Einführung in Shibboleth 5. Shibboleth-Workshop der AAR in Kooperation mit der DFN- AAI , Berlin Franck Borel - UB Freiburg

Transkript

1 Einführung in Shibboleth 5. Shibboleth-Workshop der AAR in Kooperation mit der DFN- AAI , Berlin

2 Übersicht Was ist Shibboleth? Warum Shibboleth? Wie funktioniert Shibboleth? Attribute Metadaten Föderation 2

3 Was ist Shibboleth? Shibboleth ist ein einrichtungsübergreifender SSO-Dienst für den Zugriff auf geschützte Web- Ressourcen Wird durch Internet2 entwickelt Basiert auf SAML: Security Assertion Markup Language Open-Source Lizenz 3

4 Warum Shibboleth? Nutzer Zugriff auf Dienste von überall her Alle Dienste sollen nach einmaliger Authentifizierung und Autorisierung zur Verfügung stehen (Single Sign-On). Einrichtungen (etwa Hochschulen) bestehendes Identity-Management nutzen Einfache Anbindung an das bestehende Identity-Management Anbieter Schützen der lizenzpflichtigen Inhalte Keine eigene Benutzerverwaltung Kontrolle über die Nutzung (wer darf was?) Statistische Auswertung (auch für Abrechnungen wichtig!) 4

5 Woher kommt "Shibboleth"? Hintergrund ist eine Stelle aus dem Alten Testament, Buch Richter Kapitel 12 Vers 5ff 5

6 Woher kommt "Shibboleth"? Und die Gileaditer nahmen ein die Furt des Jordans vor Ephraim Wenn nun sprachen die Flüchtigen Ephraims: Laß mich hinübergehen, so sprachen die Männer von Gilead zu ihm: Bist du ein Ephraiter? Wenn er dann antwortete: Nein... 6

7 Woher kommt "Shibboleth"?...so hießen sie ihn sprechen: Schiboleth 7

8 Woher kommt "Shibboleth"?...so sprach er: Siboleth, und konnte es nicht recht reden. 8

9 Woher kommt "Shibboleth"? So griffen sie ihn und schlugen ihn an der Furt des Jordans... 9

10 Woher kommt "Shibboleth"? der Zeit von Ephraim fielen zweiundvierzigtausend. 10

11 Woher kommt "Shibboleth"? Das Wort Shibboleth ist somit wohl das erste biometrische Autorisierungsverfahren gewesen. 11

12 Wie funktioniert Shibboleth? Benutzerin (5) Login (3) Lokalisierungsdienst (WAYF, IdP Discovery) (4) (1) (6) Anbieter Benutzerin angemeldet? (2) nein Benutzerin berechtigt? Heimateinrichtung (7) (8) ja nein (9) gestattet verweigert Zugriff 12

13 Wie funktioniert Shibboleth? (1) Anbieter Benutzerin bekannt? (2) ja Benutzerin Benutzerin berechtigt? (7) ja nein (9) gestattet verweigert Zugriff 13

14 Wie funktioniert Shibboleth? (1) Anbieter Benutzerin bekannt? Benutzerin (3) Lokalisierungsdienst (WAYF, IdP Discovery) (4) (6) (2) nein Benutzerin berechtigt? Heimateinrichtung (7) (8) ja nein (9) gestattet verweigert Zugriff 14

15 Wie funktioniert Shibboleth? Bestandteile: IdP (bei der Heimateinrichtung) Authentifizierung (frei wählbar) Identity Management (frei wählbar) Autorisierung (Bestandteil von Shibboleth) Identity Management (frei wählbar) SP (beim Anbieter) Zugriffskontrolle Erwartet: Erfolgreiche Authentifizierung Attribute WAYF (Lokalisierungsdienst) optional Liste mit Einrichtungen und Anbietern Als selbständiger Dienst oder beim Anbieter 15

16 Wie funktioniert Shibboleth? Server- Zertifikat SSL Bestandteile SSL Server- Zertifikat Heimateinrichtung Benutzer Anbieter Authentifizierungsverfahren Identity-Provider Metadaten Server- Zertifikat WAYF Metadaten Zertifikat Service-Provider Metadaten Optional: lokaler WAYF Client- Zertifikat Optional: ShARPE/Autograph Identity-Management SSL Server- Zertifikat Zugangskontrolle Web-Ressource 16

17 Attribute Attribute bilden die Grundlage für die Autorisierung und Zugriffskontrolle in Shibboleth: Identity-Provider stellen mit Attributen die notwendigen Informationen über ihre Benutzer zur Verfügung. Service-Provider werten die Attribute anhand ihrer Regeln aus und gestatten oder verweigern je nach Ergebnis den Zugriff. Hierfür sind Absprachen zwischen Identity- und Service-Providern notwendig, die durch Verwendung eines einheitlichen Schemas vereinfacht werden! Voraussetzung sind verlässliche Benutzerdaten, also ein funktionierendes Identity-Management 17

