Unterschiede

Hier werden die Unterschiede zwischen zwei Versionen angezeigt.

Link zu dieser Vergleichsansicht

Beide Seiten der vorigen Revision Vorhergehende Überarbeitung
Nächste Überarbeitung		 Vorhergehende Überarbeitung
de:eduroam:emp [2025/10/03 12:40] – Ralf Paffrathde:eduroam:emp [2026/10/23 13:57] (aktuell) – [Clients] Jan-Frederik Rieckers
Zeile 1: Zeile 1:
-====== eduroam Metadaten Portal (EMP) ======+====== eduroam Metadaten Portal ======
  
 Der DFN-Verein ist seit mehr als zwei Jahrzehnten Bestandteil des globalen Roaming-Services eduroam für Wissenschaft, Forschung und Lehre. Um einen fehlerfreien Betrieb von eduroam zu gewährleisten, wurden drei ortsunabhängige Föderations-Server zu einem hierarchisch strukturierten Netzwerk mit zahlreichen RADIUS Security (RadSec) Servern verknüpft. Dieses Netzwerk ist Teil der internationalen eduroam-Infrastruktur und wird von den an eduroam teilnehmenden Einrichtungen in Koordination mit dem DFN-Verein betrieben und verwaltet. Bisher wurden die Föderations-Server mit den für den Betrieb erforderlichen Parametern, wie beispielsweise den RadSec-Client/Server und den für das Routing der Anfragen notwendigen Realms, manuell ausschließlich durch die Mitarbeitenden der DFN-Geschäftsstelle in Berlin konfiguriert. Der DFN-Verein ist seit mehr als zwei Jahrzehnten Bestandteil des globalen Roaming-Services eduroam für Wissenschaft, Forschung und Lehre. Um einen fehlerfreien Betrieb von eduroam zu gewährleisten, wurden drei ortsunabhängige Föderations-Server zu einem hierarchisch strukturierten Netzwerk mit zahlreichen RADIUS Security (RadSec) Servern verknüpft. Dieses Netzwerk ist Teil der internationalen eduroam-Infrastruktur und wird von den an eduroam teilnehmenden Einrichtungen in Koordination mit dem DFN-Verein betrieben und verwaltet. Bisher wurden die Föderations-Server mit den für den Betrieb erforderlichen Parametern, wie beispielsweise den RadSec-Client/Server und den für das Routing der Anfragen notwendigen Realms, manuell ausschließlich durch die Mitarbeitenden der DFN-Geschäftsstelle in Berlin konfiguriert.
  
-Im Zeitraum 2024/25 wurde in einem Gemeinschaftsprojekt unter maßgeblicher Beteiligung der DFN-Geschäftsstelle in Berlin und des DFN-CERTs in Hamburg das eduroam Metadaten Portal (EMP) entwickelt und als DFN-AAI Service Provider bereitgestellt. Das EMP ermöglicht unter anderem die gleichzeitige Konfiguration aller drei Föderations-Server. Durch die Integration des EMP in die DFN-AAI können nun alle eduroam IdPs/SPs, die an der DFN-AAI teilnehmen, die für ihren eduroam IdP/SP notwendigen Daten, wie beispielsweise die IP-Adressen der Clients und Server sowie die Realms der Einrichtung, auf dem EMP bearbeiten und verwalten.+Im Zeitraum 2024/25 wurde in einem Gemeinschaftsprojekt unter maßgeblicher Beteiligung der DFN-Geschäftsstelle in Berlin und des DFN-CERTs in Hamburg das eduroam Metadaten-Portal entwickelt und als DFN-AAI Service Provider bereitgestellt. Das Portal ermöglicht unter anderem die gleichzeitige Konfiguration aller drei Föderations-Server. Durch die Integration des Portals in die DFN-AAI können nun alle eduroam IdPs/SPs, die an der DFN-AAI teilnehmen, die für ihren eduroam IdP/SP notwendigen Daten, wie beispielsweise die IP-Adressen der Clients und Server sowie die Realms der Einrichtung, auf dem Portal bearbeiten und verwalten.
  
-Das EMP versteht sich als eine Erweiterung des eduroam-Dienstes. Die Nutzung ist freiwillig.+Das Portal versteht sich als eine Erweiterung des eduroam-Dienstes. Die Nutzung ist freiwillig.
  
