Dokumentation DFN-AAI, DFN-PKI und eduroam - de

access

Anonymous (anonymous@undisclosed.example.com) — 2021-07-02T16:43:08+00:00

2021/07/02 18:38		aktuell
Zeile 1:		Zeile 1:
	====== Schreibzugriff auf dieses Wiki ======		====== Schreibzugriff auf dieses Wiki ======

-	Um an der Bearbeitung dieses Wikis **teilnehmen zu können, muss Ihr DFN-AAI User-Account mit den entsprechenden Rechten versehen werden. Wir behalten uns vor zu entscheiden, wem wir diese Rechte geben. Um dies tun zu können, loggen Sie sich bitte einmalig in unserem Rechte-Portal auf [[https://reg.tid.dfn.de/register/user/me]] ein. Ihr** IdP muss dazu folgende Attribute übertragen:	+	Um sich an der Bearbeitung dieses Wikis bzw. einzelner Teilbereiche **beteiligen zu können, muss Ihr DFN-AAI User-Account mit den entsprechenden Rechten versehen werden. Das DFN-AAI Team entscheidet über die Vergabe von Schreib- und Leserechten. Melden Sie sich hierfür bitte einmalig am Rechte-Portal auf [[https://reg.tid.dfn.de/register/user/me]] ein. Der IdP Ihrer Heimateinrichtung** muss dazu folgende Attribute übertragen:

	1. an die Entity ID ''https://reg.tid.dfn.de/shibboleth'':		1. an die Entity ID ''https://reg.tid.dfn.de/shibboleth'':
Zeile 15:		Zeile 15:
	* mail (optional)		* mail (optional)

-	Anschließend wenden Sie sich wegen der Schreibrechte bitte an uns: mailto:hotline@aai.dfn.de	+	Anschließend wenden Sie sich wegen der Schreibrechte bitte an [[hotline@aai.dfn.de\|hotline@aai.dfn.de]].

access_services

Anonymous (anonymous@undisclosed.example.com) — 2026-04-24T04:43:12+00:00

2023/01/12 17:42		aktuell
Zeile 15:		Zeile 15:
	Eine Reihe von Diensten stehen prinzipiell *allen Nutzerinnen und Einrichtungen offen. Allerdings sind sie in der Regel nur personalisiert nutzbar**: Der IdP muss personenbezogene Angaben übertragen, z.B. Namen, E-Mail-Adresse und/oder eindeutige Identifier (eduPersonPrincipalName, persistentId, eduPersonTargetedID, eduPersonUniqueId). Dienste dieser Art sind zum Beispiel:		Eine Reihe von Diensten stehen prinzipiell *allen Nutzerinnen und Einrichtungen offen. Allerdings sind sie in der Regel nur personalisiert nutzbar**: Der IdP muss personenbezogene Angaben übertragen, z.B. Namen, E-Mail-Adresse und/oder eindeutige Identifier (eduPersonPrincipalName, persistentId, eduPersonTargetedID, eduPersonUniqueId). Dienste dieser Art sind zum Beispiel:

-	* [[https://gigamove.rz.rwth-aachen.de/help\|Gigamove]] (DFN-AAI)	+	* [[https://gigamove.rwth-aachen.de/de\| GigaMove]] (DFN-AAI)
	* [[https://textgrid.de/web/guest/registrierung\|TextGrid]] (DFN-AAI-Basic)		* [[https://textgrid.de/web/guest/registrierung\|TextGrid]] (DFN-AAI-Basic)
-	* [[http://weblicht.sfs.uni-tuebingen.de/weblichtwiki/index.php/Main_Page\|WebLicht]] (DFN-AAI)	+	* [[https://weblicht.sfs.uni-tuebingen.de/weblichtwiki/Main_Page.html\|WebLicht]] (DFN-AAI)

	Andere Dienste stehen zwar grundsätzlich allen IdPs/Einrichtungen offen, allerdings sind nur bestimmte Nutzergruppen zugriffsberechtigt. I.d.R. handelt es sich hierbei um Angehörige der jeweiligen Einrichtung im engeren Sinne, d.h. gemäß des jeweiligen Landeshochschulgesetzes. Zur Autorisierung werden normalerweise die Attribute eduPersonScopedAffiliation und/oder eduPersonEntitlement abgefragt. Ein Beispiel ist der vom DFN angebotene [[https://www.conf.dfn.de\|Konferenzdienst DFNconf]], bei dem nur bestimmte Nutzergruppen Meetingräume einrichten dürfen:		Andere Dienste stehen zwar grundsätzlich allen IdPs/Einrichtungen offen, allerdings sind nur bestimmte Nutzergruppen zugriffsberechtigt. I.d.R. handelt es sich hierbei um Angehörige der jeweiligen Einrichtung im engeren Sinne, d.h. gemäß des jeweiligen Landeshochschulgesetzes. Zur Autorisierung werden normalerweise die Attribute eduPersonScopedAffiliation und/oder eduPersonEntitlement abgefragt. Ein Beispiel ist der vom DFN angebotene [[https://www.conf.dfn.de\|Konferenzdienst DFNconf]], bei dem nur bestimmte Nutzergruppen Meetingräume einrichten dürfen:

attributes-nutshell

Anonymous (anonymous@undisclosed.example.com) — 2024-11-28T12:50:12+00:00

2024/11/28 13:40		aktuell
Zeile 53:		Zeile 53:
	===== Attributfilter =====		===== Attributfilter =====

-	Welche Attribute an welche SPs herausgegeben werden, reguliert man über Attribute Filter Policies in ''./conf/attribute-filter.xml''. Dort werden die freizugebenden Attribute über ihre ID aus ''./conf/attribute-resolver.xml'' angesprochen. Die Kriterien, nach denen Filterregeln greifen sollen, sind sehr flexibel. Die gängigsten Fälle sind das Filtern nach EntityIDs, also einzelnen SPs, und nach Entity-Attributen, also nach Markern, die eine ganze Gruppe von SPs trägt. (Siehe auch im Shibboleth-Wiki: [[https://wiki.shibboleth.net/confluence/display/IDP4/AttributeFilterConfiguration\|AttributeFilterConfiguration]] und [[https://wiki.shibboleth.net/confluence/display/IDP4/AttributeFilterPolicyConfiguration\|AttributeFilterPolicyConfiguration]].)	+	Welche Attribute an welche SPs herausgegeben werden, reguliert man über Attribute Filter Policies in ''./conf/attribute-filter.xml''. Dort werden die freizugebenden Attribute über ihre ID aus ''./conf/attribute-resolver.xml'' angesprochen. Die Kriterien, nach denen Filterregeln greifen sollen, sind sehr flexibel. Die gängigsten Fälle sind das Filtern nach EntityIDs, also einzelnen SPs, und nach Entity-Attributen, also nach Markern, die eine ganze Gruppe von SPs trägt. (Siehe auch im Shibboleth-Wiki: [[https://shibboleth.atlassian.net/wiki/spaces/IDP5/pages/3199501794/AttributeFilterConfiguration\|AttributeFilterConfiguration]] und [[https://shibboleth.atlassian.net/wiki/spaces/IDP5/pages/3199501835/AttributeFilterPolicyConfiguration\|AttributeFilterPolicyConfiguration]].)

	Eine einfache Filter-Policy, die //ein// Attribut an den SP mit der EntityID https://beispiel-sp.de/shibboleth herausgibt, könnte so aussehen:<code xml><AttributeFilterPolicy id="beispiel">		Eine einfache Filter-Policy, die //ein// Attribut an den SP mit der EntityID https://beispiel-sp.de/shibboleth herausgibt, könnte so aussehen:<code xml><AttributeFilterPolicy id="beispiel">

attributes

Anonymous (anonymous@undisclosed.example.com) — 2025-04-05T14:23:17+00:00

2024/11/27 10:35		aktuell
Zeile 27:		Zeile 27:
	* Zu den benötigten Kennziffern siehe die aktuellen [[https://www.destatis.de/DE/Methoden/Klassifikationen/_inhalt.html\|Systematiken in der Hochschulstatistik des Statistischen Bundesamts]] (dort unter "Weitere Klassifikationen, Verzeichnisse, Systematiken")		* Zu den benötigten Kennziffern siehe die aktuellen [[https://www.destatis.de/DE/Methoden/Klassifikationen/_inhalt.html\|Systematiken in der Hochschulstatistik des Statistischen Bundesamts]] (dort unter "Weitere Klassifikationen, Verzeichnisse, Systematiken")
	* Zur Kennzeichnung der dfnEduPerson-Attribute hat der DFN unterhalb der DFN-OID [[de:aai:oid\|einen eigenen Bereich festgelegt]]		* Zur Kennzeichnung der dfnEduPerson-Attribute hat der DFN unterhalb der DFN-OID [[de:aai:oid\|einen eigenen Bereich festgelegt]]
-	* dfnEduPerson-Schema für LDAP (optional) und inoffizielle Version des dfnEduPerson-Schemas für Active Directory (optional) liegen unter https://download.aai.dfn.de/schema/	+	* dfnEduPerson-Schema für LDAP (optional) liegt unter https://download.aai.dfn.de/schema/, eine aktuelle LDIF-Version (1.4) unter https://github.com/zentrum-vileb/shibboleth-idp-docker/blob/main/ldap/install/schema/dfneduperson.ldif
	* Transcoding Properties für Shibboleth IdP >= 4.0 liegen unter https://download.aai.dfn.de/schema/dfnEduPerson.xml		* Transcoding Properties für Shibboleth IdP >= 4.0 liegen unter https://download.aai.dfn.de/schema/dfnEduPerson.xml

certificates

Anonymous (anonymous@undisclosed.example.com) — 2026-03-05T11:58:20+00:00

2026/02/18 11:18		aktuell
Zeile 34:		Zeile 34:

	=== Selbst-signierte Zertifikate ===		=== Selbst-signierte Zertifikate ===
-	Die dritte Möglichkeit ist die Verwendung von selbst-signierten Zertifikaten mit einer Gültigkeitsdauer von maximal 39 Monaten.Die Schlüssellänge muss mindestens 3072 Bit betragen. Siehe hierzu diese [[de:aai:selfsigned_certs\|Anleitung]].	+	Die dritte Möglichkeit ist die Verwendung von selbst-signierten Zertifikaten mit einer Gültigkeitsdauer von maximal 39 Monaten.Die (RSA-)Schlüssellänge muss mindestens 3072 Bit betragen. Siehe hierzu diese [[de:aai:selfsigned_certs\|Anleitung]].

