Unterschiede

Hier werden die Unterschiede zwischen zwei Versionen angezeigt.

Link zu dieser Vergleichsansicht

Beide Seiten der vorigen Revision Vorhergehende Überarbeitung
Nächste Überarbeitung
Vorhergehende Überarbeitung
de:metadata_local [2020/04/21 15:49] Silke Meyerde:metadata_local [2022/11/17 14:08] (aktuell) – Infos zur alten MDV entfernt Silke Meyer
Zeile 1: Zeile 1:
 ====== Lokale Metadaten ====== ====== Lokale Metadaten ======
 +
 +<callout color="#ff9900" title="Lokale Metadaten?">
 +Mit einem einrichtungsspezifischen Metadatensatz binden Sie hausinterne Dienste an Ihren IdP an, ohne dass Externe sich dort anmelden können.
 +</callout>
 +
 Wurde an einer Einrichtung erst einmal ein IdP eingerichtet, entsteht schnell der Wunsch, möglichst viele einrichtungsinterne Dienste mit Service Providern auszustatten, um ebenfalls in den Genuss des vereinfachten User-/Passwort-Managements zu kommen. Beispiele für solche Anwendungen sind: Wurde an einer Einrichtung erst einmal ein IdP eingerichtet, entsteht schnell der Wunsch, möglichst viele einrichtungsinterne Dienste mit Service Providern auszustatten, um ebenfalls in den Genuss des vereinfachten User-/Passwort-Managements zu kommen. Beispiele für solche Anwendungen sind:
 +
   *     Monitoring   *     Monitoring
   *     lokale Zertifizierungsstelle für Studierende   *     lokale Zertifizierungsstelle für Studierende
Zeile 8: Zeile 14:
   *     geschützte Webserver der Hochschule   *     geschützte Webserver der Hochschule
  
-Diese Dienste aber nun einfach in einen der [[de:metadata|föderationsweiten Metadatensätze]] ("DFN-AAI" bzw. "DFN-AAI-Basic") aufzunehmen, kommt in der Regel nicht in FrageDiese sind explizit nur für SPs vorgesehen, die von mehreren Einrichtungen genutzt werden. Um das o.g. Szenario zu unterstützen, bietet die Metadatenverwaltung daher die Möglichkeiteinen lokalen Metadatensatz pro Einrichtung anzulegenin den der jeweilige IdP und alle lokalen SPs aufgenommen werden.+Diese Dienste sollen i.d.R. //nicht// von anderen Einrichtungen genutzt werden können. Sie gehören daher //nicht// in die DFN-AAI oder die DFN-AAI-Basic. Die Metadatenverwaltung bietet eine andere Möglichkeit: Sie können dort einen **lokalen Metadatensatz** generieren lassendie **nur den IdP und die lokalen SPs Ihrer Einrichtung** enthält. Alle lokalen Metadatensätze werden stündlich neu erzeugt und sind über feste URLs abrufbar. Damit ist zugleich gewährleistet, dass die lokalen SPs stets aktuelle und gültige Metadaten besitzen.
  
-===== Aktivierung in der Metadatenverwaltung =====+Ein weiterer Vorteil für Sie: Wenn Sie hausinterne Dienste als lokale SPs in die Metadatenverwaltung einpflegen, werden Sie vor Ablauf der Zertifikate genau so von uns informiert wie bei den Systemen in den Föderationen.
  
-Diese Option kann in der [[https://www.aai.dfn.de/verwaltung/|Metadatenverwaltung]] unter dem Punkt "Vertragsdaten" aktiviert werden. Dann erscheint in der Übersicht eine zusätzliche Spalte "lokale Metadaten". Außerdem kann der Zugriff auf die lokalen Metadaten auf bestimmte IP-Bereiche eingegrenzt werden. 
  
-Beispiel Schaltfläche "Vertragsdaten": \\ +===== Lokale Metadaten in der Metadatenverwaltung ===== 
-{{:de:local-metadata_htaccess.png?400|}}+In der neuen Metadatenverwaltung ist es nicht nötig, die Generierung des Datensatz erst anzustoßen. Wenn Sie den ersten Service Provider in die lokalen Metadaten aufnehmen, dann wird der Datensatz ab diesem Moment stündlich für Sie generiert. Die URL finden Sie in der Metadatenverwaltung auf der Übersichtsseite Ihrer Einrichtung, im Abschnitt lokale Metadaten.
  
-Anschließend können der IdP und die gewünschten SPs in die lokalen Metadaten aufgenommen werden:+Dort können Sie bei Bedarf auch den Zugriff auf die URL auf bestimmte IP-Adressen oder -Adressbereiche einschränken. Klicken Sie dazu auf "Zugriff auf Download-URL einschränken".
  
