Dokumentation DFN-AAI, DFN-PKI und eduroam

2025 - [Support]

Reimer Karlsen-Masur (karlsen-masur@dfn-cert.de@undisclosed.example.com) — 2026-10-08T14:28:49+00:00

2026/08/31 09:20		aktuell
Zeile 53:		Zeile 53:
	Es ist zu empfehlen, vor einer direkten Kontaktaufnahme zum HARICA-Support mit uns zu sprechen.		Es ist zu empfehlen, vor einer direkten Kontaktaufnahme zum HARICA-Support mit uns zu sprechen.

		+	===== Status und Verfügbarkeit der HARICA-Systeme =====
		+
		+	Monitoring der Systeme:
		+
		+	* [[https://status.harica.gr/\|aktueller HARICA-Status]]
		+	* [[https://availability.harica.gr/\|HARICA-Verfügbarkeit]]

requirements

Wolfgang Pempe (wolfgang@dfn.de@undisclosed.example.com) — 2026-10-07T12:01:06+00:00

2026/10/07 12:00		aktuell
Zeile 1:		Zeile 1:
	~~NOTOC~~		~~NOTOC~~
	====== Requirements and Best Practices ==========		====== Requirements and Best Practices ==========
-	{{INLINETOC 2}}	+
	===== Requirements for Participation in the DFN-AAI =====		===== Requirements for Participation in the DFN-AAI =====
	==== General Requirements ====		==== General Requirements ====

requirements

Wolfgang Pempe (wolfgang@dfn.de@undisclosed.example.com) — 2026-10-07T11:56:05+00:00

2026/10/07 11:55		aktuell
Zeile 9:		Zeile 9:
	* Zur Teilnahme an der DFN-AAI ist eine vertragliche Vereinbarung mit dem DFN-Verein erforderlich. Zur Anforderung der Vertragsunterlagen siehe unter [[de:registration\|Anmeldung]]. Die Art der vertraglichen Vereinbarung hängt von der Art der Teilnahme an der DFN-AAI ab:		* Zur Teilnahme an der DFN-AAI ist eine vertragliche Vereinbarung mit dem DFN-Verein erforderlich. Zur Anforderung der Vertragsunterlagen siehe unter [[de:registration\|Anmeldung]]. Die Art der vertraglichen Vereinbarung hängt von der Art der Teilnahme an der DFN-AAI ab:
	* Heimateinrichtungen / IdP-Betreiber: DFN-AAI ist ein Mehrwertdienst, d.h. als Voraussetzung für die Teilnahme an der DFN-AAI muss die betreffende Einrichtung einen [[https://dfn.de/wp-content/uploads/2022/01/Entgeltordnung-DFNInternet-und-Dienst-Paket-2_0721.pdf\|DFNInternet-Anschluss oder das 'Dienst-Paket']] buchen sowie den zugehörigen Rahmenvertrag unterzeichnen - hierfür wenden Sie sich bitte an [[dfn-internet@dfn.de\|dfn-internet@dfn.de]]. Ergänzend hierzu ist eine Dienstvereinbarung für die Teilnahme an der DFN-AAI abzuschließen. Diese enthält auch Vereinbarungen für den SP-Betrieb.		* Heimateinrichtungen / IdP-Betreiber: DFN-AAI ist ein Mehrwertdienst, d.h. als Voraussetzung für die Teilnahme an der DFN-AAI muss die betreffende Einrichtung einen [[https://dfn.de/wp-content/uploads/2022/01/Entgeltordnung-DFNInternet-und-Dienst-Paket-2_0721.pdf\|DFNInternet-Anschluss oder das 'Dienst-Paket']] buchen sowie den zugehörigen Rahmenvertrag unterzeichnen - hierfür wenden Sie sich bitte an [[dfn-internet@dfn.de\|dfn-internet@dfn.de]]. Ergänzend hierzu ist eine Dienstvereinbarung für die Teilnahme an der DFN-AAI abzuschließen. Diese enthält auch Vereinbarungen für den SP-Betrieb.
-	* Dienstanbieter / SP-Betreiber: SP-Agreement (englisch) – der betreffende Dienst muss inhaltlich für die an der DFN-AAI teilnehmenden Heimateinrichtungen relevant sein und zumindest perspektivisch von mehr als einer Heimateinrichtung genutzt werden. Ansonsten kann der Service-Provider ohne vertragliche Vereinbarung mit dem DFN-Verein in den lokalen Metadaten in den lokalen Metadaten der betreffenden Heimateinrichtung registriert werden (siehe unten). Ausnahmen hiervon müssen einvernehmlich geregelt werden.	+	* Dienstanbieter / SP-Betreiber: SP-Agreement (englisch) – der betreffende Dienst muss inhaltlich für die an der DFN-AAI teilnehmenden Heimateinrichtungen relevant sein und zumindest perspektivisch von mehr als einer Heimateinrichtung genutzt werden. Ansonsten kann der Service-Provider ohne vertragliche Vereinbarung mit dem DFN-Vereinin den lokalen Metadaten der betreffenden Heimateinrichtung registriert werden (siehe unten). Ausnahmen hiervon müssen einvernehmlich geregelt werden.
	* Die aktuell gültigen [[de:normative_documents\|Policy-Dokumente]] sind zu beachten.		* Die aktuell gültigen [[de:normative_documents\|Policy-Dokumente]] sind zu beachten.
	* Registrieren Sie die IdP-/SP-Metadaten über unsere [[https://www.aai.dfn.de/verwaltung\|Metadatenverwaltung]]		* Registrieren Sie die IdP-/SP-Metadaten über unsere [[https://www.aai.dfn.de/verwaltung\|Metadatenverwaltung]]

