Dokumentation DFN-AAI, DFN-PKI und eduroam

faq

Reimer Karlsen-Masur (karlsen-masur@dfn-cert.de@undisclosed.example.com) — 2026-06-30T13:24:41+00:00

2026/04/29 13:44		aktuell
Zeile 15:		Zeile 15:
	===4. Wie kann das Zertifikat des Zeitstempelservers automatisch geprüft werden?===		===4. Wie kann das Zertifikat des Zeitstempelservers automatisch geprüft werden?===

-	Der DFN Zeitstempelserver verwendet bis 23.06.2026 ein Zertifikat der DFN-PKI Global, das im Adobe Acrobat nicht automatisch bekannt ist. Deshalb muss vor der ersten Nutzung des Zeitstempeldienste	+	Der DFN Zeitstempelserver verwendet ein Zertifikat der DFN-Verein Community-PKI. Die DFN-Verein Community-PKI ist in üblicher Anwendungs-Software nicht vorinstalliert und muss zunächst als vertrauenswürdige PKI hinzugefügt werden. Üblicherweise sollte es ausreichen, das Wurzelzertifikat in der Anwendungs-Software zu hinterlegen: https://doku.tid.dfn.de/de:dfnpki:dfnpki_root_certs#dfn-verein_community-pki
-	* die Zertifikatkette des Zeitstempelservers im Windows-Zertifikatspeicher installiert werden und	+
-	* die Windows-Integration von Zertifikaten in Adobe Acrobat aktiviert werden.	+
-		+
-	Ab der 23.06.2026 wird ein Zertifikat der DFN-Verein Community-PKI verwendet. Diese ist in üblicher Anwendungssoftware nicht vorinstalliert, und muss zunächst als vertrauenswürdige PKI hinzugefügt werden. Üblicherweise sollte es ausreichen, dass Wurzelzertifikat zu hinterlegen: https://doku.tid.dfn.de/de:dfnpki:dfnpki_root_certs#dfn-verein_community-pki	+

	===5. Wer kann den Zeitstempeldienst nutzen?===		===5. Wer kann den Zeitstempeldienst nutzen?===

zeitstempeldienst

Reimer Karlsen-Masur (karlsen-masur@dfn-cert.de@undisclosed.example.com) — 2026-06-30T13:19:23+00:00

2026/04/29 13:45		aktuell
Zeile 5:		Zeile 5:
	Der Zeitstempelserver ist zu erreichen unter: <code>https://zeitstempel.dfn.de/</code>		Der Zeitstempelserver ist zu erreichen unter: <code>https://zeitstempel.dfn.de/</code>

-	Wichtige anstehende Änderung: Ab dem 23.06.2026 wird das Signier-Zertifikat des Dienstes aus der DFN-Verein Community-PKI stammen, und nicht mehr aus der DFN-PKI Global.	+	Wichtige Änderung: Seit dem 23.06.2026 stammt das Signier-Zertifikat des Dienstes aus der DFN-Verein Community-PKI, und nicht mehr aus der DFN-PKI Global.

entity_attributes - [REFEDS Data Protection Code of Conduct (CoCo v.2)] Vorraussetzung für CoCo v.2 ist Sirtfi

Doreen Liebenau (liebenau@dfn.de@undisclosed.example.com) — 2026-06-30T12:04:58+00:00

2026/06/26 11:29		aktuell
Zeile 97:		Zeile 97:
	Registrierungskriterien:		Registrierungskriterien:
	* Für SPs gilt:		* Für SPs gilt:
		+	* Die Konformität mit Sirtfi ist gegeben und wird über das entsprechende Entity Attribut in den Metadaten des SPs publiziert
	* Liste der angeforderten Attribute stimmt mit den Angaben in den Datenschutzinformationen überein		* Liste der angeforderten Attribute stimmt mit den Angaben in den Datenschutzinformationen überein
	* Metadaten enthalten in englischer Sprachversion (d.h. xml:lang=„en“)		* Metadaten enthalten in englischer Sprachversion (d.h. xml:lang=„en“)

config-encryption - [Liste betroffener Service Provider]

