Raoul Borenius, DFN-AAI-Team

Transkript

1 Shibboleth als technische Grundlage für föderative Angebote Funktionalität und Einsatzbereiche am Beispiel der Authentifizierungs- und Autorisierungs-Infrastruktur des Deutschen Forschungsnetzes (DFN-AAI) Raoul Borenius, DFN-AAI-Team

2 AAI: Übersicht Zugriff auf geschützte Web-Resourcen und die damit verbundenen Probleme die DFN-Föderation als mögliche Lösung technische Umsetzung mithilfe der Shibboleth-Software Bestandteile von Shibboleth Metadaten Teilnahme an der DFN-AAI Einsatzbereiche aktueller Stand in der DFN-AAI Diskussion

3 AAI: Zugriff auf geschützte Resourcen Zugriff ohne AAI: Zugriff mit AAI: Authentifizierung (Wer bin ich?) und Autorisierung (Was darf ich?) beim Anbieter! Trennung von Authentifizierung und Autorisierung! pro Anbieter einen Schlüssel/Identität Anbieter hat hohen Aufwand bei der Nutzerverwaltung in vielen Fällen wird dann auf IP-Kontrolle ausgewichen Angebot nicht von überall zu erreichen Authentifizierung immer bei der Heimateinrichtung (Uni) Übermittlung von Eigenschaften (Attribute) des Nutzers an den Anbieter, z.b. seinen Status (Student, Professor, Gast, Alumni, etc.) Autorisierung aufgrund dieser Attribute beim Anbieter (z.b. Rollenbasiert)

4 AAI: Vorteile Vorteile für den Nutzer: eine einzige Netzidentität: einfacher kontrollierter Zugang zu verschiedenen Anbietern Single-Sign-On: nur einmal (pro Tag) eine Anmeldung erforderlich Standard-Software: keine Work-Arounds auf dem Client-Rechner mehr nötig (z.b. VPN-Software wegen IP-Begrenzung beim Anbieter) Datenschutz: Anbieter erhält nur die nötigsten Attribute die er braucht (z.b. die Rolle des Nutzers). Nutzer behält seine Anonymität Vorteile für den Anbieter: Keine Userverwaltung (bzw. Pflege von IP-Listen) mehr kann verschiedenen User-Gruppen sehr flexibel verschiedene Zugriffe gestatten. Anbieter erreicht durch einen einzigen Vertragsabschluß eine Vielzahl von Anwendern die gleich behandelt werden können

5 AAI: Problem durch Trennung von Authn und Authnz Problem: Anbieter muss den von der Heimateinrichtung übermittelten Angaben (Attributen) zum Nutzer vertrauen können! Lösung: Schaffung von Vertrauensverhältnis durch eine Föderation!

6 AAI: Die DFN-Föderation Die Föderation DFN-AAI (Authentifizierungs- und Autorisierungs-Infrastruktur des Deutschen ForschungsNetzes) Bildet die Grundlage des Vertrauensverhältnisses Teilnehmer verpflichtet sich per Vertrag zur Einhaltung von Spielregeln die Spielregeln (Föderations-Policy) legt der DFN in Absprache mit den Teilnehmern fest, z.b.: welcher Satz von Attributen wird verwendet (z.b. eduperson) welche Anforderungen die x509-zertifikate erfüllen müssen, welche zur Absicherung der Kommunikation zwischen Einrichtung und Anbieter verwendet werden welche Regeln müssen bei der Pflege der IdM-Systeme an den Heimateinrichtungen beachtet werden, zb.: Aktualität Verfikation der Person vor Aufnahme Existenz von definierten Prozessen bei Aufnahme bzw. Ausscheiden von Personen aus der Einrichtung Datenschutz muß beachtet werden alle Prozesse müssen Dokumentiert sein

7 AAI: Software Die DFN-AAI verwendet wie die meisten europäischen Föderationen die Softeware Shibboleth des Internet2-Consortiums. Shibboleth besteht aus zwei Haupt-Komponenten: Identity-Provider (IdP) für die Heimateinrichtung Service-Provider (SP) für die Anbieterseite. der Datenaustausch zwischen diesen Komponenten geschieht per Security Assertion Markup Language (SAML) SAML ist ein offener Standard, basierend auf XML die SAML-Implementierung Shibboleth ist Open Source, d.h. frei erhältlich für verschiedene Systeme.

