Dokumentation DFN-AAI, DFN-PKI und eduroam

config-attributes-nfdi-aai

Wolfgang Pempe (wolfgang@dfn.de@undisclosed.example.com) — 2026-04-10T06:53:40+00:00

2026/04/09 20:10		aktuell
Zeile 26:		Zeile 26:
	</AttributeFilterPolicy>		</AttributeFilterPolicy>
	</file>		</file>
		+
		+	<callout type="primary" title="Hinweis">
		+	Falls die Freigabe der SAML Subject ID aus Datenschutzgründen problematisch ist, kann der betreffenden Identity-Provider alternativ an das [[de:aai:eduid:idpconfig\|edu-ID-System angeschlossen]] werden und auf diesem Weg mit den Community-AAI-Instanzen der NFDI kommunizieren. In diesem Fall generiert das edu-ID-System eine SAML Subject ID.
		+	</callout>

	{{tag>attributfreigabe nfdi nfdi-aai}}		{{tag>attributfreigabe nfdi nfdi-aai}}

zeitstempeldienst

Reimer Karlsen-Masur (karlsen-masur@dfn-cert.de@undisclosed.example.com) — 2026-04-02T13:05:31+00:00

2026/03/19 18:44		aktuell
Zeile 7:		Zeile 7:
	Wichtige anstehende Änderungen:		Wichtige anstehende Änderungen:
	* Ab dem 23.06.2026 wird das Signier-Zertifikat des Dienstes aus der DFN-Verein Community-PKI stammen, und nicht mehr aus der DFN-PKI Global		* Ab dem 23.06.2026 wird das Signier-Zertifikat des Dienstes aus der DFN-Verein Community-PKI stammen, und nicht mehr aus der DFN-PKI Global
-	* Ab dem 23.06.2026 kann der Dienst nur von IP-Adressen aus dem X-WiN und angeschlossenen AS genutzt werden.	+	* Ab dem 23.06.2026 kann der Dienst nur von IP-Adressen aus dem X-WiN und angeschlossenen autonomen Systemen (AS) genutzt werden.

	Bitte beachten: Eine Anfrage an den Zeitstempelserver durch Eingabe der URL im Webbrowser ist nicht möglich. Wenn Sie Fragen zum Zeitstempeldienst haben, lesen Sie bitte die [[:de:dfnpki:zeitstempeldienst:FAQ\|FAQ Zeitstempel]] oder wenden Sie sich an die [[de:dfnpki:contact\|Kontakte]].		Bitte beachten: Eine Anfrage an den Zeitstempelserver durch Eingabe der URL im Webbrowser ist nicht möglich. Wenn Sie Fragen zum Zeitstempeldienst haben, lesen Sie bitte die [[:de:dfnpki:zeitstempeldienst:FAQ\|FAQ Zeitstempel]] oder wenden Sie sich an die [[de:dfnpki:contact\|Kontakte]].

dfndienste - [eduroam]

Reimer Karlsen-Masur (karlsen-masur@dfn-cert.de@undisclosed.example.com) — 2026-03-30T09:13:11+00:00

2026/02/10 11:39		aktuell
Zeile 17:		Zeile 17:
	1. Für den RADIUS-Server, gegen den sich die User authentifizieren		1. Für den RADIUS-Server, gegen den sich die User authentifizieren

-	2. Für den radsecproxy, der die Kommunikation zur eduroam-Föderation übernimmt	+	2. Für den Radsecproxy, der die Kommunikation zur eduroam-Föderation übernimmt

	Für 1. ist es die eigene Entscheidung jeder Einrichtung, welche PKIs eingesetzt werden. Denkbar sind öffentlich vertraute PKIs wie GÉANT TCS, eigene interne PKIs, DFN-Verein Community PKI o.ä. . Die eingesetzte PKI muss in der Regel auf den Endgeräten Ihrer Nutzenden konfiguriert werden, so dass ein Wechsel gegebenenfalls große Auswirkungen hat. Öffentlich vertraute PKIs machen erfahrungsgemäß am wenigsten Schwierigkeiten auf den Endgeräten der Nutzenden.		Für 1. ist es die eigene Entscheidung jeder Einrichtung, welche PKIs eingesetzt werden. Denkbar sind öffentlich vertraute PKIs wie GÉANT TCS, eigene interne PKIs, DFN-Verein Community PKI o.ä. . Die eingesetzte PKI muss in der Regel auf den Endgeräten Ihrer Nutzenden konfiguriert werden, so dass ein Wechsel gegebenenfalls große Auswirkungen hat. Öffentlich vertraute PKIs machen erfahrungsgemäß am wenigsten Schwierigkeiten auf den Endgeräten der Nutzenden.

