Unterschiede

Hier werden die Unterschiede zwischen zwei Versionen angezeigt.

Link zu dieser Vergleichsansicht

Beide Seiten der vorigen Revision Vorhergehende Überarbeitung
Nächste Überarbeitung
Vorhergehende Überarbeitung
de:shibidp:config-testzugang [2020/10/15 13:17]
Silke Meyer
de:shibidp:config-testzugang [2021/05/03 14:13] (aktuell)
Silke Meyer
Zeile 1: Zeile 1:
 ====== Testzugang für externe bzw. SP-Admins ====== ====== Testzugang für externe bzw. SP-Admins ======
-**Das Szenario:**\\ 
-Ein neuer SP soll an den IdP angebunden werden. Der SP wird von einem externen Partner administriert, der kein Angehöriger der Hochschule ist. Dieser Admin möchte jetzt den Zugang zum SP via Shibboleth testen. Dazu braucht er einen Gastaccount auf dem IdP. 
  
-Das Problem: Die gleichen Attribute, die für das Login zu dem neuen SP nötig sindgewähren möglicherweise auch Zugang zu anderen SPs, auf die der externe Admin keinen Zugriff haben soll.+<callout color="#ff9900" title="Archiv"> 
 +Dieser Artikel ist ein Community-Beitrag für Shibboleth IdP 3.x. Es ist unklarob er für Shibboleth IdP 4.x so noch gilt. 
 +</callout>
  
-Lösung: Der IdP wird so konfiguriert, daß beim Anmelden mit dem Gastaccount die Attributwerte nur dann erzeugt werden, wenn eine Verbindung zu dem neuen SP aufgebaut wird. Falls der Gastaccount versucht, auf einen anderen SP zuzugreifen, werden keine Attribute weitergegeben, so daß dieser andere SP den Zugang verweigert.+**Das Szenario:** Ein neuer SP soll an den IdP angebunden werden. Der SP wird von einem externen Partner administriert, der kein Angehöriger der Hochschule ist. Dieser Admin möchte jetzt den Zugang zum SP via Shibboleth testen. Dazu braucht er einen Gastaccount auf dem IdP. 
 + 
 +**Das Problem:** Die gleichen Attribute, die für das Login zu dem neuen SP nötig sind, gewähren möglicherweise auch Zugang zu anderen SPs, auf die der externe Admin keinen Zugriff haben soll. 
 + 
 +**Die Lösung:** Der IdP wird so konfiguriert, dass beim Anmelden mit dem Gastaccount die Attributwerte nur dann erzeugt werden, wenn eine Verbindung zu dem neuen SP aufgebaut wird. Falls der Gastaccount versucht, auf einen anderen SP zuzugreifen, werden keine Attribute weitergegeben, so dass dieser andere SP den Zugang verweigert.
  
 Dazu ergänzt man im Attribute-Resolver die Definition der Daten-Konnektoren um eine Aktivierungsbedingung. Zuerst legt man eine neue Datei an, in der das Bean mit der Bedingung definiert wird: Dazu ergänzt man im Attribute-Resolver die Definition der Daten-Konnektoren um eine Aktivierungsbedingung. Zuerst legt man eine neue Datei an, in der das Bean mit der Bedingung definiert wird:
Zeile 43: Zeile 47:
 </file> </file>
  
-Dabei ist ''shibgast'' die uid des Gastaccounts, und ''%%https://neuer_sp.example.org/shibboleth%%'' die entityId des neuen Service Providers. Passen Sie diese Werte bitte entsprechend an. Die Bedingung ist erfüllt, wenn der Benutzer sich nicht mit "shibgast" angemeldet hat oder der Benutzer sich mit dem neuen SP verbindet. Anders ausgedrückt: Wenn "shibgast" sich mit einem anderen SP verbindet, ist die Bedingung nicht erfüllt und der Konnektor wird nicht aktiviert.+Dabei ist ''shibgast'' die uid des Gastaccounts, und ''%%https://neuer_sp.example.org/shibboleth%%'' die entityId des neuen Service Providers. Passen Sie diese Werte bitte entsprechend an. Die Bedingung ist erfüllt, wenn  
 +  * der Benutzer sich //nicht// mit "shibgast" angemeldet hat oder  
 +  * der Benutzer sich mit dem neuen SP verbindet.  
 +Anders ausgedrückt: Wenn "shibgast" sich mit einem anderen SP verbindet, ist die Bedingung nicht erfüllt und der Konnektor wird nicht aktiviert.
  
 Diese Datei muss in ''services.xml'' referenziert werden: Diese Datei muss in ''services.xml'' referenziert werden:
Zeile 132: Zeile 139:
 Herzlichen Dank an Ramon Pfeiffer aus Tübingen für diese Variante! Herzlichen Dank an Ramon Pfeiffer aus Tübingen für diese Variante!
  
-{{tag>idp3 fixme moveme}}+{{tag>archiv}}
  • Zuletzt geändert: vor 14 Monaten