Unterschiede

Hier werden die Unterschiede zwischen zwei Versionen angezeigt.

Link zu dieser Vergleichsansicht

Beide Seiten der vorigen Revision Vorhergehende Überarbeitung
Nächste Überarbeitung
Vorhergehende Überarbeitung
de:attributes [2019/09/28 12:25]
Wolfgang Pempe [E-Learning und DFN-spezifische Erweiterungen]
de:attributes [2020/05/13 16:17] (aktuell)
Silke Meyer [E-Research / Forschungsinfrastrukturen]
Zeile 1: Zeile 1:
-~~NOTOC~~ 
 ====== Attribute ====== ====== Attribute ======
-{{INLINETOC 2}} 
-Diese Seite bietet eine Übersicht über die **Attribute**,​ die in der DFN-AAI üblicherweise zwischen den beteiligten Systemen ausgetauscht werden. **Das heißt nicht, dass diese Attribute bzw. Schema-Erweiterungen zwingend in ein vorhandenes IdM-System bzw. Nutzerverzeichnis integriert werden müssen!** In vielen Fällen kann in der Konfiguration eines Identity Providers ein Mapping von Informationen aus dem IDM auf die Attribute erfolgen, die bei der SAML-basierten Kommunikation relevant sind. Siehe hierzu auch unter [[de:​shibidp3attributes|Attribut-Konfigurationen]]. 
  
-Zum grundlegenden Verständnis ​der Attribut-Generierung, ​-Freigabe ​und -Übertragung empfehlen ​wir die Lektüre dieser ​[[https://​download.aai.dfn.de/​ws/​2019_cc/​attributes.pdf|Präsentation von einem der DFN-AAI Workshops]].+Diese Seite bietet eine Übersicht über die Attributschemata,​ die in der DFN-AAI verwendet werden. Diese Schemata müssen //nicht// in Ihr IdM-System bzw. Nutzerverzeichnis integriert werden. Die Übersetzung zwischen IdM-Attributen ​und AAI-Attributen kann im IdP konfiguriert werden. Wie das grundsätzlich funktioniert,​ erklären ​wir unter [[de:attributes-nutshell|Attribute in a Nutshell]].
  
-Im Hochschul- und Forschungsbereich haben sich verschiedene ​Attribut-Schemata ​etabliert, die sich inhaltlich weitestgehend ergänzen:+Im Hochschul- und Forschungsbereich haben sich verschiedene ​Attributschemata ​etabliert, die sich inhaltlich weitestgehend ergänzen. Die gängigsten Attribute sind in den Schemata eduPerson, person, inetOrgPerson und organizationalPerson definiert. ​
  