Andreas Borm (borm@dfn.de@undisclosed.example.com) — 2026-06-29T07:46:50+00:00

2026/06/17 15:51		aktuell
Zeile 45:		Zeile 45:
	* Hirzel: https://elibrary.hirzel.de		* Hirzel: https://elibrary.hirzel.de
	* Hogrefe E-Library: [[https://elibrary.hogrefe.de\|https://elibrary.hogrefe.de]]		* Hogrefe E-Library: [[https://elibrary.hogrefe.de\|https://elibrary.hogrefe.de]]
-	* INDIGO IAM: [[https://iam-eurolabs.ijclab.in2p3.fr]]	+	* INDIGO IAM: [[https://iam-eurolabs.ijclab.in2p3.fr/iam-login]]
	* IOPScience Online Services: [[https://ticket.iop.org/shibboleth\|https://ticket.iop.org/shibboleth]]		* IOPScience Online Services: [[https://ticket.iop.org/shibboleth\|https://ticket.iop.org/shibboleth]]
	* Jobteaser-SPs (alle Tenant-SPs)		* Jobteaser-SPs (alle Tenant-SPs)

dfn-verein_community_pki_cps.pdf

Juergen Brauckmann (brauckmann@dfn-cert.de@undisclosed.example.com) — 2026-06-22T05:53:09+00:00

1685720758	aktuell

dfn-verein_community-pki_cps_v2_redline.pdf

Juergen Brauckmann (brauckmann@dfn-cert.de@undisclosed.example.com) — 2026-06-18T16:21:07+00:00

1781799255	aktuell

dfn-verein_community-pki_cps_v2.pdf

Juergen Brauckmann (brauckmann@dfn-cert.de@undisclosed.example.com) — 2026-06-18T16:21:07+00:00

1781799255	aktuell

policyarchiv

Juergen Brauckmann (brauckmann@dfn-cert.de@undisclosed.example.com) — 2026-06-18T16:01:31+00:00

2026/06/18 18:01		aktuell
Zeile 6:		Zeile 6:

	^Datum ^Version ^CP ^		^Datum ^Version ^CP ^
-	\|22.06.2026 \|2 \|{{ :de:dfnpki:doc:archiv:dfn-verein_community-pki_cps_v2.pdf \|CPS}}{{ :de:dfnpki:doc:archiv:dfn-verein_community-pki_cps_v2_redline.pdf \|Redline}} \|	+	\|22.06.2026 \|2 \|{{ :de:dfnpki:doc:archiv:dfn-verein_community-pki_cps_v2.pdf \|CPS}}, {{ :de:dfnpki:doc:archiv:dfn-verein_community-pki_cps_v2_redline.pdf \|Redline}} \|
	\|15.03.2022 \|1 \|{{ :de:dfnpki:doc:archiv:dfn-verein_community_pki_cps_v1.pdf \|CPS}} \|		\|15.03.2022 \|1 \|{{ :de:dfnpki:doc:archiv:dfn-verein_community_pki_cps_v1.pdf \|CPS}} \|

start

Juergen Brauckmann (brauckmann@dfn-cert.de@undisclosed.example.com) — 2026-06-18T15:10:33+00:00

2024/09/16 14:36		aktuell
Zeile 7:		Zeile 7:
	* [[:de:dfnpki:tcs\|GÉANT Trusted Certificate Services]]: Öffentlich vertraute Zertifikate aus einer im Browser und Betriebsystemen verankerten PKI		* [[:de:dfnpki:tcs\|GÉANT Trusted Certificate Services]]: Öffentlich vertraute Zertifikate aus einer im Browser und Betriebsystemen verankerten PKI

-	* [[:de:dfnpki:dfnvereincommunitypki\|DFN-Verein Community PKI]]: Nicht verankerte PKI für Anwendungsfälle, bei denen die Nachteile der öffentlichenPKI nicht eingegangen werden sollen	+	* [[:de:dfnpki:dfnvereincommunitypki\|DFN-Verein Community-PKI]]: Nicht verankerte PKI für Anwendungsfälle, bei denen die Nachteile der öffentlichenPKI nicht eingegangen werden sollen

	* [[:de:dfnpki:interne_cas\|Betrieb von internen/lokalen CA]]		* [[:de:dfnpki:interne_cas\|Betrieb von internen/lokalen CA]]

api

Juergen Brauckmann (brauckmann@dfn-cert.de@undisclosed.example.com) — 2026-06-17T13:26:27+00:00

2026/02/03 18:04		aktuell
Zeile 2:		Zeile 2:

	HARICA bietet ein API an, mit dem Teile der Prozesse gesteuert werden können.		HARICA bietet ein API an, mit dem Teile der Prozesse gesteuert werden können.
		+
		+	Bitte nutzen Sie zum Entwickeln neuer Software die Staging-Umgebung. Informationen über einen Zugang erhalten Sie per Mail an ti-services@dfn-cert.de

	Dokumentation:		Dokumentation:

eduroam-ca - Genauere Erklärung der Zertifikatsprofile

Jan-Frederik Rieckers (rieckers@dfn.de@undisclosed.example.com) — 2026-06-15T09:29:27+00:00

2026/03/20 11:21		aktuell
Zeile 24:		Zeile 24:
	Die eduroam CA unterstützt verschiedene Zertifikatsprofile, die für verschiedene Anwendungsszenarien gedacht sind.		Die eduroam CA unterstützt verschiedene Zertifikatsprofile, die für verschiedene Anwendungsszenarien gedacht sind.

