Konzept zum Shibboleth-Einsatz für E-Learning in Bayern 4. Shibboleth-Workshop, Berlin 28. Februar 2007 Wolfgang Hommel, Leibniz-Rechenzentrum 28. Februar 2007 Konzept zum Shibboleth-Einsatz für E-Learning in Bayern 1
Agenda Überblick über das Vorhaben Virtuelle Hochschule Bayern (vhb) Bisherige Lösungsansätze Projektziele e e Herausforderungen Datenschutz mit Shibboleth Attribute Release Policies Verwendung von XACML als Policysprache 28. Februar 2007 Konzept zum Shibboleth-Einsatz für E-Learning in Bayern 2
Erweiterte Zielsetzung AAI wörtlich genommen: Authentifizierung: Benutzer wurde authentifiziert Autorisierung: Benutzer darf Dienst nutzen Benutzerprofile, z.b. für E-Learning: Herr Max Mustermann, geboren am 28.02.1987, hat die Matrikelnummer 1234567 und studiert im 3. Semester Maschinenbau (Master). 28. Februar 2007 Konzept zum Shibboleth-Einsatz für E-Learning in Bayern 3
Virtuelle Hochschule Bayern (vhb) Verbund von 36 Trägerhochschulen Mehr als 300 Kurse, 15.000 Studenten und 40.000000 Kursbelegungen pro Jahr Bildquelle: vhb vhb als Vermittler: Learning Management Systeme (LMS) dezentral betrieben 28. Februar 2007 Konzept zum Shibboleth-Einsatz für E-Learning in Bayern 4
Bisheriger Ablauf Resultat: Verschiedene Benutzernamen/Passworte bei der Heimathochschule, vhb und pro Kurs 28. Februar 2007 Konzept zum Shibboleth-Einsatz für E-Learning in Bayern 5
Motivation für den Shibboleth-Einsatz Einheitliches technisches Verfahren für möglichst viele Dienste: Erspart initialen Mehraufwand Nachhaltigkeit und effizienter Dauerbetrieb De-facto Standard: Argument für Schnittstellenimplementierung durch Hersteller von Learning Mgmt. Systemen Frühere Shibboleth-Projekte und Testumgebungen vielversprechend 28. Februar 2007 Konzept zum Shibboleth-Einsatz für E-Learning in Bayern 6
Projektziel 1/3 Liste von vhb- Trägerhochschulen LDAP Server (Identity Repository) Where Are You From? Service Shibboleth Identity Provider Single Sign-On + Benutzerprofil Shibboleth Service Provider Trägerhochschule Student Shibboleth-basierte basierte Übermittlung von Benutzerdaten an die vhb 28. Februar 2007 Konzept zum Shibboleth-Einsatz für E-Learning in Bayern 7 vhb
Projektziel 2/3 Learning Management System, Shibboleth SP Single Sign-On + Benutzerprofil Kursanbieter Shibboleth Identity Provider Trägerhochschule Single Sign-On Student Shibboleth Service Provider vhb Shibboleth-basierte basierte Nutzung dezentraler E-Learning Systeme 28. Februar 2007 Konzept zum Shibboleth-Einsatz für E-Learning in Bayern 8
Projektziel 3/3 Kursabschluss + Prüfungsergebnis Prüfungsverwaltungssystem Learning Management System Prüfungsteilnahme Kursanbieter Shibboleth (SP?) Trägerhochschule Student (Anonymisierte?) Statistikdaten Shibboleth Service Provider Übermittlung von Leistungsnachweisen an die Heimathochschulen 28. Februar 2007 Konzept zum Shibboleth-Einsatz für E-Learning in Bayern 9 vhb
Föderationskontext Aufwand für eigene vhb-aai schreckt ab Nutzung der DFN-AAI sehr reizvoll Aber: Europaweite, shibboleth-basierte Kommunikation schon jetzt benötigt Voraussetzungen für bi-/multilaterale Hochschulkooperationen schaffen (z.b. gemeinsame Studiengänge) 28. Februar 2007 Konzept zum Shibboleth-Einsatz für E-Learning in Bayern 10
Datenmodell DFN-AAI Schema (v0.8) als Ausgangsbasis Diverse für LMS-Zwecke fehlende Attribute: Geburtsdatum Geschlecht Semester-Rückmeldestatus Studienfächer / angestrebter Abschluss... Aussagen zur Erweiterbarkeit? 28. Februar 2007 Konzept zum Shibboleth-Einsatz für E-Learning in Bayern 11
Datenschutz Essentiell aufgrund der Übertragung personenbezogener Daten DFN-AAI Vorlagen für Shibboleth Attribute Release Policies wären hilfreich Im konkreten Fall: Shibboleth-basierte Umsetzung bereits bestehender Prozesse 28. Februar 2007 Konzept zum Shibboleth-Einsatz für E-Learning in Bayern 12
Vor-/Nachteile von Shibboleth ARPs + Angabe, welches Attribut an welchen Dienst (providerid) herausgegeben wird - Keine Zweckbindung - Keine Gruppierung von Attributen - Als Bedingungen nur Zeichenkettenvergleich - Keine Benachrichtigungen h i / Protokolle Motivation für umfassendere Policysprache 28. Februar 2007 Konzept zum Shibboleth-Einsatz für E-Learning in Bayern 13
Shibboleth-ARPs mit XACML Diplomarbeit Matthias Ebert, 12/2006 https://spaces.internet2.edu/display/shib/shibxacml edu/display/shib/shibxacml extensible Access Control Markup Language (XACML 2.0, OASIS-Standard) St d) 28. Februar 2007 Konzept zum Shibboleth-Einsatz für E-Learning in Bayern 14
Details: XACML für Shibboleth ARPs Hierarchische, prioritätsgesteuerte ARPs ( mehr als eine Site ARP) Optionale Unterscheidung von Zugriffsarten und zwecken Gruppen von Attributen und Benutzern XACML-Funktionen in Bedingungen Protokolldateien, t E-Mail-Versand 28. Februar 2007 Konzept zum Shibboleth-Einsatz für E-Learning in Bayern 15
Vor- und Nachteile von XACML ARPs + Beheben die genannten Defizite - Mangel an Frontends zum Editieren der ARPs - Support und nachhaltiger Betrieb noch unklar Aber: + Demonstriert die Machbarkeit eigener Shibboleth-Modifikationen 28. Februar 2007 Konzept zum Shibboleth-Einsatz für E-Learning in Bayern 16
Zusammenfassung Geplanter Shibboleth-Einsatz im vhb-kontext Ablösung des bisherigen Verfahrens Shibboleth als de-facto Standard d naheliegend Nahtlose Integration in DFN-AAI angestrebt Herausforderungen Schwerpunkt: Übertragung von Benutzerprofilen Schema, Datenschutz und ARPs Organisation, Schnittstellen e zur Prüfungsverwaltung g 28. Februar 2007 Konzept zum Shibboleth-Einsatz für E-Learning in Bayern 17