-==== Allgemein ==== +<callout color="#​ff9900"​ title="​Attribute,​ die jeder IdP unterstützen sollte">​ 
-  * **eduPersonperson, inetOrgPersonorganizationalPerson** +Bitte schauen Sie sich unsere [[de:​common_attributes|kommentierte Liste]] andie die Attribute zeigtdie jeder Identity Provider für einen reibungslosen Betrieb liefern können sollte. 
-    * [[http://macedir.org/specs/​eduperson/​|Ausführliche Dokumentation der eduPerson-Attribute sowie der gängigsten Attribute aus weiteren Schemata bzw. Klassen]] +</​callout>​ 
-    * [[https://​spaces.internet2.edu/​display/​macedir/​LDIFs|eduPerson Schema]] (LDIFs, optional) + 
-  * **Neu (2019)** [[http://​docs.oasis-open.org/​security/​saml-subject-id-attr/​v1.0/​saml-subject-id-attr-v1.0.html|SAML V2.0 Subject Identifier Attributes]] +Weitere Informationen zu den Schemata bzw. Klassen finden Sie hier: 
-  * **Kommentierte [[de:​common_attributes|Liste der am häufigsten verwendeten / empfohlenen Attribute]]**+  ​* [[https://wiki.refeds.org/x/RYAEAw|Ausführliche Dokumentation der eduPerson-Attribute sowie der gängigsten Attribute aus weiteren Schemata bzw. Klassen]] 
 +  * [[https://​spaces.internet2.edu/​display/​macedir/​LDIFs|eduPerson Schema]] (LDIFs, optional) 
 +  * **2019** [[http://​docs.oasis-open.org/​security/​saml-subject-id-attr/​v1.0/​saml-subject-id-attr-v1.0.html|SAML V2.0 Subject Identifier Attributes]]
   ​   ​
-==== E-Learning und DFN-spezifische Erweiterungen ==== +===== E-Learning und DFN-spezifische Erweiterungen ====
-  * **SCHAC** (**SCH**ema ​for **AC**ademia)+In den Bereichen E-Learning und Lernmanagementsysteme bestehen speziellere Anforderungen an die inhaltliche Aussagekraft von Attributen. Auch dafür haben wir eine [[de:​elearning_attributes|kommentierte Liste]] der DFN-spezifischen und der gängigsten Attribute aus dem Bereich E-Learning. 
 + 
 +Die einschlägigen Schemata sind unter folgenden Links zu finden: 
 +  * **SCHAC** (SCHema ​for ACademia)
     * [[https://​wiki.refeds.org/​display/​STAN/​SCHAC+Releases|Offizielle Dokumentation]] (REFEDS, bitte auch die Seite [[https://​wiki.refeds.org/​display/​STAN/​SCHAC_1.5.0_issues|SCHAC_1.5.0_issues]] beachten)     * [[https://​wiki.refeds.org/​display/​STAN/​SCHAC+Releases|Offizielle Dokumentation]] (REFEDS, bitte auch die Seite [[https://​wiki.refeds.org/​display/​STAN/​SCHAC_1.5.0_issues|SCHAC_1.5.0_issues]] beachten)
     * [[http://​davestechnology.blogspot.de/​2012/​12/​eduperson-aueduperson-schac-schema-for.html|Inoffizielle Variante des SCHAC-Schemas für Active Directory]] (optional)     * [[http://​davestechnology.blogspot.de/​2012/​12/​eduperson-aueduperson-schac-schema-for.html|Inoffizielle Variante des SCHAC-Schemas für Active Directory]] (optional)
Zeile 23: Zeile 25:
     * Zur Kennzeichnung der dfnEduPerson-Attribute hat der DFN unterhalb der DFN-OID [[de:​dfneduperson_oids|einen eigenen Bereich festgelegt]]     * Zur Kennzeichnung der dfnEduPerson-Attribute hat der DFN unterhalb der DFN-OID [[de:​dfneduperson_oids|einen eigenen Bereich festgelegt]]
     * dfnEduPerson-Schema für LDAP (optional) und inoffizielle Version des dfnEduPerson-Schemas für Active Directory (optional) liegen unter https://​download.aai.dfn.de/​schema/​     * dfnEduPerson-Schema für LDAP (optional) und inoffizielle Version des dfnEduPerson-Schemas für Active Directory (optional) liegen unter https://​download.aai.dfn.de/​schema/​
-  ​**Kommentierte [[de:​elearning_attributes|Liste der DFN-spezifischen und der gängigsten Attribute aus dem Bereich E-Learning]]**+    ​Transcoding Properties für Shibboleth IdP >= 4.0 liegen unter https://​download.aai.dfn.de/​schema/​dfnEduPerson.xml
  
-==== E-Research / Forschungsinfrastrukturen ==== 
-Nationale und internationale Forschungsprojekte nutzen in zunehmendem Maße zentrale Dienste, die über "​Federated Login" bzw. SAML-basiertes Web-Single-Sign-On zugänglich sind. Um im Sinne guter wissenschaftlicher Praxis einzelne Beiträge eindeutig einem Nutzer zuordnen zu können, müssen in der Regel Attribute mit personenbezogenen Angaben an den jeweiligen Service Provider übertragen werden. Siehe hierzu auch unter [[de:​shibidp3attrfilter|Attribut-Konfiguration für E-Research SPs]]. 
  