-	Für 2. können ausschließlich Zertifikate aus der speziellen eduroam CA zum Einsatz kommen. Die radsecproxy müssen mit Zertifikate aus der eduroam CA ausgestattet werden.	+	Für 2. können ausschließlich Zertifikate aus der speziellen eduroam CA zum Einsatz kommen. Die Radsecproxy müssen mit Zertifikate aus der eduroam CA ausgestattet werden.

-	Informationen zur eduroam CA und den Antragswegen finden Sie unter [[https://doku.tid.dfn.de/de:eduroam:eduroam-ca#wie_wird_ein_eduroam_ca_zertifikat_beantrag]]	+	Informationen zur eduroam CA und den Antragswegen finden Sie unter [[https://doku.tid.dfn.de/de:eduroam:eduroam-ca#beantragung_eines_zertifikats]]

-	GÉANT TCS Zertifikate sind nicht für das Einsatzszenario 2. radsecproy nutzbar.	+	GÉANT TCS Zertifikate sind nicht für das Einsatzszenario "2. Radsecproxy" nutzbar.

	====DFN-AAI====		====DFN-AAI====

fehlermeldungen - Neue Fehlermeldungen

Jan-Frederik Rieckers (rieckers@dfn.de@undisclosed.example.com) — 2026-03-26T15:26:56+00:00

2026/03/24 16:56		aktuell
Zeile 16:		Zeile 16:
	Ursache: Dieser Fehler deutet auf ein fehlendes Zertifikat hin.		Ursache: Dieser Fehler deutet auf ein fehlendes Zertifikat hin.

-	Maßnahmen: Überprüfen Sie einmal alle Pfade im TLS-Block in der Datei 'radsecproxy.conf''	+	Maßnahmen: Überprüfen Sie einmal alle Pfade im TLS-Block in der Datei ''radsecproxy.conf''
		+
		+	----
		+
		+	''SSL: error:05800074:x509 certificate routines::key values mismatch''
		+
		+	Ursache: Das angegebene Zertifikat passt nicht zum angegebenen privaten Schlüssel.
		+
		+	Maßnahmen: Überprüfen Sie einmal die referenzierten Dateien im TLS-Block. Eventuell ist nach einem Zertifikatswechsel vergessen worden, auch den privaten Schlüssel auszutauschen.

emp - [Server]

Jan-Frederik Rieckers (rieckers@dfn.de@undisclosed.example.com) — 2026-03-24T11:44:20+00:00

2025/10/07 18:16		aktuell
Zeile 52:		Zeile 52:
	Vor der Erstellung der Realms müssen die Server registriert werden. Die Servernamen sind frei wählbar. In der Eingabemaske für die IP-Adresse können IPv4- und IPv6-Adressen eingegeben werden.		Vor der Erstellung der Realms müssen die Server registriert werden. Die Servernamen sind frei wählbar. In der Eingabemaske für die IP-Adresse können IPv4- und IPv6-Adressen eingegeben werden.

-	Der Server Domain Name (FQDN) wird auf seine Auflösung im DNS überprüft. Optional kann der Common Name oder der Subject Alternative Name in der erweiterten Zertifikat Namensvalidierung als regulärer Ausdruck angegeben werden.	+	Der Server Domain Name (FQDN) wird auf seine Auflösung im DNS überprüft. Es sollte grundsätzlich immer der FQDN verwendet werden.
		+
		+	Bitte nutzen Sie nur in absoluten Ausnahmefällen die Überprüfung mittels der erweiterten Zertifikatsüberprüfung.

radsecproxy

Jan-Frederik Rieckers (rieckers@dfn.de@undisclosed.example.com) — 2026-03-24T11:04:41+00:00