oidc-proxy - [Liste der angeschlossenen Dienste]

Wolfgang Pempe (wolfgang@dfn.de@undisclosed.example.com) — 2026-10-07T09:52:37+00:00

2026/10/07 09:52		aktuell
Zeile 37:		Zeile 37:
	\| [[https://www.schleswig-holstein.de/DE/landesregierung/themen/digitalisierung/linux-plus1/Projekt\|Dataport OSFS]] \| Anbindung an den Dataport OSFS für die Nutzung der Telefonielösung NTSH \| [[https://www.dataport.de\|Dataport AöR]] \| dataportfederationservice@dataport.de \| https://www.dataport.de/datenschutz/ \| sub, family_name, given_name, name, email, entitlements \|		\| [[https://www.schleswig-holstein.de/DE/landesregierung/themen/digitalisierung/linux-plus1/Projekt\|Dataport OSFS]] \| Anbindung an den Dataport OSFS für die Nutzung der Telefonielösung NTSH \| [[https://www.dataport.de\|Dataport AöR]] \| dataportfederationservice@dataport.de \| https://www.dataport.de/datenschutz/ \| sub, family_name, given_name, name, email, entitlements \|
	\| [[https://www.secanda.com/de/loesungen/digital_campus/\|SECANDA App Digital Campus]] \| Digital campus platform for students and university staff, providing digital identification and access to campus services such as access control, payments and other university services. \| [[https://www.secanda.com/de/\|SECANDA AG]] \| juanjo.albiach@secanda.com, c.bartl@secanda.com \| https://www.secanda.com/de/datenschutz/ \| sub, family_name, given_name, name, email, schac_home_organization, organization_name, eduperson_affiliation \|		\| [[https://www.secanda.com/de/loesungen/digital_campus/\|SECANDA App Digital Campus]] \| Digital campus platform for students and university staff, providing digital identification and access to campus services such as access control, payments and other university services. \| [[https://www.secanda.com/de/\|SECANDA AG]] \| juanjo.albiach@secanda.com, c.bartl@secanda.com \| https://www.secanda.com/de/datenschutz/ \| sub, family_name, given_name, name, email, schac_home_organization, organization_name, eduperson_affiliation \|
-	\| [[https://globulus.apps.dev-adacloud.ebrains.eu\|Globulus]] \| A lightweight replacement for Globus Compute task and	+	\| [[https://globulus.apps.dev-adacloud.ebrains.eu\|Globulus]] \| A lightweight replacement for Globus Compute task and result queues, providing distributed task execution via AMQP messaging \| [[https://www.fernuni-hagen.de\|Fernuniversität in Hagen]] \| globulus@fernuni-hagen.de \| https://globulus.apps.dev-adacloud.ebrains.eu/privacy \| sub, email \|
-	result queues, providing distributed task execution via AMQP messaging \| [[https://www.fernuni-hagen.de\|Fernuniversität in Hagen]] \| globulus@fernuni-hagen.de \| https://globulus.apps.dev-adacloud.ebrains.eu/privacy \| sub, email \|	+
	</datatables>		</datatables>

