„HREF szolgáltatási szint megállapodás” változatai közötti eltérés
(metadata) |
(Metadata, RR, Discovery Service) |
||
| 17. sor: | 17. sor: | ||
Fontos kiemelni, hogy a központi metadata elérhetetlensége miatti szolgáltatáskiesés bármely föderációs komponensnél a fent leírt gyorstárazási és érvényességi időszakon belül mindenképpen helyi szoftver- (vagy konfigurációs) hiba következménye. | Fontos kiemelni, hogy a központi metadata elérhetetlensége miatti szolgáltatáskiesés bármely föderációs komponensnél a fent leírt gyorstárazási és érvényességi időszakon belül mindenképpen helyi szoftver- (vagy konfigurációs) hiba következménye. | ||
| − | ; Metadata elérhetősége | + | ; Metadata elérhetősége |
| − | + | A metadata akkor tekinthető elérhetőnek, ha legalább egy, a föderációs operátor hálózatán kívül levő IP címről elérhető, és az URL-ről egy szabványos SAML metadata állomány tölthető le. | |
| − | + | ||
| + | ; Metadata aktualitása | ||
| + | A metadata akkor tekinthető aktuálisnak, ha elérhető, és | ||
:* a letöltött állomány aláírásának ellenőrzése egy ismert kulccsal ellenőrizhető | :* a letöltött állomány aláírásának ellenőrzése egy ismert kulccsal ellenőrizhető | ||
:* a letöltött állomány 2 óránál nem régebben keletkezett | :* a letöltött állomány 2 óránál nem régebben keletkezett | ||
| 27. sor: | 29. sor: | ||
| − | === | + | === Föderáció adminisztráció (Resource Registry) === |
A [[Resource_Registry|Resource Registry]] a metaadat állományban található - az egész föderációt leíró - adatok szerkesztését lehetővé tevő alkalmazás. A Resource Registryben tárolt adatokat a föderációs operátor illetve az intézmények kapcsolattartói szerkeszthetik. | A [[Resource_Registry|Resource Registry]] a metaadat állományban található - az egész föderációt leíró - adatok szerkesztését lehetővé tevő alkalmazás. A Resource Registryben tárolt adatokat a föderációs operátor illetve az intézmények kapcsolattartói szerkeszthetik. | ||
| − | + | ==== Elérhetőség kritériumai ===== | |
A Resource Registry elérhetősége a benne tárolt adatok szerkesztésére vonatkozik, a metaadatok elérhetőségét nem érinti. Mivel azonban az esetleges kompromittálódott kulcsok visszavonása az intézmények részéről csak ezen az adminisztrációs rendszeren keresztül elvégezhető, ezért a rendszer elérhetősége a föderáció operatív működése szempontjából fontos. | A Resource Registry elérhetősége a benne tárolt adatok szerkesztésére vonatkozik, a metaadatok elérhetőségét nem érinti. Mivel azonban az esetleges kompromittálódott kulcsok visszavonása az intézmények részéről csak ezen az adminisztrációs rendszeren keresztül elvégezhető, ezért a rendszer elérhetősége a föderáció operatív működése szempontjából fontos. | ||
| − | + | A Resource Registry elérhető, ha legalább egy, a föderációs operátor hálózatán kívül eső IP címről megnyitható, és bejelentkezés működőképes (feltételezve, hogy az azonosító szervezet rendben működik). | |
| + | |||
| + | ==== Vállalt rendelkezésre állás ===== | ||
TODO 95-99% között lehet valahol, 99 felett nem nagyon megvalósítható. Végig kell gondolni hogy egy esetleges vis maior esetén mennyi idő alatt vagyunk képesek a működőképességet visszaállítani, ha ez ~1 nap, akkor 95% fölé nem nagyon mehetünk, az nagyjából évente 15-20 napnyi kiesés. | TODO 95-99% között lehet valahol, 99 felett nem nagyon megvalósítható. Végig kell gondolni hogy egy esetleges vis maior esetén mennyi idő alatt vagyunk képesek a működőképességet visszaállítani, ha ez ~1 nap, akkor 95% fölé nem nagyon mehetünk, az nagyjából évente 15-20 napnyi kiesés. | ||
| + | |||
| + | ==== Vállalt helyreállítási idő ==== | ||