-	Für RadSec wird zwischen Server und Client unterschieden. Ein Radsec Client schickt Authentifizierungsanfragen in die eduroam-Föderation (Login von Gästen an der eigenen Einrichtung). Ein Radsec Server nimmt Authentifizierungsanfragen entgegen (Login von Einrichtungsmitgliedern, die gerade an einer anderen Einrichtung sind).	+	Für RadSec wird zwischen Server und Client unterschieden. Ein Radsec Client schickt Authentifizierungsanfragen in die eduroam-Föderation (Login von Gästen an der eigenen Einrichtung, bei easyroam-Teilnehmenden auch die Anfragen der eigenen Nutzenden). Ein Radsec Server nimmt Authentifizierungsanfragen entgegen (Login von Einrichtungsmitgliedern, die gerade an einer anderen Einrichtung sind).
	Im Normalfall sollte das Zertifikatsprofil RadSec Client Server ausgewählt werden. Die folgenden Profile können ausgewählt werden:		Im Normalfall sollte das Zertifikatsprofil RadSec Client Server ausgewählt werden. Die folgenden Profile können ausgewählt werden:

start

Wolfgang Pempe (wolfgang@dfn.de@undisclosed.example.com) — 2026-06-11T18:09:51+00:00

2026/06/10 07:13		aktuell
Zeile 1:		Zeile 1:
	====== DFN-AAI ======		====== DFN-AAI ======
-
-	<callout type="danger" title="Federation Metadata invalid, Metadata Admin Tool broken">
-
-	Since June 9, 20:05 (CEST), all DFN-AAI metadata files have a validity date (validUntil) that lies in the past.
-	The cause is most likely linked to the migration of the metadata administration system to a redundant site following a fibre cut. The DFN-CERT team responsible for operations has been informed and will rectify the error as soon as possible.
-
-	As the federation metadata is valid for 6 days, an Identity or Service Provider should continue to operate using the cached, older and valid version of the respective metadata file.
-	Please therefore avoid restarting the Identity and Service Providers you operate, including servlet containers!
-
-	The Metadata Admin Tool is completely broken - please don't use it!
-
-	We sincerely apologise for the incident and any inconvenience caused!
-	</callout>

	The English version of this knowledge base is still in development. If in doubt please don't hesitate to [[en:aai:contact\|contact us]].		The English version of this knowledge base is still in development. If in doubt please don't hesitate to [[en:aai:contact\|contact us]].

start

Wolfgang Pempe (wolfgang@dfn.de@undisclosed.example.com) — 2026-06-11T18:09:35+00:00

2026/06/10 07:11		aktuell
Zeile 2:		Zeile 2:

	==== Herzlich willkommen auf den Seiten der Online-Dokumentation der DFN-AAI ====		==== Herzlich willkommen auf den Seiten der Online-Dokumentation der DFN-AAI ====
-
-	<callout type="danger" title="Föderationsmetadaten ungültig, Metadatenverwaltung kaputt">
-
-	Seit dem 9.6.2026, 20:05 (CEST) führen sämtliche Metadatensätze der DFN-AAI ein Gültigkeitsdatum (validUntil), das in der Vergangenheit liegt.
-	Die Ursache hängt höchstwahrscheinlich mit der Migration der Metadatenverwaltung an einen redundanten Standort nach einem Fibre Cut zusammen. Das für den Betrieb zuständige Team des DFN-CERT ist informiert und wird den Fehler schnellstmöglich beheben.
-
-	Da die Föderationsmetadaten 6 Tage gültig sind, sollte ein Identity oder Service Provider anhand der gecachten, älteren und gültigen Version des jeweiligen Metadatensatzes weiterzuarbeiten.
-	Bitte vermeiden Sie daher einen Neustart der von Ihnen betriebenen Identity- und Service-Provider inklusive Servlet-Container!
-
-	Darüber hinaus ist die Metadatenverwaltung defekt - bitte nicht benutzen!
-
-	Wir bitten vielmals, den Vorfall und die damit verbundenen Unannehmlichkeiten zu entschuldigen!
-	</callout>