8 AAI: Funktionsweise von Shibboleth Erster Zugriff Anbieter 1 (1) Shibboleth-Sitzung vorhanden? (3) Discovery-Service Benutzerin (6) nein (2) (4) Authentifizierungsanfrage Login (5) (8) Ja Heimateinrichtung AuthN & Attribute (7) Nein Zugriff

9 AAI: Funktionsweise von Shibboleth Zweiter Zugriff gleicher Anbieter Anbieter 1 (1) Shibboleth-Sitzung vorhanden? (2) ja Benutzerin (3) Ja Heimateinrichtung Nein Zugriff

10 AAI: Funktionsweise von Shibboleth Erster Zugriff anderer Anbieter Anbieter 2 (1) Shibboleth-Sitzung vorhanden? nein (2) Discovery-Service Benutzerin (3) Authentifizierungsanfrage (4) (6) Ja Heimateinrichtung AuthN & Attribute (5) Nein Zugriff

11 AAI: Bestandteile von Shibboleth Anbieter Heimateinrichtung Apache 2.x Apache 2.x mod_proxy Tomcat 5.x IdM IdM AttributeAuthority Shib-Module DiscoveryService (Servlet) SSO-Profile AuthenticationHandler Identity-Provider (Servlet) SSL-ServerZertifikate SessionInitiator Assertion Consumer Service Shib Daemon Service-Provider (C++) Zugriffskontrolle Web-Ressource

12 AAI: Metadaten ( Telefonbuch ) Woher kennen sich eigentlich Anbieter und Heimateinrichtung? Heimateinrichtung Anbieter Identity-Provider Service-Provider Discovery- Service Metadaten Metadaten Metadaten

13 AAI: Metadaten ( Telefonbuch ) Die Metadaten bilden die Föderation auf technischer Ebene ab Sie beinhalten eine vollständige Liste aller teilnehmenden Anbieter (SPs) und Einrichtungen (IdPs) mit deren Kommunikationsendpunkten: <EntityDescriptor entityid=" <IDPSSODescriptor protocolsupportenumeration="urn:oasis:names:tc:saml:1.1:protocol urn:mace:shibboleth:1.0"> <Extensions> <shibmeta:scope regexp="false">uni-freiburg.de</shibmeta:scope> </Extensions> <KeyDescriptor use="signing"> <ds:keyinfo> <ds:x509data> <ds:x509certificate> MIIFfTCCBGWgAwIBAgIECwSA/TANBgkqhkiG9w0BAQUFADCBhjELMAkGA1UEBhMC REUxHjAcBgNVBAoTFVVuaXZlcnNpdGFldCBGcmVpYnVyZzEWMBQGA1UECxMNUmVj agvue... w/gkdispd1t7/n/inb8bdduqhxn90ft6ymtgfl3ktylu6fwdiexcvlw7mky+wg56 2ERqngwPct4mRDp6O58BlZ4= </ds:x509certificate> </ds:x509data> </ds:keyinfo> </KeyDescriptor> <ArtifactResolutionService Binding="urn:oasis:names:tc:SAML:1.0:bindings:SOAP-binding" Location=" index="0"/> <NameIDFormat>urn:mace:shibboleth:1.0:nameIdentifier</NameIDFormat> <SingleSignOnService Binding="urn:mace:shibboleth:1.0:profiles:AuthnRequest" Location=" </IDPSSODescriptor>... </EntityDescriptor>

14 AAI: Teilnahme Registrierung für Metadatenverwaltung Metadaten eintragen Funktionstest in der Föderation DFN-AAI-Test Abschluß des Teilnahmevertrags mit dem DFN damit Verpflichtung zur Einhaltung der Föderations-Policy zwischen Anbieter und Einrichtung sind aber nach wie vor gesonderte Lizenzverträge nötig! Wechsel in die Produktiv-Föderation DFN-AAI

15 AAI: Teilnahme: Metadatenverwaltung Eingabe der Provider-Metadaten unter

16 AAI: Teilnahme: Testlauf Test Ihres Service Providers mithilfe unseres TestIdentity Providers: SP-Konfig (shibboleth.xml): wayfurl=" Beim Zugriff auf Ihre SP-Seite findet eine Weiterleitung auf unseren WAYF (Discovery Service) statt: Am WAYF wählen Sie DFN-Test-IdP aus

17 AAI: Teilnahme: Testlauf Der WAYF leitet Sie weiter zum Test-IdP Nach erfolgreicher Authentifizierung sollten Sie zur geschützten SP-Seite zurückgeleitet werden. Analog können Sie Ihren IdP gegen unseren Test-SP testen!

18 AAI: Einsatzbereiche Literatur-Recherche DFG-Nationallizenzen Fachportal Bildung REDI Verlage EBSCO Ovid Thomson Scientific Elsevier Metapress (Springer u.a.) Munzinger etc. Software-Verteilung Microsoft MSDNAA AUTOCAD E-Learning Bildungsportal Sachsen D-GRID

19 AAI: Timeline seit Januar 2006: Regelbetrieb DFN-PKI November 2006: Konzept DFN-AAI fertig seit März 2007: Pilotbetrieb April 2007: Teilnehmervertrag fertig September 2007: Anbietervertrag fertig ständig: Akquisition weiterer Anbieter ab Oktober 2007: Regelbetrieb ab 2008: Hochverfügbarkeit durch Redundanzkonzept (Discovery Service) ab Januar 2008: Attribut-Definition für E-Learning Juni 2008: Deutscher Bibliothekarstag In 2008: Umstieg auf Shibboleth 2.0 aktuell: 17 Service-Provider und 12 Einrichtungen in Produktion, siehe

20 AAI: Kontakt Für alle technischen Fragen rund um die DFN-AAI: Web: Seite 20