	\\		\\

checklist

Anonymous (anonymous@undisclosed.example.com) — 2023-04-26T12:01:09+00:00

2023/03/27 10:53		aktuell
Zeile 84:		Zeile 84:

	===== Zertifikate =====		===== Zertifikate =====
-	Hier tragen Sie das Zertifikat ein, das für die SAML-Kommunikation verwendet werden soll, im PEM-Format. Jeder IdP/SP muss ein Zertifikat für Signierung und Verschlüsselung der SAML-Kommunikation publizieren. Dafür kann dasselbe Zertifikat verwendet werden (leerer Verwendungszweck) oder auch zwei verschiedene (Verwendungszweck im Drop-Down-Menü auswählen). Ausführliche Informationen zu Zertifikaten, Zertifikatstausch und Zertifikatskette sind auf der Seite [[de:certificates\|Zertiftikate]].	+	Hier tragen Sie das Zertifikat ein, das für die SAML-Kommunikation verwendet werden soll, im PEM-Format. Jeder IdP/SP muss ein Zertifikat für Signierung und Verschlüsselung der SAML-Kommunikation publizieren. Dafür kann dasselbe Zertifikat verwendet werden (leerer Verwendungszweck) oder auch zwei verschiedene (Verwendungszweck im Drop-Down-Menü auswählen). Ausführliche Informationen zu Zertifikaten, Zertifikatstausch und Zertifikatskette sind auf der Seite [[de:certificates\|Zertifikate]].

	Für Service Provider, optional: Falls der betreffende SP Attribute Queries und Artifact Queries ausführen können soll, sollten SP-Zertifikate mit dem Client-Attribut ausgestattet sein. Bei der DFN-PKI sorgt das Profil "Shibboleth-IdP/-SP" dafür, dass es dabei ist. Wenn Sie nicht die DFN-PKI nutzen, können Sie sich an der [[https://www.switch.ch/aai/support/certificates/embeddedcerts-requirements-appendix-a/\|Dokumentation unserer Schweizer Kolleg*innen]] orientieren. Wenn Sie keine Attribute Queries und Artifact Queries brauchen, dann deaktivieren Sie bitte dieses Feature in der SP-Konfiguration. Beim Shibboleth SP muss das Element <AttributeResolver type="Query"> auszukommentiert und shibd erneut gestartet werden. Außerdem sollten Sie den Binding URL für Artifact Resolution Services sowie alle SOAP-Bindings (Logout) entfernen. So überprüfen Sie Ihr SP-Zertifikat am Beispiel von openssl:		Für Service Provider, optional: Falls der betreffende SP Attribute Queries und Artifact Queries ausführen können soll, sollten SP-Zertifikate mit dem Client-Attribut ausgestattet sein. Bei der DFN-PKI sorgt das Profil "Shibboleth-IdP/-SP" dafür, dass es dabei ist. Wenn Sie nicht die DFN-PKI nutzen, können Sie sich an der [[https://www.switch.ch/aai/support/certificates/embeddedcerts-requirements-appendix-a/\|Dokumentation unserer Schweizer Kolleg*innen]] orientieren. Wenn Sie keine Attribute Queries und Artifact Queries brauchen, dann deaktivieren Sie bitte dieses Feature in der SP-Konfiguration. Beim Shibboleth SP muss das Element <AttributeResolver type="Query"> auszukommentiert und shibd erneut gestartet werden. Außerdem sollten Sie den Binding URL für Artifact Resolution Services sowie alle SOAP-Bindings (Logout) entfernen. So überprüfen Sie Ihr SP-Zertifikat am Beispiel von openssl:

common_attributes

Anonymous (anonymous@undisclosed.example.com) — 2025-10-28T11:15:17+00:00

2025/06/06 18:19		aktuell
Zeile 152:		Zeile 152:
	\| Anzahl der Werte \| mehrere \|		\| Anzahl der Werte \| mehrere \|
	\| erlaubte Werte \| faculty, student, staff, alum, member, affiliate, employee, library-walk-in \|		\| erlaubte Werte \| faculty, student, staff, alum, member, affiliate, employee, library-walk-in \|
-	\| Bemerkungen \| faculty: Mitglied des Lehrkörpers \\ student: Studierende \\ staff: Mitarbeiter, die nicht zum Lehrkörper gehören \\ employee: faculty, staff und sonstige Angestellte \\ alum: Alumni, Ehemalige Angehörige \\ member: faculty, staff, student (strenggenommen Angehörige der Einrichtung im Sinne des jeweiligen Landeshochschulgesetzes) \\ affiliate: anderweitig mit der Organisation assoziierte Personen wie Gasthörer, Gastdozenten, Projektpartner, etc. \\ library-walk-in: Personen, die sich (physikalisch) in der Bibliothek befinden (i.d.R. handelt es sich technisch gesehen um ein Terminal) \\ Das Attribut bleibt leer, wenn keine Kategorie passt. \\ Die Belegung und Verwendung der o.g. Werte wird regional und international nicht einheitlich gehandhabt, insbesondere was 'employee' und 'staff' betrifft. Vgl. hierzu [[https://www.terena.org/activities/refeds/docs/ePSAcomparison_0_13.pdf\|REFEDs ePSA usage comparison v0.13]]. \\ Wird eduPersonAffiliation ohne Scope verwendet (s. [[#a09\|eduPersonScopedAffiliation]]), benötigt der betreffende Dienst i.d.R. ein weiteres Attribut, das die Information über die jeweilige Heimateinrichtung transportiert, z.B. [[#a06\|o]], schacHomeOrganization oder ein anderes //scoped attribute// wie [[#a07\|eduPersonPrincipalName]]. \|	+	\| Bemerkungen \| faculty: Mitglied des Lehrkörpers \\ student: Studierende \\ staff: Mitarbeiter, die nicht zum Lehrkörper gehören \\ employee: faculty, staff und sonstige Angestellte \\ alum: Alumni, Ehemalige Angehörige \\ member: faculty, staff, student (strenggenommen Angehörige der Einrichtung im Sinne des jeweiligen Landeshochschulgesetzes) \\ affiliate: anderweitig mit der Organisation assoziierte Personen wie Gasthörer, Gastdozenten, Projektpartner, etc. \\ library-walk-in: Personen, die sich (physikalisch) in der Bibliothek befinden (i.d.R. handelt es sich technisch gesehen um ein Terminal) \\ Das Attribut bleibt leer, wenn keine Kategorie passt. \\ Die Belegung und Verwendung der o.g. Werte wird regional und international nicht einheitlich gehandhabt, insbesondere was 'employee' und 'staff' betrifft. Vgl. hierzu [[https://refeds.org/wp-content/uploads/2015/05/ePSAcomparison_0_13.pdf\|REFEDs ePSA usage comparison v0.13]]. \\ Wird eduPersonAffiliation ohne Scope verwendet (s. [[#a09\|eduPersonScopedAffiliation]]), benötigt der betreffende Dienst i.d.R. ein weiteres Attribut, das die Information über die jeweilige Heimateinrichtung transportiert, z.B. [[#a06\|o]], schacHomeOrganization oder ein anderes //scoped attribute// wie [[#a07\|eduPersonPrincipalName]]. \|
	\| Beispiel \| eduPersonAffiliation: student \|		\| Beispiel \| eduPersonAffiliation: student \|
	\| Verwendungszweck \| Das Attribut wird je nach Anwendung mit oder ohne Scope verwendet, Beispiele siehe [[#a09\|eduPersonScopedAffiliation]]. Autorisierung auf der Ebene von Zugehörigkeiten. \|		\| Verwendungszweck \| Das Attribut wird je nach Anwendung mit oder ohne Scope verwendet, Beispiele siehe [[#a09\|eduPersonScopedAffiliation]]. Autorisierung auf der Ebene von Zugehörigkeiten. \|

configuration

Anonymous (anonymous@undisclosed.example.com) — 2020-10-15T09:14:22+00:00

2020/10/15 11:13		aktuell
Zeile 5:		Zeile 5:
	* [[de:nonshib\|Sonstige IdP-/SP-Software]]		* [[de:nonshib\|Sonstige IdP-/SP-Software]]
	Nächster Schritt: [[de:certificates\|Zertifikate]]		Nächster Schritt: [[de:certificates\|Zertifikate]]
-
-	{{tag>fixme}}