2026/03/10 09:50		aktuell
Zeile 13:		Zeile 13:
	Die Verbindung zum Föderationsproxy wird über TLS abgesichert. Hierfür benötigt Radsecproxy ein Zertifikat, ebenso müssen die Zertifikate der Gegenstelle überprüft werden. Da radsecproxy in der Regel unter dem User-Account ''%%radsecproxy%%'' läuft, empfiehlt es sich, einen neuen Ordner ''%%/etc/radsecproxy%%'' anzulegen, auf dem der ''%%radsecproxy%%''-User entsprechende Leserechte besitzt.		Die Verbindung zum Föderationsproxy wird über TLS abgesichert. Hierfür benötigt Radsecproxy ein Zertifikat, ebenso müssen die Zertifikate der Gegenstelle überprüft werden. Da radsecproxy in der Regel unter dem User-Account ''%%radsecproxy%%'' läuft, empfiehlt es sich, einen neuen Ordner ''%%/etc/radsecproxy%%'' anzulegen, auf dem der ''%%radsecproxy%%''-User entsprechende Leserechte besitzt.

-	<alert>Die CA wird vom DFN fest gesetzt. Soll die CA also gewechselt werden, muss das in Koordination mit dem DFN erfolgen.</alert>	+	<alert>Es muss zwingend ein Zertifikat aus der eduroam-CA verwendet werden. Zertifikate aus TCS (Harica) oder anderen Quellen akzeptieren wir nicht.</alert>

	==== eduroam-CA ====		==== eduroam-CA ====

eduroam-ca

Jan-Frederik Rieckers (rieckers@dfn.de@undisclosed.example.com) — 2026-03-20T10:21:56+00:00

2026/03/12 12:50		aktuell
Zeile 112:		Zeile 112:
	Grundsätzlich kann auch ein Dienstleister die Zertifikate beantragen. Wenn der Dienstleister allerdings nicht bei uns als Ansprechpartner hinterlegt ist, benötigen wir noch eine Bestätigung der Einrichtung, dass der Dienstleister die entsprechenden Zertifikate beantragen darf.		Grundsätzlich kann auch ein Dienstleister die Zertifikate beantragen. Wenn der Dienstleister allerdings nicht bei uns als Ansprechpartner hinterlegt ist, benötigen wir noch eine Bestätigung der Einrichtung, dass der Dienstleister die entsprechenden Zertifikate beantragen darf.

		+	Ich habe den Antragsweg über Schlüsselerzeugung im Browser gewählt. Wie komme ich dann an alle benötigten Dateien?
		+
		+	Über die Seite [[https://pki.pca.dfn.de/dfn-pki/eduroam-ca/0/certificates]] können Sie mithilfe des JSON, das Sie bei Beantragung erhalten haben, ihr Zertifikat inklusive des privaten Schlüssels abrufen. Laden Sie hierzu die Dateien als ''.pem'' herunter.
		+	In der pem-Datei sind dann der private Schlüssel (verschlüsselt mit dem vergebenen Passwort), das Zertifikat und das CA-Zertifikat enthalten.
		+	Sie können die jeweiligen Teile dann in einzelne Dateien aufteilen. Vergessen Sie bei der radsecproxy-Konfiguration nicht die Option ''CertificateKeyPassword''.

faq

Juergen Brauckmann (brauckmann@dfn-cert.de@undisclosed.example.com) — 2026-03-19T17:48:55+00:00

2026/03/19 18:48		aktuell
Zeile 11:		Zeile 11:

	Die Bibliothek BouncyCastle, die für Java und C# erhältlich ist, bietet ebenfalls Unterstützung für Zeitstempel.		Die Bibliothek BouncyCastle, die für Java und C# erhältlich ist, bietet ebenfalls Unterstützung für Zeitstempel.
		+
		+	Ab dem 23.06.2026 kann der Dienst nur noch von IP-Adressen aus dem X-WiN und angeschlossenen AS genutzt werden.

