Unterschiede

Hier werden die Unterschiede zwischen zwei Versionen angezeigt.

--- de:entity_attributes [2025/07/25 11:12] – [Referenzen] IdP v5 Links Doreen Liebenau
+++ de:entity_attributes [2026/02/21 19:13] (aktuell) – [Beispiele (Filter)] Wolfgang Pempe
@@ Zeile 70: / Zeile 70: @@
 ===== Internationale Entity Categories =====
-Drei Entity Categories kommen international zum Einsatz. Um sie für Ihre Systeme in der DFN-AAI zu setzen, verwenden Sie die [[https://mdv.aai.dfn.de|Metadatenverwaltung]]. Dort tauchen die Checkboxen allerdings erst auf, wenn Ihr System die jeweiligen technischen Bedingungen erfüllt.
+Die folgenden Entity Categories kommen international zum Einsatz. Um sie für Ihre Systeme in der DFN-AAI zu setzen, verwenden Sie die [[https://mdv.aai.dfn.de|Metadatenverwaltung]].
 \\
@@ Zeile 85: / Zeile 85: @@
 IdP-Betreiber, die die von Code of Conduct-SPs benötigten Attribute freigeben möchten, können sich bzgl. der Filterregel an diesen [[:de:shibidp:config-attributes-coco|Beispielen]] orientieren.
+**Definition:**
+  * Selbstverpflichtungserklärung von Service Providern
+  * Ansässig in der EU oder im europäischem Wirtschaftsraum
+  * SPs aus Drittländern müssen ein angemessenes Datenschutzniveau nach Art. 45 DSGVO nachweisen
+**Registrierungskriterien:**
+  * Für SPs gilt:
+    * Liste der angeforderten Attribute stimmt mit den Angaben in den Datenschutzinformationen überein
+    * Metadaten enthalten in englischer Sprachversion (d.h. xml:lang=„en“)
+      * <mdui:DisplayName>
+      * <mdui:Description>
+      * <mdui:PrivacyStatementURL>
+  * Für IdPs, die diese Entity Category unterstützen, gilt:
+    * Nur die angeforderten Attribute freigeben
+    * Wird für ein multi-valued Attribut ein bestimmter Wert verlangt, wird nur dieser freigegeben
+    * Information der Nutzenden über jedes Attribut in PrivacyStatementURL
+**Required Attributes:**
+  * vom SP benötigte Attribute müssen wie folgt gekennzeichnet sein:
+    * RequestedAttribute mit «isRequired="true"» oder
+    * subject-id:req (pairwise-id or subject-id)
 \\
@@ Zeile 90: / Zeile 112: @@
 ==== European Student Identifier ====
 Siehe unter https://wiki.geant.org/display/SM/European+Student+Identifier+Entity+Category und die Wiki-Seite [[de:shibidp:config-attributes-erasmus|Erasmus-Dienste]].
+**Definition:**
+  * Zweck: eindeutige Identifikation von Studierenden im Rahmen formaler Lern-, Lehr- und Verwaltungsprozesse innerherhalb der europäischen Hochschullandschaft
+  * zuverlässiger & datenschutzkonformen Austausch studentischer Daten zwischen Institutionen, insbesondere zur Abwicklung von Mobilitätsprogrammen wie Erasmus+
+**Registrierungskriterien (betreffen SPs):**
+  * Ansässig in der EU oder im europäischem Wirtschaftsraum
+  * SPs aus Drittländern müssen ein angemessenes Datenschutzniveau nach Art. 45 DSGVO nachweisen
+  * In Frage kommen
+    * Studierendenmobilitätsdienste, z. B. das Programm Erasmus+.
+    * SPs zur Übermittlung von Studierendendaten zwischen Bildungseinrichtungen
+    * Hochschulübergreifende Allianzen und Lernmanagementsysteme
+**Required Attribute:**
+  * schacPersonalUniqueCode
 \\
@@ Zeile 95: / Zeile 132: @@
 ==== Research and Scholarship ====
-Die Entity Category Research and Scholarship können Service Provider setzen, deren Dienst die Zusammenarbeit oder das Management in den Bereichen Forschung und Bildung unterstützt. Die Bedingungen sind bei [[https://refeds.org/category/research-and-scholarship|REFEDS]] aufgelistet, wichtig sind für Sie vor allem die Registrierungskriterien (Punkt 4) und die Attributliste (Punkt 5).
+Die Bedingungen sind bei [[https://refeds.org/category/research-and-scholarship|REFEDS]] aufgelistet, wichtig sind für Sie vor allem die Registrierungskriterien (Punkt 4) und die Attributliste (Punkt 5).
