Unterschiede

Hier werden die Unterschiede zwischen zwei Versionen angezeigt.

Link zu dieser Vergleichsansicht

Beide Seiten der vorigen Revision Vorhergehende Überarbeitung
Nächste Überarbeitung
Vorhergehende Überarbeitung
de:aai:assurance_sp [2021/12/15 17:38] Wolfgang Pempede:aai:assurance_sp [2024/01/21 13:47] (aktuell) Wolfgang Pempe
Zeile 1: Zeile 1:
 ====== REFEDS Assurance Framework - Service Provider ====== ====== REFEDS Assurance Framework - Service Provider ======
 ([[de:aai:assurance|allgemeine Informationen zu Verlässlichkeit/Assurance]]) ([[de:aai:assurance|allgemeine Informationen zu Verlässlichkeit/Assurance]])
- 
-<callout type="danger" title="Work in Progress"> 
-Diese Seite ist noch im Aufbau begriffen! 
-</callout> 
  
 ===== Erste Schritte und Voraussetzungen ===== ===== Erste Schritte und Voraussetzungen =====
-**Lesen Sie bitte die [[https://wiki.refeds.org/display/ASS/REFEDS+Assurance+Framework+ver+1.0|Spezifikation]]!** \\ Bei Fragen wenden Sie sich bitte an das [[hotline@aai.dfn.de|DFN-AAI Team]].+**Lesen Sie bitte die aktuelle Version der [[https://refeds.org/assurance|Spezifikation]]!** \\ Bei Fragen wenden Sie sich bitte an das [[hotline@aai.dfn.de|DFN-AAI Team]]. 
 + 
 +**Bitte nehmen Sie eine Schutzbedarfsfestellung für die durch den Service Provider geschützten Ressourcen vor. Auf dieser Grundlage entscheiden Sie, welche Kriterien des REFEDS Assurance Frameworks für den jeweiligen Service Provider relevant sind und aufgrund welcher Werte des Attributs [[de:common_attributes#a14|eduPersonAssurance]] die Autorisierungsentscheidung erfolgt (für die in der Regel noch weitere Faktoren entscheidend sind).**
  
 ===== Konfigurationsbeispiele ===== ===== Konfigurationsbeispiele =====
 **Wichtige Hinweise:** \\ **Wichtige Hinweise:** \\
-  * Die folgenden Konfigurationsbeispiele beziehen sich ausschließlich auf **Shibboleth Service Provider der Version 3.2.x** +  * **Die folgenden Konfigurationsbeispiele beziehen sich ausschließlich auf [[de:shibsp|Shibboleth Service Provider]] der Version 3.2.x** 
-  * **Die folgenden Beispiele sind als Anregungen gedacht und sollten keinesfalls unreflektiert via copy + paste übernommen werden!** +  * **Diese Beispiele sind als Anregungen gedacht und sollten keinesfalls unreflektiert via copy + paste übernommen werden!**
-  * **Bitte nehmen Sie eine Schutzbedarfsfestellung für die durch den Service Provider geschützten Ressourcen vor. Auf dieser Grundlage entscheiden Sie, welche Kriterien des REFEDS Assurance Framework für den jeweiligen Service Provider relevant sind aufgrund welcher Werte des Attributs [[de:common_attributes#a14|eduPersonAssurance]] die Autorisierungsentscheidung erfolgt - für die selbstverständlich noch weitere Faktoren entscheidend sein können.**+
  
