Módosítások

A föderációban metadata a föderáció tagjait leíró, a metadata föderációs operátor által digitálisan aláírt állomány írja le , mely létfontosságú a résztvevőket, ez alapján kommunikál résztvevők egymással az IdP való kommunikációjának szempontjából. A metadata által tartalmazott információkkal és az SPa metadata biztonságával kapcsolatban további információkat a [[HREFMetadataSpec|Metadata Specifikáció]] tartalmaz. ===== Elérhetőség kritériumai =====A metaadat állományban szerepel legfontosabb szempont, hogy az állomány érvényességi ideje (<code>validUntil</code>) és gyorstárazhatósági ideje elérhetetlenségből fakadó szolgáltatáskiesés megakadályozható legyen. A föderációban részt vevő komponensek a központi metadatát helyileg gyorstárazzák, így a metadata elérhetetlensége a gyorstárazási idő (<code>cacheDuration</code>). Az állomány a <code>cacheDuration</code> paraméterben megadott időtartamon keresztül gyorstárazható, azaz ezalatt az idő alatt az entitásnak nem szükséges letöltenie a központi metaadatokat. Ha a letöltés (vagy az aláírásokozhat szolgáltatáskiesési problémát -ellenőrzés) valamilyen oknál fogva nem sikerülkivéve azon entitások esetén, akkor melyek a régi metadata tartalma a <code>validUntil</code> időpontig tekinthető hitelesnekkiesés időtartama alatt kerülnek újraindításra.

A föderációban az alábbi paraméterek érvényesek:* <code>validUntil</code>: az aláírás időpontja + 3 nap* <code>cacheDuration</code>: 60 perc===== Biztonsági megfontolások =====* Téves vagy kompromittálódott adatok eltávolítása esetén a sérülékenységi ablak megegyezik a <code>cacheDuration</code> idejévelFontos kiemelni, '''amennyiben a támadó nem képes blokkolni a központi metaadatok elérhetőségét (DOS)'''* Amennyiben a támadó képes blokkolni hogy a központi metaadatok elérhetőségét, a sérülékenységi ablak a legutolsó letöltött metadata állomány <code>validUntil</code> paraméterében meghatározott ideig tart.* Amennyiben elérhetetlensége miatti szolgáltatáskiesés bármely föderációs komponensnél a metaadatok fent leírt gyorstárazási és érvényességi ideje lejár, az entitás nem képes azonosítani a többi föderációs résztvevőt, ezért nem tud föderációs szolgáltatást időszakon belül mindenképpen helyi szoftver- (pl. IdP esetén azonosítási szolgáltatást) nyújtani. (Denial of Service).==== Aláírás, automatikus frissítés ====A metadata egy minden fél által megbízhatónak tekintett kulccsal aláírt struktúra, amelynek adott érvényességi ideje (<code>validUntil</code>) és gyorstárazhatósági ideje (<code>cacheDuration</code>vagy konfigurációs) vanhiba következménye.

A központi metaadat metadata akkor tekinthető '''elérhetőnek''', ha legalább egy, a föderációs operátor hálózatán kívül levő IP címről elérhető, és az URL-ről egy szabványos SAML metadata állomány tölthető le, és aláírása egy ismert kulccsal ellenőrizhető. A metadata akkor tekinthető '''aktuálisnak''', ha elérhető, és a letöltött állomány 60 percenként frissül2 óránál nem régebben keletkezett.==== Adminisztráció Vállalt rendelkezésre állás ====A föderációs operátor vállalja, hogy a metadata tetszőleges 12 hónapos időtartamra nézve az idő '''99.9%-ában elérhető''', '''99%-ában aktuális'''.=== Föderáció adminisztráció (Resource Registry) ===A [[Resource_Registry|Resource Registry]] a metaadat állományban található - az egész föderációt leíró - adatok szerkesztését lehetővé tevő alkalmazás. A Resource Registryben tárolt adatokat a föderációs operátor illetve az intézmények kapcsolattartói szerkeszthetik.====Elérhetőség kritériumai ====A Resource Registry elérhetősége a benne tárolt adatok szerkesztésére vonatkozik, a metaadatok elérhetőségét nem érinti. Mivel azonban az esetleges kompromittálódott kulcsok visszavonása az intézmények részéről csak ezen az adminisztrációs rendszeren keresztül elvégezhető, ezért a rendszer elérhetősége a föderáció operatív működése szempontjából fontos.