	===4. Wie kann das Zertifikat des Zeitstempelservers automatisch geprüft werden?===		===4. Wie kann das Zertifikat des Zeitstempelservers automatisch geprüft werden?===

start - [eduVPN im Pilotbetrieb im DFN]

Ralf Paffrath (paffrath@dfn.de@undisclosed.example.com) — 2026-03-19T11:59:27+00:00

2025/11/04 09:42		aktuell
Zeile 6:		Zeile 6:

	Weitere Informationen zu eduVPN stehen unter folgendem Link zum Abruf bereit: [[http://eduvpn.org\|hier]]!		Weitere Informationen zu eduVPN stehen unter folgendem Link zum Abruf bereit: [[http://eduvpn.org\|hier]]!
-	==== eduVPN im Pilotbetrieb im DFN ====	+	==== eduVPN im Regelbetrieb im DFN ====
-	Im Rahmen des laufenden Pilotprojekts eduVPN verfolgt der DFN-Verein das Ziel, den Nutzenden einen sicheren VPN-Zugang (Secure Internet Access) ins X-WIN (Backbone des DFN-Vereins) zu ermöglichen. Die Teilnahme am Pilotprojekt wird über den jeweiligen DFN-AAI Identity Provider (IdP) in den Einrichtungen konfiguriert. Der zugehörige DFN-AAI Service Provider (SP) ist über das eduVPN Portal eduvpn1.eduvpn.de erreichbar. Eine der Voraussetzungen für die Anmeldung am eduVPN Portal ist die sogenannte [[de:common_attributes#a17\|samlPairwiseID]], ein dauerhaftes Attribut, welches nicht neu vergeben werden darf und soll künftigt das funktionsanaloge, als deprecated geltende Attribut eduPersonTargetedID sowie die SAML2 persistent NameID (kein Attribut) ablösen.	+	Der DFN-Verein bietet mit eduVPN im Regelbetrieb einen sicheren VPN-Zugang (Secure Internet Access) ins X-WIN, das Backbone des Vereins. Die Teilnahme wird über den jeweiligen DFN-AAI Identity Provider (IdP) in den Einrichtungen konfiguriert. Der zugehörige DFN-AAI Service Provider (SP) ist über das eduVPN Portal eduvpn1.eduvpn.de erreichbar. Eine Voraussetzung für die Anmeldung am Portal ist die [[de:common_attributes#a17\|samlPairwiseID]], ein permanentes Attribut, das nicht neu vergeben werden darf. Es soll zukünftig das funktionsgleiche, aber als deprecated geltende Attribut eduPersonTargetedID sowie die SAML2 persistent NameID (kein Attribut) ersetzen.

	=== Kontakt ===		=== Kontakt ===

domains

Reimer Karlsen-Masur (karlsen-masur@dfn-cert.de@undisclosed.example.com) — 2026-03-19T11:21:04+00:00

2026/02/05 14:56		aktuell
Zeile 33:		Zeile 33:
	=== Sub-Domains ===		=== Sub-Domains ===

-	Sub-Domains (z.B. ''department.example.org'') müssen und können im HARICA-System grundsätzlich nicht hinzugefügt werden, wenn die Haupt-Domain bereits in der eigenen Organisation hinterlegt ist.	+	Sub-Domains (z.B. ''department.example.org'') müssen im HARICA-System grundsätzlich nicht zusätzlich hinzugefügt werden, wenn die Haupt-Domain bereits in der eigenen Organisation hinterlegt ist.

-	Es ist aber problemlos möglich, eine Base-Domain in Organisation A und eine Sub-Domain davon in Organisation B zu hinterlegen. Beide, Base-Domain und Sub-Domain, müssen unabhängig voneinander von den zugeordneten Einrichtungen validiert werden.	+	Es ist erlaubt, eine Base-Domain in Organisation A und eine Sub-Domain davon in Organisation B zu hinterlegen. Beide, Base-Domain und Sub-Domain, müssen unabhängig voneinander von den zugeordneten Einrichtungen validiert werden.

