Unterschiede

Hier werden die Unterschiede zwischen zwei Versionen angezeigt.

Link zu dieser Vergleichsansicht

Beide Seiten der vorigen Revision Vorhergehende Überarbeitung
Nächste Überarbeitung		 Vorhergehende Überarbeitung
de:aai:eduid:ag3 [2020/02/05 12:16] – [Empfehlungen] Wolfgang Pempede:aai:eduid:ag3 [2020/02/11 11:24] (aktuell) – [2 Account Linking] Wolfgang Pempe
Zeile 24: Zeile 24:
 === 1.1 Onboarding === === 1.1 Onboarding ===
 **Noch keine lokale digitale Identität an der (zukünftigen) Heimateinrichtung vorhanden** \\ **Noch keine lokale digitale Identität an der (zukünftigen) Heimateinrichtung vorhanden** \\
-siehe auch unter [[de:aai:eduid:architektur#registrierung_und_erstes_onboarding|Architektur]]+Siehe auch unter [[de:aai:eduid:architektur#registrierung_und_erstes_onboarding|Architektur]]
   - Person hat noch keine edu-ID? --> Erstellen edu-ID und (ggf.) Validierung der Kernattribute (s. [[de:aai:eduid:ag2|AG Attribute]])   - Person hat noch keine edu-ID? --> Erstellen edu-ID und (ggf.) Validierung der Kernattribute (s. [[de:aai:eduid:ag2|AG Attribute]])
   - Person meldet sich mit edu-ID IdP am Onboarding-SP der betreffenden Einrichtung an --> die edu-ID und die [[de:aai:eduid:ag2|Kernattribute]] werden im AttributeStatement übertragen   - Person meldet sich mit edu-ID IdP am Onboarding-SP der betreffenden Einrichtung an --> die edu-ID und die [[de:aai:eduid:ag2|Kernattribute]] werden im AttributeStatement übertragen
Zeile 43: Zeile 43:
   * Sollten neben der edu-ID an sich auch die Kernattribute an den Heimat-SP übertragen werden (können)?   * Sollten neben der edu-ID an sich auch die Kernattribute an den Heimat-SP übertragen werden (können)?
     * Workflow bei Divergenzen (z.B. bei Namensbestandteilen)?     * Workflow bei Divergenzen (z.B. bei Namensbestandteilen)?
-  * Sollte der Weg auch in die andere Richtung möglich sein, also Registrierung am edu-ID-System anhand der Identität der Heimateinrichtung ([[https://www.switch.ch/de/edu-id/organisations/idm/linking-methods/#linking-aai|Funktionalität bei SWITCH]])?+  * Sollte grundsätzlich die Registrierung am edu-ID-System (also die Account-Erstellung) anhand der Identität der Heimateinrichtung möglich sein ([[https://www.switch.ch/de/edu-id/organisations/idm/linking-methods/#linking-aai|Funktionalität bei SWITCH]])?
     * edu-ID-System bräuchte dann einen entsprechenden Registrierungs-SP     * edu-ID-System bräuchte dann einen entsprechenden Registrierungs-SP
     * Kann der Heimat-IdP die benötigten [[de:aai:eduid:ag2|Kernattribute]] liefern?      * Kann der Heimat-IdP die benötigten [[de:aai:eduid:ag2|Kernattribute]] liefern? 
-    * Wie erfolgt dann die Übertragung der edu-ID an das IdM der Heimateinrichtung?  +    * Wie erfolgt dann die Übertragung der edu-ID an das IdM der Heimateinrichtung? \\ --> Nach Abschluss der Registrierung müsste dann also das o.g. Verfahren durchlaufen werden.  
-    * Besser (wie oben beschrieben) zuerst die obligatorische Registrierung am edu-ID-System, anschließend Verknüpfung mit lokalem IdM?+
  
