====== ArcGIS Online als Service Provider ======

<callout color="#ff9900" title="Wahrscheinlich IdP 4.x-kompatibel">
Die Anleitung ist wahrscheinlich auch für den Shibboleth IdP 4.x gültig. Bitte geben Sie uns Bescheid, wenn hier etwas aktualisiert werden muss.
</callout>

Akademische Einrichtungen erhalten jeweils eigene ArcGIS Online Organisationsumgebungen im Rahmen einer Jahressubskription. Jede Subskription hat technisch gesehen einen eigenen Endpunkt und ist somit im Sprachgebrauch von SAML als eigener SP zu verstehen. Da somit in der DFN-AAI jeder IdP (Identity Provider) seinen eigenen ArcGIS Online SP (Service Provider) hat, wird die Anbindung im lokalen Metadatensatz empfohlen.

Die Webseite des Herstellers beschreibt die dazu notwendige Vorgehensweise für SAML grundsätzlich hier: https://doc.arcgis.com/de/arcgis-online/administer/enterprise-logins.htm 	
und für Shibboleth im Speziellen hier: https://doc.arcgis.com/de/arcgis-online/administer/configure-shibboleth.htm.

Es ist zu beachten, dass ArcGIS Online den Empfehlungen der Interoperable SAML 2.0 Profilen folgt und bei einer verschlüsselten Assertion auch die Signierung der Assertion voraussetzt (https://saml2int.org/profile/current/#section91). Da die Standardkonfiguration von Shibboleth zwar die Verschlüsselung, nicht jedoch die Signierung der Assertion vorsieht, empfiehlt Esri in der Dokumentation die Verschlüsselung der Assertion abzuschalten (s. Schritt 4b https://doc.arcgis.com/de/arcgis-online/administer/configure-shibboleth.htm). Alternativ ist es jedoch auch möglich die Signierung der Assertion bei eingeschalteter Verschlüsselung zu aktivieren. Dazu muss der Schritt 4b aus der Anleitung wie folgt abgeändert werden:

Wenn Sie eine ''SAML:1.1:nameid-format:unspecified'' als Container für die zu übertragenden Attribute nutzen, richten Sie die Übertragung wie folgt ein:
<file xml relying-party.xml>
<bean parent="RelyingPartyByName" c:relyingPartyIds="[The Entity ID of your ArcGIS Online organization]">
    <property name="profileConfigurations">
        <list>
	    <bean parent="SAML2.SSO" p:nameIDFormatPrecedence="urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified" 
		p:signAssertions="true" />
	</list>
    </property>
</bean>
</file>

Alternativ können Sie wie gewohnt Ihre persistentIDs übertragen.
<file xml relying-party.xml>
<bean parent="RelyingPartyByName" c:relyingPartyIds="[The Entity ID of your ArcGIS Online organization]">
    <property name="profileConfigurations">
        <list>
	    <bean parent="SAML2.SSO" p:nameIDFormatPrecedence="urn:oasis:names:tc:SAML:2.0:nameid-format:persistent" 
		p:signAssertions="true" />
	</list>
    </property>
</bean>
</file>

{{tag>idp4}}