DrupalShibboleth - Laptörténet

Sitya(AT)niif.hu, 2013. február 25., 13:32-n

2013-02-25T13:32:43Z

Bajnokk(AT)niif.hu: /* Drupal Shibboleth modul */ dokumentáció linkelése, TRASH sablon

2009-04-29T14:29:03Z

‎Drupal Shibboleth modul: dokumentáció linkelése, TRASH sablon

Martoni(AT)niif.hu, 2008. január 11., 11:10-n

2008-01-11T11:10:07Z

Martoni(AT)niif.hu: /* Drupal Shibboleth modul */

2008-01-11T10:50:55Z

‎Drupal Shibboleth modul

Martoni(AT)niif.hu, 2008. január 11., 09:23-n

2008-01-11T09:23:54Z

Bajnokk(AT)niif.hu: /* Felhasználó törlése */ egy félbemaradt gondolat törlése

2008-01-03T08:22:40Z

‎Felhasználó törlése: egy félbemaradt gondolat törlése

Bajnokk(AT)niif.hu: /* Shibboleth konfiguráció */ hivatkozás javítása

2008-01-02T16:17:15Z

‎Shibboleth konfiguráció: hivatkozás javítása

Bajnokk(AT)niif.hu: létrehozás

2008-01-02T16:16:44Z

létrehozás

Új lap

== Elgondolás ==
A Drupal saját maga szereti kezelni a felhasználóit - adatbázisban -, de az azonosítás moduláris. A felhasználó beállításai a Drupal saját adatbázisában vannak, a Shibboleth modul csak a felhasználó azonosítóját adja meg.
=== Felhasználó létrehozása ===
Az [[Shibboleth IdP | IdP-nek]] azonosítania kell tudnia a felhasználót, tehát valamilyen [[Identity Management|központi adatbázisban]] léteznie kell.

Ha egy olyan felhasználó jelentkezik be a Drupalba, aki még korábban nem jelentkezett be (pontosabban ha a Shibboleth-en keresztül megkapott azonosító még nem létezik), akkor a modul létrehoz egy új Drupal felhasználót. A felhasználó jelszava '''üres''', azaz a jelszavas bejelentkezés tiltott. Néhány felhasználói beállítás kezdeti értéke származhat a Shibboleth-től kapott attribútumokból:
* teljes név
* email cím

A felhasználói attribútumok változtatása az IdP-ben nem terjed át a Drupalra (leszámítva természetesen a felhasználói azonosítót), az Drupalban található attribútumok megváltoztathatók, ha ezt az oldal konfigurációja megengedi.

Az újonnan létrejött felhasználó alap jogosultságokkal rendelkezik, ezután az adminisztrátor további jogokat biztosíthat számára.
=== Felhasználó törlése ===
A felhasználót a [[Identity Management|központi adatbázisból]] kell törölni, ezáltal megszűnik a hozzáférése a Drupalhoz. A Drupal azonosítója és beállításai azonban megmaradnak, ami az alábbi következményekkel jár:
* ha újra kiosztják a felhasználó azonosítóját, akkor a régi beállítások lesznek érvényesek
* a közvetlen jelszavas bejelentkezést, ill. a jelszóváltoztatás lehetőségét meg kell szüntetni, mert különben egy rosszindulatú felhasználó - ha még "aktív" korában megváltoztatta a drupalos jelszavát - a központi adatbázisból való törlése után is képes belépni közvetlenül, jelszóval (csak [[ShibSPLazy|
* lehetséges privát üzenetet küldeni a felhasználó email címére
* a törölt felhasználó mindaddig be tud lépni, amíg a Drupal által használt cookie érvényes, ezért célszerű memóriában tárolt cookie-kat használni

A fenti problémákat csak úgy lehet megoldani, ha egy alkalmazás a törölt felhasználók státuszát inaktiválja a Drupalban (és a hasonló elven felépülő rendszerekben is).