acme

Jürgen Brauckmann (brauckmann@dfn-cert.de@undisclosed.example.com) — 2026-09-25T16:03:31+00:00

2026/09/25 15:57		aktuell
Zeile 154:		Zeile 154:
	https://cert-manager.io/docs/usage/certificate/		https://cert-manager.io/docs/usage/certificate/

		+	=== Apache Modul mod_md ===

-	=== Nicht nutzbar: Apache Modul mod_md ===	+	Seit der breiten Verfügbareit von ARI in HARICA ab 2026-07 ist ''mod_md'' auch mit HARICA nutzbar.

-	Neuere Versionen von ''mod_md'' sind derzeit nicht mit HARICA kompatibel. Das erste Ausstellen eines Zertifikats funktioniert, allerdings scheitert die Erneuerung aufgund eines Bugs in der ARI-Implementierung von ''mod_md''. Teilweise wurde auch beobachtet, dass ''mod_md'' soviele Anfragen an die ACME-Directory-URL des HARICA-Systems schickt, dass dort eine IP-Sperre greift.	+	Apache-Modul mod_md aktivieren:
-		+	a2enmod md ssl
-	Der Fehler ist nach unserem Kenntnisstand mindestens ab ''mod_md'' v2.6.0 enthalten (Achtung: Versionssnummern von ''mod_md'' sind unabhängig von den Apache-Versionen).	+
-		+	Konfiguration des Apache: Es sind nur wenige Zeilen in den Server-Context einzutragen (und nicht den Virtualhost!). Im VirtualHost muss lediglich SSL angeschaltet werden. Es sind keine Pfade zu Zertifikaten oder Keys zu konfiguieren.
-		+	MDomain <fqdn>
-	''mod_md'' ist damit derzeit nicht nutzbar.	+	MDContactEmail <mailadresse>
		+	MDCertificateAgreement accepted
		+	MDCertificateAuthority <Server-URL wie im ACME EAB Account angegeben>
		+	MDExternalAccountBinding /etc/apache2/<Datei mit EAB Details>
		+
		+	<VirtualHost :443>*
		+	ServerName <fqdn>
		+	SSLEngine On
		+	DocumentRoot /var/www/html
		+	</VirtualHost>
		+
		+	Inhalt der Datei mit EAB-Details:
		+	{"kid": "<Key ID aus HARICA", "hmac": "<HMAC Key aus HARICA"}
		+
		+	In Experimenten war nach der initialen Konfiguration ein zweifacher Neustart des Apache notwendig.

	=== ACME-Proxy tiny-acme-server ===		=== ACME-Proxy tiny-acme-server ===

2026-09-28-automatisierung.pdf

Jürgen Brauckmann (brauckmann@dfn-cert.de@undisclosed.example.com) — 2026-09-25T15:59:23+00:00

1790351783	aktuell

usercerts - [S/MIME]

Reimer Karlsen-Masur (karlsen-masur@dfn-cert.de@undisclosed.example.com) — 2026-09-25T11:34:17+00:00