A Resource Registry-ben tárolt adatokról napi szintű mentéssel rendelkezünk. A rendszer leállásától számítva a működőképességet 1 munkanapon belül tudjuk helyreállítani, ami a legrosszabb esetben az elmúlt 1 nap változásainak elvesztésével jár (TODO: metadata verziózásból elég sokmindent vissza tudunk állítani). | A Resource Registry-ben tárolt adatokról napi szintű mentéssel rendelkezünk. A rendszer leállásától számítva a működőképességet 1 munkanapon belül tudjuk helyreállítani, ami a legrosszabb esetben az elmúlt 1 nap változásainak elvesztésével jár (TODO: metadata verziózásból elég sokmindent vissza tudunk állítani). | ||
| − | |||
| − | |||
=== Discovery Service === | === Discovery Service === | ||
| 46. sor: | 50. sor: | ||
A keresőszolgáltatás a metaadatokból dolgozik, a metaadat változásait 2 órán belül átveszi. | A keresőszolgáltatás a metaadatokból dolgozik, a metaadat változásait 2 órán belül átveszi. | ||
| − | ==== Elérhetőség ==== | + | ==== Elérhetőség kritériumai ==== |
| − | A keresőszolgáltatás | + | A keresőszolgáltatás elérhetőnek tekintendő, ha legalább 1, föderációs operátor hálózatán kívül eső IP címről elérhető, és a protokoll által leírt működést mutatja, valamint a metadatában szereplő azonosító szervezeteket ajánlja fel (figyelembe véve az előző pontban leírt időkorlátot a módosítások átvezetésére). |
| − | + | ==== Vállalt rendelkezésre állás ==== | |
TODO '''99.5%''' (2 nap leállás / év) | TODO '''99.5%''' (2 nap leállás / év) | ||
==== Adminisztráció ==== | ==== Adminisztráció ==== | ||
| − | === Monitoring === | + | ==== Monitoring ==== |
| − | === | + | |
| − | === | + | === Virtuális azonosítószervezet === |
| + | |||
| + | === Föderációs komponensek monitorozása === | ||
== Adminisztratív szolgáltatások == | == Adminisztratív szolgáltatások == | ||
A lap 2010. május 21., 11:17-kori változata
Tartalomjegyzék
Műszaki szolgáltatások
Metadata
A metadata a föderáció tagjait leíró, a föderációs operátor által digitálisan aláírt állomány, mely létfontosságú a résztvevők egymással való kommunikációjának szempontjából. A metadata által tartalmazott információkkal és a metadata biztonságával kapcsolatban további információkat a Metadata Specifikáció tartalmaz.
Biztonsági megfontolások
Mivel a metadata tartalmazza a föderációban részt vevő tagok és komponensek technikai információit, ezért a benne tárolt információkkal kapcsolatban figyelembe kell venni a következő biztonsági megfontolásokat:
- Téves vagy kompromittálódott adatok eltávolítása esetén a sérülékenységi ablak megegyezik a metadata gyorstárazhatósági (
cacheDuration) idejével, amennyiben a támadó nem képes blokkolni a központi metaadatok elérhetőségét (DOS) - Amennyiben a támadó képes blokkolni a központi metaadatok elérhetőségét, a sérülékenységi ablak a legutolsó letöltött metadata állomány érvényességéig (
validUntilparaméterében meghatározott ideig) tart. - Amennyiben a metaadatok érvényességi ideje lejár, az entitás nem képes azonosítani a többi föderációs résztvevőt, ezért nem tud föderációs szolgáltatást (pl. IdP esetén azonosítási szolgáltatást) nyújtani.
A fentiek alapján a metadata elérhetősége és a benne tárolt adatok gyors megváltoztathatósága létfontosságú.
Az elérhetőség kritériumai
A legfontosabb szempont, hogy az elérhetetlenségből fakadó szolgáltatáskiesés megakadályozható legyen. A föderációban részt vevő komponensek a központi metadatát helyileg gyorstárazzák, így a metadata elérhetetlensége a gyorstárazási idő (cacheDuration) alatt nem okozhat szolgáltatáskiesési problémát - kivéve azon entitások esetén, melyek a kiesés időtartama alatt kerülnek újraindításra.
