de:dfnpki:tcs:2025:ersteschritte [Dokumentation DFN-AAI, DFN-PKI und eduroam]

Diese Seite ist nicht editierbar. Sie können den Quelltext sehen, jedoch nicht verändern. Kontaktieren Sie den Administrator, wenn Sie glauben, dass hier ein Fehler vorliegt.
===== Erste Schritte für Handlungsberechtigte Personen (HP) und Enterprise-Admins =====

Neue Organisationen werden von der DFN-PCA als "Enterprise" im HARICA-System angelegt. Das initiale Setup erfolgt in direkter Absprache mit <dfnpca@dfn-cert.de>. Falls Sie die Rolle des Enterprise-Admins übernehmen, dann folgen Sie bitte der Anleitung unten, sobald Ihre Organisation im System angelegt wurde: 

=== 1. User-Registrierung ===
   * Sie müssen sich zunächst als "normaler" User auf https://cm.harica.gr registrieren. Die bei der Registrierung verwendete E-Mail-Adresse sorgt für die Zuordnung zu einer Organisation. Es stehen die folgenden Arten der Registrierung zur Verfügung:
     * Username/Passwort: Sie können sich über den Link im Text ''New to HARICA? Sign Up'' mit Username und Passwort neu registrieren.
     * AAI: Sie können sich mit dem Button ''Academic Login'' über die DFN-AAI neu registrieren. (Für den initialen Enterprise-Admin Account nicht empfohlen!)
   * Siehe auch https://doku.tid.dfn.de/de:dfnpki:tcs:2025:enrollment#user-registrierung oder https://doku.tid.dfn.de/de:dfnpki:tcs:2025:enrollment#voraussetzungen_fuer_die_aai-nutzung


=== 2. Zwei-Faktor-Authentifizierung (2FA) einschalten ===
   * Die Rolle Enterprise-Admin erfordert **Zwei-Faktor-Authentifizierung per TOTP (2FA)**.
     - Zum Aktivieren der 2FA klicken Sie angemeldet als normaler User im hochzustufenden Account rechts oben den eigenen Namen an, wählen ''Profile->Two Factor Authentication'' und folgen den weiteren Anweisungen. 
     - Danach kann ein anderer bereits eingetragener Enterprise-Admin Ihrer Organisation oder die DFN-PCA Ihren normalen User Account zum Enterprise-Admin Account hochstufen. Dazu bitte eine kurze E-Mail-Anfrage an Ihren lokalen Enterprise-Admin (sofern bereits eingerichtet) oder die DFN-PCA <ti-services@dfn-cert.de> schicken. 
   * Siehe auch https://doku.tid.dfn.de/de:dfnpki:tcs:2025:enrollment#rollen 


=== 3. Weitere Enterprise-Admins registrieren ===
   * Es können für Ihre Organisation selbständig weitere Enterprise-Admins eingerichtet werden.
   * Dafür müssen die jeweiligen Personen einfach ebenfalls die obigen Schritte 1 und 2 durchführen.
   * **Wichtig: "Vier-Augen-Prinzip" für die Ausstellung von Serverzertifikaten**
     * Das HARICA-System fordert bei der Ausstellung von Serverzertifikaten das sogenannte "Vier-Augen-Prinzip". Ein Serverzertifikatsantrag kann nicht vom Account des Antragstellers direkt genehmigt werden, sondern muss von einem anderen Enterprise-Admin Account oder anderen Enterprise-Approver Account bearbeitet werden. D.h., wenn Ihre Organisation z.B. nur eine für Zertifikatsverwaltung zuständige Person hat, dann benötigt diese etwa einen zweiten normalen User Account (oder Enterprise-Admin Account) zur Antragstellung von Serverzertifikaten, so dass die gestellten Anträge vom anderen Enterprise-Admin Account genehmigt werden können.
   * Siehe auch https://doku.tid.dfn.de/de:dfnpki:tcs:2025:enrollment#zuweisung_von_rollen und https://doku.tid.dfn.de/de:dfnpki:tcs:2025:servercerts#vier-augen-prinzip


=== 4. Kontaktadresse prüfen ===
   * Für jede Organisation ist eine Kontakt-E-Mail-Adresse im HARICA-System hinterlegt (sichtbar unter ''Enterprise->Admin'' in der Auflistung der Enterprises), an die automatische Benachrichtigungen des HARICA-Systems geschickt werden. 
   * Bitte prüfen Sie, ob diese E-Mail-Adresse korrekt ist oder ggf. durch eine andere geeignete, z.B. eine Funktions-/Rollen-E-Mail-Adresse, ersetzt werden soll. 
   * Zur Änderung der hinterlegten Adresse senden Sie bitte unter Angabe Ihres Organisationsnamens eine E-Mail an <support-tcs@harica.gr> .


=== 5. Domain-Validierung (DV) und zusätzliche Domains === 
   * Sobald Sie als Enterprise-Admin freigeschaltet sind, sollten Sie i.d.R. Ihre bereits eingetragene Haupt-Domain validieren lassen, oder weitere Domains eintragen und validieren.
   * Siehe auch https://doku.tid.dfn.de/de:dfnpki:tcs:2025:domains

=== 6. Anpassung von CAA-Records im DNS === 
   * Sofern für die im HARICA-System eingetragenen Domains Ihrer Einrichtung CAA-Records im DNS gesetzt sind, kontrollieren Sie, ob die bestehenden CAA-Records die Zertifikatsausstellung durch HARICA zulassen.
   * Siehe auch https://doku.tid.dfn.de/de:dfnpki:tcs:2025:caa

=== 7. Organisationsvalidierung (OV) === 
   * Auch ohne durchgeführte Organisationsvalidierung können Zertifikate ausgestellt werden. Sie können S/MIME-Zertifikate des Typs ''email-only'' und Serverzertifikate des Typs ''DV'' beziehen. Wenn Sie darüber hinaus auch Zertifikate mit Organisationsinformationen beziehen wollen, müssen Sie als Enterprise-Admin eine Organisationsvalidierung anstoßen und abschließen. Hierfür müssen Sie Dokumente über die Organisation an das HARICA-Support-Team übermitteln.
   * Siehe auch https://doku.tid.dfn.de/de:dfnpki:tcs:2025:enrollment#organisationsvalidierung mit weiteren Informationen und einer detaillierteren Ablaufsbeschreibung.
   * Wir führen die Organisationsvalidierung auch gerne mit Ihnen gemeinsam durch. Aufgrund der möglichen Komplexität kann es hierbei zu Wartezeiten kommen.