Dokumentation DFN-AAI, DFN-PKI und eduroam

acme - [Zertifikate mit IP-Adressen (IPv4/IPv6)]

Reimer Karlsen-Masur (karlsen-masur@dfn-cert.de@undisclosed.example.com) — 2026-09-18T08:51:42+00:00

2026/09/18 08:21		aktuell
Zeile 81:		Zeile 81:
	==== Zertifikate mit IP-Adressen (IPv4/IPv6) ====		==== Zertifikate mit IP-Adressen (IPv4/IPv6) ====

-	HARICA kann via ACME mit Domain-Control-Validierungs-Methode (DCV) ''ACME-HTTP-01'' Serverzertifikate mit IP-Adressen ausstellen. Für die IP-Adresse wird immer eine ''ACME-HTTP-01''-Domain-Control-Validierungs-Challenge an Port 80 der IP-Adresse durchgeführt. Bei HARICA muss für/in ein Serverzertifikat mit einer IP-Adresse immer auch mindestens ein FQDN mit beantragt/aufgenommen werden. Es werden IPv4 und IPv6 Adressen unterstützt. Z.B. unterstützt ''certbot'' IP-Adressen in Zertifikaten ab Version 5.5.0 und acme.sh ab Version 3.1.4. Beim acme.sh Aufruf ist die Reihenfolge der ''--domain'' Optionen relevant: Zuerst die IP-Adresse(n) dann der/die FQDN(s) angeben.	+	HARICA kann via ACME mit Domain-Control-Validierungs-Methode (DCV) ''ACME-HTTP-01'' Serverzertifikate mit IP-Adressen ausstellen. Für diese IP-Adressen wird immer eine ''ACME-HTTP-01''-Domain-Control-Validierungs-Challenge an Port 80 der jeweiligen IP-Adresse durchgeführt. Bei HARICA muss für/in ein Serverzertifikat mit einer IP-Adresse immer auch mindestens ein FQDN mit beantragt/aufgenommen werden. Die aufzunehmenden IP-Adressen werden einfach beim Zertifikatsbezug über den verwendeten ACME-Client mit angefragt und müssen nicht vorab bei HARICA eingetragen werden.
		+
		+	Es werden IPv4 und IPv6 Adressen unterstützt. Z.B. unterstützt ''certbot'' die Beantragung von IP-Adressen in Zertifikaten ab Version 5.3.0 und acme.sh ab Version 3.1.4. Beim acme.sh Aufruf ist die Reihenfolge der ''--domain'' Optionen relevant: Zuerst die IP-Adresse(n) dann der/die FQDN(s) angeben.

	In der Regel werden nur in seltenen technischen Spezialfällen Serverzertifikate mit IP-Adressen benötigt.		In der Regel werden nur in seltenen technischen Spezialfällen Serverzertifikate mit IP-Adressen benötigt.

global

Jürgen Brauckmann (brauckmann@dfn-cert.de@undisclosed.example.com) — 2026-09-18T06:35:01+00:00

2026/03/02 11:52		aktuell
Zeile 11:		Zeile 11:
	Dies Seite enthält die in Abschnitt 2.2 der Zertifizierungsrichtlinie der DFN-PKI - Sicherheitsniveau Global - genannten Informationen bzw. Verweise darauf:		Dies Seite enthält die in Abschnitt 2.2 der Zertifizierungsrichtlinie der DFN-PKI - Sicherheitsniveau Global - genannten Informationen bzw. Verweise darauf:

-	* {{de:dfnpki:doc:archiv:dfn-pki_cp_v16.pdf\|Zertifizierungsrichtlinie (CP) der DFN-PKI, Sicherheitsniveau "Global", Version 16}}	+	* {{de:dfnpki:doc:archiv:dfn-pki_cp_v17.pdf\|Zertifizierungsrichtlinie (CP) der DFN-PKI, Sicherheitsniveau "Global", Version 17}}
-	* {{de:dfnpki:doc:archiv:dfn-pki_cp_v16-en.pdf\|(authoritative English version)}}	+	* {{de:dfnpki:doc:archiv:dfn-pki_cp_v17-en.pdf\|(authoritative English version)}}
-	* {{de:dfnpki:doc:archiv:dfn-pki_cps_v16.pdf\|Erklärung zum Zertifizierungsbetrieb (CPS) der DFN-PKI, Sicherheitsniveau "Global", Version 16}}	+	* {{de:dfnpki:doc:archiv:dfn-pki_cps_v17.pdf\|Erklärung zum Zertifizierungsbetrieb (CPS) der DFN-PKI, Sicherheitsniveau "Global", Version 17}}
-	* {{de:dfnpki:doc:archiv:dfn-pki_cps_v16-en.pdf\|(authoritative English version)}}	+	* {{de:dfnpki:doc:archiv:dfn-pki_cps_v17-en.pdf\|(authoritative English version)}}
	* [[https://corporate-pki.telekom.de/GlobalRootClass2.html\|Zertifikat der "T-Telesec Global Root Class 2" und dessen Fingerabdruck]]		* [[https://corporate-pki.telekom.de/GlobalRootClass2.html\|Zertifikat der "T-Telesec Global Root Class 2" und dessen Fingerabdruck]]
	* [[:de:dfnpki:dfnpki_root_certs#dfn-pki_global_g2\|Zertifikate der DFN-Verein Certification Authority 2 und deren Sub-CAs mit ihren Fingerabdrücken]]		* [[:de:dfnpki:dfnpki_root_certs#dfn-pki_global_g2\|Zertifikate der DFN-Verein Certification Authority 2 und deren Sub-CAs mit ihren Fingerabdrücken]]

servercerts - [Zertifikattypen und Antragsstellung]

Reimer Karlsen-Masur (karlsen-masur@dfn-cert.de@undisclosed.example.com) — 2026-09-17T16:05:39+00:00

2025/09/12 15:20		aktuell
Zeile 74:		Zeile 74:

	Um den Aufwand auf HARICA-Seite zu vermindern, bitten wir drum, Experimente nicht mit dem Schlüsselwort "harica" durchzuführen.		Um den Aufwand auf HARICA-Seite zu vermindern, bitten wir drum, Experimente nicht mit dem Schlüsselwort "harica" durchzuführen.
		+
		+	=== Serverzertifikate mit IP-Adressen (IPv4/IPv6) ===
		+
		+	HARICA unterstützt den Bezug von Zertifikaten mit IP-Adressen via [[acme\|ACME]].
		+
		+

deprecated - Hinweis zum Work-in-progress

Jan-Frederik Rieckers (rieckers@dfn.de@undisclosed.example.com) — 2026-09-14T11:44:59+00:00

2026/09/14 11:44		aktuell
Zeile 217:		Zeile 217:
	[...]		[...]
	}		}
		+
	client tld1.eduroam.de {		client tld1.eduroam.de {
	[...]		[...]
Zeile 223:		Zeile 224:
	[...]		[...]
	}		}
		+
	realm * {		realm * {
	server tld1.eduroam.de		server tld1.eduroam.de
Zeile 245:		Zeile 247:
	[...]		[...]
	}		}
		+
	client tld1.eduroam.de {		client tld1.eduroam.de {
	[...]		[...]
Zeile 254:		Zeile 257:
	[...]		[...]
	}		}
		+
	realm * {		realm * {
	server tld1.eduroam.de		server tld1.eduroam.de

start

Jan-Frederik Rieckers (rieckers@dfn.de@undisclosed.example.com) — 2026-09-14T10:54:14+00:00

2025/04/24 08:17		aktuell
Zeile 7:		Zeile 7:

	Viele Informationen zum Dienst eduroam, insbesondere zur eduroam Infrastrukur, z.B. Wartung, neue Entwicklungen, Ausfälle werden zeitnah über die Mailing Liste dfnroaming@listserv.dfn.de		Viele Informationen zum Dienst eduroam, insbesondere zur eduroam Infrastrukur, z.B. Wartung, neue Entwicklungen, Ausfälle werden zeitnah über die Mailing Liste dfnroaming@listserv.dfn.de
-	an eduroam Admins gepostet. eduroam Admins werden daher gebeten, über [[https://www.listserv.dfn.de/\|ListServ]] die Mailing Liste dfnroaming@listserv.dfn.de zu abonnieren, um informiert zu bleiben.	+	an eduroam Admins gepostet. eduroam Admins werden daher gebeten, über [[https://www.listserv.dfn.de/\|ListServ]] die Mailing Liste [[https://www.listserv.dfn.de/sympa/info/dfnroaming\|dfnroaming@listserv.dfn.de]] zu abonnieren, um informiert zu bleiben.

	Für Fragen und Anregungen kontaktieren Sie bitte das eduroam Team ([[eduroam@dfn.de\|eduroam@dfn.de]]).		Für Fragen und Anregungen kontaktieren Sie bitte das eduroam Team ([[eduroam@dfn.de\|eduroam@dfn.de]]).

policyarchiv

Jürgen Brauckmann (brauckmann@dfn-cert.de@undisclosed.example.com) — 2026-09-03T15:33:08+00:00

2026/06/18 16:01		aktuell
Zeile 12:		Zeile 12:

	^Datum ^Version ^CP ^CPS ^		^Datum ^Version ^CP ^CPS ^
		+	\|18.09.2026 \| 17\|{{de:dfnpki:doc:archiv:dfn-pki_cp_v17-en.pdf\|authoritative English version}}, {{de:dfnpki:doc:archiv:dfn-pki_cp_v17.pdf\|CP}}, {{de:dfnpki:doc:archiv:dfn-pki_cp_v17_redline.pdf\|Redline}} \|{{de:dfnpki:doc:archiv:dfn-pki_cps_v17-en.pdf\|authoritative English version}}, {{de:dfnpki:doc:archiv:dfn-pki_cps_v17.pdf\|CPS}}, {{de:dfnpki:doc:archiv:dfn-pki_cps_v17_redline.pdf\|Redline}} \|
	\|26.11.2025 \| 16\|{{de:dfnpki:doc:archiv:dfn-pki_cp_v16-en.pdf\|authoritative English version}}, {{de:dfnpki:doc:archiv:dfn-pki_cp_v16.pdf\|CP}}, {{de:dfnpki:doc:archiv:dfn-pki_cp_v16_redline.pdf\|Redline}} \|{{de:dfnpki:doc:archiv:dfn-pki_cps_v16-en.pdf\|authoritative English version}}, {{de:dfnpki:doc:archiv:dfn-pki_cps_v16.pdf\|CPS}}, {{de:dfnpki:doc:archiv:dfn-pki_cps_v16_redline.pdf\|Redline}} \|		\|26.11.2025 \| 16\|{{de:dfnpki:doc:archiv:dfn-pki_cp_v16-en.pdf\|authoritative English version}}, {{de:dfnpki:doc:archiv:dfn-pki_cp_v16.pdf\|CP}}, {{de:dfnpki:doc:archiv:dfn-pki_cp_v16_redline.pdf\|Redline}} \|{{de:dfnpki:doc:archiv:dfn-pki_cps_v16-en.pdf\|authoritative English version}}, {{de:dfnpki:doc:archiv:dfn-pki_cps_v16.pdf\|CPS}}, {{de:dfnpki:doc:archiv:dfn-pki_cps_v16_redline.pdf\|Redline}} \|
	\|29.07.2025 \| 15\|{{de:dfnpki:doc:archiv:dfn-pki_cp_v15-en.pdf\|authoritative English version}}, {{de:dfnpki:doc:archiv:dfn-pki_cp_v15.pdf\|CP}}, {{de:dfnpki:doc:archiv:dfn-pki_cp_v15_redline.pdf\|Redline}} \|{{de:dfnpki:doc:archiv:dfn-pki_cps_v15-en.pdf\|authoritative English version}}, {{de:dfnpki:doc:archiv:dfn-pki_cps_v15.pdf\|CPS}}, {{de:dfnpki:doc:archiv:dfn-pki_cps_v15_redline.pdf\|Redline}} \|		\|29.07.2025 \| 15\|{{de:dfnpki:doc:archiv:dfn-pki_cp_v15-en.pdf\|authoritative English version}}, {{de:dfnpki:doc:archiv:dfn-pki_cp_v15.pdf\|CP}}, {{de:dfnpki:doc:archiv:dfn-pki_cp_v15_redline.pdf\|Redline}} \|{{de:dfnpki:doc:archiv:dfn-pki_cps_v15-en.pdf\|authoritative English version}}, {{de:dfnpki:doc:archiv:dfn-pki_cps_v15.pdf\|CPS}}, {{de:dfnpki:doc:archiv:dfn-pki_cps_v15_redline.pdf\|Redline}} \|

