibboleth IdP implementáció esetén a számított azonosítókról a tárolt azonosítókra való áttérés nem változtatja meg a kiadott azonosítókat, ezért az SP-k számára ez az áttérés transzparens.

Ha SP-t üzemeltetünk, akkor célszerű már az üzemeltetés kezdetén eldönteni, hogy melyik formátum mellett tesszük le a voksunkat (ez elsősorban az SP által védett alkalmazás képességeitől függ), mert menet közben átállni körülményes, sok energiát igényel. A problémára reméljük könnyebb lesz a megfelelő választ megtalálni az alábbi kérdés átgondolásával: '''Szükséges-e az SP számára, hogy egy-egy felhasználójához tartozzon egy-egy állandó azonosító?'''

1. Ha nem, akkor egyértelmű a választás: tranziens formátumot kell használni.

2. Ha igen, és nem szükséges, hogy az állandó azonosító a felhasználóra jellemző legyen, ill. az SP mögötti alkalmazás felkészült ilyen azonosító fogadására ( az alkalmazás szempontjából mindegy, hogy milyen úton, tehát eduPersonTargetedID attribútumként, vagy perzisztens NameID-ként érkezik az érték az SP-hez ), akkor az SP-nek ''Nem kell meghatároznia, hogy milyen NameID formátumot támogat'', hiszen ezesetben
: a) Ha az IdP nem támogatja a tárolt azonosítókat, akkor a tranziens NameID mellé az eduPersonTargetedID attribútumban ki fogja adni a számított (és célzott) azonosítót.
: b) Ha az IdP támogatja a tárolt azonosítókat, akkor azt perzisztens NameID-ként fogja kiadni (illetve, ha az SP kéri az eduPersonTargetedID attribútumot, az IdP képes ugyanezt a tárolt értéket ilyen formában is kiadni).
: Az alkalmazáshoz mindkét esetben ugyanaz az érték jut el, mint felhasználói azonosító.

3. Ugyanaz, mint a 2., kivéve, hogy magasabb szintű felhasználókezelést (például SAML NameID menedzsmentet) is szeretne az SP használni, akkor kizárólag perzisztens NameID-t kell kérnie. A HREF föderáció jelenleg nem rendelkezik a magasabb szintű SAML protokollokról, ezért ezek használata kizárólag az adott SP és IdP közötti megállapodáson alapulhat.

4. Ha szükséges, hogy az állandó azonosító a felhasználóra jellemző legyen, őt egyértelműen azonosítsa, akkor a választás tranziens NameID, amely mellé meg kell követelni az eduPersonPrincipalName kiadását.

A HREF föderációban az IdP-k részéről elvárt, hogy a fenti 1-2. megoldásokat támogassák. A 3-4. esetében minden további nélkül előfordulhat, hogy az IdP és SP közötti kommunikáció hibát jelez, mert valamelyik fél nem támogatja a másik fél által megkövetelt / biztosított azonosító formátumot...

{{INFO| Egy SP a [[Resource Registry]]-ben jelezheti, hogy milyen NameID formátumokat támogat. Ha kizárólag perzisztens NameID formátumot támogat, akkor vagy kap az IdP-től ilyet, vagy hiba lép fel a válasz feldolgozása során.}}

==== eduPersonTargetedID ====
{{AttributeDef|name=eduPersonTargetedID
|URI=urn:mace:dir:attribute-def:eduPersonTargetedID
|OID=1.3.6.1.4.1.5923.1.1.1.10
|description='''Nem átlátszó''', '''célzott''' azonosító, amely '''nem osztható ki újra'''
|semantics=Lásd: https://wiki.shibboleth.net/confluence/display/SHIB2/NativeSPTargetedID , ill. a fenti megjegyzést az implementációs szinttel kapcsolatban.

Az SP a kapott értéket fel kell, hogy dolgozza, nem adhatja XML formátumban tovább az alkalmazásnak. A benne szereplő ún. qualifier-ek közül az IdP azonosítóját (<code>NameQualifier</code>) és természetesen magát az azonosítót ''kötelező'' szerepeltetni az alkalmazás számára átadott azonosítóban. Javasolt az egyes mezőket '!' karakterrel elválasztani egymástól.

Az IdP-nek biztosítania kell, hogy egy felhasználó számára kiosztott azonosító valóban perzisztens legyen, tehát gondoskodnia kell az attribútum-értékek biztos tárolásáról - például egy megfelelő mentési tervvel üzemeltetett relációs adatbázisban.

Az eduPersonTargetedID '''nem osztható ki újra'''.

|implementation=mandatory
|syntax=Az attribútum értékének a SAML2 szabványban definiált NameID formátumúnak kell lennie; az azonosító (nem számítva az XML attribútumokat) legfeljebb 256 karakterből állhat.
|example=
Az IdP ilyen formában adja ki az azonosítót:
<saml2:NameID xmlns:saml2="urn:oasis:names:tc:SAML:2.0:assertion"
Format="urn:oasis:names:tc:SAML:2.0:nameid-format:persistent"
NameQualifier="https://idp.example.org/idp/shibboleth"
SPNameQualifier="https://sp.example.org/shibboleth">
84e411ea-7daa-4a57-bbf6-b5cc52981b73
</saml2:NameID>
Az alkalmazás ilyen formában kapja meg az azonosítót:
https://idp.example.org/idp/shibboleth!https://sp.example.org/shibboleth!84e411ea-7daa-4a57-bbf6-b5cc52981b73
}}

==== eduPersonPrincipalName ====
{{AttributeDef|name=eduPersonPrincipalName
|URI=urn:mace:dir:attribute-def:eduPersonPrincipalName
|OID=1.3.6.1.4.1.5923.1.1.1.6
|description='''Állandó''', '''nem célzott''', '''nem újra kiosztható''' egyedi azonosító
|implementation=mandatory
|assurer=institution
|semantics=
Formátum: <egyedi_lokális_azonosító>@<scope>

Ahol
* '''<egyedi_lokális_azonosító>''': tetszőleges állandó azonosító, amely az intézményen belül egyértelműen azonosítja a felhasználót. Kézenfekvő megoldás a felhasználói azonosító ('''uid''') használata, azonban bármilyen más azonosító használható
* '''<scope>''': helyi biztonsági tartomány. A végződése kötelezően egy DNS domain, amely az IdP-t üzemeltető intézmény tulajdonában áll.

'''Megjegyzés''': az '''eduPersonPrincipalName''' érzékeny személyes adat, hiszen sok esetben megegyezik a felhasználó e-mail címével. Intézményen belüli használata javasolt, intézményen kívül célszerű nem átlátszó, célzott azonosítót használni.

Az eduPersonPrincipalName a föderációban '''nem osztható ki újra'''.

Bizonyos alkalmazások nem támogatják a különleges karaktereket az azonosítókban, ezért a föderációban az eduPersonPrincipalName kizárólag alfanumerikus karaktereket, pont ('.'), kötőjel ('-') és alulvonás ('_') karaktereket tartalmazhat.
|example=gipsz.jakab@example.org
}}

==== niifPersonOrgID ====
{{AttributeDef|name=niifPersonOrgID
|URI=urn:mace:dir:attribute-def:eduPersonPrincipalName
|OID=1.3.6.1.4.1.11914.0.1.154
|description=Állandó egyedi azonosító intézményen belüli, ill. e-learning használatra
|implementation=optional
|semantics=
Bizonyos esetekben adatvédelmi szempontok miatt szükség lehet arra, hogy a felhasználó intézményen belüli azonosítója (pl. Neptun kódja) és az egyéb alkalmazásokban használt <code>uid</code> különböző legyen.

Ezen attribútum intézmények közötti átadása csak abban az esetben javasolt, ha e-learning rendszerek miatt meg kell osztani a tanulmányi azonosítót.
}}
==== schacPersonalUniqueCode ====
{{AttributeDef|name=schacPersonalUniqueCode
|OID=1.3.6.1.4.1.25178.1.2.14
|description=Állandó egyedi azonosító interföderációs környezetben való használatra
|example=<code>urn:schac:personalUniqueCode:hu:bme.hu:Neptun:gmx3f0</code>
|implementation=optional
|numOfValues=multi
}}

=== Felhasználói tulajdonságokat leíró attribútumok ===

==== sn ====
{{AttributeDef|name=sn
|URI=urn:mace:dir:attribute-def:sn
|OID=2.5.4.4
|implementation=optional
|description=A felhasználó vezetékneve
|semantics=A felhasználó vezetékneve. Amennyiben több vezetékneve van a felhasználónak, akkor ezeket egyetlen értékben kell tárolni.
|example=
* Gipsz
* Gipszné Kiss
}}
==== givenName ====
{{AttributeDef|name=givenName
|implementation=optional
|OID=2.5.4.42
|URI=urn:mace:dir:attribute-def:givenName
|description=A felhasználó keresztneve
|semantics=Amennyiben több keresztneve van a felhasználónak, ezeket egyetlen értékben kell tárolni.
|example=
* Jakab
* Mária Lujza
}}
==== displayName ====
{{AttributeDef|name=displayName
|URI=urn:mace:dir:attribute-def:displayname
|OID=2.16.840.1.113730.3.1.241
|implementation=recommended
|description=A felhasználó megjelenítendő neve
|semantics=A felhasználó neve abban a formában, ahogy a felhasználó, vagy a felhasználó intézménye meg kívánja jeleníteni.
|example=Gipsz Jakab Aladár
}}

==== mail ====
{{AttributeDef|name=mail
|URI=urn:mace:dir:attribute-def:mail
|OID=0.9.2342.19200300.100.1.3
|implementation=recommended
|numOfValues=multi
|description=A felhasználó email címe
|values=Létező e-mail cím
|syntax=Lásd: [http://www.faqs.org/rfcs/rfc2822.html RFC 2822]
|example=gipsz.jakab@example.org
|semantics=A felhasználó értesítési e-mail címe. Az így átadott email címről az intézmény biztosítja, hogy
* azt az intézmény biztosítja a felhasználó részére (pl neptunkod@intemzeny.hu)
* vagy az intézmény a cím rögzítésekor ellenőrizte, hogy az a felhasználó tulajdonában van (pl egy megerősítő levél kiküldésével).

Az attribútumban ellenőrizetlen, felhasználó által megadott email címet átadni tilos.
}}

==== preferredLanguage ====
{{AttributeDef|name=preferredLanguage
|OID=2.16.840.1.113730.3.1.39
|URI=urn:mace:dir:attribute-def:preferredLanguage
|implementation=optional
|values=RFC 2068 Language Tags szekcióban meghatározott formátumú nyelvkódok
|example=hu
|description=Előnyben részesített nyelv
|semantics=A felhasználó által elsődlegesen használni kívánt, általa előnyben részesített nyelv
}}

==== schacDateOfBirth ====
{{AttributeDef|name=schacDateOfBirth
|OID=1.3.6.1.4.1.25178.1.2.3
|description=A felhasználó születési dátuma
|implementation=optional
|example=19700101
|values=YYYYMMDD (RFC 3339 'full-date') formátumú dátum
}}

==== schacYearOfBirth ====
{{AttributeDef|name=schacYearOfBirth
|OID=1.3.6.1.4.1.25178.1.0.2.3
|description=A felhasználó születési éve (amennyiben csak az évre van szükség, egyébként ajánlott a [[#schacDateOfBirth | schacDateOfBirth]] használata)
|implementation=optional
|values=YYYY formátumú év
|example=1970
}}

==== schacPersonalTitle ====
{{AttributeDef|name=schacPersonalTitle
|OID=1.3.6.1.4.1.25178.1.2.8
|implementation=optional
|description=A felhasználó személyes megszólítása.
|semantics=A felhasználó nevéhez kapcsolódó megszólítás, mely a teljes név elé fűzhető. A címtárban tárolható a [[NIIFSchema#niifPersonPrefix|niifPersonPrefix]] attribútumban is.
|example=
* Dr.
* Prof.
}}

==== niifPersonMothersName ====
{{AttributeDef|name=niifPersonMothersName
|OID=1.3.6.1.4.1.11914.0.1.157
|implementation=optional
|description=Felhasználó anyja neve
|example=Kőkori Vilma
|semantics=A felhasználó anyjának születési neve a felhasználó hivatalos irataiban.
}}

==== niifPersonResidentalAddress ====
{{AttributeDef|name=niifPersonResidentalAddress
|OID=1.3.6.1.4.1.11914.0.1.159
|description=A felhasználó állandó lakcíme
|implementation=optional
|example=1111 Budapest, Villányi út 155.
}}

==== homePostalAddress ====
{{AttributeDef|name=homePostalAddress
|OID=0.9.2342.19200300.100.1.39
|description=A felhasználó ideiglenes lakcíme
|numOfValues=multi
|implementation=optional
|example=1111 Budapest, Villányi út 155.
}}

==== telephoneNumber ====
{{AttributeDef|name=telephoneNumber
|OID=2.5.4.20
|description=A felhasználó vezetékes telefonszáma
|values=A telefonszámot az [https://www.comnap.aq/interoperability/ITU-T-REC-E.123-2001-02.pdf ITU-T E.123 szabvány] szerint kell tárolni. A melléket a <code>/</code> jellel elválasztva jelölhető.
|numOfValues=multi
|implementation=optional
|example=
* +36 1 123 1234
* +36 1 123 1234 / 102
}}

==== mobile ====
{{AttributeDef|name=mobile
|OID=0.9.2342.19200300.100.1.41
|description=A felhasználó mobilszáma
|values= A telefonszámot az [https://www.comnap.aq/interoperability/ITU-T-REC-E.123-2001-02.pdf ITU-T E.123 szabvány] szerint kell tárolni.
|numOfValues=multi
|example= +36 30 123 1234
|implementation=optional
}}

==== eduPersonNickName ====
{{AttributeDef|name=eduPersonNickName
|OID=1.3.6.1.4.1.5923.1.1.1.2
|description=A felhasználó beceneve
|implementation=optional
|assurer=user
|example=
*gipszj
*the.man.who.was.bored.to.death.by.some.american.smartguys
|semantics=Az a becenév, amelyet a felhasználó általában használ (pl. online fórumokon). Nem egyedi, a hossza és a tartalma sem kötött, nem állandó, ezért az alkalmazásnak mindenképpen ellenőriznie kell, mielőtt - esetleg - lokális felhasználónévként figyelembe veszi.
}}

==== cn ====
{{AttributeDef|name=cn
|OID=2.5.4.3
|description=A felhasználó teljes neve
|semantics=A felhasználó vezetéknevének és keresztnevének valamilyen módon történő, szóközzel elválasztott összefűzése. Használata intézményenként és országonként eltérő. Jellemző, hogy több értékben különböző módokon előállított értékeket is tartalmaz.

'''Helyette a [[#displayName|displayName]] használata javasolt.'''
|implementation=optional
|numOfValues=multi
|example=
* Gipsz Jakab
* Kovács Áron;Kovacs Aron;Aron Kovacs
}}

==== jpegPhoto ====
{{AttributeDef|name=jpegPhoto
|OID=0.9.2342.19200300.100.1.60
|implementation=optional
|description=Kis méretű fotó a felhasználóról JPEG formátumban
|sematics=
* Maximális méret: 320x320 pixel, 32 kB (???)
}}
==== labeledUri ====
{{AttributeDef|name=labeledUri
|OID=1.3.6.1.4.1.250.1.57
|description=Felhasználóhoz tartozó URI-k
|semantics=A felhasználó által megadott, vagy rá valamilyen formában jellemző URI-k (gyakran URL-ek) gyűjteménye, mint pl. a személyes honlapjának címe. Minden azonosítóhoz opcionálisan kapcsolható szöveges leírás.
|values=Az URL-t urlencode-olva kell tárolni (RFC 2079).
|implementation=optional
|numOfValues=multi
|example=
*http://example.com/%7Euser/foo Foo page
*ftp://ftp.example.com
}}

=== Felhasználó és az intézmény viszonyát leíró attribútumok ===

==== eduPersonScopedAffiliation ====
{{AttributeDef|name=eduPersonScopedAffiliation
|URI=urn:mace:dir:attribute-def:eduPersonScopedAffiliation
|OID=1.3.6.1.4.1.5923.1.1.1.9
|description=Felhasználó és intézmény közti viszony leírása
|implementation=mandatory
|semantics=
'''<viszony>@<scope>'''

* '''<viszony>''': a felhasználó és az intézmény közti viszony leírására az alábbi értékek választhatók
** ''student'': intézmény hallgatója
** ''faculty'': oktatási tevékenységet végez az intézményben
** ''staff'': nem oktatási tevékenységet végző alkalmazott (pl. a rendszergazda és a kertész is)
** ''employee'': alkalmazott (használata intézmények között nem javasolt)
** ''member'': azok a felhasználók, amelyek azáltal, hogy azonosította őket az IdP, rendelkeznek intézményhez kötődő általános jogosultságokkal. Jellemzően ide sorolhatók a ''student'', ''faculty'', ''staff'' viszonnyal rendelkezők.
** ''affiliate'': az intézmény azonosítja őket, de nem rendelkeznek általános jogosultságokkal
** ''alum'': öregdiák
** ''library-walk-in'': könyvtári tag
{{NOTE | lehetséges, hogy a föderációban használható értékek körét a későbbiekben szűkíteni fogjuk}}
* '''<scope>''': helyi biztonsági tartomány. A végződése kötelezően egy DNS domain, amely az IdP-t üzemeltető intézmény tulajdonában áll.

Lásd még: http://software.internet2.edu/eduperson/internet2-mace-dir-eduperson-201310.html#eduPersonAffiliation

[[EduPersonAffiliation|Egy lehetséges vizuális ábrázolás]], azonban a halmazok pontos meghatározása az intézmény feladata.
|assurer=inst
|values=A következő értékek egyike: {student,faculty,staff,employee,member,affiliate,alum,library-walk-in}, valamint a [[Scope|scope]]
|example=
* Hallgatók: ''student@example.org;member@example.org''
* Oktatók: ''faculty@example.org;employee@example.org;member@example.org''
* Nem alkalmazott oktató-hallgatók: ''student@example.org;faculty@example.org;member@example.org''
|numOfValues=multi
}}

==== eduPersonEntitlement ====
{{AttributeDef|name=eduPersonEntitlement
|URI=urn:mace:dir:attribute-def:eduPersonEntitlement
|OID=1.3.6.1.4.1.5923.1.1.1.7
|implementation=recommended
|semantics=Azon erőforrások listája, melyet a felhasználó használhat. Sok erőforrást minden felhasználó elérhet, néhányat csak korlátozott kör - ez utóbbi esetben válik fontossá ez az attribútum

{{INFO|Az eduPersonEntitlement attribútumnak csak azon értékeit szabad kiadni az SP-nek, amelyek rá vonatkoznak. Ennek meghatározása kézi adminisztráció esetén igen nehéz lehet, ezért erre célszerű valamilyen adminisztrációs felületet használni. (Sajnos jelenleg nem létezik ilyen alkalmazás.)}}
|description=A felhasználó által jogosan használt erőforrás(ok)
|assurer=inst
|example=urn:geant:niif.hu:niif:entitlement:vhoadmin
|numOfValues=multi
}}

==== schacHomeOrganizationType ====
{{AttributeDef|name=schacHomeOrganizationType
|URI=urn:mace:dir:attribute-def:schacHomeOrganizationType
|OID=1.3.6.1.4.1.25178.1.2.10
|values=urn:schac:homeOrganizationType:hu:{university,nren,library,vho,school,business,other,test}
|implementation=mandatory
|description=Az intézmény jellege
|semantics=
* '''university''': Az Oktatási Minisztérium által elismert felsőoktatási intézmények (egyetemek és főiskolák)
* '''nren''': Nemzeti kutatási és felsőoktatási kutatói hálózat szolgáltatója
* '''library''': Könyvtárak
* '''vho''': Virtuális azonosító szervezet egyének föderációs azonosítása céljára
* '''school''': Általános és középiskolák
* '''business''': Ipari vagy kereskedelmi intézmények
* '''other''': Egyéb
* '''test''': Teszt felhasználóról van szó
|numOfValues=single
|assurer=inst
|syntax=URN
}}

==== ou ====
{{AttributeDef|name=ou
|URI=urn:mace:dir:attribute-def:ou
|OID=2.5.4.11
|implementation=optional
|description=Az intézményen belüli egység teljes neve (organizationalUnit)
|semantics=Azon egység (tanszék, intézet, könyvtár, stb) neve, amelyhez a felhasználó tartozik.
|example=Automatizálási és alkalmazott informatikai tanszék
}}

==== eduPersonOrgUnitDN ====
{{AttributeDef|name=eduPersonOrgUnitDN
|URI=urn:mace:dir:attribute-def:eduPersonOrgUnitDN
|OID=1.3.6.1.4.1.5923.1.1.1.4
|implementation=optional
|description=A felhasználóhoz tartozó szervezeti egység azonosítója
|semantics=A felhasználóhoz tartozó szervezeti egység (pl. tanszék, intézet, könyvtár, ...) intézményen belüli egyedi, esetleg hierarchikusan képzett azonosítója.
Amennyiben az adott felhasználó több egységhez is besorolható, ez az attribútum több értéket is tartalmazhat.
|syntax=DN
|numOfValues=multi
|assurer=inst
|example=
* ou=VIK,ou=Units,o=BME,c=hu
* ou=AAIT,ou=VIK,ou=Units,o=BME,c=hu
* ou=MIT,ou=VIK,ou=Units,o=BME,c=hu
}}

==== eduPersonPrimaryOrgUnitDN ====
{{AttributeDef|name=eduPersonPrimaryOrgUnitDN
|URI=urn:mace:dir:attribute-def:eduPersonPrimaryOrgUnitDN
|OID=1.3.6.1.4.1.5923.1.1.1.8
|description=A felhasználóhoz hozzárendelhető elsődleges szervezeti egység azonosítója.
|semantics=Az [[#eduPersonOrgUnitDN]]-ben tárolt egység-azonosítók közül azon elem, amelyhez a felhasználó elsődlegesen köthető.
|values=Egy olyan azonosító, mely szerepel az [[#eduPersonOrgUnitDN]] értékei között.
|syntax=DN
|implementation=optional
|assurer=inst
|example=ou=AAIT,ou=VIK,ou=Units,o=BME,c=hu
}}

=== Oktatásban használt attribútumok ===
==== niifEduPersonAttendedCourse ====
{{AttributeDef|name=niifPersonAttendedCourse
|URI=urn:geant:niif.hu:dir:attribute-def:niifEduPersonAttendedCourse
|OID=1.3.6.1.4.1.11914.0.1.164
|description=Felhasználó által hallgatott tárgy kódja
|semantics=Azon tantárgyak kódja, amelyet a felhasználó az adott félévben hallgat.

Oktatási intézmény esetén JAVASOLT az attribútumot implementálni és az intézményen belüli SP-k számára kiadni. Adatvédelmi szempontból JAVASOLT az értékeket úgy szűrni, hogy az SP csak a számára releváns tárgyak kódját kapja meg.
|numOfValues=multi
|implementation=optional
|values=A tanulmányi rendszerben meghatározott tantárgykódok
|assurer=inst
|example=
*VIMM1234
*VIMA4321
}}
==== niifEduPersonArchiveCourse ====
{{AttributeDef|name=niifEduPersonArchiveCourse
|OID=1.3.6.1.4.1.11914.0.1.171
|implementation=optional
|description=A felhasználó által valaha hallgatott kurzusok
|values=A tanulmányi rendszerben meghatározott tantárgykódok
|semantics=Azon tantárgyak kódja, amelyet a felhasználó valaha hallgatott az adott intézményben.
|numOfValues=multi
|assurer=inst
}}

==== niifEduPersonHeldCourse ====
{{AttributeDef|name=niifEduPersonHeldCourse
|OID=1.3.6.1.4.1.11914.0.1.172
|implementation=optional
|description=A felhasználó által aktuálisan oktatott tárgyak
|values=A tanulmányi rendszerben meghatározott tantárgykódok
|semantics=Azon tantárgyak kódja, amelyet a felhasználó az adott félévben (esetleg előző félévben) oktatott.
|assurer=inst
|numOfValues=multi
}}

==== niifEduPersonMajor ====
{{AttributeDef|name=niifEduPersonMajor
|OID=1.3.6.1.4.1.11914.0.1.162
|description=A hallgató főszakja
|semantics=A hallgató főszakja - a [[http://web.mab.hu/joomla/index.php?option=com_content&view=article&id=87&Itemid=623&lang=hu mab.hu ]] oldalán található lista alapján
|implementation=optional
|numOfValues=multi
|assurer=inst
|example=
* műszaki informatikus mérnök
* elméleti fizikus
}}

==== niifEduPersonFaculty ====
{{AttributeDef|name=niifEduPersonFaculty
|OID=1.3.6.1.4.1.11914.0.1.160
|description=Kar neve
|semantics=Teljes neve annak a karnak, amelyhez a hallgató tartozik
|implementation=optional
|numOfValues=multi
|assurer=inst
|example=Villamosmérnöki és Informatikai Kar
}}

==== niifEduPersonFacultyDN ====
{{AttributeDef|name=niifEduPersonFacultyDN
|OID=1.3.6.1.4.1.11914.0.1.161
|description=A hallgató karának DN-je
|semantics=Annak a karnak a DN-je, amelyhez a hallgató tartozik. Ajánlott a kezdőpont alatt található <code>ou=Units</code> alá tenni az egyes karokat (lásd [[#eduPersonOrgUnitDN]])
|implementation=optional
|syntax=DN
|numOfValues=multi
|assurer=inst
|example= ou=VIK,ou=Units,o=BME,c=hu
}}
==== niifEduPersonStudentCategory ====
{{AttributeDef|name=niifEduPersonStudentCategory
|OID=1.3.6.1.4.1.11914.0.1.174
|description=Tanuló/hallgató képzési szintjének meghatározása
|semantics=A hallgató képzési szintjének pontosabb meghatározása (az [[#eduPersonScopedAffiliation|eduPersonScopedAffiliation]] kiegészítése)
* '''bachelor''': bachelor képzésben részt vevő hallgató (javasolt [[#eduPersonScopedAffiliation|affiliation]]: student,member)
* '''master''': master képzésben részt vevő hallgató (javasolt [[#eduPersonScopedAffiliation|affiliation]]: student,member)
* '''doctor''': doktori képzésben részt vevő hallgató (javasolt [[#eduPersonScopedAffiliation|affiliation]]: student,member)
* '''exchange-student''': vendéghallgató (javasolt [[#eduPersonScopedAffiliation|affiliation]]: student,member)
* '''qualifying-studies''': előkészítős hallgató (javasolt [[#eduPersonScopedAffiliation|affiliation]]: member)
* '''open-university''': nyílt egyetemi képzésben részt vevő hallgató (javasolt [[#eduPersonScopedAffiliation|affiliation]]: affiliate)

Ha egy hallgató nem sorolható be egyik kategóriába sem (pl. nem bolognai rendszer szerint tanul), akkor az attribútum ne kapjon értéket!
|implementation=optional
|syntax=Directory String
|numOfValues=multi
|assurer=inst
}}

MDX

2015-11-02T13:48:19Z

Sitya(AT)niif.hu: /* Fontos tudnivaló Discovery Service használattal kapcsolatban */

Az MDX, azaz MetaDataeXchange protokolt erőforrás optimalizálás céljából találták ki, hogy ne kelljen egyes IdP-knek és SP-knek indokolatlanul nagy XML fájlokat feldolgozniuk és tárolniuk, mikor a felhasználóiknak jó eséllyel a fájlokban tárolt entitások töredékére van csak szükségük. Ezért az egyes entitásokat be lehet úgy állítani, hogy csak akkor töltsék le az adott entitás metaadatát, mikor arra szükség van (az első letöltés után természetesen helyben tároldóik a metaadat a <code>cacheDuration</code>-ben megadott ideig). Az MDX kiszolgáló az alábbi szabvány szerint tudja visszaadni egy-egy entitás metaadatát: <code>http://mdx.eduid.hu/entities/{urlencoded}$entityID</code>, pl: <code>http://mdx.eduid.hu/entities/https%3A%2F%2Fdev.aai.niif.hu%2Fshibboleth</code>

== MDX kiszolgálás a HREF-ben ==
Két MDX forrást üzemeltetünk:

* http://mdx.eduid.hu - ezen keresztül az éles föderációs metadatában és az edugainben szereplő entitások metaadatai kérdezhetők le
* http://entities.eduid.hu - ezen keresztül az összes, beleértve a tesztentitásokat is

Mindkét kiszolgáló ugyanazzal a kulccsal írja alá a lekért metaadat-állományt.
* A tanúsítvány letölthető innen: http://metadata.eduid.hu/current/mdx-test-signer-2015.crt
* SHA-1 lenyomata: <code>91:81:AD:2B:F1:C1:4E:47:93:A2:9D:49:34:B7:77:62:4F:2F:98:43</code> .

=== Fontos tudnivaló Discovery Service használattal kapcsolatban ===
Lévén az MDX-et használó SP-knél nem áll rendelkezésre folyamatosan az összes potenciális IdP listája, így a beépített Discovery Service-ek nem működnek. Ha MDX-et használunk, akkor párhuzamosan valamilyen külső Discvery Service-t kell használnunk. A HREF-ben a https://discovery.eduid.hu a központi Discovery Service.

(De "titkos lehetőségként" maga az MDX kiszolgáló is biztosít Discovery Service felületet, ehhez akár Shibboleth SP-nél, akár simpleSAMLphp SP-nél a konfigurációban az alábbi URL-t kell megadni, mint Discovery Service: http://{mdx,entities}.eduid.hu/role/idp.ds )

== MDX használata kliens oldalon ==
=== SimpleSAMLphp ===

Az 1.14-es kiadású SimpleSAMLphp-ban lesz benne, mint kiadásban, de a legfrissebb, githubról letölthető változatban már benne van. Ezt kell használnunk, ha szeretnénk, hogy az üzemeltetett SimpleSAMLphp-nk MDX-es metadataforrásból dolgozzon.config/config.php metadatás részében kell elvégezni a beállításokat az alábbi módon:

<source lang="php">
'metadata.sources' => array(
array(
'type' => 'mdx',
'server' => 'http://mdx.eduid.hu',
'cachedir' => '/var/simplesamlphp/mdx-cache', //opcionális, de ajánlott
'cachelength' => 86400, //opcionális,
'validateFingerprint' => '91:81:AD:2B:F1:C1:4E:47:93:A2:9D:49:34:B7:77:62:4F:2F:98:43' //opcionális
)
),
</source>

=== Shibboleth SP ===

* Le kell tölteni a /etc/shibboleth alá az aláíró tanúsítványát innen: http://metadata.eduid.hu/mdx-test-signer-2015.crt
* Az alábbi blokkot be kell szúrni a <code>/etc/shibboleth/shibboleth2.xml</code> fájlba

<source lang="xml">
<MetadataProvider type="Dynamic" ignoreTransport="true">
<Subst>http://mdx.eduid.hu/entities/$entityID</Subst>
<MetadataFilter type="Signature" certificate="mdx-test-signer-2015.crt"/>
</MetadataProvider>
</source>

=== Shibboleth IdPv3 ===

* Le kell tölteni a <code>${idp.home}/credentials/</code> alá az aláíró tanúsítványát innen: http://metadata.eduid.hu/mdx-test-signer-2015.crt
* A <code>conf/metadata-providers.xml</code> fájlt kell szerkeszteni az alábbi módon:
<source lang="xml">

<MetadataProvider
xmlns="urn:mace:shibboleth:2.0:metadata"
xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
xsi:schemaLocation="urn:mace:shibboleth:2.0:metadata http://shibboleth.net/schema/idp/shibboleth-metadata.xsd"
id="dynamicMDQ" xsi:type="DynamicHTTPMetadataProvider">


<MetadataFilter xsi:type="RequiredValidUntil" maxValidityInterval="P14D" />


<MetadataFilter xsi:type="SignatureValidation" requireSignedMetadata="true"
certificateFile="${idp.home}/credentials/mdx-signer.crt" />


<MetadataQueryProtocol>http://mdx.eduid.hu/</MetadataQueryProtocol>
</MetadataProvider>

</source>

MDX

2015-11-02T13:44:38Z

Sitya(AT)niif.hu:

Az MDX, azaz MetaDataeXchange protokolt erőforrás optimalizálás céljából találták ki, hogy ne kelljen egyes IdP-knek és SP-knek indokolatlanul nagy XML fájlokat feldolgozniuk és tárolniuk, mikor a felhasználóiknak jó eséllyel a fájlokban tárolt entitások töredékére van csak szükségük. Ezért az egyes entitásokat be lehet úgy állítani, hogy csak akkor töltsék le az adott entitás metaadatát, mikor arra szükség van (az első letöltés után természetesen helyben tároldóik a metaadat a <code>cacheDuration</code>-ben megadott ideig). Az MDX kiszolgáló az alábbi szabvány szerint tudja visszaadni egy-egy entitás metaadatát: <code>http://mdx.eduid.hu/entities/{urlencoded}$entityID</code>, pl: <code>http://mdx.eduid.hu/entities/https%3A%2F%2Fdev.aai.niif.hu%2Fshibboleth</code>

== MDX kiszolgálás a HREF-ben ==
Két MDX forrást üzemeltetünk:

* http://mdx.eduid.hu - ezen keresztül az éles föderációs metadatában és az edugainben szereplő entitások metaadatai kérdezhetők le
* http://entities.eduid.hu - ezen keresztül az összes, beleértve a tesztentitásokat is

Mindkét kiszolgáló ugyanazzal a kulccsal írja alá a lekért metaadat-állományt.
* A tanúsítvány letölthető innen: http://metadata.eduid.hu/current/mdx-test-signer-2015.crt
* SHA-1 lenyomata: <code>91:81:AD:2B:F1:C1:4E:47:93:A2:9D:49:34:B7:77:62:4F:2F:98:43</code> .

=== Fontos tudnivaló Discovery Service használattal kapcsolatban ===
Lévén az MDX-et használó SP-knél nem áll rendelkezésre folyamatosan az összes potenciális IdP listája, így a beépített Discovery Service-ek nem működnek. Ha MDX-et használunk, akkor párhuzamosan valamilyen külső Discvery Service-t kell használnunk. A HREF-ben a https://discovery.eduid.hu a központi Discovery Service.

== MDX használata kliens oldalon ==
=== SimpleSAMLphp ===

Az 1.14-es kiadású SimpleSAMLphp-ban lesz benne, mint kiadásban, de a legfrissebb, githubról letölthető változatban már benne van. Ezt kell használnunk, ha szeretnénk, hogy az üzemeltetett SimpleSAMLphp-nk MDX-es metadataforrásból dolgozzon.config/config.php metadatás részében kell elvégezni a beállításokat az alábbi módon:

<source lang="php">
'metadata.sources' => array(
array(
'type' => 'mdx',
'server' => 'http://mdx.eduid.hu',
'cachedir' => '/var/simplesamlphp/mdx-cache', //opcionális, de ajánlott
'cachelength' => 86400, //opcionális,
'validateFingerprint' => '91:81:AD:2B:F1:C1:4E:47:93:A2:9D:49:34:B7:77:62:4F:2F:98:43' //opcionális
)
),
</source>

=== Shibboleth SP ===

* Le kell tölteni a /etc/shibboleth alá az aláíró tanúsítványát innen: http://metadata.eduid.hu/mdx-test-signer-2015.crt
* Az alábbi blokkot be kell szúrni a <code>/etc/shibboleth/shibboleth2.xml</code> fájlba

<source lang="xml">
<MetadataProvider type="Dynamic" ignoreTransport="true">
<Subst>http://mdx.eduid.hu/entities/$entityID</Subst>
<MetadataFilter type="Signature" certificate="mdx-test-signer-2015.crt"/>
</MetadataProvider>
</source>

=== Shibboleth IdPv3 ===

* Le kell tölteni a <code>${idp.home}/credentials/</code> alá az aláíró tanúsítványát innen: http://metadata.eduid.hu/mdx-test-signer-2015.crt
* A <code>conf/metadata-providers.xml</code> fájlt kell szerkeszteni az alábbi módon:
<source lang="xml">

<MetadataProvider
xmlns="urn:mace:shibboleth:2.0:metadata"
xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
xsi:schemaLocation="urn:mace:shibboleth:2.0:metadata http://shibboleth.net/schema/idp/shibboleth-metadata.xsd"
id="dynamicMDQ" xsi:type="DynamicHTTPMetadataProvider">


<MetadataFilter xsi:type="RequiredValidUntil" maxValidityInterval="P14D" />


<MetadataFilter xsi:type="SignatureValidation" requireSignedMetadata="true"
certificateFile="${idp.home}/credentials/mdx-signer.crt" />


<MetadataQueryProtocol>http://mdx.eduid.hu/</MetadataQueryProtocol>
</MetadataProvider>

</source>

MDX

2015-10-29T08:41:02Z

Sitya(AT)niif.hu: /* Shibboleth SP */

Az MDX, azaz MetaDataeXchange protokolt erőforrás optimalizálás céljából találták ki, hogy ne kelljen egyes IdP-knek és SP-knek indokolatlanul nagy XML fájlokat feldolgozniuk és tárolniuk, mikor a felhasználóiknak jó eséllyel a fájlokban tárolt entitások töredékére van csak szükségük. Ezért az egyes entitásokat be lehet úgy állítani, hogy csak akkor töltsék le az adott entitás metaadatát, mikor arra szükség van (az első letöltés után természetesen helyben tároldóik a metaadat a <code>cacheDuration</code>-ben megadott ideig). Az MDX kiszolgáló az alábbi szabvány szerint tudja visszaadni egy-egy entitás metaadatát: <code>http://mdx.eduid.hu/entities/{urlencoded}$entityID</code>, pl: <code>http://mdx.eduid.hu/entities/https%3A%2F%2Fdev.aai.niif.hu%2Fshibboleth</code>

== MDX használata kliens oldalon ==
=== SimpleSAMLphp ===

Az 1.14-es kiadású SimpleSAMLphp-ban lesz benne, mint kiadásban, de a legfrissebb, githubról letölthető változatban már benne van. Ezt kell használnunk, ha szeretnénk, hogy az üzemeltetett SimpleSAMLphp-nk MDX-es metadataforrásból dolgozzon.config/config.php metadatás részében kell elvégezni a beállításokat az alábbi módon:

<source lang="php">
'metadata.sources' => array(
array(
'type' => 'mdx',
'server' => 'http://mdx.eduid.hu',
'cachedir' => '/var/simplesamlphp/mdx-cache', //opcionális, de ajánlott
'cachelength' => 86400, //opcionális,
'validateFingerprint' => '91:81:AD:2B:F1:C1:4E:47:93:A2:9D:49:34:B7:77:62:4F:2F:98:43' //opcionális
)
),
</source>

=== Shibboleth SP ===

* Le kell tölteni a /etc/shibboleth alá az aláíró tanúsítványát innen: http://metadata.eduid.hu/mdx-test-signer-2015.crt
* Az alábbi blokkot be kell szúrni a <code>/etc/shibboleth/shibboleth2.xml</code> fájlba

<source lang="xml">
<MetadataProvider type="Dynamic" ignoreTransport="true">
<Subst>http://mdx.eduid.hu/entities/$entityID</Subst>
<MetadataFilter type="Signature" certificate="mdx-test-signer-2015.crt"/>
</MetadataProvider>
</source>

=== Shibboleth IdPv3 ===

* Le kell tölteni a <code>${idp.home}/credentials/</code> alá az aláíró tanúsítványát innen: http://metadata.eduid.hu/mdx-test-signer-2015.crt
* A <code>conf/metadata-providers.xml</code> fájlt kell szerkeszteni az alábbi módon:
<source lang="xml">

<MetadataProvider
xmlns="urn:mace:shibboleth:2.0:metadata"
xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
xsi:schemaLocation="urn:mace:shibboleth:2.0:metadata http://shibboleth.net/schema/idp/shibboleth-metadata.xsd"
id="dynamicMDQ" xsi:type="DynamicHTTPMetadataProvider">


<MetadataFilter xsi:type="RequiredValidUntil" maxValidityInterval="P14D" />


<MetadataFilter xsi:type="SignatureValidation" requireSignedMetadata="true"
certificateFile="${idp.home}/credentials/mdx-signer.crt" />


<MetadataQueryProtocol>http://mdx.eduid.hu/</MetadataQueryProtocol>
</MetadataProvider>

</source>

MDX

2015-10-29T08:19:26Z

Sitya(AT)niif.hu:

Az MDX, azaz MetaDataeXchange protokolt erőforrás optimalizálás céljából találták ki, hogy ne kelljen egyes IdP-knek és SP-knek indokolatlanul nagy XML fájlokat feldolgozniuk és tárolniuk, mikor a felhasználóiknak jó eséllyel a fájlokban tárolt entitások töredékére van csak szükségük. Ezért az egyes entitásokat be lehet úgy állítani, hogy csak akkor töltsék le az adott entitás metaadatát, mikor arra szükség van (az első letöltés után természetesen helyben tároldóik a metaadat a <code>cacheDuration</code>-ben megadott ideig). Az MDX kiszolgáló az alábbi szabvány szerint tudja visszaadni egy-egy entitás metaadatát: <code>http://mdx.eduid.hu/entities/{urlencoded}$entityID</code>, pl: <code>http://mdx.eduid.hu/entities/https%3A%2F%2Fdev.aai.niif.hu%2Fshibboleth</code>

== MDX használata kliens oldalon ==
=== SimpleSAMLphp ===

Az 1.14-es kiadású SimpleSAMLphp-ban lesz benne, mint kiadásban, de a legfrissebb, githubról letölthető változatban már benne van. Ezt kell használnunk, ha szeretnénk, hogy az üzemeltetett SimpleSAMLphp-nk MDX-es metadataforrásból dolgozzon.config/config.php metadatás részében kell elvégezni a beállításokat az alábbi módon:

<source lang="php">
'metadata.sources' => array(
array(
'type' => 'mdx',
'server' => 'http://mdx.eduid.hu',
'cachedir' => '/var/simplesamlphp/mdx-cache', //opcionális, de ajánlott
'cachelength' => 86400, //opcionális,
'validateFingerprint' => '91:81:AD:2B:F1:C1:4E:47:93:A2:9D:49:34:B7:77:62:4F:2F:98:43' //opcionális
)
),
</source>

=== Shibboleth SP ===

* Le kell tölteni a /etc/shibboleth alá az aláíró tanúsítványát innen: http://metadata.eduid.hu/mdx-test-signer-2015.crt
* Az alábbi blokkot be kell szúrni a <code>/etc/shibboleth/shibboleth2.xml</code> fájlba

<source lang="xml">
<MetadataProvider type="Dynamic" ignoreTransport="true">
<Subst>http://mdx.eduid.hu/entities/$entityID</Subst>
<MetadataFilter type="Signature" certificate="mdx-test-signer-2015.crtt"/>
</MetadataProvider>
</source>

=== Shibboleth IdPv3 ===

* Le kell tölteni a <code>${idp.home}/credentials/</code> alá az aláíró tanúsítványát innen: http://metadata.eduid.hu/mdx-test-signer-2015.crt
* A <code>conf/metadata-providers.xml</code> fájlt kell szerkeszteni az alábbi módon:
<source lang="xml">

<MetadataProvider
xmlns="urn:mace:shibboleth:2.0:metadata"
xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
xsi:schemaLocation="urn:mace:shibboleth:2.0:metadata http://shibboleth.net/schema/idp/shibboleth-metadata.xsd"
id="dynamicMDQ" xsi:type="DynamicHTTPMetadataProvider">


<MetadataFilter xsi:type="RequiredValidUntil" maxValidityInterval="P14D" />


<MetadataFilter xsi:type="SignatureValidation" requireSignedMetadata="true"
certificateFile="${idp.home}/credentials/mdx-signer.crt" />


<MetadataQueryProtocol>http://mdx.eduid.hu/</MetadataQueryProtocol>
</MetadataProvider>

</source>

MDX

2015-10-29T08:18:43Z

Sitya(AT)niif.hu:

Az MDX, azaz MetaDataeXchange protokolt erőforrás optimalizálás céljából találták ki, hogy ne kelljen egyes IdP-knek és SP-knek indokolatlanul nagy XML fájlokat feldolgozniuk és tárolniuk, mikor a felhasználóiknak jó eséllyel a fájlokban tárolt entitások töredékére van csak szükségük. Ezért az egyes entitásokat be lehet úgy állítani, hogy csak akkor töltsék le az adott entitás metaadatát, mikor arra szükség van (az első letöltés után természetesen helyben tároldóik a metaadat a <code>cacheDuration</code>-ben megadott ideig). Az MDX kiszolgáló az alábbi szabvány szerint tudja visszaadni egy-egy entitás metaadatát: <code>http://mdx.eduid.hu/entities/{urlencoded}$entityID</code>, pl: <code>http://mdx.eduid.hu/entities/https%3A%2F%2Fdev.aai.niif.hu%2Fshibboleth</code>

== MDX használata kliens oldalon ==
=== SimpleSAMLphp ===

Az 1.14-es kiadású SimpleSAMLphp-ban lesz benne, mint kiadásban, de a legfrissebb, githubról letölthető változatban már benne van. Ezt kell használnunk, ha szeretnénk, hogy az üzemeltetett SimpleSAMLphp-nk MDX-es metadataforrásból dolgozzon.config/config.php metadatás részében kell elvégezni a beállításokat az alábbi módon:

<source lang="php">
'metadata.sources' => array(
array(
'type' => 'mdx',
'server' => 'http://mdx.eduid.hu',
'cachedir' => '/var/simplesamlphp/mdx-cache', //opcionális, de ajánlott
'cachelength' => 86400, //opcionális,
'validateFingerprint' => '91:81:AD:2B:F1:C1:4E:47:93:A2:9D:49:34:B7:77:62:4F:2F:98:43' //opcionális
)
),
</source>

=== Shibboleth SP ===
1. Le kell tölteni a /etc/shibboleth alá az aláíró tanúsítványát innen: http://metadata.eduid.hu/mdx-test-signer-2015.crt
2. Az alábbi blokkot be kell szúrni a <code>/etc/shibboleth/shibboleth2.xml</code> fájlba
<source lang="xml">
<MetadataProvider type="Dynamic" ignoreTransport="true">
<Subst>http://mdx.eduid.hu/entities/$entityID</Subst>
<MetadataFilter type="Signature" certificate="mdx-test-signer-2015.crtt"/>
</MetadataProvider>
</source>

=== Shibboleth IdPv3 ===
1. Le kell tölteni a <code>${idp.home}/credentials/</code> alá az aláíró tanúsítványát innen: http://metadata.eduid.hu/mdx-test-signer-2015.crt
2. a <code>conf/metadata-providers.xml</code> fájlt kell szerkeszteni az alábbi módon:
<source lang="xml">

<MetadataProvider
xmlns="urn:mace:shibboleth:2.0:metadata"
xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
xsi:schemaLocation="urn:mace:shibboleth:2.0:metadata http://shibboleth.net/schema/idp/shibboleth-metadata.xsd"
id="dynamicMDQ" xsi:type="DynamicHTTPMetadataProvider">


<MetadataFilter xsi:type="RequiredValidUntil" maxValidityInterval="P14D" />


<MetadataFilter xsi:type="SignatureValidation" requireSignedMetadata="true"
certificateFile="${idp.home}/credentials/mdx-signer.crt" />


<MetadataQueryProtocol>http://mdx.eduid.hu/</MetadataQueryProtocol>
</MetadataProvider>

</source>

MDX

2015-10-29T08:18:20Z

Sitya(AT)niif.hu:

Az MDX, azaz MetaDataeXchange protokolt erőforrás optimalizálás céljából találták ki, hogy ne kelljen egyes IdP-knek és SP-knek indokolatlanul nagy XML fájlokat feldolgozniuk és tárolniuk, mikor a felhasználóiknak jó eséllyel a fájlokban tárolt entitások töredékére van csak szükségük. Ezért az egyes entitásokat be lehet úgy állítani, hogy csak akkor töltsék le az adott entitás metaadatát, mikor arra szükség van (az első letöltés után természetesen helyben tároldóik a metaadat a <code>cacheDuration</code>-ben megadott ideig). Az MDX kiszolgáló az alábbi szabvány szerint tudja visszaadni egy-egy entitás metaadatát: <code>http://mdx.eduid.hu/entities/{urlencoded}$entityID</code>, pl: <code>http://mdx.eduid.hu/entities/https%3A%2F%2Fdev.aai.niif.hu%2Fshibboleth</code>

== MDX használata kliens oldalon ==
=== SimpleSAMLphp ===

Az 1.14-es kiadású SimpleSAMLphp-ban lesz benne, mint kiadásban, de a legfrissebb, githubról letölthető változatban már benne van. Ezt kell használnunk, ha szeretnénk, hogy az üzemeltetett SimpleSAMLphp-nk MDX-es metadataforrásból dolgozzon.config/config.php metadatás részében kell elvégezni a beállításokat az alábbi módon:

<source lang="php">
'metadata.sources' => array(
array(
'type' => 'mdx',
'server' => 'http://mdx.eduid.hu',
'cachedir' => '/var/simplesamlphp/mdx-cache', //opcionális, de ajánlott
'cachelength' => 86400, //opcionális,
'validateFingerprint' => '91:81:AD:2B:F1:C1:4E:47:93:A2:9D:49:34:B7:77:62:4F:2F:98:43' //opcionális
)
),
</source>

=== Shibboleth SP ===
1. Le kell tölteni a /etc/shibboleth alá az aláíró tanúsítványát innen: http://metadata.eduid.hu/mdx-test-signer-2015.crt
2. Az alábbi blokkot be kell szúrni a <code>/etc/shibboleth/shibboleth2.xml</code> fájlba

<source lang="xml">
<MetadataProvider type="Dynamic" ignoreTransport="true">
<Subst>http://mdx.eduid.hu/entities/$entityID</Subst>
<MetadataFilter type="Signature" certificate="mdx-test-signer-2015.crtt"/>
</MetadataProvider>
</source>

=== Shibboleth IdPv3 ===
1. Le kell tölteni a <code>${idp.home}/credentials/</code> alá az aláíró tanúsítványát innen: http://metadata.eduid.hu/mdx-test-signer-2015.crt
2. a <code>conf/metadata-providers.xml</code> fájlt kell szerkeszteni az alábbi módon:

<source lang="xml">

<MetadataProvider
xmlns="urn:mace:shibboleth:2.0:metadata"
xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
xsi:schemaLocation="urn:mace:shibboleth:2.0:metadata http://shibboleth.net/schema/idp/shibboleth-metadata.xsd"
id="dynamicMDQ" xsi:type="DynamicHTTPMetadataProvider">


<MetadataFilter xsi:type="RequiredValidUntil" maxValidityInterval="P14D" />


<MetadataFilter xsi:type="SignatureValidation" requireSignedMetadata="true"
certificateFile="${idp.home}/credentials/mdx-signer.crt" />


<MetadataQueryProtocol>http://mdx.eduid.hu/</MetadataQueryProtocol>
</MetadataProvider>

</source>

MDX

2015-10-29T08:08:50Z

Sitya(AT)niif.hu: Új oldal, tartalma: „Az MDX, azaz MetaDataeXchange protokolt erőforrás optimalizálás céljából találták ki, hogy ne kelljen egyes IdP-knek és SP-knek indokolatlanul nagy XML fájlo…”

HREF metadata specifikáció

2015-10-29T08:03:56Z

Sitya(AT)niif.hu:

A föderációs metaadat célja, hogy a föderációban részt vevő intézmények illetve entitások technikai, bizalmi és adminisztratív adatait egy helyre gyűjtse. A metaadatok formátuma megfelel a SAML2 metaadat szabványnak.

= Biztonsági megfontolások =
Mivel a metadata tartalmazza a föderációban részt vevő tagok és komponensek technikai információit, ezért a benne tárolt információkkal kapcsolatban figyelembe kell venni a következő biztonsági megfontolásokat:

* Téves vagy kompromittálódott adatok eltávolítása esetén a sérülékenységi ablak megegyezik a metadata gyorstárazhatósági (<code>cacheDuration</code>) idejével, '''amennyiben a támadó nem képes blokkolni a központi metaadatok elérhetőségét (DOS)'''
* Amennyiben a támadó képes blokkolni a központi metaadatok elérhetőségét, a sérülékenységi ablak a legutolsó letöltött metadata állomány érvényességéig (<code>validUntil</code> paraméterében meghatározott ideig) tart.
* Amennyiben a metaadatok érvényességi ideje lejár, az entitás nem képes azonosítani a többi föderációs résztvevőt, ezért nem tud föderációs szolgáltatást (pl. IdP esetén azonosítási szolgáltatást) nyújtani.

= Metaadatban tárolt információk =
* Bizalom a metaadatban
** a metaadat integritásvédelmét és hitelességét egy digitális aláírás biztosítja.
** a metaadat visszavonhatóságát a lejárati idő (<code>validUntil</code>) biztosítja, ami jelenleg 3 nap.
** az egyes rendszerek gyorstárazhatják a metaadatot, de legalább naponta egyszer kötelesek a hiteles állományt frissíteni.
** az aláírási procedúrát a [[#Metaadat_aláírásának_módja]] fejezet írja le.
* Tanúsítványok
** kötelező legalább 1024 bites kulcspárt használni
** az entitások által használt tanúsítvánnyal kapcsolatban a föderáció nem tesz különleges megkötést, sőt: ajánlott hosszú lejáratú self-signed tanúsítványok használata
* További információk
** minden szöveges mezőt legalább két nyelven: magyarul és angolul ki kell tölteni
** kötelezően kitöltendőek az intézményi, adminisztratív információk (<code>Organization</code> illetve <code>ContactPerson</code> elemek)
** ajánlott megadni egy helpdesk URL-r, ahova hiba esetén a felhasználók fordulhatnak (<code>errorURL</code> attribútum)
** SP-k esetén további kötelező elemek
*** <code>AttributeConsumingService</code>, ami megadja a kért attribútumokat
**** <code>RequestedAttributes</code> - itt az attribútum informális neve is szerepeljen
**** <code>ServiceName</code>, <code>ServiceDescription</code> az SP szolgáltatás neve és leírása
*** a szolgáltatás elérhetősége, amin a szolgáltatás bemutatkozik (extension)
*** adatkezelési szabályzatra mutató URL (extension)
** IdP-k esetén
*** a scope csak az adott intézmény kezelésében levő domain név lehet (Shibboleth extension)
** lehetőség van további adatok megadására is
*** logó
*** gps koordináták, IP cím tartomány
*** különböző tagek, például a szolgáltatás publikus-e, vagy épp bevezetés alatt áll-e

== Metaadat kiterjesztések használata ==
Ezen kiegészítő adatok tárolására az internet2 szabványtervezetet készít, ennek a sémának a jelenlegi verziója megtalálható [http://wiki.oasis-open.org/security/SAML2MetadataUI itt].

A kiegészítő séma névtere: <code>urn:oasis:names:tc:SAML:2.0:metadata:ui</code>. Az alábbi táblázatban ezen névtérben definiált legfontosabb elemeket foglaljuk össze:

{| class="wikitable"
|-
! element név
! szemantika
! értékekre vonatkozó megkötések
|-
| GeolocationHint
| szélesség és hosszúság érték, a + előjel az északi szélességet illetve keleti hosszúságot jelöli
| 47.47359,19.052891
|-
| InformationURL
| az entitásról további információkat (pl. helpdesk) szolgáltató oldal.
|
|-
| PrivacyStatementURL
| Az SP adatvédelmi nyilatkozátnak elérhetősége (URL)
| Engedélyezett formátumok: HTML, PDF
|-
| Logo
| Az IdP/SP logójának elérhetősége
| Formátummal kapcsolatban lásd [[#Logo]]
|-
| IPHint
| (Csak az IdP-knél) az intézmény hálózati tartománya(i). IdP felderítés esetén előválasztás lehetséges ennek alapján.
| CIDR, több érték is megadható
|-
| DomainHint
| (Csak az IdP-knél) az intézmény által felügyelt domain név. IdP felderítés esetén előválasztás lehetséges ennek alapján.
| Több érték is megadható
|}

=== Logo ===
* formátum: URL egy transzparens hátterű PNG, vagy transzparens hátterű GIF képre
* méretezés
** javasolt oldalarány 1:1 vagy 16:9
** maximális méret 200x200px
** ajánlott egy 16x16px-es verziót is megadni
* attribútumok
** <code>xml:lang</code>: lokalizációs információ
** <code>href</code>: opcionális link
** <code>height</code>: opcionális magasság érték pixelben
** <code>width</code>: opcionális szélesség érték pixelben

== Egy IdP példa ==
<source lang="xml">
<EntityDescriptor entityID="https://idp.niif.hu/shibboleth"
xmlns:mdui="urn:oasis:names:tc:SAML:2.0:metadata:ui">
<IDPSSODescriptor protocolSupportEnumeration="urn:oasis:names:tc:SAML:2.0:protocol urn:oasis:names:tc:SAML:1.1:protocol urn:mace:shibboleth:1.0">
<Extensions>
<shibmd:Scope>niif.hu</shibmd:Scope>
<mdui:DiscoHints xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance">
<mdui:GeolocationHint>47.518356,19.055437</mdui:GeolocationHint>
<mdui:DomainHint>niif.hu</mdui:DomainHint>
<mdui:DomainHint>iif.hu</mdui:DomainHint>
</mdui:DiscoHints>
</Extensions>
<KeyDescriptor use="signing">
<ds:KeyInfo>
<ds:X509Data>
<ds:X509Certificate>...</ds:X509Certificate>
</ds:X509Data>
</ds:KeyInfo>
</KeyDescriptor>

</IDPSSODescriptor>
<ContactPerson contactType="technical">
<SurName>NIIF AAI</SurName>
<EmailAddress>aai@niif.hu</EmailAddress>
</ContactPerson>
<ContactPerson contactType="support">
<SurName>NIIF AAI</SurName>
<EmailAddress>aai@niif.hu</EmailAddress>
</ContactPerson>
<ContactPerson contactType="administrative">
<SurName>NIIF AAI</SurName>
<EmailAddress>aai@niif.hu</EmailAddress>
</ContactPerson>
</EntityDescriptor>
</source>

== Egy SP példa ==
<source lang="xml">
<EntityDescriptor entityID="https://rr.aai.niif.hu/shibboleth"
xmlns:mdui="urn:oasis:names:tc:SAML:2.0:metadata:ui">
<SPSSODescriptor protocolSupportEnumeration="urn:oasis:names:tc:SAML:2.0:protocol urn:oasis:names:tc:SAML:1.1:protocol">
<Extensions>
<mdui:UIInfo xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance">
<mdui:PrivacyStatementURL>https://rr.aai.niif.hu/privacy-policy</mdui:PrivacyStatementURL>
<mdui:InformationURL>https://rr.aai.niif.hu/about</mdui:InformationURL>
</mdui:UIInfo>
</Extensions>
<KeyDescriptor use="signing">
<ds:KeyInfo>
<ds:X509Data>
<ds:X509Certificate>...</ds:X509Certificate>
</ds:X509Data>
</ds:KeyInfo>
</KeyDescriptor>
<KeyDescriptor use="encryption">
<ds:KeyInfo>
<ds:X509Data>
<ds:X509Certificate>...</ds:X509Certificate>
</ds:X509Data>
</ds:KeyInfo>
</KeyDescriptor>

<AttributeConsumingService index="1">
<ServiceName xml:lang="hu">HREF Resource Registry</ServiceName>
<ServiceName xml:lang="en">HREF Resource Registry</ServiceName>
<ServiceDescription xml:lang="hu">Resource Registry - a föderáció adminisztrációs alkalmazása http://rr.aai.niif.hu/</ServiceDescription>
<ServiceDescription xml:lang="en">Resource Registry - federation administration tool http://rr.aai.niif.hu/</ServiceDescription>
<RequestedAttribute FriendlyName="mail" Name="urn:oid:0.9.2342.19200300.100.1.3" isRequired="true"/>
<RequestedAttribute FriendlyName="surname" Name="urn:oid:2.5.4.4" isRequired="true"/>
<RequestedAttribute FriendlyName="givenName" Name="urn:oid:2.5.4.42" isRequired="true"/>
<RequestedAttribute FriendlyName="eduPersonPrincipalName" Name="urn:oid:1.3.6.1.4.1.5923.1.1.1.6" isRequired="true"/>
<RequestedAttribute FriendlyName="schacHomeOrganizationType" Name="urn:oid:1.3.6.1.4.1.25178.1.2.10" isRequired="true"/>
<RequestedAttribute FriendlyName="eduPersonScopedAffiliation" Name="urn:oid:1.3.6.1.4.1.5923.1.1.1.9" isRequired="true"/>
</AttributeConsumingService>
</SPSSODescriptor>
<Organization>
<OrganizationName xml:lang="hu">NIIF - Nemzeti Információs Infrastruktúra Fejlesztési Intézet</OrganizationName>
<OrganizationName xml:lang="en">NIIF Institute - National Information Infrastructure Development</OrganizationName>
<OrganizationDisplayName xml:lang="hu">NIIF - Nemzeti Információs Infrastruktúra Fejlesztési Intézet</OrganizationDisplayName>
<OrganizationDisplayName xml:lang="en">NIIF Institute - National Information Infrastructure Development</OrganizationDisplayName>
<OrganizationURL xml:lang="hu">http://www.niif.hu</OrganizationURL>
<OrganizationURL xml:lang="en">http://www.niif.hu/en</OrganizationURL>
</Organization>
<ContactPerson contactType="administrative">
<SurName>NIIF AAI</SurName>
<EmailAddress>aai@niif.hu</EmailAddress>
</ContactPerson>
<ContactPerson contactType="technical">
<SurName>NIIF AAI</SurName>
<EmailAddress>aai@niif.hu</EmailAddress>
</ContactPerson>
<ContactPerson contactType="support">
<SurName>NIIF AAI</SurName>
<EmailAddress>aai@niif.hu</EmailAddress>
</ContactPerson>
</EntityDescriptor>
</source>

= Metaadat aláírásának módja =
== Aláíró kulcs és tanúsítványok ==
* Az aláíró kulcsot smart cardon, pin kóddal védve tároljuk.
* Az aláírás on-line történik, a kártya pin kódját az aláíró szoftver indításakor az AAI adminisztrátor adja meg, a jelszó nem kerül tárolásra az aláírást végző rendszeren (sem másutt).

== Aláírási folyamat ==
* Aláíratlan metaadat frissítése
** az aláíratlan metaadat a https://rr.aai.niif.hu oldalról ütemezetten (5 perc) letöltésre kerül. A letöltés során az rr.aai.niif.hu tanúsítványa explicit módon ellenőrzésre kerül.
** a letöltött metaadat formai ellenőrzése
** az ellenőrzött entitások egy verziókövető rendszerbe kerülnek, az esetleges változásról e-mail értesítés készül ([https://listserv.niif.hu/mailman/listinfo/href-metadata-changes href-metadata-changes] nevű levelezőlistára)
* Az aláíró szoftver rendszeresen (1-2 percenként) ellenőrzi a metaadatot a verziókövető rendszerben, és változás esetén új aláírt metaadatokat készít
** amennyiben nincs változás, fix időközönként (naponta legalább egyszer) új aláírt állományok készülnek

== Aláírás ellenőrzése explicit tanúsítvánnyal ==
A föderáció entitásai a föderációs metaadat hitelességéről a digitális aláírás ellenőrzésével győződhetnek meg.
* Az explicit ellenőrzés esetén a <code>http://metadata.eduid.hu/current/</code> URL-ről kell letölteni a metadata fájlokat.
* A tanúsítvány a https://metadata.eduid.hu oldalról érhető el.
** DN-je <code>EMAILADDRESS=aai@niif.hu, CN=Metadata Signer, OU=eduID Federation Operator, O=NIIF Institute, C=HU</code>
** SHA-1 <code>FE:AE:0B:E8:FB:59:ED:F7:CB:7F:69:DF:19:4F:8B:6D:C7:F6:96:66</code>
* Ajánlott a tanúsítvány lejárati idejét figyelmen kívül hagyni.
* A tanúsítványcsere koordinálása out-of-band módszerrel történik (a <code>href-tech</code> levelezőlista segítségével).

== Aláíró kulcs cseréje ==
* A föderációs entitások számára ajánlott a tanúsítvány lejárati idejének figyelmen kívül hagyása.
* A kulccsere koordinálása a <code>href-tech</code> levelezőlistán keresztül történik.
* Kulcs visszavonásakor (kompromittálódás gyanúja esetén) a régi aláíró kulcs azonnal eltávolításra kerül, kontrollált kulcscsere esetén az aláírás párhuzamosan történik a régi és az új kulccsal.

= Metaadat elérése =
A HREF föderációban többféle metaadat-forrás áll rendelkezésre, melyeket a http://metadata.eduid.hu -ról lehet elérni. Fontos megemlíteni, hogy a metadata letöltésénél nem indokolt az SSL használata, ezért - amennyiben lehetséges -, érdemes a metadata URL-eket nem titkosított HTTP protokoll segítségével letölteni.

A metadata elérés URL-je a következő: http://metadata.eduid.hu/${alairo_kulcs_kibocsatas_eve}/${metadata_forras}.xml. A metadata források jelenleg a következők lehetnek:
* <code>href.xml</code>: az éles föderációban részt vevő, és a föderáció kritériumait teljesítő entitások
* <code>href-test.xml</code>: a HREF föderáció tesztrendszerei. Bármely, föderációban részt vevő intézmény tehet be teszt-entitást ebbe a halmazba, ezért ezen metaadat-forrás csak tesztelési célra használható.
* <code>href-edugain.xml</code>: a HREF föderációból az [http://edugain.org eduGAIN] konföderációba kiajánlott entitások. Ide csak olyan entitások kerülhetnek be, melyek megfelelnek a föderációs kritériumoknak, és képesek az [http://edugain.org eduGAIN] konföderációval való együttműködésre. Ezen entitások be kell hogy olvassák az eduGAIN metaadatot is.
* <code>edugain.xml</code>: az [http://edugain.org eduGAIN] konföderáció metaadata, a HREF aláíró kulccsal aláírva.
* intézmény-specifikus metaadat fájlok, melyeket a föderáció kérésre biztosítja, tetszőleges entitások halmazba gyűjtésével.

== MDX-alapú elérés ==
Az MDX, azaz MetaDataeXchange protokolt erőforrás optimalizálás céljából találták ki, hogy ne kelljen egyes IdP-knek és SP-knek indokolatlanul nagy XML fájlokat feldolgozniuk és tárolniuk, mikor a felhasználóiknak jó eséllyel a fájlokban tárolt entitások töredékére van csak szükségük. Ezért az egyes entitásokat be lehet úgy állítani, hogy csak akkor töltsék le az adott entitás metaadatát, mikor arra szükség van (az első letöltés után természetesen helyben tároldóik a metaadat a <code>cacheDuration</code>-ben megadott ideig).

A HREF föderációban teszt jelleggel működik és elérhető MDX-kiszolgáló: <code>http://mdx.eduid.hu</code>. A megfelelő beállításokhoz [[MDX|itt]] érhető el segédlet.

Az MDX kiszolgáló eltérő (nem fizikai) kulcsot és tanúsítványt használ. Ennek SHA-1 lenyomata: <code>91:81:AD:2B:F1:C1:4E:47:93:A2:9D:49:34:B7:77:62:4F:2F:98:43</code>. Jelenleg (2015. október) az MDX elérés még csak teszt jelleggel működik, az élesüzemre váltáskor a kulcs és a tanúsítvány változni fog. A jelenlegi tanúsítvány innen tölthető le: <code>http://metadata.eduid.hu/current/mdx-test-signer-2015.crt</code>

HREF metadata specifikáció

2015-10-29T07:58:19Z

Sitya(AT)niif.hu: /* MDX alapú elérése */

HREF metadata specifikáció

2015-10-29T07:32:26Z

Sitya(AT)niif.hu: Tanúsítványadatok frissítése

HREF metadata specifikáció

2015-10-29T07:30:38Z

Sitya(AT)niif.hu: Metadata-nézetek már nincsenek és edugain-test metadata sincs

A föderációs metaadat célja, hogy a föderációban részt vevő intézmények illetve entitások technikai, bizalmi és adminisztratív adatait egy helyre gyűjtse. A metaadatok formátuma megfelel a SAML2 metaadat szabványnak.

= Biztonsági megfontolások =
Mivel a metadata tartalmazza a föderációban részt vevő tagok és komponensek technikai információit, ezért a benne tárolt információkkal kapcsolatban figyelembe kell venni a következő biztonsági megfontolásokat:

* Téves vagy kompromittálódott adatok eltávolítása esetén a sérülékenységi ablak megegyezik a metadata gyorstárazhatósági (<code>cacheDuration</code>) idejével, '''amennyiben a támadó nem képes blokkolni a központi metaadatok elérhetőségét (DOS)'''
* Amennyiben a támadó képes blokkolni a központi metaadatok elérhetőségét, a sérülékenységi ablak a legutolsó letöltött metadata állomány érvényességéig (<code>validUntil</code> paraméterében meghatározott ideig) tart.
* Amennyiben a metaadatok érvényességi ideje lejár, az entitás nem képes azonosítani a többi föderációs résztvevőt, ezért nem tud föderációs szolgáltatást (pl. IdP esetén azonosítási szolgáltatást) nyújtani.

= Metaadatban tárolt információk =
* Bizalom a metaadatban
** a metaadat integritásvédelmét és hitelességét egy digitális aláírás biztosítja.
** a metaadat visszavonhatóságát a lejárati idő (<code>validUntil</code>) biztosítja, ami jelenleg 3 nap.
** az egyes rendszerek gyorstárazhatják a metaadatot, de legalább naponta egyszer kötelesek a hiteles állományt frissíteni.
** az aláírási procedúrát a [[#Metaadat_aláírásának_módja]] fejezet írja le.
* Tanúsítványok
** kötelező legalább 1024 bites kulcspárt használni
** az entitások által használt tanúsítvánnyal kapcsolatban a föderáció nem tesz különleges megkötést, sőt: ajánlott hosszú lejáratú self-signed tanúsítványok használata
* További információk
** minden szöveges mezőt legalább két nyelven: magyarul és angolul ki kell tölteni
** kötelezően kitöltendőek az intézményi, adminisztratív információk (<code>Organization</code> illetve <code>ContactPerson</code> elemek)
** ajánlott megadni egy helpdesk URL-r, ahova hiba esetén a felhasználók fordulhatnak (<code>errorURL</code> attribútum)
** SP-k esetén további kötelező elemek
*** <code>AttributeConsumingService</code>, ami megadja a kért attribútumokat
**** <code>RequestedAttributes</code> - itt az attribútum informális neve is szerepeljen
**** <code>ServiceName</code>, <code>ServiceDescription</code> az SP szolgáltatás neve és leírása
*** a szolgáltatás elérhetősége, amin a szolgáltatás bemutatkozik (extension)
*** adatkezelési szabályzatra mutató URL (extension)
** IdP-k esetén
*** a scope csak az adott intézmény kezelésében levő domain név lehet (Shibboleth extension)
** lehetőség van további adatok megadására is
*** logó
*** gps koordináták, IP cím tartomány
*** különböző tagek, például a szolgáltatás publikus-e, vagy épp bevezetés alatt áll-e

== Metaadat kiterjesztések használata ==
Ezen kiegészítő adatok tárolására az internet2 szabványtervezetet készít, ennek a sémának a jelenlegi verziója megtalálható [http://wiki.oasis-open.org/security/SAML2MetadataUI itt].

A kiegészítő séma névtere: <code>urn:oasis:names:tc:SAML:2.0:metadata:ui</code>. Az alábbi táblázatban ezen névtérben definiált legfontosabb elemeket foglaljuk össze:

{| class="wikitable"
|-
! element név
! szemantika
! értékekre vonatkozó megkötések
|-
| GeolocationHint
| szélesség és hosszúság érték, a + előjel az északi szélességet illetve keleti hosszúságot jelöli
| 47.47359,19.052891
|-
| InformationURL
| az entitásról további információkat (pl. helpdesk) szolgáltató oldal.
|
|-
| PrivacyStatementURL
| Az SP adatvédelmi nyilatkozátnak elérhetősége (URL)
| Engedélyezett formátumok: HTML, PDF
|-
| Logo
| Az IdP/SP logójának elérhetősége
| Formátummal kapcsolatban lásd [[#Logo]]
|-
| IPHint
| (Csak az IdP-knél) az intézmény hálózati tartománya(i). IdP felderítés esetén előválasztás lehetséges ennek alapján.
| CIDR, több érték is megadható
|-
| DomainHint
| (Csak az IdP-knél) az intézmény által felügyelt domain név. IdP felderítés esetén előválasztás lehetséges ennek alapján.
| Több érték is megadható
|}

=== Logo ===
* formátum: URL egy transzparens hátterű PNG, vagy transzparens hátterű GIF képre
* méretezés
** javasolt oldalarány 1:1 vagy 16:9
** maximális méret 200x200px
** ajánlott egy 16x16px-es verziót is megadni
* attribútumok
** <code>xml:lang</code>: lokalizációs információ
** <code>href</code>: opcionális link
** <code>height</code>: opcionális magasság érték pixelben
** <code>width</code>: opcionális szélesség érték pixelben

== Egy IdP példa ==
<source lang="xml">
<EntityDescriptor entityID="https://idp.niif.hu/shibboleth"
xmlns:mdui="urn:oasis:names:tc:SAML:2.0:metadata:ui">
<IDPSSODescriptor protocolSupportEnumeration="urn:oasis:names:tc:SAML:2.0:protocol urn:oasis:names:tc:SAML:1.1:protocol urn:mace:shibboleth:1.0">
<Extensions>
<shibmd:Scope>niif.hu</shibmd:Scope>
<mdui:DiscoHints xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance">
<mdui:GeolocationHint>47.518356,19.055437</mdui:GeolocationHint>
<mdui:DomainHint>niif.hu</mdui:DomainHint>
<mdui:DomainHint>iif.hu</mdui:DomainHint>
</mdui:DiscoHints>
</Extensions>
<KeyDescriptor use="signing">
<ds:KeyInfo>
<ds:X509Data>
<ds:X509Certificate>...</ds:X509Certificate>
</ds:X509Data>
</ds:KeyInfo>
</KeyDescriptor>

</IDPSSODescriptor>
<ContactPerson contactType="technical">
<SurName>NIIF AAI</SurName>
<EmailAddress>aai@niif.hu</EmailAddress>
</ContactPerson>
<ContactPerson contactType="support">
<SurName>NIIF AAI</SurName>
<EmailAddress>aai@niif.hu</EmailAddress>
</ContactPerson>
<ContactPerson contactType="administrative">
<SurName>NIIF AAI</SurName>
<EmailAddress>aai@niif.hu</EmailAddress>
</ContactPerson>
</EntityDescriptor>
</source>

== Egy SP példa ==
<source lang="xml">
<EntityDescriptor entityID="https://rr.aai.niif.hu/shibboleth"
xmlns:mdui="urn:oasis:names:tc:SAML:2.0:metadata:ui">
<SPSSODescriptor protocolSupportEnumeration="urn:oasis:names:tc:SAML:2.0:protocol urn:oasis:names:tc:SAML:1.1:protocol">
<Extensions>
<mdui:UIInfo xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance">
<mdui:PrivacyStatementURL>https://rr.aai.niif.hu/privacy-policy</mdui:PrivacyStatementURL>
<mdui:InformationURL>https://rr.aai.niif.hu/about</mdui:InformationURL>
</mdui:UIInfo>
</Extensions>
<KeyDescriptor use="signing">
<ds:KeyInfo>
<ds:X509Data>
<ds:X509Certificate>...</ds:X509Certificate>
</ds:X509Data>
</ds:KeyInfo>
</KeyDescriptor>
<KeyDescriptor use="encryption">
<ds:KeyInfo>
<ds:X509Data>
<ds:X509Certificate>...</ds:X509Certificate>
</ds:X509Data>
</ds:KeyInfo>
</KeyDescriptor>

<AttributeConsumingService index="1">
<ServiceName xml:lang="hu">HREF Resource Registry</ServiceName>
<ServiceName xml:lang="en">HREF Resource Registry</ServiceName>
<ServiceDescription xml:lang="hu">Resource Registry - a föderáció adminisztrációs alkalmazása http://rr.aai.niif.hu/</ServiceDescription>
<ServiceDescription xml:lang="en">Resource Registry - federation administration tool http://rr.aai.niif.hu/</ServiceDescription>
<RequestedAttribute FriendlyName="mail" Name="urn:oid:0.9.2342.19200300.100.1.3" isRequired="true"/>
<RequestedAttribute FriendlyName="surname" Name="urn:oid:2.5.4.4" isRequired="true"/>
<RequestedAttribute FriendlyName="givenName" Name="urn:oid:2.5.4.42" isRequired="true"/>
<RequestedAttribute FriendlyName="eduPersonPrincipalName" Name="urn:oid:1.3.6.1.4.1.5923.1.1.1.6" isRequired="true"/>
<RequestedAttribute FriendlyName="schacHomeOrganizationType" Name="urn:oid:1.3.6.1.4.1.25178.1.2.10" isRequired="true"/>
<RequestedAttribute FriendlyName="eduPersonScopedAffiliation" Name="urn:oid:1.3.6.1.4.1.5923.1.1.1.9" isRequired="true"/>
</AttributeConsumingService>
</SPSSODescriptor>
<Organization>
<OrganizationName xml:lang="hu">NIIF - Nemzeti Információs Infrastruktúra Fejlesztési Intézet</OrganizationName>
<OrganizationName xml:lang="en">NIIF Institute - National Information Infrastructure Development</OrganizationName>
<OrganizationDisplayName xml:lang="hu">NIIF - Nemzeti Információs Infrastruktúra Fejlesztési Intézet</OrganizationDisplayName>
<OrganizationDisplayName xml:lang="en">NIIF Institute - National Information Infrastructure Development</OrganizationDisplayName>
<OrganizationURL xml:lang="hu">http://www.niif.hu</OrganizationURL>
<OrganizationURL xml:lang="en">http://www.niif.hu/en</OrganizationURL>
</Organization>
<ContactPerson contactType="administrative">
<SurName>NIIF AAI</SurName>
<EmailAddress>aai@niif.hu</EmailAddress>
</ContactPerson>
<ContactPerson contactType="technical">
<SurName>NIIF AAI</SurName>
<EmailAddress>aai@niif.hu</EmailAddress>
</ContactPerson>
<ContactPerson contactType="support">
<SurName>NIIF AAI</SurName>
<EmailAddress>aai@niif.hu</EmailAddress>
</ContactPerson>
</EntityDescriptor>
</source>

= Metaadat aláírásának módja =
== Aláíró kulcs és tanúsítványok ==
* Az aláíró kulcsot smart cardon, pin kóddal védve tároljuk.
* Az aláírás on-line történik, a kártya pin kódját az aláíró szoftver indításakor az AAI adminisztrátor adja meg, a jelszó nem kerül tárolásra az aláírást végző rendszeren (sem másutt).

== Aláírási folyamat ==
* Aláíratlan metaadat frissítése
** az aláíratlan metaadat a https://rr.aai.niif.hu oldalról ütemezetten (5 perc) letöltésre kerül. A letöltés során az rr.aai.niif.hu tanúsítványa explicit módon ellenőrzésre kerül.
** a letöltött metaadat formai ellenőrzése
** az ellenőrzött entitások egy verziókövető rendszerbe kerülnek, az esetleges változásról e-mail értesítés készül ([https://listserv.niif.hu/mailman/listinfo/href-metadata-changes href-metadata-changes] nevű levelezőlistára)
* Az aláíró szoftver rendszeresen (1-2 percenként) ellenőrzi a metaadatot a verziókövető rendszerben, és változás esetén új aláírt metaadatokat készít
** amennyiben nincs változás, fix időközönként (naponta legalább egyszer) új aláírt állományok készülnek

== Aláírás ellenőrzése explicit tanúsítvánnyal ==
A föderáció entitásai a föderációs metaadat hitelességéről a digitális aláírás ellenőrzésével győződhetnek meg.
* Az explicit ellenőrzés esetén a <code>http://metadata.eduid.hu/current/</code> URL-ről kell letölteni a metadata fájlokat.
* A tanúsítvány a https://metadata.eduid.hu oldalról érhető el.
** DN-je <code>EMAILADDRESS=aai@niif.hu, CN=HREF Metadata Signer 2010, OU=AAI, O=NIIF Institute, O=NIIF CA, C=HU</code>
** SHA-1 <code>09:C2:8B:09:AB:9E:C2:9B:A5:71:37:E7:36:C6:10:FF:96:9F:D7:FE</code>
* Ajánlott a tanúsítvány lejárati idejét figyelmen kívül hagyni.
* A tanúsítványcsere koordinálása out-of-band módszerrel történik (a <code>href-tech</code> levelezőlista segítségével).

== Aláíró kulcs cseréje ==
* A föderációs entitások számára ajánlott a tanúsítvány lejárati idejének figyelmen kívül hagyása.
* A kulccsere koordinálása a <code>href-tech</code> levelezőlistán keresztül történik.
* Kulcs visszavonásakor (kompromittálódás gyanúja esetén) a régi aláíró kulcs azonnal eltávolításra kerül, kontrollált kulcscsere esetén az aláírás párhuzamosan történik a régi és az új kulccsal.

= Metaadat elérése =
A HREF föderációban többféle metaadat-forrás áll rendelkezésre, melyeket a http://metadata.eduid.hu -ról lehet elérni. Fontos megemlíteni, hogy a metadata letöltésénél nem indokolt az SSL használata, ezért - amennyiben lehetséges -, érdemes a metadata URL-eket nem titkosított HTTP protokoll segítségével letölteni.

A metadata elérés URL-je a következő: http://metadata.eduid.hu/${alairo_kulcs_kibocsatas_eve}/${metadata_forras}.xml. A metadata források jelenleg a következők lehetnek:
* <code>href.xml</code>: az éles föderációban részt vevő, és a föderáció kritériumait teljesítő entitások
* <code>href-test.xml</code>: a HREF föderáció tesztrendszerei. Bármely, föderációban részt vevő intézmény tehet be teszt-entitást ebbe a halmazba, ezért ezen metaadat-forrás csak tesztelési célra használható.
* <code>href-edugain.xml</code>: a HREF föderációból az [http://edugain.org eduGAIN] konföderációba kiajánlott entitások. Ide csak olyan entitások kerülhetnek be, melyek megfelelnek a föderációs kritériumoknak, és képesek az [http://edugain.org eduGAIN] konföderációval való együttműködésre. Ezen entitások be kell hogy olvassák az eduGAIN metaadatot is.
* <code>edugain.xml</code>: az [http://edugain.org eduGAIN] konföderáció metaadata, a HREF aláíró kulccsal aláírva.
* intézmény-specifikus metaadat fájlok, melyeket a föderáció kérésre biztosítja, tetszőleges entitások halmazba gyűjtésével.

SimpleSAMLphp

2015-06-30T09:02:14Z

Sitya(AT)niif.hu:

Az alábbi lapon megkíséreljük összefoglalni a legfontosabb lépéseket, melyek általános esetben elegendőek ahhoz, hogy működő SimpleSAMLphp(SSP) alkalmazást állítsunk üzembe.

==Telepítés==
===Előkészületek===
Ahhoz, hogy problémamentesen telepíthessük SSP alkalmazásunkat, az alábbi szoftverkomponenseknek kell működniük szerverünkön.
* PHP futtatására alkalmas webszerver
* PHP környezet (legalább 5.2.0 verzió)
* A következő PHP kiterjesztéseket engedélyezni kell
** <code>date</code>, <code>dom</code>, <code>hash</code>, <code>libxml</code>, <code>openssl</code>, <code>pcre</code>, <code>SPL</code>, <code>zlib</code>
** LDAP-ból történő autentikáció esetén: <code>ldap</code>
** Adatbázisból történő autentikáció esetén a megfelelő adatbázis-csatolót <code>mysql</code>, <code>pgsql</code>
** RADIUS szerveren keresztül történő autentikáció esetén: <code>radius</code>
** Assertion-ök titkosítása esetén: <code>mcrypt</code>
** Memcache használata esetén: <code>memcache</code>

===Letöltés===
A legfrissebb változat letölthető [http://code.google.com/p/simplesamlphp/ http://code.google.com/p/simplesamlphp/] címről

cd /var
tar xzf simplesamlphp-1.x.y.tar.gz
mv simplesamlphp-1.x.y simplesamlphp

Alapértelmezés szerint a <code>/var/simplesamlphp</code> alatt szeretne majd működni, ez természetesen változtatható, de most maradunk az eredeti beállításoknál.

===Apache konfigurálás===

A webről csak a <code>/var/simplesamlphp/www</code> könyvtárat kell elérni.

Alias /simplesaml /var/simplesamlphp/www

===Alapbeállítások===
Mielőtt aktiváljuk valamelyik főszolgáltatását (IdP,SP...) a telepített alkalmazásnak, néhány beállítást meg kell adnunk a konfigurációs fájlban <code>config/config.php</code>.
* '''Az "admin" felhasználó jelszavát, mellyel webes felületen keresztül be tud lépni a települő SSP-be.'''
'auth.adminpassword' => 'ujjelszotirdide',
* '''Titkosítási feladatokhoz szükséges "salt", azaz véletlenszerűen összeálló karaktersorozat'''
'secretsalt' => 'randombytesinsertedhere',
A karaktersorozat előállításában segíthet az alábbi parancs:
tr -c -d '0123456789abcdefghijklmnopqrstuvwxyz' </dev/urandom | dd bs=32 count=1 2>/dev/null;echo
* '''Elérhetőségeket, amely adatok bekerülnek majd a generált metaadatba'''
'technicalcontact_name' => 'Gipsz Jakab',
'technicalcontact_email' => 'jakab.gipsz@example.org',
* '''Nyelv és időzóna adatok'''
'language.default' => 'hu',
'timezone' => 'Europe/Budapest',

===Telepítés kész===
Amennyiben elkészültünk a fenti lépésekkel, úgy a [https://service.example.org/simplesaml/ https://service.example.org/simplesaml/] címen elérjük a telepített SSP-nk webes adminfelületét, ahol megejthetjük a további beállítások nagy részét.

==IdP beállítás==
===IdP funkció engedélyezése===
A <code>config/config.php</code> fájlt kell szerkesztenünk, s engedélyezni a saml20 idp lehetőséget.
'enable.saml20-idp' => true,
===Autentikáció LDAP alapon===
Meg kell adni, hogy az IdP milyen módon azonosítsa a felhasználót, amennyiben alapértelmezés szerint nem engedélyezett modult szeretnénk használni, úgy a megfelelő modult a <code>modules</code> könyvtár alatt engedélyezni kell. Az alábbi példában az LDAP alapú azonosítást mutatjuk be, amely külön modult nem igényel, alapértelmezés szerint része a telepített alkalmazásnak.

Ahhoz, hogy megadhassuk az LDAP-hoz tartozó beállításokat, a <code>config/authsources.php</code> fájlt kell szerkesztenünk. Az alábbi kódrészletet elegendő beszúrni, és az egyes változóknak a helyi LDAP-nak megfelelő adatokat értékül adni.
'example-ldap' => array(
'ldap:LDAP',

/* The hostname of the LDAP server. */
'hostname' => 'ldap.example.org',

/* Whether SSL/TLS should be used when contacting the LDAP server. */
'enable_tls' => FALSE,

/*
* Which attributes should be retrieved from the LDAP server.
* This can be an array of attribute names, or NULL, in which case
* all attributes are fetched.
*/
'attributes' => NULL,

/*
* The pattern which should be used to create the users DN given the username.
* %username% in this pattern will be replaced with the users username.
*
* This option is not used if the search.enable option is set to TRUE.
*/
'dnpattern' => 'uid=%username%,ou=people,dc=example,dc=org',

/*
* As an alternative to specifying a pattern for the users DN, it is possible to
* search for the username in a set of attributes. This is enabled by this option.
*/
'search.enable' => FALSE,

/*
* The DN which will be used as a base for the search.
* This can be a single string, in which case only that DN is searched, or an
* array of strings, in which case they will be searched in the order given.
*/
'search.base' => 'ou=people,dc=example,dc=org',

/*
* The attribute(s) the username should match against.
*
* This is an array with one or more attribute names. Any of the attributes in
* the array may match the value the username.
*/
'search.attributes' => array('uid', 'mail'),

/*
* The username & password the simpleSAMLphp should bind to before searching. If
* this is left as NULL, no bind will be performed before searching.
*/
'search.username' => NULL,
'search.password' => NULL,
),

===Metaadat alapok===
A beállítandó IdP alapvető paraméterei a <code>metadata/saml20-idp-hosted.php</code> fájlban állíthatók. Az alábbi kódrészlet egy minimális, de már működő példát mutat.