	=== E-Mail-Benachrichtigungen (Notifications) vor Ablauf einer Domain-Validierung ===		=== E-Mail-Benachrichtigungen (Notifications) vor Ablauf einer Domain-Validierung ===

anleitungen

Jan-Frederik Rieckers (rieckers@dfn.de@undisclosed.example.com) — 2026-03-12T12:30:23+00:00

2026/01/07 11:38		aktuell
Zeile 6:		Zeile 6:
	* [[de:eduroam:easyroam-anleitungen\|easyroam Anleitungen auf einem Blick]]		* [[de:eduroam:easyroam-anleitungen\|easyroam Anleitungen auf einem Blick]]
	* [[de:eduroam:easyroam-regelbetrieb\|Die weiche Migration zu easyroam im Regelbetrieb]]		* [[de:eduroam:easyroam-regelbetrieb\|Die weiche Migration zu easyroam im Regelbetrieb]]
-	* [[de:eduroam:eduroam-ca#wie_wird_ein_eduroam_ca_zertifikat_beantragt\|Wie wird ein eduroam CA Zertifikat beantragt?]]	+	* [[de:eduroam:eduroam-ca#beantragung_eines_zertifikats\|Wie wird ein eduroam CA Zertifikat beantragt?]]
	* [[de:shibidp:config-attributes-eduroam\|eduroam CAT Admin-Zugang (Selbstregistrierung)]]		* [[de:shibidp:config-attributes-eduroam\|eduroam CAT Admin-Zugang (Selbstregistrierung)]]

2026-01-22-automatisierung.pdf

Juergen Brauckmann (brauckmann@dfn-cert.de@undisclosed.example.com) — 2026-02-12T16:23:35+00:00

1769180037	aktuell

screenshot_2025-11-07_134745.png - angelegt

Ralf Paffrath (paffrath@dfn.de@undisclosed.example.com) — 2025-11-10T09:14:00+00:00

	aktuell

screenshot_2025-11-07_134716.png - angelegt

Ralf Paffrath (paffrath@dfn.de@undisclosed.example.com) — 2025-11-10T09:08:06+00:00

	aktuell

screenshot_2025-11-07_134616.png - angelegt

Ralf Paffrath (paffrath@dfn.de@undisclosed.example.com) — 2025-11-10T09:03:26+00:00

	aktuell

screenshot_2025-11-07_134502.png - angelegt

Ralf Paffrath (paffrath@dfn.de@undisclosed.example.com) — 2025-11-10T08:59:37+00:00

	aktuell

screenshot_2025-11-07_134317.png - angelegt

Ralf Paffrath (paffrath@dfn.de@undisclosed.example.com) — 2025-11-10T08:49:13+00:00

	aktuell

easyroam_extract.sh

Ralf Paffrath (paffrath@dfn.de@undisclosed.example.com) — 2025-11-06T14:10:26+00:00

1762170993	aktuell

screenshot_2025-10-24_at_17.15.05.png - angelegt

Ralf Paffrath (paffrath@dfn.de@undisclosed.example.com) — 2025-10-24T15:23:13+00:00

	aktuell

screenshot_2025-10-24_at_17.13.44.png - angelegt

Ralf Paffrath (paffrath@dfn.de@undisclosed.example.com) — 2025-10-24T15:20:09+00:00

	aktuell

2026/01/07 11:38		aktuell
Zeile 6:		Zeile 6:
	* [[de:eduroam:easyroam-anleitungen\|easyroam Anleitungen auf einem Blick]]		* [[de:eduroam:easyroam-anleitungen\|easyroam Anleitungen auf einem Blick]]
	* [[de:eduroam:easyroam-regelbetrieb\|Die weiche Migration zu easyroam im Regelbetrieb]]		* [[de:eduroam:easyroam-regelbetrieb\|Die weiche Migration zu easyroam im Regelbetrieb]]
-	* [[de:eduroam:eduroam-ca#wie_wird_ein_eduroam_ca_zertifikat_beantragt\|Wie wird ein eduroam CA Zertifikat beantragt?]]	+	* [[de:eduroam:eduroam-ca#beantragung_eines_zertifikats\|Wie wird ein eduroam CA Zertifikat beantragt?]]
	* [[de:shibidp:config-attributes-eduroam\|eduroam CAT Admin-Zugang (Selbstregistrierung)]]		* [[de:shibidp:config-attributes-eduroam\|eduroam CAT Admin-Zugang (Selbstregistrierung)]]