Unterschiede

Hier werden die Unterschiede zwischen zwei Versionen angezeigt.

Link zu dieser Vergleichsansicht

Beide Seiten der vorigen Revision Vorhergehende Überarbeitung
Nächste Überarbeitung		 Vorhergehende Überarbeitung
de:checklist [2023/03/27 08:53] – [Föderationen] Hinweis zu Betrieb v. Test-IdP in DFN-AAI-Test entfernt Silke Meyerde:checklist [2026/11/03 10:06] (aktuell) – [Attribute Consuming Service] Doreen Liebenau
Zeile 15: Zeile 15:
 Bitte beherzigen Sie die Punkte dieser Checkliste, bevor Sie Ihren neuen IdP/SP in die Produktivföderation aufnehmen, bevor Sie also diesen Radio-Button klicken: Bitte beherzigen Sie die Punkte dieser Checkliste, bevor Sie Ihren neuen IdP/SP in die Produktivföderation aufnehmen, bevor Sie also diesen Radio-Button klicken:
  
-{{:de:metadata_admin_tool:keine-foederation-neuemdv.png?800|}} +{{:de:metadata_admin_tool:mdv_föderationen.png?600|}}
  
   * Füllen Sie möglichst alle Felder aus. Wenn Warnungen auftauchen, beheben Sie sie zuerst.   * Füllen Sie möglichst alle Felder aus. Wenn Warnungen auftauchen, beheben Sie sie zuerst.
Zeile 84: Zeile 83:
  
 ===== Zertifikate ===== ===== Zertifikate =====
-Hier tragen Sie das Zertifikat ein, das für die SAML-Kommunikation verwendet werden soll, im PEM-Format. Jeder IdP/SP muss ein Zertifikat **für Signierung und Verschlüsselung** der SAML-Kommunikation publizieren. Dafür kann dasselbe Zertifikat verwendet werden (leerer Verwendungszweck) oder auch zwei verschiedene (Verwendungszweck im Drop-Down-Menü auswählen). Ausführliche Informationen zu Zertifikaten, Zertifikatstausch und Zertifikatskette sind auf der Seite [[de:certificates|Zertiftikate]].+Hier tragen Sie das Zertifikat ein, das für die SAML-Kommunikation verwendet werden soll, im PEM-Format. Jeder IdP/SP muss ein Zertifikat **für Signierung und Verschlüsselung** der SAML-Kommunikation publizieren. Dafür kann dasselbe Zertifikat verwendet werden (leerer Verwendungszweck) oder auch zwei verschiedene (Verwendungszweck im Drop-Down-Menü auswählen). Ausführliche Informationen zu Zertifikaten, Zertifikatstausch und Zertifikatskette sind auf der Seite [[de:certificates|Zertifikate]].
  
 Für Service Provider, optional: Falls der betreffende SP Attribute Queries und Artifact Queries ausführen können soll, sollten SP-Zertifikate mit dem **Client-Attribut** ausgestattet sein. Bei der DFN-PKI sorgt das Profil "Shibboleth-IdP/-SP" dafür, dass es dabei ist. Wenn Sie nicht die DFN-PKI nutzen, können Sie sich an der [[https://www.switch.ch/aai/support/certificates/embeddedcerts-requirements-appendix-a/|Dokumentation unserer Schweizer Kolleg*innen]] orientieren. Wenn Sie keine Attribute Queries und Artifact Queries brauchen, dann deaktivieren Sie bitte dieses Feature in der SP-Konfiguration. Beim Shibboleth SP muss das Element <AttributeResolver type="Query"> auszukommentiert und shibd erneut gestartet werden. Außerdem sollten Sie den Binding URL für Artifact Resolution Services sowie alle SOAP-Bindings (Logout) entfernen. So überprüfen Sie Ihr SP-Zertifikat am Beispiel von openssl: Für Service Provider, optional: Falls der betreffende SP Attribute Queries und Artifact Queries ausführen können soll, sollten SP-Zertifikate mit dem **Client-Attribut** ausgestattet sein. Bei der DFN-PKI sorgt das Profil "Shibboleth-IdP/-SP" dafür, dass es dabei ist. Wenn Sie nicht die DFN-PKI nutzen, können Sie sich an der [[https://www.switch.ch/aai/support/certificates/embeddedcerts-requirements-appendix-a/|Dokumentation unserer Schweizer Kolleg*innen]] orientieren. Wenn Sie keine Attribute Queries und Artifact Queries brauchen, dann deaktivieren Sie bitte dieses Feature in der SP-Konfiguration. Beim Shibboleth SP muss das Element <AttributeResolver type="Query"> auszukommentiert und shibd erneut gestartet werden. Außerdem sollten Sie den Binding URL für Artifact Resolution Services sowie alle SOAP-Bindings (Logout) entfernen. So überprüfen Sie Ihr SP-Zertifikat am Beispiel von openssl:
Zeile 137: Zeile 136:
 Liste der Attribute, die der Service Provider entgegennimmt. Liste der Attribute, die der Service Provider entgegennimmt.
  
 +Es gilt das Prinzip der Datensparsamkeit zu beachten. 
 +Die Spezifikation [[https://docs.oasis-open.org/security/saml/v2.0/saml-metadata-2.0-os.pdf|Metadata for the OASIS Security
 +Assertion Markup Language (SAML) V2.0]] gibt für die Angabe //isRequired// folgendes vor: 
 +"gibt an, ob der Dienst das entsprechende SAML-Attribut benötigt, um überhaupt funktionieren zu können (im Gegensatz dazu, dass ein Attribut lediglich als nützlich oder wünschenswert angesehen wird)."
 ===== Artifact Resolution Service ===== ===== Artifact Resolution Service =====
 Beispiel:<code>Location: https://idp.example.org:8443/idp/profile/SAML2/SOAP/ArtifactResolution Beispiel:<code>Location: https://idp.example.org:8443/idp/profile/SAML2/SOAP/ArtifactResolution
Zeile 164: Zeile 167:
   * Die Zulassung für die Testföderation und die lokalen Metadaten erfolgt automatisch.   * Die Zulassung für die Testföderation und die lokalen Metadaten erfolgt automatisch.
   * Für die DFN-AAI Produktivföderation erfolgt die Freischaltung nach eingehender Prüfung durch das DFN-AAI Team. Die Freischaltung erfolgt in der Regel am nächsten Werktag, es sei denn, für diese Entität werden in der Verwaltungsoberfläche noch Fehler angezeigt. Diese **Fehler müssen zuvor behoben werden!**   * Für die DFN-AAI Produktivföderation erfolgt die Freischaltung nach eingehender Prüfung durch das DFN-AAI Team. Die Freischaltung erfolgt in der Regel am nächsten Werktag, es sei denn, für diese Entität werden in der Verwaltungsoberfläche noch Fehler angezeigt. Diese **Fehler müssen zuvor behoben werden!**
-  * In die internationale Föderation eduGAIN können Sie ein IdP/SP erst aufnehmen, wenn er in DFN-AAI aufgenommen wurde.+  * In die internationale Föderation eduGAIN können Sie einen IdP/SP erst aufnehmen, wenn er in DFN-AAI aufgenommen wurde. Weitere Informationen finden Sie [[edugain|hier]].
   * Hinweise zu den DFN-AAI-Policies finden sich hier im AAI-Wiki. Bei Fragen wenden Sie sich an die AAI-Hotline.   * Hinweise zu den DFN-AAI-Policies finden sich hier im AAI-Wiki. Bei Fragen wenden Sie sich an die AAI-Hotline.
  
  • Zuletzt geändert: vor 4 Jahren