Módosítások

A föderációban metadata a föderáció tagjait leíró, a metadata föderációs operátor által digitálisan aláírt állomány írja le , mely létfontosságú a résztvevőket, ez alapján kommunikál résztvevők egymással az IdP való kommunikációjának szempontjából. A metadata által tartalmazott információkkal és az SPa metadata biztonságával kapcsolatban további információkat a [[HREFMetadataSpec|Metadata Specifikáció]] tartalmaz. ===== Elérhetőség, frissítés kritériumai =====* Lásd [[HREFMetadataSpec|Metadata specifikáció]]A legfontosabb szempont, hogy az elérhetetlenségből fakadó szolgáltatáskiesés megakadályozható legyen. A föderációban részt vevő komponensek a központi metadatát helyileg gyorstárazzák, így a metadata elérhetetlensége a gyorstárazási idő (<code>cacheDuration</code>) alatt nem okozhat szolgáltatáskiesési problémát - kivéve azon entitások esetén, melyek a kiesés időtartama alatt kerülnek újraindításra.

===== Biztonsági megfontolások =====* Téves vagy kompromittálódott adatok eltávolítása esetén a sérülékenységi ablak megegyezik a <code>cacheDuration</code> idejévelFontos kiemelni, '''amennyiben a támadó nem képes blokkolni hogy a központi metaadatok elérhetőségét (DOS)'''* Amennyiben a támadó képes blokkolni a központi metaadatok elérhetőségét, a sérülékenységi ablak a legutolsó letöltött metadata állomány <code>validUntil</code> paraméterében meghatározott ideig tart.* Amennyiben elérhetetlensége miatti szolgáltatáskiesés bármely föderációs komponensnél a metaadatok fent leírt gyorstárazási és érvényességi ideje lejár, az entitás nem képes azonosítani a többi föderációs résztvevőt, ezért nem tud föderációs szolgáltatást időszakon belül mindenképpen helyi szoftver- (pl. IdP esetén azonosítási szolgáltatást) nyújtani. (Denial of Servicevagy konfigurációs)hiba következménye.

===== Szolgáltatási szint =====A legfontosabb szempont, hogy az elérhetetlenségből fakadó szolgáltatáskiesés garantáltan megakadályozható legyen, azonban ez nagyon nehezen mérhető. ; Metadata aktualitása : A metadata akkor tekinthető aktuálisnak'''elérhetőnek''', ha legalább egy ismert URL-lel kapcsolatban az alábbi feltételek egyszerre teljesülnek:* , a föderációs operátor hálózatán kívül levő IP címről elérhető, és az URL-ről egy szabványos SAML metadata állomány tölthető le:* a letöltött állomány aláírásának ellenőrzése , és aláírása egy ismert kulccsal ellenőrizhető:* . A metadata akkor tekinthető '''aktuálisnak''', ha elérhető, és a letöltött állomány 2 óránál nem régebben keletkezett.==== Vállalt rendelkezésre állás ===='''Vállalt szolgáltatási szint''': A föderációs operátor vállalja, hogy a metadata aktuálisnak tekinthető tetszőleges 12 hónapos időtartamra nézve az idő '''99.9%-ában elérhető''',5%'''99%-ábanaktuális'''. ==== Adminisztráció Föderáció adminisztráció (Resource Registry) ====

; ElérhetőségA Resource Registry elérhetősége elérhető, ha legalább egy, a benne tárolt adatok szerkesztésére vonatkozikföderációs operátor hálózatán kívül eső IP címről megnyitható, és bejelentkezés működőképes (feltételezve, hogy az azonosító szervezet rendben működik).==== Vállalt rendelkezésre állás ====Tetszőleges 12 hónapos időtartamra nézve a metaadatok elérhetőségét nem érintiszolgáltatás az idő '''98%-ában''' elérhető. Mivel azonban === Discovery Service ===A Discovery Service (keresőszolgáltatás) az esetleges kompromittálódott kulcsok visszavonása SP-k számára a felhasználó azonosító szervezetét kiválasztó alkalmazás. Amennyiben egy SP adminisztrátora úgy dönt, hogy az intézmények részéről csak ezen SP a központi keresőszolgáltatást használja, úgy az adminisztrációs rendszeren keresztül elvégezhető, ezért adott SP-n történő belépések esetén a rendszer komponens elérhetősége a föderáció operatív működése szempontjából fontoskritikus.

