DFN-AAI und DFN-Cloud: Service Provider

Thomas Gebhardt | tubIT | DFN-Cloud Forum, 15.3.2018

Dipl.Inform. Thomas Gebhardt

•  Informatikstudium an der TU-Berlin

•  Studentische Hilfskraft Fraunhofer IPK, Studentische Hilfskraft PRZ/TU-Berlin

•  Wissenschaftlicher Mitarbeiter am PRZ

•  Projektarbeit und Regelbetrieb bei PRZ und tubIT(u.a. Rollenverwaltung TUBIS, TU-Portal, DFN-AAI)

•  Stellvertretende Abteilungsleitung IDM bei tubIT

•  gepard@tubit.tu-berlin.de

DFN-AAI und DFN-Cloud: Service Provider | Thomas Gebhardt | DFN-Cloud-Forum, 15.3.2018 Seite 2

Gliederung

- Shibboleth Service Provider - Grundlagen

- Konfiguration Nextcloud

- User Lifecyle / Theming / User Experience

Aufgaben des Service Providers

Der Service Provider ist im Kontext der zu schützenden Anwendung/Ressource installiert (i.d.R. Web-Anwendung), seine Aufgaben sind:

•  Zugriffskontrolle zur Anwendung •  Steuerung der Kommunikation zum IDP •  SAML-Profile implementieren •  SAML-Nachrichten des IDP auswerten und Informationen extrahieren •  lokale Richtlinien umsetzen/ zusätzliche Daten einbringen •  Anwendung mit Daten versorgen Quelle: https://shibboleth.net/products/service-provider.html

Dokumentation, Guides

ShibbolethWiki des Shibboleth Consortium: https://wiki.shibboleth.net/confluence DFN-AAI: https://wiki.aai.dfn.de/de:shibsp SWITCH: https://www.switch.ch/aai/guides/sp/

Architekturvariante SP - Webserverintegration

•  SP als Webservermodul + Daemon-Prozess implementiert, Steuerung über Konfigurationsdatei und Direktiven in der Webserverkonfiguration (DFN-Cloud bis Mitte 2017)

Ø  Geringe Abhängigkeit zwischen Anwendung und SP-Implementierung

Ø  Mehr Konfiguration (mind. 2 XML-Dateien, httpd.conf)

Ø  https://shibboleth.net/downloads

SP als Webserver-Modul

Operating System

Apache/IIS/ngx

mod_proxy

TomcatJbossJetty

shibd mod_shib

PHP/CGI

User Attributes

SP als Webserver-Modul

Operating System

Apache/IIS/ngx

mod_proxy

TomcatJbossJetty

shibd mod_shib

PHP/CGI

User Attributes

Architekturvarianten SP - Anwendungsintegration

•  SP als Teil der Anwendung implementiert (i.d.R. mit Hilfe eine Library), Konfiguration über Administrationsoberfläche der Anwendung (in DFN-Cloud, neue und migrierte Instanzen seit Mitte 2017)

Ø  Weniger Konfiguration

Ø  Weniger Flexibilität

Ø  Inzwischen für viele Sprachen/Frameworks verfügbar: Ø  PHP: simpleSamlPHP, https://simplesamlphp.org/, php-saml

, https://github.com/onelogin/php-saml Ø  Java/Spring: Spring Security SAML, https://projects.spring.io/spring-security-saml/ Ø  Python: Python-saml, https://github.com/onelogin/python-saml

SP in Anwendung integriert (mit php-saml)

Operating System

Apache/IIS/ngxPHPNextclouduser_samlphp-saml

(OneLogin)

SP in Anwendung integriert (mit php-saml)

Operating System

Apache/IIS/ngxPHPNextclouduser_samlphp-saml

(OneLogin)

SP Eigenschaften

Ein SP hat: •  Eine Entity-ID (eindeutiger String)

•  Credentials (x509-Zertifikat und Key, die DFN-PKI bietet das passende Zertifikatprofil „Shibboleth SP IDP“ an)

•  Service-Endpunkte (URLs)

•  Einen Satz Metadaten (XML-Datei via URL bzw. DFN-AAI-Metadaten, WebGUI zur Metadatenverwaltung)

SP Konfiguration in Nextcloud

SP Konfiguration in Nextcloud, Teil 2

Ø  urn:oid:0.9.2342.19200300.100.1.1 = uid, urn:oid:2.16.840.1.113730.3.1.241 = display name, urn:oid:0.9.2342.19200300.100.1.3 = mail Ø Hey, das war ja gar nicht so schlimm!