$metadata['__DYNAMIC:1__'] = array(
/*
* The hostname for this IdP. This makes it possible to run multiple
* IdPs from the same configuration. '__DEFAULT__' means that this one
* should be used by default.
*/
'host' => '__DEFAULT__',

/*
* The private key and certificate to use when signing responses.
* These are stored in the cert-directory.
*/
'privatekey' => 'idp.example.org.key',
'certificate' => 'idp.example.org.crt',

/*
* The authentication source which should be used to authenticate the
* user. This must match one of the entries in config/authsources.php.
*/
'auth' => 'example-ldap',
);

Teszteléshez is érdemes, éles használathoz pedig elengedhetetlen, hogy a csomagban érkezett tanúsítványt felülírjuk, ezt célszerű mihamarabb megtenni. Ehhez az alábbi parancs lehet segítségünkre.
openssl req -new -x509 -days 3652 -nodes -out idp.example.org.crt -keyout idp.example.org.key
A fingerprint az alábbi módon kérdezhető le a legegyszerűbben
openssl x509 -fingerprint -noout -in idp.example.org.crt

Megfelelő beállítások után a dinamikusan generált metadata a <code>/saml2/idp/metadata.php</code> útvonalon érhető el.

===Tesztelés===
Legegyszerűbben a telepített SSP felületén tudjuk ellenőrizni, hogy a beállított autentikációs forrás működik-e. A felületen az Authentication fül alatt található egy 'Test authentication sources' link, amelyre kattintva látható minden beállított autentikációs forrás is, így a két alapértelmezett, teszt célokat szolgáló alatt a most beállított example-ldap névre hallgatónak is meg kell jelenni. (A közvetlen url erre az oldalra: simplesaml/module.php/core/authenticate.php) Ez utóbbira kattintva a beállított LDAP-ból autentikálva be kell tudnunk jelentkeznünk; siker esetén az LDAP-ból kinyerhető attribútumokat láthatjuk.

==SP beállítás==
===Alapadatok===
A telepített alkalmazásunk által kezelt SP-ket a <code>config/authsources.php</code> fájlban tudjuk beállítani.

'default-sp' => array(
'saml:SP',

// The entity ID of this SP.
// Can be NULL/unset, in which case an entity ID is generated based on the metadata URL.
'entityID' => NULL,

// The entity ID of the IdP this should SP should contact.
// Can be NULL/unset, in which case the user will be shown a list of available IdPs.
'idp' => NULL,

// The URL to the discovery service.
// Can be NULL/unset, in which case a builtin discovery service will be used.
'discoURL' => NULL,

'privatekey' => 'saml.pem',
'certificate' => 'saml.crt',

),

A fenti beállítások alapján az SP entityID-ja megegyezik a metadata elérési útvonalával (szokásos megoldás SSP-nél), nem adunk meg alapértelmezett idp-t, ezáltal az SSP választási lehetőséget kínál fel számunkra, mikor az SP-re szeretnénk bejelentkezni, ill. most még Discovery Service URL-t sem adunk meg, hanem a beépítettet használjuk. Ez utóbbit majd a HREF-be történő integrációkor meg kell változtatni - lásd lejjebb.

Az IdP beállításához hasonlóan itt is szükség lesz egy tanúsítvány generálására a <code>cert</code> könyvtárba. Ehhez segítség lehet az alábbi parancs.

openssl req -new -x509 -days 3652 -nodes -out saml.crt -keyout saml.pem

===Tesztelés===
Amennyiben IdP is beállításra került, úgy a legcélszerűbb ezt összehangolni az SP-vel. Ehhez egyfelől a <code>metadata/saml20-idp-remote.php</code> fájlban meg kell adni az IdP adatait, amely esetünkben az alábbiak szerint fest.

$metadata['https://example.org/simplesaml/saml2/idp/metadata.php'] = array(
'name' => array(
'en' => 'TestSP'
),
'SingleSignOnService' => 'https://example.org/simplesaml/saml2/idp/SSOService.php',
'SingleLogoutService' => 'https://example.org/simplesaml/saml2/idp/SingleLogoutService.php',
'certFingerprint' => 'afe71c28ef740bc87425be13a2263d37971da1f9'
);

Ehhez hasonlóan a <code>metadata/saml20-sp-remote.php</code> fájlban meg kell adnunk az SP adatait. Teszteléshez az alábbiak elegendők:

$metadata['https://example.org/simplesaml/module.php/saml/sp/metadata.php/default-sp'] = array (
'AssertionConsumerService' => 'https://example.org/simplesaml/module.php/saml/sp/saml2-acs.php/default-sp',
'SingleLogoutService' => 'https://example.org/simplesaml/module.php/saml/sp/saml2-logout.php/default-sp',
);

Ezek után az IdP tesztelésénél már említett oldalon a default-sp opciót kiválasztva, majd a legördülő menüben a TestSP-re kattintva be kell tudnunk jelentkezni az IdP-n keresztül. Ha működik, akkor az alapvető lépsekkel kész vagyunk, van egy működő SP-nk és egy működő IdP-nk.

==HREF-integráció==

===Metadata beállítása (IdP és SP is)===
* Az SSP-nél be kell állítani metaadat forrásként a központi metaadatot
:*Első lépésként engedélyezzük, hogy az SSP automatikusan frissíthesse a metaadatot, ill. az ezt elvégző két modult
touch modules/metarefresh/enable
cp modules/metarefresh/config-templates/*.php config/
touch modules/cron/enable
cp modules/cron/config-templates/*.php config/

:*Létrehozunk egy könyvtárat, ahová letöltésre kerül az központi metaadat XML fájlja
mkdir metadata/metarefresh-href
chmod g+rw metadata/metarefresh-href

{{ATTENTION|Ahhoz, hogy az automatikus metadata frissítés gond nélkül működjön, legalább '''1.13.2'''-es verziójú simpleSAMLphp kell, vagy korábbi változatokon frissíteni kell a <code>/path/to/simplesamlphp/lib/xmlseclibs.php</code> fájlt [http://goo.gl/ilRHkV erre a fájlra]! Bővebb információ ehhez kapcsolódóan [http://simplesamlphp.org/metaprocessing erre.]

Ha az eduGAIN metaadatait is feldolgozzuk, akkor fontos, hogy néhány paramétert emeljük legalább az alábbi értékekre:
* maximum memória foglalás (<code>memory_limit</code>): '''512MB'''
* maximum végrehajtási idő (<code>max_execution_time</code>): '''120 sec'''}}

:*Ezek után be kell állítani a metaadat kokrét adatait a <code>config/config-metarefresh.php</code> fájlban
$config = array(
'sets' => array(
'hu' => array(
'cron' => array('hourly'),
'sources' => array(
array(
'src' => 'http://metadata.eduid.hu/2011/href.xml',
'validateFingerprint' => 'FE:AE:0B:E8:FB:59:ED:F7:CB:7F:69:DF:19:4F:8B:6D:C7:F6:96:66',
),
),
'expireAfter' => 60*60*24*4, // Maximum 4 days cache time.
'outputDir' => 'metadata/metarefresh-href/',
'outputFormat' => 'flatfile',
),
),
);
:*Be kell állítani, hogy az SSP az automata által generált fájlokból dolgozzon. Ehhez a <code>config/config.php</code> fájlban keressük ki a <code>metadata.source</code> szakaszt, és az alábbiak szerint szerkesszük át. Amennyiben nem csak a központi metaadatból szeretnénk dolgozni, úgy további sorokat is megadhatunk itt bemutatott mintájára.
'metadata.sources' => array(
array('type' => 'flatfile'), // IdP esetén kell, itt van az önmagát leíró metadata
array('type' => 'flatfile', 'directory' => 'metadata/metarefresh-href'),
),

:*Végül le kell futtatni kézzel a cronjobot, amelyet az SSP webes felületén tudunk megtenni a Configuration fül alatt, a Cron module information page menüpontban. Ekkor létrejönnek a fájlok (majd óránként frissülnek is, ha beállítjuk cronjobként).

===IdP===
Amennyiben van SSP alapú IdP-nk, melyet szeretnénk a föderáció részévé tenni, úgy a teendők a következők.
* (A jelenleg is formálódó adminisztratív teendőktől itt most eltekintünk)
* Kell küldeni egy levelet a [mailto:aai@niif.hu aai@niif.hu] címre, benne néhány mondat mellett az IdP metaadatának URL-jével (https://example.org/simplesamlphp/saml2/idp/metadata.php)
* Ha minden rendben megy, akkor az IdP bekerül a [[Resource_Registry]]-be, ezáltal a föderációs metaadatba is.
* Az előző pontban leírt módon be kell állítani a központi metadata feldolgozását.
* Amennyiben a föderációs metaadatban már szerepel a mi IdP-nk is, úgy a föderáció valamelyik, tesztelési célokat szolgáló SP-jénél ki is próbálhatjuk a bejelentkezést.

:'''Fontos''', hogy a föderációs Discovery Service óránként generálja újra az IdP-k listáját, így ennyi idő mindenképp szükséges, hogy az új IdP megjelenjen itt, az egyes SP-k pedig két óránként töltik újra a metaadatot, így előfordulhat, hogy azonnal nem fog minden működni, de egy-két óra alatt várhatóan beindul. :)

:Tesztelésre használható oldal: [https://wiki.aai.niif.hu/shibtest.php https://wiki.aai.niif.hu/shibtest.php]

* Ahhoz, hogy a Resource Registry-be is be tudjunk lépni és az IdP további, a föderációra vonatkozó beállításait meg tudjuk ejteni, ehhez az IdP-nek ki kell adnia az alábbi attribútumokat:
** [[HREFAttributeSpec#mail|mail]] - ez belépés után, manuálisan is beállítható
** [[HREFAttributeSpec#eduPersonPrincipalName|eduPersonPrincipalName]]
** [[HREFAttributeSpec#schacHomeOrganizationType|schacHomeOrganizationType]]
** [[HREFAttributeSpec#eduScopedAffiliation|eduPersonScopedAffiliation]]

====Attribútumok kezelése====
Beállított IdP-nk alapértelmezés szerint azokat az attribútumokat adja ki, melyeket a metaadat alapján az SP kért (Lásd a metadatában a RequestedAttribute elemeket), és egyúttal alapból meg tudta szerezni a felhasználói adatbázisból, esetünkben az LDAP-ból. Mivel néhány attribútum nem szerepel az LDAP-ban, hanem az IdP-ben kell előállítani, így pár helyen módosítanunk kell az alapértelmezett konfiguráción.

:1. Az <code>attributemap/name2oid.php</code> fájlba az 's'-betűhöz szúrjuk be az alábbi sort:
'schacHomeOrganizationType' => 'urn:oid:1.3.6.1.4.1.25178.1.2.10',
:2. A <code>metadata/saml20-idp-hosted.php</code> fájlba szerkesszük be az alábbi kódrészlet értelemszerűen módosított változatát. Az <code>'auth' => 'example-ldap',</code> sor alatt kezdjük. Fontos, hogy egyúttal a config.php <code>authproc.idp</code> részét kikommentezzük, nehogy az ottani sorszámokkal megadott default feladatok bekavarjanak.

'AttributeNameFormat' => 'urn:oasis:names:tc:SAML:2.0:attrname-format:uri',
'userid.attribute' => 'uid', // Itt adjuk meg, hogy mely, az LDAPból származó attribútum alapján fogja az IdP kiszámítani az eduPersonTargetedID-t
'authproc' => array(
10 => array(
'class' => 'core:AttributeMap',
'uid' => 'eduPersonPrincipalName'
//Itt az 'uid' az az attribútum az LDAP-ban, amely a felhasználó azonosítóját tartalmazza, mert ebből képezzük az eduPersonPrincipalName-t.
),
20 => array(
'class' => 'core:AttributeAdd',
'schacHomeOrganizationType' => array('urn:schac:homeOrganizationType:hu:university')
//Kötelező statikus attribútum az [[HREFAttributeSpec#schacHomeOrganizationType|intézmény jellegének]] megfelelően
),
30 => array(
'class' => 'core:AttributeAlter',
'subject' => 'eduPersonPrincipalName',
'pattern' => '/^.*$/',
'replacement' => '${0}@intezmenydomain.hu',
// Itt adjuk hozzá az intézményi scope-ot az eduPersonPrincipalName már meglévő értékéhez
),
40 => array(
'class' => 'core:AttributeAlter',
'subject' => 'eduPersonAffiliation',
'pattern' => '/^.*$/',
'replacement' => '${0}@intezmenydomain.hu',
// Itt adjuk hozzá az intézményi scope-ot az eduPersonAffiliation már meglévő értékéhez
),
50 => array(
'class' => 'core:AttributeMap',
'eduPersonAffiliation' => 'eduPersonScopedAffiliation'
// Az LDAP-ból eduPersonAffiliation-ként érkező attribútumból föderációs elvárásoknak megfelelően eduPersonScopedAffiliationt készítünk
),
60 => array(
'class' => 'core:AttributeAdd',
'eduPersonScopedAffiliation' => array('member@intezmenydomain.hu')
// Az eduPersonScopedAffiliation-ben tesztelés céljából kiadhatjuk member értéket, így ha LDAP-ból nem jön érték, akkor is láthatjuk, hogy működik az attribútum kiadás
),
61 => array(
'class' => 'core:TargetedID',
'nameId' => TRUE,
),
// Itt állítjuk be, hogy az IdP előállítson és kiadhasson állandóazonosítóként eduPersonTargetedID-t, ha kérik
70 => array('class' => 'core:AttributeMap',
'name2oid'
// Az LDAP-os attribútum nevekből itt kreálunk szabványos urn:oid formátumúakat
),
80 => 'core:AttributeLimit',
), // .authproc
'simplesaml.nameidattribute' => 'eduPersonPrincipalName',
'attributeencodings' => array(
'urn:oid:1.3.6.1.4.1.5923.1.1.1.10' => 'raw',
),
'sign.logout' => true

: További tudnivalók a [[Resource_Registry|Resource Registry-ről]], ill. a [[HREFAttributeSpec|Föderációs attribútum specifikációról]].

* Ha minden rendben ment, akkor a Resource Registry-ben regisztrált IdP-hez tartozó adminisztrációs jogok átkerülnek az IdP technikai gazdájához, s ezzel a folyamat kész is.

===SP===
Amennyiben IdP-t is beállítottunk, és be is tudunk lépni a Resource Registry-be, úgy nincs más dolgunk, mint az RR-ben új SP-t hozzáadni a föderációhoz, amely a megfelelő átfutási idő után a föderáció minden tagjánál látható is lesz.

Ellenkező esetben (nincs IdP, és nem is tervezünk beállítani), akkor az IdP hozzáadásánál részletezett pontokon kell végig menni a metaadat betöltéséig, s a továbbiakat az említett e-mail címen megbeszélni.

====Attribútum scopeok használata====
A HREF föderáció IdP-i ún. scopeolt attribútumokat is használnak. Ez a scopeolás azt jelenti, hogy minden egyes IdP csak a saját scopejában ad ki attribútumokat, és a Shibboleth SP-k ezt ellenőrzik is. A scope és az attribútum valódi értéke egy '@' karakterrel kerül elválasztásra (ilyen attribútumok jelenleg: [[HREFAttributeSpec#eduPersonAffiliation|eduPersonScopedAffiliation]] illetve [[HREFAttributeSpec#eduPersonPrincipalName|eduPersonPrincipalName]]).

A SimpleSAMLphp alapértelmezett telepítése nem szűri a hibásan scopeolt értékeket. Kiegészítő modulként szűrésre használható az NIIF által fejlesztett [https://repo.niif.hu/gitweb/gitweb.cgi?p=simplesamlphp-attributescope.git;a=summary attributescope modul], ami reményeink szerint rövid távon a hivatalos SimpleSAMLphp kiadás része lehet.

: Az <code>attributescope</code> modul használata esetén a következőképp kell módosítani a <code>config/config-metarefresh.php</code> fájlt:

'template' => array(
'authproc' => array(
51 => array('class' => 'core:AttributeMap', 'oid2name'),
55 => array('class' => 'attributescope:FilterAttributes'),
),
'scopedattributes' => array('eduPersonScopedAffiliation', 'eduPersonPrincipalName'),
),

[[Category: AAI]] [[Category: simpleSAMLphp]] [[Category: HOWTO]]

HREFContract

2015-04-22T07:43:31Z

Sitya(AT)niif.hu:

A HREF Föderáció nem jogi személy, így a szerződést formálisan a [[HREFGlossary#Föderációs Operátor|Föderációs Operátor]] és a [[HREFGlossary#Tag|Tag]] illetve a [[HREFGlossary#Partner|Partner]] kötik. A csatlakozáshoz szükséges egy egyoldalú szándéknyilatkozat aláírása is.

A dokumentumok letölthetők [http://www.eduid.hu/hu/dokumentumok/ eduid.hu/dokumentumok] oldalról.

A szerződés az alábbi dokumentumokra hivatkozik:
* [[HREFGlossary|Szószedet]]: a szerződésben és a vonatkozó dokumentumokban használt fogalmak meghatározása. [[HREFGlossaryEN|Glossary]]
* [[HREFPolicy|Alapelvek]]: a HREF Föderáció működésének alapvető szabályai [[HREFPolicyEN|Federation Policy]]
* Műszaki előírások:
** IdP műszaki követelmények; [[HREFIdPReq|IdP Operation Requirements]]
** SP műszaki követelmények; [[HREFSPReq|SP Operation Requirements]]
* [[FedOpServices|Szolgáltatási szint megállapodás]]: a Föderációs Operátor szolgáltatásai és ezek vállalt paraméterei. [[FedOpServicesEN|Service Level Agreement]]
* [[HREFAttributeSpec|Attribútum specifikáció]]: a felhasználói attribútumok cseréjét meghatározó leírás. [[HREFAttributeSpecEn|Attribute Specification]]
* [[HREFMetadataSpec|Metadata specifikáció]]: a metaadatok használatának és értelmezésének szabályai. [[HREFMetadataSpecificationEN|Metadata Specification]]
* [[HREFServices|Föderációs szolgáltatások]]: a föderáció Tagjai és Partnerei által a Föderációban üzemeltetett szolgáltatások. [[HREFServicesEN|Definition of Federated Services]]

----

HREFJoin

2015-04-22T04:02:53Z

Sitya(AT)niif.hu:

'''Az eduID föderációhoz való csatlakozás folyamata'''

# A csatlakozni kívánó tag/partner jelzi csatlakozási szándékát a [[HREFGlossary#F.C3.B6der.C3.A1ci.C3.B3s_Oper.C3.A1tor|Föderációs Operátor]] felé.
# Mind jogilag, mind technikailag előkészül a csatlakozáshoz: [[HREFPolicy|Föderációs alapelvek]], [https://docs.google.com/document/d/1XkFqQx9npWVgftAU1b0cRoqiTNrhj9oqEWpMWaIJO6o/edit?hl=en_US Műszaki előírások IdP-k számára], [https://docs.google.com/document/d/1QZWwFqHm4VNyIn6GdKnOzyA0Xdg2uYgwlAkJA1ffpM8/edit?hl=en_US Műszaki előírások SP-k számára].
# Egyeztetés után elküldi az [http://www.eduid.hu/dokumentumok/ aláírt szerződést, ill. nyilatkozatot], és ezzel párhuzamosan elérhetővé teszi a csatlakozás előtti ellenőrzéskor [[HREFChecklist|átnézendő dokumentumokat]]. Különösen fontos, hogy megadja az azonosítható felhasználók számát és elérhetővé tegye az adatkezelési szabályzatát.
# A Föderációs Operátor elkészíti a Tag számára a szükséges HEXAA jogosultságokat
# A Föderációs Operátor elvégzi az előzetes ellenőrzést (a különálló és benyújtandó dokumentumokat és a Resource Registry-be felvitt adatokat), majd ennek eredményértől tájékoztatja a [[HREFGlossary#Tagok_Tan.C3.A1csa|Tagok Tanácsát]]
# Tagok Tanácsa dönt a csatlakozni kívánó tag/partner kérelméről
# A Föderációs Operátor - pozitív TT döntés esetén - aláírva visszaküldi a szerződést, és beteszi a föderációs éles [[HREFGlossary#Metaadatok|metaadatba]] az új entitást. Negatív válasz esetén a hiányosságok ismertetése mellett lehetőséget biztosít azok a pótlására, javítására.

'''Azonosító szervezet (IdP) felvétele a föderációba'''
# A Föderációs Operátor az intézményi adminisztrátorral egyeztetve rögzíti a [[Resource_Registry#IdP_regisztr.C3.A1ci.C3.B3|Resource Registry]]-be az IdP adatait. Egyúttal a Föderációs Operátor az IdP-t hozzáadja a föderációs tesztmetaadathoz, ezáltal az intézményi adminisztrátor, amennyiben helyesen konfigurálta az IdP-t, be fog tudni lépni a Resource Registrybe.
# A Tagok Tanácsa dönt az IdP felvételi kérelméről. Pozitív döntés esetén a Föderációs Operátor hozzáadja az éles föderációs metaadathoz az IdP-t.

'''Intézményi (tagi) szolgáltatás (SP) felvétele a föderációba'''
# Egy intézményi adminisztrátor (akinek a HEXAA-ban megfelelő, a Resource Registryhez szükséges intézményi admin joggköre van) a [[Resource_Registry#SP_regisztr.C3.A1ci.C3.B3|Resource Registry]]-ben rögzíti az SP minden szükséges adatát.
# Az SP a föderációs metaadatba a Föderációs Operátor számára történt jelézés után kerülhet. Technikailag a Föderációs Operátor engedélyezi a föderációs metaadatba történő megjelenést.

'''Külső (partner) szolgáltatás (SP) felvétele a föderációba'''
# A Föderációs Operátor a [[Resource_Registry#SP_regisztr.C3.A1ci.C3.B3|Resource Registry]]-ben rögzíti az SP minden szükséges adatát.
# A Tagok Tanácsa pozitív döntése után a Föderációs Operátor engedélyezi az új SP föderációs metaadatba történő megjelenését.
# Az SP-n a későbbiekben szükségessé váló módosításokat a Föderációs Operátor végzi el.

HREFJoin

2015-04-22T04:01:04Z

Sitya(AT)niif.hu:

'''Az eduID föderációhoz való csatlakozás folyamata'''

# A csatlakozni kívánó tag/partner jelzi csatlakozási szándékát a [[HREFGlossary#F.C3.B6der.C3.A1ci.C3.B3s_Oper.C3.A1tor|Föderációs Operátor]] felé.
# Mind jogilag, mind technikailag előkészül a csatlakozáshoz: [[HREFPolicy|Föderációs alapelvek]], [https://docs.google.com/document/d/1XkFqQx9npWVgftAU1b0cRoqiTNrhj9oqEWpMWaIJO6o/edit?hl=en_US Műszaki előírások IdP-k számára], [https://docs.google.com/document/d/1QZWwFqHm4VNyIn6GdKnOzyA0Xdg2uYgwlAkJA1ffpM8/edit?hl=en_US Műszaki előírások SP-k számára].
# Egyeztetés után elküldi az [http://www.eduid.hu/dokumentumok/ aláírt szerződést, ill. nyilatkozatot], és ezzel párhuzamosan elérhetővé teszi a csatlakozás előtti ellenőrzéskor [[HREFChecklist|átnézendő dokumentumokat]].
# A Föderációs Operátor elkészíti a Tag számára a szükséges HEXAA jogosultságokat
# A Föderációs Operátor elvégzi az előzetes ellenőrzést (a különálló és benyújtandó dokumentumokat és a Resource Registry-be felvitt adatokat), majd ennek eredményértől tájékoztatja a [[HREFGlossary#Tagok_Tan.C3.A1csa|Tagok Tanácsát]]
# Tagok Tanácsa dönt a csatlakozni kívánó tag/partner kérelméről
# A Föderációs Operátor - pozitív TT döntés esetén - aláírva visszaküldi a szerződést, és beteszi a föderációs éles [[HREFGlossary#Metaadatok|metaadatba]] az új entitást. Negatív válasz esetén a hiányosságok ismertetése mellett lehetőséget biztosít azok a pótlására, javítására.

'''Azonosító szervezet (IdP) felvétele a föderációba'''
# A Föderációs Operátor az intézményi adminisztrátorral egyeztetve rögzíti a [[Resource_Registry#IdP_regisztr.C3.A1ci.C3.B3|Resource Registry]]-be az IdP adatait. Egyúttal a Föderációs Operátor az IdP-t hozzáadja a föderációs tesztmetaadathoz, ezáltal az intézményi adminisztrátor, amennyiben helyesen konfigurálta az IdP-t, be fog tudni lépni a Resource Registrybe.
# A Tagok Tanácsa dönt az IdP felvételi kérelméről. Pozitív döntés esetén a Föderációs Operátor hozzáadja az éles föderációs metaadathoz az IdP-t.

'''Intézményi (tagi) szolgáltatás (SP) felvétele a föderációba'''
# Egy intézményi adminisztrátor (akinek a HEXAA-ban megfelelő, a Resource Registryhez szükséges intézményi admin joggköre van) a [[Resource_Registry#SP_regisztr.C3.A1ci.C3.B3|Resource Registry]]-ben rögzíti az SP minden szükséges adatát.
# Az SP a föderációs metaadatba a Föderációs Operátor számára történt jelézés után kerülhet. Technikailag a Föderációs Operátor engedélyezi a föderációs metaadatba történő megjelenést.

'''Külső (partner) szolgáltatás (SP) felvétele a föderációba'''
# A Föderációs Operátor a [[Resource_Registry#SP_regisztr.C3.A1ci.C3.B3|Resource Registry]]-ben rögzíti az SP minden szükséges adatát.
# A Tagok Tanácsa pozitív döntése után a Föderációs Operátor engedélyezi az új SP föderációs metaadatba történő megjelenését.
# Az SP-n a későbbiekben szükségessé váló módosításokat a Föderációs Operátor végzi el.

SimpleSAMLphp

2014-12-04T12:47:14Z

Sitya(AT)niif.hu: /* Metadata beállítása (IdP és SP is) */

Az alábbi lapon megkíséreljük összefoglalni a legfontosabb lépéseket, melyek általános esetben elegendőek ahhoz, hogy működő SimpleSAMLphp(SSP) alkalmazást állítsunk üzembe.

==Telepítés==
===Előkészületek===
Ahhoz, hogy problémamentesen telepíthessük SSP alkalmazásunkat, az alábbi szoftverkomponenseknek kell működniük szerverünkön.
* PHP futtatására alkalmas webszerver
* PHP környezet (legalább 5.2.0 verzió)
* A következő PHP kiterjesztéseket engedélyezni kell
** <code>date</code>, <code>dom</code>, <code>hash</code>, <code>libxml</code>, <code>openssl</code>, <code>pcre</code>, <code>SPL</code>, <code>zlib</code>
** LDAP-ból történő autentikáció esetén: <code>ldap</code>
** Adatbázisból történő autentikáció esetén a megfelelő adatbázis-csatolót <code>mysql</code>, <code>pgsql</code>
** RADIUS szerveren keresztül történő autentikáció esetén: <code>radius</code>
** Assertion-ök titkosítása esetén: <code>mcrypt</code>
** Memcache használata esetén: <code>memcache</code>

===Letöltés===
A legfrissebb változat letölthető [http://code.google.com/p/simplesamlphp/ http://code.google.com/p/simplesamlphp/] címről

cd /var
tar xzf simplesamlphp-1.x.y.tar.gz
mv simplesamlphp-1.x.y simplesamlphp

Alapértelmezés szerint a <code>/var/simplesamlphp</code> alatt szeretne majd működni, ez természetesen változtatható, de most maradunk az eredeti beállításoknál.

===Apache konfigurálás===

A webről csak a <code>/var/simplesamlphp/www</code> könyvtárat kell elérni.

Alias /simplesaml /var/simplesamlphp/www

===Alapbeállítások===
Mielőtt aktiváljuk valamelyik főszolgáltatását (IdP,SP...) a telepített alkalmazásnak, néhány beállítást meg kell adnunk a konfigurációs fájlban <code>config/config.php</code>.
* '''Az "admin" felhasználó jelszavát, mellyel webes felületen keresztül be tud lépni a települő SSP-be.'''
'auth.adminpassword' => 'ujjelszotirdide',
* '''Titkosítási feladatokhoz szükséges "salt", azaz véletlenszerűen összeálló karaktersorozat'''
'secretsalt' => 'randombytesinsertedhere',
A karaktersorozat előállításában segíthet az alábbi parancs:
tr -c -d '0123456789abcdefghijklmnopqrstuvwxyz' </dev/urandom | dd bs=32 count=1 2>/dev/null;echo
* '''Elérhetőségeket, amely adatok bekerülnek majd a generált metaadatba'''
'technicalcontact_name' => 'Gipsz Jakab',
'technicalcontact_email' => 'jakab.gipsz@example.org',
* '''Nyelv és időzóna adatok'''
'language.default' => 'hu',
'timezone' => 'Europe/Budapest',

===Telepítés kész===
Amennyiben elkészültünk a fenti lépésekkel, úgy a [https://service.example.org/simplesaml/ https://service.example.org/simplesaml/] címen elérjük a telepített SSP-nk webes adminfelületét, ahol megejthetjük a további beállítások nagy részét.

==IdP beállítás==
===IdP funkció engedélyezése===
A <code>config/config.php</code> fájlt kell szerkesztenünk, s engedélyezni a saml20 idp lehetőséget.
'enable.saml20-idp' => true,
===Autentikáció LDAP alapon===
Meg kell adni, hogy az IdP milyen módon azonosítsa a felhasználót, amennyiben alapértelmezés szerint nem engedélyezett modult szeretnénk használni, úgy a megfelelő modult a <code>modules</code> könyvtár alatt engedélyezni kell. Az alábbi példában az LDAP alapú azonosítást mutatjuk be, amely külön modult nem igényel, alapértelmezés szerint része a telepített alkalmazásnak.

Ahhoz, hogy megadhassuk az LDAP-hoz tartozó beállításokat, a <code>config/authsources.php</code> fájlt kell szerkesztenünk. Az alábbi kódrészletet elegendő beszúrni, és az egyes változóknak a helyi LDAP-nak megfelelő adatokat értékül adni.
'example-ldap' => array(
'ldap:LDAP',

/* The hostname of the LDAP server. */
'hostname' => 'ldap.example.org',

/* Whether SSL/TLS should be used when contacting the LDAP server. */
'enable_tls' => FALSE,

/*
* Which attributes should be retrieved from the LDAP server.
* This can be an array of attribute names, or NULL, in which case
* all attributes are fetched.
*/
'attributes' => NULL,

/*
* The pattern which should be used to create the users DN given the username.
* %username% in this pattern will be replaced with the users username.
*
* This option is not used if the search.enable option is set to TRUE.
*/
'dnpattern' => 'uid=%username%,ou=people,dc=example,dc=org',

/*
* As an alternative to specifying a pattern for the users DN, it is possible to
* search for the username in a set of attributes. This is enabled by this option.
*/
'search.enable' => FALSE,

/*
* The DN which will be used as a base for the search.
* This can be a single string, in which case only that DN is searched, or an
* array of strings, in which case they will be searched in the order given.
*/
'search.base' => 'ou=people,dc=example,dc=org',

/*
* The attribute(s) the username should match against.
*
* This is an array with one or more attribute names. Any of the attributes in
* the array may match the value the username.
*/
'search.attributes' => array('uid', 'mail'),

/*
* The username & password the simpleSAMLphp should bind to before searching. If
* this is left as NULL, no bind will be performed before searching.
*/
'search.username' => NULL,
'search.password' => NULL,
),

===Metaadat alapok===
A beállítandó IdP alapvető paraméterei a <code>metadata/saml20-idp-hosted.php</code> fájlban állíthatók. Az alábbi kódrészlet egy minimális, de már működő példát mutat.

$metadata['__DYNAMIC:1__'] = array(
/*
* The hostname for this IdP. This makes it possible to run multiple
* IdPs from the same configuration. '__DEFAULT__' means that this one
* should be used by default.
*/
'host' => '__DEFAULT__',

/*
* The private key and certificate to use when signing responses.
* These are stored in the cert-directory.
*/
'privatekey' => 'idp.example.org.key',
'certificate' => 'idp.example.org.crt',

/*
* The authentication source which should be used to authenticate the
* user. This must match one of the entries in config/authsources.php.
*/
'auth' => 'example-ldap',
);

Teszteléshez is érdemes, éles használathoz pedig elengedhetetlen, hogy a csomagban érkezett tanúsítványt felülírjuk, ezt célszerű mihamarabb megtenni. Ehhez az alábbi parancs lehet segítségünkre.
openssl req -new -x509 -days 3652 -nodes -out idp.example.org.crt -keyout idp.example.org.key
A fingerprint az alábbi módon kérdezhető le a legegyszerűbben
openssl x509 -fingerprint -noout -in idp.example.org.crt

Megfelelő beállítások után a dinamikusan generált metadata a <code>/saml2/idp/metadata.php</code> útvonalon érhető el.

===Tesztelés===
Legegyszerűbben a telepített SSP felületén tudjuk ellenőrizni, hogy a beállított autentikációs forrás működik-e. A felületen az Authentication fül alatt található egy 'Test authentication sources' link, amelyre kattintva látható minden beállított autentikációs forrás is, így a két alapértelmezett, teszt célokat szolgáló alatt a most beállított example-ldap névre hallgatónak is meg kell jelenni. (A közvetlen url erre az oldalra: simplesaml/module.php/core/authenticate.php) Ez utóbbira kattintva a beállított LDAP-ból autentikálva be kell tudnunk jelentkeznünk; siker esetén az LDAP-ból kinyerhető attribútumokat láthatjuk.

==SP beállítás==
===Alapadatok===
A telepített alkalmazásunk által kezelt SP-ket a <code>config/authsources.php</code> fájlban tudjuk beállítani.

'default-sp' => array(
'saml:SP',

// The entity ID of this SP.
// Can be NULL/unset, in which case an entity ID is generated based on the metadata URL.
'entityID' => NULL,

// The entity ID of the IdP this should SP should contact.
// Can be NULL/unset, in which case the user will be shown a list of available IdPs.
'idp' => NULL,

// The URL to the discovery service.
// Can be NULL/unset, in which case a builtin discovery service will be used.
'discoURL' => NULL,

'privatekey' => 'saml.pem',
'certificate' => 'saml.crt',

),

A fenti beállítások alapján az SP entityID-ja megegyezik a metadata elérési útvonalával (szokásos megoldás SSP-nél), nem adunk meg alapértelmezett idp-t, ezáltal az SSP választási lehetőséget kínál fel számunkra, mikor az SP-re szeretnénk bejelentkezni, ill. most még Discovery Service URL-t sem adunk meg, hanem a beépítettet használjuk. Ez utóbbit majd a HREF-be történő integrációkor meg kell változtatni - lásd lejjebb.

Az IdP beállításához hasonlóan itt is szükség lesz egy tanúsítvány generálására a <code>cert</code> könyvtárba. Ehhez segítség lehet az alábbi parancs.

openssl req -new -x509 -days 3652 -nodes -out saml.crt -keyout saml.pem

===Tesztelés===
Amennyiben IdP is beállításra került, úgy a legcélszerűbb ezt összehangolni az SP-vel. Ehhez egyfelől a <code>metadata/saml20-idp-remote.php</code> fájlban meg kell adni az IdP adatait, amely esetünkben az alábbiak szerint fest.

$metadata['https://example.org/simplesaml/saml2/idp/metadata.php'] = array(
'name' => array(
'en' => 'TestSP'
),
'SingleSignOnService' => 'https://example.org/simplesaml/saml2/idp/SSOService.php',
'SingleLogoutService' => 'https://example.org/simplesaml/saml2/idp/SingleLogoutService.php',
'certFingerprint' => 'afe71c28ef740bc87425be13a2263d37971da1f9'
);

Ehhez hasonlóan a <code>metadata/saml20-sp-remote.php</code> fájlban meg kell adnunk az SP adatait. Teszteléshez az alábbiak elegendők:

$metadata['https://example.org/simplesaml/module.php/saml/sp/metadata.php/default-sp'] = array (
'AssertionConsumerService' => 'https://example.org/simplesaml/module.php/saml/sp/saml2-acs.php/default-sp',
'SingleLogoutService' => 'https://example.org/simplesaml/module.php/saml/sp/saml2-logout.php/default-sp',
);

Ezek után az IdP tesztelésénél már említett oldalon a default-sp opciót kiválasztva, majd a legördülő menüben a TestSP-re kattintva be kell tudnunk jelentkezni az IdP-n keresztül. Ha működik, akkor az alapvető lépsekkel kész vagyunk, van egy működő SP-nk és egy működő IdP-nk.

==HREF-integráció==

===Metadata beállítása (IdP és SP is)===
* Az SSP-nél be kell állítani metaadat forrásként a központi metaadatot
:*Első lépésként engedélyezzük, hogy az SSP automatikusan frissíthesse a metaadatot, ill. az ezt elvégző két modult
touch modules/metarefresh/enable
cp modules/metarefresh/config-templates/*.php config/
touch modules/cron/enable
cp modules/cron/config-templates/*.php config/

:*Létrehozunk egy könyvtárat, ahová letöltésre kerül az központi metaadat XML fájlja
mkdir metadata/metarefresh-href
chmod g+rw metadata/metarefresh-href

{{ATTENTION|Ahhoz, hogy az automatikus metadata frissítés gond nélkül működjön, legalább 1.13.2-es verziójú simpleSAMLphp kell, vagy korábbi változatokon frissíteni kell a <code>/path/to/simplesamlphp/lib/xmlseclibs.php</code> fájlt [http://goo.gl/ilRHkV erre a fájlra]! Bővebb információ ehhez kapcsolódóan [http://simplesamlphp.org/metaprocessing erre.]}}

:*Ezek után be kell állítani a metaadat kokrét adatait a <code>config/config-metarefresh.php</code> fájlban
$config = array(
'sets' => array(
'hu' => array(
'cron' => array('hourly'),
'sources' => array(
array(
'src' => 'http://metadata.eduid.hu/2011/href.xml',
'validateFingerprint' => 'FE:AE:0B:E8:FB:59:ED:F7:CB:7F:69:DF:19:4F:8B:6D:C7:F6:96:66',
'template' => array(
'authproc' => array(
51 => array('class' => 'core:AttributeMap', 'oid2name'),
),
),
),
),
'expireAfter' => 60*60*24*4, // Maximum 4 days cache time.
'outputDir' => 'metadata/metarefresh-href/',
'outputFormat' => 'flatfile',
),
),
);
:*Be kell állítani, hogy az SSP az automata által generált fájlokból dolgozzon. Ehhez a <code>config/config.php</code> fájlban keressük ki a <code>metadata.source</code> szakaszt, és az alábbiak szerint szerkesszük át. Amennyiben nem csak a központi metaadatból szeretnénk dolgozni, úgy további sorokat is megadhatunk itt bemutatott mintájára.
'metadata.sources' => array(
array('type' => 'flatfile'), // IdP esetén kell, itt van az önmagát leíró metadata
array('type' => 'flatfile', 'directory' => 'metadata/metarefresh-href'),
),

:*Végül le kell futtatni kézzel a cronjobot, amelyet az SSP webes felületén tudunk megtenni a Configuration fül alatt, a Cron module information page menüpontban. Ekkor létrejönnek a fájlok (majd óránként frissülnek is, ha beállítjuk cronjobként).

===IdP===
Amennyiben van SSP alapú IdP-nk, melyet szeretnénk a föderáció részévé tenni, úgy a teendők a következők.
* (A jelenleg is formálódó adminisztratív teendőktől itt most eltekintünk)
* Kell küldeni egy levelet a [mailto:aai@niif.hu aai@niif.hu] címre, benne néhány mondat mellett az IdP metaadatának URL-jével (https://example.org/simplesamlphp/saml2/idp/metadata.php)
* Ha minden rendben megy, akkor az IdP bekerül a [[Resource_Registry]]-be, ezáltal a föderációs metaadatba is.
* Az előző pontban leírt módon be kell állítani a központi metadata feldolgozását.
* Amennyiben a föderációs metaadatban már szerepel a mi IdP-nk is, úgy a föderáció valamelyik, tesztelési célokat szolgáló SP-jénél ki is próbálhatjuk a bejelentkezést.

:'''Fontos''', hogy a föderációs Discovery Service óránként generálja újra az IdP-k listáját, így ennyi idő mindenképp szükséges, hogy az új IdP megjelenjen itt, az egyes SP-k pedig két óránként töltik újra a metaadatot, így előfordulhat, hogy azonnal nem fog minden működni, de egy-két óra alatt várhatóan beindul. :)

:Tesztelésre használható oldal: [https://wiki.aai.niif.hu/shibtest.php https://wiki.aai.niif.hu/shibtest.php]

* Ahhoz, hogy a Resource Registry-be is be tudjunk lépni és az IdP további, a föderációra vonatkozó beállításait meg tudjuk ejteni, ehhez az IdP-nek ki kell adnia az alábbi attribútumokat:
** [[HREFAttributeSpec#mail|mail]] - ez belépés után, manuálisan is beállítható
** [[HREFAttributeSpec#eduPersonPrincipalName|eduPersonPrincipalName]]
** [[HREFAttributeSpec#schacHomeOrganizationType|schacHomeOrganizationType]]
** [[HREFAttributeSpec#eduScopedAffiliation|eduPersonScopedAffiliation]]

====Attribútumok kezelése====
Beállított IdP-nk alapértelmezés szerint azokat az attribútumokat adja ki, melyeket a metaadat alapján az SP kért (Lásd a metadatában a RequestedAttribute elemeket), és egyúttal alapból meg tudta szerezni a felhasználói adatbázisból, esetünkben az LDAP-ból. Mivel néhány attribútum nem szerepel az LDAP-ban, hanem az IdP-ben kell előállítani, így pár helyen módosítanunk kell az alapértelmezett konfiguráción.

:1. Az <code>attributemap/name2oid.php</code> fájlba az 's'-betűhöz szúrjuk be az alábbi sort:
'schacHomeOrganizationType' => 'urn:oid:1.3.6.1.4.1.25178.1.2.10',
:2. A <code>metadata/saml20-idp-hosted.php</code> fájlba szerkesszük be az alábbi kódrészlet értelemszerűen módosított változatát. Az <code>'auth' => 'example-ldap',</code> sor alatt kezdjük. Fontos, hogy egyúttal a config.php <code>authproc.idp</code> részét kikommentezzük, nehogy az ottani sorszámokkal megadott default feladatok bekavarjanak.

