Unterschiede

Hier werden die Unterschiede zwischen zwei Versionen angezeigt.

--- de:checklist [2022/11/17 14:28] – Infos zur alten MDV entfernt Silke Meyer
+++ de:checklist [2023/04/26 14:01] (aktuell) – [Zertifikate] typo Silke Meyer
@@ Zeile 84: / Zeile 84: @@
 ===== Zertifikate =====
-Hier tragen Sie das Zertifikat ein, das für die SAML-Kommunikation verwendet werden soll, im PEM-Format. Jeder IdP/SP muss ein Zertifikat **für Signierung und Verschlüsselung** der SAML-Kommunikation publizieren. Dafür kann dasselbe Zertifikat verwendet werden (leerer Verwendungszweck) oder auch zwei verschiedene (Verwendungszweck im Drop-Down-Menü auswählen). Ausführliche Informationen zu Zertifikaten, Zertifikatstausch und Zertifikatskette sind auf der Seite [[de:certificates|Zertiftikate]].
+Hier tragen Sie das Zertifikat ein, das für die SAML-Kommunikation verwendet werden soll, im PEM-Format. Jeder IdP/SP muss ein Zertifikat **für Signierung und Verschlüsselung** der SAML-Kommunikation publizieren. Dafür kann dasselbe Zertifikat verwendet werden (leerer Verwendungszweck) oder auch zwei verschiedene (Verwendungszweck im Drop-Down-Menü auswählen). Ausführliche Informationen zu Zertifikaten, Zertifikatstausch und Zertifikatskette sind auf der Seite [[de:certificates|Zertifikate]].
 Für Service Provider, optional: Falls der betreffende SP Attribute Queries und Artifact Queries ausführen können soll, sollten SP-Zertifikate mit dem **Client-Attribut** ausgestattet sein. Bei der DFN-PKI sorgt das Profil "Shibboleth-IdP/-SP" dafür, dass es dabei ist. Wenn Sie nicht die DFN-PKI nutzen, können Sie sich an der [[https://www.switch.ch/aai/support/certificates/embeddedcerts-requirements-appendix-a/|Dokumentation unserer Schweizer Kolleg*innen]] orientieren. Wenn Sie keine Attribute Queries und Artifact Queries brauchen, dann deaktivieren Sie bitte dieses Feature in der SP-Konfiguration. Beim Shibboleth SP muss das Element <AttributeResolver type="Query"> auszukommentiert und shibd erneut gestartet werden. Außerdem sollten Sie den Binding URL für Artifact Resolution Services sowie alle SOAP-Bindings (Logout) entfernen. So überprüfen Sie Ihr SP-Zertifikat am Beispiel von openssl:
@@ Zeile 163: / Zeile 163: @@
 Hier erfolgt die Zuordnung, in welche Umgebung(en) der IdP/SP aufgenommen werden soll. Dabei gilt:
   * Die Zulassung für die Testföderation und die lokalen Metadaten erfolgt automatisch.
-  * Für DFN-AAI bzw. DFN-AAI-Basic erfolgt die Freischaltung nach eingehender Prüfung durch das DFN-AAI Team. Die Freischaltung erfolgt in der Regel am nächsten Werktag, es sei denn, für diese Entität werden in der Verwaltungsoberfläche noch Fehler angezeigt. Diese **Fehler müssen zuvor behoben werden!**
+  * Für die DFN-AAI Produktivföderation erfolgt die Freischaltung nach eingehender Prüfung durch das DFN-AAI Team. Die Freischaltung erfolgt in der Regel am nächsten Werktag, es sei denn, für diese Entität werden in der Verwaltungsoberfläche noch Fehler angezeigt. Diese **Fehler müssen zuvor behoben werden!**
-  * In die internationale Föderation eduGAIN können Sie ein IdP/SP erst aufnehmen, wenn er in DFN-AAI oder DFN-AAI-Basic aufgenommen wurde.
+  * In die internationale Föderation eduGAIN können Sie ein IdP/SP erst aufnehmen, wenn er in DFN-AAI aufgenommen wurde.
   * Hinweise zu den DFN-AAI-Policies finden sich hier im AAI-Wiki. Bei Fragen wenden Sie sich an die AAI-Hotline.
-Hinsichtlich der [[de:degrees_of_reliance|Verlässlichkeitsklassen]] ist Folgendes zu beachten:
+Weiterhin ist Folgendes zu beachten:
 IdP:
-  * Geben Sie an, ob die Kriterien der Verlässlichkeitsklasse DFN-AAI oder DFN-AAI-Basic erfüllt sind.
+  * Zusätzlich zur DFN-AAI Produktivföderation kann ein IdP in der DFN-AAI-Testföderation und den lokalen Metadaten angemeldet sein.
-  * Zusätzlich kann ein IdP in der DFN-AAI-Testföderation und den lokalen Metadaten angemeldet sein. Von einem dauerhaften Verbleib in der Testföderation wird dringend abgeraten!
 SP:
-  * Legen Sie fest, welcher Verlässlichkeitsklasse ein IdP (!) mindestens angehören muss, damit die Nutzenden der betreffenden Einrichtung auf den SP zugreifen dürfen. Hierzu kann, DFN-AAI oder DFN-AAI-Basic ausgewählt werden. Bei ersterem haben nur Nutzende von IdPs Zugriff, welche die Kriterien der Verlässlichkeitsklasse "Advanced" erfüllen, bei letzterem zusätzlich auch Nutzende von IdPs, die nur die Klasse "Basic" erfüllen.
+  * Zusätzlich zur DFN-AAI Produktivföderation kann der SP auch in der DFN-AAI-Testföderation angemeldet sein (für einen produktiv-SP aber nicht empfohlen, um Logins über Test-IdPs unmöglich zu machen).
-  * Zusätzlich kann der SP auch in der DFN-AAI-Testföderation angemeldet sein (für einen produktiv-SP aber nicht empfohlen, um Logins über Test-IdPs unmöglich zu machen).
+  * Der Punkt "lokale Metadaten" kann nur ausgewählt werden, wenn DFN-AAI nicht gewählt ist. Diese Option ist nur für Einrichtungen verfügbar, die eine Dienstvereinbarung abgeschlossen und mindestens einen IdP registriert haben.
-  * Der Punkt "lokale Metadaten" kann nur ausgewählt werden, wenn DFN-AAI und DFN-AAI-Basic nicht gewählt sind. Diese Option ist nur für Einrichtungen verfügbar, die eine Dienstvereinbarung abgeschlossen und mindestens einen IdP registriert haben.