Módosítások

* '''SP: Service Provider - Szogáltatás''': Webes alkalmazás, amelynek felhasználóit föderatívan, valamilyen IdP által autentikáltatja

* Az [[HREFAttributeSpec|attribútum-szabályzat]] szintén föderációs szinten állítható, melyeket kiegészítve, az egyes IdP-k megadhatják, hogy mely attribútumokat milyen feltételekkel adják ki, ill. az egyes SP-k is deklarálhatják, hogy milyen attribútumok megléte esetén tudnak egyáltalán működni, mindezt az egyes intézmények adatvédelmi felelősei által kontrolálva.

''Fontos, hogy ezt akkor lehet szinte egy az egyben használni, amennyiben az adott SP csak egy alkalmazást véd. Amennyiben több alkalmazás is igényes igényel Shibbolethet egyazon hoszton, úgy kézzel kell szerkeszteni az xml-t.''

''Ez A fájl egyből használható, a rendszer e'' -mailt küld róla, ha a föderációba új SP került, így szükséges a frissített <code lang="xml">attribute-filter.xml</code> letöltése az IdP-hez. [[#attribute-filter_generAttrib.C3.A1lBAtumok_kezel.C3.A1saA9se|További további információk ]] a fájl előállításának menetéről]].

* <code lang="xml">AttributeFilter.xml</code>''Fejlesztés alattA fájl egyből használható''- [[#Attrib.C3.BAtumok_kezel.C3.A9se|további információk]] a fájl előállításának menetéről.

A Resource Registry a https://rr.aai.niifeduid.hu címen érhető el, és bejelentkezni csak föderatív azonosítás után lehet. A nyitóképernyőn a bejelentkezési lehetőségen túl mindössze általános, nyilvános információk érhetők el a föderáció aktuális állapotával kapcsolatban, ill. a rendszer használatához található segítség.

Bárki, akit a rendszer föderatív azonosítással beléptettbeléptetett, kezdeményezheti egy SP föderációba történő felvételét, ehhez az „SP adminisztráció“ oldalon az „Új SP regisztrálása“ c. menüpontot kell választani. Varázsló segít a regisztrációban, melynek mindössze a telepített SP metaadatának nyilvánosan elérhető url-jét kell megadni (alapértelmezés szerint: https://#HOSTNAME#/Shibboleth.sso/Metadata), majd az automata a lehető legtöbb beállítási paramétert megpróbálja kiolvasni az xml-ből, és egyből beírni az adatbázisba az új SP adatai közé. Mivel minden adatot nem lehetséges az alapértelmezett metaadatból kinyerni, így a regisztráló felhasználónak néhány további adatot kell megadnia ahhoz, hogy véglegesíthesse az SP regisztrációs kérelmet. Ezeket hat csoportra lehet osztani.

* '''SP Service Locations''': különböző bindingok elérhetőségei – ezt az automata az esetek nagy hányadában jól kiolvassa a metaadatból, emberi módosítást a legritkább esetben igényel. Kivételt képez a ''NameIdFormat'' meghatározása, mely kapcsán két három opció közül választhatunk.** Tranziens opciót kell választanunk, ha SP-nk számára nem fontos, hogy ki a felhasználó, hiszen nem ez alapján dől el, hogy milyen erőforrásokat érhet el, hanem az alapján hogy milyen, a felhasználóra vonatkozó, pl. 1[[HREFAttributeSpec#eduPersonScopedAffiliation|eduPersonScopedAffiliation]] attribútumot állnak az SP rendelkezésére.** Perzisztens opciót kell választanunk, ha SP-nk számára fontos, hogy ki a felhasználó ÉS sz SP által védett alkalmazásaink is felkészültek arra, hogy [[eduPersonTargetedID|eduPersonTargetedID]]persistent-t idt fogadjanak, ezzel dolgozzanak.** Nem meghatározott opciót kell választanunk, amennyiben az SP által védendő alkalmazás mind persistent, mind transient NameID fogadására alkalmas.

: ''Megjegyzés'' Amennyiben most alakítjuk ki az AAI infrastruktúránkat, újonnan állítjuk be az SP-t annak érdekében, hogy valamilyen alkalmazást védjen, akkor '''elvárt'ajánlott'', hogy támogassa a perzisztens azonosítók használatát.

'''FONTOS''': Akár regisztráltunk, akár módosítottunk, a változásokat jóvá kell hagynia az Önt azonosító intézet RR adminisztrátorai közül valakinek. Amíg ezek a változtatások bekerülnek a föderációs metaadatba, az legfejjebb egy óra, ám amíg minden föderációs entitás frissíti a metaadatot, így értesül a változásról, az akár több nap is lehet.

