Unterschiede

Hier werden die Unterschiede zwischen zwei Versionen angezeigt.

--- de:shibidp:config-attributes-minimal [2020/10/14 12:39] – Silke Meyer
+++ de:shibidp:config-attributes-minimal [2023/11/01 18:20] (aktuell) – [Definition bzw. Generierung von Attributen] Wolfgang Pempe
@@ Zeile 8: / Zeile 8: @@
 ===== Definition bzw. Generierung von Attributen =====
-<callout type="danger" title="Neuerungen beim IdP 4.x">
+<callout color="#ff9900" title="Neuerungen beim IdP 4.x">
-Die attribute-resolver.xml aus einer IdP 3.x-Installation kann nicht einfach in eine Neuinstallation von IdP 4.x hineinkopiert werden!
+Die ''attribute-resolver.xml'' aus einer IdP 3.x-Installation kann nicht einfach in eine Neuinstallation von IdP 4.x hineinkopiert werden! Die Elemente "DisplayName", "DisplayDescription" und "AttributeEncoder", die in der Resolver-Syntax des 3er-IdP enthalten waren, sind jetzt in der Attribute Registry unterhalb von ''./conf/attributes'' definiert. Diese Zeilen müssen aus ''attribute-resolver.xml'' entfernt werden, damit die Datei in einem neu installierten 4er-IdP verwendet werden kann.</callout>
-</callout>
 Die zentrale Konfigurationsdatei für die //Generierung// von Attributen ist ''./conf/attribute-resolver.xml''. Hier definieren Sie
@@ Zeile 17: / Zeile 16: @@
   * wie diese Attribute ggf. im IdP umgebaut werden sollen.
-Shibboleth liefert eine umfangreiche Beispieldatei ''./conf/attribute-resolver-full.xml'' mit. Um es zunächst übersichtlicher zu halten, laden Sie sich bitte unten stehende Beispieldatei herunter und legen Sie sie nach ''./conf/attribute-resolver.xml''. Sie ist für Testzwecke nach der Erstinstallation gedacht. Die Werte für ''attributeNames'' müssen ggf. den tatsächlichen Attributnamen in Ihrem Nutzerverzeichnis angepasst werden. Für den späteren Produktivbetrieb müssen i.d.R. noch mindestens die Definitionen der für den Bibliotheksbereich relevanten Attribute ''eduPerson(Scoped)Affiliation'' und ''eduPersonEntitlement'' ergänzt werden, siehe die entsprechende [[de:shibidp:config-attributes-publishers|Dokumentation]].
+Um es zunächst übersichtlicher zu halten, legen Sie sich bitte unten stehende Beispieldatei nach ''./conf/attribute-resolver.xml''. Sie ist für Testzwecke nach der Erstinstallation gedacht. Die Werte für ''attributeNames'' müssen ggf. den tatsächlichen Attributnamen in Ihrem Nutzerverzeichnis angepasst werden. Für den späteren Produktivbetrieb müssen i.d.R. noch mindestens die Definitionen der für den Bibliotheksbereich relevanten Attribute ''eduPerson(Scoped)Affiliation'' und ''eduPersonEntitlement'' ergänzt werden, siehe die entsprechende [[de:shibidp:config-attributes-publishers|Dokumentation]].
 (Ein Klick auf den Dateinamen startet den Download)
@@ Zeile 34: / Zeile 33: @@
     <!-- Attribute aus Userangaben -->
-    <AttributeDefinition id="uid" xsi:type="PrincipalName">
+    <AttributeDefinition id="uid" xsi:type="PrincipalName" />
-    </AttributeDefinition>
     <AttributeDefinition id="eduPersonPrincipalName" xsi:type="Scoped" scope="%{idp.scope}">
@@ Zeile 43: / Zeile 41: @@
     <!--- Attribute aus dem IdM -->
-    <AttributeDefinition id="mail" xsi:type="Simple">
+    <!-- Bitte beachten Sie unten im Data Connector "myLDAP" die Zeile "exportAttributes".
-        <InputDataConnector ref="myLDAP" attributeNames="mail"/>
+    Dort werden all die Attribute automatisch aus dem IdM geholt, die im IdM genau so heißen,
-    </AttributeDefinition>
+    wie der IdP sie in seiner Attribute Registry auch definiert hat. Für diese Attribute
+    brauchen Sie dann hier keine eigene Attributdefinition mehr.
-    <AttributeDefinition id="sn" xsi:type="Simple">
+    Analog verhält es sich mit dem Data Connector "staticAttributes" -->
-        <InputDataConnector ref="myLDAP" attributeNames="sn"/>
-    </AttributeDefinition>
-    <AttributeDefinition id="givenName" xsi:type="Simple">