contact

Anonymous (anonymous@undisclosed.example.com) — 2024-01-26T16:04:12+00:00

2022/06/23 17:00		aktuell
Zeile 2:		Zeile 2:
	* Allgemein: https://dfn.de/geschaeftsstelle/kontakt-und-anreise/		* Allgemein: https://dfn.de/geschaeftsstelle/kontakt-und-anreise/
	* [[de:aai:contact\|Kontaktdaten DFN-AAI]]		* [[de:aai:contact\|Kontaktdaten DFN-AAI]]
-	* [[https://www.pki.dfn.de/pkikontakt\|Kontaktdaten DFN-PKI]]	+	* [[de:dfnpki:contact\|Kontaktdaten DFN-PKI]]
	* [[de:eduroam:contact\|Kontaktdaten eduroam]]		* [[de:eduroam:contact\|Kontaktdaten eduroam]]

controlpage

Anonymous (anonymous@undisclosed.example.com) — 2025-11-21T07:51:02+00:00

2025/09/26 16:00		aktuell
Zeile 53:		Zeile 53:
	* [[de:shibidp:config-testzugang\|Testzugang für externe Admins]]		* [[de:shibidp:config-testzugang\|Testzugang für externe Admins]]
	* [[de:shibidp:config-cluster\|Hochverfügbarkeit]]		* [[de:shibidp:config-cluster\|Hochverfügbarkeit]]
-	* [[de:shibidp:config-x509\|X509-Authentifizierung]]
	* [[de:shibidp:mfa\|Mehr-Faktor-Authentifizierung]]		* [[de:shibidp:mfa\|Mehr-Faktor-Authentifizierung]]
	* [[de:shibidp:plugin-fudiscr\|IdP-Plugin fudiscr]]		* [[de:shibidp:plugin-fudiscr\|IdP-Plugin fudiscr]]

dfneduperson_oids

Anonymous (anonymous@undisclosed.example.com) — 2022-10-20T14:44:24+00:00

2022/10/20 16:41		aktuell
Zeile 5:		Zeile 5:
	Dem DFN-Verein wurde von der IANA (Internet Assigned Numbers Authority) die "Private Enterprise Number" 22177 zugewiesen.		Dem DFN-Verein wurde von der IANA (Internet Assigned Numbers Authority) die "Private Enterprise Number" 22177 zugewiesen.

-	Folgende Object Identifier beschreiben im Rahmen der DFN-AAI anwendungsspezifische DFN-Attribute und DFN-Objektklassen für den Bereich E-Learning (dfnEduPerson).	+	Folgende Object Identifier beschreiben im Rahmen der DFN-AAI anwendungsspezifische DFN-Attribute, Objektklassen für den Bereich E-Learning (dfnEduPerson) und Attribute für [[https://idm.dh.nrw/\|nrw.IDM]].
	* 1 - ISO assigned OIDs		* 1 - ISO assigned OIDs
	* 1.3 - ISO Identified Organization		* 1.3 - ISO Identified Organization

discovery

Anonymous (anonymous@undisclosed.example.com) — 2024-02-13T08:26:44+00:00

2023/08/09 10:40		aktuell
Zeile 37:		Zeile 37:

	Einige Anbieter haben dokumentiert, wie WAYFless URLs für ihre Plattform erzeugt werden können:		Einige Anbieter haben dokumentiert, wie WAYFless URLs für ihre Plattform erzeugt werden können:
-	* [[https://www.conf.dfn.de/beschreibung-des-dienstes/aai-freischaltung/\|DFNconf und DFN-Webconf]]	+	* [[https://www.conf.dfn.de/anleitungen-und-dokumentation/dfnconf-portal/aai-freischaltung\|DFNconf und DFN-Webconf]]
-	* [[https://www.elsevier.com/solutions/sciencedirect/support/federated-authentication-through-saml\|Elsevier für ScienceDirect]]	+	* [[https://service.elsevier.com/app/answers/detail/a_id/28537/supporthub/elsevieraccess/\|Elsevier]]
-	* [[https://springeronlineservice.freshdesk.com/support/solutions/articles/6000085989-what-is-a-wayfless-url-\|Springer Online]]	+	* [[https://idp.nature.com/help/sso#wayfless\|Springer Nature]]
	* [[https://www.ukfederation.org.uk/content/Documents/AvailableServices\|Liste von Anbietern in der UK-Föderation]], anwendbar auch für die DFN-AAI da die URL-Konfiguration föderationsunabhängig ist		* [[https://www.ukfederation.org.uk/content/Documents/AvailableServices\|Liste von Anbietern in der UK-Föderation]], anwendbar auch für die DFN-AAI da die URL-Konfiguration föderationsunabhängig ist

dse

Anonymous (anonymous@undisclosed.example.com) — 2022-05-02T12:39:27+00:00

2018/05/09 09:58		aktuell
Zeile 25:		Zeile 25:
	Besondere Hinweise für registrierte NutzerInnen:		Besondere Hinweise für registrierte NutzerInnen:

-	Um an der Bearbeitung des Wikis teilnehmen zu können, müssen sich BearbeiterInnen über die DFN-AAI (https://www.dfn.de/dienstleistungen/dfnaai) anmelden.	+	Um an der Bearbeitung des Wikis teilnehmen zu können, müssen sich BearbeiterInnen über die DFN-AAI (https://www.aai.dfn.de) anmelden.

	Hierbei werden zusätzlich folgende Daten erhoben und gespeichert:		Hierbei werden zusätzlich folgende Daten erhoben und gespeichert:

dse_nextcloud_eduid

Anonymous (anonymous@undisclosed.example.com) — 2022-05-02T12:49:06+00:00

2020/11/03 15:12		aktuell
Zeile 25:		Zeile 25:
	Besondere Hinweise für registrierte NutzerInnen:		Besondere Hinweise für registrierte NutzerInnen:

-	Um Dateien hochladen und ggf. bearbeiten zu können, müssen sich BearbeiterInnen über die DFN-AAI (https://www.dfn.de/dienstleistungen/dfnaai) anmelden.	+	Um Dateien hochladen und ggf. bearbeiten zu können, müssen sich BearbeiterInnen über die DFN-AAI (https://www.aai.dfn.de) anmelden.

	Hierbei werden zusätzlich folgende Daten erhoben und gespeichert:		Hierbei werden zusätzlich folgende Daten erhoben und gespeichert:

edugain

Anonymous (anonymous@undisclosed.example.com) — 2024-11-20T16:40:17+00:00

2023/08/18 19:05		aktuell
Zeile 8:		Zeile 8:
	* Eine visuelle Einführung zum Thema bietet [[http://www.youtube.com/watch?v=x1YhuFPxMz8\|dieses Video]] (Youtube)		* Eine visuelle Einführung zum Thema bietet [[http://www.youtube.com/watch?v=x1YhuFPxMz8\|dieses Video]] (Youtube)
	* Für HowTos und FAQs siehe das [[https://wiki.geant.org/display/eduGAIN/\|eduGAIN-Wiki]]		* Für HowTos und FAQs siehe das [[https://wiki.geant.org/display/eduGAIN/\|eduGAIN-Wiki]]
		+	* Tools und Services [[https://wiki.geant.org/display/eduGAIN/Tools+and+Services\|eduGAIN-Tools]]

	==== Teilnahme in eduGAIN ====		==== Teilnahme in eduGAIN ====

elearning_attributes

Anonymous (anonymous@undisclosed.example.com) — 2026-04-27T09:40:50+00:00

2025/10/17 12:23		aktuell
Zeile 20:		Zeile 20:
	\| [[#a05\|05]] \| Titel \| title \| organizationalPerson \|		\| [[#a05\|05]] \| Titel \| title \| organizationalPerson \|
	\| [[#a06\|06]] \| Kostenstelle \| dfnEduPersonCostCenter \| dfnEduPerson \|		\| [[#a06\|06]] \| Kostenstelle \| dfnEduPersonCostCenter \| dfnEduPerson \|
-	\| [[#a07\|07]] \| Fächergruppe \|dfnEduPersonstudyBranch1 \| dfnEduPerson \|	+	\| [[#a07\|07]] \| Fächergruppe \|dfnEduPersonStudyBranch1 \| dfnEduPerson \|
	\| [[#a08\|08]] \| Studienbereich \| dfnEduPersonStudyBranch2 \| dfnEduPerson \|		\| [[#a08\|08]] \| Studienbereich \| dfnEduPersonStudyBranch2 \| dfnEduPerson \|
	\| [[#a09\|09]] \| Studienfach \| dfnEduPersonStudyBranch3 \| dfnEduPerson \|		\| [[#a09\|09]] \| Studienfach \| dfnEduPersonStudyBranch3 \| dfnEduPerson \|

entity_attributes

Anonymous (anonymous@undisclosed.example.com) — 2026-02-21T18:13:55+00:00

2026/02/21 19:13		aktuell
Zeile 385:		Zeile 385:
	\\		\\

-	SP-seitiger Include-Filter, bei der die Metadaten, mit denen der SP arbeitet, auf IdPs sowohl aus dem bwIDM- als auch dem IDM.nrw-Projekt beschränkt werden (Kooperations-Szenario):	+	SP-seitiger Include-Filter, bei der die Metadaten, mit denen der SP arbeitet, auf IdPs sowohl aus dem bwIDM- als auch aus dem IDM.nrw-Projekt beschränkt werden (Kooperations-Szenario):

	<file xml shibboleth2.xml>		<file xml shibboleth2.xml>

functionaltest

Anonymous (anonymous@undisclosed.example.com) — 2022-10-12T10:16:26+00:00

2022/05/16 13:59		aktuell
Zeile 11:		Zeile 11:

	Nächster Schritt: [[de:production\|Produktivbetrieb]]		Nächster Schritt: [[de:production\|Produktivbetrieb]]
		+
		+	{{tag>test testing}}

functionaltest_idp

Anonymous (anonymous@undisclosed.example.com) — 2021-10-20T10:05:33+00:00

2021/08/05 10:20		aktuell
Zeile 13:		Zeile 13:
	{{:testsp2_secure-memberonly.png\|}}		{{:testsp2_secure-memberonly.png\|}}
	Wenn - wie hier im Bild dargestellt - die Werte der beiden Attribute (affiliation, entitlement) angezeigt werden, erfüllt der IdP die technischen Voraussetzungen, um mit dem SP eines typischen Verlagsanbieters bzw. Content Providers zu kommunizieren. \\		Wenn - wie hier im Bild dargestellt - die Werte der beiden Attribute (affiliation, entitlement) angezeigt werden, erfüllt der IdP die technischen Voraussetzungen, um mit dem SP eines typischen Verlagsanbieters bzw. Content Providers zu kommunizieren. \\
-	Andere Dienste erfordern u.U. andere Attribute. Siehe hierzu unter [[de:access_services\|Dienste nutzen]] und [[de:shibidp3attributes\|Attribute - Generierung und Weitergabe in der DFN-AAI]].	+	Andere Dienste erfordern u.U. andere Attribute. Siehe hierzu unter [[de:access_services\|Dienste nutzen]] und [[de:shibidp:config-attributes\|Anpassung der Attributkonfiguration]].
	Der SP unter https://testsp3.aai.dfn.de dient als generischer Attribute Viewer, d.h. es erfolgt keine Autorisierung sondern lediglich die Anzeige aller (korrekt) übertragenen Attribute.		Der SP unter https://testsp3.aai.dfn.de dient als generischer Attribute Viewer, d.h. es erfolgt keine Autorisierung sondern lediglich die Anzeige aller (korrekt) übertragenen Attribute.

functionaltest_oidc_op

Anonymous (anonymous@undisclosed.example.com) — 2024-09-24T11:26:16+00:00

2024/09/24 10:37		aktuell
Zeile 3:		Zeile 3:
	Wir bieten derzeit drei Relying Parties (also OIDC sprechende Service Provider) an.		Wir bieten derzeit drei Relying Parties (also OIDC sprechende Service Provider) an.
	* Jede Relying Party zeigt bei erfolgreicher Anmeldung die übertragenen Claims (Attribute) inkl. ihrer Werte an.		* Jede Relying Party zeigt bei erfolgreicher Anmeldung die übertragenen Claims (Attribute) inkl. ihrer Werte an.
-	* OP-seitig wird ausschließlich Dynamic Client Registration unterstützt: Geben Sie am Discovery-Service die Issuer ID Ihres OP (Ihres IdP) ein. Achtung: Die Test-RPs können nur Issuer IDs ohne weitere Request URI hinter der Domain verarbeiten. (Issuer IDs, die analog zu Shibboleth IdP Entity IDs auf '/idp/shibboleth' enden, funktionieren nicht! Die OIDC Issuer ID eines OP kann abweichend von der SAML Entity ID konfiguriert werden.)	+	* OP-seitig muss Dynamic Client Registration unterstützt werden.**** Geben Sie am Discovery-Service die Issuer ID Ihres OP (Ihres IdP) ein. Achtung: Die Test-RPs können nur Issuer IDs ohne weitere Request URI hinter der Domain verarbeiten. (Issuer IDs, die analog zu Shibboleth IdP Entity IDs auf '/idp/shibboleth' enden, funktionieren nicht! Die OIDC Issuer ID eines OP kann abweichend von der SAML Entity ID konfiguriert werden.)

	^ Relying Party Client ID ^ Angeforderter Sub Claim ^ Angefordete Scopes ^ Autorisierung ^		^ Relying Party Client ID ^ Angeforderter Sub Claim ^ Angefordete Scopes ^ Autorisierung ^

functionaltest_sp

Anonymous (anonymous@undisclosed.example.com) — 2024-01-12T07:22:33+00:00

2023/06/28 15:17		aktuell
Zeile 6:		Zeile 6:

	<callout color="#ff9900" title="Attributbasierte Autorisierung">		<callout color="#ff9900" title="Attributbasierte Autorisierung">
-	An vielen Heimateinrichtungen sind auch Nutzerinnen im Identity Management System registriert, die keine Hochschulangehörigen laut Landeshochschulgesetz sind, sondern z.B. Gäste, Alumni etc. I.d.R. steht ein Dienst / Service Provider nur einer Teilmenge der an einer Einrichtung registrierten Nutzerinnen zur Verfügung. Daher darf ein erfolgreicher Login am IdP nicht als alleiniges Kriterium für den Zugriff auf einen Dienst gewertet werden. Es muss eine Autorisierungsentscheidung anhand der vom IdP übertragenen Attribute getroffen werden. Welche Attribute hierfür in Frage kommen, hängt von der Art und der Implementierung des jeweiligen Dienstes ab. Falls Sie hierzu Fragen haben, kontaktieren Sie bitte die [[https://www.aai.dfn.de/kontakt/\|DFN-AAI Hotline]].	+	An vielen Heimateinrichtungen sind auch Nutzerinnen im Identity Management System registriert, die keine Hochschulangehörigen laut Landeshochschulgesetz sind, sondern z.B. Gäste, Alumni etc. I.d.R. steht ein Dienst / Service Provider nur einer Teilmenge der an einer Einrichtung registrierten Nutzerinnen zur Verfügung. Daher darf ein erfolgreicher Login am IdP nicht als alleiniges Kriterium für den Zugriff auf einen Dienst gewertet werden. Es muss eine Autorisierungsentscheidung anhand der vom IdP übertragenen Attribute getroffen werden. Welche Attribute hierfür in Frage kommen, hängt von der Art und der Implementierung des jeweiligen Dienstes ab. Falls Sie hierzu Fragen haben, kontaktieren Sie bitte die [[de:aai:contact\|DFN-AAI Hotline]].
	</callout>		</callout>

Zeile 25:		Zeile 25:
	\|test-all \|test \|nur, wenn in SP-Metadaten angegeben\|nur, wenn in SP-Metadaten angegeben\|IdP überträgt alle Attribute, die in SP-Metadaten als erforderlich markiert sind.\|		\|test-all \|test \|nur, wenn in SP-Metadaten angegeben\|nur, wenn in SP-Metadaten angegeben\|IdP überträgt alle Attribute, die in SP-Metadaten als erforderlich markiert sind.\|
	\|test-special-characters1, test-special-characters2, test-special-characters3 \|test \|nur, wenn in SP-Metadaten angegeben\|nur, wenn in SP-Metadaten angegeben\|givenName and sn contain special characters, IdP überträgt alle Attribute, die in SP-Metadaten als erforderlich markiert sind.\|		\|test-special-characters1, test-special-characters2, test-special-characters3 \|test \|nur, wenn in SP-Metadaten angegeben\|nur, wenn in SP-Metadaten angegeben\|givenName and sn contain special characters, IdP überträgt alle Attribute, die in SP-Metadaten als erforderlich markiert sind.\|
-	\|test-multi-mail \|test \|nur, wenn in SP-Metadaten angegeben\|nur, wenn in SP-Metadaten angegeben\|multiple values in e-mail attribute (''mail'' bitte nicht zur Identifizierung nutzen, siehe [[https://doku.tid.dfn.de/de:aai:attributes_best_practice\|Best Practice]]), IdP überträgt alle Attribute, die in SP-Metadaten als erforderlich markiert sind.\|	+	\|test-multi-mail \|test \|nur, wenn in SP-Metadaten angegeben\|nur, wenn in SP-Metadaten angegeben\|multiple values in e-mail attribute (''mail'' bitte nicht zur Identifizierung nutzen, siehe [[de:aai:attributes_best_practice\|Best Practice]]), IdP überträgt alle Attribute, die in SP-Metadaten als erforderlich markiert sind.\|


	Diese Testuser dienen v.a. dazu, die Autorisierung bei klassischen Verlagsanbietern bzw. Content Providern zu testen. Weitere Testuser, die ein spezifisches Attributprofil bedienen, werden auf Zuruf zu Verfügung gestellt. Kontaktieren Sie hierzu bitte [[hotline@aai.dfn.de\|]].		Diese Testuser dienen v.a. dazu, die Autorisierung bei klassischen Verlagsanbietern bzw. Content Providern zu testen. Weitere Testuser, die ein spezifisches Attributprofil bedienen, werden auf Zuruf zu Verfügung gestellt. Kontaktieren Sie hierzu bitte [[hotline@aai.dfn.de\|]].

