Differences

This shows you the differences between two versions of the page.

--- en:checklist [2021/07/20 09:28] – clickable email Silke Meyer
+++ en:checklist [2022/04/05 13:23] – started to revise content Silke Meyer
@@ Line 1: / Line 1: @@
-FIXME **This page is not fully translated, yet. Please help completing the translation.**\\ //(remove this paragraph once the translation is finished)//
+====== Check list for publishing metadata ======
-====== How to fill in Metadata? ======
 <callout color="#ff9900" title="Access to the metadata administration tool">
@@ Line 13: / Line 11: @@
 Please have a look at the valid version of the [[en:normative_documents|Metadata Registration Practice Statements]].
-Before submitting a new IdP/SP to the federation, please make sure you have filled in the form as described below.
+Before submitting a new IdP/SP to the federation, please make sure you have filled in the form as described below - that is: before you activate a federation with this radio button:
-Bitte beherzigen Sie die Punkte dieser Checkliste, bevor Sie Ihren neuen IdP/SP in die Produktivföderation aufnehmen, bevor Sie also diesen Radio-Button klicken:
 {{:en:metadata_admin_tool:no-federation.png?600|}}
-  * Wenn beim Auslesen der Metadaten eines neuen IdP die Fehlermeldung **unable to open file** erscheint, dann liefert Ihr Webserver nicht die komplette Zertifikatskette aus. Bitte lesen Sie unter [[https://doku.tid.dfn.de/de:certificates#einrichtung_der_vollstaendigen_zertifikatskette_auf_dem_webserver | Einrichtung der vollständigen Zertifikatskette auf dem Webserver]] nach und korrigieren Sie dies zunächst.
+  * The metadata administration tool can fetch your IdP's/SP's metadata from the system. If you get a warning saying **unable to open file**, your webserver does not return the full certificate chain. On the [[en:certificates#the_ssl_certificate_chain_on_your_webserver|certificates page]] you can read how to correct this.
-  * Füllen Sie möglichst alle Felder aus. Wenn rote Warnungen auftauchen, beheben Sie sie zuerst.
+  * Fill in all fields. If you see **red warnings** correct them before submitting the IdP/SP to production.
-  * Verwenden Sie nur Hostnames bzw. URLs, die von außen auflösbar sind. Hausinterne Top-Level-Domains lassen sich nicht speichern.
+  * Use host name resp. URLs that can be resolved from outside your network. Systems with internal top level domains cannot be saved.
-  * Displayname: der Name Ihrer Einrichtung, Institution oder Firma
-  * Beschreibung: Kurzbeschreibung, z.B. "Identity Provider der Universität XY"
-  * Information URL: Website der Einrichtung, Institution oder Firma
-  * **Privacy Statement URL**: Hinterlegen Sie hier den Link zu Ihrer **Datenschutzerklärung**. Das Feld ist **für Service Provider Pflicht**. Wenn Sie nur eine deutschsprachige Datenschutzerklärung haben, können Sie das Feld "Privacy Statement URL (englisch)" leer lassen und umgekehrt.
-  * Die **Logos** werden im Discovery Service (Favicons der IdPs) bzw. in Loginmasken eingeblendet. Deshalb haben sie fest definierte Größen bzw. **Maximalgrößen**. Skalieren Sie Ihre Logos so, dass sie dort hineinpassen. Die Logos (groß) sind zwischen 64 und 240 Pixel breit und max. 180 Pixel hoch sein. Die Favicons (Logo klein) sind 16 mal 16 Pixel groß. Für Service Provider wird //kein// kleines Logo/Favicon benötigt. Für die Teilnahme in [[de:edugain|eduGAIN]] **muss** ein funktionierender Logo URL hnterlegt sein.
-  * Für jedes System werden mindestens 4 **Kontaktadressen** hinterlegt: Administrativer Kontakt, technischer Kontakt, Supportkontakt und Sicherheitskontakt. Grundsätzlich sollten hier Funktionsadressen angegeben werden, insbesondere beim Sicherheitskontakt (z.B. die Ihres CERTs). Wenn Ihre Einrichtung bzw. Firma nicht über eine solche Stelle verfügt, verwenden Sie die Adresse derjenigen, die bei Sicherheitsvorfällen ansprechbar sind. Achten Sie bitte darauf, dass die in der Metadatenverwaltung hinterlegten E-Mail-Adressen aktuell gehalten werden!