Fontos kiemelni, hogy a központi metadata elérhetetlensége miatti szolgáltatáskiesés bármely föderációs komponensnél a fent leírt gyorstárazási és érvényességi időszakon belül mindenképpen helyi szoftver- (vagy konfigurációs) hiba következménye.
- Metadata elérhetősége
A metadata akkor tekinthető elérhetőnek, ha legalább egy, a föderációs operátor hálózatán kívül levő IP címről elérhető, és az URL-ről egy szabványos SAML metadata állomány tölthető le.
- Metadata aktualitása
A metadata akkor tekinthető aktuálisnak, ha elérhető, és
- a letöltött állomány aláírásának ellenőrzése egy ismert kulccsal ellenőrizhető
- a letöltött állomány 2 óránál nem régebben keletkezett
Szolgáltatási szint
A metadata aktuálisnak tekinthető tetszőleges 12 hónapos időtartamra nézve az idő 99,5%-ában. (TODO: hálózat, terheléselosztó rendelkezésre állása? idp1/2 failover? helyreállítás vállalt időtartama?)
Föderáció adminisztráció (Resource Registry)
A Resource Registry a metaadat állományban található - az egész föderációt leíró - adatok szerkesztését lehetővé tevő alkalmazás. A Resource Registryben tárolt adatokat a föderációs operátor illetve az intézmények kapcsolattartói szerkeszthetik.
Elérhetőség kritériumai =
A Resource Registry elérhetősége a benne tárolt adatok szerkesztésére vonatkozik, a metaadatok elérhetőségét nem érinti. Mivel azonban az esetleges kompromittálódott kulcsok visszavonása az intézmények részéről csak ezen az adminisztrációs rendszeren keresztül elvégezhető, ezért a rendszer elérhetősége a föderáció operatív működése szempontjából fontos.
A Resource Registry elérhető, ha legalább egy, a föderációs operátor hálózatán kívül eső IP címről megnyitható, és bejelentkezés működőképes (feltételezve, hogy az azonosító szervezet rendben működik).
Vállalt rendelkezésre állás =
TODO 95-99% között lehet valahol, 99 felett nem nagyon megvalósítható. Végig kell gondolni hogy egy esetleges vis maior esetén mennyi idő alatt vagyunk képesek a működőképességet visszaállítani, ha ez ~1 nap, akkor 95% fölé nem nagyon mehetünk, az nagyjából évente 15-20 napnyi kiesés.
Vállalt helyreállítási idő
A Resource Registry-ben tárolt adatokról napi szintű mentéssel rendelkezünk. A rendszer leállásától számítva a működőképességet 1 munkanapon belül tudjuk helyreállítani, ami a legrosszabb esetben az elmúlt 1 nap változásainak elvesztésével jár (TODO: metadata verziózásból elég sokmindent vissza tudunk állítani).
Discovery Service
A Discovery Service (keresőszolgáltatás) az SP-k számára a felhasználó azonosító szervezetét kiválasztó alkalmazás. Amennyiben egy SP adminisztrátora úgy dönt, hogy az SP a központi keresőszolgáltatást használja, úgy az adott SP-n történő belépések esetén a komponens elérhetősége kritikus.
A keresőszolgáltatás a metaadatokból dolgozik, a metaadat változásait 2 órán belül átveszi.
Elérhetőség kritériumai
A keresőszolgáltatás elérhetőnek tekintendő, ha legalább 1, föderációs operátor hálózatán kívül eső IP címről elérhető, és a protokoll által leírt működést mutatja, valamint a metadatában szereplő azonosító szervezeteket ajánlja fel (figyelembe véve az előző pontban leírt időkorlátot a módosítások átvezetésére).
Vállalt rendelkezésre állás
TODO 99.5% (2 nap leállás / év)
Adminisztráció
Monitoring
Virtuális azonosítószervezet
Föderációs komponensek monitorozása
Adminisztratív szolgáltatások
- Attribútum specifikáció kidolgozása, karbantartása
- Identity Management ajánlások és specifikáció kidolgozása, karbantartása
- URN registry (URN névterek kezelése, delegálása)
- Statisztika
- Audit
Támogatás
- Helpdesk intézményi adminisztrátorok számára
- Dokumentáció, tudásbázis működtetése
- Oktatás, tanácsadás
- Marketing
- „Sales”: intézmények és szolgáltatók bevonása