-Die Attributfreigaben, die IdP-seitig erfolgen können, sind unter [[:de:shibidp:config-attributes-rands|Attributfreigaben für die REFEDS Research and Scholarship Entity Category]] dokumentiert.
+**Definition der Entity Category Research and Scholarship:**
+  * SPs, die zumindest teilweise zur Unterstützung der Interaktion, Zusammenarbeit oder Verwaltung von Forschung und Wissenschaft betrieben werden, z.B.
+    * Wikis, Blogs, Projekt- und Fördermittelmanagement-Tools
+    * NICHT: Lizenz-Management
+  * IdPs können die Unterstützung von SPs in dieser Entity Category angeben
+    * [[:de:shibidp:config-attributes-rands|Attributfreigaben für die REFEDS Research and Scholarship Entity Category]]
+**Registrierungskriterien (gelten für SPs):**
+  * unterstützt SAML V2.0 HTTP-POST binding
+  * Föderations-Metadaten werden mind. täglich aktualisiert
+  * Metadaten enthalten: <mdui:DisplayName>, <mdui:InformationURL>, <contactPerson contactType=“technical“>
+  * Englische Sprachversion wird empfohlen (d.h. xml:lang=„en“)
+**R&S-Attribut-Bundle:**
+  * Benutzerkennung
+    * eduPersonPrincipalName (wenn nicht neu zugewiesen)
+    * Oder: eduPersonPrincipalName + eduPersonTargetedID (oder persistenName ID)
+  * Name der Person, E-Mail-Adresse
+    * displayName oder/und givenName + sn
+    * mail
+  * optional Zugehörigkeit
+    * eduPersonScopedAffiliation
+Zusätzliche Attribut-Anforderungen können ausgehandelt werden
+Für IdPs, die diese Entity Category unterstützen gilt:
+  * Freigabe des Attribut-Bundles für eine signifikante Teilmenge der User
+  * Freigabe erfolgt Automatisch oder vorbehaltlich der User-Zustimmung
+  * Bereitstellung eines persistenten, nicht neu zugewiesenen, nicht zielgerichteten User-Identitfiers ist gegeben
 \\
@@ Zeile 105: / Zeile 169: @@
   * Konfigurationsbeispiel für die Attributfreigabe am IdP unter [[de:shibidp:config-attributes#anonymous_access_entity_category|Anpassung der Attributkonfiguration]].
+**Definition:**
+  * Fokus: Erhalt personenbezogener Daten ist unerwünscht
+  * Nicht: Bereitstellung von Autorisierungsinformationen
+  * IdPs können Unterstützung der Entity Category anzeigen
+**Registrierungskriterien (betreffen SPs):**
+  * Metadaten enthalten <mdui:DisplayName>, <mdui:InformationURL> und <contactPerson>
+  * Englische Sprachversion wird empfohlen (d.h. xml:lang=„en“)
+**Required Attributes:**
+  * Organization: schacHomeOrganization
+  * Affiliation: eduPersonScopedAffiliation
 ==== Pseudonymous Access ====
   * Siehe unter https://refeds.org/category/pseudonymous
   * [[de:shibidp:config-attributes-access_ecs|Konfigurationsbeispiel für die Attributfreigabe am IdP]]
+**Definition:**
+  * Fokus: Personalisierung auf der Grundlage eines pseudonymen User-Identifiers
+  * Nicht: Bereitstellung von Autorisierungsinformationen
+  * IdPs können Unterstützung der Entity Category anzeigen
+**Registrierungskriterien (betreffen SPs):**
+  * nachgewiesener und dokumentierter Bedarf an den Informationen (Attribut-Bundle)
+  * Selbstverpflichtung zur Datenminimierung
+  * Attribute werden nur für den im Antrag beschriebenen Zweck verwendet
+  * Metadaten enthalten <mdui:DisplayName>, <mdui:InformationURL>,<mdui:PrivacyStatementURL> und <contactPerson>
+  * Englische Sprachversion wird empfohlen (d.h. xml:lang=„en“)
+**Attribut-Bundle:**
+  * Organization: schacHomeOrganization
+  * pseudonymous pairwise user identifier: pairwise-id
+  * Affiliation: eduPersonScopedAffiliation
+  * Assurance: eduPersonAssurance
 ==== Personalized Access ====
   * Siehe unter https://refeds.org/category/personalized
   * [[de:shibidp:config-attributes-access_ecs|Konfigurationsbeispiel für die Attributfreigabe am IdP]]
+**Definition:**