-  * Halten Sie Ihr X.509-Zertifikat für die SAML-basierte Kommunikation bereit. Die vollständigen Informationen zu diesen Zertifikaten finden Sie hier: [[https://doku.tid.dfn.de/de:certificates|https://doku.tid.dfn.de/de:certificates]]. Das Wichtigste in Kürze:
-      * IdPs verwenden Zertifikate der DFN-PKI.
-      * SPs dürfen DFN-PKI-Zertifikate (falls berechtigt), Zertifikate einer etablierten kommerziellen CA oder selbstsignierte Zertifikate verwenden.
-      * Die SSL-Zertifikate dürfen eine **Gültigkeit von 39 Monaten** nicht überschreiten.
-      * CA-Zertifikate, die mit dem **Signaturalgorithmus** sha1 erstellt wurden, akzeptieren wir aus Sicherheitsgründen nicht mehr (gilt nicht für selbst-signierte Zertifikate). So können Sie dies am Beispiel von openssl prüfen:
+===== Entity ID =====
+A unique string that globally distinguishes this entity from all other entities. The Entity ID is an absolute https-scheme URL. The federation participant has to make sure they are entitled to use the domain in the URL. See the [[en:normative_documents|Metadata Registration Practice Statement]] for details.
+**Examples:**
+  * IdP: https://idp.example.org/idp/shibboleth
+  * SP: https://sp.example.org/shibboleth
+**Remark:** With Shibboleth IdPs, the Entity ID is configured in ''./conf/idp.properties'', with Shibboleth SPs in ''/etc/shibboleth/shibboleth2.xml''.
+**Important: You cannot change an Entity ID in this form!** Doing so results in a copy of the whole entry being created. The old entity stays unless you explicitly delete it.
+===== Display name =====
+The element ''<mdui:DisplayName>'' contains a human-readable name of the service. Identity Providers' display names are shown in the selection menu of discovery services. Service Providers' display names are displayed on an IdP's login page and in the user consent dialogue. Ampersands must be entered as ''&amp;'' !
+===== Description =====
+A short description for the public DFN-AAI directory and other services extracting human-readable information from federation metadata. Ampersands must be entered as ''&amp;'' !
+===== Information URL =====
+Link to a page containing additional information about the service, resp. - with IdPs - about the organization.
+===== Privacy Statement URL =====
+Link to the privacy statement of the IdP or SP. **For Service Providers the field is mandatory.** If you only have a privacy statement in either English or German you can leave the second field blank.
+===== Logo =====
+Link to the logo and favicon if the organization resp. the service provider. An IdP favicon is displayed in the selection menu of discovery services. An SP logo is shown on IdP‘s login pages. SP metadata do not require a favicon. Requirements and recommendations:
+  * <del>New logos and favicons must be uploaded to and served by the metadata administration tool.</del> Logos should be 64 to 240 px wide and 48 to 180 px high.
+  * Favicons should have a size of 16 x 16 px.
+  * A transparent background is recommended.
+  *
+Also see the recommendations in the [[https://shibboleth.atlassian.net/wiki/spaces/SHIB2/pages/2578448519/IdPMDUIRecommendations|Shibboleth Wiki]].
+  * Please submit at least four **contacts** per system: An administrative contact, a technical one, a support contact and a security contact. We recommend to use non-personalized email addresses, especially for the security contact which could be your Computer Emergency Response Team. If you do not have anything like that, put in the contact that responds in case of security incidents. Please make sure to keep those email addresses up to date!
+  * Have your X.509 **certificate** for SAML-based communication ready. We have an [[en:certificates|information page about certificates]]. The most important items are:
+    * IdPs use DFN-PKI certificates. As of July 2019, only the **second generation of DFN-PKI certificates** will be valid.
+    * SPs can use DFN-PKI certificates (if entitled), certificates issued by established commercial CAs, or self-signed certificates.