== Shibboleth konfiguráció ==
Be kell állítani a [[ShibSPConfig#RequestMap | RequestMap-et]] az adott virtuális szerver adott könyvtárára, majd az Apache-nak a megfelelelő <code>Directory</code> vagy <code>Location</code> blokkjában [[ShibSPProtection|be kell kapcsolni a Shibboleth azonosítást]].
{{INFO|[[ShibSPLazy|Lazy sessiont]] kell beállítani akkor, ha azt szeretnénk, hogy
* anonymous módon hozzáférhető legyen a Drupal (pl. csak olvasásra)
* az adminisztrátor be tudjon jelentkezni jelszóval.}}

Bővebben lásd: [[DrupalShibboleth#Required Session|Required Session]]

== Drupal Shibboleth modul ==
{{TODO}}
=== Telepítés ===
=== Konfiguráció ===

== Használat ==
{{TODO}}
=== Admin felhasználó bejelentkezése ===
=== Required session ===

[[Kategória: HOWTO]]

← Régebbi változat		A lap 2013. február 25., 13:32-kori változata
62. sor:		62. sor:
	=== Required session ===		=== Required session ===
	Lehetőség van arra is, hogy a felhasználók Shibboleth-en keresztüli authentikációját kötelezően megköveteld az oldal valamennyi megtekintése előtt. Ebben az esetben azonban nem lehetséges a nem shib_auth-on keresztüli belépés, így amíg ez a kényszer fenn áll, nem megoldható, hogy adminisztrátorként lépj be.		Lehetőség van arra is, hogy a felhasználók Shibboleth-en keresztüli authentikációját kötelezően megköveteld az oldal valamennyi megtekintése előtt. Ebben az esetben azonban nem lehetséges a nem shib_auth-on keresztüli belépés, így amíg ez a kényszer fenn áll, nem megoldható, hogy adminisztrátorként lépj be.
		+
		+	[[Category: AAI]] [[Category: Drupal]] [[Category: Shibboleth SP]]

@@ 30. sor: / 30. sor: @@
 == Drupal Shibboleth modul ==
 Amennyiben lehetővé szeretnéd tenni, hogy a rendszered felhasználói Shibboleth-en keresztül is azonosíthassák magukat, nem kell mást tenned, mint hogy a meglévő Drupal rendszeredhöz hozzáadjad a Drupal Shibboleth modul-t (shib_auth).
 === Telepítés ===
 # Telepítsd a '''userprotect''' modult

@@ 40. sor: / 40. sor: @@
 === Konfiguráció ===
 A modul telepítője elvégezi a szükséges  beállítások és módosítások többségét, így neked már nincs sok tennivalód. Az egyetlen elengedhetetlen beállítás a modul (Administer/User management/Shibboleth authentication module settings útvonalon elérhető) adminisztrációs oldalán található, ahol megadható a a WAYF ''localhost''-ra mutató útvonala. (például: ''/Shibboleth.sso/WAYF/NIIF-WAYF'')
 == Használat ==
-{{TODO}}
+A modul működése automatikus. A felhasználók a modul által létrehozott block-ban található url-re kattintva (''lazy-session'') vagy automatikusabn, az oldal betöltése közben (''required session'') authentikálják magukat a hozzájuk tartozó, a szerver által megbízhatónak tartott IdP-nél. A rendszer a apache modul által kapott információk alapján, az első bejelentkezés során létrehoz egy, a felhasználóhoz tartozó Drupal accountot, amihez egy véletlenszerű jelszót társít. Mivel a felhasználó ezt nem ismeri, így ezzel nem, kizárólag Shibboleth-es azonosítás segítségével tud belépni.
 === Admin felhasználó bejelentkezése ===
 === Required session ===
+Lehetőség van arra is, hogy a felhasználók Shibboleth-en keresztüli authentikációját kötelezően megköveteld az oldal valamennyi megtekintése előtt. Ebben az esetben azonban nem lehetséges a nem shib_auth-on keresztüli belépés, így amíg ez a kényszer fenn áll, nem megoldható, hogy adminisztrátorként lépj be.

