Dies ist eine alte Version des Dokuments!


Um Ihren Usern Zugang zum Kivuto/OnTheHub (ex-MS-Dreamspark)-Angebot geben zu können sind folgende technische Konfigurationen nötig (vermutlich müssen Sie sich dort auch noch als Einrichtung registrieren. Was dabei genau gemacht werden muss ist nicht Teil dieser Anleitung):

  • aktivieren Sie die Erzeugung der persistentId mithilfe einer Mysql-DB im Hintergrund, und geben Sie diese an alle SPs frei, siehe https://wiki.aai.dfn.de/de:shibidp3storage
  • Testen Sie das gegen unseren Test-SP https://testsp2.aai.dfn.de in der Testumgebung
  • Kivuto verlangt ausserdem noch das Attribut „isMemberOf“ mit dem Sie pro User angeben ob dieser in die Kategorie „standard“ oder „premium“ fällt. Das muss entsprechend im attribute-resolver Userspezifisch generiert werden:
./conf/attribute-resolver.xml
<!-- im Beispiel wird das IdM-Attribut "memberOf" ausgewertet -->
<resolver:AttributeDefinition xsi:type="ad:Mapped" id="group-urn" sourceAttributeID="memberOf">
    <resolver:Dependency ref="myLDAP" />
    <resolver:AttributeEncoder xsi:type="enc:SAML1String" name="urn:mace:dir:attribute-def:isMemberOf" />
    <resolver:AttributeEncoder xsi:type="enc:SAML2String" name="urn:oid:1.3.6.1.4.1.5923.1.5.1.1" friendlyName="isMemberOf" />
 
    <!-- ist der User in der "premium"-Gruppe, wird als Wert eine ensprechende URN zurückgegeben -->
    <ad:ValueMap>
         <ad:ReturnValue>urn:geant:dfn.de:example-uni.de:groups:premium</ad:ReturnValue>
         <ad:SourceValue ignoreCase="true">.*CN=premium,OU=idm,DC=example-uni,DC=de</ad:SourceValue>
    </ad:ValueMap>
 
    <!-- ist der User in der "standard"-Gruppe, kommt dies in die URN -->
    <ad:ValueMap>
         <ad:ReturnValue>urn:geant:dfn.de:example-uni.de:groups:standard</ad:ReturnValue>
         <ad:SourceValue ignoreCase="true">.*CN=standard,OU=idm,DC=example-uni,DC=de</ad:SourceValue>
    </ad:ValueMap>
 
</resolver:AttributeDefinition>

Bitte beachten Sie dass Sie einen URN-Bereich erst über die AAI-Hotline für Ihre Einrichtung reservieren müssen, siehe https://www.aai.dfn.de/der-dienst/urn/ !

Eine passende Attribute-filter.xml sieht dann so aus:

./conf/attribute-filter.xml
<AttributeFilterPolicy id="Gigamove">
    <PolicyRequirementRule xsi:type="Requester" value="https://e5.onthehub.com" />
 
    <AttributeRule attributeID="mail" permitAny="true"/>
 
    <AttributeRule attributeID="givenName" permitAny="true"/>
 
    <AttributeRule attributeID="surname" permitAny="true"/>
 
    <AttributeRule attributeID="eduPersonScopedAffiliation" permitAny="true"/>
 
    <AttributeRule attributeID="group-urn">
       <PermitValueRule xsi:type="OR">
          <Rule xsi:type="Value" value="urn:geant:dfn.de:example-uni.de:groups:standard" />
          <Rule xsi:type="Value" value="urn:geant:dfn.de:example-uni.de:groups:premium" />
       </PermitValueRule>
    </AttributeRule>
 
</AttributeFilterPolicy>

Siehe auch ftp://ftp.kivuto.com/support/outgoing/ELMS_Shibboleth_User_Verification_Customer_Implementation_Guide_EN.pdf

  • Zuletzt geändert: vor 3 Jahren