Ø Aber: Menü nur verständlich, wenn Abläufe/Protokolle bekannt sind.

Ø  https://apps.nextcloud.com/apps/user_saml

Ø  urn:oid:0.9.2342.19200300.100.1.1 = uid, urn:oid:2.16.840.1.113730.3.1.241 = display name, urn:oid:0.9.2342.19200300.100.1.3 = mail Ø Hey, das war ja gar nicht so schlimm!

Ø Aber: Menü nur verständlich, wenn Abläufe/Protokolle bekannt sind.

Ø  https://apps.nextcloud.com/apps/user_saml

SP Metadaten

Metadatenverwaltung

Konfigurationsdateien für Variante 1

Ca. 10 Dateien in /etc/shibboleth, die wichtigsten:

•  /etc/shibboleth/shibboleth2.xml -> Definiert EntityID, Sessioneigenschaften, Verbindungseigenschaften, Metadatenquellen, SSO-Eigenschaften, Credentials,....

•  /etc/shibboleth/attribute-policy.xml ->Welche Attribute werden angenommen

•  /etc/shibboleth/attribute-map.xml ->Auf welche Server-Variable wird Attribut abgebildet

Httpd.conf

Schutz von Anwendungen/Ressourcen durch mod_shib-Direktiven: <Location /interna>

AuthType shibboleth

ShibRequireSession On // Alt. Syntax: ShibRequestSetting requireSession 1

ShibRequireAll On

require orgname phfr

</Location>

Zugriff nur mit gültiger Shibboleth-Session (ShibRequireSession) und alle Rules müssen erfüllt sein (ShibRequireAll). Eine Require-Rule zur Prüfung eines Attributes.

Dann passiert das...hoffentlich.

•  The SP detects the user attempting to access restricted content within the resource. •  The SP generates an authentication request, then sends the request, and the user, to the user's IdP. •  The IdP authenticates the user, then sends the authentication response, and the user, back to the SP. •  The SP verifies the IdP's response and sends the request through to the resource which returns the originally

requested content.

Quelle: https://wiki.shibboleth.net/confluence/display/CONCEPT Lizenz: https://creativecommons.org/licenses/by-sa/3.0/

Anmeldung im Browser

Anmeldung im Desktop-Client

App-Passwörter generieren

App-Passwörter verwenden

Technische Infrastruktur

User Lifecycle

Ø  Autoprovisioning: Wer darf? Mehrere Konten? Nichtpersonalisierte Konten? Gäste/Externe,

einheitliche Quota? Ø  Provisioning-API:

•  REST-Webservices für Nutzerverwaltung (HTTP-BASIC-AUTH) •  add user, search user, delete user, user info, edit user, disable/enable user, get groups, add/

remove to/from group, subadmin promote/demote, get subadmin groups, weolcome mail

...und Gruppenverwaltung •  create/search/delete groups, get members, get subadmins

...und Apps •  List apps, app info, enable/disable

Beispiel Provisioning-API

User Lifecycle Part 2

Ø  Deprovisionierung: you need a plan...

•  Wie lange bleibt das Konto nach dem Ausscheiden einer Person erhalten?

•  Gilt das auch für das Cloud-Konto?

•  Wie lange bleiben geteilte Daten zugreifbar?

•  Mögliche Strategie: •  Nach Karenzzeit Konto deaktivieren (disable user) (Shares sind dann auch deaktiviert),

nach weiterer Wartezeit Löschung.

•  Backup?