'AttributeNameFormat' => 'urn:oasis:names:tc:SAML:2.0:attrname-format:uri',
'userid.attribute' => 'uid', // Itt adjuk meg, hogy mely, az LDAPból származó attribútum alapján fogja az IdP kiszámítani az eduPersonTargetedID-t
'authproc' => array(
10 => array(
'class' => 'core:AttributeMap',
'uid' => 'eduPersonPrincipalName'
//Itt az 'uid' az az attribútum az LDAP-ban, amely a felhasználó azonosítóját tartalmazza, mert ebből képezzük az eduPersonPrincipalName-t.
),
20 => array(
'class' => 'core:AttributeAdd',
'schacHomeOrganizationType' => array('urn:schac:homeOrganizationType:hu:university')
//Kötelező statikus attribútum az [[HREFAttributeSpec#schacHomeOrganizationType|intézmény jellegének]] megfelelően
),
30 => array(
'class' => 'core:AttributeAlter',
'subject' => 'eduPersonPrincipalName',
'pattern' => '/^.*$/',
'replacement' => '${0}@intezmenydomain.hu',
// Itt adjuk hozzá az intézményi scope-ot az eduPersonPrincipalName már meglévő értékéhez
),
40 => array(
'class' => 'core:AttributeAlter',
'subject' => 'eduPersonAffiliation',
'pattern' => '/^.*$/',
'replacement' => '${0}@intezmenydomain.hu',
// Itt adjuk hozzá az intézményi scope-ot az eduPersonAffiliation már meglévő értékéhez
),
50 => array(
'class' => 'core:AttributeMap',
'eduPersonAffiliation' => 'eduPersonScopedAffiliation'
// Az LDAP-ból eduPersonAffiliation-ként érkező attribútumból föderációs elvárásoknak megfelelően eduPersonScopedAffiliationt készítünk
),
60 => array(
'class' => 'core:AttributeAdd',
'eduPersonScopedAffiliation' => array('member@intezmenydomain.hu')
// Az eduPersonScopedAffiliation-ben tesztelés céljából kiadhatjuk member értéket, így ha LDAP-ból nem jön érték, akkor is láthatjuk, hogy működik az attribútum kiadás
),
61 => array(
'class' => 'core:TargetedID',
'nameId' => TRUE,
),
// Itt állítjuk be, hogy az IdP előállítson és kiadhasson állandóazonosítóként eduPersonTargetedID-t, ha kérik
70 => array('class' => 'core:AttributeMap',
'name2oid'
// Az LDAP-os attribútum nevekből itt kreálunk szabványos urn:oid formátumúakat
),
80 => 'core:AttributeLimit',
), // .authproc
'simplesaml.nameidattribute' => 'eduPersonPrincipalName',
'attributeencodings' => array(
'urn:oid:1.3.6.1.4.1.5923.1.1.1.10' => 'raw',
),
'sign.logout' => true

: További tudnivalók a [[Resource_Registry|Resource Registry-ről]], ill. a [[HREFAttributeSpec|Föderációs attribútum specifikációról]].

* Ha minden rendben ment, akkor a Resource Registry-ben regisztrált IdP-hez tartozó adminisztrációs jogok átkerülnek az IdP technikai gazdájához, s ezzel a folyamat kész is.

===SP===
Amennyiben IdP-t is beállítottunk, és be is tudunk lépni a Resource Registry-be, úgy nincs más dolgunk, mint az RR-ben új SP-t hozzáadni a föderációhoz, amely a megfelelő átfutási idő után a föderáció minden tagjánál látható is lesz.

Ellenkező esetben (nincs IdP, és nem is tervezünk beállítani), akkor az IdP hozzáadásánál részletezett pontokon kell végig menni a metaadat betöltéséig, s a továbbiakat az említett e-mail címen megbeszélni.

====Attribútum scopeok használata====
A HREF föderáció IdP-i ún. scopeolt attribútumokat is használnak. Ez a scopeolás azt jelenti, hogy minden egyes IdP csak a saját scopejában ad ki attribútumokat, és a Shibboleth SP-k ezt ellenőrzik is. A scope és az attribútum valódi értéke egy '@' karakterrel kerül elválasztásra (ilyen attribútumok jelenleg: [[HREFAttributeSpec#eduPersonAffiliation|eduPersonScopedAffiliation]] illetve [[HREFAttributeSpec#eduPersonPrincipalName|eduPersonPrincipalName]]).

A SimpleSAMLphp alapértelmezett telepítése nem szűri a hibásan scopeolt értékeket. Kiegészítő modulként szűrésre használható az NIIF által fejlesztett [https://repo.niif.hu/gitweb/gitweb.cgi?p=simplesamlphp-attributescope.git;a=summary attributescope modul], ami reményeink szerint rövid távon a hivatalos SimpleSAMLphp kiadás része lehet.

: Az <code>attributescope</code> modul használata esetén a következőképp kell módosítani a <code>config/config-metarefresh.php</code> fájlt:

'template' => array(
'authproc' => array(
51 => array('class' => 'core:AttributeMap', 'oid2name'),
55 => array('class' => 'attributescope:FilterAttributes'),
),
'scopedattributes' => array('eduPersonScopedAffiliation', 'eduPersonPrincipalName'),
),

[[Category: AAI]] [[Category: simpleSAMLphp]] [[Category: HOWTO]]

SimpleSAMLphp

2014-08-08T07:34:10Z

Sitya(AT)niif.hu: /* Metadata beállítása (IdP és SP is) */

Az alábbi lapon megkíséreljük összefoglalni a legfontosabb lépéseket, melyek általános esetben elegendőek ahhoz, hogy működő SimpleSAMLphp(SSP) alkalmazást állítsunk üzembe.

==Telepítés==
===Előkészületek===
Ahhoz, hogy problémamentesen telepíthessük SSP alkalmazásunkat, az alábbi szoftverkomponenseknek kell működniük szerverünkön.
* PHP futtatására alkalmas webszerver
* PHP környezet (legalább 5.2.0 verzió)
* A következő PHP kiterjesztéseket engedélyezni kell
** <code>date</code>, <code>dom</code>, <code>hash</code>, <code>libxml</code>, <code>openssl</code>, <code>pcre</code>, <code>SPL</code>, <code>zlib</code>
** LDAP-ból történő autentikáció esetén: <code>ldap</code>
** Adatbázisból történő autentikáció esetén a megfelelő adatbázis-csatolót <code>mysql</code>, <code>pgsql</code>
** RADIUS szerveren keresztül történő autentikáció esetén: <code>radius</code>
** Assertion-ök titkosítása esetén: <code>mcrypt</code>
** Memcache használata esetén: <code>memcache</code>

===Letöltés===
A legfrissebb változat letölthető [http://code.google.com/p/simplesamlphp/ http://code.google.com/p/simplesamlphp/] címről

cd /var
tar xzf simplesamlphp-1.x.y.tar.gz
mv simplesamlphp-1.x.y simplesamlphp

Alapértelmezés szerint a <code>/var/simplesamlphp</code> alatt szeretne majd működni, ez természetesen változtatható, de most maradunk az eredeti beállításoknál.

===Apache konfigurálás===

A webről csak a <code>/var/simplesamlphp/www</code> könyvtárat kell elérni.

Alias /simplesaml /var/simplesamlphp/www

===Alapbeállítások===
Mielőtt aktiváljuk valamelyik főszolgáltatását (IdP,SP...) a telepített alkalmazásnak, néhány beállítást meg kell adnunk a konfigurációs fájlban <code>config/config.php</code>.
* '''Az "admin" felhasználó jelszavát, mellyel webes felületen keresztül be tud lépni a települő SSP-be.'''
'auth.adminpassword' => 'ujjelszotirdide',
* '''Titkosítási feladatokhoz szükséges "salt", azaz véletlenszerűen összeálló karaktersorozat'''
'secretsalt' => 'randombytesinsertedhere',
A karaktersorozat előállításában segíthet az alábbi parancs:
tr -c -d '0123456789abcdefghijklmnopqrstuvwxyz' </dev/urandom | dd bs=32 count=1 2>/dev/null;echo
* '''Elérhetőségeket, amely adatok bekerülnek majd a generált metaadatba'''
'technicalcontact_name' => 'Gipsz Jakab',
'technicalcontact_email' => 'jakab.gipsz@example.org',
* '''Nyelv és időzóna adatok'''
'language.default' => 'hu',
'timezone' => 'Europe/Budapest',

===Telepítés kész===
Amennyiben elkészültünk a fenti lépésekkel, úgy a [https://service.example.org/simplesaml/ https://service.example.org/simplesaml/] címen elérjük a telepített SSP-nk webes adminfelületét, ahol megejthetjük a további beállítások nagy részét.

==IdP beállítás==
===IdP funkció engedélyezése===
A <code>config/config.php</code> fájlt kell szerkesztenünk, s engedélyezni a saml20 idp lehetőséget.
'enable.saml20-idp' => true,
===Autentikáció LDAP alapon===
Meg kell adni, hogy az IdP milyen módon azonosítsa a felhasználót, amennyiben alapértelmezés szerint nem engedélyezett modult szeretnénk használni, úgy a megfelelő modult a <code>modules</code> könyvtár alatt engedélyezni kell. Az alábbi példában az LDAP alapú azonosítást mutatjuk be, amely külön modult nem igényel, alapértelmezés szerint része a telepített alkalmazásnak.

Ahhoz, hogy megadhassuk az LDAP-hoz tartozó beállításokat, a <code>config/authsources.php</code> fájlt kell szerkesztenünk. Az alábbi kódrészletet elegendő beszúrni, és az egyes változóknak a helyi LDAP-nak megfelelő adatokat értékül adni.
'example-ldap' => array(
'ldap:LDAP',

/* The hostname of the LDAP server. */
'hostname' => 'ldap.example.org',

/* Whether SSL/TLS should be used when contacting the LDAP server. */
'enable_tls' => FALSE,

/*
* Which attributes should be retrieved from the LDAP server.
* This can be an array of attribute names, or NULL, in which case
* all attributes are fetched.
*/
'attributes' => NULL,

/*
* The pattern which should be used to create the users DN given the username.
* %username% in this pattern will be replaced with the users username.
*
* This option is not used if the search.enable option is set to TRUE.
*/
'dnpattern' => 'uid=%username%,ou=people,dc=example,dc=org',

/*
* As an alternative to specifying a pattern for the users DN, it is possible to
* search for the username in a set of attributes. This is enabled by this option.
*/
'search.enable' => FALSE,

/*
* The DN which will be used as a base for the search.
* This can be a single string, in which case only that DN is searched, or an
* array of strings, in which case they will be searched in the order given.
*/
'search.base' => 'ou=people,dc=example,dc=org',

/*
* The attribute(s) the username should match against.
*
* This is an array with one or more attribute names. Any of the attributes in
* the array may match the value the username.
*/
'search.attributes' => array('uid', 'mail'),

/*
* The username & password the simpleSAMLphp should bind to before searching. If
* this is left as NULL, no bind will be performed before searching.
*/
'search.username' => NULL,
'search.password' => NULL,
),

===Metaadat alapok===
A beállítandó IdP alapvető paraméterei a <code>metadata/saml20-idp-hosted.php</code> fájlban állíthatók. Az alábbi kódrészlet egy minimális, de már működő példát mutat.

$metadata['__DYNAMIC:1__'] = array(
/*
* The hostname for this IdP. This makes it possible to run multiple
* IdPs from the same configuration. '__DEFAULT__' means that this one
* should be used by default.
*/
'host' => '__DEFAULT__',

/*
* The private key and certificate to use when signing responses.
* These are stored in the cert-directory.
*/
'privatekey' => 'idp.example.org.key',
'certificate' => 'idp.example.org.crt',

/*
* The authentication source which should be used to authenticate the
* user. This must match one of the entries in config/authsources.php.
*/
'auth' => 'example-ldap',
);

Teszteléshez is érdemes, éles használathoz pedig elengedhetetlen, hogy a csomagban érkezett tanúsítványt felülírjuk, ezt célszerű mihamarabb megtenni. Ehhez az alábbi parancs lehet segítségünkre.
openssl req -new -x509 -days 3652 -nodes -out idp.example.org.crt -keyout idp.example.org.key
A fingerprint az alábbi módon kérdezhető le a legegyszerűbben
openssl x509 -fingerprint -noout -in idp.example.org.crt

Megfelelő beállítások után a dinamikusan generált metadata a <code>/saml2/idp/metadata.php</code> útvonalon érhető el.

===Tesztelés===
Legegyszerűbben a telepített SSP felületén tudjuk ellenőrizni, hogy a beállított autentikációs forrás működik-e. A felületen az Authentication fül alatt található egy 'Test authentication sources' link, amelyre kattintva látható minden beállított autentikációs forrás is, így a két alapértelmezett, teszt célokat szolgáló alatt a most beállított example-ldap névre hallgatónak is meg kell jelenni. (A közvetlen url erre az oldalra: simplesaml/module.php/core/authenticate.php) Ez utóbbira kattintva a beállított LDAP-ból autentikálva be kell tudnunk jelentkeznünk; siker esetén az LDAP-ból kinyerhető attribútumokat láthatjuk.

==SP beállítás==
===Alapadatok===
A telepített alkalmazásunk által kezelt SP-ket a <code>config/authsources.php</code> fájlban tudjuk beállítani.

'default-sp' => array(
'saml:SP',

// The entity ID of this SP.
// Can be NULL/unset, in which case an entity ID is generated based on the metadata URL.
'entityID' => NULL,

// The entity ID of the IdP this should SP should contact.
// Can be NULL/unset, in which case the user will be shown a list of available IdPs.
'idp' => NULL,

// The URL to the discovery service.
// Can be NULL/unset, in which case a builtin discovery service will be used.
'discoURL' => NULL,

'privatekey' => 'saml.pem',
'certificate' => 'saml.crt',

),

A fenti beállítások alapján az SP entityID-ja megegyezik a metadata elérési útvonalával (szokásos megoldás SSP-nél), nem adunk meg alapértelmezett idp-t, ezáltal az SSP választási lehetőséget kínál fel számunkra, mikor az SP-re szeretnénk bejelentkezni, ill. most még Discovery Service URL-t sem adunk meg, hanem a beépítettet használjuk. Ez utóbbit majd a HREF-be történő integrációkor meg kell változtatni - lásd lejjebb.

Az IdP beállításához hasonlóan itt is szükség lesz egy tanúsítvány generálására a <code>cert</code> könyvtárba. Ehhez segítség lehet az alábbi parancs.

openssl req -new -x509 -days 3652 -nodes -out saml.crt -keyout saml.pem

===Tesztelés===
Amennyiben IdP is beállításra került, úgy a legcélszerűbb ezt összehangolni az SP-vel. Ehhez egyfelől a <code>metadata/saml20-idp-remote.php</code> fájlban meg kell adni az IdP adatait, amely esetünkben az alábbiak szerint fest.

$metadata['https://example.org/simplesaml/saml2/idp/metadata.php'] = array(
'name' => array(
'en' => 'TestSP'
),
'SingleSignOnService' => 'https://example.org/simplesaml/saml2/idp/SSOService.php',
'SingleLogoutService' => 'https://example.org/simplesaml/saml2/idp/SingleLogoutService.php',
'certFingerprint' => 'afe71c28ef740bc87425be13a2263d37971da1f9'
);

Ehhez hasonlóan a <code>metadata/saml20-sp-remote.php</code> fájlban meg kell adnunk az SP adatait. Teszteléshez az alábbiak elegendők:

$metadata['https://example.org/simplesaml/module.php/saml/sp/metadata.php/default-sp'] = array (
'AssertionConsumerService' => 'https://example.org/simplesaml/module.php/saml/sp/saml2-acs.php/default-sp',
'SingleLogoutService' => 'https://example.org/simplesaml/module.php/saml/sp/saml2-logout.php/default-sp',
);

Ezek után az IdP tesztelésénél már említett oldalon a default-sp opciót kiválasztva, majd a legördülő menüben a TestSP-re kattintva be kell tudnunk jelentkezni az IdP-n keresztül. Ha működik, akkor az alapvető lépsekkel kész vagyunk, van egy működő SP-nk és egy működő IdP-nk.

==HREF-integráció==

===Metadata beállítása (IdP és SP is)===
* Az SSP-nél be kell állítani metaadat forrásként a központi metaadatot
:*Első lépésként engedélyezzük, hogy az SSP automatikusan frissíthesse a metaadatot, ill. az ezt elvégző két modult
touch modules/metarefresh/enable
cp modules/metarefresh/config-templates/*.php config/
touch modules/cron/enable
cp modules/cron/config-templates/*.php config/

:*Létrehozunk egy könyvtárat, ahová letöltésre kerül az központi metaadat XML fájlja
mkdir metadata/metarefresh-href
chmod g+rw metadata/metarefresh-href
:*Ezek után be kell állítani a metaadat kokrét adatait a <code>config/config-metarefresh.php</code> fájlban
$config = array(
'sets' => array(
'hu' => array(
'cron' => array('hourly'),
'sources' => array(
array(
'src' => 'http://metadata.eduid.hu/2011/href.xml',
'validateFingerprint' => 'FE:AE:0B:E8:FB:59:ED:F7:CB:7F:69:DF:19:4F:8B:6D:C7:F6:96:66',
'template' => array(
'authproc' => array(
51 => array('class' => 'core:AttributeMap', 'oid2name'),
),
),
),
),
'expireAfter' => 60*60*24*4, // Maximum 4 days cache time.
'outputDir' => 'metadata/metarefresh-href/',
'outputFormat' => 'flatfile',
),
),
);
:*Be kell állítani, hogy az SSP az automata által generált fájlokból dolgozzon. Ehhez a <code>config/config.php</code> fájlban keressük ki a <code>metadata.source</code> szakaszt, és az alábbiak szerint szerkesszük át. Amennyiben nem csak a központi metaadatból szeretnénk dolgozni, úgy további sorokat is megadhatunk itt bemutatott mintájára.
'metadata.sources' => array(
array('type' => 'flatfile', 'directory' => 'metadata/metarefresh-href'),
),

:*Végül le kell futtatni kézzel a cronjobot, amelyet az SSP webes felületén tudunk megtenni a Configuration fül alatt, a Cron module information page menüpontban. Ekkor létrejönnek a fájlok (majd óránként frissülnek is, ha beállítjuk cronjobként).

==== Metarefresh webszerver nélkül ====
Sajnos a simpleSAMLphp a nagyon nagy metadata állományok webszerveren keresztüli hívással indított feldolgozásában nem jeleskedik, márpedig az eduGAIN nemzetközi konföderáció metaadata óriási, így érdemes a config-metarefresht parancssoros php-ként meghívni, így a webszerveren keresztül történő futtatás várható időtullépését kiegyszerűsíthetjük a képletből. Ehhez vegyünk fel két külön cronjobot. Az egyik letölti a metadata állományt. A másik pedig helyben elvégzi a feldolgozást.

5 * * * * www-data wget -nv -q http://metadata.eduid.hu/current/edugain.xml -O /tmp/hrefsigned_edugain.xml
10 * * * * www-data /var/simplesamlphp/modules/metarefresh/bin/metarefresh.php -o=metadata/metarefresh-edugain /tmp/hrefsigned_edugain.xml

A második parancs feltételezi hogy a simplesamlphp/metadata/metarefresh-edugain könyvtár létezik és a www-data által írható.

===IdP===
Amennyiben van SSP alapú IdP-nk, melyet szeretnénk a föderáció részévé tenni, úgy a teendők a következők.
* (A jelenleg is formálódó adminisztratív teendőktől itt most eltekintünk)
* Kell küldeni egy levelet a [mailto:aai@niif.hu aai@niif.hu] címre, benne néhány mondat mellett az IdP metaadatának URL-jével (https://example.org/simplesamlphp/saml2/idp/metadata.php)
* Ha minden rendben megy, akkor az IdP bekerül a [[Resource_Registry]]-be, ezáltal a föderációs metaadatba is.
* Az előző pontban leírt módon be kell állítani a központi metadata feldolgozását.
* Amennyiben a föderációs metaadatban már szerepel a mi IdP-nk is, úgy a föderáció valamelyik, tesztelési célokat szolgáló SP-jénél ki is próbálhatjuk a bejelentkezést.

:'''Fontos''', hogy a föderációs Discovery Service óránként generálja újra az IdP-k listáját, így ennyi idő mindenképp szükséges, hogy az új IdP megjelenjen itt, az egyes SP-k pedig két óránként töltik újra a metaadatot, így előfordulhat, hogy azonnal nem fog minden működni, de egy-két óra alatt várhatóan beindul. :)

:Tesztelésre használható oldal: [https://wiki.aai.niif.hu/shibtest.php https://wiki.aai.niif.hu/shibtest.php]

* Ahhoz, hogy a Resource Registry-be is be tudjunk lépni és az IdP további, a föderációra vonatkozó beállításait meg tudjuk ejteni, ehhez az IdP-nek ki kell adnia az alábbi attribútumokat:
** [[HREFAttributeSpec#mail|mail]] - ez belépés után, manuálisan is beállítható
** [[HREFAttributeSpec#eduPersonPrincipalName|eduPersonPrincipalName]]
** [[HREFAttributeSpec#schacHomeOrganizationType|schacHomeOrganizationType]]
** [[HREFAttributeSpec#eduScopedAffiliation|eduPersonScopedAffiliation]]

====Attribútumok kezelése====
Beállított IdP-nk alapértelmezés szerint azokat az attribútumokat adja ki, melyeket a metaadat alapján az SP kért (Lásd a metadatában a RequestedAttribute elemeket), és egyúttal alapból meg tudta szerezni a felhasználói adatbázisból, esetünkben az LDAP-ból. Mivel néhány attribútum nem szerepel az LDAP-ban, hanem az IdP-ben kell előállítani, így pár helyen módosítanunk kell az alapértelmezett konfiguráción.

:1. Az <code>attributemap/name2oid.php</code> fájlba az 's'-betűhöz szúrjuk be az alábbi sort:
'schacHomeOrganizationType' => 'urn:oid:1.3.6.1.4.1.25178.1.2.10',
:2. A <code>metadata/saml20-idp-hosted.php</code> fájlba szerkesszük be az alábbi kódrészlet értelemszerűen módosított változatát. Az <code>'auth' => 'example-ldap',</code> sor alatt kezdjük. Fontos, hogy egyúttal a config.php <code>authproc.idp</code> részét kikommentezzük, nehogy az ottani sorszámokkal megadott default feladatok bekavarjanak.

'AttributeNameFormat' => 'urn:oasis:names:tc:SAML:2.0:attrname-format:uri',
'userid.attribute' => 'uid', // Itt adjuk meg, hogy mely, az LDAPból származó attribútum alapján fogja az IdP kiszámítani az eduPersonTargetedID-t
'authproc' => array(
10 => array(
'class' => 'core:AttributeMap',
'uid' => 'eduPersonPrincipalName'
//Itt az 'uid' az az attribútum az LDAP-ban, amely a felhasználó azonosítóját tartalmazza, mert ebből képezzük az eduPersonPrincipalName-t.
),
20 => array(
'class' => 'core:AttributeAdd',
'schacHomeOrganizationType' => array('urn:schac:homeOrganizationType:hu:university')
//Kötelező statikus attribútum az [[HREFAttributeSpec#schacHomeOrganizationType|intézmény jellegének]] megfelelően
),
30 => array(
'class' => 'core:AttributeAlter',
'subject' => 'eduPersonPrincipalName',
'pattern' => '/^.*$/',
'replacement' => '${0}@intezmenydomain.hu',
// Itt adjuk hozzá az intézményi scope-ot az eduPersonPrincipalName már meglévő értékéhez
),
40 => array(
'class' => 'core:AttributeAlter',
'subject' => 'eduPersonAffiliation',
'pattern' => '/^.*$/',
'replacement' => '${0}@intezmenydomain.hu',
// Itt adjuk hozzá az intézményi scope-ot az eduPersonAffiliation már meglévő értékéhez
),
50 => array(
'class' => 'core:AttributeMap',
'eduPersonAffiliation' => 'eduPersonScopedAffiliation'
// Az LDAP-ból eduPersonAffiliation-ként érkező attribútumból föderációs elvárásoknak megfelelően eduPersonScopedAffiliationt készítünk
),
60 => array(
'class' => 'core:AttributeAdd',
'eduPersonScopedAffiliation' => array('member@intezmenydomain.hu')
// Az eduPersonScopedAffiliation-ben tesztelés céljából kiadhatjuk member értéket, így ha LDAP-ból nem jön érték, akkor is láthatjuk, hogy működik az attribútum kiadás
),
61 => array(
'class' => 'core:TargetedID',
'nameId' => TRUE,
),
// Itt állítjuk be, hogy az IdP előállítson és kiadhasson állandóazonosítóként eduPersonTargetedID-t, ha kérik
70 => array('class' => 'core:AttributeMap',
'name2oid'
// Az LDAP-os attribútum nevekből itt kreálunk szabványos urn:oid formátumúakat
),
),
'simplesaml.nameidattribute' => 'eduPersonPrincipalName',
'attributeencodings' => array(
'urn:oid:1.3.6.1.4.1.5923.1.1.1.10' => 'raw',
),
'sign.logout' => true

: További tudnivalók a [[Resource_Registry|Resource Registry-ről]], ill. a [[HREFAttributeSpec|Föderációs attribútum specifikációról]].

* Ha minden rendben ment, akkor a Resource Registry-ben regisztrált IdP-hez tartozó adminisztrációs jogok átkerülnek az IdP technikai gazdájához, s ezzel a folyamat kész is.

===SP===
Amennyiben IdP-t is beállítottunk, és be is tudunk lépni a Resource Registry-be, úgy nincs más dolgunk, mint az RR-ben új SP-t hozzáadni a föderációhoz, amely a megfelelő átfutási idő után a föderáció minden tagjánál látható is lesz.

Ellenkező esetben (nincs IdP, és nem is tervezünk beállítani), akkor az IdP hozzáadásánál részletezett pontokon kell végig menni a metaadat betöltéséig, s a továbbiakat az említett e-mail címen megbeszélni.

====Attribútum scopeok használata====
A HREF föderáció IdP-i ún. scopeolt attribútumokat is használnak. Ez a scopeolás azt jelenti, hogy minden egyes IdP csak a saját scopejában ad ki attribútumokat, és a Shibboleth SP-k ezt ellenőrzik is. A scope és az attribútum valódi értéke egy '@' karakterrel kerül elválasztásra (ilyen attribútumok jelenleg: [[HREFAttributeSpec#eduPersonAffiliation|eduPersonScopedAffiliation]] illetve [[HREFAttributeSpec#eduPersonPrincipalName|eduPersonPrincipalName]]).

A SimpleSAMLphp alapértelmezett telepítése nem szűri a hibásan scopeolt értékeket. Kiegészítő modulként szűrésre használható az NIIF által fejlesztett [https://repo.niif.hu/gitweb/gitweb.cgi?p=simplesamlphp-attributescope.git;a=summary attributescope modul], ami reményeink szerint rövid távon a hivatalos SimpleSAMLphp kiadás része lehet.

: Az <code>attributescope</code> modul használata esetén a következőképp kell módosítani a <code>config/config-metarefresh.php</code> fájlt:

'template' => array(
'authproc' => array(
51 => array('class' => 'core:AttributeMap', 'oid2name'),
55 => array('class' => 'attributescope:FilterAttributes'),
),
'scopedattributes' => array('eduPersonScopedAffiliation', 'eduPersonPrincipalName'),
),

[[Category: AAI]] [[Category: simpleSAMLphp]] [[Category: HOWTO]]

SimpleSAMLphp

2014-07-03T07:25:39Z

Sitya(AT)niif.hu: /* Attribútumok kezelése */

Az alábbi lapon megkíséreljük összefoglalni a legfontosabb lépéseket, melyek általános esetben elegendőek ahhoz, hogy működő SimpleSAMLphp(SSP) alkalmazást állítsunk üzembe.

==Telepítés==
===Előkészületek===
Ahhoz, hogy problémamentesen telepíthessük SSP alkalmazásunkat, az alábbi szoftverkomponenseknek kell működniük szerverünkön.
* PHP futtatására alkalmas webszerver
* PHP környezet (legalább 5.2.0 verzió)
* A következő PHP kiterjesztéseket engedélyezni kell
** <code>date</code>, <code>dom</code>, <code>hash</code>, <code>libxml</code>, <code>openssl</code>, <code>pcre</code>, <code>SPL</code>, <code>zlib</code>
** LDAP-ból történő autentikáció esetén: <code>ldap</code>
** Adatbázisból történő autentikáció esetén a megfelelő adatbázis-csatolót <code>mysql</code>, <code>pgsql</code>
** RADIUS szerveren keresztül történő autentikáció esetén: <code>radius</code>
** Assertion-ök titkosítása esetén: <code>mcrypt</code>
** Memcache használata esetén: <code>memcache</code>

===Letöltés===
A legfrissebb változat letölthető [http://code.google.com/p/simplesamlphp/ http://code.google.com/p/simplesamlphp/] címről

cd /var
tar xzf simplesamlphp-1.x.y.tar.gz
mv simplesamlphp-1.x.y simplesamlphp

Alapértelmezés szerint a <code>/var/simplesamlphp</code> alatt szeretne majd működni, ez természetesen változtatható, de most maradunk az eredeti beállításoknál.

===Apache konfigurálás===

A webről csak a <code>/var/simplesamlphp/www</code> könyvtárat kell elérni.

Alias /simplesaml /var/simplesamlphp/www

===Alapbeállítások===
Mielőtt aktiváljuk valamelyik főszolgáltatását (IdP,SP...) a telepített alkalmazásnak, néhány beállítást meg kell adnunk a konfigurációs fájlban <code>config/config.php</code>.
* '''Az "admin" felhasználó jelszavát, mellyel webes felületen keresztül be tud lépni a települő SSP-be.'''
'auth.adminpassword' => 'ujjelszotirdide',
* '''Titkosítási feladatokhoz szükséges "salt", azaz véletlenszerűen összeálló karaktersorozat'''
'secretsalt' => 'randombytesinsertedhere',
A karaktersorozat előállításában segíthet az alábbi parancs:
tr -c -d '0123456789abcdefghijklmnopqrstuvwxyz' </dev/urandom | dd bs=32 count=1 2>/dev/null;echo
* '''Elérhetőségeket, amely adatok bekerülnek majd a generált metaadatba'''
'technicalcontact_name' => 'Gipsz Jakab',
'technicalcontact_email' => 'jakab.gipsz@example.org',
* '''Nyelv és időzóna adatok'''
'language.default' => 'hu',
'timezone' => 'Europe/Budapest',

===Telepítés kész===
Amennyiben elkészültünk a fenti lépésekkel, úgy a [https://service.example.org/simplesaml/ https://service.example.org/simplesaml/] címen elérjük a telepített SSP-nk webes adminfelületét, ahol megejthetjük a további beállítások nagy részét.

==IdP beállítás==
===IdP funkció engedélyezése===
A <code>config/config.php</code> fájlt kell szerkesztenünk, s engedélyezni a saml20 idp lehetőséget.
'enable.saml20-idp' => true,
===Autentikáció LDAP alapon===
Meg kell adni, hogy az IdP milyen módon azonosítsa a felhasználót, amennyiben alapértelmezés szerint nem engedélyezett modult szeretnénk használni, úgy a megfelelő modult a <code>modules</code> könyvtár alatt engedélyezni kell. Az alábbi példában az LDAP alapú azonosítást mutatjuk be, amely külön modult nem igényel, alapértelmezés szerint része a telepített alkalmazásnak.

Ahhoz, hogy megadhassuk az LDAP-hoz tartozó beállításokat, a <code>config/authsources.php</code> fájlt kell szerkesztenünk. Az alábbi kódrészletet elegendő beszúrni, és az egyes változóknak a helyi LDAP-nak megfelelő adatokat értékül adni.
'example-ldap' => array(
'ldap:LDAP',

/* The hostname of the LDAP server. */
'hostname' => 'ldap.example.org',

/* Whether SSL/TLS should be used when contacting the LDAP server. */
'enable_tls' => FALSE,

/*
* Which attributes should be retrieved from the LDAP server.
* This can be an array of attribute names, or NULL, in which case
* all attributes are fetched.
*/
'attributes' => NULL,

/*
* The pattern which should be used to create the users DN given the username.
* %username% in this pattern will be replaced with the users username.
*
* This option is not used if the search.enable option is set to TRUE.
*/
'dnpattern' => 'uid=%username%,ou=people,dc=example,dc=org',

/*
* As an alternative to specifying a pattern for the users DN, it is possible to
* search for the username in a set of attributes. This is enabled by this option.
*/
'search.enable' => FALSE,

/*
* The DN which will be used as a base for the search.
* This can be a single string, in which case only that DN is searched, or an
* array of strings, in which case they will be searched in the order given.
*/
'search.base' => 'ou=people,dc=example,dc=org',

/*
* The attribute(s) the username should match against.
*
* This is an array with one or more attribute names. Any of the attributes in
* the array may match the value the username.
*/
'search.attributes' => array('uid', 'mail'),

/*
* The username & password the simpleSAMLphp should bind to before searching. If
* this is left as NULL, no bind will be performed before searching.
*/
'search.username' => NULL,
'search.password' => NULL,
),

===Metaadat alapok===
A beállítandó IdP alapvető paraméterei a <code>metadata/saml20-idp-hosted.php</code> fájlban állíthatók. Az alábbi kódrészlet egy minimális, de már működő példát mutat.

$metadata['__DYNAMIC:1__'] = array(
/*
* The hostname for this IdP. This makes it possible to run multiple
* IdPs from the same configuration. '__DEFAULT__' means that this one
* should be used by default.
*/
'host' => '__DEFAULT__',

/*
* The private key and certificate to use when signing responses.
* These are stored in the cert-directory.
*/
'privatekey' => 'idp.example.org.key',
'certificate' => 'idp.example.org.crt',

/*
* The authentication source which should be used to authenticate the
* user. This must match one of the entries in config/authsources.php.
*/
'auth' => 'example-ldap',
);

Teszteléshez is érdemes, éles használathoz pedig elengedhetetlen, hogy a csomagban érkezett tanúsítványt felülírjuk, ezt célszerű mihamarabb megtenni. Ehhez az alábbi parancs lehet segítségünkre.
openssl req -new -x509 -days 3652 -nodes -out idp.example.org.crt -keyout idp.example.org.key
A fingerprint az alábbi módon kérdezhető le a legegyszerűbben
openssl x509 -fingerprint -noout -in idp.example.org.crt

Megfelelő beállítások után a dinamikusan generált metadata a <code>/saml2/idp/metadata.php</code> útvonalon érhető el.

===Tesztelés===
Legegyszerűbben a telepített SSP felületén tudjuk ellenőrizni, hogy a beállított autentikációs forrás működik-e. A felületen az Authentication fül alatt található egy 'Test authentication sources' link, amelyre kattintva látható minden beállított autentikációs forrás is, így a két alapértelmezett, teszt célokat szolgáló alatt a most beállított example-ldap névre hallgatónak is meg kell jelenni. (A közvetlen url erre az oldalra: simplesaml/module.php/core/authenticate.php) Ez utóbbira kattintva a beállított LDAP-ból autentikálva be kell tudnunk jelentkeznünk; siker esetén az LDAP-ból kinyerhető attribútumokat láthatjuk.

==SP beállítás==
===Alapadatok===
A telepített alkalmazásunk által kezelt SP-ket a <code>config/authsources.php</code> fájlban tudjuk beállítani.

'default-sp' => array(
'saml:SP',

// The entity ID of this SP.
// Can be NULL/unset, in which case an entity ID is generated based on the metadata URL.
'entityID' => NULL,

// The entity ID of the IdP this should SP should contact.
// Can be NULL/unset, in which case the user will be shown a list of available IdPs.
'idp' => NULL,

// The URL to the discovery service.
// Can be NULL/unset, in which case a builtin discovery service will be used.
'discoURL' => NULL,

'privatekey' => 'saml.pem',
'certificate' => 'saml.crt',

),

A fenti beállítások alapján az SP entityID-ja megegyezik a metadata elérési útvonalával (szokásos megoldás SSP-nél), nem adunk meg alapértelmezett idp-t, ezáltal az SSP választási lehetőséget kínál fel számunkra, mikor az SP-re szeretnénk bejelentkezni, ill. most még Discovery Service URL-t sem adunk meg, hanem a beépítettet használjuk. Ez utóbbit majd a HREF-be történő integrációkor meg kell változtatni - lásd lejjebb.

Az IdP beállításához hasonlóan itt is szükség lesz egy tanúsítvány generálására a <code>cert</code> könyvtárba. Ehhez segítség lehet az alábbi parancs.

openssl req -new -x509 -days 3652 -nodes -out saml.crt -keyout saml.pem

===Tesztelés===
Amennyiben IdP is beállításra került, úgy a legcélszerűbb ezt összehangolni az SP-vel. Ehhez egyfelől a <code>metadata/saml20-idp-remote.php</code> fájlban meg kell adni az IdP adatait, amely esetünkben az alábbiak szerint fest.

$metadata['https://example.org/simplesaml/saml2/idp/metadata.php'] = array(
'name' => array(
'en' => 'TestSP'
),
'SingleSignOnService' => 'https://example.org/simplesaml/saml2/idp/SSOService.php',
'SingleLogoutService' => 'https://example.org/simplesaml/saml2/idp/SingleLogoutService.php',
'certFingerprint' => 'afe71c28ef740bc87425be13a2263d37971da1f9'
);

Ehhez hasonlóan a <code>metadata/saml20-sp-remote.php</code> fájlban meg kell adnunk az SP adatait. Teszteléshez az alábbiak elegendők:

$metadata['https://example.org/simplesaml/module.php/saml/sp/metadata.php/default-sp'] = array (
'AssertionConsumerService' => 'https://example.org/simplesaml/module.php/saml/sp/saml2-acs.php/default-sp',
'SingleLogoutService' => 'https://example.org/simplesaml/module.php/saml/sp/saml2-logout.php/default-sp',
);

Ezek után az IdP tesztelésénél már említett oldalon a default-sp opciót kiválasztva, majd a legördülő menüben a TestSP-re kattintva be kell tudnunk jelentkezni az IdP-n keresztül. Ha működik, akkor az alapvető lépsekkel kész vagyunk, van egy működő SP-nk és egy működő IdP-nk.

==HREF-integráció==

===Metadata beállítása (IdP és SP is)===
* Az SSP-nél be kell állítani metaadat forrásként a központi metaadatot
:*Első lépésként engedélyezzük, hogy az SSP automatikusan frissíthesse a metaadatot, ill. az ezt elvégző két modult
touch modules/metarefresh/enable
cp modules/metarefresh/config-templates/*.php config/
touch modules/cron/enable
cp modules/cron/config-templates/*.php config/

:*Létrehozunk egy könyvtárat, ahová letöltésre kerül az központi metaadat XML fájlja
mkdir metadata/metarefresh-href
chmod g+rw metadata/metarefresh-href
:*Ezek után be kell állítani a metaadat kokrét adatait a <code>config/config-metarefresh.php</code> fájlban
$config = array(
'sets' => array(
'hu' => array(
'cron' => array('hourly'),
'sources' => array(
array(
'src' => 'http://metadata.eduid.hu/2011/href.xml',
'validateFingerprint' => 'FE:AE:0B:E8:FB:59:ED:F7:CB:7F:69:DF:19:4F:8B:6D:C7:F6:96:66',
'template' => array(
'authproc' => array(
51 => array('class' => 'core:AttributeMap', 'oid2name'),
),
),
),
),
'expireAfter' => 60*60*24*4, // Maximum 4 days cache time.
'outputDir' => 'metadata/metarefresh-href/',
'outputFormat' => 'flatfile',
),
),
);
:*Be kell állítani, hogy az SSP az automata által generált fájlokból dolgozzon. Ehhez a <code>config/config.php</code> fájlban keressük ki a <code>metadata.source</code> szakaszt, és az alábbiak szerint szerkesszük át. Amennyiben nem csak a központi metaadatból szeretnénk dolgozni, úgy további sorokat is megadhatunk itt bemutatott mintájára.
'metadata.sources' => array(
array('type' => 'flatfile', 'directory' => 'metadata/metarefresh-href'),
),

:*Végül le kell futtatni kézzel a cronjobot, amelyet az SSP webes felületén tudunk megtenni a Configuration fül alatt, a Cron module information page menüpontban. Ekkor létrejönnek a fájlok (majd óránként frissülnek is, ha beállítjuk cronjobként).

===IdP===
Amennyiben van SSP alapú IdP-nk, melyet szeretnénk a föderáció részévé tenni, úgy a teendők a következők.
* (A jelenleg is formálódó adminisztratív teendőktől itt most eltekintünk)
* Kell küldeni egy levelet a [mailto:aai@niif.hu aai@niif.hu] címre, benne néhány mondat mellett az IdP metaadatának URL-jével (https://example.org/simplesamlphp/saml2/idp/metadata.php)
* Ha minden rendben megy, akkor az IdP bekerül a [[Resource_Registry]]-be, ezáltal a föderációs metaadatba is.
* Az előző pontban leírt módon be kell állítani a központi metadata feldolgozását.
* Amennyiben a föderációs metaadatban már szerepel a mi IdP-nk is, úgy a föderáció valamelyik, tesztelési célokat szolgáló SP-jénél ki is próbálhatjuk a bejelentkezést.

:'''Fontos''', hogy a föderációs Discovery Service óránként generálja újra az IdP-k listáját, így ennyi idő mindenképp szükséges, hogy az új IdP megjelenjen itt, az egyes SP-k pedig két óránként töltik újra a metaadatot, így előfordulhat, hogy azonnal nem fog minden működni, de egy-két óra alatt várhatóan beindul. :)

:Tesztelésre használható oldal: [https://wiki.aai.niif.hu/shibtest.php https://wiki.aai.niif.hu/shibtest.php]

* Ahhoz, hogy a Resource Registry-be is be tudjunk lépni és az IdP további, a föderációra vonatkozó beállításait meg tudjuk ejteni, ehhez az IdP-nek ki kell adnia az alábbi attribútumokat:
** [[HREFAttributeSpec#mail|mail]] - ez belépés után, manuálisan is beállítható
** [[HREFAttributeSpec#eduPersonPrincipalName|eduPersonPrincipalName]]
** [[HREFAttributeSpec#schacHomeOrganizationType|schacHomeOrganizationType]]
** [[HREFAttributeSpec#eduScopedAffiliation|eduPersonScopedAffiliation]]

====Attribútumok kezelése====
Beállított IdP-nk alapértelmezés szerint azokat az attribútumokat adja ki, melyeket a metaadat alapján az SP kért (Lásd a metadatában a RequestedAttribute elemeket), és egyúttal alapból meg tudta szerezni a felhasználói adatbázisból, esetünkben az LDAP-ból. Mivel néhány attribútum nem szerepel az LDAP-ban, hanem az IdP-ben kell előállítani, így pár helyen módosítanunk kell az alapértelmezett konfiguráción.

:1. Az <code>attributemap/name2oid.php</code> fájlba az 's'-betűhöz szúrjuk be az alábbi sort:
'schacHomeOrganizationType' => 'urn:oid:1.3.6.1.4.1.25178.1.2.10',
:2. A <code>metadata/saml20-idp-hosted.php</code> fájlba szerkesszük be az alábbi kódrészlet értelemszerűen módosított változatát. Az <code>'auth' => 'example-ldap',</code> sor alatt kezdjük. Fontos, hogy egyúttal a config.php <code>authproc.idp</code> részét kikommentezzük, nehogy az ottani sorszámokkal megadott default feladatok bekavarjanak.

'AttributeNameFormat' => 'urn:oasis:names:tc:SAML:2.0:attrname-format:uri',
'userid.attribute' => 'uid', // Itt adjuk meg, hogy mely, az LDAPból származó attribútum alapján fogja az IdP kiszámítani az eduPersonTargetedID-t
'authproc' => array(
10 => array(
'class' => 'core:AttributeMap',
'uid' => 'eduPersonPrincipalName'
//Itt az 'uid' az az attribútum az LDAP-ban, amely a felhasználó azonosítóját tartalmazza, mert ebből képezzük az eduPersonPrincipalName-t.
),
20 => array(
'class' => 'core:AttributeAdd',
'schacHomeOrganizationType' => array('urn:schac:homeOrganizationType:hu:university')
//Kötelező statikus attribútum az [[HREFAttributeSpec#schacHomeOrganizationType|intézmény jellegének]] megfelelően
),
30 => array(
'class' => 'core:AttributeAlter',
'subject' => 'eduPersonPrincipalName',
'pattern' => '/^.*$/',
'replacement' => '${0}@intezmenydomain.hu',
// Itt adjuk hozzá az intézményi scope-ot az eduPersonPrincipalName már meglévő értékéhez
),
40 => array(
'class' => 'core:AttributeAlter',
'subject' => 'eduPersonAffiliation',
'pattern' => '/^.*$/',
'replacement' => '${0}@intezmenydomain.hu',
// Itt adjuk hozzá az intézményi scope-ot az eduPersonAffiliation már meglévő értékéhez
),
50 => array(
'class' => 'core:AttributeMap',
'eduPersonAffiliation' => 'eduPersonScopedAffiliation'
// Az LDAP-ból eduPersonAffiliation-ként érkező attribútumból föderációs elvárásoknak megfelelően eduPersonScopedAffiliationt készítünk
),
60 => array(
'class' => 'core:AttributeAdd',
'eduPersonScopedAffiliation' => array('member@intezmenydomain.hu')
// Az eduPersonScopedAffiliation-ben tesztelés céljából kiadhatjuk member értéket, így ha LDAP-ból nem jön érték, akkor is láthatjuk, hogy működik az attribútum kiadás
),
61 => array(
'class' => 'core:TargetedID',
'nameId' => TRUE,
),
// Itt állítjuk be, hogy az IdP előállítson és kiadhasson állandóazonosítóként eduPersonTargetedID-t, ha kérik
70 => array('class' => 'core:AttributeMap',
'name2oid'
// Az LDAP-os attribútum nevekből itt kreálunk szabványos urn:oid formátumúakat
),
),
'simplesaml.nameidattribute' => 'eduPersonPrincipalName',
'attributeencodings' => array(
'urn:oid:1.3.6.1.4.1.5923.1.1.1.10' => 'raw',
),
'sign.logout' => true

: További tudnivalók a [[Resource_Registry|Resource Registry-ről]], ill. a [[HREFAttributeSpec|Föderációs attribútum specifikációról]].