geant_coco

Anonymous (anonymous@undisclosed.example.com) — 2023-11-01T14:07:55+00:00

2022/10/14 19:08		aktuell
Zeile 1:		Zeile 1:
		+	<callout type="danger" title="Veraltete Rechtsgrundlage">
		+	GÉANT Data Protection Code of Conduct for Service Providers in EU/EEA basiert auf der Datenschutzrichtlinie 95/46/EG von 1995, die 2018 von der EU Datenschutz-Grundverordnung (DSGVO) abgelöst wurde. Best Practices im Sinne der DSGVO sind im [[https://refeds.org/category/code-of-conduct/v2\|REFEDS Data Protection Code of Conduct (CoCo v.2)]] festgeschrieben.
		+	</callout>
		+
	====== GÉANT Data Protection Code of Conduct for Service Providers in EU/EEA (CoCo) ======		====== GÉANT Data Protection Code of Conduct for Service Providers in EU/EEA (CoCo) ======
	Effektives Single-Sign-On benötigt neben technischen Voraussetzungen wie z.B. SAML2 auch ein gewisses Maß an Vertrauen zwischen Service Providern (SPs) und Identity Providern (IdPs). Beide sind ihren Nutzern gegenüber verpflichtet, sorgsam mit den ihnen anvertrauten Daten umzugehen. Bei IdPs sind dies vor allem persönliche Daten. SPs müssen den Zugriff auf Inhalte oft aus lizenzrechtlichen Gründen auf bestimmte Nutzergruppen beschränken (Autorisierung), der Schutz personenbezogener Daten der Endanwender spielt allerdings eine eben so wichtige Rolle.		Effektives Single-Sign-On benötigt neben technischen Voraussetzungen wie z.B. SAML2 auch ein gewisses Maß an Vertrauen zwischen Service Providern (SPs) und Identity Providern (IdPs). Beide sind ihren Nutzern gegenüber verpflichtet, sorgsam mit den ihnen anvertrauten Daten umzugehen. Bei IdPs sind dies vor allem persönliche Daten. SPs müssen den Zugriff auf Inhalte oft aus lizenzrechtlichen Gründen auf bestimmte Nutzergruppen beschränken (Autorisierung), der Schutz personenbezogener Daten der Endanwender spielt allerdings eine eben so wichtige Rolle.

howto

Anonymous (anonymous@undisclosed.example.com) — 2021-10-20T11:13:11+00:00

2021/10/20 12:58		aktuell
Zeile 6:		Zeile 6:
	* Wenn man das automatische, schmale Inhaltsverzeichnis nicht mag, kann man ganz oben ''~ ~NOTOC~ ~'' und dann an entsprechender Stelle ''{ {INLINETOC} }'' tipperln.		* Wenn man das automatische, schmale Inhaltsverzeichnis nicht mag, kann man ganz oben ''~ ~NOTOC~ ~'' und dann an entsprechender Stelle ''{ {INLINETOC} }'' tipperln.
	* Das Menü für die Navigation (linke Spalte) kann unter [[de:controlpage\|de:controlpage]] bzw. [[en:controlpage\|en:controlpage]] bearbeitet werden.		* Das Menü für die Navigation (linke Spalte) kann unter [[de:controlpage\|de:controlpage]] bzw. [[en:controlpage\|en:controlpage]] bearbeitet werden.
-	* [[de:orphaned\|Übersichtsseite]] für Redlinks und verwaiste Seiten	+	* [[de:maintenance\|Übersichtsseite]] für Redlinks und verwaiste Seiten
	* Eine motd (Message of the Day; blauer Balken über jeder Seite) kann mit ssh-Zugang in ''conf/topheader.html'' gesetzt werden.		* Eine motd (Message of the Day; blauer Balken über jeder Seite) kann mit ssh-Zugang in ''conf/topheader.html'' gesetzt werden.
	* Seiten können "archiviert" werden, in dem man sie mit dem Tag "archiv" versieht. Dies ist gedacht für veraltete Inhalte, die noch richtig sein können, aber nicht mehr für aktuelle Shibboleth-Versionen geprüft wurden.''{ {tag>archiv} }'' Sie erscheinen dann automatisch in der [[tag:archiv?do=backlink\|Liste archivierter Seiten]].		* Seiten können "archiviert" werden, in dem man sie mit dem Tag "archiv" versieht. Dies ist gedacht für veraltete Inhalte, die noch richtig sein können, aber nicht mehr für aktuelle Shibboleth-Versionen geprüft wurden.''{ {tag>archiv} }'' Sie erscheinen dann automatisch in der [[tag:archiv?do=backlink\|Liste archivierter Seiten]].
	* Alle Änderungen gibt es auch als Feed auf https://doku.tid.dfn.de/feed.php .		* Alle Änderungen gibt es auch als Feed auf https://doku.tid.dfn.de/feed.php .

imprint

Anonymous (anonymous@undisclosed.example.com) — 2022-05-02T12:55:27+00:00

2018/05/08 16:47		aktuell
Zeile 1:		Zeile 1:
	====== Impressum ======		====== Impressum ======
-	[[https://www.dfn.de/verein/impressum/\|Impressum]] \| [[de:dse\|Datenschutzerklärung]]	+	[[https://dfn.de/impressum/\|Impressum]] \| [[de:dse\|Datenschutzerklärung]]

join

Anonymous (anonymous@undisclosed.example.com) — 2024-12-16T15:52:05+00:00

2020/10/15 11:09		aktuell
Zeile 9:		Zeile 9:
	* [[de:access_services\|Dienste nutzen]]		* [[de:access_services\|Dienste nutzen]]
	* [[de:edugain\|Interfederation/eduGAIN]] (Optional)		* [[de:edugain\|Interfederation/eduGAIN]] (Optional)
		+
		+	Hinweis: Auch Dienste, die ausschließlich OpenID Connect unterstützen, können an die DFN-AAI angebunden werden. Kontaktieren Sie hierzu bitte das [[de:aai:contact\|DFN-AAI Team]].

maintenance

Anonymous (anonymous@undisclosed.example.com) — 2021-10-20T11:12:13+00:00

2021/10/20 13:03		aktuell

metadata

Anonymous (anonymous@undisclosed.example.com) — 2026-03-12T09:46:32+00:00

2026/02/18 15:36		aktuell
Zeile 18:		Zeile 18:

	Zertifikat zur Überprüfung der Signatur der DFN-AAI Metadaten (PEM-Format) \\		Zertifikat zur Überprüfung der Signatur der DFN-AAI Metadaten (PEM-Format) \\
-	SHA256 Fingerprint: 4D:DA:3F:88:EF:E9:E1:AA:E6:E3:EE:3C:B0:63:8A:ED:51:3C:A8:9A:03:AD:94:96:A2:2E:B5:F1:75:FB:21:48 \\	+	SHA256 Fingerprint: 6E:FE:08:72:C3:C2:49:77:AF:67:31:F3:AC:30:F7:17:17:03:EF:FA:BB:6C:88:14:97:B3:E1:A5:DD:A5:3A:A1 \\
	https://www.aai.dfn.de/metadata/dfn-aai.pem		https://www.aai.dfn.de/metadata/dfn-aai.pem
-
-	<callout type="primary" title="Neues Zertifikat zur Signaturvalidierung ab 12.3.2026, ca. 11:20">
-	SHA256 Fingerprint: 6E:FE:08:72:C3:C2:49:77:AF:67:31:F3:AC:30:F7:17:17:03:EF:FA:BB:6C:88:14:97:B3:E1:A5:DD:A5:3A:A1 \\
-	https://download.aai.dfn.de/tmp/dfn-aai.pem (temporäre Location)
-	</callout>

	==== Anmerkungen ====		==== Anmerkungen ====

metadata_admin_tool

Anonymous (anonymous@undisclosed.example.com) — 2024-02-21T10:31:23+00:00

2024/02/21 11:30		aktuell
Zeile 126:		Zeile 126:
	{{ :de:metadata_admin_tool:logos.png?800 \|}}		{{ :de:metadata_admin_tool:logos.png?800 \|}}

-	===== Unterschiede zwischen alter und neuer Metadatenverwaltung =====

-	^ alt ^ neu ^
-	\| nur Passwort-Login \| Einrichtung von 2FA ist verpflichtend \|
-	\| Selbstsignierte Zertifikate mussten bei der Hotline eingereicht werden. \| Selbstsignierte Zertifikate können ohne Interaktion mit der Hotline verwendet werden. \|
-	\| Alle Metadatenadmins hatten dieselben Rechte, konnten innerhalb des Organisationsaccounts auf alles zugreifen. \| Metadatenadmins können eigenständig Subadmins einladen und die Zuständigkeit für bestimmte IdPs/SPs an sie delegieren. \|
-	\| Logos/Favicons wurden als externe URLs zu den Logos/Favicons in den Metadaten publiziert. Es war möglich, Bilder mit falschen Größen einzubinden.\| (Neue) Logos/Favicons werden in die Metadatenverwaltung hochladen und von ihr ausgeliefert. Dateien werden beim Upload auf die richtige Größe skaliert oder abgelehnt\|
-	\| Neue IdP- bzw. SP-Metadatensätze konnten von einer externen URL in die Metadatenverwaltung eingelesen werden. \| Neue IdP- bzw. SP-Metadatensätze können als xml hochgeladen werden. \|
-	\| Scopes wurden im IdP-Formular eingeben. \| Scopes werden als übergeordnete Informationen betrachtet, die auf Organisationsebene gepflegt und dann einzelnen IdPs zugewiesen werden. \|

metadata_local

Anonymous (anonymous@undisclosed.example.com) — 2024-11-14T09:20:19+00:00

2022/11/17 14:08		aktuell
Zeile 14:		Zeile 14:
	* geschützte Webserver der Hochschule		* geschützte Webserver der Hochschule

-	Diese Dienste sollen i.d.R. //nicht// von anderen Einrichtungen genutzt werden können. Sie gehören daher //nicht// in die DFN-AAI oder die DFN-AAI-Basic. Die Metadatenverwaltung bietet eine andere Möglichkeit: Sie können dort einen lokalen Metadatensatz generieren lassen, die nur den IdP und die lokalen SPs Ihrer Einrichtung enthält. Alle lokalen Metadatensätze werden stündlich neu erzeugt und sind über feste URLs abrufbar. Damit ist zugleich gewährleistet, dass die lokalen SPs stets aktuelle und gültige Metadaten besitzen.	+	Diese Dienste sollen i.d.R. //nicht// von anderen Einrichtungen genutzt werden können. Sie gehören daher //nicht// in die DFN-AAI. Die Metadatenverwaltung bietet eine andere Möglichkeit: Sie können dort einen lokalen Metadatensatz generieren lassen, die nur den IdP und die lokalen SPs Ihrer Einrichtung enthält. Alle lokalen Metadatensätze werden stündlich neu erzeugt und sind über feste URLs abrufbar. Damit ist zugleich gewährleistet, dass die lokalen SPs stets aktuelle und gültige Metadaten besitzen.