+  * SPs, die nachweislich einige wenige personenbezogenen Daten der Nutzenden benötigen
+  * Nicht: Bereitstellung von Autorisierungsinformationen
+  * IdPs können Unterstützung der Entity Category anzeigen
+**Registrierungskriterien (betreffen SPs):**
+  * nachgewiesener und dokumentierter Bedarf an den Informationen (Attribut-Bundle)
+  * Selbstverpflichtung zur Datenminimierung
+  * Attribute werden nur für den im Antrag beschriebenen Zweck verwendet
+  * Metadaten enthalten <mdui:DisplayName>, <mdui:InformationURL>,<mdui:PrivacyStatementURL> und <contactPerson>
+  * Englische Sprachversion wird empfohlen (d.h. xml:lang=„en“)
+**Attribute-Bundle:**
+  * Organization: schacHomeOrganization
+  * user identifier: subject-id
+  * person name: displayName , givenName, sn
+  * email address: mail
+  * affiliation: eduPersonScopedAffiliation
+  * Assurance: eduPersonAssurance
 \\
@@ Zeile 118: / Zeile 232: @@
 Der Entity Category [[https://refeds.org/category/hide-from-discovery|Hide from Discovery]] können IdPs zugeordnet werden, die nicht in zentralen Discovery Services angezeigt werden sollen, wie z.B. dem [[de:discovery#die_zentralen_discovery_services_des_dfn-verein|DFN-AAI WAYF]].
+SPs akzeptieren weiterhin Assertions von diesem IdP.
+Mögliche Situationen:
+  * Verbesserung der Benutzerfreundlichkeit bei ähnlichen Anzeigenamen von Test/Dev & Prod. IdP
+  * IdPs mit Zugangsbeschränkung auf bestimmte Netzbereiche
+  * Technische Herausforderungen über einen längeren Zeitraum, z.B. Migration
 \\
@@ Zeile 250: / Zeile 370: @@
 <file xml shibboleth2.xml>
 <MetadataProvider type="XML"
-     uri="http://www.aai.dfn.de/metadata/dfn-aai-idp-metadata.xml"
+     url="http://www.aai.dfn.de/metadata/dfn-aai-idp-metadata.xml"
      backingFilePath="dfn-aai-idp-metadata.xml" reloadInterval="3600">
    <MetadataFilter type="Signature" certificate="/etc/ssl/aai/dfn-aai.pem" />
@@ Zeile 258: / Zeile 378: @@
             <saml:AttributeValue>http://aai.dfn.de/category/bwidm-member</saml:AttributeValue>
         </saml:Attribute>
+   </MetadataFilter>
+</MetadataProvider>
+</file>
+\\
+**SP-seitiger Include-Filter, bei der die Metadaten, mit denen der SP arbeitet, auf IdPs sowohl aus dem bwIDM- als auch aus dem IDM.nrw-Projekt beschränkt werden (Kooperations-Szenario):**
+<file xml shibboleth2.xml>
+<MetadataProvider type="XML"
+     url="http://www.aai.dfn.de/metadata/dfn-aai-idp-metadata.xml"
+     backingFilePath="dfn-aai-idp-metadata.xml" reloadInterval="3600">
+   <MetadataFilter type="Signature" certificate="/etc/ssl/aai/dfn-aai.pem" />
+   <MetadataFilter type="Include" matcher="EntityAttributes">
+         <saml:Attribute Name="http://macedir.org/entity-category"
+                         NameFormat="urn:oasis:names:tc:SAML:2.0:attrname-format:uri">
+               <saml:AttributeValue>http://aai.dfn.de/category/bwidm-member</saml:AttributeValue>
+         </saml:Attribute>
+         <saml:Attribute Name="http://macedir.org/entity-category"
+                         NameFormat="urn:oasis:names:tc:SAML:2.0:attrname-format:uri">
+               <saml:AttributeValue>http://aai.dfn.de/category/idm.nrw-member</saml:AttributeValue>
+         </saml:Attribute>
    </MetadataFilter>
 </MetadataProvider>
@@ Zeile 269: / Zeile 412: @@
 <file xml shibboleth2.xml>
 <MetadataProvider type="XML"
-     uri="http://www.aai.dfn.de/metadata/dfn-aai-edugain+idp-metadata.xml"
+     url="http://www.aai.dfn.de/metadata/dfn-aai-edugain+idp-metadata.xml"
      backingFilePath="dfn-aai-edugain+idp-metadata.xml" reloadInterval="3600">
    <MetadataFilter type="Signature" certificate="/etc/ssl/aai/dfn-aai.pem" />

entity-category entity-attribute subjectidentifierattributes