* Ha minden rendben ment, akkor a Resource Registry-ben regisztrált IdP-hez tartozó adminisztrációs jogok átkerülnek az IdP technikai gazdájához, s ezzel a folyamat kész is.

===SP===
Amennyiben IdP-t is beállítottunk, és be is tudunk lépni a Resource Registry-be, úgy nincs más dolgunk, mint az RR-ben új SP-t hozzáadni a föderációhoz, amely a megfelelő átfutási idő után a föderáció minden tagjánál látható is lesz.

Ellenkező esetben (nincs IdP, és nem is tervezünk beállítani), akkor az IdP hozzáadásánál részletezett pontokon kell végig menni a metaadat betöltéséig, s a továbbiakat az említett e-mail címen megbeszélni.

====Attribútum scopeok használata====
A HREF föderáció IdP-i ún. scopeolt attribútumokat is használnak. Ez a scopeolás azt jelenti, hogy minden egyes IdP csak a saját scopejában ad ki attribútumokat, és a Shibboleth SP-k ezt ellenőrzik is. A scope és az attribútum valódi értéke egy '@' karakterrel kerül elválasztásra (ilyen attribútumok jelenleg: [[HREFAttributeSpec#eduPersonAffiliation|eduPersonScopedAffiliation]] illetve [[HREFAttributeSpec#eduPersonPrincipalName|eduPersonPrincipalName]]).

A SimpleSAMLphp alapértelmezett telepítése nem szűri a hibásan scopeolt értékeket. Kiegészítő modulként szűrésre használható az NIIF által fejlesztett [https://repo.niif.hu/gitweb/gitweb.cgi?p=simplesamlphp-attributescope.git;a=summary attributescope modul], ami reményeink szerint rövid távon a hivatalos SimpleSAMLphp kiadás része lehet.

: Az <code>attributescope</code> modul használata esetén a következőképp kell módosítani a <code>config/config-metarefresh.php</code> fájlt:

'template' => array(
'authproc' => array(
51 => array('class' => 'core:AttributeMap', 'oid2name'),
55 => array('class' => 'attributescope:FilterAttributes'),
),
'scopedattributes' => array('eduPersonScopedAffiliation', 'eduPersonPrincipalName'),
),

[[Category: AAI]] [[Category: simpleSAMLphp]] [[Category: HOWTO]]

SimpleSAMLphp

2014-07-03T07:25:22Z

Sitya(AT)niif.hu: /* Attribútumok kezelése */

Az alábbi lapon megkíséreljük összefoglalni a legfontosabb lépéseket, melyek általános esetben elegendőek ahhoz, hogy működő SimpleSAMLphp(SSP) alkalmazást állítsunk üzembe.

==Telepítés==
===Előkészületek===
Ahhoz, hogy problémamentesen telepíthessük SSP alkalmazásunkat, az alábbi szoftverkomponenseknek kell működniük szerverünkön.
* PHP futtatására alkalmas webszerver
* PHP környezet (legalább 5.2.0 verzió)
* A következő PHP kiterjesztéseket engedélyezni kell
** <code>date</code>, <code>dom</code>, <code>hash</code>, <code>libxml</code>, <code>openssl</code>, <code>pcre</code>, <code>SPL</code>, <code>zlib</code>
** LDAP-ból történő autentikáció esetén: <code>ldap</code>
** Adatbázisból történő autentikáció esetén a megfelelő adatbázis-csatolót <code>mysql</code>, <code>pgsql</code>
** RADIUS szerveren keresztül történő autentikáció esetén: <code>radius</code>
** Assertion-ök titkosítása esetén: <code>mcrypt</code>
** Memcache használata esetén: <code>memcache</code>

===Letöltés===
A legfrissebb változat letölthető [http://code.google.com/p/simplesamlphp/ http://code.google.com/p/simplesamlphp/] címről

cd /var
tar xzf simplesamlphp-1.x.y.tar.gz
mv simplesamlphp-1.x.y simplesamlphp

Alapértelmezés szerint a <code>/var/simplesamlphp</code> alatt szeretne majd működni, ez természetesen változtatható, de most maradunk az eredeti beállításoknál.

===Apache konfigurálás===

A webről csak a <code>/var/simplesamlphp/www</code> könyvtárat kell elérni.

Alias /simplesaml /var/simplesamlphp/www

===Alapbeállítások===
Mielőtt aktiváljuk valamelyik főszolgáltatását (IdP,SP...) a telepített alkalmazásnak, néhány beállítást meg kell adnunk a konfigurációs fájlban <code>config/config.php</code>.
* '''Az "admin" felhasználó jelszavát, mellyel webes felületen keresztül be tud lépni a települő SSP-be.'''
'auth.adminpassword' => 'ujjelszotirdide',
* '''Titkosítási feladatokhoz szükséges "salt", azaz véletlenszerűen összeálló karaktersorozat'''
'secretsalt' => 'randombytesinsertedhere',
A karaktersorozat előállításában segíthet az alábbi parancs:
tr -c -d '0123456789abcdefghijklmnopqrstuvwxyz' </dev/urandom | dd bs=32 count=1 2>/dev/null;echo
* '''Elérhetőségeket, amely adatok bekerülnek majd a generált metaadatba'''
'technicalcontact_name' => 'Gipsz Jakab',
'technicalcontact_email' => 'jakab.gipsz@example.org',
* '''Nyelv és időzóna adatok'''
'language.default' => 'hu',
'timezone' => 'Europe/Budapest',

===Telepítés kész===
Amennyiben elkészültünk a fenti lépésekkel, úgy a [https://service.example.org/simplesaml/ https://service.example.org/simplesaml/] címen elérjük a telepített SSP-nk webes adminfelületét, ahol megejthetjük a további beállítások nagy részét.

==IdP beállítás==
===IdP funkció engedélyezése===
A <code>config/config.php</code> fájlt kell szerkesztenünk, s engedélyezni a saml20 idp lehetőséget.
'enable.saml20-idp' => true,
===Autentikáció LDAP alapon===
Meg kell adni, hogy az IdP milyen módon azonosítsa a felhasználót, amennyiben alapértelmezés szerint nem engedélyezett modult szeretnénk használni, úgy a megfelelő modult a <code>modules</code> könyvtár alatt engedélyezni kell. Az alábbi példában az LDAP alapú azonosítást mutatjuk be, amely külön modult nem igényel, alapértelmezés szerint része a telepített alkalmazásnak.

Ahhoz, hogy megadhassuk az LDAP-hoz tartozó beállításokat, a <code>config/authsources.php</code> fájlt kell szerkesztenünk. Az alábbi kódrészletet elegendő beszúrni, és az egyes változóknak a helyi LDAP-nak megfelelő adatokat értékül adni.
'example-ldap' => array(
'ldap:LDAP',

/* The hostname of the LDAP server. */
'hostname' => 'ldap.example.org',

/* Whether SSL/TLS should be used when contacting the LDAP server. */
'enable_tls' => FALSE,

/*
* Which attributes should be retrieved from the LDAP server.
* This can be an array of attribute names, or NULL, in which case
* all attributes are fetched.
*/
'attributes' => NULL,

/*
* The pattern which should be used to create the users DN given the username.
* %username% in this pattern will be replaced with the users username.
*
* This option is not used if the search.enable option is set to TRUE.
*/
'dnpattern' => 'uid=%username%,ou=people,dc=example,dc=org',

/*
* As an alternative to specifying a pattern for the users DN, it is possible to
* search for the username in a set of attributes. This is enabled by this option.
*/
'search.enable' => FALSE,

/*
* The DN which will be used as a base for the search.
* This can be a single string, in which case only that DN is searched, or an
* array of strings, in which case they will be searched in the order given.
*/
'search.base' => 'ou=people,dc=example,dc=org',

/*
* The attribute(s) the username should match against.
*
* This is an array with one or more attribute names. Any of the attributes in
* the array may match the value the username.
*/
'search.attributes' => array('uid', 'mail'),

/*
* The username & password the simpleSAMLphp should bind to before searching. If
* this is left as NULL, no bind will be performed before searching.
*/
'search.username' => NULL,
'search.password' => NULL,
),

===Metaadat alapok===
A beállítandó IdP alapvető paraméterei a <code>metadata/saml20-idp-hosted.php</code> fájlban állíthatók. Az alábbi kódrészlet egy minimális, de már működő példát mutat.

$metadata['__DYNAMIC:1__'] = array(
/*
* The hostname for this IdP. This makes it possible to run multiple
* IdPs from the same configuration. '__DEFAULT__' means that this one
* should be used by default.
*/
'host' => '__DEFAULT__',

/*
* The private key and certificate to use when signing responses.
* These are stored in the cert-directory.
*/
'privatekey' => 'idp.example.org.key',
'certificate' => 'idp.example.org.crt',

/*
* The authentication source which should be used to authenticate the
* user. This must match one of the entries in config/authsources.php.
*/
'auth' => 'example-ldap',
);

Teszteléshez is érdemes, éles használathoz pedig elengedhetetlen, hogy a csomagban érkezett tanúsítványt felülírjuk, ezt célszerű mihamarabb megtenni. Ehhez az alábbi parancs lehet segítségünkre.
openssl req -new -x509 -days 3652 -nodes -out idp.example.org.crt -keyout idp.example.org.key
A fingerprint az alábbi módon kérdezhető le a legegyszerűbben
openssl x509 -fingerprint -noout -in idp.example.org.crt

Megfelelő beállítások után a dinamikusan generált metadata a <code>/saml2/idp/metadata.php</code> útvonalon érhető el.

===Tesztelés===
Legegyszerűbben a telepített SSP felületén tudjuk ellenőrizni, hogy a beállított autentikációs forrás működik-e. A felületen az Authentication fül alatt található egy 'Test authentication sources' link, amelyre kattintva látható minden beállított autentikációs forrás is, így a két alapértelmezett, teszt célokat szolgáló alatt a most beállított example-ldap névre hallgatónak is meg kell jelenni. (A közvetlen url erre az oldalra: simplesaml/module.php/core/authenticate.php) Ez utóbbira kattintva a beállított LDAP-ból autentikálva be kell tudnunk jelentkeznünk; siker esetén az LDAP-ból kinyerhető attribútumokat láthatjuk.

==SP beállítás==
===Alapadatok===
A telepített alkalmazásunk által kezelt SP-ket a <code>config/authsources.php</code> fájlban tudjuk beállítani.

'default-sp' => array(
'saml:SP',

// The entity ID of this SP.
// Can be NULL/unset, in which case an entity ID is generated based on the metadata URL.
'entityID' => NULL,

// The entity ID of the IdP this should SP should contact.
// Can be NULL/unset, in which case the user will be shown a list of available IdPs.
'idp' => NULL,

// The URL to the discovery service.
// Can be NULL/unset, in which case a builtin discovery service will be used.
'discoURL' => NULL,

'privatekey' => 'saml.pem',
'certificate' => 'saml.crt',

),

A fenti beállítások alapján az SP entityID-ja megegyezik a metadata elérési útvonalával (szokásos megoldás SSP-nél), nem adunk meg alapértelmezett idp-t, ezáltal az SSP választási lehetőséget kínál fel számunkra, mikor az SP-re szeretnénk bejelentkezni, ill. most még Discovery Service URL-t sem adunk meg, hanem a beépítettet használjuk. Ez utóbbit majd a HREF-be történő integrációkor meg kell változtatni - lásd lejjebb.

Az IdP beállításához hasonlóan itt is szükség lesz egy tanúsítvány generálására a <code>cert</code> könyvtárba. Ehhez segítség lehet az alábbi parancs.

openssl req -new -x509 -days 3652 -nodes -out saml.crt -keyout saml.pem

===Tesztelés===
Amennyiben IdP is beállításra került, úgy a legcélszerűbb ezt összehangolni az SP-vel. Ehhez egyfelől a <code>metadata/saml20-idp-remote.php</code> fájlban meg kell adni az IdP adatait, amely esetünkben az alábbiak szerint fest.

$metadata['https://example.org/simplesaml/saml2/idp/metadata.php'] = array(
'name' => array(
'en' => 'TestSP'
),
'SingleSignOnService' => 'https://example.org/simplesaml/saml2/idp/SSOService.php',
'SingleLogoutService' => 'https://example.org/simplesaml/saml2/idp/SingleLogoutService.php',
'certFingerprint' => 'afe71c28ef740bc87425be13a2263d37971da1f9'
);

Ehhez hasonlóan a <code>metadata/saml20-sp-remote.php</code> fájlban meg kell adnunk az SP adatait. Teszteléshez az alábbiak elegendők:

$metadata['https://example.org/simplesaml/module.php/saml/sp/metadata.php/default-sp'] = array (
'AssertionConsumerService' => 'https://example.org/simplesaml/module.php/saml/sp/saml2-acs.php/default-sp',
'SingleLogoutService' => 'https://example.org/simplesaml/module.php/saml/sp/saml2-logout.php/default-sp',
);

Ezek után az IdP tesztelésénél már említett oldalon a default-sp opciót kiválasztva, majd a legördülő menüben a TestSP-re kattintva be kell tudnunk jelentkezni az IdP-n keresztül. Ha működik, akkor az alapvető lépsekkel kész vagyunk, van egy működő SP-nk és egy működő IdP-nk.

==HREF-integráció==

===Metadata beállítása (IdP és SP is)===
* Az SSP-nél be kell állítani metaadat forrásként a központi metaadatot
:*Első lépésként engedélyezzük, hogy az SSP automatikusan frissíthesse a metaadatot, ill. az ezt elvégző két modult
touch modules/metarefresh/enable
cp modules/metarefresh/config-templates/*.php config/
touch modules/cron/enable
cp modules/cron/config-templates/*.php config/

:*Létrehozunk egy könyvtárat, ahová letöltésre kerül az központi metaadat XML fájlja
mkdir metadata/metarefresh-href
chmod g+rw metadata/metarefresh-href
:*Ezek után be kell állítani a metaadat kokrét adatait a <code>config/config-metarefresh.php</code> fájlban
$config = array(
'sets' => array(
'hu' => array(
'cron' => array('hourly'),
'sources' => array(
array(
'src' => 'http://metadata.eduid.hu/2011/href.xml',
'validateFingerprint' => 'FE:AE:0B:E8:FB:59:ED:F7:CB:7F:69:DF:19:4F:8B:6D:C7:F6:96:66',
'template' => array(
'authproc' => array(
51 => array('class' => 'core:AttributeMap', 'oid2name'),
),
),
),
),
'expireAfter' => 60*60*24*4, // Maximum 4 days cache time.
'outputDir' => 'metadata/metarefresh-href/',
'outputFormat' => 'flatfile',
),
),
);
:*Be kell állítani, hogy az SSP az automata által generált fájlokból dolgozzon. Ehhez a <code>config/config.php</code> fájlban keressük ki a <code>metadata.source</code> szakaszt, és az alábbiak szerint szerkesszük át. Amennyiben nem csak a központi metaadatból szeretnénk dolgozni, úgy további sorokat is megadhatunk itt bemutatott mintájára.
'metadata.sources' => array(
array('type' => 'flatfile', 'directory' => 'metadata/metarefresh-href'),
),

:*Végül le kell futtatni kézzel a cronjobot, amelyet az SSP webes felületén tudunk megtenni a Configuration fül alatt, a Cron module information page menüpontban. Ekkor létrejönnek a fájlok (majd óránként frissülnek is, ha beállítjuk cronjobként).

===IdP===
Amennyiben van SSP alapú IdP-nk, melyet szeretnénk a föderáció részévé tenni, úgy a teendők a következők.
* (A jelenleg is formálódó adminisztratív teendőktől itt most eltekintünk)
* Kell küldeni egy levelet a [mailto:aai@niif.hu aai@niif.hu] címre, benne néhány mondat mellett az IdP metaadatának URL-jével (https://example.org/simplesamlphp/saml2/idp/metadata.php)
* Ha minden rendben megy, akkor az IdP bekerül a [[Resource_Registry]]-be, ezáltal a föderációs metaadatba is.
* Az előző pontban leírt módon be kell állítani a központi metadata feldolgozását.
* Amennyiben a föderációs metaadatban már szerepel a mi IdP-nk is, úgy a föderáció valamelyik, tesztelési célokat szolgáló SP-jénél ki is próbálhatjuk a bejelentkezést.

:'''Fontos''', hogy a föderációs Discovery Service óránként generálja újra az IdP-k listáját, így ennyi idő mindenképp szükséges, hogy az új IdP megjelenjen itt, az egyes SP-k pedig két óránként töltik újra a metaadatot, így előfordulhat, hogy azonnal nem fog minden működni, de egy-két óra alatt várhatóan beindul. :)

:Tesztelésre használható oldal: [https://wiki.aai.niif.hu/shibtest.php https://wiki.aai.niif.hu/shibtest.php]

* Ahhoz, hogy a Resource Registry-be is be tudjunk lépni és az IdP további, a föderációra vonatkozó beállításait meg tudjuk ejteni, ehhez az IdP-nek ki kell adnia az alábbi attribútumokat:
** [[HREFAttributeSpec#mail|mail]] - ez belépés után, manuálisan is beállítható
** [[HREFAttributeSpec#eduPersonPrincipalName|eduPersonPrincipalName]]
** [[HREFAttributeSpec#schacHomeOrganizationType|schacHomeOrganizationType]]
** [[HREFAttributeSpec#eduScopedAffiliation|eduPersonScopedAffiliation]]

====Attribútumok kezelése====
Beállított IdP-nk alapértelmezés szerint azokat az attribútumokat adja ki, melyeket a metaadat alapján az SP kért (Lásd a metadatában a RequestedAttribute elemeket), és egyúttal alapból meg tudta szerezni a felhasználói adatbázisból, esetünkben az LDAP-ból. Mivel néhány attribútum nem szerepel az LDAP-ban, hanem az IdP-ben kell előállítani, így pár helyen módosítanunk kell az alapértelmezett konfiguráción.

:1. Az <code>attributemap/name2oid.php</code> fájlba az 's'-betűhöz szúrjuk be az alábbi sort:
'schacHomeOrganizationType' => 'urn:oid:1.3.6.1.4.1.25178.1.2.10',
:2. A <code>metadata/saml20-idp-hosted.php</code> fájlba szerkesszük be az alábbi kódrészlet értelemszerűen módosított változatát. Az <code>'auth' => 'example-ldap',</code> sor alatt kezdjük. Fontos, hogy egyúttal a config.php <code>authproc.idp</code> részét kikommentezzük, nehogy az ottani sorszámokkal megadott default feladatok bekavarjanak.

'AttributeNameFormat' => 'urn:oasis:names:tc:SAML:2.0:attrname-format:uri',
'userid.attribute' => 'uid', // Itt adjuk meg, hogy mely, az LDAPból származó attribútum alapján fogja az IdP kiszámítani az eduPersonTargetedID-t
'authproc' => array(
10 => array(
'class' => 'core:AttributeMap',
'uid' => 'eduPersonPrincipalName'
//Itt az 'uid' az az attribútum az LDAP-ban, amely a felhasználó azonosítóját tartalmazza, mert ebből képezzük az eduPersonPrincipalName-t.
),
20 => array(
'class' => 'core:AttributeAdd',
'schacHomeOrganizationType' => array('urn:schac:homeOrganizationType:hu:university')
//Kötelező statikus attribútum az [[HREFAttributeSpec#schacHomeOrganizationType|intézmény jellegének]] megfelelően
),
30 => array(
'class' => 'core:AttributeAlter',
'subject' => 'eduPersonPrincipalName',
'pattern' => '/^.*$/',
'replacement' => '${0}@intezmenydomain.hu',
// Itt adjuk hozzá az intézményi scope-ot az eduPersonPrincipalName már meglévő értékéhez
),
40 => array(
'class' => 'core:AttributeAlter',
'subject' => 'eduPersonAffiliation',
'pattern' => '/^.*$/',
'replacement' => '${0}@intezmenydomain.hu',
// Itt adjuk hozzá az intézményi scope-ot az eduPersonAffiliation már meglévő értékéhez
),
50 => array(
'class' => 'core:AttributeMap',
'eduPersonAffiliation' => 'eduPersonScopedAffiliation'
// Az LDAP-ból eduPersonAffiliation-ként érkező attribútumból föderációs elvárásoknak megfelelően eduPersonScopedAffiliationt készítünk
),
60 => array(
'class' => 'core:AttributeAdd',
'eduPersonScopedAffiliation' => array('member@intezmenydomain.hu')
// Az eduPersonScopedAffiliation-ben tesztelés céljából kiadhatjuk member értéket, így ha LDAP-ból nem jön érték, akkor is láthatjuk, hogy működik az attribútum kiadás
),
61 => array(
'class' => 'core:TargetedID',
'nameId' => TRUE,
),
// Itt állítjuk be, hogy az IdP előállítson és kiadhasson állandóazonosítóként eduPersonTargetedID-t, ha kérik
70 => array('class' => 'core:AttributeMap',
'name2oid'
// Az LDAP-os attribútum nevekből itt kreálunk szabványos urn:oid formátumúakat
),
),
'simplesaml.nameidattribute' => 'eduPersonPrincipalName',
'attributeencodings' => array(
'urn:oid:1.3.6.1.4.1.5923.1.1.1.10' => 'raw',
),

'sign.logout' => true

: További tudnivalók a [[Resource_Registry|Resource Registry-ről]], ill. a [[HREFAttributeSpec|Föderációs attribútum specifikációról]].

* Ha minden rendben ment, akkor a Resource Registry-ben regisztrált IdP-hez tartozó adminisztrációs jogok átkerülnek az IdP technikai gazdájához, s ezzel a folyamat kész is.

===SP===
Amennyiben IdP-t is beállítottunk, és be is tudunk lépni a Resource Registry-be, úgy nincs más dolgunk, mint az RR-ben új SP-t hozzáadni a föderációhoz, amely a megfelelő átfutási idő után a föderáció minden tagjánál látható is lesz.

Ellenkező esetben (nincs IdP, és nem is tervezünk beállítani), akkor az IdP hozzáadásánál részletezett pontokon kell végig menni a metaadat betöltéséig, s a továbbiakat az említett e-mail címen megbeszélni.

====Attribútum scopeok használata====
A HREF föderáció IdP-i ún. scopeolt attribútumokat is használnak. Ez a scopeolás azt jelenti, hogy minden egyes IdP csak a saját scopejában ad ki attribútumokat, és a Shibboleth SP-k ezt ellenőrzik is. A scope és az attribútum valódi értéke egy '@' karakterrel kerül elválasztásra (ilyen attribútumok jelenleg: [[HREFAttributeSpec#eduPersonAffiliation|eduPersonScopedAffiliation]] illetve [[HREFAttributeSpec#eduPersonPrincipalName|eduPersonPrincipalName]]).

A SimpleSAMLphp alapértelmezett telepítése nem szűri a hibásan scopeolt értékeket. Kiegészítő modulként szűrésre használható az NIIF által fejlesztett [https://repo.niif.hu/gitweb/gitweb.cgi?p=simplesamlphp-attributescope.git;a=summary attributescope modul], ami reményeink szerint rövid távon a hivatalos SimpleSAMLphp kiadás része lehet.

: Az <code>attributescope</code> modul használata esetén a következőképp kell módosítani a <code>config/config-metarefresh.php</code> fájlt:

'template' => array(
'authproc' => array(
51 => array('class' => 'core:AttributeMap', 'oid2name'),
55 => array('class' => 'attributescope:FilterAttributes'),
),
'scopedattributes' => array('eduPersonScopedAffiliation', 'eduPersonPrincipalName'),
),

[[Category: AAI]] [[Category: simpleSAMLphp]] [[Category: HOWTO]]

SimpleSAMLphp

2014-05-05T11:02:21Z

Sitya(AT)niif.hu: Külső attribútumfilter-modulról szóló részt kukáztam, mert már irreleváns

Az alábbi lapon megkíséreljük összefoglalni a legfontosabb lépéseket, melyek általános esetben elegendőek ahhoz, hogy működő SimpleSAMLphp(SSP) alkalmazást állítsunk üzembe.

==Telepítés==
===Előkészületek===
Ahhoz, hogy problémamentesen telepíthessük SSP alkalmazásunkat, az alábbi szoftverkomponenseknek kell működniük szerverünkön.
* PHP futtatására alkalmas webszerver
* PHP környezet (legalább 5.2.0 verzió)
* A következő PHP kiterjesztéseket engedélyezni kell
** <code>date</code>, <code>dom</code>, <code>hash</code>, <code>libxml</code>, <code>openssl</code>, <code>pcre</code>, <code>SPL</code>, <code>zlib</code>
** LDAP-ból történő autentikáció esetén: <code>ldap</code>
** Adatbázisból történő autentikáció esetén a megfelelő adatbázis-csatolót <code>mysql</code>, <code>pgsql</code>
** RADIUS szerveren keresztül történő autentikáció esetén: <code>radius</code>
** Assertion-ök titkosítása esetén: <code>mcrypt</code>
** Memcache használata esetén: <code>memcache</code>

===Letöltés===
A legfrissebb változat letölthető [http://code.google.com/p/simplesamlphp/ http://code.google.com/p/simplesamlphp/] címről

cd /var
tar xzf simplesamlphp-1.x.y.tar.gz
mv simplesamlphp-1.x.y simplesamlphp

Alapértelmezés szerint a <code>/var/simplesamlphp</code> alatt szeretne majd működni, ez természetesen változtatható, de most maradunk az eredeti beállításoknál.

===Apache konfigurálás===

A webről csak a <code>/var/simplesamlphp/www</code> könyvtárat kell elérni.

Alias /simplesaml /var/simplesamlphp/www

===Alapbeállítások===
Mielőtt aktiváljuk valamelyik főszolgáltatását (IdP,SP...) a telepített alkalmazásnak, néhány beállítást meg kell adnunk a konfigurációs fájlban <code>config/config.php</code>.
* '''Az "admin" felhasználó jelszavát, mellyel webes felületen keresztül be tud lépni a települő SSP-be.'''
'auth.adminpassword' => 'ujjelszotirdide',
* '''Titkosítási feladatokhoz szükséges "salt", azaz véletlenszerűen összeálló karaktersorozat'''
'secretsalt' => 'randombytesinsertedhere',
A karaktersorozat előállításában segíthet az alábbi parancs:
tr -c -d '0123456789abcdefghijklmnopqrstuvwxyz' </dev/urandom | dd bs=32 count=1 2>/dev/null;echo
* '''Elérhetőségeket, amely adatok bekerülnek majd a generált metaadatba'''
'technicalcontact_name' => 'Gipsz Jakab',
'technicalcontact_email' => 'jakab.gipsz@example.org',
* '''Nyelv és időzóna adatok'''
'language.default' => 'hu',
'timezone' => 'Europe/Budapest',

===Telepítés kész===
Amennyiben elkészültünk a fenti lépésekkel, úgy a [https://service.example.org/simplesaml/ https://service.example.org/simplesaml/] címen elérjük a telepített SSP-nk webes adminfelületét, ahol megejthetjük a további beállítások nagy részét.

==IdP beállítás==
===IdP funkció engedélyezése===
A <code>config/config.php</code> fájlt kell szerkesztenünk, s engedélyezni a saml20 idp lehetőséget.
'enable.saml20-idp' => true,
===Autentikáció LDAP alapon===
Meg kell adni, hogy az IdP milyen módon azonosítsa a felhasználót, amennyiben alapértelmezés szerint nem engedélyezett modult szeretnénk használni, úgy a megfelelő modult a <code>modules</code> könyvtár alatt engedélyezni kell. Az alábbi példában az LDAP alapú azonosítást mutatjuk be, amely külön modult nem igényel, alapértelmezés szerint része a telepített alkalmazásnak.

Ahhoz, hogy megadhassuk az LDAP-hoz tartozó beállításokat, a <code>config/authsources.php</code> fájlt kell szerkesztenünk. Az alábbi kódrészletet elegendő beszúrni, és az egyes változóknak a helyi LDAP-nak megfelelő adatokat értékül adni.
'example-ldap' => array(
'ldap:LDAP',

/* The hostname of the LDAP server. */
'hostname' => 'ldap.example.org',

/* Whether SSL/TLS should be used when contacting the LDAP server. */
'enable_tls' => FALSE,

/*
* Which attributes should be retrieved from the LDAP server.
* This can be an array of attribute names, or NULL, in which case
* all attributes are fetched.
*/
'attributes' => NULL,

/*
* The pattern which should be used to create the users DN given the username.
* %username% in this pattern will be replaced with the users username.
*
* This option is not used if the search.enable option is set to TRUE.
*/
'dnpattern' => 'uid=%username%,ou=people,dc=example,dc=org',

/*
* As an alternative to specifying a pattern for the users DN, it is possible to
* search for the username in a set of attributes. This is enabled by this option.
*/
'search.enable' => FALSE,

/*
* The DN which will be used as a base for the search.
* This can be a single string, in which case only that DN is searched, or an
* array of strings, in which case they will be searched in the order given.
*/
'search.base' => 'ou=people,dc=example,dc=org',

/*
* The attribute(s) the username should match against.
*
* This is an array with one or more attribute names. Any of the attributes in
* the array may match the value the username.
*/
'search.attributes' => array('uid', 'mail'),

/*
* The username & password the simpleSAMLphp should bind to before searching. If
* this is left as NULL, no bind will be performed before searching.
*/
'search.username' => NULL,
'search.password' => NULL,
),

===Metaadat alapok===
A beállítandó IdP alapvető paraméterei a <code>metadata/saml20-idp-hosted.php</code> fájlban állíthatók. Az alábbi kódrészlet egy minimális, de már működő példát mutat.

$metadata['__DYNAMIC:1__'] = array(
/*
* The hostname for this IdP. This makes it possible to run multiple
* IdPs from the same configuration. '__DEFAULT__' means that this one
* should be used by default.
*/
'host' => '__DEFAULT__',

/*
* The private key and certificate to use when signing responses.
* These are stored in the cert-directory.
*/
'privatekey' => 'idp.example.org.key',
'certificate' => 'idp.example.org.crt',

/*
* The authentication source which should be used to authenticate the
* user. This must match one of the entries in config/authsources.php.
*/
'auth' => 'example-ldap',
);

Teszteléshez is érdemes, éles használathoz pedig elengedhetetlen, hogy a csomagban érkezett tanúsítványt felülírjuk, ezt célszerű mihamarabb megtenni. Ehhez az alábbi parancs lehet segítségünkre.
openssl req -new -x509 -days 3652 -nodes -out idp.example.org.crt -keyout idp.example.org.key
A fingerprint az alábbi módon kérdezhető le a legegyszerűbben
openssl x509 -fingerprint -noout -in idp.example.org.crt

Megfelelő beállítások után a dinamikusan generált metadata a <code>/saml2/idp/metadata.php</code> útvonalon érhető el.

===Tesztelés===
Legegyszerűbben a telepített SSP felületén tudjuk ellenőrizni, hogy a beállított autentikációs forrás működik-e. A felületen az Authentication fül alatt található egy 'Test authentication sources' link, amelyre kattintva látható minden beállított autentikációs forrás is, így a két alapértelmezett, teszt célokat szolgáló alatt a most beállított example-ldap névre hallgatónak is meg kell jelenni. (A közvetlen url erre az oldalra: simplesaml/module.php/core/authenticate.php) Ez utóbbira kattintva a beállított LDAP-ból autentikálva be kell tudnunk jelentkeznünk; siker esetén az LDAP-ból kinyerhető attribútumokat láthatjuk.

==SP beállítás==
===Alapadatok===
A telepített alkalmazásunk által kezelt SP-ket a <code>config/authsources.php</code> fájlban tudjuk beállítani.

'default-sp' => array(
'saml:SP',

// The entity ID of this SP.
// Can be NULL/unset, in which case an entity ID is generated based on the metadata URL.
'entityID' => NULL,

// The entity ID of the IdP this should SP should contact.
// Can be NULL/unset, in which case the user will be shown a list of available IdPs.
'idp' => NULL,

// The URL to the discovery service.
// Can be NULL/unset, in which case a builtin discovery service will be used.
'discoURL' => NULL,

'privatekey' => 'saml.pem',
'certificate' => 'saml.crt',

),

A fenti beállítások alapján az SP entityID-ja megegyezik a metadata elérési útvonalával (szokásos megoldás SSP-nél), nem adunk meg alapértelmezett idp-t, ezáltal az SSP választási lehetőséget kínál fel számunkra, mikor az SP-re szeretnénk bejelentkezni, ill. most még Discovery Service URL-t sem adunk meg, hanem a beépítettet használjuk. Ez utóbbit majd a HREF-be történő integrációkor meg kell változtatni - lásd lejjebb.

Az IdP beállításához hasonlóan itt is szükség lesz egy tanúsítvány generálására a <code>cert</code> könyvtárba. Ehhez segítség lehet az alábbi parancs.

openssl req -new -x509 -days 3652 -nodes -out saml.crt -keyout saml.pem

===Tesztelés===
Amennyiben IdP is beállításra került, úgy a legcélszerűbb ezt összehangolni az SP-vel. Ehhez egyfelől a <code>metadata/saml20-idp-remote.php</code> fájlban meg kell adni az IdP adatait, amely esetünkben az alábbiak szerint fest.

$metadata['https://example.org/simplesaml/saml2/idp/metadata.php'] = array(
'name' => array(
'en' => 'TestSP'
),
'SingleSignOnService' => 'https://example.org/simplesaml/saml2/idp/SSOService.php',
'SingleLogoutService' => 'https://example.org/simplesaml/saml2/idp/SingleLogoutService.php',
'certFingerprint' => 'afe71c28ef740bc87425be13a2263d37971da1f9'
);

Ehhez hasonlóan a <code>metadata/saml20-sp-remote.php</code> fájlban meg kell adnunk az SP adatait. Teszteléshez az alábbiak elegendők:

$metadata['https://example.org/simplesaml/module.php/saml/sp/metadata.php/default-sp'] = array (
'AssertionConsumerService' => 'https://example.org/simplesaml/module.php/saml/sp/saml2-acs.php/default-sp',
'SingleLogoutService' => 'https://example.org/simplesaml/module.php/saml/sp/saml2-logout.php/default-sp',
);

Ezek után az IdP tesztelésénél már említett oldalon a default-sp opciót kiválasztva, majd a legördülő menüben a TestSP-re kattintva be kell tudnunk jelentkezni az IdP-n keresztül. Ha működik, akkor az alapvető lépsekkel kész vagyunk, van egy működő SP-nk és egy működő IdP-nk.

==HREF-integráció==

===Metadata beállítása (IdP és SP is)===
* Az SSP-nél be kell állítani metaadat forrásként a központi metaadatot
:*Első lépésként engedélyezzük, hogy az SSP automatikusan frissíthesse a metaadatot, ill. az ezt elvégző két modult
touch modules/metarefresh/enable
cp modules/metarefresh/config-templates/*.php config/
touch modules/cron/enable
cp modules/cron/config-templates/*.php config/

:*Létrehozunk egy könyvtárat, ahová letöltésre kerül az központi metaadat XML fájlja
mkdir metadata/metarefresh-href
chmod g+rw metadata/metarefresh-href
:*Ezek után be kell állítani a metaadat kokrét adatait a <code>config/config-metarefresh.php</code> fájlban
$config = array(
'sets' => array(
'hu' => array(
'cron' => array('hourly'),
'sources' => array(
array(
'src' => 'http://metadata.eduid.hu/2011/href.xml',
'validateFingerprint' => 'FE:AE:0B:E8:FB:59:ED:F7:CB:7F:69:DF:19:4F:8B:6D:C7:F6:96:66',
'template' => array(
'authproc' => array(
51 => array('class' => 'core:AttributeMap', 'oid2name'),
),
),
),
),
'expireAfter' => 60*60*24*4, // Maximum 4 days cache time.
'outputDir' => 'metadata/metarefresh-href/',
'outputFormat' => 'flatfile',
),
),
);
:*Be kell állítani, hogy az SSP az automata által generált fájlokból dolgozzon. Ehhez a <code>config/config.php</code> fájlban keressük ki a <code>metadata.source</code> szakaszt, és az alábbiak szerint szerkesszük át. Amennyiben nem csak a központi metaadatból szeretnénk dolgozni, úgy további sorokat is megadhatunk itt bemutatott mintájára.
'metadata.sources' => array(
array('type' => 'flatfile', 'directory' => 'metadata/metarefresh-href'),
),

:*Végül le kell futtatni kézzel a cronjobot, amelyet az SSP webes felületén tudunk megtenni a Configuration fül alatt, a Cron module information page menüpontban. Ekkor létrejönnek a fájlok (majd óránként frissülnek is, ha beállítjuk cronjobként).

===IdP===
Amennyiben van SSP alapú IdP-nk, melyet szeretnénk a föderáció részévé tenni, úgy a teendők a következők.
* (A jelenleg is formálódó adminisztratív teendőktől itt most eltekintünk)
* Kell küldeni egy levelet a [mailto:aai@niif.hu aai@niif.hu] címre, benne néhány mondat mellett az IdP metaadatának URL-jével (https://example.org/simplesamlphp/saml2/idp/metadata.php)
* Ha minden rendben megy, akkor az IdP bekerül a [[Resource_Registry]]-be, ezáltal a föderációs metaadatba is.
* Az előző pontban leírt módon be kell állítani a központi metadata feldolgozását.
* Amennyiben a föderációs metaadatban már szerepel a mi IdP-nk is, úgy a föderáció valamelyik, tesztelési célokat szolgáló SP-jénél ki is próbálhatjuk a bejelentkezést.

:'''Fontos''', hogy a föderációs Discovery Service óránként generálja újra az IdP-k listáját, így ennyi idő mindenképp szükséges, hogy az új IdP megjelenjen itt, az egyes SP-k pedig két óránként töltik újra a metaadatot, így előfordulhat, hogy azonnal nem fog minden működni, de egy-két óra alatt várhatóan beindul. :)

:Tesztelésre használható oldal: [https://wiki.aai.niif.hu/shibtest.php https://wiki.aai.niif.hu/shibtest.php]

* Ahhoz, hogy a Resource Registry-be is be tudjunk lépni és az IdP további, a föderációra vonatkozó beállításait meg tudjuk ejteni, ehhez az IdP-nek ki kell adnia az alábbi attribútumokat:
** [[HREFAttributeSpec#mail|mail]] - ez belépés után, manuálisan is beállítható
** [[HREFAttributeSpec#eduPersonPrincipalName|eduPersonPrincipalName]]
** [[HREFAttributeSpec#schacHomeOrganizationType|schacHomeOrganizationType]]
** [[HREFAttributeSpec#eduScopedAffiliation|eduPersonScopedAffiliation]]

====Attribútumok kezelése====
Beállított IdP-nk alapértelmezés szerint azokat az attribútumokat adja ki, melyeket a metaadat alapján az SP kért (Lásd a metadatában a RequestedAttribute elemeket), és egyúttal alapból meg tudta szerezni a felhasználói adatbázisból, esetünkben az LDAP-ból. Mivel néhány attribútum nem szerepel az LDAP-ban, hanem az IdP-ben kell előállítani, így pár helyen módosítanunk kell az alapértelmezett konfiguráción.

:1. Az <code>attributemap/name2oid.php</code> fájlba az 's'-betűhöz szúrjuk be az alábbi sort:
'schacHomeOrganizationType' => 'urn:oid:1.3.6.1.4.1.25178.1.2.10',
:2. A <code>metadata/saml20-idp-hosted.php</code> fájlba szerkesszük be az alábbi kódrészlet értelemszerűen módosított változatát. Az <code>'auth' => 'example-ldap',</code> sor alatt kezdjük.
'AttributeNameFormat' => 'urn:oasis:names:tc:SAML:2.0:attrname-format:uri',
'userid.attribute' => 'uid', // Itt adjuk meg, hogy mely, az LDAPból származó attribútum alapján fogja az IdP kiszámítani az eduPersonTargetedID-t
'authproc' => array(
10 => array(
'class' => 'core:AttributeMap',
'uid' => 'eduPersonPrincipalName'
//Itt az 'uid' az az attribútum az LDAP-ban, amely a felhasználó azonosítóját tartalmazza, mert ebből képezzük az eduPersonPrincipalName-t.
),
20 => array(
'class' => 'core:AttributeAdd',
'schacHomeOrganizationType' => array('urn:schac:homeOrganizationType:hu:university')
//Kötelező statikus attribútum az [[HREFAttributeSpec#schacHomeOrganizationType|intézmény jellegének]] megfelelően
),
30 => array(
'class' => 'core:AttributeAlter',
'subject' => 'eduPersonPrincipalName',
'pattern' => '/^.*$/',
'replacement' => '${0}@intezmenydomain.hu',
// Itt adjuk hozzá az intézményi scope-ot az eduPersonPrincipalName már meglévő értékéhez
),
40 => array(
'class' => 'core:AttributeAlter',
'subject' => 'eduPersonAffiliation',
'pattern' => '/^.*$/',
'replacement' => '${0}@intezmenydomain.hu',
// Itt adjuk hozzá az intézményi scope-ot az eduPersonAffiliation már meglévő értékéhez
),
50 => array(
'class' => 'core:AttributeMap',
'eduPersonAffiliation' => 'eduPersonScopedAffiliation'
// Az LDAP-ból eduPersonAffiliation-ként érkező attribútumból föderációs elvárásoknak megfelelően eduPersonScopedAffiliationt készítünk
),
60 => array(
'class' => 'core:AttributeAdd',
'eduPersonScopedAffiliation' => array('member@intezmenydomain.hu')
// Az eduPersonScopedAffiliation-ben tesztelés céljából kiadhatjuk member értéket, így ha LDAP-ból nem jön érték, akkor is láthatjuk, hogy működik az attribútum kiadás
),
61 => array(
'class' => 'core:TargetedID',
'nameId' => TRUE,
),
// Itt állítjuk be, hogy az IdP előállítson és kiadhasson állandóazonosítóként eduPersonTargetedID-t, ha kérik
70 => array('class' => 'core:AttributeMap',
'name2oid'
// Az LDAP-os attribútum nevekből itt kreálunk szabványos urn:oid formátumúakat
),
),
'simplesaml.nameidattribute' => 'eduPersonPrincipalName',
'attributeencodings' => array(
'urn:oid:1.3.6.1.4.1.5923.1.1.1.10' => 'raw',
),

: További tudnivalók a [[Resource_Registry|Resource Registry-ről]], ill. a [[HREFAttributeSpec|Föderációs attribútum specifikációról]].

* Ha minden rendben ment, akkor a Resource Registry-ben regisztrált IdP-hez tartozó adminisztrációs jogok átkerülnek az IdP technikai gazdájához, s ezzel a folyamat kész is.

===SP===
Amennyiben IdP-t is beállítottunk, és be is tudunk lépni a Resource Registry-be, úgy nincs más dolgunk, mint az RR-ben új SP-t hozzáadni a föderációhoz, amely a megfelelő átfutási idő után a föderáció minden tagjánál látható is lesz.

