Shibboleth-AttributManagement. DFN-AAI Workshop Kaiserslautern

Transkript

1 Shibboleth-AttributManagement DFN-AAI Workshop Kaiserslautern Raoul Boreniu s hotline@a ai. dfn.de

2 Inhalt Generelles zu Attributen Attribut-Schemata: eduperson, SCHAC Attribut-Handling im IdP Resolver (attribut-resolver.xml) Filter (attribut-filter.xml) SAML-Assertion Attribut-Handling im SP Mapping (attribute-map.xml) Filter (attribute-policy.xml) Attribut-Mapping in Moodle

3 Attribute: Generelles Attribute bilden die Grundlage für die Autorisierung ( was darf ich? ). IdP stellt mithilfe von Attributen die notwendigen Informationen über den User zur Verfügung SP nimmt Attribute entgegen und stellt sie der Applikation zur Verfügung Applikation entscheidet anhand Ihrer Regeln über den Zugriff.

4 Attribute: Schemata Schemata legen eine Menge von Attributen, die zulässigen Werte und deren Bedeutung fest. Im Föderationsumfeld hat sich etabliert: eduperson (Weltweit) SCHAC (Erweiterungen für Europa) dfneduperson (Erweit. für Deutschland) Bindend für Kommunikation IdP SP, müssen aber nicht im IdM sein!

5 Attribute: Beispiele eduperson: edupersonscopedaffiliation (RollenZugehörigkeit) edupersonentitlement (Berechtigung) edupersonprincipalname (eindeutiger, nicht anonymer Username) edupersontargetedid (eindeutiger, anonymer Username) SCHAC: schacpersonaluniquecode (z.b. Mitarbeiternummer, Matrikelnummer)

6 Attribut-Handling im IdP Liest alle rohen Attribute des Users aus dem IdM (LDAP, SQL) rohe IdM-Attribute können gesplittet, zusammengefügt und umgeschrieben werden die transformierten Attribute werden in SAML1- bzw. SAML2-Assertion ( Zusicherung ) verpackt. Assertion wird per HTTP-Post an den ACS des SPs geschickt (URL aus Föderations-Metadaten)

7 IdP: IdM-Attribute auslesen attribute-resolver.xml:

8 IdP: IdM-Attribute umschreiben rohe IdM-Attribute werden umgeschrieben auf eduperson, SCHAC, dfneduperson, etc.) durch verschiedene Attribute Defnitions : Simple Mapped Script etc.

9 IdP: Beispiel-IdM

10 IdP: simple attribute definition attribute-resolver.xml:

11 IdP: mapped attribute definition

12 IdP: script attribute definition attribute-resolver.xml:

13 IdP: attribute encoding nach Umwandlung der Attribute werden diese in eine Form gebracht die der empfangende SP versteht: wird auch in attribute-resolver.xml konfiguriert. die üblichen Attribute sind dort schon eingetragen im Normalfall muss man sich nicht darum kümmern.

14 IdP: Attribut-Filter legt fest welche Attribute an einen SP versendet werden (Datenschutz!) sehr flexibel, Regeln sind möglich pro Föderation pro SP pro User pro Attribut-Wert Boolesche Kombinationen daraus scriptbasiert

15 IdP: Attribut Filter attribute-filter.xml, Beispiel für Verlags-SPs:

16 IdP: Attribut Filter attribute-filter.xml, Beispiel für Moodle-SP:

17 IdP: SAML2-Assertion Üblicherweise verschlüsselt damit Daten am Browser nicht abgehört werden können. Testweise im Klartext transportierbar relying-party.xml: logging.xml: Assertion wird so in idp-process.log sichtbar.

18 SAML2-Assertion, Teil 1

19 SAML2-Assertion, Teil 2

20 SAML2-Assertion, Teil 3

21 SAML2-Assertion: SAML-Tracer alternatives Debug-Tool:

22 SP: Assertion Consumer Service empfängt die SAML-Assertion vom IdP extrahiert die Attribute mapped Attribute auf interne Variablen filtert Variablen exportiert Variablen per CGI-Interface

23 SP: Attribute umschreiben attribute-map.xml übliche Attribute sind vordefiniert!

24 SP: Attribute Filter filtert Variablen und deren Werte attribute-policy.xml, erzwingt bestimmte Werte bei edupersonaffiliation: Default-Policy ist meist ausreichend! (für Moodle keine Anpassung nötig)

25 SP: Session-Informationen

26 SP: REMOTE_USER Variable spezielle CGI-Variable in der die Identität des Users enthalten ist. eines oder mehrere Attribute aus attribute-map.xml können dafür verwendet werden! wird gesetzt in shibboleth2.xml: damit lassen sich auch Applikationen durch Shibboleth schützen die keine direkte Shibboleth-Unterstützung mitbringen.

27 SP: Attribut-Mapping in Moodle

28