Unterschiede

Hier werden die Unterschiede zwischen zwei Versionen angezeigt.

Link zu dieser Vergleichsansicht

Beide Seiten der vorigen Revision Vorhergehende Überarbeitung
Nächste Überarbeitung		 Vorhergehende Überarbeitung
de:aai:attribute_authority [2020/07/02 08:53] – [Attribute Resolver] Wolfgang Pempede:aai:attribute_authority [2025/07/07 09:12] (aktuell) – [Attribute Resolver] Encoding aus Resolver entfernt Doreen Liebenau
Zeile 1: Zeile 1:
-~~NOTOC~~ 
 ====== Attribute Authority ====== ====== Attribute Authority ======
-{{INLINETOC 2}}+
 Bei Attribute Authorities handelt es sich um externe Attributquellen, anhand derer ein Service Provider zusätzliche, i.d.R. projektspezifische Nutzerdaten abrufen kann, die nicht von der Heimateinrichtung gepflegt werden (sollen). In der Regel geht es hierbei um Projekt- oder Infrastruktur-spezifische Berechtigungen (Entitlements), die vom Projekt bzw. der Forschungsinfrastruktur festgelegt und gepflegt werden.  Bei Attribute Authorities handelt es sich um externe Attributquellen, anhand derer ein Service Provider zusätzliche, i.d.R. projektspezifische Nutzerdaten abrufen kann, die nicht von der Heimateinrichtung gepflegt werden (sollen). In der Regel geht es hierbei um Projekt- oder Infrastruktur-spezifische Berechtigungen (Entitlements), die vom Projekt bzw. der Forschungsinfrastruktur festgelegt und gepflegt werden. 
 Grundsätzlich kann auch die hinter dem jeweiligen SP liegende Anwendung eine entsprechende Datenbank anbinden. Falls die betreffende Anwendung dies nicht von Haus aus unterstützt oder die Betreiber den damit verbundenen Aufwand vermeiden wollen, ist es einfacher, dem SP die Aufgabe der Sammlung der Autorisierungsdaten zu übertragen - der diese standardkonform (SAML2) wahrnimmt, indem er Attribute Queries an eine oder mehrere Attribute Authorities richtet. Grundsätzlich kann auch die hinter dem jeweiligen SP liegende Anwendung eine entsprechende Datenbank anbinden. Falls die betreffende Anwendung dies nicht von Haus aus unterstützt oder die Betreiber den damit verbundenen Aufwand vermeiden wollen, ist es einfacher, dem SP die Aufgabe der Sammlung der Autorisierungsdaten zu übertragen - der diese standardkonform (SAML2) wahrnimmt, indem er Attribute Queries an eine oder mehrere Attribute Authorities richtet.
Zeile 7: Zeile 6:
 Technisch gesehen handelt es sich bei einer Attribute Authority um einen üblicherweise funktionsreduzierten IdP, der als einziges Profil Attribute Queries unterstützen muss. Hierzu ist es erforderlich, dass der IdP der Heimateinrichtung ein Attribut liefert (z.B. E-Mail, eduPersonPrincipialName, eduPersonUniqueId, Subject-Id), das den / die jeweilige(n) Nutzer(in) eindeutig identifiziert und anhand dessen die Attribute Query bei einer oder mehreren Attribute Authorities erfolgt. Technisch gesehen handelt es sich bei einer Attribute Authority um einen üblicherweise funktionsreduzierten IdP, der als einziges Profil Attribute Queries unterstützen muss. Hierzu ist es erforderlich, dass der IdP der Heimateinrichtung ein Attribut liefert (z.B. E-Mail, eduPersonPrincipialName, eduPersonUniqueId, Subject-Id), das den / die jeweilige(n) Nutzer(in) eindeutig identifiziert und anhand dessen die Attribute Query bei einer oder mehreren Attribute Authorities erfolgt.
  