	Wenn Sie sich über den Dienst DFN-AAI informieren möchten, empfehlen wir Ihnen diese [[de:aai:about\|Einführung]].		Wenn Sie sich über den Dienst DFN-AAI informieren möchten, empfehlen wir Ihnen diese [[de:aai:about\|Einführung]].

contact - Mail-Adressen

Jan-Frederik Rieckers (rieckers@dfn.de@undisclosed.example.com) — 2026-06-03T16:35:30+00:00

2026/05/13 14:27		aktuell
Zeile 5:		Zeile 5:
	==== eduroam Support und Beratung ====		==== eduroam Support und Beratung ====
	Das eduroam Team ist zu den üblichen Geschäftszeiten erreichbar.		Das eduroam Team ist zu den üblichen Geschäftszeiten erreichbar.
-	\| E-Mail: \| [[eduroam@dfn.de\|eduroam@dfn.de]] [[easyroam@dfn.de\|easyroam@dfn.de]] [[eduroam-ca@dfn.de\|eduroam-ca@dfn.de]]	+	\| E-Mail: \| eduroam@dfn.de (für alle Fragen zu eduroam) \\ easyroam@dfn.de (für alle Fragen speziell zu easyroam) \\ eduroam-ca@dfn.de (Für Zertifikatsanträge und Fragen zur eduroam CA) \|
	\| E-Mail-Liste für eduroam Admins: \| [[https://www.listserv.dfn.de/sympa/info/dfnroaming\|dfnroaming@listserv.dfn.de]] - Bitte abonnieren!\|		\| E-Mail-Liste für eduroam Admins: \| [[https://www.listserv.dfn.de/sympa/info/dfnroaming\|dfnroaming@listserv.dfn.de]] - Bitte abonnieren!\|
	\| E-Mail-Liste für easyroam: \| [[https://www.listserv.dfn.de/sympa/info/easyroam\|easyroam@listserv.dfn.de]] - easyroam Einrichtungen bitte abonnieren und zusätzlich dfnroaming abonnieren! \|		\| E-Mail-Liste für easyroam: \| [[https://www.listserv.dfn.de/sympa/info/easyroam\|easyroam@listserv.dfn.de]] - easyroam Einrichtungen bitte abonnieren und zusätzlich dfnroaming abonnieren! \|

mdv_föderationen.png - angelegt

Doreen Liebenau (liebenau@dfn.de@undisclosed.example.com) — 2026-05-20T14:00:09+00:00

	aktuell

2026-01-22-automatisierung.pdf

Juergen Brauckmann (brauckmann@dfn-cert.de@undisclosed.example.com) — 2026-02-12T16:23:35+00:00

1769180037	aktuell

screenshot_2025-11-07_134745.png - angelegt

Ralf Paffrath (paffrath@dfn.de@undisclosed.example.com) — 2025-11-10T09:14:00+00:00

	aktuell

screenshot_2025-11-07_134716.png - angelegt

Ralf Paffrath (paffrath@dfn.de@undisclosed.example.com) — 2025-11-10T09:08:06+00:00

	aktuell

screenshot_2025-11-07_134616.png - angelegt

Ralf Paffrath (paffrath@dfn.de@undisclosed.example.com) — 2025-11-10T09:03:26+00:00

	aktuell

screenshot_2025-11-07_134502.png - angelegt

Ralf Paffrath (paffrath@dfn.de@undisclosed.example.com) — 2025-11-10T08:59:37+00:00

	aktuell

2024/09/16 14:36		aktuell
Zeile 7:		Zeile 7:
	* [[:de:dfnpki:tcs\|GÉANT Trusted Certificate Services]]: Öffentlich vertraute Zertifikate aus einer im Browser und Betriebsystemen verankerten PKI		* [[:de:dfnpki:tcs\|GÉANT Trusted Certificate Services]]: Öffentlich vertraute Zertifikate aus einer im Browser und Betriebsystemen verankerten PKI

-	* [[:de:dfnpki:dfnvereincommunitypki\|DFN-Verein Community PKI]]: Nicht verankerte PKI für Anwendungsfälle, bei denen die Nachteile der öffentlichenPKI nicht eingegangen werden sollen	+	* [[:de:dfnpki:dfnvereincommunitypki\|DFN-Verein Community-PKI]]: Nicht verankerte PKI für Anwendungsfälle, bei denen die Nachteile der öffentlichenPKI nicht eingegangen werden sollen

	* [[:de:dfnpki:interne_cas\|Betrieb von internen/lokalen CA]]		* [[:de:dfnpki:interne_cas\|Betrieb von internen/lokalen CA]]