	Ein weiterer Vorteil für Sie: Wenn Sie hausinterne Dienste als lokale SPs in die Metadatenverwaltung einpflegen, werden Sie vor Ablauf der Zertifikate genau so von uns informiert wie bei den Systemen in den Föderationen.		Ein weiterer Vorteil für Sie: Wenn Sie hausinterne Dienste als lokale SPs in die Metadatenverwaltung einpflegen, werden Sie vor Ablauf der Zertifikate genau so von uns informiert wie bei den Systemen in den Föderationen.

news

Anonymous (anonymous@undisclosed.example.com) — 2020-05-05T08:25:40+00:00

2020/04/23 12:43		aktuell
Zeile 6:		Zeile 6:
	Bei Fragen wenden Sie sich bitte an die DFN-AAI Hotline ([[hotline@aai.dfn.de\|hotline@aai.dfn.de]])		Bei Fragen wenden Sie sich bitte an die DFN-AAI Hotline ([[hotline@aai.dfn.de\|hotline@aai.dfn.de]])

-	{{tag>fixme}}

nonshib

Anonymous (anonymous@undisclosed.example.com) — 2021-03-01T08:30:22+00:00

2021/03/01 09:29		aktuell
Zeile 8:		Zeile 8:
	* [[http://wiki.rz.fh-schmalkalden.de/simplesamlphp_dfn_aai\|Beispiel für die Konfiguration als Identity Provider]] (Jens Adner, RZ der Hochschule Schmakalden, 2015]])		* [[http://wiki.rz.fh-schmalkalden.de/simplesamlphp_dfn_aai\|Beispiel für die Konfiguration als Identity Provider]] (Jens Adner, RZ der Hochschule Schmakalden, 2015]])
	* [[https://doku.tid.dfn.de/docs/einrichtung-simplesamlphp.html\|Beispiel für die Konfiguration als Service Provider]] (Dominik Fienko, LB Gruppe)		* [[https://doku.tid.dfn.de/docs/einrichtung-simplesamlphp.html\|Beispiel für die Konfiguration als Service Provider]] (Dominik Fienko, LB Gruppe)
-	* Ausführliche Anleitung mit Beispielen für SimpleSAMLphp als Service Provider von Frank Tröger (FAU Erlangen-Nürnberg): \\ https://github.com/frnktrgr/demo_simplesamlphp_sp	+	* Ausführliche Anleitung mit Beispielen für SimpleSAMLphp als Service Provider von Frank Tröger (FAU Erlangen-Nürnberg): https://github.com/frnktrgr/demo_simplesamlphp_sp
	* {{de:Microsoft_ADFS2_im_DFN-AAI.pdf\|Microsoft ADFS2 in der DFN AAI}} (Thomas Glatzer, [[http://www.uni-mainz.de/\|Uni Mainz]])		* {{de:Microsoft_ADFS2_im_DFN-AAI.pdf\|Microsoft ADFS2 in der DFN AAI}} (Thomas Glatzer, [[http://www.uni-mainz.de/\|Uni Mainz]])
	* {{de:20170124-shibboleth-windows-vogl.pdf\|Shibboleth SP Installation unter Windows}}, zur Verfügung gestellt von Peter Vogl von http://www.drvis.de.		* {{de:20170124-shibboleth-windows-vogl.pdf\|Shibboleth SP Installation unter Windows}}, zur Verfügung gestellt von Peter Vogl von http://www.drvis.de.

normative_documents

Anonymous (anonymous@undisclosed.example.com) — 2023-01-12T16:43:02+00:00

2020/03/24 15:00		aktuell
Zeile 1:		Zeile 1:
	====== Policy Dokumente ======		====== Policy Dokumente ======
	Richtlinien, Profile und andere normative Dokumente		Richtlinien, Profile und andere normative Dokumente
-
-	===== Levels of Assurance / Verlässlichkeitsklassen =====
-	* Siehe unter [[de:degrees_of_reliance\|Verlässlichkeitsklassen]]

	===== Metadata Registration Practice Statement =====		===== Metadata Registration Practice Statement =====
	* [[https://www.aai.dfn.de/fileadmin/documents/mrps_dfn-aai_1.0.pdf\|Version 1.0 vom 31.3.2019]]		* [[https://www.aai.dfn.de/fileadmin/documents/mrps_dfn-aai_1.0.pdf\|Version 1.0 vom 31.3.2019]]

production

Anonymous (anonymous@undisclosed.example.com) — 2024-07-26T13:17:28+00:00

2024/02/15 10:06		aktuell
Zeile 82:		Zeile 82:
	</file>		</file>

-	Zur Konfiguration von Metadata Filters siehe die [[https://shibboleth.atlassian.net/wiki/spaces/IDP4/pages/1265631643/MetadataFilterConfiguration\|Dokumentation im Shibboleth Wiki]].	+	Zur Konfiguration von Metadata Filters siehe die [[https://shibboleth.atlassian.net/wiki/spaces/IDP5/pages/3199507005/MetadataFilterConfiguration\|Dokumentation im Shibboleth Wiki]].

	Hinweis zu den eduGAIN-Metadaten:		Hinweis zu den eduGAIN-Metadaten:

registration

Anonymous (anonymous@undisclosed.example.com) — 2024-02-14T13:41:47+00:00

2020/10/15 14:17		aktuell
Zeile 18:		Zeile 18:
	Fax: +49-30-884299-370		Fax: +49-30-884299-370

-	In begründeten Ausnahmefällen kann bereits vor der Vertragsunterzeichnung ein zeitlich befristeter Testaccount zur Verfügung gestellt werden. Wenden Sie sich hierzu an die DFN-AAI Hotline.	+	<del>In begründeten Ausnahmefällen kann bereits vor der Vertragsunterzeichnung ein zeitlich befristeter Testaccount zur Verfügung gestellt werden. Wenden Sie sich hierzu an die DFN-AAI Hotline.</del>

	Neu registrierte Entities (Identity Provider, Service Provider, Attribute Authorities) nehmen zunächst an der Testföderation "DFN-AAI-Test" teil, die nicht an den Produktivbetrieb angeschlossen ist.		Neu registrierte Entities (Identity Provider, Service Provider, Attribute Authorities) nehmen zunächst an der Testföderation "DFN-AAI-Test" teil, die nicht an den Produktivbetrieb angeschlossen ist.

requirements

Anonymous (anonymous@undisclosed.example.com) — 2026-04-24T11:58:23+00:00

2026/04/24 13:58		aktuell
Zeile 8:		Zeile 8:
	===Formale Kriterien===		===Formale Kriterien===
	* Zur Teilnahme an der DFN-AAI ist eine vertragliche Vereinbarung mit dem DFN-Verein erforderlich. Zur Anforderung der Vertragsunterlagen siehe unter [[de:registration\|Anmeldung]]. Die Art der vertraglichen Vereinbarung hängt von der Art der Teilnahme an der DFN-AAI ab:		* Zur Teilnahme an der DFN-AAI ist eine vertragliche Vereinbarung mit dem DFN-Verein erforderlich. Zur Anforderung der Vertragsunterlagen siehe unter [[de:registration\|Anmeldung]]. Die Art der vertraglichen Vereinbarung hängt von der Art der Teilnahme an der DFN-AAI ab:
-	* Heimateinrichtungen / IdP-Betreiber: DFN-AAI ist ein Mehrwertdienst, d.h. als Voraussetzung für die Teilnahme an der DFN-AAI muss die betreffende Einrichtung einen [[https://dfn.de/wp-content/uploads/2022/01/Entgeltordnung-DFNInternet-und-Dienst-Paket-2_0721.pdf\|DFNInternet-Anschluss oder das 'Dienst-Paket']] buchen sowie den zugehörigen Rahmenvertrag unterzeichnen - hierfür wenden Sie sich bitte an [[mailto:dfn-internet@dfn.de\|dfn-internet@dfn.de]]. Ergänzend hierzu ist eine Dienstvereinbarung für die Teilnahme an der DFN-AAI abzuschließen. Diese enthält auch Vereinbarungen für den SP-Betrieb.	+	* Heimateinrichtungen / IdP-Betreiber: DFN-AAI ist ein Mehrwertdienst, d.h. als Voraussetzung für die Teilnahme an der DFN-AAI muss die betreffende Einrichtung einen [[https://dfn.de/wp-content/uploads/2022/01/Entgeltordnung-DFNInternet-und-Dienst-Paket-2_0721.pdf\|DFNInternet-Anschluss oder das 'Dienst-Paket']] buchen sowie den zugehörigen Rahmenvertrag unterzeichnen - hierfür wenden Sie sich bitte an [[dfn-internet@dfn.de\|dfn-internet@dfn.de]]. Ergänzend hierzu ist eine Dienstvereinbarung für die Teilnahme an der DFN-AAI abzuschließen. Diese enthält auch Vereinbarungen für den SP-Betrieb.
	* Dienstanbieter / SP-Betreiber: SP-Agreement (englisch) – keine sonstigen Voraussetzungen		* Dienstanbieter / SP-Betreiber: SP-Agreement (englisch) – keine sonstigen Voraussetzungen
	* Die aktuell gültigen [[de:normative_documents\|Policy-Dokumente]] sind zu beachten.		* Die aktuell gültigen [[de:normative_documents\|Policy-Dokumente]] sind zu beachten.