Ellenkező esetben (nincs IdP, és nem is tervezünk beállítani), akkor az IdP hozzáadásánál részletezett pontokon kell végig menni a metaadat betöltéséig, s a továbbiakat az említett e-mail címen megbeszélni.

====Attribútum scopeok használata====
A HREF föderáció IdP-i ún. scopeolt attribútumokat is használnak. Ez a scopeolás azt jelenti, hogy minden egyes IdP csak a saját scopejában ad ki attribútumokat, és a Shibboleth SP-k ezt ellenőrzik is. A scope és az attribútum valódi értéke egy '@' karakterrel kerül elválasztásra (ilyen attribútumok jelenleg: [[HREFAttributeSpec#eduPersonAffiliation|eduPersonScopedAffiliation]] illetve [[HREFAttributeSpec#eduPersonPrincipalName|eduPersonPrincipalName]]).

A SimpleSAMLphp alapértelmezett telepítése nem szűri a hibásan scopeolt értékeket. Kiegészítő modulként szűrésre használható az NIIF által fejlesztett [https://repo.niif.hu/gitweb/gitweb.cgi?p=simplesamlphp-attributescope.git;a=summary attributescope modul], ami reményeink szerint rövid távon a hivatalos SimpleSAMLphp kiadás része lehet.

: Az <code>attributescope</code> modul használata esetén a következőképp kell módosítani a <code>config/config-metarefresh.php</code> fájlt:

'template' => array(
'authproc' => array(
51 => array('class' => 'core:AttributeMap', 'oid2name'),
55 => array('class' => 'attributescope:FilterAttributes'),
),
'scopedattributes' => array('eduPersonScopedAffiliation', 'eduPersonPrincipalName'),
),

[[Category: AAI]] [[Category: simpleSAMLphp]] [[Category: HOWTO]]

Common-lib-terms

2013-05-06T09:04:51Z

Sitya(AT)niif.hu: /* Meghatározás */

==Meghatározás==
A <code>common-lib-terms</code> az <code>[[HREFAttributeSpec#eduPersonEntitlement|eduPersonEntitlement]]</code> attribútum egy speciális jelentéssel felruházott értéke. A teljes attribútum érték a következő: <code>urn:mace:dir:entitlement:common-lib-terms</code>. Ezen rögzített attribútumérték kiadását az egyes intézményekkel szerződéses viszonyban álló folyóirat-kiadók (pl. Ebscohost, Sciencedirect) várják el, amely érték az intézmény oktatóinak, kutatóinak és hallgatóinak járhat. (Ezek a <code>faculity, staff</code> és <code>student</code> <code>[[HREFAttributeSpec#eduPersonScopedAffiliation|affiliation]]</code> értékkel bíró felhasználók).

További információ (angolul): http://middleware.internet2.edu/urn-mace/urn-mace-dir-entitlement.html

==Technikai útmutató==
Az intézményi IdP attribútumszűrőjén egyfelől engedélyezni kell a megadott kiadókhoz tartozó SP-k számára az eduPersonEntitlement attribútum kiadását, másfelől be kell állítani, hogy a megadott affiliation értékkel rendelkező felhasználók megkapják a <code>urn:mace:dir:entitlement:common-lib-terms</code> értéket az <code>eduPersonEntitlement</code> attribútumban.
===Shibboleth IdP===
Shibboleth IdP-nél az <code>attribute-resolver.xml</code>-ben kell kibővíteni az <code>eduPersonEntitlement</code> definícióját az alábbiak szerint.
<source lang="xml">

<resolver:AttributeDefinition xsi:type="Script"
xmlns="urn:mace:shibboleth:2.0:resolver:ad"
id="eduPersonEntitlement"
sourceAttributeID="eduPersonEntitlement">

<resolver:Dependency ref="myLDAP" />
<resolver:Dependency ref="eduPersonAffiliation" />

<resolver:AttributeEncoder xsi:type="SAML1String"
xmlns="urn:mace:shibboleth:2.0:attribute:encoder"
name="urn:mace:dir:attribute-def:eduPersonEntitlement" />
<resolver:AttributeEncoder xsi:type="SAML2String"
xmlns="urn:mace:shibboleth:2.0:attribute:encoder"
name="urn:oid:1.3.6.1.4.1.5923.1.1.1.7"
friendlyName="eduPersonEntitlement" />

<Script><![CDATA[
importPackage(Packages.edu.internet2.middleware.shibboleth.common.attribute.provider);
// Create attribute to be returned from definition
if (eduPersonEntitlement == null) eduPersonEntitlement = new BasicAttribute("eduPersonEntitlement");
if (eduPersonAffiliation.getValues().contains("staff") || eduPersonAffiliation.getValues().contains("student")) {
eduPersonEntitlement.getValues().add("urn:mace:dir:entitlement:common-lib-terms");
}
]]></Script>
</resolver:AttributeDefinition>
</source >

===simpleSAMLphp===
Be kell szúrni az attribútumgeneráló folyamatba egy tetszőleges sorszámmal, amely már ismeri a felhasználóhoz tartozó affiliation értéket.

<source lang="php">
70 => array(
'class' => 'core:AttributeAlter',
'subject' => 'affiliation',
'pattern' => '/staff|student|faculity/',
'replacement' => 'urn:mace:dir:entitlement:common-lib-terms',
'target' => 'eduPersonEntitlement',
),
</source>

[[Category: AAI]]
[[Category: eduid]]

Common-lib-terms

2013-05-06T09:02:02Z

Sitya(AT)niif.hu:

==Meghatározás==
A <code>common-lib-terms</code> az <code>eduPersonEntitlement</code> attribútum egy speciális jelentéssel felruházott értéke. A teljes attribútum érték a következő: <code>urn:mace:dir:entitlement:common-lib-terms</code>. Ezen rögzített attribútumérték kiadását az egyes intézményekkel szerződéses viszonyban álló folyóirat-kiadók (pl. Ebscohost, Sciencedirect) várják el, amely érték az intézmény oktatóinak, kutatóinak és hallgatóinak járhat. (Ezek a <code>faculity, staff</code> és <code>student</code> affiliation értékkel bíró felhasználók).

További információ (angolul): http://middleware.internet2.edu/urn-mace/urn-mace-dir-entitlement.html

==Technikai útmutató==
Az intézményi IdP attribútumszűrőjén egyfelől engedélyezni kell a megadott kiadókhoz tartozó SP-k számára az eduPersonEntitlement attribútum kiadását, másfelől be kell állítani, hogy a megadott affiliation értékkel rendelkező felhasználók megkapják a <code>urn:mace:dir:entitlement:common-lib-terms</code> értéket az <code>eduPersonEntitlement</code> attribútumban.
===Shibboleth IdP===
Shibboleth IdP-nél az <code>attribute-resolver.xml</code>-ben kell kibővíteni az <code>eduPersonEntitlement</code> definícióját az alábbiak szerint.
<source lang="xml">

<resolver:AttributeDefinition xsi:type="Script"
xmlns="urn:mace:shibboleth:2.0:resolver:ad"
id="eduPersonEntitlement"
sourceAttributeID="eduPersonEntitlement">

<resolver:Dependency ref="myLDAP" />
<resolver:Dependency ref="eduPersonAffiliation" />

<resolver:AttributeEncoder xsi:type="SAML1String"
xmlns="urn:mace:shibboleth:2.0:attribute:encoder"
name="urn:mace:dir:attribute-def:eduPersonEntitlement" />
<resolver:AttributeEncoder xsi:type="SAML2String"
xmlns="urn:mace:shibboleth:2.0:attribute:encoder"
name="urn:oid:1.3.6.1.4.1.5923.1.1.1.7"
friendlyName="eduPersonEntitlement" />

<Script><![CDATA[
importPackage(Packages.edu.internet2.middleware.shibboleth.common.attribute.provider);
// Create attribute to be returned from definition
if (eduPersonEntitlement == null) eduPersonEntitlement = new BasicAttribute("eduPersonEntitlement");
if (eduPersonAffiliation.getValues().contains("staff") || eduPersonAffiliation.getValues().contains("student")) {
eduPersonEntitlement.getValues().add("urn:mace:dir:entitlement:common-lib-terms");
}
]]></Script>
</resolver:AttributeDefinition>
</source >

===simpleSAMLphp===
Be kell szúrni az attribútumgeneráló folyamatba egy tetszőleges sorszámmal, amely már ismeri a felhasználóhoz tartozó affiliation értéket.

<source lang="php">
70 => array(
'class' => 'core:AttributeAlter',
'subject' => 'affiliation',
'pattern' => '/staff|student|faculity/',
'replacement' => 'urn:mace:dir:entitlement:common-lib-terms',
'target' => 'eduPersonEntitlement',
),
</source>

[[Category: AAI]]
[[Category: eduid]]

Common-lib-terms

2013-05-06T08:34:21Z

Sitya(AT)niif.hu: Új oldal, tartalma: „==Meghatározás== A <code>common-lib-terms</code> az <code>eduPersonEntitlement</code> attribútum egy speciális jelentéssel felruházott értéke. A teljes attribú…”

Attribute Conversion for eduGAIN

2013-05-02T09:18:23Z

Sitya(AT)niif.hu:

JRA5 Attribute Conversion allows a Bridging Element administrator to define rules to transform attributes being released or received. The same logic can work in both Home and Remote Bridging Elements.
== Introduction ==
[[Image:JRA5Attributes_bigpicture.png|Attributes:The Big Attribute Picture]]

Attributes are travelling on the wire in eduGAIN-defined format, ie. SAML. Naming attributes and defining their contents might be a standardization task of eduGAIN operators; however it should be possible for federations to agree on custom set of attributes ''beyond "eduGAIN commons"''.

Attribute Conversion only adds attributes (or values) to the attribute set; use [[JRA5AttributeConversion#Attribute_Filtering | Attribute Filtering]] for filtering out unnecessary attributes. It also means that if no rules match an attribute, then it will go to the filter unmodified - so conversion works with a '''default by-pass policy'''.

== Attribute conversion rule concepts==
Most of the rules are based on standard [http://en.wikipedia.org/wiki/Regular_expression regular expressions] and [http://en.wikipedia.org/wiki/Unified_Expression_Language Unified Expression Language].

Each rule works on the actual attribute set which is not necessarily the initial set, as each rule can alter the set (ie. by changing values or names, adding new attributes to the set). This means that the '''order of the rules is important'''.

Every rule consists of two parts: condition and action. The condition element is used to determine whether this particular rule is to be processed or not. Thus, the rule action is only processed when all the conditions are met (a rule without any conditions is processed by default).

The condition engine now only supports regular expression -based matching rules. There are three types of matching rules
* local federation peer's identifier (LocalProviderMatch)
* remote federation peer's identifier (RemoteProviderMatch)
* attribute values (AttributeMatch)

The rule's action is to create new attributes (or to modify existing ones). Please refer to the detailed BasicRule, MergeRule, SplitRule documentation below.

== Attribute conversion rule types ==
=== BasicRule ===
The Basic rule is the simplest attribute conversion rule type. It can create one attribute and optionally use one attribute and regular expressions to transform attribute values.

Basic Rule can create static attributes. You can achieve this by omitting the Condition node. The <code>replaceValues</code> parameter is true by default, so if you want to append values to (probably) existing attributes, you must declare it using <code>replaceValues="false"</code>. Also note that you can use multiple AttributeValue nodes.

<source lang="xml">
<BasicRule>
<Description>Create static attribute (or append to existing if attribute with this name already exists)</Description>
<Attribute attributeName="eduPersonScopedAffiliation" replaceValues="false">
<AttributeValue>staff@niif.hu</AttributeValue>
<AttributeValue>member@href.hu</AttributeValue>
</Attribute>
</BasicRule>
</source>

The next rule is using remote provider matching to determine whether the remote side has an identifier of 'urn:geant:edugain:be:' and any Hungarian domain appended to it.

<source lang="xml">
<BasicRule>
<Description>Create static attribute for some remote providers</Description>
<Condition>
<RemoteProviderMatch>^urn:geant:edugain:be:[^:]+\.hu$</RemoteProviderMatch>
</Condition>
<Attribute attributeName="homeOrganization">
<AttributeValue>niif.hu</AttributeValue>
</Attribute>
</BasicRule>
</source>

This example shows how to rename an attribute without converting its values. Note that you must use <code>AttributeMatch</code> without regular expressions to achieve this.

<source lang="xml">
<BasicRule>
<Description>Rename attribute uid to edupersonPrincipalName</Description>
<Condition>
<AttributeMatch attributeName="uid"/>
</Condition>
<Attribute attributeName="edupersonPrincipalName">
<AttributeValue>${uid}</AttributeValue>
</Attribute>
</BasicRule>
</source>

The next example demonstrates the use of regular expression matching groups.

<source lang="xml">
<BasicRule>
<Decription>Transform 'o=org,c=country'-style OrgDN to DNS-based homeOrganization</Decription>
<Condition>
<AttributeMatch attributeName="edupersonOrgDN" id="regex">o=(.*),c=(.*)</AttributeMatch>
</Condition>
<Attribute attributeName="homeOrganization">
<AttributeValue>${regex[1]}.${regex[2]}</AttributeValue>
</Attribute>
</BasicRule>
</source>

This last example needs some more explanation. When you want to reference the regular expression matching groups (enclosed by parentheses), you must define the reference name with the 'id' parameter of <code>AttributeMatch</code>. Then, use <code>${id[0]}</code> to refer to the whole regular expression match (ie. the whole attribute value), and <code>${id[N]}</code> to refer to the Nth. matching group of the regular expression.
{{INFO_EN|You cannot reference regular expressions from another rule.}}

=== MergeRule ===
The merge rule can merge two or more attributes into one. The attributes whose values you want to merge is declared using the InputAttribute node. You can also use the condition node, but only with <code>RemoteProviderMatch</code> and <code>LocalProviderMatch</code> (<code>AttributeMatch</code> is ignored).

This example shows how to combine two attribute values:

<source lang="xml">
<MergeRule>
<Description>Merges the uid and homeOrganization to edupersonPrincipalName</Description>
<InputAttribute attributeName="homeOrganization" />
<InputAttribute attributeName="uid" />
<Attribute attributeName="edupersonPrincipalName" replaceValues="true">
<AttributeValue>${uid}@${homeOrganization}</AttributeValue>
</Attribute>
</MergeRule>
</source>

You can also use regular expressions, as with '''BasicRule'''.

=== SplitRule ===
The '''SplitRule''' is very similar to the '''MergeRule''', the only difference is that the '''SplitRule''' contains one <code>InputAttribute</code> and more <code>Attribute</code> nodes.

<source lang="xml">
<SplitRule>
<Description>Split the edupersonScopedAffiliation to edupersonAffiliation and homeOrganization</Description>
<InputAttribute attributeName="edupersonScopedAffiliation" id="scopedAffiliation" >^([^@]+)@(.+)$</InputAttribute>
<Attribute attributeName="edupersonAffiliation">
<AttributeValue>${scopedAffiliation[1]}</AttributeValue>
</Attribute>
<Attribute attributeName="homeOrganization">
<AttributeValue>${scopedAffiliation[2]}</AttributeValue>
</Attribute>
</SplitRule>
</source>

=== CustomRule ===
If you need to create new attributes from program (eg. appending generated identifiers), you can use the '''CustomRule''' type.

<source lang="xml">
<CustomRule className="org.test.MyCustomRuleImpl">
<Configuration>

</Configuration>
</CustomRule>
</source>

'''CustomRule''' class must implement the <code>net.geant.edugain.attributes.rules.Rule</code> interface, configuration can be read with the DOM API. Please refer to the Attribute Converter JavaDOC, and see the test package as it contains a sample implementation.

=== Negating matches ===
If your federation has ''optional'' attributes then sometimes it is desirable to process rules '''only if a particular attribute does not exist.''' Therefore it is possible to append a '''<code>negate</code>''' boolean attribute (setting it to '''true''') to the <code><*Match></code> nodes (inside the <code><Condition></code> element) to revert the match. It means that the rule is only processed if there is no match for the given value.

The following example creates <code>preferredLanguage</code> only if it is not set by the IdP (or by the peer's home bridging element):

<source lang="xml">
<BasicRule>
<Decription>Create preferredLanguage only if source has not supplied it</Decription>
<Condition>
<AttributeMatch attributeName="preferredLanguage" negate="true"/>
</Condition>
<Attribute attributeName="preferredLanguage">
<AttributeValue>hu, en-gb;q=0.8, en;q=0.7</AttributeValue>
</Attribute>
</BasicRule>
</source>

== Using attribute name mapper ==
For interoperability, SAML AttributeStatement carries attribute names with URN-style attribute naming scheme. For example, the 'mail' logical attribute name can be named as <code>'urn:mace:dir:attribute-def:mail'</code>, or <code>'urn:oid:0.9.2342.19200300.100.1.3'</code>. Shibboleth2 further encourages federations to use the latter form (ie. the LDAP oid).

The eduGAIN Attribute Converter library comes with an attribute name mapping subsystem. With the help of the attribute name mapper, system administrators can '''write the attribute converter configuration independently of the currently used attribute name format in AttributeStatement'''.

=== Attribute name mapper concepts ===
As the attribute conversion sits between two federations (and probably two attribute naming schemes), there are two types of physical attributes: the 'input' and 'output' attributes. Note that these notation is different in Home and Remote BEs: Home BE releases attributes to the eduGAIN federation, Remote BE releases attributes to the local federation. So the eduGAIN format is the''' 'output' attribute format of the Home BE, and the 'input' format of the Remote BE.'''

The following example shows the difference between logical and physical attribute names.

{| {{wikitable}}
|+ '''Input and output attribute names'''
! Physical input attribute name !! Logical attribute name !! Physical output attribute name
|-
|urn:mace:dir:attribute-def:mail
|rowspan="2"| <center>'''mail'''</center>
|rowspan="2"| urn:mace:dir:attribute-def:mail
|-
|urn:oid:0.9.2342.19200300.100.1.3
|-
|}

=== Configuration of the attribute name mapper ===
The configuration xml of the attribute name mapper consists of one or more AttributeDefinition nodes. Each AttributeDefinition node specifies one logical attribute name (called 'id') and one physical AttributeName - which is the physical 'output' attribute name format. You can also specify AttributeNamespace (for SAML1.0).

The 'input' attribute names are configured using the 'Attribute' node. Note that the output name is also interpreted as input name, so it is not necessary to declare it twice.

<source lang="xml">
<AttributeDefinition
Id="mail"
AttributeName="urn:mace:dir:attribute-def:mail">
<Attribute AttributeName="urn:oid:0.9.2342.19200300.100.1.3" />
</AttributeDefinition>
</source>

=== Using logical attribute names ===
When attribute name is referenced in a conversion rule, attribute mapper tries to interpret it as logical attribute name. Note that the logical attribute names are case-insensitive.

=== Using SAML1.1 Namespaces ===
EduGAIN Bridging Elements use SAML1.1 as communication protocol. SAML1.1 forces the use of Attribute NameSpace. You can specify the exact namespace in the attribute name mapping configuration using the 'AttributeNameSpace' attribute (with both the AttributeDefinition and Attribute nodes). When you use AttributeNameSpace, the input matching considers two attributes with the same name but different namespace different. The output attributes will contain the namespace information.

== Attribute Filtering ==
=== Concepts ===
At Home BE, Filtering normally gets its incoming attribute set from Conversion; at Remote BE, it gets incoming attributes from the other bridging element.

From a technical viewpoint, Attribute Filtering is just a Rule extension to Conversion, so you can use most of the features of Converter, especially regular expressions and matching conditions. One major difference is that '''only explicitly allowed attributes can pass through''', so you have to list all the attributes that you want to support in eduGAIN.

Filter uses name mappers in the same way as Converter. So you should define your attributes there before you start using 'friendly' attribute names here.
=== Allowing and denying attributes ===
Three main rules of the filtering:
# Default action is to deny ALL attributes.
# You can allow/deny whole attributes or specific values of the attributes.
# The first rule decides. If you allowed something, you can not deny it later and vice versa. So start with the special rules and leave the generic rules to the end.

You can allow an attribute by using <code><AllowAttribute></code> element and deny it with <code><DenyAttribute></code>. Each element can optionally have child elements <code><AttributeValue></code>, which means that the action is only performed on certain values of the attribute.

{{INFO_EN|An attribute is removed from the set if its last value is removed. It means that it's not possible to pass through attributes without at least one value.}}
=== Using conditions ===
You can use the <code><Condition></code> node in a filter rule just like with converter. The syntax is the same. So if you omit the <code>Condition</code> element then the rule is evaluated unconditionally.

There is one slight difference: in FilterRule, '''AttributeMatch is always evaluated on the original input attribute set'''. It means that you can reference attributes in conditions even if they were allowed or denied before. (This is what you would normally expect, though.)

You can allow or deny multiple attributes within one <code><FilterRule></code>. Note that the rule only applies if all the conditions within its <code><Condition></code> element evaluate to true.
=== Examples ===
<source lang="xml">
<?xml version="1.0" encoding="UTF-8"?>
<AttributeFilter xmlns='urn:geant:edugain:attribute-mangling:1.0'
xmlns:xsi='http://www.w3.org/2001/XMLSchema-instance'
xsi:schemaLocation='urn:geant:edugain:attribute-mangling:1.0 AttributeMangling.xsd'>

<FilterRule>
<Description>Unconditional allowing and denying. The main rule is to deny ALL attributes.</Description>
<AllowAttribute attributeName="mail" />
<AllowAttribute attributeName="cn" />
<AllowAttribute attributeName="eppn" />
<DenyAttribute attributeName="userPassword" />
<DenyAttribute attributeName="uid" />
<DenyAttribute attributeName="homeOrganization" />
<AllowAttribute attributeName="schacHomeOrganization" />
</FilterRule>

<FilterRule>
<Description>Use conditions - allow only specific attribute values</Description>
<Condition>
<LocalProviderMatch>^urn:.*\.hu$</LocalProviderMatch>
</Condition>
<AllowAttribute attributeName="eduPersonEntitlement">
<AttributeValue>^.*@.*\.hu$</AttributeValue>
</AllowAttribute>
</FilterRule>

<FilterRule>
<Description>Use conditions - reference any attribute</Description>
<Condition>
<AttributeMatch attributeName="homeOrganization">niif.hu</AttributeMatch>
</Condition>
<AllowAttribute attributeName="eduPersonEntitlement">
<AttributeValue>^.*@niif\.hu$</AttributeValue>
</AllowAttribute>
</FilterRule>

</AttributeFilter>
</source>

== Integration ==
You can integrate Attribute Conversion and Filtering into your Bridging Element by using these java code snippets. (Of course, edugain.jar and converter.jar need to be placed on the classpath.)

=== Initialization time ===
This code needs to be invoked in BE initialization time (and not in runtime, as XML configuration parsing is a time-consuming process).

<source lang="java">
// get a reference to the AttributeConverterFactory singleton object
AttributeConverterFactory factory = AttributeConverterFactory.getInstance();
// set the configuration file paths (which paths can be set in web.xml for example)
factory.setAttributeConverterFilePath("path-to-converter.xml");
factory.setAttributeFilterFilePath("path-to-filter.xml");
factory.setAttributeNameMapperFilePath("path-to-namemapper.xml");

// create converter and filter objects
try {
AttributeConverter converter = factory.createAttributeConverter();
AttributeFilter filter = factory.createAttributeFilter();
} catch (ConfigurationException ex) {
// handle configuration errors (missing files, not valid xmls and more issues)
log.error(ex);
}
</source>

=== Runtime ===
This code is invoked in BE runtime. You should have a List of AttributeValues, which was either received from the IdP or from the H-BE. You will get the output attribute set after invoking <code>process()</code> method. Note that <code>process()</code> takes two more arguments: <code>remote</code> and <code>local</code>. These represent the local and remote peers that your BE bridges together. Use of these identifiers is optional, you can pass <code>null</code>.

{{ATTENTION_EN|If you do not pass <code>local</code> or <code>remote</code> then rules containing <code>LocalProviderMatch</code> or <code>RemoteProviderMatch</code> will '''NOT''' be executed.}}

<source lang="java">
String remote = "remote-federation-peer-identifier";
String local = "local-federation-peer-identifier";

// get Attributes from the assertion
List<AttributeValues> input = ...;

// Call converter and filter in order.
// Home BE should call converter first, remote BE should call filter first.
if (isHomeBE) {
List<AttributeValues> output = converter.process(input, remote, local);
output = filter.process(output, remote, local);
} else {
List<AttributeValues> output = filter.process(input, remote, local);
output = converter.process(output, remote, local);
}

// process output here, create new assertion, etc.
</source>

== Testing ==
=== XMLTest.sh ===
Attribute conversion library comes with XML-based test framework. The test can be invoked by the <code>net.geant.edugain.attributes.xmltest.AttributeConverterTest</code> main class. There is the '''<code>XMLTest.sh</code>''' script attached to the project, which makes it easy to execute the testing framework.

$ ./XMLTest.sh

Attribute Converter Test usage

java AttributeConverterTest
[-debug]
[-converterconfig AttributeConverter.xml]
[-filteringconfig AttributeFilter.xml]
[-attributenameconfig AttributeNameMapping.xml]
[-output output.xml]
input.xml

==== Example test configuration ====
The <code>xmltest/</code> directory contains the following examples

'''<code>AttributeNameMapper.xml</code>''' converter name mapper configuration
<source lang="xml">
<?xml version="1.0" encoding="UTF-8"?>
<AttributeMapper
xmlns='urn:geant:edugain:attribute-mapper:1.0'>

<AttributeDefinition
Id="mail"
AttributeName="urn:mace:dir:attribute-def:mail">
<Attribute AttributeName="urn:oid:0.9.2342.19200300.100.1.3" />
</AttributeDefinition>

<AttributeDefinition
Id="edupersonAffiliation"
AttributeName="urn:mace:dir:attribute-def:eduPersonAffiliation" />

<AttributeDefinition
Id="homeOrganization"
AttributeName="urn:mace:dir:attribute-def:homeOrganization" />

<AttributeDefinition
Id="cn"
AttributeName="urn:mace:dir:attribute-def:cn">
<Attribute AttributeName="urn:oid:2.5.4.3"/>
</AttributeDefinition>
</AttributeMapper>
</source>

'''<code>AttributeConverter.xml</code>''' converter configuration
<source lang="xml">
<?xml version="1.0" encoding="UTF-8"?>
<AttributeConverter
xmlns='urn:geant:edugain:attribute-mangling:1.0'>
<BasicRule>
<Description>Create static attribute</Description>
<Attribute attributeName="eduPersonAffiliation" replaceValues="false">
<AttributeValue>staff@niif.hu</AttributeValue>
</Attribute>
</BasicRule>
<BasicRule>
<Description>Create static attribute for some remote providers</Description>
<Condition>
<RemoteProviderMatch>^urn:geant:edugain:be:[^:]+\.hu$</RemoteProviderMatch>
</Condition>
<Attribute attributeName="homeOrganization">
<AttributeValue>niif.hu</AttributeValue>
</Attribute>
</BasicRule>
<MergeRule>
<Description>Merges the common name to the email address(es)</Description>
<InputAttribute attributeName="cn" />
<InputAttribute attributeName="mail" />
<Attribute attributeName="mail" replaceValues="true">
<AttributeValue>${cn} <${mail}></AttributeValue>
</Attribute>
</MergeRule>
</AttributeConverter>
</source>

'''<code>AttributeTest.xml</code>''' test input xml
<source lang="xml">
<?xml version="1.0" encoding="UTF-8"?>
<AttributeTest
xmlns='urn:geant:edugain:attribute-test:1.0'
Remote="urn:geant:edugain:be:niif.hu" >
<Attribute AttributeName="urn:oid:0.9.2342.19200300.100.1.3">
<AttributeValue>adam.lantos@niif.hu</AttributeValue>
<AttributeValue>hege@niif.hu</AttributeValue>
</Attribute>
<Attribute AttributeName="urn:mace:dir:attribute-def:eduPersonAffiliation">
<AttributeValue>staff</AttributeValue>
</Attribute>
<Attribute AttributeName="urn:oid:2.5.4.3">
<AttributeValue>Adam Lantos</AttributeValue>
</Attribute>
</AttributeTest>
</source>

==== Output of the example ====

$ ./XMLTest.sh \
-converterconfig xmltest/AttributeConverter.xml \
-attributenameconfig xmltest/AttributeNameMapper.xml \
xmltest/AttributeTest.xml

AttributeConverter.<init> (80) : Creating new rule: class net.geant.edugain.attributes.rules.BasicRule
AttributeConverter.<init> (81) : Rule Description: Create static attribute
AttributeConverter.<init> (80) : Creating new rule: class net.geant.edugain.attributes.rules.BasicRule
AttributeConverter.<init> (81) : Rule Description: Create static attribute for some remote providers
AttributeConverter.<init> (80) : Creating new rule: class net.geant.edugain.attributes.rules.MergeRule
AttributeConverter.<init> (81) : Rule Description: Merges the common name to the email address(es)
<?xml version="1.0" encoding="UTF-8" standalone="yes"?>
<AttributeTest xmlns="urn:geant:edugain:attribute-test:1.0">
<Attribute AttributeName="urn:mace:dir:attribute-def:eduPersonAffiliation">
<AttributeValue>staff</AttributeValue>
<AttributeValue>staff@niif.hu</AttributeValue>
</Attribute>
<Attribute AttributeName="urn:mace:dir:attribute-def:mail">
<AttributeValue>Adam Lantos &lt;adam.lantos@niif.hu&gt;</AttributeValue>
<AttributeValue>Adam Lantos &lt;hege@niif.hu&gt;</AttributeValue>
</Attribute>
<Attribute AttributeName="urn:mace:dir:attribute-def:homeOrganization">
<AttributeValue>niif.hu</AttributeValue>
</Attribute>
<Attribute AttributeName="urn:mace:dir:attribute-def:cn">
<AttributeValue>Adam Lantos</AttributeValue>
</Attribute>
</AttributeTest>

=== Real-life examples ===
{{TODO_EN|Please post your BE configuration here.}}
==== Hungarnet ====
===== Home =====
===== Remote =====

[[Kategória: english]]
[[Kategória: AAI]]

Attribute Conversion for simpleSAMLphp

2013-05-02T09:18:02Z

Sitya(AT)niif.hu:

This page describes the features of Attribute Conversion and Filtering library for simpleSAMLphp

== Introduction ==
[http://edugain.org eduGAIN] uses Bridging Elements for interconnecting federations. To provide attribute translation and filtering services, an [[Attribute_Conversion_for_eduGAIN | attribute 'mangling' library]] was developed for the Java-based bridging elements. As [http://rnd.feide.no/simplesamlphp/ simpleSAMLphp] can also be used as an eduGAIN bridging element, the conversion and filtering library was ported to PHP.

'''Beyond eduGAIN, you can use this module for every IdP or SP operating mode (shib13 SP/IdP, saml2 SP/IdP) of simpleSAMLphp in order to provide more powerful attribute conversion and filtering capabilities.'''

== Download and support ==
You can download the module from [https://www.aai.niif.hu/ssp-attributes here]. The module is in beta stage, it needs broader community review. It is not yet recommended for production environments.

If you have any questions regarding the module, please write to '''aai _aT_ niif _dOt hu''.

For changelogs please visit the [https://repo.niif.hu/gitweb/gitweb.cgi?p=simplesamlphp-edugain project repository].

== Compatibility ==
=== eduGAIN ===
This library is intended to be configuration-compatible with the [http://edugain.org eduGAIN] [[Attribute_Conversion_for_eduGAIN]] Java library. The module can read the eduGAIN converter and filter engine XML configuration files and should operate the same way as the Java one.
=== Configuration files ===
The eduGAIN attribute converter and filter module defines its own XML schema for attribute conversion and attribute filtering purposes. See the [[Attribute_Conversion_for_eduGAIN]] page for more information on attribute rules.

== Using the module ==
This module has a working name <code>edugain</code>. As this module only addresses the attribute translation part of the 'eduGAIN-problem', it might be renamed later.
=== Enabling the simpleSAMLphp module ===
This module depends on the '''xsl''' php extensions (more specifically, the ''XSLTProcessor'' class), so make sure it is properly configured.

The module can be enabled by creating an empty file named <code>modules/edugain/default-enable</code>.
=== simpleSAMLphp module configuration ===
EduGAIN is available for simpleSAMLphp as an authentication processing filter: ''edugain:Attributes''. The Attributes processing filter takes the following configuration properties:

<source lang="php">
'authproc' => array(
50 => array(
'class' => 'edugain:Attributes',
'mode' => 'idp',
'converterconfig' => '/path/to/AttributeConverter.xml',
'filterconfig' => '/path/to/AttributeFilter.xml',
'cache' => true
)
)
</source>
;Configuration parameters for the module
* '''class''' (required): defines the eduGAIN filter for simpleSAMLphp.
* '''mode''' (required): configures the way this module operates (<code>idp</code> or <code>sp</code>). See [[#Operating_modes | below for more information on operating modes]]
* '''converterconfig''' (optional): configures the path of the attribute converter configuration xml file.
* '''filterconfig''' (optional): configures the path of the attribute filter configuration xml file.
* '''cache''' (optional, default: true): enables or disables the internal configuration cache. See the [[#Configuration_cache]] section below for more.

{{INFO_EN|If either <code>converterconfig</code> or <code>filterconfig</code> is omitted, than the relevant part of the module (conversion or filtering respectively) is disabled. Note that '''disabling filter means you let all the attributes through'''. }}

== Operating modes ==
EduGAIN module can operate in two modes, '''idp''' or '''sp'''. This mode affects two behaviors: the conversion-filtering order, and the provider matching.

* in '''idp''' mode, attribute filter is run '''after''' conversion, and the RemoteProvider match is done against the SP (or R-BE in eduGAIN bridged environment) which initiated the SSO session .
* in '''sp''' mode, attribute filter is run '''before''' conversion, and the RemoteProvider match is done against the IdP (or H-BE in eduGAIN bridged environment) which released the attributes to our simpleSAMLphp SP.

== Configuration file ==
The simpleSAMLphp eduGAIN module reads the eduGAIN XML configuration format and transforms it into php arrays using XSL transformation. The submodules (''edugain:SplitMerge'' and ''edugain:Filter'') are configured automatically by the edugain:Attributes class.

PHP configuration interface for these filters are not supported at the moment and may be subject to change, so please use the XML configuration.

=== Configuration cache ===
The XML reading is very time-consuming but conversion and filtering rules should be evaluated on every request. Because of that, the eduGAIN module can cache the XML configuration into a serialized PHP array, which is stored locally in a directory named <code>cache</code>. If the XML file is not updated since the last cache file generation then the cache is used and the XML parsing part is skipped. Cache file name is computed according to the following:
md5(full_configuration_file_path).cache.php

{{INFO_EN|Enabling the cache is strongly recommended in production environments.}}

== Differences between the Java and the PHP implementations ==
* There is no '''CustomRule''' for attribute conversion. One can use simpleSAMLphp authentication processing filter API to implement arbitrary conversion rules.
* '''LocalProvider''' matching is unsupported in simpleSAMLphp. Unfortunately when simpleSAMLphp is in bridging mode (using the SP module to protect an IdP), the IdP processing filters do not see the peer entity of the SP module. However, you can achieve the correct behavior by putting one ''edugain:Attributes'' processing filter in the SP configuration and use '''RemoteProvider''' matches to filter and convert attributes there.
* You don't need to use a separate attribute name mapper, because simpleSAMLphp contains built-in '''name2oid''','''oid2name''', '''name2urn''' and '''urn2name''' methods, which provide the same functionality.
* Regular expressions are somewhat different in PHP. The eduGAIN module uses perl-compatible regular expressions (see [http://hu.php.net/manual/en/function.preg-match.php preg_match documentation] for details).

[[Kategória: AAI]]
[[Kategória: english]]
[[Kategória: simplesamlphp]]

Attribute Conversion for simpleSAMLphp

2013-05-02T09:17:48Z

Sitya(AT)niif.hu:

AttributePushPull

2013-05-02T09:16:19Z

Sitya(AT)niif.hu:

Egy IdP és egy SP között az attribútumok átadása ''push'' és ''pull'' modell szerint történhet.

== Attribute Pull ==
'''Attribute Pull''' esetén a folyamat az alábbi:
# IdP azonosítja a felhasználót (ill. feldolgozza az autentikációs kérést)
# IdP autentikációs [[Assertion|igazolást]] állít ki és elküldi az SP-nek
# SP attribútum kérést (AttributeRequest) küld az IdP-nek
# IdP attribútum [[Assertion|igazolást]] állít ki, mely a felhasználó attribútumait tartalmazza, majd ezt visszaküldi az SP-nek

== Attribute Push ==
'''Attribute Push''' használata esetén az IdP által küldött első válaszba beágyazva szerepelnek az attribútumok, ezért az SP részéről nincs szükség további kérésekre, a folyamat tehát a következő módon zajlik:
# IdP azonosítja a felhasználót (ill. feldolgozza az autentikációs kérést)
# IdP autentikációs '''és attribútum''' [[Assertion|igazolást]] állít ki és ezeket egyetlen válaszként elküldi az SP-nek

== Alkalmazási terület ==
Shibboleth esetén [[SAMLBrowserPOST | Browser/POST]] profil használata esetén a ''pull'' modell, míg [[SAMLBrowserArtifact | Browser/Artifact]] profil esetén a ''push'' modell az alapértelmezett, ám ez felülbírálható.

Bizonyos föderációs megvalósítások (pl. a [[SimpleSAMLphp]]) csak a ''push'' modellt támogatják, mivel ennek implementációja egyszerűbb.

{{INFO|Nagyméretű attribútumok használata esetén a válasz mérete is elég nagy lehet, ezért ez [[SAMLBrowserPOST | POST]] profil esetén esetleg kényelmetlenséget (lassú működést) okozhat.}}

[[Kategória: Meghatározások]]
[[Kategória: AAI]]

ArpFilterProposal

2013-05-02T09:15:38Z

Sitya(AT)niif.hu:

{{Trash}}
== ArpFilter before the profile servlet - support for other authentication modules ==

ArpFilter and ArpViewer works great, but there is one big problem with ArpFilter: it only supports REMOTE_USER -based authentication. Shibboleth2 IdP comes with username and password module, which can be extended to use with any JAAS-compliant Login module. Unfortunately, current ArpFilter design can not work with this module.

So I made some research to find out how to bring ArpFilter and Shibboleth IdP's internal authentication modules together. My motivation was to support the shipped UserPassword authentication and many of the features that Shibboleth IdP has (forceAuthn, isPassive).

I found out that ArpFilter only depends on Shibboleth's LoginContext. This LoginContext is created by the profile handler code and interpreted by the authentication engine (and authentication modules) - then, after authentication succeeds, the profile handler processes the LoginContext and issues the response to the SP that requested it.

So my idea is simple: why ArpFilter is put before the authentication servlets instead of the profile handler servlet?

I got ArpFilter work before the profile servlet, but not quite sure whether my solution works in all use cases where it should do. I have tested it with SAML2 requests and UserPassword authentication and it seemed to work. Even the PreviousSession authentication handler did with no additional need of PreviousSessionServlet.

Of course I made some modifications to the original ArpFilter code, but not too much. Basically, it just looks for LoginContext and makes sure the profile servlet gets the LoginContext, even if ArpFilter is called.

The code logic is the following:
* Ensure that the request is made to the profile servlet.
* Try to get LoginContext from session.
** If LoginContext is found in the session, transfer it back to the request scope and remove it from the session.
* Try to get LoginContext from request scope.
** If no LoginContext found, proceed to the profile servlet and exit.
** Else process the request as usual, and find username in the IdP session.
* In the case when ArpFilter decides to hand over the control to the ArpViewer application, save the LoginContext back to Session.

I needed one more little modification to web.xml: remove filters from /Authn/ servlets and put the ArpFilter in front of the ProfileHandlerServlet (and include the 'forward' dispatcher here, because the profile handler servlet gets the second request from the authentication engine with servlet forward - when the authentication is succeeded).
[[Kategória: AAI]][[Kategória: english]]

ArpFilterProposal

2013-05-02T09:15:29Z

Sitya(AT)niif.hu:

ArchiveOverFilesender

2013-05-02T09:14:50Z

Sitya(AT)niif.hu:

Az archiver aszinkron módon működik, így közvetlenül a böngészőből nem tölthetünk fel archiválandó file-okat, azonban van arra lehetőség, hogy a '''[https://filesender.niif.hu/ Filesender]''' szolgáltatását használva a desktop gépünkről archiváljunk adatokat.

Az ötlet nagyon egyszerű:
# Feltöltjük az állományt a filesenderre
# Saját magunknak elküldjük a file-t
# Levélben megkapjuk a file letöltési URL-jét. Ezt kimásoljuk.
# Az archiváláshoz a '?' karakter elé be kell szúrni: download.php.
# A mentéshez mindenképpen file nevet kell megadni.

[[Image:Filesender2.png]]

Ennyi. :)
[[Kategória: Arhiver]]

Alkalmazások samlizálást segítő teszt IdP simplesamlPHP segítségével

2013-05-02T09:14:19Z

Sitya(AT)niif.hu:

1. Telepítünk egy SSP egyedet valamelyik szerverünkre.

2. Engedélyezzük a '''userpass''' auth forrás modult.
touch modules/exampleauth/enable

3. Elrendezzük a metadatákat.

4. Az authsources.php file-t valahogy így alakítjuk ki:

<?php

$config = array(

// This is a authentication source which handles admin authentication.
'admin' => array(
// The default is to use core:AdminPassword, but it can be replaced with
// any authentication source.

'core:AdminPassword',
),

'multi' => array(
'multiauth:MultiAuth',

/*
* The available authentication sources.
* They must be defined in this authsources.php file.
*/
'sources' => array('projekt1', 'projekt2'),
),
'projekt1' => array(
'exampleauth:UserPass',
'tesztuser1:tesztuser1' => array(
'eduPersonPrincipalName' => array('tesztuser1@example.com'),
'uid' => array('tesztuser1'),
'cn' => "Nemecsek Ernő",
'sn' => "Nemecsek",
'givenName' => "Ernő",
'mail' => "devnull@example.com",
'homePostalAddress' => "1234 Budapest, Nincsisilyen utca 2.",
'schacDateOfBirth' => "19751221",
'schacPlaceOfBirth' => "Budapest",
'niifPersonMothersName' => "Törőcsik Mari",
'niifPersonResidentalAddress' => "3456 Nagyabajom, Mitírjakide utca 2.",
),
'tesztuser2:tesztuser2' => array(
'eduPersonPrincipalName' => array('tesztuser2@example.com'),
'uid' => array('tesztuser2'),
'cn' => "Nemecsek Ernő 2",
'sn' => "Nemecsek",
'givenName' => "Ernő",
'mail' => "devnull@example.com",
'homePostalAddress' => "1234 Budapest, Nincsisilyen utca 2.",
'schacDateOfBirth' => "19751221",
'schacPlaceOfBirth' => "Budapest",
'niifPersonMothersName' => "Törőcsik Mari",
'niifPersonResidentalAddress' => "3456 Nagyabajom, Mitírjakide utca 2.",
),
),
'projekt2' => array(
'exampleauth:UserPass',
'tesztuser1:tesztuser1' => array(
'eduPersonPrincipalName' => array('tesztuser1@example.com'),
'uid' => array('tesztuser1'),
'cn' => "Nemecsek Ernő",
'sn' => "Nemecsek",
'givenName' => "Ernő",
'mail' => "devnull@example.com",
'homePostalAddress' => "1234 Budapest, Nincsisilyen utca 2.",
'schacDateOfBirth' => "19751221",
'schacPlaceOfBirth' => "Budapest",
'niifPersonMothersName' => "Törőcsik Mari",
'niifPersonResidentalAddress' => "3456 Nagyabajom, Mitírjakide utca 2.",
),
'tesztuser2:tesztuser2' => array(
'eduPersonPrincipalName' => array('tesztuser2@example.com'),
'uid' => array('tesztuser2'),
'cn' => "Nemecsek Ernő 2",
'sn' => "Nemecsek",
'givenName' => "Ernő",
'mail' => "devnull@example.com",
'homePostalAddress' => "1234 Budapest, Nincsisilyen utca 2.",
'schacDateOfBirth' => "19751221",
'schacPlaceOfBirth' => "Budapest",
'niifPersonMothersName' => "Törőcsik Mari",
'niifPersonResidentalAddress' => "3456 Nagyabajom, Mitírjakide utca 2.",
),
),
);
[[Kategória: AAI]][[Kategória: HOWTO]][[Kategória: simplesamlphp]]

AAI és Shibboleth (2007.11.07)

2013-05-02T09:12:21Z

Sitya(AT)niif.hu:

Elhangzott a 2007-es HBONE Workshopon

; Letöltés
* [[Média: Hbone2007_shib.odp | OpenOffice formátum]]
* [[Média: Hbone2007_shib.pdf | PDF formátum]]

[[Kategória: Publikációk]]
[[Kategória: AAI]]

AboutEduID.hu

2013-05-02T09:11:40Z

Sitya(AT)niif.hu:

== Purpose of this document ==
This document is a collection of the information specified in several specific documents written in Hungarian. Since only Hungarian educational and research institutions are expected to be Federation Members (ie. operate an Identity Provider), this document focuses on rules what are relevant to (international) Federation Partners.

