Hier werden die Unterschiede zwischen zwei Versionen angezeigt.
| Beide Seiten der vorigen Revision Vorhergehende Überarbeitung Nächste Überarbeitung | Vorhergehende Überarbeitung |
| de:shibidp:prepare-zert [2023/04/13 17:45] – Wolfgang Pempe | de:shibidp:prepare-zert [2025/01/13 16:06] (aktuell) – [Zertifikate für Webserver und SAML-basierte Kommunikation] Wolfgang Pempe |
|---|
| * für die SAML-basierte Kommunikation, also das Signieren und Verschlüsseln des SAML-Traffics. Hierfür können Zertifikate mit einer Laufzeit von 3 Jahren bzw. 39 Monaten aus der [[https://www.pki.dfn.de/dfn-verein-community-pki|DFN-Verein Community PKI]] oder von einer [[de:certificates#eigene_lokale_ca|lokalen CA]] ausgestellte Zertifikate verwendet werden. Auch [[de:certificates#selbst-signierte_zertifikate|selbst-signierte]] Zertifikate können verwendet werden. | * für die SAML-basierte Kommunikation, also das Signieren und Verschlüsseln des SAML-Traffics. Hierfür können Zertifikate mit einer Laufzeit von 3 Jahren bzw. 39 Monaten aus der [[https://www.pki.dfn.de/dfn-verein-community-pki|DFN-Verein Community PKI]] oder von einer [[de:certificates#eigene_lokale_ca|lokalen CA]] ausgestellte Zertifikate verwendet werden. Auch [[de:certificates#selbst-signierte_zertifikate|selbst-signierte]] Zertifikate können verwendet werden. |
| |
| Webserver-Zertifikate des [[de:dfnpki:tcsfaq#zertifikate_erstellen|GÉANT TCS]] können grundsätzlich für beide o.g. Zwecke genutzt werden. Angesichts der Laufzeitverkürzungen für Webserver-Zertifikate sollten für die SAML-basierte Kommunikation jedoch andere Zertifikate mit längeren Laufzeiten verwendet werden. | Webserver-Zertifikate von [[de:dfnpki:harica2025#serverzertifikate|HARICA]] können grundsätzlich für beide o.g. Zwecke genutzt werden. Angesichts der Laufzeitverkürzungen für Webserver-Zertifikate empfehlen wir für die SAML-basierte Kommunikation Zertifikate mit längeren Laufzeiten zu verwenden. |
| |
| <callout color="#ff9900" title="Zertifikatsprofil 'Shibboleth IdP/SP' in der DFN-Verein Community PKI"> Beim Beantragen des Zertifikats sollten Sie das Zertifikatsprofil "Shibboleth IdP/SP" auswählen, damit das Zertifikat für alle SAML-Funktionen eingesetzt werden kann.</callout> | <callout color="#ff9900" title="Zertifikatsprofil 'Shibboleth IdP/SP' in der DFN-Verein Community PKI"> Beim Beantragen des Zertifikats sollten Sie das Zertifikatsprofil "Shibboleth IdP/SP" auswählen, damit das Zertifikat für alle SAML-Funktionen eingesetzt werden kann.</callout> |
| Die den Policies der DFN-AAI entsprechenden Zertifikate für die SAML-basierte Kommunikation (siehe oben) sind erst beim Übergang in den Produktivbetrieb zwingend erforderlich. Daher kann die grundsätzliche Funktionalität des IdP zunächst anhand der Zertifikate erprobt werden, die bei der Shibboleth-Installation automatisch generiert werden. Wenn Sie die Tests in der DFN-AAI-Test abgeschlossen haben und mit der Konfiguration des IdP vertraut sind, ist ein Austausch der Zertifikate schnell gemacht. | Die den Policies der DFN-AAI entsprechenden Zertifikate für die SAML-basierte Kommunikation (siehe oben) sind erst beim Übergang in den Produktivbetrieb zwingend erforderlich. Daher kann die grundsätzliche Funktionalität des IdP zunächst anhand der Zertifikate erprobt werden, die bei der Shibboleth-Installation automatisch generiert werden. Wenn Sie die Tests in der DFN-AAI-Test abgeschlossen haben und mit der Konfiguration des IdP vertraut sind, ist ein Austausch der Zertifikate schnell gemacht. |
| |
| Zur Erstellung eines Zertifikatrequests siehe die [[https://www.pki.dfn.de/faqpki/faqpki-allgemein/#c15083|FAQ der DFN-PKI]]. | |
| |
| {{tag>idp4 tutorial}} | {{tag>idp5 tutorial}} |
| |
| |