shibidp3upgrade

Anonymous (anonymous@undisclosed.example.com) — 2022-05-02T13:39:05+00:00

2021/10/20 12:22		aktuell
Zeile 148:		Zeile 148:
	* Deinstallation alter Pakete		* Deinstallation alter Pakete

-	{{tag>idp3 fixme}}	+	{{tag>archiv}}

shibslo

Anonymous (anonymous@undisclosed.example.com) — 2020-04-22T09:19:01+00:00

2015/12/29 13:14		aktuell
Zeile 1:		Zeile 1:
	====== Single Logout ======		====== Single Logout ======

-	Hier werden alle Beiträge zum Thema Single Logout gesammelt.
-	* [[de:shibidp3slo\|Logout und SLO am Shibboleth IdP]] (ab Version 3.2.x)

	* [[de:shibslohttpd\|Kopplung der Anwendungs-Session an die Shibboleth-Session am Apache-Webserver]]		* [[de:shibslohttpd\|Kopplung der Anwendungs-Session an die Shibboleth-Session am Apache-Webserver]]

shibslohttpd

Anonymous (anonymous@undisclosed.example.com) — 2015-12-09T10:59:44+00:00

2015/12/09 08:25		aktuell
Zeile 1:		Zeile 1:
	====== Kopplung der Anwendungs-Session an die Shibboleth-Session am Apache-Webserver ======		====== Kopplung der Anwendungs-Session an die Shibboleth-Session am Apache-Webserver ======

-	Die hier beschriebene Lösung beschäftigt sich mit dem Problem, dass beim ab IdP 3.2 verfügbare Single Logout lediglich die SAML-Session terminiert, jedoch die Anwendungssession weiter bestehen bleibt. Dieses und weitere Probleme beim Logout unter [[https://wiki.shibboleth.net/confluence/display/CONCEPT/SLOIssues]] diskutiert.	+	Das beim IdP ab Version 3.2 verfügbare Single Logout (SLO) terminiert lediglich die SAML-Session, jedoch bleibt die Anwendungs-Session i.d.R. weiter bestehen. Dieses und weitere Probleme beim Logout unter [[https://wiki.shibboleth.net/confluence/display/CONCEPT/SLOIssues]] diskutiert.
		+
		+	Nachfolgende Lösung zeigt eine Möglichkeit, die Anwendugs-Session direkt am Apache-Webserver an die Shibboleth-Session zu koppeln, ohne dass hierzu ein Eingriff in bestehende Software notwendig wird.

	Weiter zu [[de:shibslohttpd:introduction\|Einleitung]]		Weiter zu [[de:shibslohttpd:introduction\|Einleitung]]

shibsp

Anonymous (anonymous@undisclosed.example.com) — 2024-02-15T09:07:48+00:00

start

Anonymous (anonymous@undisclosed.example.com) — 2026-01-18T17:06:07+00:00

2024/07/08 10:05		aktuell
Zeile 1:		Zeile 1:
	====== Dokumentation DFN-AAI, DFN-PKI und eduroam ======		====== Dokumentation DFN-AAI, DFN-PKI und eduroam ======

-	Hier findet sich die [[de:dfnaai:start\|Online Dokumentation der DFN-AAI]] sowie die Dokumentation zum [[de:dfnpki:tcsfaq\|TCS-Service der DFN-PKI]] und [[de:eduroam:start\|eduroam]].	+	Hier findet sich die [[de:dfnaai:start\|Online Dokumentation der DFN-AAI]] sowie die Dokumentation zur [[de:dfnpki:start\|DFN-PKI]] und [[de:eduroam:start\|eduroam]].
-		+
-	Für Informationen zur DFN-PKI allgemein orientieren Sie sich bitte nach wie vor an https://www.pki.dfn.de.	+

	Änderungsfeed: https://doku.tid.dfn.de/feed.php		Änderungsfeed: https://doku.tid.dfn.de/feed.php

tag-idp3

Anonymous (anonymous@undisclosed.example.com) — 2020-04-16T07:32:16+00:00

2026/04/29 00:57		aktuell
Zeile 1:		Zeile 1:
		+	{{topic>idp3}}

tag-idp4

Anonymous (anonymous@undisclosed.example.com) — 2020-04-16T07:30:59+00:00

2026/04/29 00:57		aktuell
Zeile 1:		Zeile 1:
		+	{{topic>idp4}}

2023/01/12 17:42		aktuell
Zeile 15:		Zeile 15:
	Eine Reihe von Diensten stehen prinzipiell *allen Nutzerinnen und Einrichtungen offen. Allerdings sind sie in der Regel nur personalisiert nutzbar**: Der IdP muss personenbezogene Angaben übertragen, z.B. Namen, E-Mail-Adresse und/oder eindeutige Identifier (eduPersonPrincipalName, persistentId, eduPersonTargetedID, eduPersonUniqueId). Dienste dieser Art sind zum Beispiel:		Eine Reihe von Diensten stehen prinzipiell *allen Nutzerinnen und Einrichtungen offen. Allerdings sind sie in der Regel nur personalisiert nutzbar**: Der IdP muss personenbezogene Angaben übertragen, z.B. Namen, E-Mail-Adresse und/oder eindeutige Identifier (eduPersonPrincipalName, persistentId, eduPersonTargetedID, eduPersonUniqueId). Dienste dieser Art sind zum Beispiel:

-	* [[https://gigamove.rz.rwth-aachen.de/help\|Gigamove]] (DFN-AAI)	+	* [[https://gigamove.rwth-aachen.de/de\| GigaMove]] (DFN-AAI)
	* [[https://textgrid.de/web/guest/registrierung\|TextGrid]] (DFN-AAI-Basic)		* [[https://textgrid.de/web/guest/registrierung\|TextGrid]] (DFN-AAI-Basic)
-	* [[http://weblicht.sfs.uni-tuebingen.de/weblichtwiki/index.php/Main_Page\|WebLicht]] (DFN-AAI)	+	* [[https://weblicht.sfs.uni-tuebingen.de/weblichtwiki/Main_Page.html\|WebLicht]] (DFN-AAI)

	Andere Dienste stehen zwar grundsätzlich allen IdPs/Einrichtungen offen, allerdings sind nur bestimmte Nutzergruppen zugriffsberechtigt. I.d.R. handelt es sich hierbei um Angehörige der jeweiligen Einrichtung im engeren Sinne, d.h. gemäß des jeweiligen Landeshochschulgesetzes. Zur Autorisierung werden normalerweise die Attribute eduPersonScopedAffiliation und/oder eduPersonEntitlement abgefragt. Ein Beispiel ist der vom DFN angebotene [[https://www.conf.dfn.de\|Konferenzdienst DFNconf]], bei dem nur bestimmte Nutzergruppen Meetingräume einrichten dürfen:		Andere Dienste stehen zwar grundsätzlich allen IdPs/Einrichtungen offen, allerdings sind nur bestimmte Nutzergruppen zugriffsberechtigt. I.d.R. handelt es sich hierbei um Angehörige der jeweiligen Einrichtung im engeren Sinne, d.h. gemäß des jeweiligen Landeshochschulgesetzes. Zur Autorisierung werden normalerweise die Attribute eduPersonScopedAffiliation und/oder eduPersonEntitlement abgefragt. Ein Beispiel ist der vom DFN angebotene [[https://www.conf.dfn.de\|Konferenzdienst DFNconf]], bei dem nur bestimmte Nutzergruppen Meetingräume einrichten dürfen:

2025/06/06 18:19		aktuell
Zeile 152:		Zeile 152:
	\| Anzahl der Werte \| mehrere \|		\| Anzahl der Werte \| mehrere \|
	\| erlaubte Werte \| faculty, student, staff, alum, member, affiliate, employee, library-walk-in \|		\| erlaubte Werte \| faculty, student, staff, alum, member, affiliate, employee, library-walk-in \|
-	\| Bemerkungen \| faculty: Mitglied des Lehrkörpers \\ student: Studierende \\ staff: Mitarbeiter, die nicht zum Lehrkörper gehören \\ employee: faculty, staff und sonstige Angestellte \\ alum: Alumni, Ehemalige Angehörige \\ member: faculty, staff, student (strenggenommen Angehörige der Einrichtung im Sinne des jeweiligen Landeshochschulgesetzes) \\ affiliate: anderweitig mit der Organisation assoziierte Personen wie Gasthörer, Gastdozenten, Projektpartner, etc. \\ library-walk-in: Personen, die sich (physikalisch) in der Bibliothek befinden (i.d.R. handelt es sich technisch gesehen um ein Terminal) \\ Das Attribut bleibt leer, wenn keine Kategorie passt. \\ Die Belegung und Verwendung der o.g. Werte wird regional und international nicht einheitlich gehandhabt, insbesondere was 'employee' und 'staff' betrifft. Vgl. hierzu [[https://www.terena.org/activities/refeds/docs/ePSAcomparison_0_13.pdf\|REFEDs ePSA usage comparison v0.13]]. \\ Wird eduPersonAffiliation ohne Scope verwendet (s. [[#a09\|eduPersonScopedAffiliation]]), benötigt der betreffende Dienst i.d.R. ein weiteres Attribut, das die Information über die jeweilige Heimateinrichtung transportiert, z.B. [[#a06\|o]], schacHomeOrganization oder ein anderes //scoped attribute// wie [[#a07\|eduPersonPrincipalName]]. \|	+	\| Bemerkungen \| faculty: Mitglied des Lehrkörpers \\ student: Studierende \\ staff: Mitarbeiter, die nicht zum Lehrkörper gehören \\ employee: faculty, staff und sonstige Angestellte \\ alum: Alumni, Ehemalige Angehörige \\ member: faculty, staff, student (strenggenommen Angehörige der Einrichtung im Sinne des jeweiligen Landeshochschulgesetzes) \\ affiliate: anderweitig mit der Organisation assoziierte Personen wie Gasthörer, Gastdozenten, Projektpartner, etc. \\ library-walk-in: Personen, die sich (physikalisch) in der Bibliothek befinden (i.d.R. handelt es sich technisch gesehen um ein Terminal) \\ Das Attribut bleibt leer, wenn keine Kategorie passt. \\ Die Belegung und Verwendung der o.g. Werte wird regional und international nicht einheitlich gehandhabt, insbesondere was 'employee' und 'staff' betrifft. Vgl. hierzu [[https://refeds.org/wp-content/uploads/2015/05/ePSAcomparison_0_13.pdf\|REFEDs ePSA usage comparison v0.13]]. \\ Wird eduPersonAffiliation ohne Scope verwendet (s. [[#a09\|eduPersonScopedAffiliation]]), benötigt der betreffende Dienst i.d.R. ein weiteres Attribut, das die Information über die jeweilige Heimateinrichtung transportiert, z.B. [[#a06\|o]], schacHomeOrganization oder ein anderes //scoped attribute// wie [[#a07\|eduPersonPrincipalName]]. \|
	\| Beispiel \| eduPersonAffiliation: student \|		\| Beispiel \| eduPersonAffiliation: student \|
	\| Verwendungszweck \| Das Attribut wird je nach Anwendung mit oder ohne Scope verwendet, Beispiele siehe [[#a09\|eduPersonScopedAffiliation]]. Autorisierung auf der Ebene von Zugehörigkeiten. \|		\| Verwendungszweck \| Das Attribut wird je nach Anwendung mit oder ohne Scope verwendet, Beispiele siehe [[#a09\|eduPersonScopedAffiliation]]. Autorisierung auf der Ebene von Zugehörigkeiten. \|

2025/09/26 16:00		aktuell
Zeile 53:		Zeile 53:
	* [[de:shibidp:config-testzugang\|Testzugang für externe Admins]]		* [[de:shibidp:config-testzugang\|Testzugang für externe Admins]]
	* [[de:shibidp:config-cluster\|Hochverfügbarkeit]]		* [[de:shibidp:config-cluster\|Hochverfügbarkeit]]
-	* [[de:shibidp:config-x509\|X509-Authentifizierung]]
	* [[de:shibidp:mfa\|Mehr-Faktor-Authentifizierung]]		* [[de:shibidp:mfa\|Mehr-Faktor-Authentifizierung]]
	* [[de:shibidp:plugin-fudiscr\|IdP-Plugin fudiscr]]		* [[de:shibidp:plugin-fudiscr\|IdP-Plugin fudiscr]]

2023/08/09 10:40		aktuell
Zeile 37:		Zeile 37:

	Einige Anbieter haben dokumentiert, wie WAYFless URLs für ihre Plattform erzeugt werden können:		Einige Anbieter haben dokumentiert, wie WAYFless URLs für ihre Plattform erzeugt werden können:
-	* [[https://www.conf.dfn.de/beschreibung-des-dienstes/aai-freischaltung/\|DFNconf und DFN-Webconf]]	+	* [[https://www.conf.dfn.de/anleitungen-und-dokumentation/dfnconf-portal/aai-freischaltung\|DFNconf und DFN-Webconf]]
-	* [[https://www.elsevier.com/solutions/sciencedirect/support/federated-authentication-through-saml\|Elsevier für ScienceDirect]]	+	* [[https://service.elsevier.com/app/answers/detail/a_id/28537/supporthub/elsevieraccess/\|Elsevier]]
-	* [[https://springeronlineservice.freshdesk.com/support/solutions/articles/6000085989-what-is-a-wayfless-url-\|Springer Online]]	+	* [[https://idp.nature.com/help/sso#wayfless\|Springer Nature]]
	* [[https://www.ukfederation.org.uk/content/Documents/AvailableServices\|Liste von Anbietern in der UK-Föderation]], anwendbar auch für die DFN-AAI da die URL-Konfiguration föderationsunabhängig ist		* [[https://www.ukfederation.org.uk/content/Documents/AvailableServices\|Liste von Anbietern in der UK-Föderation]], anwendbar auch für die DFN-AAI da die URL-Konfiguration föderationsunabhängig ist

2025/10/17 12:23		aktuell
Zeile 20:		Zeile 20:
	\| [[#a05\|05]] \| Titel \| title \| organizationalPerson \|		\| [[#a05\|05]] \| Titel \| title \| organizationalPerson \|
	\| [[#a06\|06]] \| Kostenstelle \| dfnEduPersonCostCenter \| dfnEduPerson \|		\| [[#a06\|06]] \| Kostenstelle \| dfnEduPersonCostCenter \| dfnEduPerson \|
-	\| [[#a07\|07]] \| Fächergruppe \|dfnEduPersonstudyBranch1 \| dfnEduPerson \|	+	\| [[#a07\|07]] \| Fächergruppe \|dfnEduPersonStudyBranch1 \| dfnEduPerson \|
	\| [[#a08\|08]] \| Studienbereich \| dfnEduPersonStudyBranch2 \| dfnEduPerson \|		\| [[#a08\|08]] \| Studienbereich \| dfnEduPersonStudyBranch2 \| dfnEduPerson \|
	\| [[#a09\|09]] \| Studienfach \| dfnEduPersonStudyBranch3 \| dfnEduPerson \|		\| [[#a09\|09]] \| Studienfach \| dfnEduPersonStudyBranch3 \| dfnEduPerson \|

2024/02/15 10:06		aktuell
Zeile 79:		Zeile 79:
	url="http://www.aai.dfn.de/metadata/dfn-aai-idp-metadata.xml"		url="http://www.aai.dfn.de/metadata/dfn-aai-idp-metadata.xml"
	validate="true" backingFilePath="dfn-aai-idp-metadata.xml" reloadInterval="3600">		validate="true" backingFilePath="dfn-aai-idp-metadata.xml" reloadInterval="3600">
-	<MetadataFilter type="Signature" certificate="/etc/ssl/aai/dfn-aai.pem" />	+	<MetadataFilter type="Signature" certificate="/etc/ssl/aai/dfn-aai.pem" verifyBackup="false" />
	<MetadataFilter type="Include">		<MetadataFilter type="Include">
	<Include>https://idp.uni-beispiel1.de/idp/shibboleth</Include>		<Include>https://idp.uni-beispiel1.de/idp/shibboleth</Include>
Zeile 103:		Zeile 103:
	url="http://www.aai.dfn.de/metadata/dfn-aai-edugain+idp-metadata.xml"		url="http://www.aai.dfn.de/metadata/dfn-aai-edugain+idp-metadata.xml"
	validate="true" backingFilePath="dfn-aai-edugain+idp-metadata.xml" reloadInterval="3600">		validate="true" backingFilePath="dfn-aai-edugain+idp-metadata.xml" reloadInterval="3600">
-	<MetadataFilter type="Signature" certificate="/etc/ssl/aai/dfn-aai.pem" />	+	<MetadataFilter type="Signature" certificate="/etc/ssl/aai/dfn-aai.pem" verifyBackup="false" />
	<MetadataFilter type="Include" matcher="RegistrationAuthority">		<MetadataFilter type="Include" matcher="RegistrationAuthority">
	<registrationAuthority>http://rr.aai.switch.ch/</registrationAuthority>		<registrationAuthority>http://rr.aai.switch.ch/</registrationAuthority>
Zeile 119:		Zeile 119:
	url="http://www.aai.dfn.de/metadata/dfn-aai-edugain+idp-metadata.xml"		url="http://www.aai.dfn.de/metadata/dfn-aai-edugain+idp-metadata.xml"
	validate="true" backingFilePath="dfn-aai-edugain+idp-metadata.xml" reloadInterval="3600">		validate="true" backingFilePath="dfn-aai-edugain+idp-metadata.xml" reloadInterval="3600">
-	<MetadataFilter type="Signature" certificate="/etc/ssl/aai/dfn-aai.pem" />	+	<MetadataFilter type="Signature" certificate="/etc/ssl/aai/dfn-aai.pem" verifyBackup="false" />
	<MetadataFilter type="Exclude" matcher="RegistrationAuthority">		<MetadataFilter type="Exclude" matcher="RegistrationAuthority">
	<registrationAuthority>http://xyz.qq</registrationAuthority>		<registrationAuthority>http://xyz.qq</registrationAuthority>