Voraussetzungen und Best Practices

Diese Voraussetzungen gelten gleichermaßen für Identity Provider, Attribute Authorities und Service Provider

• Zur Teilnahme an der DFN-AAI ist eine vertragliche Vereinbarung mit dem DFN-Verein erforderlich. Zur Anforderung der Vertragsunterlagen siehe unter Anmeldung. Die Art der vertraglichen Vereinbarung hängt von der Art der Teilnahme an der DFN-AAI ab:
  • Heimateinrichtungen / IdP-Betreiber: DFN-AAI ist ein Mehrwertdienst (DFNInternet ab I02), erforderlich sind Rahmenvertrag und Dienstvereinbarung. Letztere enthält auch Vereinbarungen für den SP-Betrieb.
  • Dienstanbieter / SP-Betreiber: SP-Agreement (englisch) – keine sonstigen Voraussetzungen
• Unterstützung des SAML 2 Standards (zukünftig alternativ OpenID Connect, Datum wird bekanntgegeben)
• Föderationsmetadaten
  • müssen mindestens einmal täglich heruntergeladen werden
  • die Signatur der Metadaten muss anhand des jeweils gültigen, von der DFN-AAI bereitgestellten Zertifikats validiert werden
• Betriebssicherheit
  • Die eingesetzte Software muss aktuell gehalten und Security Updates/Patches zeitnah eingespielt werden
  • Bei der Registrierung der Metadaten muss ein Kontakt für Sicherheitsfragen angegeben werden
• Metadaten
  • Siehe hierzu die Checkliste zur Registrierung der Metadaten
• Zertifikate für die SAML-basierte Kommunikation
  • Die eingesetzte SAML-Software muss beim Wechsel des Schlüsselmaterials einen unterbrechungsfreien Key Rollover ermöglichen. Informationen und weiterführende Hinweise finden sich unter Zertifikate
• Sonstiges
  • Orientieren Sie sich bitte an den weiteren, unter Teilnahme aufgelisteten Schritten

• Der Teilnehmer muss über ein funktionierendes Identity Management (System) verfügen, das mindestens die Anforderungen der Verlässlichkeitsklasse 'Basic' erfüllt.
• Ein Identity Provider sollte in der Lage sein, die wichtigsten Attribute zu produzieren. Diese Attribute müssen in standardkonformem Encoding (urn:oid) an Service Provider übertragen werden (sofern im Einzelfall zur Erbringung des Dienstes erforderlich und datenschutzrechtlich zulässig).

• Ein Service Provider muss in der Lage sein, gängige Attribute in standardkonformem Encoding (urn:oid) zu empfangen und zu verarbeiten.
• Die für die Nutzung des Dienstes erforderlichen Attribute müssen in den Föderationsmetadaten deklariert werden
• Ein Service Provider muss in der Lage sein, Attribut-basierte Autorisierung zu implementieren, sofern nicht alle über einen IdP verfügbare Identitäten auf die betreffenden Ressourcen zugreifen dürfen. Hierbei gilt es zu beachten, dass sich üblicherweise nicht nur Angehörige einer Einrichtung über einen IdP authentisieren können, sondern jede im IdM der Einrichtung geführte Identität. Dies können z.B. auch Gäste, Alumni oder Stadtnutzer einer Bibliothek sein.
• Da Shibboleth IdPs Assertions per Default verschlüsseln, wird dringend empfohlen, SP-Implementierungen einzusetzen, die in der Lage sind, verschlüsselte Assertions zu entschlüsseln.
• Provisionierung und Deprovisionierung
  • SP-seitige, d.h. dienstlokale Nutzerkonten und -Profile müssen anhand von Attributen erstellt werden, die von den Identity Providern der teilnehmenden Einrichtungen übertragen werden. Provisionierung von Nutzerdaten über andere Kanäle (z.B. CSV-Dateien, Active Directory) ist nicht zulässig
  • Für die Deprovisionierung/Löschung dienstlokaler Nutzerkonten sind geeignete Verfahren zu implementieren. Dies können insbesondere eine automatische Löschung/Deaktivierung eines Nutzerkontos nach einer bestimmten Zeit der Inaktivität oder eine Deprovisionierung via SAML AttributeQuery sein.

• Im Sinne einer maximalen, auch internationalen Interoperabilität (eduGAIN) wird empfohlen, die aktuelle Fassung des SAML2 Interoperability Profile (saml2int) bestmöglich umzusetzen. Zu den davon abweichenden, in der DFN-AAI gültigen Zertifikatregeln siehe unter Zertifikate.