eduPersonUniqueId

Die eduPersonUniqueId ist ein eindeutiger, pseudonymer Identifier (siehe die Spezifikation).

Ein Einsatzszenario für die eduPersonUniqueId ist das Mapping zwischen IdPs und Attribute Authorities.

Attribute Authority?

Im Kontext von Forschungsprojekten/-Infrastrukturen und Fachinformationsdiensten müssen häufig dienstspezifische Zugangsberechtigungen für Einzelpersonen oder einrichtungsübergreifende Personengruppen vergeben werden. Solche Informationen werden i.d.R. nicht in den IdMs der beteiligten Heimateinrichtungen gepflegt, sondern in eine weiteren Attributquelle: einer Attribute Authority. Attribute Authorities werden meist von den Projekten selbst betrieben. Sie verwalten nur community- bzw. projektspezifische Attribute und werden bei der Autorisierung zusätzlich zum IdP befragt.

Die Attribute, die eine Attribut Authority verwaltet, müssen über einen global gültigen, eindeutigen Identifier auf die Accounts der Heimateinrichtungen gemappt werden. Dazu können z.B. eduPersonPrincipalName, mail oder eduPersonUniqueId verwendet werden.

Die eduPersonUniqueId hat den Vorteil, dass sie pseudonym ist: Von SP-Seite aus kann nicht auf die dahinter liegende Identität rückgeschlossen werden.

Best Practice

Wir empfehlen, der hier dokumentierten Best Practice zu folgen und zunächst einen subjectHash zu generieren, der dann sowohl für eduPersonUniqueId, als auch für die SAML Subject ID verwendet wird.

Alternativ können Sie auch einen ähnlichen Weg wie oben gehen. Damit das Attribut hier von der Attribute Registry verarbeitet werden kann, können Sie so ein neues scoped Attribut erzeugen, das dann von der Registry mit den richtigen Transcoder verarbeitet wird.

/opt/shibboleth-idp/conf/attribute-resolver.xml

<AttributeDefinition id="eduPersonUniqueId" xsi:type="ScriptedAttribute">
    <InputAttributeDefinition ref="uid" />
    <Script><![CDATA[
             var ScopedValue = Java.type("net.shibboleth.idp.attribute.ScopedStringAttributeValue");
             var DigestUtils = Java.type("org.apache.commons.codec.digest.DigestUtils");
             // unique value erzeugen (do not change salt)
             var uniqueValue = uid.getValues().get(0) + "SALT_MIN_48_CHARS";
             // md5 value erzeugen
             var idSaltHash = DigestUtils.md5Hex(uniqueValue);
             // Scope dazu
             eduPersonUniqueId.getValues().add(new ScopedValue(idSaltHash, "%{idp.scope}"));
             ]]>
    </Script>
</AttributeDefinition>

idp4