A keresőszolgáltatás a metaadatokból dolgozik, a metaadat változásait 1 napon (24 órán) belül átveszi.==== Elérhetőség kritériumai ====A keresőszolgáltatás elérhetőnek tekintendő, ha legalább 1, föderációs operátor hálózatán kívül eső IP címről elérhető, és a protokoll által leírt működést mutatja, valamint a metadatában szereplő azonosító szervezeteket ajánlja fel (figyelembe véve az előző pontban leírt időkorlátot a módosítások átvezetésére).==== Vállalt rendelkezésre állás ====Tetszőleges 12 hónapos időtartamra nézve a szolgáltatás az idő '''99.9%-ában''' elérhető.=== Virtuális azonosítószervezet ===A föderációs operátor által biztosított virtuális azonosítószervezet biztosítja a saját azonosítószervezettel nem rendelkező intézmények számára a felhasználók AAI infrastruktúrába kapcsolását, illetve a többi azonosítószervezet számára a vendégfelhasználók regisztrálását és karbantartását.==== Elérhetőség kritériumai == Adminisztratív szolgáltatások ==A virtuális azonosítószervezet két komponensből áll:* Attribútum specifikációadminisztrációs felület a felhasználók kezelésére* Identity Management ajánlások és specifikációazonosító szerver * URN registry A virtuális azonosítószerv elérhetőnek tekinthető, ha legalább egy, föderációs operátor hálózatán kívül eső IP címről elérhető az adminisztrációs felület (URN névterek kezelésefeltéve, delegálásahogy az adminisztrátor saját azonosító szervezete és a föderációs infrastruktúra megfelelően működik); illetve az azonosító szerver.* Steering committee összehívása==== Vállalt rendelkezésre állás ====A virtuális azonosítószervezet elérhető tetszőleges, döntés előkészítés12 hónapos időtartamon számított teljes idő '''99%-ában'''.=== Föderációs komponensek monitorozása ===* SzámlázásA föderációs operátor az általa üzemeltetett komponenseket folyamatosan és automatikusan ellenőrzi. Ez az ellenőrzés kiterjed az infrastruktúra építőelemeire (switchek, hálózati elemek, szerverek), a szervereken futó operációs rendszerekre, és a föderációs szoftverekre is.

* === Helpdesk intézményi adminisztrátorok számára===A föderációs operátor ügyfélszolgáltatot tart fenn a tagok és partnerek számára. Az ügyfélszolgálat feladata mind az incidensek kezelése, mind az általános segítségnyújtás (például csatlakozási szándék, vagy hibaelhárítás esetén). Az ügyfélszolgálat '''munkanaponként 09-17 óra között''' működik, és az intézményi megkeresésekre legfeljebb 1 munkanapon belül válaszol. Az esetleges incidensek 0-24 óráig bejelenthetők az NIIFI incidens-kezelő ügyeletén is (http://www.niif.hu/szolgaltatasok/middleware/csirt_kapcsolat).=== Egyéb támogatás ===A föderációs operátor a föderációs technológiákkal, trendekkel kapcsolatban folyamatosan frissülő tudásbázist tart fent, illetve rendszeres és eseti oktatásokkal segíti a tagok közötti tudásátadást. Ugyancsak elősegíti a használt szoftverekkel kapcsolatos információk, hibabejelentések terjedését a résztvevő intézmények és a szoftverek fejlesztői között. Az operátor feladata, hogy a felhasznált szoftverekkel kapcsolatos biztonsági frissítésekre felhívja a résztvevők figyelmét.== Kiegészítő szolgáltatások ==A föderációs operátor az alábbi szolgáltatásokat garancia nélkül, best effort jelleggel működteti:* DokumentációURN registry (URN névterek kezelése, tudásbázis működtetésedelegálása)* Statisztika* Oktatás, tanácsadásAudit* MarketingIntézményi AAI komponensek monitorozása* „Sales”: intézmények IdP és szolgáltatók bevonásaSP hosting