11
szerkesztés
Módosítások
Új oldal, tartalma: „= Harica = = Egy gyakori probléma = A HARICA rendszerében a felhasználói fiók létrehozása nem sikerül, mert az Identity Provider (IdP) nem biztosítja a szüks…”
= Harica =
= Egy gyakori probléma =
A HARICA rendszerében a felhasználói fiók létrehozása nem sikerül, mert az Identity Provider (IdP) nem biztosítja a szükséges attribútumokat a Service Provider (SP) részére. A hibaüzenet a következő:
"Your Identity Provider (IdP) does not provide HARICA with the appropriate info (attributes) for your account. Please contact your IdP to fix this issue."
A megoldáshoz szükséges attribútumok listája a következő:
{| class="wikitable"
! Attribútum || OID || Kötelező
|-
| eduPersonTargetedID || urn:oid:1.3.6.1.4.1.5923.1.1.1.10 || Igen
|-
| givenName || urn:oid:2.5.4.42 || Igen
|-
| mail || urn:oid:0.9.2342.19200300.100.1.3 || Igen
|-
| surname || urn:oid:2.5.4.4 || Igen
|-
| displayName || urn:oid:2.16.840.1.113730.3.1.241 || Nem
|-
| eduPersonEntitlement || urn:oid:1.3.6.1.4.1.5923.1.1.1.7 || Nem
|-
| eduPersonOrgUnitDN || urn:oid:1.3.6.1.4.1.5923.1.1.1.3 || Nem
|-
| eduPersonPrimaryAffiliation || urn:oid:1.3.6.1.4.1.5923.1.1.1.5 || Nem
|}
== Megoldás ==
Az attribútumok kezelésére a [[https://github.com/NIIF/simplesamlphp-module-attributelimit| NIIF SimpleSAMLphp AttributeLimit ]] modul került használatra. Az alábbi konfiguráció az authproc szekcióban biztosítja, hogy a szükséges attribútumok átadásra kerüljenek a HARICA SP-jeinek.
=== Konfiguráció ===
Az alábbi beállításokat add hozzá ahhoz a filehoz ahol az authproc történik, pl saml20-idp-hosted.php:
10 => [
'class' => 'attributelimit:AttributeLimit',
'https://www.harica.gr/simplesamlphp/module.php/saml/sp/metadata.php/pki-grnet-sp' => [
'urn:oid:0.9.2342.19200300.100.1.3', // mail
'urn:oid:1.3.6.1.4.1.5923.1.1.1.6', // eduPersonPrincipalName
'urn:oid:2.5.4.42', // givenName
'urn:oid:2.5.4.4', // surname (sn)
'urn:oid:2.16.840.1.113730.3.1.241', // displayName
'urn:oid:1.3.6.1.4.1.25178.1.2.9', // schacHomeOrganization
'urn:oid:1.3.6.1.4.1.5923.1.1.1.10', // eduPersonTargetedId
],
'https://cm-stg.harica.gr/simplesamlphp/module.php/saml/sp/metadata.php/harica-cm-stg-sp' => [
'urn:oid:0.9.2342.19200300.100.1.3', // mail
'urn:oid:1.3.6.1.4.1.5923.1.1.1.6', // eduPersonPrincipalName
'urn:oid:2.5.4.42', // givenName
'urn:oid:2.5.4.4', // surname (sn)
'urn:oid:2.16.840.1.113730.3.1.241', // displayName
'urn:oid:1.3.6.1.4.1.25178.1.2.9', // schacHomeOrganization
'urn:oid:1.3.6.1.4.1.5923.1.1.1.10', // eduPersonTargetedId
],
],
=== Magyarázat ===
1. Az `authproc` szekcióban a `attributelimit` modul segítségével szabályozzuk, hogy mely attribútumok kerüljenek továbbításra az SP részére.
2. Az egyes SP-khez tartozó attribútumokat külön definiáljuk az SP metaadat URL alapján.
3. Az attribútumokat az OID alapján adjuk meg, például:
- `urn:oid:0.9.2342.19200300.100.1.3` a **mail** attribútumot jelenti.
== Ellenőrzés ==
Jelentkezz be az IdP-n keresztül, és ellenőrizd, például saml tracer segítségével hogy átadásra kerülnek e a kötelező attribútumok.