== About the federation ==
Hungarian Research and Educational Federation ('''HREF''') is a SAML2-based Identity Federation of Hungarian higher education and research institutions, public collections and other content providers. For the end-users, the federation aims to be transparent, therefore the login procedure is communicated as '''''eduID login'''''.
=== Contacts ===
The Federation is operated by [http://www.niif.hu NIIF Institute] as a Federation Operator. Questions, concerns or any kind of requests about the Federation should be directed to any of the following addresses:
* '''aai@niif.hu'''
* '''Kristof Bajnok''', ''NIIF Institute''
:18-22 Victor H. str
:H-1132 Budapest
:Hungary

News and information about the federation is published at http://eduid.hu (Hungarian only)
=== Policy and principles of interoperation ===
==== Basic principles ====
# The aim of the Federation is to allow the use of services of its Members and Partners, where authorisation is based on the user information originating from the users' Home Institutions.
# Home Institutions must only authenticate users having a known affiliation to them.
# IdPs and SPs must not give false or misleading information about themselves.
# User information provided by IdPs should be as accurate as possible. SPs must take into account that parts of the received information may be at the discretion of the user.
# User credentials (i.e. passwords) stored by IdPs must be protected and verified only through secure procedures.
# SPs must request only the user attributes which are absolutely necessary for their operation.
# SPs must not ask users for their federation passwords.
# SPs must handle personal data according to the local privacy laws.
# IdPs and SPs must cooperate in the investigation of possible abuse/fraud.
# IT systems running IdPs and SPs must be operated with due diligence.
==== Data protection ====
* Prior joining the federation, every entity needs to publish the Data Protection Policy under which it operates. This policy must be kept up-to-date.
* Whenever the Data Protection Policy changes, the Federation Operator must be notified.
* Transfer of personal data is only allowed when either
** authorised by law, or
** the user expressed his or her consent on the data transfer.

==== Rules of membership ====
The Federation is operated by the Federation Operator, that also operates the national research network. Further participants are ''Members'' and ''Partners'' that must have a signed contract with the Operator.
# The following institutions may be '''Members''' of the federation:
#* Institutions of the higher education;
#* Institutions of the Hungarian Research Academy and other research institutions;
#* Institutions of secondary education;
#* Public collections.
# Any organisation might join as a '''Partner'''.
# All Members and Partners of the Federation might provide services.
# A Partner might participate in the meeting of the Members' Board as an observer, without having rights to vote.
# Only Members are entitled to
#* supply user identity information to the federation
#* send representatives into the Members' Board with a right to vote.

=== Governance ===
The governance body of the federation is the '''Members' Board (MB)'''. Every Federation Member may send one representative person to the Members' Board, who has one vote.

The working language of the MB is Hungarian. The Board publishes its decisions and guidelines at http://eduid.hu/dokumentumok in Hungarian, although whenever the topic is of interest of any international Partner, it shall be translated to English and the administrative contacts shall be notified.

MB is authorised to
* accept new Federation documents or modify existing ones,
* accept application of new Members and Partners

Partners may also send representatives for MB meetings, without voting rights.

=== Legal ===
The Federation itself is not a legal entity, Members and Partners establish a legal connection to the Federation Operator. Any legal claims between Members and/or Partners shall be directed to the organisation operating the Identity Provider or the Service Provider.

The Service Agreement between the Federation Operator and Partner is available '''[http://www.eduid.hu/wp-content/uploads/2012/08/href-contract-partner.doc here]'''.

== Technical information ==
=== Operational requirements ===
* [[HREFSPReq|SP Operational Requirements]]
* [[HREFIdPReq|IdP Operational Requirements]]

=== Attributes ===
[[HREFAttributeSpecEN | Attribute Specification]] is maintained in a separate document.

As a brief summary, the following attributes are ''mandatory'' or ''recommended'':
{| {{prettytable}}
! Mandatory attributes
! Recommended attributes
|-
|eduPersonPrincipalName
|displayName
|-
|eduPersonTargetedID
|mail
|-
|eduPersonScopedAffiliation
|eduPersonEntitlement
|-
|schacHomeOrganizationType
|}

IdPs may implement other attributes.

=== Metadata ===
[[HREFMetadataSpecEN | Metadata Specification]] is maintained in a separate document.

== How to join ==
=== Production federation ===
In order to join the production federation as a Partner, you need to send the following information:
* SP metadata URL (HTTPS preferred)
* Name of the SP
* Brief description of the service
* Service URL
* Privacy policy URL
* Administrative and technical contact names and mail addresses (non-personal preferred)
* Required and optional attributes
* Logo URL (optional)
* Helpdesk URL (optional)

This information should be sent to the Federation Operator (see [[#Contacts|above]]) in email. Two copies of the signed Service Agreement (available at http://eduid.hu/documents) should be sent by traditional post, one copy will be returned after counter-signing.

After the application has been reviewed by the Federation Operator, it is forwarded to the Members' Board. It usually takes 3-5 working days for the Board to accept the application, after which the entity metadata is be added to the production federation metadata.

=== Testing metadata ===
It is recommended that a new SP should be registered to the testing federation at first, which is much easier and a fully online process.

The following information is necessary to enter into the testing metadata:
* SP metadata URL (HTTPS preferred)
* Name of the SP
* Administrative and technical contact names and mail addresses (non-personal preferred)
* Required and optional attributes

You can ask for test accounts in our Virtual Home Organization. During testing, you might want to use the production federation metadata, because the VHO is present in both metadata files.

You do not need to re-register your entity to proceed to the production federation. If we have all the necessary information, the starting of the joining process is at your discretion.
[[Kategória: AAI]][[Kategória: eduid]][[Kategória: english]]

AAIInterop-OpenSSOShib2

2013-05-02T09:09:53Z

Sitya(AT)niif.hu:

{{TRASH}}
= OpenSSO IdP - Shibboleth2 SP Interoperabilitás =
* IdP: [[Kép:Maszat-opensso-idp.xml]]
* SP: [[Kép:Papigw-shibboleth2-sp.xml]]

== SAML2.0 Single Sign on ==
* SP oldali SAML2 bindingot támogató AttributeConsumerService-ek:
** 1: /SAML2/POST urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST
** 2: /SAML2/POST-SimpleSign urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST-SimpleSign
** 3: /SAML2/Artifact urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Artifact
** 4: /SAML2/ECP urn:oasis:names:tc:SAML:2.0:bindings:PAOS

=== HTTP-Post ===
* Működik
* https://papigw.aai.niif.hu/saml2interop/opensso-post/
* SP oldalon
<SessionInitiator type="Chaining" Location="/Login" id="maszat-opensso-post"
relayState="cookie" entityID="https://idp.sch.bme.hu/niif-teszt">
<SessionInitiator type="SAML2" defaultACSIndex="1" template="bindingTemplate.html"/>
</SessionInitiator>

=== HTTP-Artifact ===
* Az OpenSSO nem figyel arra hogy az SP milyen AttributeConsumerService-t kér, így az IDP oldalon kell konfigurálni az SP tulajdonságait úgy, hogy az alapbeállítás ne a POST legyen.
* TODO - Trust management a back-channel kommunikációnál a tanusítványt ismernie kell az SP-nek.
* JVM beállítása a kliens tanúsítvány használatához - https://opensso.dev.java.net/issues/show_bug.cgi?id=1409

=== Attribute push ===
* Gyári buildekkel nem működik, ugyanis az OpenSSO urn:oasis:names:tc:SAML:2.0:attrname-format:unspecified formátumban küldi az attribútumokat, amiket a Shibboleth2 SP nem fogad el.
* Saját patch használata esetén bekonfigurálható az uri típusú NameFormat is, azzal működik probléma nélkül.
** https://opensso.dev.java.net/issues/show_bug.cgi?id=2775

=== Attribute pull ===
* Az OpenSSO-ban nem lehet kikapcsolni az attribute push-t. FIXME

=== NameIDFormat ===
* A Shibboleth2 SP által generált metaadatba kézzel be kell illeszteni a NameIDFormat node-ot
* Az OpenSSO támogatja a perzisztens és a tranziens SAML2 azonosítót is.

== SAML2.0 Single Log out ==
* A shibboleth2 nem támogatja (még) a Single Log-out protokollt, lásd: https://wiki.shibboleth.net/confluence/display/SHIB2/SLOIssues

== Metaadat problémák ==
* A Shibboleth2 SP metaadatból el kell távolítani az <md:Extensions> node-ot az összes gyerekelemével együtt.
** Erre nagyon figyelni kell, mert összeomlik tőle az OpenSSO, és csak címtár-módosítással ('hibás' metaadat törlése) állítható helyre.
** Sajnos nem triviális javítani ezt a viselkedést...
* A metaadatba ágyazott certificate esetén csak a <ds:X509Certificate> node szerepelhet, semmi más
** Ehhez írtam patch-et ami ezt javítja.
** https://opensso.dev.java.net/issues/show_bug.cgi?id=2985

[[Kategória: AAI]]

AAIGettingStarted

2013-05-02T09:09:26Z

Sitya(AT)niif.hu:

# Először az szükséges, hogy nagyjából megértsd, miért használunk '''Autentikációs és Autorizációs Infrastruktúrákat''', egyátalán, mit is jelent ez a manapság divatos fogalom. Jelenleg a bevezető jellegű [[Publikációk | publikációkból]] lehet talán legjobban megérteni ezt. Nagyon fontos tisztában lenni azzal, hogy mit jelent a [[Föderáció]] fogalma.
# Ezek után jó, ha tisztában vagy a [[Shibboleth]] szoftverben használt eljárásokkal (profile-okkal). <small>(Sajnos, amíg a [[Shibboleth]] lap csak csonk, addig leginkább az [[Publikációk | előadásokból]] érdemes tájékozódni.)</small>
# Következő lépésként [[Shibboleth IdP]]-t érdemes telepíteni és konfigurálni. Kipróbálni jelenleg csak a [http://testshib.org Testshib.org] webhellyel lehet automatikusan, de előbb-utóbb lesz ilyen szolgáltatás az NIIF-ben is.
# Ha rákaptál a Single Sign-on "ízére", érdemes nekifogni a [[Shibboleth SP]] telepítésnek is.
# Ha a teszt alkalmazások (mint például a [[Shibenv]]) működnek (és az [[ShibIdPARP | attribútumok átadásával]] sincs probléma, akkor érdemes nekiállni az éles alkalmazások Shibboleth-esítésének.
[[Kategória: AAI]]

Alkalmazások illesztése

2013-05-02T09:08:27Z

Sitya(AT)niif.hu:

: [[DrupalShibbolethReadme | Drupal shib_auth module]] (angolul / in English)
: [[DrupalShibboleth | Drupal illesztése Shibboleth-hez]] (elavult)
: [[MediaWikiShibboleth | MediaWiki illesztése Shibboleth-hez]]
: [[WebmailShibboleth | Webmail szoftverek illesztése Shibboleth-hez]]
: [http://moinmo.in/ShibbolethSupport Moinmoin illesztése Shibboleth]
: [[Libraries | Könyvtári rendszerek illesztése]]
[[Kategória: Összefoglaló lapok]]
[[Kategória: AAI]]

AAIInterop-Shib2SimpleSAMLphp

2013-05-02T09:07:28Z

Sitya(AT)niif.hu:

{{TRASH}}
= Shibboleth2 IdP - SimpleSAMLphp SP Interoperabilitás =
* IdP: [[Kép:Papigw-shibboleth2-idp.xml|https://papigw.aai.niif.hu/idp/shibboleth]]
* SP: [[Kép:Papigw-simplesaml-saml2-sp.xml]]

== SAML2.0 Single Sign on ==

=== HTTP-Post ===
* Működik
* A SimpleSAMLphp nem támogatja a NameID titkosítását, csak az egész assertion titkosítását (FIXME)
** ezért be kell állítani hogy a NameID-t ne titkosítsa az IdP, ugyanígy kényszeríteni kell az Attribute Push használatát is

<RelyingParty id="https://papigw.aai.niif.hu/simplesaml"
provider="https://papigw.aai.niif.hu/idp/shibboleth"
defaultSigningCredentialRef="IdPCredential">
<ProfileConfiguration xsi:type="saml:SAML2SSOProfile"
encryptNameIds="never" includeAttributeStatement="true"/>
</RelyingParty>

* A SimpleSAMLphp SP metaadatába kézzel kell beletenni az aláíró és titkosító publikus kulcsokat, mivel a kiexportált metaadat ezeket nem tartalmazza (ráadásul a php-s konfigurációban szereplő certificate/privatekey paramétereket nem lehet abszolut elérési úttal hivatkozni, mindenképp a cert/ könyvtárban kell lenniük)

=== HTTP-Artifact ===
* A SimpleSAMLphp nem támogatja a HTTP-Artifact bindingot (és általában a SOAP-ot használó bindingokat)

=== Attribute push ===
* Működik

=== Attribute pull ===
* A SimpleSAMLphp nem támogatja az AttributeRequest protokollt (a SOAP binding miatt)

=== NameIDFormat ===
* Általában urn:oasis:names:tc:SAML:2.0:nameid-format:transient

== SAML2.0 Single Log out ==
* A SimpleSAMLphp támogatná az SLO-t, de a shibboleth2 IdP nem. A metaadatnál panaszkodik is hogy a Shibboleth metadata nem tartalmaz SingleLogoutService-t.

[[Category:AAI]]

MediaWiki:Geshi.css

2013-04-24T12:58:53Z

Sitya(AT)niif.hu: Új oldal, tartalma: „/* Az itt elhelyezett CSS-t fogja alkalmazni a GeSHi szintaxiskiemelő */ tt, code, pre { font-size: 1.25em; }”

/* Az itt elhelyezett CSS-t fogja alkalmazni a GeSHi szintaxiskiemelő */

tt, code, pre {
font-size: 1.25em;
}

JoiningEduGAIN

2013-03-28T15:01:36Z

Sitya(AT)niif.hu: Új oldal, tartalma: „'''Hogyan csatlakozhat egy IdP az EduGAIN-hez?''' A folyamat három lépésből áll: 1. Írni kell az aai@niif.hu-nak, hogy a föderációs operátor publikálja az Id…”

'''Hogyan csatlakozhat egy IdP az EduGAIN-hez?'''

A folyamat három lépésből áll:

1. Írni kell az aai@niif.hu-nak, hogy a föderációs operátor publikálja az IdP-t az EduGAIN metadatába.

2. Be kell konfigurálni a következő metadata URL-t: http://metadata.eduid.hu/current/edugain.xml . Az aláírókulcs megegyezik
a többi metadata setet aláíró kulccsal (https://metadata.eduid.hu/href-metadata-signer-2011.crt) Félreértések elkerülése végett a magyar entitások az újra aláírt eduGAIN metaadatok között nem szerepelnek, hogy ne legyen duplikáció.

3. Be kell állítani, hogy az SP-k kötelező attribútumait az IdP elküldje. SimpleSAMLphp esetén az attribute filter könnyen jöhet a metadatából, Shibboleth IdP esetén célszerű az alábbi automatikusan frissülő filtert beállítani: https://metadata.eduid.hu/edugain-attribute-filter/2011/edugain.xml

Ezek után már csak várni kell, hogy az SP-k frissítsék a metaadataikat.

AAI

2013-03-22T10:22:57Z

Sitya(AT)niif.hu:

=== Meghatározások ===

* [[Föderáció]]
* [[Pont-pont bizalmi kapcsolati modell]]
* [[Metadata]]
* [[Föderációs modellek]]
* [[WAYF | Home Location Service]]
* [[Shibboleth]]
* [[AAIGettingStarted | Hogy kezdjem?]]

===Föderációs alapinfrastruktúrák (IdP-k, SP-k)===
Tapasztalatok alapján IdP esetén egyszerűsége miatt talán jobb választás a simpleSAMLphp, SP esetén Shibboleth ill. simpleSAMLphp egyaránt megfelelő választás /etc/ssl/certs/adminmail.sulinet.hu.crtmind beállítási, mind üzemeltetési szempontból.
* Shibboleth IdP: [[Shib2IdpInstall|Telepítés, beállítás]], [[Shibboleth2 IdP|Egyéb leírások]]
* Shibboleth SP: [[ShibSP_QuickStart|Kezdőlépések]], [[Shibboleth2 SP|Egyéb leírások]]
* simpleSAMLphp IdP és SP: [[SSP_QuickStart|Kezdőlépések]]

===HREF/eduID föderációhoz kapcsolódó tudnivalók===
* [[HREFContract]]: A föderációhoz kapcsolódó dokumentációk gyűjtőlapja
* [[HREFAttributeSpec]]: A föderációban használható attribútumok specifikációja
* [[HREFMetadataSpec]]: A föderációban használt metadata specifikációja
* [[Resource_Registry]]: A föderáció adminisztrációs felületének leírása
* Hivatalos metadata: [http://metadata.eduid.hu/current/ http://metadata.eduid.hu/current/]
* [https://listserv.niif.hu/mailman/listinfo/href-tech HREF-Tech levelezőlista]

===További föderációs megoldások===
* [[Shibboleth2 DiscoveryService]]: Shibboleth 2.0 SAML-kompatibilis Discovery Service
* [[OpenSSO]]: Nehézsúlyú Java hozzáférés-szabályozást és federációt megvalósító rendszer
* [[OpenID]]: Széles körben támogatott, de nem SAML-alapú federációt megvalósító rendszer
* [[GoogleAuth]]: Google, mint [[OpenID]] szabványú IdP
* [[mod_mellon]]: SP megoldás apache modulban. A SAML2 motort a [http://lasso.entrouvert.org Lasso] valósítja meg. [http://docs.feide.no/fs-0050]
* [[oiosaml.java]]: Java SP megoldás, amit a Dán állam is használ. [http://www.softwareborsen.dk/projekter/softwarecenter/brugerstyring/oio-saml-java]
* [[UApprove]]: Shibboleth 2.1.x IdP-hez illeszthető "consent-modul" beállításának leírása
* [[Shibboleth troubleshooting]]: Shibboleth hibaelhárítás

===Kiegészítő tudnivalók===
* [[Alkalmazások illesztése]]: Néhány alkalmazás Shibboleth-illesztésének leírása
* [[Interoperabilitás mátrix]]: Shibboleth, OpenSSO, simpleSAMLphp együttműködési mátrix
* [[Eszközök]]: Hasznos eszközök föderációk üzemeltetéséhez, használatához

* [[Publikációk]]

[[Kategória: Összefoglaló lapok]]

HREFChecklist

2013-03-11T09:53:15Z

Sitya(AT)niif.hu: /* Előzetes ellenőrzés */

=Előzetes ellenőrzés=
Az alábbi listán haladunk végig egy-egy csatlakozási kérelem beérkeztekor, és ennek eredményének figyelembe vételével hozza meg a Tagok Tanácsa a döntést a felvételről.

* Adatkezelés
** Van-e adatkezelési szabályzat?
** A felhasználókról szóló, intézmény által ismert adatok forrása, karbantartásának módja dokumentált-e? ('''TAG''')
** Elérhetők-e a fenti dokumentumok? A hivatkozásnak a metadata állományban kell szerepelnie.
** Ezek megfelelnek-e a [[HREFPolicy|Föderációs alapelvek]]-ben foglaltaknak?

* Műszaki követelmények
** Az intézmény teljesíti-e a Műszaki előírásokat leírtakat? ( [https://docs.google.com/document/d/1XkFqQx9npWVgftAU1b0cRoqiTNrhj9oqEWpMWaIJO6o/edit?hl=en_US Műszaki előírások IdP-k számára], [https://docs.google.com/document/d/1QZWwFqHm4VNyIn6GdKnOzyA0Xdg2uYgwlAkJA1ffpM8/edit?hl=en_US Műszaki előírások SP-k számára])
** Van-e kijelölt ember, aki a föderációs ügyekért felelős, technikailag be tud avatkozni (be tud-e lépni a Resource Registry-be és a saját IdP-jét adminisztrálni is tudja)?
** Van-e jól beállított naplózási mechanizmus?
** Megfelelőek-e az entitás által használt kulcsok?
** Megfelelőek-e az entitás által támogatott SAML-profilok?
** Az attribútumspecifikációnak megfelelő-e az attribútumok használata?
** Ajánlásoktól eltéréseket dokumentálni

* Egyéb
** Hány felhasználót tud az IdP azonosítani?
** Elvárt, hogy az entitás technikai kapcsolattartója iratkozzon fel a [https://listserv.niif.hu/mailman/listinfo/href-tech href-tech] levelezőlistára, az entitás adminisztratív kapcsolattartója pedig a [https://listserv.niif.hu/mailman/listinfo/href-admin href-admin] levelezőlistára.

HREFChecklist

2013-03-11T09:46:57Z

Sitya(AT)niif.hu:

VVC

2013-02-25T14:43:11Z

Sitya(AT)niif.hu:

= VVC (Voice Video Collaboration) =

----

== VoIP ==
# [[SIP_WS|SIP WorkShop]]
# [[Regulation|Magyar Szabályozás]]
# [[VoIP_links|Linkek]]

== Videokonferencia ==

=== Dokumentumok | Documents ===

* [[freegk|Free gatekeeper]] ([[en-freegk|in English]])
* [[vegpont-beallitasok|Végpontok beállítása]] (only in Hungarian)
* [[tuzfal|Tűzfal konfigurációs információk]] | ([[en-firewall|Security Settings]])
* [[niifgk|NIIF gatekeeper hálózat]] | ([[en-niifgk|NIIF Gatekeeper Network]])
* [[h323-standards|H.323 Standards]] (English only)

=== Videókonferencia FAQ (Gyakran Ismételt Kérdések) ===

Az angol nyelvű verzióhoz kattintson [[faqen|ide]] (for English FAQ please click [[faqen|here]]).

==== Hibabejelentés ====

A központi szolgáltatásokkal (MCU, foglalási rendszer, felvétel, stb.) kapcsolatos műszaki problémák esetén segítséget kérhet a [mailto:video-admin@niif.hu video-admin@niif.hu] e-mail címen vagy sürgősségi esetben a +36 1 450 3095 (általános NIIF hibabejelentés). Közvetlen technikai segítséget az Ön intézményénél kijelölt videokonferencia [https://vvc.niif.hu/vidkonf/vidkonf_list felelőstől] kaphat.

==== Fontos linkek ====

* [https://vvc.niif.hu/mcu_booking MCU foglalási rendszer]
* [https://vvc.niif.hu/vidkonf/vidkonf_list Videokonferencia eszközök listája]
* [https://webconf.niif.hu/ Desktop videokonferencia rendszer] (további információ: [https://vvc.niif.hu/node/111 Leírás és igénylés])
* [http://videotorium.hu/ Videotorium] (felsőoktatási-kutatási videomegosztó oldal)

==== Kiemelt oldalak ====

# [[hu-faq-firststeps|Milyen végpontokat tudok felhívni?]]
# [[hu-faq-dial|Hogyan tudok felhívni egy másik videokonferencia berendezést?]]
# [[hu-faq-vcorg|Hogyan kell megszervezni egy videokonferenciát? Hogyan veszem fel a kapcsolatot egy távoli végpont üzemeltetőjével?]]
# [[hu-faq-niifmcu|Hogyan használhatom az NIIF MCU szolgáltatását?]]
# [[hu-faq-pstndialin|Hogy tudok telefonról videokonferenciákhoz csatlakozni?]]
# [[hu-faq-niifvcr|Hogyan használhatom a videokonferencia felvétel szolgáltatást?]]
# [[Tuzfal|H.323 és tűzfalak - hogyan bírjam működésre?]]

==== Tesztelés, tipikus hibák és elhárításuk ====

# [[hu-faq-qprobs|A kép minősége rossz (akadozik, lefagy). Hogyan ellenőrizhetem a minősegi ill. átviteli paramétereket?]]
# [[hu-faq-testvc|Hogyan tesztelhetem a videokonferencia berendezés hálózati kapcsolatát?]]
# [[hu-faq-testgds|Hogyan tudom ellenőrizni a külföldi (GDS) konnektivitást?]]

==== Információs oldalak ====

# [[hu-faq-h323|Mi a H.323?]]
# [[hu-faq-gk|Mi a gatekeeper?]]
# [[hu-faq-mcu|Mi az MCU? Mikor van szükségem MCU-ra?]]
# [[hu-faq-gds|Mi a GDS?]]
# [[hu-faq-res|Milyen felbontásban kerül átvitelre a kép egy videokonferenciában? Mi a CIF, 4CIF és HD?]]
# [[hu-faq-vcodecs|Mi a különbség a videokonferencia esetén használt video kódoló algoritmusok között?]]
# [[hu-faq-datarate|Mekkora adatsebességet használjak?]]

==== Polycom ViewStation FX és VSX 7000 tippek ====

# [[hu-faq-doccam|Mi a dokumentum-kamera? Hogyan használhatom ezt a Polycom ViewStation FX/VSX7000 berendezésekkel?]]
# [[hu-faq-extcam|Hogyan csatlakoztathatok külső kamerát a Polycom ViewStation FX ill. Polycom VSX 7000 eszközökhöz?]]
# [[hu-faq-rec|Hogyan rögzíthető egy videokonferencia? Hogyan játszhatok be mozgóképet videokonferenciába?]]
# [[hu-faq-vcr|Hogyan csatlakoztatható felvevő/lejátszó egység (VHS videomagnó, DVD lejatszo, PC + capture kártya) a Polycom ViewStation FX ill. a Polycom VSX 7000 eszközhöz?]]
# [[hu-faq-presq|Miért nem olvasható a prezentációban lévő apróbetűs szöveg a televízió-képernyőn?]]
# [[hu-faq-pstreaming|Hogyan használhatom a Polycom ViewStation FX és a Polycom VSX 7000 streaming képességeit?]]
# [[hu-faq-pisdn|Hogyan kell beállítani a Polycom ViewStation FX ISDN egységét?]]
# [[hu-faq-panalogue|Hogy lehet analóg telefont csatlakoztatni a Polycom ViewStation FX eszközhöz?]]
# [[hu-faq-pdtmf|Hogyan lehet DTMF hangjelzést adni Polycom ViewStation és VSX 7000 berendezések segítségével?]]

==== Egyéb információ ====

# [[hu-faq-vceps|Hol találok információt külföldi felsőoktatási/akadémiai videokonferencia rendszerek elhelyezkedéséről?]]
# [[hu-faq-callip|Ha partneremnek (akar külföldi, akár belföldi) - akivel videokonferenciázni szeretnék - nincs "telefonszáma" csak IP cime (nincs a GDS-ben), hogyan hívhatjuk egymást mégis könnyen, egyszerűen?]]
# [[hu-faq-audioconf|Hogyan tudok hangkonferenciázni PSTN és VoIP résztvevőkkel?]]

[[Category: VVC]]

VoIP links

2013-02-25T14:43:01Z

Sitya(AT)niif.hu:

= VoIP protokollok =

== SIP ==
* [http://en.wikipedia.org/wiki/Session_Initiation_Protocol SIP - Wikipédia]
* [http://www.tech-invite.com http://www.tech-invite.com SIP Call Flow]
* [http://www.cs.columbia.edu/sip/ SIP]
* [http://www.iana.org/assignments/sip-parameters IANA Session Initiation Protocol (SIP) Parameters]
* [http://www.opensipstack.org/links_rfc.html SIP RFC's]
* [http://tools.ietf.org IETF SIP RFC's]

=== Történelem ===
* [http://www.cs.columbia.edu/sip/history.html SIP történelem]
* [http://sip-router.org/history/ SER/OPENSER/KAMAILIO/SIP-ROUTER történelem]

=== MD5 Digest ===
* [http://www.crt.realtors.org/projects/rets/variman/support/digest.php http digest számoló eszköz]
* [http://en.wikipedia.org/wiki/Digest_access_authentication]

=== SIP is not Simple ===
* [http://rfc3261.net/ The following graphs illustrate the enormus growing rate of RFCs which are related to SIP or VoIP in general.]

=== SIP Auto answer / Page ===
*[http://comments.gmane.org/gmane.ietf.sip-implementors/17345 sip implementors]
*[http://tools.ietf.org/html/rfc5373 Requesting Answering Modes for the Session Initiation Protocol (SIP)]

=== SIP Stacks ===
* [http://www.pjsip.org/ pjsip SIP stack]
* [http://sipsimpleclient.com/ python based SIP stack]
* [http://sofia-sip.sourceforge.net/ Sofia SIP stack]
* [http://digitus.itk.ppke.hu/~takacsgy/internetmediatgy10_09.ppt SIPit SIP stack együttműködési tesztek összefoglalói]
* [http://sipsimpleclient.com/ SIP SIMPLE client is a Software Development Kit (Python)]

=== SIP over IPv6 ===
* [http://books.google.com/books?id=Z1FvEKmFzAsC&printsec=frontcover Voice Over IPv6]

=== SIP-B ===
* [http://www.hbone.hu/Workshop2007/dvrt-sipb_mccn.pdf SIP-B + Deverto]
* [http://www.networkworld.com/techinsider/2005/061305ti-sip-b.html?page=2 SIP-B cikk]
* [http://tools.ietf.org/html/draft-sharath-sipb-requirements-00 SIP-B lejárt draft]
* [http://www.bandwidth.com/wiki/article/SIP-B SIP-B definíció]

=== Roadmaps ===
* [http://www.cisco.com/en/US/docs/ios/voice/sip/configuration/guide/sip_cg-roadmap.html Cisco SIP Roadmap]
* [http://bugs.digium.com/roadmap_page.php Asterisk roadmap]

=== SIP Identity ===
* [http://tools.ietf.org/html/draft-ietf-sip-privacy-04 draft sip-privacy-04 (Remote-Party-ID) lejárt leváltotta RFC 3323-3325]
* [http://tools.ietf.org/html/rfc3323 RFC 3323 A Privacy Mechanism for the Session Initiation Protocol (SIP)]
* [http://tools.ietf.org/html/rfc3324 RFC 3324 Short Term Requirements for Network Asserted Identity]
* [http://tools.ietf.org/html/rfc3325 RFC 3325 (Private Extensions to the SIP for Asserted Identity within Trusted Networks)]
* [http://tools.ietf.org/html/rfc4474 RFC 4474 (Enhancements for Authenticated Identity Management in the SIP)]
* [http://tools.ietf.org/id/draft-rosenberg-sip-rfc4474-concerns-00.txt RFC 4474 Concerns (Tel uri + RFC 4474)]
* [http://tools.ietf.org/wg/sip/draft-wing-sip-identity-media-02.txt draft-wing-sip-identity-media-02.txt]

=== SIP Peeering ViPR (Verification involving PSTN Reachability)===
* http://www.ietf.org/mail-archive/web/dispatch/current/msg00901.html
* http://tools.ietf.org/html/draft-rosenberg-dispatch-vipr-overview-02

=== SIP SAML ===
* [http://tools.ietf.org/html/draft-ietf-sip-saml-06 SIP SAML Profile and Binding]
* [http://tools.ietf.org/html/rfc4484 RFC 4484 Trait-Based Authorization Requirements for the Session Initiation Protocol (SIP)]

=== SIP RACE Condition ===
* [http://tools.ietf.org/html/rfc5407 RFC5407 Example Call Flows of Race Conditions in SIP (Best Current Practice)]

=== RFC ===
* [http://tools.ietf.org/html/rfc4244 RFC 4244 SIP History-Info header]
* [http://tools.ietf.org/html/rfc3842 RFC 3842 Message Waiting Indication Event Package (pl. Asterisk voicemail is ezt használja)]
* [http://www.ietf.org/rfc/rfc3420.txt RFC 3420 sipfrag (SIP üzenetrészlet)]
* [http://tools.ietf.org/html/rfc3303 RFC3303 Middlebox communication architecture and framework]
* [http://tools.ietf.org/html/rfc3323 RFC3323 SIP Privacy]
* [http://tools.ietf.org/html/rfc4916 Connected Identity RFC 4916]
* [http://tools.ietf.org/id/draft-ietf-sip-location-conveyance-08.txt Location Conveyance for the Session Initiation Protocol]
* [http://tools.ietf.org/html/rfc4458 RFC 4458 / SIP URIs for Applications such as Voicemail and Interactive Voice Response (IVR)]
* [http://tools.ietf.org/html/rfc3428 RFC3428: SIP Extension for Instant Messaging]
* [http://tools.ietf.org/html/rfc4028 RFC4028 SIP Session Timer]
* [http://tools.ietf.org/html/rfc4475 RFC4475 SIP Torture messages]
* [http://tools.ietf.org/search/rfc4796 RFC4796 The Session Description Protocol (SDP) Content Attribute (SDP) Content Attribute / sip+content (douvideo vagy H.239 sip-en)]

=== RAI Workgroup ===
* [http://tools.ietf.org/wg/speermint/ Session PEERing for Multimedia INTerconnect (SPEERMINT)]

=== SIP Kliensek ===
==== SIP Hard kliensek ====
* [https://www.myciscocommunity.com/docs/DOC-11277 Provisioning Parameters for Extension Mobility on Cisco SPA5x5 IP Phones]
* [https://www.myciscocommunity.com/docs/DOC-3216 Cisco Small Business IP Telephony Provisioning Guide]
* [https://www.myciscocommunity.com/docs/DOC-2166 Linksys SPA telefonok reboot reason code -ok listája]
* [https://www.myciscocommunity.com/docs/DOC-2181 SPA Phone Firmware and Tools fordítások]
*[http://hup.hu/node/57529 HUP fórum Linksys SPA magyarítás]
*[https://www.myciscocommunity.com/docs/DOC-1751 Config Guide: SPA9000 Voice System Administration Guide (Release 6.1)]
*[https://www.myciscocommunity.com/servlet/JiveServlet/downloadBody/11915-102-7-23913/SPA5xx-7-x_Update_Jan-20-2010.pdf SPA5xx-7-x_Update_Jan-20-2010.pdf]
*[https://www.myciscocommunity.com/docs/DOC-10647 Interoperability information for Asterisk(R)-based Phone Systems]
*[http://forum.voxilla.com/linksys-sipura-voip-support-forum/sip-notify-resync-password-11230.html spa resync "C" source code]
*[https://www.myciscocommunity.com/docs/DOC-6672 Cisco/Linksys SPA50XG ringtone converter win utility]
*[https://www.myciscocommunity.com/thread/5568 Cisco/Linksys SPA custom language XML support]
*[https://www.myciscocommunity.com/docs/DOC-2845 SPA900 Phones XML Dictionaries, v6.1. Two new languages supported: Bulgarian and Norwegian. Includes following languages: Bulgarian (bg), Czech (cz), Danish(dk), German (de), English (en), French (fr), Croatian (hr), Hungarian (hu), Italian (it), Dutch (nl), Norwegian (no), Polish (pl), Portuguese (pt), Romainan (ro), Russian (ru), Spanish (es), Swedish (se), Slovak (sk), Slovenian (sl), Turkish (tu). ]
* [https://www.myciscocommunity.com/docs/DOC-1251 Sipura/Linksys/Cisco SPA 5xx/9xx LDAP Corporate Directory]
* [https://www.myciscocommunity.com/servlet/JiveServlet/downloadBody/1251-102-2-4033/SPA900_LDAP_CORP_DIR_V11.pdf SPA900_LDAP_CORP_DIR_V11.pdf]
* [http://www.voip-info.org/wiki/view/Asterisk+Cisco+79XX+XML+Services Cisco 79xx/SPA5xx XML directory]
* [https://www.myciscocommunity.com/community/smallbizsupport/voiceandconferencing/ipphones/xmlphoneapp XML phone apps SPA5xx]
* [https://www.myciscocommunity.com/docs/DOC-13976 CiscoIPPhone object supported by SPA 5xx series IP Phones]
* [https://www.myciscocommunity.com/docs/DOC-13978 Support for SIP NOTIFY XML-Service event on SPA500 IP Phones]
* [https://www.myciscocommunity.com/docs/DOC-14023 XML Services for SPA500 series IP Phone documentation]
* [https://www.myciscocommunity.com/docs/DOC-2148 Small Business IP Phone Documentation]
* [http://www.youtube.com/watch?v=8w9qfKMrH0I Cisco SPA5xxG IP Phones and DHCP OPTIONS ]
* [https://supportforums.cisco.com/docs/DOC-11463 SPA 50X XML Dictionaries v7.4.X]

==== Fogyasztás ====
* [http://www.snom.com/uploads/media/Leistungsmessung_IP_Phones_EN.pdf ip telefonok fogyasztásának összehasonlítása]

==== SIP Soft kliensek ====
* [http://www.qutecom.org/ qutecom]
* [http://www.portsip.com/downloads.htm portsip pangolin]
* [http://www.counterpath.net x-lite / eye-beam / bria]
* [http://www.xs4all.nl/~mfnboer/twinkle/index.html twinkle]
* [http://www.icanblink.com/ Blink MacOSX]
* [http://www.phonerlite.de/ phonerlite windows (ipv6!)]
* [http://www.mercuro.net/index.php mercuro windows / windows mobile]
* [http://www.minisip.org minisip]
* [http://www.2moshi.com/download/index.php Enigma windows (XP/Vista/7) / Linux (Fedora)]
* [http://www.linphone.org/ linphone linux]
* [http://www.pjsip.org/pjsua.htm pjsua console sip kliens]

==== SIP Mobil kliensek ====
* [http://sipdroid.org/ Android + SIP = sipdroid]

=== SIP Trunking ===
* [http://tools.ietf.org/id/draft-rosenberg-sipping-siptrunk-00.txt What is a SIP Trunk Anyway?]
* [http://tools.ietf.org/html/rfc490 Representing Trunk Groups in tel/sip Uniform Resource Identifiers (URIs)]
* [http://tools.ietf.org/html/draft-malas-enum-trunk-sip-00 Trunk Group Use in ENUM]

* [http://www.asipto.com/pub/openser-devel-guide/ OPENSER/Kamailio Devel Guide]

=== SIP Redundancy / HA ===
* [http://www.unc.edu/~cschlatt/docs/SIP_failover_and_redundancy.pdf SIP_failover_and_redundancy.pdf]

=== SIP Troubleshooting tools===
* http://cvs.berlios.de/cgi-bin/viewcvs.cgi/ser/sip_router/utils/sipgrep/
* http://www.wireshark.org/
wireshark -k -i <(ssh 192.168.1.1 "sudo tshark -w - -i eth0")
* tshark (console wireshark)
tshark -i eth0 -t ad -R 'sip'-S -w /tmp/sip.cap

== H.323 ==
* [http://en.wikipedia.org/wiki/H.323 H.323 Wikipedia]
* [http://www.packetizer.com/voip/h323/ H.323 paketizer]
* [https://www.tilb.sze.hu/tilb/targyak/NGB_TA024_1/krp-5f.pdf H.323 rövid mini tutorial magyarul]

== SIP vs. H.323 ==
* http://www.packetizer.com/voip/h323_vs_sip/
* http://hive.packetizer.com/users/h323forum/papers/Service_Architecures_SIP-H323.pdf
* [http://www.unc.edu/~cschlatt/docs/sip_h323.pdf SIP and H.323]

= Open Source hívásirányítók =
* [http://www.voip-info.org/wiki/index.php?page=VOIP+PBX+and+Servers VoIP SoftSwitchek PBX-ek gyűjteménye.. ]

* [http://www.asterisk.org www.asterisk.org]
* [http://www.kamailio.org www.kamailio.org]
* [http://www.opensips.org www.opensips.org]
* [http://sip-router.org sip-router.org project (common collaboration framework to X-SER)]
* [http://www.iptel.org www.ser.org]
* [http://www.gnugk.org www.gnugk.org (csak H.323)]
* [http://openimscore.org/ openimscore.org opensource IMS]

=== SIP-Router ===
* [http://by-miconda.blogspot.com/2010/04/kamailio-30x-dyk-toc.html Kamailio 3.0.x - DYK - ToC]

= "copy left" / "public domain" / "Creative Common" Music on Hold zenék =
* [http://en.wikipedia.org/wiki/Wikipedia:Sound/list Wikipedia ogg file-ok]
* [http://opsound.org opsound.org mp3 file-ok]
* [http://downloads.asterisk.org/pub/telephony/sounds/ asterisk Creative Common]

* http://blogs.digium.com/2009/08/18/asterisk-music-on-hold-changes/

= Location / Végpontok azonosítása / Azonosító gazdálkodás =
* [http://en.wikipedia.org/wiki/List_of_country_calling_codes országhívó kódok wikipedia country codes]

== Magyar Azonosító gazdálkodás ==
* [http://www.nhh.hu/?id=dokumentumtar&mid=927&lang=hu Azonosítógazdálkodással és számhordozhatósággal kapcsolatos jogszabályok]
* [http://www.nhh.hu/dokumentum.php?cid=8183 164/2005. (VIII. 16.) Korm. rendelet az elektronikus hírközlő hálózatok azonosítóinak nemzeti felosztási tervéről (rövid számok!!!)]
* [http://www.nhh.hu/dokumentum.php?cid=8880 Magyar Nemzeti számozási terv]
* [http://www.nhh.hu/?id=hir&cid=784&mid=448&lang=hu www.nhh.hu Azonosító gazdálkodás]

== Külföldi Azonosító gazdálkodás ==
* [http://www.nanpa.com NANPA: North American Numbering Plan Administration]
* [http://www.voip-info.org/wiki/view/3883 voip-info.org +3883 - European Telephony Numbering Space - ETNS ]
* [http://www.etns.org +3883 - European Telephony Numbering Space - ETNS]
* [http://www.inum.net iNum is making use of the +883 global country code newly created by the ITU (International Telecommunication Union).]