-Ein weiterer Anwendungsfall sind sog. Attribute Authorities,​ über die Community- bzw. Projekt-spezifische Attribute abgerufen werden können. Um das Mapping zwischen dem/der bei der jeweiligen Heimateinrichtung angemeldeten Nutzer(in) und diesen Attributen herzustellen,​ ist ein global gültiger, eindeutiger Identifier erforderlich,​ z.B. [[de:​common_attributes#​a07|eduPersonPrincipalName]],​ [[de:​common_attributes#​a05|E-Mail-Adresse]] oder [[de:​common_attributes#​a12|eduPersonUniqueId]]. Zu technischen Details siehe auch die betreffenden Seiten im [[https://​wiki.edugain.org/​Identifier_Attributes|eduGAIN-]] sowie im [[https://​wiki.shibboleth.net/​confluence/​display/​CONCEPT/​NameIdentifiers|Shibboleth Wiki]].+===== Virtuelle Organisationen ===== 
 +FIXME
  
-===Virtuelle Organisationen=== 
 Um den Anforderungen virtueller Organisationen zu genügen, die z.B. eine Infrastruktur gemäß der [[https://​aarc-project.eu/​architecture/​|AARC Blueprint Architecture]] betreiben, wurde 2018 das [[https://​github.com/​voperson/​voperson/​blob/​master/​voPerson.md|voPerson Schema]] definiert. Um den Anforderungen virtueller Organisationen zu genügen, die z.B. eine Infrastruktur gemäß der [[https://​aarc-project.eu/​architecture/​|AARC Blueprint Architecture]] betreiben, wurde 2018 das [[https://​github.com/​voperson/​voperson/​blob/​master/​voPerson.md|voPerson Schema]] definiert.
  
-==== Best Practice Empfehlungen zur Verwendung von Attributen in der DFN-AAI ==== +{{tag>​idp4}}
-[[de:​aai:​attributes_best_practice|Dokumentation der Empfehlungen]]+
  
-<callout type="​danger">​ 
-==== Hinweise zum Datenschutz ==== 
-  * Identity Provider sollten zwar grundsätzlich in der Lage sein, einen [[de:​common_attributes|emfohlenen Mindestsatz an Attributen]] zu generieren und zu übertragen,​ was aber nicht heißt, dass diese Attribute ungefragt an jeden beliebigen Service Provider übertragen werden sollten! ​ 
-  * Attributfreigaben sollten nur unter Beachtung der aktuell gültigen Datenschutzgesetze und -Bestimmungen erfolgen. Insbesondere gilt das Prinzip der Datensparsamkeit,​ d.h. es sollten nur die Attribute und Attributwerte übertragen werden, die zur Nutzung der jeweiligen Anwendung bzw. Infrastruktur tatsächlich erforderlich sind. 
-  * Konsultieren Sie hierzu den/die Datenschutzbeauftragte(n) Ihrer Heimateinrichtung. 
-  * Außer in Ausnahmefällen (mit dem/der Datenschutzbeauftragten abzustimmen),​ sollte ein IdP-seitiges //User Consent// Modul zum Einsatz kommen, das es den Nutzern ermöglicht,​ die zu übertragenden Attribute und Attributwerte zu kontrollieren und die Übertragung ggf. zu unterbinden. Siehe hierzu auch die Seite [[de:​shibidp3consent_dsgvo|Beispiel für eine EU-DSGVO-konforme Konfiguration des User Consent Moduls]]. 
-  * Auf europäischer Ebene existiert seit 2013 der im eduGAIN-Kontext entwickelte [[https://​www.aai.dfn.de/​der-dienst/​datenschutz/​data-protection-code-of-conduct/​|GÉANT Data Protection Code of Conduct for Service Providers in EU/EEA]], eine Selbstverpflichtungserklärung für Service Provider, deren Umsetzung mit verschiedenen technischen Maßnahmen von eduGAIN- und Föderationsseite unterstützt wird. Zu technischen Details siehe unter [[https://​wiki.aai.dfn.de/​de:​entity_attributes|Entity Attribute]] sowie unter [[de:​shibidp3attrfilter|Attribut-Konfiguration für E-Research SPs]]. \\ Einige grundsätzliche Überlegungen zum Thema Attributfreigabe im Rahmen des //Code of Conduct// finden sich [[https://​wiki.refeds.org/​display/​CODE/​What+attributes+are+relevant+for+a+Service+Provider|REFEDS-Wiki]]. 
-</​callout>​ 
  • Zuletzt geändert: vor 10 Monaten