-=== Weiterführende Informationen === +Weiterführende Informationen finden Sie unter: 
-  * [[https://www.dfn.de/fileadmin/5Presse/DFNMitteilungen/DFN_Mitteilungen_87.pdf|"Mit verteilten Rollen: Attribute Authorities in der DFN-AAI"]] (Gerrit Gragert + Wolfgang Pempe in: DFN-Mitteilungen 87) +  * [[https://download.aai.dfn.de/publikationen/dfn-mitteilungen/DFN-Mitteilungen-87.pdf|"Mit verteilten Rollen: Attribute Authorities in der DFN-AAI"]] (Gerrit Gragert + Wolfgang Pempe in: DFN-Mitteilungen 87) 
-  * [[de:shibidp3userdepro|User Deprovisionierung via Attribute Query]]+  * [[de:shibidp:config-deprovisionierung|User Deprovisionierung via Attribute Query]]
  
 ===== Shibboleth IdP als Stand-alone Attribute Authority ===== ===== Shibboleth IdP als Stand-alone Attribute Authority =====
Zeile 59: Zeile 58:
     <AttributeDefinition id="eduPersonEntitlement" xsi:type="Simple">     <AttributeDefinition id="eduPersonEntitlement" xsi:type="Simple">
         <InputDataConnector ref="myDatabase" attributeNames="name" />         <InputDataConnector ref="myDatabase" attributeNames="name" />
-        <!-- NB: bei Shibboleth IdP 4.x sind die AttributeEncoder ausgelagert! --> 
-        <AttributeEncoder xsi:type="SAML2String" name="urn:oid:1.3.6.1.4.1.5923.1.1.1.7" friendlyName="myEduPersonEntitlement" encodeType="false"/> 
     </AttributeDefinition>     </AttributeDefinition>
  
Zeile 110: Zeile 107:
    <AttributeResolver type="SimpleAggregation" attributeId="subject-id" format="urn:oasis:names:tc:SAML:attribute:subject-id">    <AttributeResolver type="SimpleAggregation" attributeId="subject-id" format="urn:oasis:names:tc:SAML:attribute:subject-id">
        <Entity>https://trusted-attribute-authority.example.org/idp/shibboleth</Entity>        <Entity>https://trusted-attribute-authority.example.org/idp/shibboleth</Entity>
-       <Attribute Name="urn:oid:1.3.6.1.4.1.5923.1.1.1.7" NameFormat="urn:oasis:names:tc:SAML:2.0:attrname-format:uri" FriendlyName="eduPersonEntitlement"/>+       <saml2:Attribute xmlns:saml2="urn:oasis:names:tc:SAML:2.0:assertion" Name="urn:oid:1.3.6.1.4.1.5923.1.1.1.7" NameFormat="urn:oasis:names:tc:SAML:2.0:attrname-format:uri" FriendlyName="eduPersonEntitlement"/>
    </AttributeResolver>    </AttributeResolver>
    <!-- ... -->    <!-- ... -->
 </file> </file>
  
-Über eine SP-seitige Attribute Filter Policy lässt sich festlegen, dass (z.B.) eduPersonEntitlement nur von der gewünschten Attribute Authority akzeptiert wird - und nicht von irgendwelchen anderen IdPs:+Über eine SP-seitige Attribute Filter Policy lässt sich festlegen, dass (z.B.) eduPersonEntitlement nur von der gewünschten Attribute Authority akzeptiert wird - und nicht von irgendwelchen anderen IdPs: \\ 
 <file xml /etc/shibboleth/attribute-policy.xml> <file xml /etc/shibboleth/attribute-policy.xml>
    <!-- ... -->    <!-- ... -->
-   <afp:AttributeRule attributeID="eduPersonEntitlement"> +   <AttributeRule attributeID="eduPersonEntitlement"> 
-      <afp:PermitValueRule xsi:type="basic:AttributeIssuerString" value="https://trusted-attribute-authority.example.org/idp/shibboleth"/> +      <PermitValueRule xsi:type="Issuer" value="https://trusted-attribute-authority.example.org/idp/shibboleth"/> 
-   </afp:AttributeRule>+   <AttributeRule>
    <!-- ... -->    <!-- ... -->
 </file> </file>
- +{{tag>sp attribute-authority}}
-{{tag>idp3 idp4 sp}}+
  • Zuletzt geändert: vor 5 Jahren