 ==== 2 Account Linking ==== ==== 2 Account Linking ====
 Das edu-ID-System soll IDs (hier: Identifier) aus anderen Kontexten als den Heimateinrichtungen aggregieren können, siehe auch unter [[de:aai:eduid:architektur#account_linking_und_attribut_id-aggregation|Architektur]]. Das edu-ID-System soll IDs (hier: Identifier) aus anderen Kontexten als den Heimateinrichtungen aggregieren können, siehe auch unter [[de:aai:eduid:architektur#account_linking_und_attribut_id-aggregation|Architektur]].
-  * Grundsätzlich sollten nicht beliebige, sondern nur vom Betreiber des edu-ID-Systems zugelassene Identifier ins System eingespielt werden können (--> Attribut-Schema, SP-Implementierung) +  * Grundsätzlich sollten nicht beliebige, sondern nur vom Betreiber des edu-ID-Systems zugelassene Identifier ins System eingespielt werden können --> Attribut-Schema(ta), SP-Implementierung 
   * Besonders relevant: [[https://orcid.org|ORCID]]   * Besonders relevant: [[https://orcid.org|ORCID]]
     * Für die Verknüpfung der ORCID ID mit dem edu-ID-Account müsste am edu-ID-System ein entsprechender OAuth-Client implementiert werden, vgl. https://members.orcid.org/api/integrate/orcid-sign-in     * Für die Verknüpfung der ORCID ID mit dem edu-ID-Account müsste am edu-ID-System ein entsprechender OAuth-Client implementiert werden, vgl. https://members.orcid.org/api/integrate/orcid-sign-in
     * In einigen (wie vielen?) Fällen ist die ORCID bereits im IdM der Heimateinrichtung hinterlegt und kann (bzw. muss dann) als Teil der Affiliation ins edu-ID-System eingespielt werden     * In einigen (wie vielen?) Fällen ist die ORCID bereits im IdM der Heimateinrichtung hinterlegt und kann (bzw. muss dann) als Teil der Affiliation ins edu-ID-System eingespielt werden
   * Weitere potentielle Kandidaten:   * Weitere potentielle Kandidaten:
-    * Community-spezifische IDs, z.B. DARIAH, CLARIN, ELIXIR, Umbrella+    * <del>Community-spezifische IDs, z.B. DARIAH, CLARIN, ELIXIR, Umbrella</del> - muss nicht bidirektional sein, bei Proxy-Szenarien (z.B. AARC BPA) reicht es aus, wenn edu-ID zum Erstellen der Community-ID eingesetzt wird. Community-ID muss daher nicht im edu-ID-System hinterlegt werden.
     * ESI (European Student ID --> MyAcademicID)     * ESI (European Student ID --> MyAcademicID)
   * Für SAML-basierte Kontexte kann ein mehr oder weniger generischer Registrierungs-SP am edu-ID-System eingerichtet werden, der nach dem o.g. Verfahren (1.2) sowohl einen Login am edu-ID-System als auch am IdP, aus dem der betreffende Identifier kommt, erfordert. Dann kann der Eintrag des betreffenden Identifiers im edu-ID-System erfolgen   * Für SAML-basierte Kontexte kann ein mehr oder weniger generischer Registrierungs-SP am edu-ID-System eingerichtet werden, der nach dem o.g. Verfahren (1.2) sowohl einen Login am edu-ID-System als auch am IdP, aus dem der betreffende Identifier kommt, erfordert. Dann kann der Eintrag des betreffenden Identifiers im edu-ID-System erfolgen
-    * Offene Punkte: Wie langlebig sind die betreffenden IDs? ORCID im Idealfall lebenslang, ESI z.B. im Zweifelsfall nur für den Zeitraum des Austauschprogramms. Sollen wir nur lebenslang gültige IDs zulassen? +  * Offene Punkte: Wie langlebig sind die betreffenden IDs? Müssen Verknüpfungen regelmäßig aktualisiert werden? ORCID gilt im Idealfall lebenslang, ESI z.B. max. für die Studiendauer an einer bestimmten Hochschule. Sollen wir nur lebenslang gültige IDs zulassen? 
  • Zuletzt geändert: vor 6 Jahren