18 Attribute InCommon hat mit eduperson den Standard für den Austausch von Attributen vorgegeben. Andere Föderationen und internationale Anbieter orientieren sich üblicherweise an diesem Standard. Die meisten Service-Provider kommen dabei mit wenigen Attributen aus, häufig verwendet werden: edupersonaffiliation: member, faculty, staff, student,... edupersonentitlement: beliebige Rechteinformationen, z.b. urn:mace:dir:entitlement:common-lib-terms edupersonprincipalname: Net-ID des Benutzers. edupersontargetedid: eindeutiges Pseudonym des Benutzers für einen Anbieter, z.b. für Personalisierung. 18

19 Attribute Regeln, welche Informationen die Attribute enthalten dürfen, wird von Shibboleth nicht vorgeschrieben! personenbezogene Daten dürfen nach den (EU-) Datenschutzbestimmungen nur weitergegeben werden, wenn dies für die Erbringung des Dienstes notwendig ist und der Benutzer der Weitergabe ausdrücklich zustimmt. Die Weitergabe der Attribute erfolgt in Shibboleth über Attribute-Richtlinien (Attribute Release Policies) auf Einrichtungs- und Benutzerebene. 19

20 Attribute MAMS (Meta-Access Management System, Australien) hat Werkzeuge für die Verwaltung der ARPs entwickelt (siehe ShARPE (Shibboleth Attribute Release Policy Editor, Administrationsschnittstelle) und Autograph (Benutzerschnittstelle) Die Attribute, die an einen Service-Provider weitergegeben werden, werden den Benutzern in Form von Visitenkarten präsentiert. Die Benutzer können für jeden Service-Provider sehr intuitiv individuelle Visitenkarten erstellen. 20

21 Attribute MAMS Visitenkartenmodell Sie geben folgende Daten an den Dienstanbieter weiter. Wenn Sie einzelne Daten nicht weitergeben wollen, löschen Sie bitte die Markierung: Namen: Franck Borel Mitgliedstyp: Staff X X Auswirkung: Ohne -Adresse ist die Nutzung des Alert-Dienstes nicht möglich. 21

22 Attribute und Zugriffskontrolle Heimateinrichtung Fordert Attribute an Anbieter Identity-Provider Attribute Authority (AA) (1) Service-Provider Shibd (4) (3) ARP AAP (5) (2) (3) Filtert Attribute Zugriffskontrolle (6) Identity-Management Web-Ressource Hole alle Attribute Erhält gefilterte Attributliste und entscheidet über den Zugriff 22

23 Metadaten Vertrauen & Sicherheit: Infos über Zertifikate und providerid, damit man weiss mit wem man Daten austauscht. Metadaten werden signiert, um ihre Authentizität und Integrität zu gewährleisten. Mit gefälschten Metadaten wäre es möglich, sämtliche Shibboleth-Sicherheitsmechanismen auszuhebeln! Metadaten sind fundamental für die Föderation! Metadaten müssen aktuell und synchron sein, sonst klappt die Interoperabilität nicht. Werkzeuge für die Verwaltung der Metadaten werden benötigt. 23

24 Föderation Einrichtungen Anbieter Föderation 24

25 Föderation Eine Föderation ist ein Zusammenschluss von Einrichtungen und Anbietern auf Basis gemeinsamer Richtlinien. Eine Föderation schafft das notwendige Vertrauen zwischen Einrichtungen und Anbietern und den organisatorischen Rahmen für den Austausch von Benutzerinformationen. Unter Koordination des DFN entsteht eine deutschlandweite Föderation (DFN-AAI) 25

26 Föderation Föderationen weltweit (Quelle: Internet2, DFN-AAI) Australien (MAMS) Dänemark (DK-AAI) Deutschland (DFN-AAI) Finnland (HAKA) Frankreich (CRU) Norwegen (FEIDE) Schweden (SWAMID) Schweiz (SWITCH) UK (SDSS) US (InCommon) 26

27 Unterstützung von Shibboleth bei Dienstanbietern Index of Shibboleth-Enabled Applications and Services (Quelle: internet2) American Chemical Society ArtSTOR CSA Digitalbrain PLC EBSCO Publishing Elsevier ScienceDirect JSTOR The Literary Encyclopedia NSDL OCLC Ovid Projekt MUSE Proquest Information and Learning Serials Solutions SCRAN Thomson Gale Thomson ISI/Scientific (7/2008) EZProxy Metapress (7/2008) In Deutschland Infoconnex Vascoda (?) ReDI SaxIS FIZ-Technik (7/2008) GBI/Genios Springer (7/2008) DIPF GBV/NL 27

28 Danke für Ihre Aufmerksamkeit! AAR ist ein Projekt der UB Freiburg Gefördert vom BMBF (PT-NMB+F ) aar.vascoda.de info@aar.vascoda.de borel@ub.uni-freiburg.de 28