@@ 4. sor: / 4. sor: @@
 Az [[Shibboleth IdP | IdP-nek]] azonosítania kell tudnia a felhasználót, tehát valamilyen [[Identity Management|központi adatbázisban]] léteznie kell.
-Ha egy olyan felhasználó jelentkezik be a Drupalba, aki még korábban nem jelentkezett be (pontosabban ha a Shibboleth-en keresztül megkapott azonosító még nem létezik), akkor a modul létrehoz egy új Drupal felhasználót. A felhasználó jelszava '''üres''', azaz a jelszavas bejelentkezés tiltott. Néhány felhasználói beállítás kezdeti értéke származhat a Shibboleth-től kapott attribútumokból:
+Ha egy olyan felhasználó jelentkezik be a Drupalba, aki még korábban nem jelentkezett be (pontosabban ha a Shibboleth-en keresztül megkapott azonosító még nem létezik), akkor a modul létrehoz egy új Drupal felhasználót. A felhasználó jelszava egy olyan véletlenszerűen generált megfelelően hosszú karakter sorozat, amely egyaránt tartalmazhat kis- és nagybetűket, valamint számokat. Alapesetben a felhasználó számára a jelszó változtatása tiltott, így a hagyományos úton (felhasználó név/ jelszó párossal) nem tud. A későbbiekben a jelszó változtatásának joga azonban egyénileg, vagy csortosan kiosztható ezzel engedélyezve a két authentikáció párhuzamos használatát. Néhány felhasználói beállítás kezdeti értéke származhat a Shibboleth-től kapott attribútumokból:
 * teljes név
 * email cím
 A felhasználói attribútumok változtatása az IdP-ben nem terjed át a Drupalra (leszámítva természetesen a felhasználói azonosítót), az Drupalban található attribútumok megváltoztathatók, ha ezt az oldal konfigurációja megengedi.
@@ 12. sor: / 13. sor: @@
 Az újonnan létrejött felhasználó alap jogosultságokkal rendelkezik, ezután az adminisztrátor további jogokat biztosíthat számára.
 === Felhasználó törlése ===
-A felhasználót a [[Identity Management|központi adatbázisból]] kell törölni, ezáltal megszűnik a hozzáférése a Drupalhoz. A Drupal azonosítója és beállításai azonban megmaradnak, ami az alábbi következményekkel jár:
+A felhasználót a [[Identity Management|központi adatbázisból]] kell törölni, ezáltal megszűnik a hozzáférése a Drupalhoz. A Drupal azonosítója és beállításai azonban megmaradnak, ami az alábbi következményekkel jár (Vigyázat! Ha korábban egedélyeztük számára a jelszavas belépést, akkor azt külön le kell tiltani!):
 * ha újra kiosztják a felhasználó azonosítóját, akkor a régi beállítások lesznek érvényesek
 * lehetséges privát üzenetet küldeni a felhasználó email címére
-* a törölt felhasználó mindaddig be tud lépni, amíg a Drupal által használt cookie érvényes, ezért célszerű memóriában tárolt cookie-kat használni
+* a törölt felhasználó mindaddig be tud lépni, amíg a Drupal által használt cookie érvényes, ezért célszerű memóriában tárolt cookie-kat használni (ld.: [[DrupalShibboleth#Konfiguráció|Drupal modul konfiguráció]])
 A fenti problémákat csak úgy lehet megoldani, ha egy alkalmazás a törölt felhasználók státuszát inaktiválja a Drupalban (és a hasonló elven felépülő többi rendszerben is).

@@ 26. sor: / 26. sor: @@
 * az adminisztrátor be tudjon jelentkezni jelszóval.}}
-Bővebben lásd: [[DrupalShibboleth#Required Session|Required Session]]
+Bővebben lásd: [[DrupalShibboleth#Required session|Required Session]]
 == Drupal Shibboleth modul ==