oidc-proxy

Wolfgang Pempe (wolfgang@dfn.de@undisclosed.example.com) — 2026-09-03T11:13:22+00:00

2026/09/01 12:00		aktuell
Zeile 44:		Zeile 44:

	Registrierung\\		Registrierung\\
-	Dynamic Client Registration wird nicht unterstützt. Wenden Sie sich zur Registrierung des Clients bzw. der betreffenden Relying-Party-Instanz bitte an das DFN-AAI Team ([[hotline@aai.dfn.de\|hotline@aai.dfn.de]]), das - nach Erledigung der vertrags- und datenschutzrechtlichen Fragen - die Registrierung vornimmt und der RP-Instanz eine ''client_id'' sowie ein ''client_secret'' zuweist. Hierfür wird pro Client/RP mindestens ein ''redirect_uri'' benötigt.	+	Dynamic Client Registration wird nicht unterstützt. Wenden Sie sich zur Registrierung des Clients bzw. der betreffenden Relying-Party-Instanz bitte an das DFN-AAI Team ([[hotline@aai.dfn.de\|hotline@aai.dfn.de]]), das - nach Erledigung der vertrags- und datenschutzrechtlichen Fragen (Auftragsverarbeitung) - die Registrierung vornimmt und der RP-Instanz eine ''client_id'' sowie ein ''client_secret'' zuweist. Hierfür wird pro Client/RP mindestens ein ''redirect_uri'' benötigt.

	Weitere Angaben: Bitte teilen Sie im Rahmen der Registrierung die vom betreffenden Dienst benötigten Claims mit - siehe unten. Weiterhin bitten wir um die Angaben für die oben stehende [[de:shibidp:oidc-proxy#liste_der_angeschlossenen_dienste\|Liste der angeschlossenen Dienste]].		Weitere Angaben: Bitte teilen Sie im Rahmen der Registrierung die vom betreffenden Dienst benötigten Claims mit - siehe unten. Weiterhin bitten wir um die Angaben für die oben stehende [[de:shibidp:oidc-proxy#liste_der_angeschlossenen_dienste\|Liste der angeschlossenen Dienste]].

usecases

Wolfgang Pempe (wolfgang@dfn.de@undisclosed.example.com) — 2026-09-02T12:51:54+00:00

2021/05/02 13:12		aktuell
Zeile 2:		Zeile 2:
	~~NOTOC~~		~~NOTOC~~
	(zurück zur [[de:aai:eduid:start\|Übersicht]])		(zurück zur [[de:aai:eduid:start\|Übersicht]])
-	{{INLINETOC 2}}

	<callout type="primary" title="Leitfragen">		<callout type="primary" title="Leitfragen">

dfn-pki_cps_v17_redline.pdf - angelegt