-eduroam Admins im DFN können einen Zugang zum EMP erhalten, sofern ihre Einrichtung an der DFN-AAI teilnimmt und einen DFN-AAI Identity Provider stellen.    +eduroam Admins im DFN können einen Zugang zum Portal erhalten, sofern ihre Einrichtung an der DFN-AAI teilnimmt und einen DFN-AAI Identity Provider stellen.    
  
-===== Zugang zum EMP  =====+===== Zugang zum Metadaten-Portal  =====
  
-Folgende Zugangsdaten/Attribute für das Login ins EMP (https://emp.eduroam.de) sind erforderlich:+Das Portal (https://emp.eduroam.de) wird durch einen Keycloak SAML Proxy, der vom DFN-CERT bereitgestellt wird, in der DFN-AAI realisiert. 
 +Der Keycloak SAML Proxy trägt die EntityID: <code>https://kc-proxy.dfn-cert.de/idp/shibboleth</code>
  
 +Folgende Attribute werden angefragt:
 <code> <code>
-Display Name: Vor-und Nachname +displayName: 
-Entitlement: urn:geant:dfn.de:eduroam:emp:admin +eduPersonEntitlement: urn:geant:dfn.de:eduroam:emp:admin 
-Principal name +givenName 
-Scoped affiliation +sn 
-Given Name +schacHomeOrganization 
-Surname +eduPersonScopedAffiliation 
-E-Mail +mail 
-Pairwise-ID +SAML2.0 Subject Identifier: Pairwise-ID
-Home Organization+
 </code> </code>
 +<alert>[[https://www.aai.dfn.de/metadata/dfn-aai-sp-metadata.xml|https://www.aai.dfn.de/metadata/dfn-aai-sp-metadata.xml]]</alert>
 ===== Login emp.eduroam.de   ===== ===== Login emp.eduroam.de   =====
  
Zeile 46: Zeile 48:
 ===== Server ===== ===== Server =====
  
-{{:de:eduroam:screenshot_2025-10-03_at_13.19.08.png?600|}}+/* {{:de:eduroam:screenshot_2025-10-03_at_13.19.08.png?600|}}  */
  
 Vor der Erstellung der Realms müssen die Server registriert werden. Die Servernamen sind frei wählbar. In der Eingabemaske für die IP-Adresse können IPv4- und IPv6-Adressen eingegeben werden.  Vor der Erstellung der Realms müssen die Server registriert werden. Die Servernamen sind frei wählbar. In der Eingabemaske für die IP-Adresse können IPv4- und IPv6-Adressen eingegeben werden. 
  
-Der Server Domain Name (FQDN) wird auf seine Auflösung im DNS überprüft. Optional kann der Common Name oder der Subject Alternative Name in der erweiterten Zertifikat Namensvalidierung als regulärer Ausdruck angegeben werden.+Der Server Domain Name (FQDN) wird auf seine Auflösung im DNS überprüft. Es sollte grundsätzlich immer der FQDN verwendet werden. 
 + 
 +Bitte nutzen Sie nur in absoluten Ausnahmefällen die Überprüfung mittels der erweiterten Zertifikatsüberprüfung.
  
  
Zeile 62: Zeile 66:
 ===== Clients ===== ===== Clients =====
  
-{{:de:eduroam:screenshot_2025-10-03_at_13.21.43.png?600|}}+/* {{:de:eduroam:screenshot_2025-10-03_at_13.21.43.png?600|}} */
  
 Ein eduroam Identity Provider muss auch einen eduroam Service Provider aktiv bereitstellen. Die Registrierung der Clients erfolgt analog zu den Servern. Optional kann hier der Operator Name eingetragen werden. Üblicherweise steht vor dem Operator Namen, gemäß dem Standard, eine “1”. Die “1” sollte nicht eingetragen werden, da sie vom System automatisch hinzugefügt wird. Ein eduroam Identity Provider muss auch einen eduroam Service Provider aktiv bereitstellen. Die Registrierung der Clients erfolgt analog zu den Servern. Optional kann hier der Operator Name eingetragen werden. Üblicherweise steht vor dem Operator Namen, gemäß dem Standard, eine “1”. Die “1” sollte nicht eingetragen werden, da sie vom System automatisch hinzugefügt wird.
  • Zuletzt geändert: vor 13 Monaten