+    * SSL certificates must not exceed a **validity of 39 months**.
+    * For security reasons, we do no longer accept certificates that were created with a sha1 **signature algorithm**. Here is how you can check this, e.g. with openssl:
 <code>
 openssl x509 -in example.org.crt.pem -noout -text | grep "Signature Algorithm" | uniq
 </code>
-  * Für Service Provider, optional: Falls der betreffende SP Attribute Queries und Artifact Queries ausführen können soll, sollten SP-Zertifikate mit dem **Client-Attribut** ausgestattet sein. Bei der DFN-PKI sorgt das Profil "Shibboleth-IdP/-SP" dafür, dass es dabei ist. Wenn Sie nicht die DFN-PKI nutzen, können Sie sich an der [[https://www.switch.ch/aai/support/certificates/embeddedcerts-requirements-appendix-a/|Dokumentation unserer Schweizer Kolleg*innen]] orientieren. Wenn Sie keine Attribute Queries und Artifact Queries brauchen, dann deaktivieren Sie bitte dieses Feature in der SP-Konfiguration. Beim Shibboleth SP muss das Element <AttributeResolver type="Query"> auszukommentiert und shibd erneut gestartet werden. Außerdem sollten Sie den Binding URL für Artifact Resolution Services sowie alle SOAP-Bindings (Logout) entfernen. So überprüfen Sie Ihr SP-Zertifikat am Beispiel von openssl:
+  * For Service Providers: If you need your SP to execute **Attribute Queries or Artifact Queries**, your SP certificate should have the client attribute set. If you request your certificate from DFN-PKI, please use the template called "Shibboleth IdP/-SP". If you do not use DFN-PKI certificates, have a look at [[https://www.switch.ch/aai/support/certificates/embeddedcerts-requirements-appendix-a/|our Swiss colleagues' documentation]]. If you do not need any Attribute/Artifact Queries, please deactivate the feature in your SP. With a Shibboleth SP you'd have to remove the element <AttributeResolver type="Query"> and to restart shibd. Moreover, you should remove the Binding URL for Artifact Resolution Services and all SOAP Bindings (Logout). Here is how you check if your certificate has the client attribute set with openssl:
 <code>
 openssl x509 -in example.org.crt.pem -noout -text | grep -A 1 "X509v3 Extended Key Usage"
@@ Line 44: / Line 67: @@
                 TLS Web Client Authentication, TLS Web Server Authentication
 </code>
+  * This is what end points for **Assertion Consumer Services** look like for Shibboleth SPs:<code>Location: https://example.org:8443/Shibboleth.sso/SAML2/POST
+Binding: urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST
+Index: 1</code><code>Location: https://example.org:8443/Shibboleth.sso/SAML2/POST-SimpleSign
+Binding: urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST-SimpleSign
+Index: 2</code><code>Location: https://example.org:8443/Shibboleth.sso/SAML2/Artifact
+Binding: urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Artifact
+Index: 3</code><code>Location: https://example.org:8443/Shibboleth.sso/SAML2/ECP
+Binding: urn:oasis:names:tc:SAML:2.0:bindings:PAOS
+Index: 4</code>
+  * Put your new system into our **test federation** DFN-AAI-Test. Use our [[en:functionaltest|public test systems]] to check if the transfer of attributes works correctly.
+{{:en:metadata_admin_tool:test-en.png?600|}}
+  * If it does, submit a request to join DFN-AAI. A ticket is then opened on our side and you will hear from us.
-  * Nehmen Sie Ihr System in die **Testföderation** DFN-AAI-Test auf. Nutzen Sie unsere [[de:functionaltest|öffentlichen Testsysteme]], um zu schauen, ob erfolgreich Attribute übertragen werden.
+{{:en:metadata_admin_tool:in-progress.png?600|}}
-{{:de:metadata_admin_tool:test-de.png?600|}}
-  * Wenn das klappt, beantragen Sie die Aufnahme in die Produktivföderation.
-{{:de:metadata_admin_tool:in-bearbeitung.png?600|}}
+{{tag>mdvdoku}}

needs-update