-        <InputDataConnector ref="myLDAP" attributeNames="givenName"/>
-    </AttributeDefinition>
     <!-- ========================================== -->
@@ Zeile 68: / Zeile 60: @@
         trustFile="%{idp.attribute.resolver.LDAP.trustCertificates}"
         responseTimeout="%{idp.attribute.resolver.LDAP.responseTimeout}"
-        failFastInitialize="%{idp.pool.LDAP.failFastInitialize:false}">
+        failFastInitialize="%{idp.pool.LDAP.failFastInitialize:false}"
+        exportAttributes="givenName sn mail displayName" >
         <FilterTemplate>
             <![CDATA[
@@ Zeile 81: / Zeile 74: @@
             validateTimerPeriod="%{idp.pool.LDAP.validatePeriod:PT5M}"
             expirationTime="%{idp.pool.LDAP.idleTime:PT10M}" />
+    </DataConnector>
+    <DataConnector id="staticAttributes" xsi:type="Static"
+        exportAttributes="o schacHomeOrganization">
+        <!-- Der Name Ihrer Einrichtung wird hier statisch für alle Accounts gesetzt. -->
+        <Attribute id="o">
+            <Value>Beispiel-Hochschule</Value>
+        </Attribute>
+        <!-- Die Domain Ihrer Einrichtung wird hier statisch gesetzt, entspricht i.d.R. dem Scope -->
+        <Attribute id="schacHomeOrganization">
+            <Value>uni-beispiel.de</Value>
+        </Attribute>
     </DataConnector>
@@ Zeile 94: / Zeile 99: @@
 ===== Freigabe von Attributen an SPs =====
-Die zentrale Konfigurationsdatei für die //Freigabe// von Attributen an Service Provider ist ''./conf/attribute-filter.xml''. Unsere Beispieldatei regelt, welche Attribute an unsere öffentlichen Test-SPs freigegeben werden. Für den späteren Produktivbetrieb beachten Sie bitte die vertiefende [[de:shibidp3attributes|Dokumentation]].
+Die zentrale Konfigurationsdatei für die //Freigabe// von Attributen an Service Provider ist ''./conf/attribute-filter.xml''. Unsere Beispieldatei regelt, welche Attribute an unsere öffentlichen Test-SPs freigegeben werden. Für den späteren Produktivbetrieb beachten Sie bitte die vertiefende [[de:shibidp:config-attributes|Dokumentation]].
 (Ein Klick auf den Dateinamen startet den Download)
@@ Zeile 104: / Zeile 109: @@
         xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
         xsi:schemaLocation="urn:mace:shibboleth:2.0:afp http://shibboleth.net/schema/idp/shibboleth-afp.xsd">
+   <!-- Verlässlichkeitsinformationen sind nicht personenbeziehbar
+        und sollten grundsätzlich an jeden SP übertragen werden -->
+   <AttributeFilterPolicy id="ReleaseAssuranceToAnyone">
+        <PolicyRequirementRule xsi:type="ANY" />
+        <AttributeRule attributeID="eduPersonAssurance" permitAny="true" />
+   </AttributeFilterPolicy>
    <!-- Attribute an die DFN-Test-SPs freigeben -->
@@ Zeile 109: / Zeile 121: @@
         <PolicyRequirementRule xsi:type="OR">
             <!-- Als Requester wird die jeweilige EntityID des Service Providers angegeben. -->
-            <Rule xsi:type="Requester" value="https://testsp.aai.dfn.de/shibboleth" />
             <Rule xsi:type="Requester" value="https://testsp2.aai.dfn.de/shibboleth" />
             <Rule xsi:type="Requester" value="https://testsp3.aai.dfn.de/shibboleth" />
@@ Zeile 139: / Zeile 150: @@
 <code bash>
-https://<IHR-IDP>/idp/profile/admin/resolvertest?principal=test-clt&requester=https://testsp3.aai.dfn.de/sp
+https://<IHR-IDP>/idp/profile/admin/resolvertest?principal=test-clt&requester=https://testsp3.aai.dfn.de/shibboleth
 # Rückgabe:
 {
-"requester": "https://testsp3.aai.dfn.de/sp",
+"requester": "https://testsp3.aai.dfn.de/shibboleth",
 "principal": "test-clt",
 "attributes": [
@@ Zeile 174: / Zeile 185: @@
 Die [[https://wiki.shibboleth.net/confluence/display/IDP4/AACLI|aacli-Dokumentation]] finden Sie im Shibboleth-Wiki.
-{{tag>idp4 tutorial}}
+{{tag>idp4 tutorial included-in-ansible}}

idp4 tutorial included-in-ansible