== ENUM ==
* [http://nrenum.net/ NREN ENUM] Az európai kutató hálózatok privát ENUM fája.
* [http://en.wikipedia.org/wiki/Telephone_Number_Mapping ENUM Wikipédia]
* [http://www.ripe.net/enum/ RIPE ENUM]
* [http://enum.sze.hu Magyar ENUM pilot]
* [http://enumdata.org/ Enum fák állapota]
* [http://www.iana.org/assignments/enum-services IANA Enumservice Registrations]
* [http://www.servizi.garr.it/index.php/it/voip/partecipanti GARR NRENUM directory]

=== RFC ===
* [http://www.ietf.org/rfc/rfc3761.txt The E.164 to Uniform Resource Identifiers (URI) Dynamic Delegation Discovery System (DDDS) Application (ENUM)]
* [http://www.ietf.org/rfc/rfc3764.txt RFC 3764 enumservice registration for Session Initiation Protocol (SIP) "E2U+SIP" enumservice for SIP]
* [http://www.faqs.org/rfcs/rfc3263.html RFC 3263 - Session Initiation Protocol (SIP): Locating SIP Servers (D2X)]
* [http://tools.ietf.org/id/draft-elwell-sip-e164-problem-statement-00.txt SIP E.164 Problem Statement]

=== ENUM tutorial ===
* [http://jprs.co.jp/enum/enum_jprs/activity/pdf/031122.pdf Japán tutorial (2003)]
* [http://www.enumf.org/documents/gen/2003/GEN0075R0_Lind_ENUM_%20Tutorial.ppt AT&T (2003)]

== TRIP/ITAD ==
* [http://freenum.org/cookbook/ ITAD Subscriber Numbers] SIP.edu
* [http://www.packetizer.com/ipmc/trip/ TRIP tutorial]
* [http://tools.ietf.org/html/rfc2871 A Framework for Telephony Routing over IP RFC2871]
* [http://tools.ietf.org/html/rfc3219 Telephony Routing over IP (TRIP) RFC3219]
* [http://www.cisco.com/en/US/docs/ios/12_3/feature/guide/triplite.html TRIP Cisco IOS 12.3]

== DUNDi ==
* [http://www.dundi.com/ DUNDi website]
* [http://www.dundi.com/dundi.txt DUNDi draft]

= Test Framework-ök (Benchmark,Compatibility,Performance,Qos,MOS,PESQ,r-factror,E-modell,VQmon,Testnumber...) =
* [http://ftp.iq-labs.net/pbx-test/pbx-test-0.1.0.tar.gz pbx-test Asteriskhez]
* [http://sipp.sourceforge.net SIPp]
* [http://www.sipfoundry.org/sftf-user-guide.html SFTF SIP Foudry Test Framework ]
* [http://www.sipstone.org SIPSTONE]
* [http://www.testyourvoip.com VoIP QOS Mos mérő:testyourvoip/Brix networks ]
* [http://myvoipspeed.visualware.com VoIP QOS Mos mérő: Test My Connection for VoIP Quality/VisualWare]
* [http://www.enum-test.at/index_en.html VoIP Osztrák Tesztszámok]
* [http://www.voip-info.org/wiki-Call+Quality+Metrics voip-info.org Call Quality Metrics (PESQ, MOS)]
* [http://www.cisco.com/en/US/docs/ios/12_4/ip_sla/configuration/guide/hsla_c.html Cisco IOS IP SLA Configuration Guide]
* [http://www.cisco.com/en/US/docs/ios/ipsla/command/reference/sla_book.html Cisco IOS IP SLAs Command Reference]
* [http://www.voiptroubleshooter.com/open_speech/ The Open Speech Repository (Freely usable speech files in multiple languages for use in Voice over IP testing)]
* [http://www.tmcnet.com/tmcnet/articles/2005/voice-quality-measurement-voip-alan-clark-telchemy.htm voice quality measurement]
* [http://www.voiptroubleshooter.com Online Diagnostic Tools for Network Managers]
* [http://www.telchemy.com/technicalreference.html Telchemy VQmon (Technical Reference)]
* [http://mitesterforsip.sourceforge.net/ miTester for SIP]
* [http://linux.die.net/man/1/sip-dig sip-dig dns SRV NAPTR tester]
* [http://cert.v6pc.jp/sip-ipv6/ipv6ready/ IPv6 Ready]
* [http://www.voiptroubleshooter.com/diagnosis/emodel.html E-model R-Factor MoS]
* [http://www.itu.int/ITU-T/studygroups/com12/emodelv1/calcul.php E-model R-Factor MoS ITU calculator]
* [http://www.itu.int/ITU-T/studygroups/com12/emodelv1/tut.htm E-model tutorial]
* [http://tools.ietf.org/html/rfc4475 RFC4475 SIP Torture Test Messages SIPit]
* [http://tools.ietf.org/html/draft-ietf-mmusic-media-loopback-13 media-loopback An Extension to the Session Description Protocol (SDP) for Media Loopback draft-ietf-mmusic-media-loopback-13 (?Cisco/Linksys/SIPURA SPA?)]
* [http://www.testingvoip.com/?cat=4 loopback testing]
* [http://www.cisco.com/en/US/customer/docs/solutions/Enterprise/WAN_and_MAN/QoS_SRND/QoS-SRND-Book.html Cisco Enterprise QoS Solution Reference Network Design Guide]
Wideband Demo SIP URI G.711 és G.722 között lehet váltogatni a "#" megnyomásával
* sip:wbdemo@conf.zipdx.com vagy sip:wbdemo@zipdx.com
* [http://code.google.com/p/sip-viewer/ sip-viewer]

= VoIP biztonság / Security =
* [http://video.google.com/videoplay?docid=-3393113300431239249 VoIP Crack]
* [http://www.oxid.it/cain.html cain password Cain & Abel is a password recovery tool for Microsoft Operating Systems.]
* [http://tools.ietf.org/html/draft-ietf-sip-domain-certs-04 IETF Draft Domain Certificates in SIP SubjectAltName használata]
* [http://tools.ietf.org/html/draft-ietf-sip-eku-05 IETF Draft SIP + X.509 Extended Key Usage]
* [http://www.voipsa.org/Resources/ VOIPSA.org voip security resources ]
* [http://sip-router.org/wiki/_media/tbd/overload_control_problem_statement_vpascualv10.pdf SIP overload control problem statement]
* [http://www.snocer.org/Paper/sisalem_dos.pdf SIP DoS]
* [http://www.acmepacket.com/images/ctlabsreport_0905.pdf SIP RTP DoS]
* [http://www.ietf.org/proceedings/06mar/slides/raiarea-1/raiarea-1.ppt Overview of SIP Media Security Options - Dan Wing]
* [http://code.google.com/p/sipvicious/ sipvicious /sip scanner tool/]

= Videokonferencia és VoIP Prezentációk / Konferenciák / Portálok / Tutorial / Szerveztek =

== Tutorial ==
* [http://www.tekelec.com/resource-center/?docID=734 SIP Pocket Guide]
* [http://mit.edu/sip/sip.edu SIP.edu cookbook]
* [http://www.cisco.com/web/about/ac123/ac147/archived_issues/ipj_6-1/sip.html SIP mini overview from Cisco]
* [http://tools.ietf.org/html/rfc5411 A Hitchhiker's Guide to the Session Initiation Protocol (SIP)]
* [http://www.tekelec.com/news-&-events/?p=webcasts Tekelec Webinars]
* [http://www.tekelec.com/news-&-events/pdf/SIP_Tutorial1_Webinar.pdf TEKELEC SIP Tutorial 1]
* [http://www.tekelec.com/news-&-events/docs/SIP%20Tutorial%20II_FINAL.pdf TEKELEC SIP Tutorial 2]
* [http://www.tekelec.com/news-&-events/docs/SIP_Tutorial_III_9September2008.pdf TEKELEC SIP Tutorial 3]
* [http://www.tekelec.com/news-&-events/docs/SIP%20Tutorial%20IV_18November2008.pdf TEKELEC SIP Tutorial 4]
* [http://www.tekelec.com/resource-center/?docID=356 Upgrading the Next-generation Network Part II - Layer 5 Core SIP Routing]
* [http://www.voice-sistem.ro/downloads/2007.08.29-Admin-Course/von-italy-2007_admin-course.zip OpenSer/Kamailio Admin Course 2007.08.29]
* [http://www.iptel.org/files/sip_tutorial.pdf SIP tutorial (iptel.org)]
* [http://www.unc.edu/~cschlatt/docs/cs_unc_rtc_arch_2.pdf UNC realtime Architecture Christian Schlatter]
* [http://digitus.itk.ppke.hu/~takacsgy/internetmediatgy10_09.ppt PPKE ITK Internetes médiakommunikáció VoIP]
* [http://www.jdrosen.net/papers/devconfw2001_cpltutorial.ppt CPL Tutorial]
* [http://www.opensips.org/html/docs/video/webinar001/ opensips webinar]
* [http://www.opensips.org/Training/Webinars opensips webinars home]
* [http://www.3cx.hu/voip-sip/voip-source.php 3CX IP PBX-szel, SIP-pel és VOIP-pel kapcsolatos GYIK]
* [http://www.voipnetwork.hu/index.php?Oldal=kezdolap&Almenu=hogyanmukodik VoIP tudástár magyarul, kezdőknek]
* [http://www.opensips.org/index.php?n=Resources.DocsTutLoadbalancing OpenSIPS loadbalancing példa]
* [https://www.tilb.sze.hu/tilb/targyak/NGB_TA024_1/SIP_Trixbox.pdf Trixbox telepítés]
* [http://www.jdrosen.net/papers/xcap-tutorial.ppt XCAP tutorial]
* [http://www.cisco.com/en/US/docs/ios/voice/sip/configuration/guide/sip_cg-overview.html Overview of SIP - Cisco]
* [http://www.inf.u-szeged.hu/~bilickiv/ip_2_2006_1/8.ppt Bilicki Vilmos Szegedi Egyetem VoIP - SIP - XMPP]
* [http://kb.asipto.com/ Kamailio Knowledge Base (kb.aspito.com)]
* [http://arstechnica.com/business/news/2010/01/voip-in-depth-an-introduction-to-the-sip-protocol-part-1.ars VoIP in-depth: An introduction to the SIP protocol, Part 1]
=== Asterisk Books Tutorial ===
* [http://downloads.oreilly.com/books/9780596510480.pdf O'Reilly Book Asterisk: The Future of Telephony, 2nd Edition]
* [http://asterisk.name/asterisk/0596009623/main.html Asterisk: The Future of Telephony html formában]
* [http://www.asteriskguru.com/tutorials/ Asterisk Tutorial]
* [http://www.voip-info.org/wiki/view/vim+syntax+highlighting VIM + Asterisk extension.conf syntax highlighting]
* [http://www.voip-info.org/wiki/view/Asterisk+SIP+user+vs+peer Asterisk SIP User vs. Peer]

== Konferenciák ==
* http://www.cluecon.com/
* http://www.von.com/
* http://www.astricon.net/
* http://www.amoocon.de/
* [http://www.cisco.com/networkers/nw04/presos/vvt.html NETWORKERS 2004]
* [http://www.opensips.org/Events/Amoocon2009 OpenSIPS Amoocon 2009]

== Portálok ==
* [http://www.wainhouse.com/ Wainhouse Research Videoconference Portal analyzes the market trends, technologies/products, vendors, applications, and related services in the Unified Communications and rich media conferencing fields.]
* [http://tarcsahang.blog.fn.hu Tárcsahang]

== Szervezetek ==
* [http://www.sipforum.org sipfórum http://www.sipforum.org]
* [http://www.terena.org/activities/tf-ecs/ Terena: Enhanced Communication Services - Task Force]

= PSTN / POTS =
* [http://www.patton.com/technotes/fxs_fxo.pdf FXS vs. FXO]
* [http://www.beronet.com/downloads/docs/berofos/berofos.pdf ISDN E1 failover switch]

== Cisco ISDN gateway configuration ==
* [http://www.cisco.com/cgi-bin/Support/DSP/dsp-calc.pl Cisco DSP calculator (jogosultság szükséges a használatához)]
* [http://www.cisco.com/en/US/products/hw/routers/ps259/products_tech_note09186a00800e73f6.shtml Voice Hardware Compatibility Matrix (Cisco 17/26/28/36/37/38xx, VG200, Catalyst 4500/4000, Catalyst 6xxx)]
* [http://www.cisco.com/en/US/docs/ios/voice/command/reference/vr_i1.html#wp1089848 Table 29 Dial-Peer Matching Rules for Inbound URI in SIP Calls ]
* [http://www.cisco.com/en/US/docs/ios/12_3t/voice/command/reference/vrht_d1_ps5207_TSD_Products_Command_Reference_Chapter.html#wp1456602 Table 16 Dial-Peer Matching Rules for Outbound URI]
* [http://www.cisco.com/en/US/docs/ios/voice/command/reference/vr_book.html Cisco IOS Voice Command Reference]
* [http://www.cisco.com/en/US/docs/ios/voice/fax/configuration/guide/12_4/vf_12_4_book.html Cisco IOS Fax, Modem, and Text Support over IP Configuration Guide, Release 12.4]
* [http://www.cisco.com/en/US/tech/tk652/tk90/technologies_tech_note09186a008010fed1.shtml Understanding Inbound and Outbound Dial Peers Matching on IOS Platforms]
* [http://www.cisco.com/en/US/docs/ios/12_3/vvf_c/voice_port_configuration_guide/vpc_bk.pdf Cisco IOS Voice Port Configuration Guide (Book Length PDF)]
* [http://www.cisco.com/en/US/tech/tk652/tk777/technologies_white_paper09186a00801fe5da.shtml Fax over IP T.37 Store and Forward Fax (Nagyvonalú leírás és részletes minta példa. Támogatott e-mail formátum részletezése]
* [http://www.cisco.com/en/US/docs/ios/12_2t/12_2t11/feature/guide/ftgwrepg.html VoIP Gateway Trunk and Carrier Based Routing Enhancements]
* [http://www.cisco.com/en/US/docs/ios/voice/cdr/developer/guide/cdrdev.html Radius Accounting Cisco VSA]
=== Troubleshooting ===
* [http://www.cisco.com/en/US/docs/ios/12_3/vvf_c/voice_troubleshooting/old/vts_cflw.html Cisco Telephony Interface Architecture felépítés]
* [http://docwiki.cisco.com/wiki/Cisco_IOS_Voice_Troubleshooting_and_Monitoring_--_Voice_Call_Debug_Filtering_on_Cisco_Voice_Gateways Voice Call Debug Filtering on Cisco Voice Gateways]
* [http://docwiki.cisco.com/wiki/Cisco_IOS_Voice_Troubleshooting_and_Monitoring_--_SIP_Debug_Output_Filtering_Support SIP Debug Output Filtering]
* [http://docwiki.cisco.com/wiki/Cisco_IOS_Voice_Troubleshooting_and_Monitoring_Guide Cisco WIKI: Cisco IOS Voice Troubleshooting and Monitoring]
* [http://www.cisco.com/en/US/tech/tk652/tk777/technologies_tech_note09186a0080114565.shtml Cisco Fax hibakeresés]
* [http://www.cisco.com/en/US/docs/ios/12_3/vvf_r/voice_r.html Cisco Voice Command Reference]
* [http://www.cisco.com/en/US/products/sw/iosswrel/ps1835/products_programming_reference_guide_book09186a0080080221.html Session Initiation Protocol Gateway Call Flows]
* [http://www.cisco.com/en/US/docs/ios/voice/monitor/configuration/guide/12_4/vt_12_4_book.html Cisco IOS Voice Troubleshooting and Monitoring Guide, Release 12.4]
* [http://www.cisco.com/en/US/docs/ios/voice/sip/configuration/guide/12_4t/sip_12_4t_book.html 12.4T Configuration Guide]
* [http://www.cisco.com/en/US/tech/tk801/tk379/technologies_tech_note09186a008012e95f.shtml Understanding debug isdn q931 Disconnect Cause Codes]
* [http://www.cisco.com/en/US/tech/tk713/tk628/technologies_tech_note09186a00800a5cdc.shtml Understanding the show controllers E1 Command / E1 hibakeresés]
* [http://www.cisco.com/en/US/tech/tk652/tk90/technologies_tech_note09186a0080325e8e.shtml Voice Translation Rules / test voice translation-rule]

= NAT STUN / TURN / ICE , XTUNNEL =
* [http://www.jdrosen.net/papers/ice-ietf-tutorial.pdf Interactive Connection Establishment /ICE/ - Rosenberg (NAT Traversal)]
* [http://xtunnels.org/ Xtunnel a counterpath/xten eyebeam/bria/x-lite termékéhez]
* [http://www.voiptraversal.com/ice_methodology.htm NAT traversal ICE/TURN/STUN]
* [http://turnserver.sourceforge.net/index.php turnserver TURN implementáció ]
* [http://sdstrowes.co.uk/talks/20081031-ice-turn-stun-tutorial.pdf ICE STUN TURN tutorial]
* [http://www.amoocon.de/talks/93 ICE: the ultimate way of beating NAT in SIP (amoocon)]

= Codec, hang és video kódolás=
* [http://www.it.lth.se/courses/videocompression/Lectures.asp Digital Pictures Compression jegyzet]
* [http://en.wikipedia.org/wiki/List_of_codecs Hang és Video kodekek listája]
* [http://www.polycom.eu/global/documents/whitepapers/codecs_white_paper.pdf Polycom voice codec white paper]
* [http://ip.hhi.de/imagecom_G1/savce/index.htm H.264 SVC]
* [http://wiki.multimedia.cx Media formátumok és a konténerek]

= Directory, H.350 =
* [http://metric.it.uab.edu/vnet/cookbook/ H.350 Cookbook]
* [http://www.rfc-editor.org/rfc/rfc3944.txt H.350 IETF RFC 3944]

= Speciális Hangjelzések =
*[http://en.wikipedia.org/wiki/Special_information_tones speciális hangjelzések(Special Information Tone = SIT)]

= Provisioning =
* [http://tools.ietf.org/html/draft-ietf-sipping-config-framework-16 A Framework for Session Initiation Protocol User Agent Profile Delivery (configuration provisioning)]

== DHCP ==
* [http://wiki.snom.com/Networking/DHCP DHCP opciók]
* [http://www.ietf.org/rfc/rfc3361.txt dhcp option sip-server /Dynamic Host Configuration Protocol (DHCP-for-IPv4) Option for Session Initiation Protocol (SIP) Servers/]
* [http://www.velocityreviews.com/forums/t31771-cisco-callmanager-and-dhcp-option-066-vs-150-a.html Cisco dhcp option 150 vs.66]
* [https://supportforums.cisco.com/message/1177022#1177022 Cisco support forum dhcp option 150 or 66]

= QoS =
* [http://www.ietf.org/rfc/rfc3611.txt RTCP XR]
* [http://www.ixiacom.com/library/white_papers/display?skey=voip_quality Assessing VoIP Call Quality Using the E-model]

= Szolgáltatók =
* http://voipszolgaltato.lap.hu/

= Videokonferencia =
* [http://www.tandberg.com/collateral/documentation/White_Papers/White%20Paper%20-%20TANDBERG%20and%20SIP.pdf Tandberg SIP támogatás]
* [https://tandberg.learn.com/learncenter.asp?sessionid=3-EE20E830-3E2C-4DEE-B276-D69A779822FA&DCT=1&id=178413&page=13 TANDBERG University: Introduction to TANDBERG and Video Conferencing]
* [http://vcc.zih.tu-dresden.de/vc/handbuch/index.php Videoconference Manual]

= Vertical Service Code =
* [http://www.ficora.fi/attachments/suomial/1156442449792/GFI_9804ed3.pdf GUIDELINES FOR IMPLEMENTATION SUPPLEMENTARY SERVICE CODES]
* [http://portal.etsi.org/HF/kta/MMI/mmi.asp MAN MACHINE INTERFACE (MMI)]
* [http://en.wikipedia.org/wiki/Service_feature Vertical service code]
* [http://www.nanpa.com/number_resource_info/vsc_definitions.html Vertical Service Codes / Code Definitions]

= Példa nevek =
* [http://en.wikipedia.org/wiki/Alice_and_Bob Alice Bob Carol Dave ... példa nevek A,B,C,D]

= További érdekes helyek =
* [http://voip-info.org voip-info.org (Open Source VoIP Biblia)]
* [http://hu.wikipedia.org/wiki/Voice_over_IP Wikipedia VoIP]
* [http://www.wesip.com/mediawiki/index.php/Main_Page WeSIP (adds a J2EE layer to OpenSER)]
* [http://openxcap.org/ XCAP Server Implementáció]
* [http://opensips-cp.sourceforge.net/ OpenSIPS Control Panel]
* [http://www.sipforum.org/component/option,com_docman/task,doc_download/gid,134/Itemid,75/ The SIPconnect Technical Recommendation]
*[http://www.sipforum.org/component/option,com_docman/task,doc_download/gid,24/Itemid,75/ White Paper on SIP Servers (RADVISION)]
* [http://sipwise.com/index.php/products?start=3 OpenSER config generator sip:wizard]
* [http://openxcap.org/ OpenXCAP python XCAP implementáció]
* [http://sip-router.org/wiki/bibliography A list of interesting publications that are related to the Sip-router project, SIP servers, or SIP and related protocols in general.]
* [http://www.cisco.com/en/US/docs/solutions/Enterprise/Video/poster_c82-540542_v4.pdf cisco UC poster]
* [http://tools.ietf.org/html/draft-ietf-sipping-nat-scenarios-09 SIP NAT Best Practices]
* [http://www.cisco.com/en/US/docs/ios/voice/cube/configuration/guide/vb-gw-sipsip.html SIP-to-SIP Connections on a Cisco Unified Border Element (CUBE)]
* [http://www.cisco.com/en/US/docs/ios/voice/cube/configuration/guide/vb_book/vb_book.html Cisco Unified Border Element Configuration Guide]
* [http://www.cisco.com/en/US/tech/tk1077/technologies_tech_note09186a0080094045.shtml Troubleshooting and Debugging VoIP Call Basics hogyan működik az IOS képek]
* [http://www.flickr.com/photos/voipnovatos/collections/72157622823857839/ fényképek végpontok/ATA-k/stb. ]
* [http://tools.ietf.org/html/rfc4320 SIP problems: Actions Addressing Identified Issues with the Session Initiation Protocol's (SIP) Non-INVITE Transaction RFC4320]
* [http://tools.ietf.org/html/rfc4321 SIP problems: Problems Identified Associated with the Session Initiation Protocol's (SIP) Non-INVITE Transaction RFC4321]
* [http://www.ciscoios.info/en/US/docs/ios/12_3/vvf_c/dial_peer/dpeer_c.html Dial Peer Configuration on Voice Gateway Routers]
* [http://www.cisco.com/en/US/products/sw/voicesw/ps2169/products_installation_and_configuration_guides_list.html Cisco Unified Survivable Remote Site Telephony Configuration Guides SRST]
* [http://tools.ietf.org/html/draft-ietf-speermint-srv-naptr-use-06 RFC3263 DNS feloldás Best Current Practice]

* [http://www.cisco.com/en/US/docs/voice_ip_comm/cuipph/all_models/xsi/5_1/english/programming/guide/ipphsv.html Cisco telefon XML API 5.1]
* [http://www.cisco.com/en/US/docs/voice_ip_comm/cuipph/all_models/xsi/7_1_2/english/programming/guide/712xsi.html Cisco telefon XML API 7.1]
* [http://citeseerx.ist.psu.edu/viewdoc/download?doi=10.1.1.148.8045&rep=rep1&type=pdf SIP Proxy Server Effectiveness Master's Thesis Jan Jan´ak]
* [http://www.terena.org/activities/campus-bp/bpd.html GEANT3 Campus Best Practice (fények hang stb. videokonferencia terem tervezéshez)]
* [http://www.gipscorp.com/products/demos.php H.264/SVC demo Global IP Solutions]
* [http://www.icemission.com/ icemission softphone]
* [http://www.itu.int/ITU-T/inr/forms/files/tones-0203.pdf ITU Local call progress tones2003]
* [http://www.itu.int/pub/T-SP-E.180-2010/en Local call progress tones2010]
* [http://www.carrollcommunications.com/locales/hungary.html Hungary (hun) Phone Settings and Frequencies]
* [https://www.ee.oulu.fi/research/ouspg/PROTOS_Test-Suite_c07-sip PROTOS sip test framework]
* [http://www.wtng.info World Telephone Numbering Guide]
* [http://liptel.vsb.cz/doku.php?id=work:security:voip_security CESNET VoIP Security]
* [http://www.geant.net/Media_Centre/Media_Library/Media%20Library/gn3-na3-t4-cbpd139.pdf CESNET VoIP]
* [http://www.zonecheck.fr/zonecheck DNS ZoneCheck tool]
* [http://www.cisco.com/en/US/tech/tk652/tk90/technologies_tech_note09186a0080b3e123.shtml cisco 15.1 IOS toll fraud prevention]
* [http://en.wikipedia.org/wiki/Universal_Personal_Telecommunications Universal Personal Telecommunications]
* [http://p2p-sip.blogspot.com/2009/11/sip-vs-xmpp-or-sip-and-xmpp.html SIP vs XMPP or SIP and XMPP]

[[Category: VVC]]

VoIP Recept

2013-02-25T14:42:50Z

Sitya(AT)niif.hu:

= Egy lehetséges Asterisk recept, avagy hozzávalók sok személyre =
== Debain Alaprendszer ==
Először is rakjunk fel egy Debian (Lenny) alap install

;Érdemes megfontolni a HW környezet kialakításánál:
* redundáns tápegység
* két hálózati kártya (redundáns hálózati kapcsolat miatt)
* két merevlemez (raid miatt)

==== Javasolt Particionálás (RAID 1 + LVM) ====
két partíció(software raid):
# az egyik a /boot-nak 300-400M
# a másik raid azaz többi pedig az LVM és aztán ezt már lehet tovább szabdalni.... erre lehet tenni a swap-et.

{{ambox | text=/etc/mdam.conf-ban vagy /etc/aliases (root) ne felejtsük beállítani hogy raid problémáról kinek küldjön levelet}}

==== Alap install után érdemes a nem kellő csomagokat törölni és netfilter(iptables)-el megvédeni a gépet ====

*NETFILTER(iptables) védelmét a számítógépnek mindenki alakítsa ki saját szája íze szerint.
*ami nem kell azt szedjük ne hallgasson semmi feleslegesen
például

aptitude purge pidentd,nfs-common,portmap
aptitude install ssh

==== Redundáns hálózat azaz hálózati interface bonding beállítása ====
[[Kép:debian_bonding.png]]

[[Kép:ip_softswitch.png]]

;Csomagok installálása
aptitude install vlan ifenslave-2.6

;cat > /etc/modprobe.d/bonding
alias bond0 bonding
options bonding mode=active-backup updelay=4000 downdelay=1 miimon=10 primary=eth0
;Az /etc/network/interfaces file-t ezen minta alapján írjuk át.
:Itt több vlan-ra van a példa de értelemszerűen, ha csak egy vlan van akkor csak a 10-es VLAN-t kell csak átírni a többit lehet törölni. Azért érdemes így csinálni még akkor is ha csak egy VLAN-unk van, mert bármikor később a több VLAN kezelése hasznos lehet.
<pre>
# The loopback network interface
auto lo
iface lo inet loopback
# The primary network interface
auto bond0
iface bond0 inet manual
up ifconfig bond0 0.0.0.0 up
slaves eth1 eth0
auto vlan10
iface vlan10 inet static
address 10.10.10.12
netmask 255.255.0.0
network 10.10.0.0
broadcast 10.10.255.255
vlan-raw-device bond0
gateway 10.10.0.1
# dns-* options are implemented by the resolvconf package, if installed
dns-search voip.niif.hu
dns-nameservers 10.10.0.2
auto vlan20
iface vlan20 inet static
address 10.20.10.12
netmask 255.255.0.0
network 10.20.0.0
broadcast 10.20.255.255
vlan-raw-device bond0
auto vlan30
iface vlan30 inet static
address 10.30.10.12
netmask 255.255.0.0
network 10.30.0.0
broadcast 10.30.255.255
vlan-raw-device bond0
</pre>
;Ha a Másik oldal cisco eszköz akkor egy lehetséges minta konfiguráció.
<pre>
interface GigabitEthernet1/2
description eht0
switchport
switchport trunk encapsulation dot1q
switchport trunk allowed vlan 10,20,30
switchport mode trunk
no ip address
no cdp enable
spanning-tree portfast trunk
</pre>
{{ambox | text =Érdemes a switchek között Rapid Spanning Tree-t használni, hogy a konvergenciát lecsökkentsük. Érdemes odafigyelni hogy el ne felejtsük bekapcsolni a "portfast"-et! A két hálózati kártyát két független switch-be illik kötni. A két swich-ben legyen egységes a konfiguráció. Végül ne legyünk restek az egészet letesztelni. }}

;Több ip cím felhúzása egy interface-re:
Több ip címre STUN protokoll miatt mindenképp szükségünk lesz. Az STUN-hoz 2 darab ipv4 cím szükséges!
Ha ezentúl külön ip címre akarjuk rakni a szolgáltatást akkor ezzel is számolnunk kell.

<pre>
auto eth0
iface eth0 inet static
address 19.111.158.110
netmask 255.255.255.0
broadcast 19.111.158.255
gateway 19.111.158.1
post-up for last in `seq 111 114`; do ip addr add 19.111.158.$last/32 dev $IFACE; done || true
</pre>

Ha már van alap OS-ünk redundáns tápunk/merevlemez/hálózatunk és ha mindezt le is teszteltük, akkor bele is kezdhetünk az érdemi telepítésekbe.

==== Ajánlott csomagok telepítése ====
<pre>
aptitude update
aptitude upgrade
aptitude install atftpd dhcp3-server mysql-server mysql-client ntp
aptitude install asterisk asterisk-config asterisk-mp3 asterisk-sounds-extra asterisk-sounds-main asterisk-mysql
</pre>
===== dahdi dahdi_dummy =====
A dahdi_dummy-ra az időzítésekhez lehet szükség, bár vannak 1.6.x asteriskben több mindent tud időzítőként használni. Timer source-ra főleg a MeetMe alkalmazásnak és az IAX protokolnak van szüksége.
<pre>
aptitude install dahdi-source
m-a a-i dahdi
</pre>

==== További csomagok ====
;Természetesen még ízlés szerint telpíthető
:monitorozáshoz: nagios-nrpe-server,munin-node,munin-plugins-extra
:mentéshez: bacula-fd ajánlott

==== NTP beállítása ====
Ezt a sort a /etc/ntp.conf-ban
<pre>
#server ntp.your-provider.example
</pre>
cseréljük le kedvenc lokális ntp szerverünkre. pl.
<pre>
server 172.20.0.1
</pre>

==== MySQL root jelszó beállítása ====
mysql root jelszó megváltoztatása
<pre>
mysqladmin -u root -p password titok
</pre>
A kényelem miatt, hogy ne kelljen begépelnünk a a jelszót:
<pre>
cat > /root/.my.cnf
[client]
user=root
password=titok
</pre>

== Hálózati kialakítás / konfiguráció==
REINVITE vagy No REINVITE ez itt a kérdés?
Mindkettőnek megvannak az előnyei és hátrányai.

Én a konfigurációkban mindenütt a 172.20.0.0/16 tartományt használom, de mindenkit bátorítanék aki csak megteheti, hogy használjon nyilvános címeket. Szűréssel könnyen csökkenthető a támadási felület és a media közvetlenül tud folyni. Azért is hogy maga a media reinvite esetén ne menjen át szükségszerűen semmilyen NAT-on, vagy RTP media proxy-n ami bottleneck lehet és ha kiesik akkor visz magával a hívást. Persze a másik oldal, hogy a bottleneck csökkenti a támadási felületet. De a támadási felület jól konfigurált router ACL-el is elérhető, sőt ezt javaslom.

A példa itt most egy egyszerű sin topológiát használ.

[[Kép:voip_pleda.png]]

=== DHCP szerver ===
A DHCP szerver default configjához képest ezeket kell értelem szerűen megváltoztatni illetve a subnet részt hozzáadni.

<pre>
option domain-name "tartomány.hu";
option domain-name-servers 193.6.10.1, 193.225.13.113;

authoritative;

subnet 172.20.0.0 netmask 255.255.0.0 {
range 172.20.0.10 172.20.255.254;
option routers 172.20.0.1;
}
</pre>

=== TFTP ===
A tftp a telefonok frissítésére és a konfigurációjuknak a mentésére szolgál.
Az atftpd TFTP szerver a /var/lib/tftpboot könyvtárból szolgál ki, így minden konfigurációs állományt és firmware-t ebbe a jegyzékbe másolunk majd be.
Érdemes a NETFILTER/(iptables) szabályokat úgy készíteni, hogy csak a helyi telefonok férhessenek hozzá.

== Asterisk konfiguráció ==

=== Kis Takarítás ===
Először is mozgassuk el az összes példa konfigurációs file-t a saját '''home''' könyvtárunkba, és utána kezdjük el a minták fokozatos visszamásolgatását és átírását.

;másoljuk vissza a következő fileokat és a manager.d könyvtárt
<pre>
agents.conf asterisk.conf extconfig.conf features.conf iax.conf modules.conf rtp.conf udptl.conf
alsa.conf cdr.conf extensions.ael followme.conf manager.conf musiconhold.conf sip.conf users.conf
amd.conf enum.conf extensions.conf http.conf manager.d res_snmp.conf sip_notify.conf voicemail.conf
</pre>

<pre>
cp /usr/share/doc/asterisk-mysql/examples/cdr_mysql.conf.sample /etc/asterisk/cdr_mysql.conf
cp /usr/share/doc/asterisk-mysql/examples/res_mysql.conf.sample /etc/asterisk/res_mysql.conf
</pre>

=== modules.conf ===
Ezután egy kis nyesegetéssel ilyen csinos formára hozzuk a modules.conf-ot
<pre>
;
; Asterisk configuration file
;
; Module Loader configuration file
;

[modules]
autoload=yes

;load
load => res_musiconhold.so

;noload

;chan
noload => chan_alsa.so
noload => chan_oss.so
noload => chan_capi.so
noload => chan_skinny.so
noload => chan_zap.so
noload => chan_mgcp.so
noload => chan_vpb.so
noload => chan_phone.so
noload => chan_gtalk.so
noload => chan_modem.so
noload => chan_modem_aopen.so
noload => chan_modem_bestdata.so
noload => chan_modem_i4l.so
;res
noload => res_jabber.so
noload => res_odbc.so
noload => res_smdi.so
noload => res_config_odbc.so
noload => res_config_pgsql.so
;func
noload => func_odbc.so
;pbx
noload => pbx_dundi.so
noload => pbx_gtkconsole.so
noload => pbx_kdeconsole.so
;;cdr
noload => cdr_sqlite.so
noload => cdr_custom.so
noload => cdr_manager.so
noload => cdr_pgsql.so
;app
noload => app_festival.so
noload => app_zapras.so
noload => app_zapbarge.so
noload => app_zapscan.so
noload => app_talkdetect.so
noload => app_alarmreceiver.so
noload => app_image.so
noload => app_directory_odbc.so
noload => app_voicemail_odbc.so
noload => app_voicemail_imap.so
noload => app_intercom.so
; Module names listed in "global" section will have symbols globally
; exported to modules loaded after them.
;
[global]

</pre>

{{TODO}}

=== Indication ===
;indication.conf
<pre>
[general]
country=hu

[hu]
description = Hungary
ringcadance = 1000,4000
dial = 425
busy = 425/500,0/500
;ring = 440+480/2000,0/4000 ; is what I heard on an ISDN line... looks like NA ring.
ring = 440/1000,0/4000 ; is what I heard via an analogue GSM adaptor...
congestion = 425/300,0/300
callwaiting = 425/40,0/1960
; Dialrecall not used in Hungary, use standard (using UK standard)
dialrecall = 350+440
; Record tone is not used in Hungary, use busy tone
record = 425/250,0/250
info = !950/330,!1400/330,!1800/330,!0/1000,!950/330,!1400/330,!1800/330,!0/1000,!950/330,!1400/330,!1800/330,!0/1000,0
</pre>
;Forrás: http://www.voip-info.org/wiki/view/Asterisk+indications+Hungary

== Teszt eszközök ==
aptitude install sip-tester sipsak sofia-sip-bin

;SIPP
xml alapú config sip teszt eseteket lehet vele készíteni és tesztelni

;sipsak
egyszerű sip teszt tool hívás tesztre, options üzenet küldésére

;sofia sip
NOKIA sip stack LGPL
pl. dns feloldást lehet tesztelni vele
/usr/bin/addrinfo
/usr/bin/localinfo
/usr/bin/sip-date
/usr/bin/sip-dig
/usr/bin/sip-options
/usr/bin/stunc

[[Category: VVC]]

SIP WS

2013-02-25T14:42:41Z

Sitya(AT)niif.hu:

= Sip Workshop =
== Tervezett program ==

# Nap
#* 10:00 - 12:00 Érkezés, bemutatkozás, azonosítók, eszközök
#* 12:00 - 13:00 Ebéd szünet
#* 13:00 - 14:30 SIP elmélet
#* 14:30 - 15:00 Kávé Szünet
#* 15:00 - 17:00 SIP elmélet
# Nap
#* 09:00 - 10:45 SIP Call Flow-k
#* 10:45 - 11:00 Kávészünet
#* 11:00 - 12:00 OpenSIPS elmélet
#* 12:00 - 13:00 Ebéd
#* 13:00 - 14:30 OpenSIPS konfigurációs file-ok
#* 14:30 - 15:00 Kávészünet
#* 15:00 - 17:00 OpenSIPS Register, Invite Gyakorlat
# Nap
#* 09:00 - 10:45 Asterisk elmélet
#* 10:45 - 11:00 Kávészünet
#* 11:00 - 12:00 Asterisk konfigurációs file-ok
#* 12:00 - 13:00 Ebéd
#* 13:00 - 14:30 Asterisk gyakorlat (IVR)
#* 14:30 - 15:00 Kávészünet
#* 15:00 - 17:00 Asterisk Gyakorlat
# Nap
#* 09:00 - 10:45 Azonosító gazdálkodás, accounting, QoS, HA
#* 10:45 - 11:00 Kávészünet
#* 11:00 - 12:00 Minden ami kimaradt, apróságok, stb.
#* 12:00 - 13:00 Ebéd
#* 13:00 - 15:00 Kérdések

== Slideok ==
* Pre-Agenda [[Média:agenda.odp|agenda.odp]] [[Média:agenda.pdf|agenda.pdf]]
* [[Média:id.odp|id.odp]] [[Média:id.pdf|id.pdf]]
* [[Média:sip.odp|sip.odp]] [[Média:sip.pdf|sip.pdf]]
* [[Média:opensips.odp|opensips.odp]] [[Média:opensips.pdf|opensips.pdf]]
* [[Média:astersik.odp|asterisk.odp]] [[Média:astersik.pdf|asterisk.pdf]]
* [[Média:lastnotleast.odp|lastnotleast.odp]] [[Média:lastnotleast.pdf|lastnotleast.pdf]]
Bonus (Erről nem lesz szó időhiányában):
* [[Média:dial-peer.odp|dial-peer.odp]] [[Média:dial-peer.pdf|dial-peer.pdf]]

== Hands-On ==
=== Berendezések ===
* Cisco/Linksys SPA504G
* Cisco/Linksys SPA8000
* FIT-PC2

=== Hálózat ===
* WS-C3550-48-SMI 250 denver-eugene
* WS-C3550-24-SMI 251 chicago
* WS-C2960-24TC-L 252 biloxi
* WS-C3750G-24TS 253 atlanta

=== Tartományok ===
* alice@atlanta.test
* bob@biloxi.test
* carol@chicago.test
* dave@denver.test
* eve@eugene.test
----
* a1 110-114
* b1 115-119
* c1 120-124
* d1 125-129
* e1 130-134

dhcp 140-180

prefix
+365012

[[Média:handson.dia|handson.dia]]

[[Kép:handson.png]]

=== mac-ip-exten ===
* atlanta
{| border="1"
!mac
!ip
!exten
!user
|-
|00:26:99:ab:cf:5e
|195.111.158.140
|3001
|alice1
|-
|00:26:99:ab:cf:1b
|195.111.158.141
|3002
|alice2
|-
|00:21:29:0d:87:4c
|195.111.158.142
|3003
|alice3
|}

* biloxi
{| border="1"
!mac
!ip
!exten
!user
|-
|00:26:99:ab:ce:45
|195.111.158.143
|4001
|bob1
|-
|00:26:99:ab:ce:60
|195.111.158.144
|4002
|bob2
|-
|00:21:29:0d:8a:90
|195.111.158.145
|4003
|bob3
|}

*chicago
{| border="1"
!mac
!ip
!exten
!user
|-
|00:26:99:ab:ce:4f
|195.111.158.146
|5001
|carol1
|-
|00:26:99:ab:ce:df
|195.111.158.147
|5002
|carol2
|-
|00:21:29:0d:89:d0
|195.111.158.148
|5003
|carol3
|}

* denver
{| border="1"
!mac
!ip
!exten
!user
|-
|00:26:99:ab:ce:3d
|195.111.158.149
|6001
|dave1
|-
|00:26:99:ab:ce:59
|195.111.158.150
|6002
|dave2
|-
|00:21:29:0d:87:80
|195.111.158.151
|6003
|dave3
|}

* eugene
{| border="1"
!mac
!ip
!exten
!user
|-
|00:26:99:ab:ce:5f
|195.111.158.152
|7001
|eve1
|-
|00:26:99:ab:cf:4c
|195.111.158.153
|7002
|eve2
|-
|00:21:29:0d:87:14
|195.111.158.154
|7003
|eve3
|}

== Résztvevők ==
{| border="1"
!Sorszám
!Név
!Intézmény
|-
|1.
|Hujber Zoltán
|Nyme GEO (Székesfehérvár)
|-
|2.
|Halász Attila
|Nyíregyházi Főiskola
|-
|3.
|Szennai István
|Nyíregyházi Főiskola
|-
|4.
|Klinger Csaba
|PPKE BTK
|-
|5.
|Csillag Tamás
|PPKE ITK
|-
|6.
|Kovács Csaba István
|Dunaújvárosi Főiskola
|-
|7.
|Botka István
|Dunaújvárosi Főiskola
|-
|8.
|Marton Gábor
|Pannon Egyetem - Mûszaki Informatika Kar
|-
|9.
|Voczelka Ferenc
|KFKI RMKI
|-
|10.
|Dombos Kálmán
|SZTE Számítóköpont
|-
|11.
|Gergely László
|SZIE Informatikai Központ
|-
|12.
|Gyarmati Gábor
|SZIE Informatikai Központ
|-
|13.
|Pataki György
|AVKF
|-
|14.
|Szalka János
|MTA Atomki
|-
|15.
|Szarvas Tamás
|Budapesti Corvinus Egyetem
|-
|16.
|Simon Imre
|BME
|-
|17.
|Czirok Ferenc
|KFKI RMKI
|-
|18.
|Kovács László
|KFKI RMKI
|-
|19.
|Pásztor György
|SZTE Egyetemi Könyvtár
|-
|20.
|Csató Péter
|Pannon Egyetem
|-
|}

[[Category: VVC]]

Hu-faq-vcr

2013-02-25T14:41:52Z

Sitya(AT)niif.hu:

== Hogyan csatlakoztatható felvevő/lejátszó egység (VHS videomagnó, DVD lejatszo, PC + capture kártya) a Polycom ViewStation FX ill. a Polycom VSX 7000 eszközhöz? ==

Mindkét eszköz képes külső video- ill. az ehhez csatlakozó hangjelet fogadni bármely video- és audiokimenettel rendelkező berendezéstől, tehát a lehetőségek nem merülnek ki a felsorolt három eszközben. Kérjük ellenörizze az egyes eszközök felhasználói könyvében, hogy mi a csatlakoztatás pontos módja, a szükséges kábeleket megtalálja az eszközök mellé adott kábel-készletben (3-as RCA csatlakozó).

A Polycom ViewStation eszköz rendelkezik szeparált videofelvevő kimenettel is (3-as RCA kimenet), a menüben állítható, hogy milyen képet adjon ki az eszköz ezen a kimeneten:
<tt>
Admin Setup -> Video/Cameras -> VCR menü
VCR Record Source: Auto / Near (közeli kép) / Far (távoli végpont kép)
</tt>

A Polycom VSX 7000 eszköz esetében valamelyik általános video kimenet (pl. TV csatlakoztatása RCA-val, a mellette lévő, ezzel megegyező funkcionalitású S-Video a videofelvevőbe csatlakozik).

A Polycom ViewStation FX készülék esetében alapállásban (főkamera képe látható) ill. videokonferencia közben a Near gomb segítségével választhatunk a videobemenetek közül. A Polycom VSX 7000 eszköznél a bemenetek közötti választásra a Camera nyomógomb szolgál.

[[Category: VVC]]

Hu-faq-vceps

2013-02-25T14:41:46Z

Sitya(AT)niif.hu:

== Hol találok információt külföldi felsőoktatási/akadémiai videokonferencia rendszerek elhelyezkedéséről? ==

Jelenleg az egyetlen ismert elektronikus keresési a GEANT educonf szolgáltatás, amely [http://educonf.geant.net itt] érhető el.

Lényeges, hogy a távoli berendezés H.323 kompatibilis legyen. Nem árt az éles konferencia előtt egy tesztet elvégezni, hogy minden gyorsan és rendben menjen élesben.

[[Category: VVC]]