2026/09/25 11:32		aktuell
Zeile 99:		Zeile 99:
	* Übergabe eines CSR in der Spalte "CSR" oder alternativ Generierung der Schüssel durch das HARICA-System.		* Übergabe eines CSR in der Spalte "CSR" oder alternativ Generierung der Schüssel durch das HARICA-System.
	* Die Werte in der Spalte "FriendlyName" dürfen maximal 85 Zeichen lang sein.		* Die Werte in der Spalte "FriendlyName" dürfen maximal 85 Zeichen lang sein.
-	* Es können entweder Zertifikate des Typs ''email_only'' oder aber ''natural_legal_lcp'' (also IV+OV mit Vorname, Nachname und Organisationsname) ausgestellt werden. Der Typ ''natural_legal_lcp'' ist nicht für Gruppen-, Funktions- und Pseudonymzertifikate zugelassen, falls im Vor- und Nachnamen anderes steht als der Vor- und Nachname der natürlichen Person.	+	* Es können entweder Zertifikate des Typs ''email_only'' oder aber ''natural_legal_lcp'' (also IV+OV mit Vorname, Nachname und Organisationsname) ausgestellt werden. Der Typ ''natural_legal_lcp'' ist nicht für Gruppen-, Funktions- und Pseudonymzertifikate zugelassen, falls im Vor- und Nachnamen anderes steht als der Vor- und Nachname einer persönlich identifzierten natürlichen Person.
	* Es gibt eine Begrenzung auf 50 Zeilen.		* Es gibt eine Begrenzung auf 50 Zeilen.

oid

Ralf Groeper (groeper@dfn.de@undisclosed.example.com) — 2026-09-22T08:33:29+00:00

2025/07/18 09:45		aktuell
Zeile 50:		Zeile 50:
	\|1.3.6.1.4.1.22177.300.1.1.4.14 \|Major Version 14: Zertifizierungsrichtlinie der DFN-PKI - Sicherheitsniveau Global - Version 14 \|		\|1.3.6.1.4.1.22177.300.1.1.4.14 \|Major Version 14: Zertifizierungsrichtlinie der DFN-PKI - Sicherheitsniveau Global - Version 14 \|
	\|1.3.6.1.4.1.22177.300.1.1.4.15 \|Major Version 15: Zertifizierungsrichtlinie der DFN-PKI - Sicherheitsniveau Global - Version 15 \|		\|1.3.6.1.4.1.22177.300.1.1.4.15 \|Major Version 15: Zertifizierungsrichtlinie der DFN-PKI - Sicherheitsniveau Global - Version 15 \|
		+	\|1.3.6.1.4.1.22177.300.1.1.4.16 \|Major Version 16: Zertifizierungsrichtlinie der DFN-PKI - Sicherheitsniveau Global - Version 16 \|
		+	\|1.3.6.1.4.1.22177.300.1.1.4.17 \|Major Version 17: Zertifizierungsrichtlinie der DFN-PKI - Sicherheitsniveau Global - Version 17 \|
	\| \| \|		\| \| \|
	\| \| \|		\| \| \|
Zeile 91:		Zeile 93:
	\|1.3.6.1.4.1.22177.300.2.1.4.14 \|Major Version 14: Erklärung zum Zertifizierungsbetrieb der DFN-PKI - Sicherheitsniveau Global - Version 14 \|		\|1.3.6.1.4.1.22177.300.2.1.4.14 \|Major Version 14: Erklärung zum Zertifizierungsbetrieb der DFN-PKI - Sicherheitsniveau Global - Version 14 \|
	\|1.3.6.1.4.1.22177.300.2.1.4.15 \|Major Version 15: Erklärung zum Zertifizierungsbetrieb der DFN-PKI - Sicherheitsniveau Global - Version 15 \|		\|1.3.6.1.4.1.22177.300.2.1.4.15 \|Major Version 15: Erklärung zum Zertifizierungsbetrieb der DFN-PKI - Sicherheitsniveau Global - Version 15 \|
		+	\|1.3.6.1.4.1.22177.300.2.1.4.16 \|Major Version 16: Erklärung zum Zertifizierungsbetrieb der DFN-PKI - Sicherheitsniveau Global - Version 16 \|
		+	\|1.3.6.1.4.1.22177.300.2.1.4.17 \|Major Version 17: Erklärung zum Zertifizierungsbetrieb der DFN-PKI - Sicherheitsniveau Global - Version 17 \|
	\| \| \|		\| \| \|
	\| \| \|		\| \| \|

dfn-pki_cps_v17_redline.pdf - angelegt