== Egyéb megoldás ==
Amennyiben az idp-nk nem simplesamlphp vagy nem szeretnénk az attributelimit modult használni, más módon kell rábírni az IdP-t a kötelező attribútumok kiadására.
= Egy gyakori probléma =
A HARICA rendszerében a felhasználói fiók létrehozása nem sikerül, mert az Identity Provider (IdP) nem biztosítja a szükséges attribútumokat a Service Provider (SP) részére. A hibaüzenet a következő:
"Your Identity Provider (IdP) does not provide HARICA with the appropriate info (attributes) for your account. Please contact your IdP to fix this issue."
A megoldáshoz szükséges attribútumok listája a következő:
{| class="wikitable"
! Attribútum || OID || Kötelező
|-
| eduPersonTargetedID || urn:oid:1.3.6.1.4.1.5923.1.1.1.10 || Igen
|-
| givenName || urn:oid:2.5.4.42 || Igen
|-
| mail || urn:oid:0.9.2342.19200300.100.1.3 || Igen
|-
| surname || urn:oid:2.5.4.4 || Igen
|-
| displayName || urn:oid:2.16.840.1.113730.3.1.241 || Nem
|-
| eduPersonEntitlement || urn:oid:1.3.6.1.4.1.5923.1.1.1.7 || Nem
|-
| eduPersonOrgUnitDN || urn:oid:1.3.6.1.4.1.5923.1.1.1.3 || Nem
|-
| eduPersonPrimaryAffiliation || urn:oid:1.3.6.1.4.1.5923.1.1.1.5 || Nem
|}
== Megoldás ==
Az attribútumok kezelésére a [[https://github.com/NIIF/simplesamlphp-module-attributelimit| NIIF SimpleSAMLphp AttributeLimit ]] modul került használatra. Az alábbi konfiguráció az authproc szekcióban biztosítja, hogy a szükséges attribútumok átadásra kerüljenek a HARICA SP-jeinek.
=== Konfiguráció ===
Az alábbi beállításokat add hozzá ahhoz a filehoz ahol az authproc történik, pl saml20-idp-hosted.php:
10 => [
'class' => 'attributelimit:AttributeLimit',
'https://www.harica.gr/simplesamlphp/module.php/saml/sp/metadata.php/pki-grnet-sp' => [
'urn:oid:0.9.2342.19200300.100.1.3', // mail
'urn:oid:1.3.6.1.4.1.5923.1.1.1.6', // eduPersonPrincipalName
'urn:oid:2.5.4.42', // givenName
'urn:oid:2.5.4.4', // surname (sn)
'urn:oid:2.16.840.1.113730.3.1.241', // displayName
'urn:oid:1.3.6.1.4.1.25178.1.2.9', // schacHomeOrganization
'urn:oid:1.3.6.1.4.1.5923.1.1.1.10', // eduPersonTargetedId
],
'https://cm-stg.harica.gr/simplesamlphp/module.php/saml/sp/metadata.php/harica-cm-stg-sp' => [
'urn:oid:0.9.2342.19200300.100.1.3', // mail
'urn:oid:1.3.6.1.4.1.5923.1.1.1.6', // eduPersonPrincipalName
'urn:oid:2.5.4.42', // givenName
'urn:oid:2.5.4.4', // surname (sn)
'urn:oid:2.16.840.1.113730.3.1.241', // displayName
'urn:oid:1.3.6.1.4.1.25178.1.2.9', // schacHomeOrganization
'urn:oid:1.3.6.1.4.1.5923.1.1.1.10', // eduPersonTargetedId
],
],
=== Magyarázat ===
1. Az `authproc` szekcióban a `attributelimit` modul segítségével szabályozzuk, hogy mely attribútumok kerüljenek továbbításra az SP részére.
2. Az egyes SP-khez tartozó attribútumokat külön definiáljuk az SP metaadat URL alapján.
3. Az attribútumokat az OID alapján adjuk meg, például:
- `urn:oid:0.9.2342.19200300.100.1.3` a **mail** attribútumot jelenti.
== Ellenőrzés ==
Jelentkezz be az IdP-n keresztül, és ellenőrizd, például saml tracer segítségével hogy átadásra kerülnek e a kötelező attribútumok.
== Egyéb megoldás ==
Amennyiben az idp-nk nem simplesamlphp vagy nem szeretnénk az attributelimit modult használni, más módon kell rábírni az IdP-t a kötelező attribútumok kiadására.