-{{:de:metadatenverwaltung_foederationen_lokal.png?400|}}  +{{ :de:metadata_admin_tool:download-url1.png?800 |}}
- +
-Die lokalen Metadatensätze werden wie die Metadatensätze der DFN-AAI-Föderationen einmal pro Stunde (außer um 10:00) neu erzeugt und sind ebenfalls über feste URLs abrufbar. Damit ist zugleich gewährleistet, dass die lokalen SPs stets aktuelle und gültige Metadaten besitzen.  +
- +
-Der URL für die lokalen Metadaten einer Einrichtung hat das Format:  +
-<code>https://www.aai.dfn.de/fileadmin/metadata/dfn-aai-local-999-metadata.xml</code>  +
-**wobei "999" durch eine einrichtungsspezifische Nummer zu ersetzen ist.** Der korrekte URL kann in der Metadatenverwaltung auf der jeweiligen Übersichtsseite unter "lokale Metadaten" abgerufen werden: +
- +
-{{:de:lokale_metadaten_download.png?nolink&300|}} +
  
 +{{ :de:metadata_admin_tool:download-url2.png?800 |}}
 ====== Konfiguration ====== ====== Konfiguration ======
 ===== Shibboleth IdP ===== ===== Shibboleth IdP =====
-Für die lokalen Metadaten muss in ''./conf/metadata-providers.xml'' ein weiteres <MetadataProvider> Element hinzugefügt werden. +Für die lokalen Metadaten muss in ''./conf/metadata-providers.xml'' ein weiteres ''<MetadataProvider>''-Element hinzugefügt werden. 
 <callout color="#ff9900" title="Eigene Einrichtungsnummer verwenden!"> <callout color="#ff9900" title="Eigene Einrichtungsnummer verwenden!">
 Bitte ersetzen Sie die "999" aus dem Beispiel durch Ihr eigene Einrichtungsnummer (s.o.)! Bitte ersetzen Sie die "999" aus dem Beispiel durch Ihr eigene Einrichtungsnummer (s.o.)!
Zeile 44: Zeile 42:
             xsi:type="FileBackedHTTPMetadataProvider"             xsi:type="FileBackedHTTPMetadataProvider"
             backingFile="%{idp.home}/metadata/dfn-aai-sp-metadata.xml"             backingFile="%{idp.home}/metadata/dfn-aai-sp-metadata.xml"
-            metadataURL="http://www.aai.dfn.de/fileadmin/metadata/dfn-aai-sp-metadata.xml"+            metadataURL="http://www.aai.dfn.de/metadata/dfn-aai-sp-metadata.xml"
             maxRefreshDelay="PT2H">             maxRefreshDelay="PT2H">
             <MetadataFilter xsi:type="SignatureValidation" requireSignedRoot="true"             <MetadataFilter xsi:type="SignatureValidation" requireSignedRoot="true"
-                    certificateFile="/etc/ssl/aai/dfn-aai.g2.pem"/>+                    certificateFile="/etc/ssl/aai/dfn-aai.pem"/>
     </MetadataProvider>     </MetadataProvider>
  
Zeile 53: Zeile 51:
             xsi:type="FileBackedHTTPMetadataProvider"             xsi:type="FileBackedHTTPMetadataProvider"
             backingFile="%{idp.home}/metadata/dfn-aai-local-999-metadata.xml"             backingFile="%{idp.home}/metadata/dfn-aai-local-999-metadata.xml"
-            metadataURL="http://www.aai.dfn.de/fileadmin/metadata/dfn-aai-local-999-metadata.xml"+            metadataURL="http://www.aai.dfn.de/metadata/dfn-aai-local-999-metadata.xml"
             maxRefreshDelay="PT2H">             maxRefreshDelay="PT2H">
             <MetadataFilter xsi:type="SignatureValidation" requireSignedRoot="true"             <MetadataFilter xsi:type="SignatureValidation" requireSignedRoot="true"
-                    certificateFile="/etc/ssl/aai/dfn-aai.g2.pem"/> +                    certificateFile="/etc/ssl/aai/dfn-aai.pem"/> 
-            <MetadataFilter xsi:type="EntityRoleWhiteList">+            <MetadataFilter xsi:type="EntityRole">
                     <RetainedRole>md:SPSSODescriptor</RetainedRole>                     <RetainedRole>md:SPSSODescriptor</RetainedRole>
             </MetadataFilter>             </MetadataFilter>
Zeile 67: Zeile 65:
 ===== Shibboleth SP ===== ===== Shibboleth SP =====
  
-Beim Shibboleth SP fügt man in ''/etc/shibboleth/shiboleth2.xml'' einen zusätzlichen Metadataprovider hinzu:+Beim Shibboleth SP fügt man in ''/etc/shibboleth/shibboleth2.xml'' einen zusätzlichen Metadataprovider hinzu:
  
 <file xml /etc/shibboleth/shibboleth2.xml> <file xml /etc/shibboleth/shibboleth2.xml>
     ...     ...
-   <MetadataProvider type="XML" url="http://www.aai.dfn.de/fileadmin/metadata/dfn-aai-local-999-metadata.xml"+   <MetadataProvider type="XML" url="http://www.aai.dfn.de/metadata/dfn-aai-local-999-metadata.xml"
          validate="true" backingFilePath="dfn-aai-local-999-metadata.xml" reloadInterval="3600">          validate="true" backingFilePath="dfn-aai-local-999-metadata.xml" reloadInterval="3600">
-       <MetadataFilter type="Signature" certificate="/etc/ssl/aai/dfn-aai.g2.pem"/>+       <MetadataFilter type="Signature" certificate="/etc/ssl/aai/dfn-aai.pem"/>
    </MetadataProvider>    </MetadataProvider>
     ...     ...
-{{tag>lokale-metadaten}}+</file> 
 +{{tag>lokale-metadaten metadata}}
  • Zuletzt geändert: vor 4 Jahren