 ==== Metadaten ==== ==== Metadaten ====
 +Um zu signalisieren, dass der Service Provider Verlässlichkeitsangaben benötigt und verarbeitet, die über das Attribut [[de:common_attributes#a14|eduPersonAssurance]] transportiert werden, sollte in der [[de:metadata_admin_tool|Metadatenverwaltung]] unter //Attribute Consuming Service// das Attribut ''eduPersonAssurance'' als ''isRequired=true'' deklariert werden. 
 +
 +==== Apache Access Rules ====
 +In diesem Beispiel erhalten Personen Zugriff auf die vom SP geschützen Ressourcen, für deren digitale Identität die Bedingungen für $PREFIX$/IAP/medium und $PREFIX$/ATP/ePA-1m erfüllt sind.   
 +
 +<file apache /etc/apache2/sites-enabled/sp.uni-beispiel.de.conf>
 +<Location /protected>
 +   AuthType shibboleth
 +   ShibRequestSetting requireSession true
 +   <RequireAll>
 +      Require shib-attr assurance https://refeds.org/assurance/IAP/medium
 +      Require shib-attr assurance https://refeds.org/assurance/ATP/ePA-1m
 +    </RequireAll>
 +</Location>
 +</file>
 +
 +Wie oben, zusätzlich akzeptiert der Service-Provider nur REFEDS Assurance Framework version 2.0. 
 +
 +<file apache /etc/apache2/sites-enabled/sp.uni-beispiel.de.conf>
 +<Location /protected>
 +   AuthType shibboleth
 +   ShibRequestSetting requireSession true
 +   <RequireAll>
 +      Require shib-attr assurance https://refeds.org/assurance/version/2
 +      Require shib-attr assurance https://refeds.org/assurance/IAP/medium
 +      Require shib-attr assurance https://refeds.org/assurance/ATP/ePA-1m
 +    </RequireAll>
 +</Location>
 +</file>
 +
 +Das folgende Beispiel geht davon aus, dass ausschließlich Mitarbeitende (''staff'') bestimmter Einrichtungen, für die $PREFIX$/ID/unique, $PREFIX$/IAP/medium und $PREFIX$/ATP/ePA-1m gegeben sind, auf die vom Service Provider geschützte Ressource Zugriff erhalten sollen. Die Liste der zugriffsberechtigten Identity Provider bzw. Heimateinrichtungen wird über einen [[de:shibsp#filtermechanismen|entsprechenden Metadata Filter]] festgelegt. \\
 +**Hinweis:** Das Attribut ''eduPersonAssurance'' wird in ''attribute-map.xml'' standardmäßig auf eine Variable namens ''assurance'' abgebildet, bei ''eduPersonAffiliation'' ist dies ''unscoped-affiliation''
 +
 +<file apache /etc/apache2/sites-enabled/sp.uni-beispiel.de.conf>
 +<Location /protected>
 +   AuthType shibboleth
 +   ShibRequestSetting requireSession true
 +   <RequireAll>
 +      Require shib-attr unscoped-affiliation staff
 +      Require shib-attr assurance https://refeds.org/assurance/ID/unique
 +      Require shib-attr assurance https://refeds.org/assurance/IAP/medium
 +      Require shib-attr assurance https://refeds.org/assurance/ATP/ePA-1m
 +    </RequireAll>
 +</Location>
 +</file>
  
-https://doku.tid.dfn.de/de:aai:mdq#ausschliesslich_idps_aus_dfn-aai_advanced+**XML Access Control:** Für weitere Möglichkeiten, Zugriffskontrolle mithilfe des Shibboleth SP zu konfigurieren, sei auf [[https://www.switch.ch/aai/guides/sp/access-rules/|die Dokumentation von SWITCH]] verwiesen.  
  
 ==== Materialien ==== ==== Materialien ====
   * [[https://doi.org/10.5281/zenodo.3627594|Comparison Guide to Identity Assurance Mappings for Infrastructures]]   * [[https://doi.org/10.5281/zenodo.3627594|Comparison Guide to Identity Assurance Mappings for Infrastructures]]
   * [[https://doi.org/10.5281/zenodo.4916049|Making Identity Assurance and Authentication Strength Work for Federated Infrastructures]]   * [[https://doi.org/10.5281/zenodo.4916049|Making Identity Assurance and Authentication Strength Work for Federated Infrastructures]]
 +  * Materialien vom [[de:aai:events:ws2022|AAI-Workshop Februar 2022]]
  
 {{tag>assurance}} {{tag>assurance}}
  • Zuletzt geändert: vor 2 Jahren