==Attribútumok kezelése=attribute= A föderációban használható attribútumok részletes listája a [[HREFAttributeSpec|föderációs attribútum specifikációban]] található.  Az egyes attribútumokkal kapcsolatban négy irányból lehetséges beállításokat eszközölni* Minden SP meghatározhatja, hogy mely attribútumok kiadását követeli meg, és melyek kiadását ajánlja (SP beállítások - Kötelező attribútumok menüpont)* Minden SP meghatározhatja, hogy mely IdP-ktől hajlandó attribútumokat elfogadni (SP beállítások - Hallgatóság menüpont)* Minden IdP meghatározhatja általánosságban, hogy ha egy SP tőle egy bizonyos attribútum kiadását megköveteli, vagy ajánlja, akkor azt az attribútumot kiadja-e, vagy sem. (IdP beállítások - Általános attribútum kiadási szabályok menüpont)* Minden IdP meghatározhat SP-specifikus szabályokat, tehát egy-egy SP-re, vagy egy-egy SP egy-egy attribútumára vonatkozólag megadhat az általános beállításaitól eltérő szabályokat - pl. az eduPersonPrincipalName-t ha általában ajánlva kérik az SP-k, akkor kiadja, de XY SP-nek semmiképp nem adja ki. (IdP beállítások - Egyedi attribútum kiadási szabályok menüpont) [[HREFAttributeSpec#Attrib.C3.BAtumok_haszn.C3.A1lata|További információ az attribútumok implementációjáról, kapcsolódó fogalmakról]] '''A fenti beállítások eredőjeként generálódik az IdP-k által használandó XML alapú attirbútum filter fájl''' A generált attribútum filter alapvetően tiltó jellegű, tehát az IdP pontosan azokat az attribútumokat és pontosan azoknak az SP-knek adhatja ki, melyek megadásra kerültek a beállításoknál, egyébként semmit. '''Néhány példa a "leképződésre"'* Ha egy SP kiadásra ajánl egy attribútumot, de az IdP (akár az általános-, akár az egyedi attribútum kiadási szabálya miatt) nem adja ki azt, akkor az XML fájlban komment formájában jelenik meg, hogy ezt és ezt az attribútumot igényelné az SP, de nem kerül kiadásra* Ha egy SP hallgatóságából kitilt egy IdP-t, akkor az IdP attribútum filterében az adott SP-re vonatkozólag nem jelenik meg semmi, amelynek következtében nem is kerül számára kiadásra semmi ===XML alapú filter generálása===* Shibboleth IdP-nél: <code lang="xml">attribute-filter.xml</code>* simpleSAMLphp IdP-nél: <code lang="xml">AttributeFilter.xml</code>

Az '''<code lang="xml">attribute-A filter.xml</code>''' a Shibboleth IdP egyik fontos konfigurációs fájljafájlok Resource Registry által előállított változatát használni nem kötelező, de fokozottan ajánlott, amelyben megadhatjukhiszen ezzel garantálható egyfelől, hogy az IdP milyen feltételek teljesülése milyen attribútumokat (ne) adjon ki a hozzáforduló -n keresztül autentikáló felhasználók azokat az SP-nek. [[Shib2IdpARP|További részletek ket, melyeket el kell tudniuk érni, jól fogják, megfelelő attribútumokkal "a zsebükben" fogják tudni elérni, másfelől így tudnak érvényesülni a filter működéséről]]feljebb részletezett korlátozó szabályzások.

A föderációban résztvevő ===Adatvédelmi szempontok===Ha egy SP megváltoztatja attribútum igényeit pozitív irányba (új attribútumokat kér), úgy a változtatás csak akkor fog belekerülni az IdP-k számára a Resource Registry dinamikusan generálja a '''<code lang="xml">attribute-filter.xml</code>'''-tattirbútum filterébe, amely mindig amennyiben ezt a https://rr.aai.niif.hu/gen_attribute-filter.php/href/IDP_NEVE/attribute-filter.xml címen érhető el. A generátor változtatást tudomásul veszi az alábbi szempontokat veszi figyelembe:* Az IdP milyen speciális - egy-oldaláról az illetékes adatvédelmi felelős. Amennyiben egy SP-re külön meghozott nél ilyen jellegű változás történik, a rendszer e- attribútum kiadási szabályokat deklarált* Az SP [[HREFAttributeSpec#schacHomeOrganizationType|milyen jellegű mailben értesíti az érintett IdP-k]] felhasználói számára engedélyezte a szolgáltatás használatát* Az SP az előzőeken túl milyen kivételes szabályokat állított felgazdáit, adatvédelmi felelőseit.

A ===Gyakorlati ajánlás===Kihasználandó a Resource Registry által biztosított lehetőségeket ajánljuk, hogy az IdP-hez tartozó generált attribútum filter alapvetően tiltó jellegűfájlt automatikusan töltsék le az IdP-k, bizonyos időközönként (óránként, naponta párszor...), tehát hiszen ezekbe csak úgy kerülhet változtatás, ha azt az IdP pontosan azokat az attribútumokat és pontosan azoknak az SP-knek adhatja kiadatvédelmi felelőse jóváhagyta, melyek megadásra kerültek akkor viszont egyből átvezetődik a beállításoknálváltoztatás, nem szükséges kézzel letölteni, ill. újraindítani az "egyébként ág": ''NEM''IdP-t.(Shibboleth esetében be kell állítani egy kapcsolót, SSP-nél automatikusan újratölti a friss XML-t)

Lévén a generátor három szempont alapján állítja össze a ;A filter fájlt, míg az IdP adminisztrátorának ezek közül csak egyre van teljes rálátása, így az elérhetősége* Shibboleth IdP: https://rr.eduid.hu/gen_attribute-filter.php/href/IDP_NEVE/attribute-t úgy kell konfigurálnia, hogy egy automata plfilter. minden órában letölti a fenti címről az adott xml * simpleSAMLphp IdP: https://rr.eduid.hu/gen_attribute-re vonatkozó '''<code lang="xml">filter-ssp.php/href/IDP_NEVE/attribute-filter.xml</code>'''-t, amely szintén automatikusan, immár ;Útmutató a legújabb változtatásokat is tartalmazva, aktivizálódikbeállításhoz* [[Shib2IdpInstall#Tov.C3.A1bb_a_f.C3.B6der.C3.A1ci.C3.B3ba|Shibboleth]]* [[SSP_QuickStart#K.C3.BCls.C5.91_attrib.C3.BAtum_filter_modul_haszn.C3.A1lata|simpleSAMLphp]]