; A keresőszolgáltatás a metaadatokból dolgozik, a metaadat változásait 1 napon (24 órán) belül átveszi.==== Elérhetőség kritériumai ====A keresőszolgáltatás elérhetőnek tekintendő, ha legalább 1, föderációs operátor hálózatán kívül eső IP címről elérhető, és a protokoll által leírt működést mutatja, valamint a metadatában szereplő azonosító szervezeteket ajánlja fel (figyelembe véve az előző pontban leírt időkorlátot a módosítások átvezetésére).==== Vállalt rendelkezésre állás, incidensek kezelése====TODO 95-Tetszőleges 12 hónapos időtartamra nézve a szolgáltatás az idő '''99.9% között lehet valahol, 99 felett nem nagyon megvalósítható-ában''' elérhető. Végig kell gondolni hogy egy esetleges vis maior esetén mennyi idő alatt vagyunk képesek === Virtuális azonosítószervezet ===A föderációs operátor által biztosított virtuális azonosítószervezet biztosítja a működőképességet visszaállítani, ha ez ~1 nap, akkor 95% fölé saját azonosítószervezettel nem nagyon mehetünkrendelkező intézmények számára a felhasználók AAI infrastruktúrába kapcsolását, az nagyjából évente 15-20 napnyi kiesésilletve a többi azonosítószervezet számára a vendégfelhasználók regisztrálását és karbantartását.==== Elérhetőség kritériumai ====A virtuális azonosítószervezet két komponensből áll:* adminisztrációs felület a felhasználók kezelésére* azonosító szerver

A Resource Registryvirtuális azonosítószerv elérhetőnek tekinthető, ha legalább egy, föderációs operátor hálózatán kívül eső IP címről elérhető az adminisztrációs felület (feltéve, hogy az adminisztrátor saját azonosító szervezete és a föderációs infrastruktúra megfelelően működik); illetve az azonosító szerver.==== Vállalt rendelkezésre állás ====A virtuális azonosítószervezet elérhető tetszőleges, 12 hónapos időtartamon számított teljes idő '''99%-ben tárolt adatokról napi szintű mentéssel rendelkezünkában'''. === Föderációs komponensek monitorozása ===A rendszer leállásától számítva föderációs operátor az általa üzemeltetett komponenseket folyamatosan és automatikusan ellenőrzi. Ez az ellenőrzés kiterjed az infrastruktúra építőelemeire (switchek, hálózati elemek, szerverek), a működőképességet 1 munkanapon belül tudjuk helyreállítaniszervereken futó operációs rendszerekre, ami és a legrosszabb esetben az elmúlt 1 nap változásainak elvesztésével jár (TODO: metadata verziózásból elég sokmindent vissza tudunk állítani)föderációs szoftverekre is.

Az esetleges incidensek 0-24 óráig bejelenthetők az NIIFI incidens-kezelő ügyeletén is (http://www.niif.hu/szolgaltatasok/middleware/csirt_kapcsolat).===Egyéb támogatás = Adminisztratív szolgáltatások ==* Attribútum specifikáció kidolgozásaA föderációs operátor a föderációs technológiákkal, trendekkel kapcsolatban folyamatosan frissülő tudásbázist tart fent, illetve rendszeres és eseti oktatásokkal segíti a tagok közötti tudásátadást. Ugyancsak elősegíti a használt szoftverekkel kapcsolatos információk, hibabejelentések terjedését a résztvevő intézmények és a szoftverek fejlesztői között. Az operátor feladata, karbantartásahogy a felhasznált szoftverekkel kapcsolatos biztonsági frissítésekre felhívja a résztvevők figyelmét.== Kiegészítő szolgáltatások ==* Identity Management ajánlások és specifikáció kidolgozásaA föderációs operátor az alábbi szolgáltatásokat garancia nélkül, karbantartásabest effort jelleggel működteti:

 == Támogatás ==* Helpdesk intézményi adminisztrátorok számára* Dokumentáció, tudásbázis működtetése* Oktatás, tanácsadás* MarketingIntézményi AAI komponensek monitorozása* „Sales”: intézmények IdP és szolgáltatók bevonásaSP hosting