Themes mit der Theming App

•  „Look and Feel“ der

WebGUI anpassen

•  Automatische Emails ebenfalls

•  Aber nicht Synch-Clients

Custom Themes + Client Branding

Ø  Developer Documentation für Custom Themes https://docs.nextcloud.com/server/12/developer_manual/core/theming.html

Ø  Branded Clients von Nextcloud, notwendige Informationen u.a:

•  Setup wizard (Windows) •  header background color •  header font •  logo as PNG in two sizes

•  Setup wizard (macOS) •  background image

•  Application logo in PNG format (8 sizes) •  State Icons (black/white/coloured), 5 sizes, states: download, error, information, offline, ok,

pause, sync, warning •  Requirements for Android, iOS different •  More: https://cloud.nextcloud.com/s/Xr9PFeruaGde17U#pdfviewer

Branded Clients

Fazit + Fragen

Ø  DFN-Cloud + DFN-AAI: „saubere“ Lösung, zentrale Authentisierung

Ø  Keine Passwörter beim Cloud-Betreiber

Ø  Nutzung vorhandener AA-Infrastruktur (wenn IDP vorhanden)

Ø  Strategische Fragen/Rahmenbedingungen vorher klären

Ø  „Look and Feel“-Anpassungen in verschiedenen Abstufungen

Ø  Es gibt noch zu tun (Bugfixes, Cloudmesh,...)

Admin GUI User Management

Das Ziel: Entwicklung, Realisierung und Transfer technologischer Innovationen

Die TU Berlin im Überblick

•  eine der größten technischen Universitäten Deutschlands

•  breites Fächerspektrum

•  internationale Ausrichtung

•  enge Zusammenarbeit von Wissenschaft und Wirtschaft

•  intensive Frauenförderung

•  erfolgreiches Gründerumfeld

•  kontinuierliche Modernisierung der Verwaltung

Seite 44

Seite 45

Professor/innen

Gastprofessor/innen,Lehrbeauftragte

wissenschaftli.Mitarbeiter/innen

TechnischesundVerwaltungspersonal

studentischeBeschäftigte

Auszubildende

•  Landeszuschuss: 321,2 Mio. Euro (2017) •  zusätzliche Drittmittelausgaben 175,5 Mio. Euro (2016) •  35.009 Studierende (Wintersemester 2017/18) •  8356 Beschäftigte (davon 78 Emeriti):

Stand: September 2017

DFN-AAI und DFN-Cloud: Service Provider · PDF fileGliederung - Shibboleth Service Provider -...

Transcript of DFN-AAI und DFN-Cloud: Service Provider · PDF fileGliederung - Shibboleth Service Provider -...

DFN-AAI und DFN-Cloud: Service Provider · PDF fileGliederung - Shibboleth Service Provider -...

Documents

Transcript of DFN-AAI und DFN-Cloud: Service Provider · PDF fileGliederung - Shibboleth Service Provider -...

Provider Management

OAi-Protokoll: Data Provider, Service Provider Uwe Müller Humboldt-Universität zu Berlin Rechenzentrum.

Neues aus der DFN-PKI · SOAP-Schnittstelle der DFN-PKI DFN-PKI HTML Browser SOAP soapclient Eigen-entwicklung Nutzer RA Software Nutzer Eigen-entwicklung

DFN Mitteilungen · Für die kommenden Ausgaben der DFN-Mitteilungen etwa ist eine Folge von Arti- keln geplant, die über die Arbeit des DFN-CERT und der DFN-PCA berichten. Reimer

Datenschutzrechtliche Analyse des AAI- Verfahrens€¦ · Grundlagen des Datenschutzrechts Problemfelder des AAI-Verfahrens Relevante Pflichten und Betroffenenrechte 2018-09-25 Datenschutzrechtliche

2019-02-18 AAI -und Shibboleth Workshop · Eine AAI kann lokal oder auch einrichtungsübergreifend betrieben werden Im letztgenannten Fall bedarf es einer zentralen Instanz, die als

Neues aus der DFN-PKI...daher neue Diskussions-Mailingliste in Planung Details folgen bis zur nächsten BT 25.09.2018 Neues aus der DFN-PKI 19 DFN-PKI Diskussions-Mailingliste Fazit

Neuer Dienst im DFN-CERT Portal€¦ · 24.09.2009 · Neuer Dienst im DFN-CERT Portal 52. DFN-Betriebstagung Berlin 2. März 2010 Tilmann Haak

Neues aus der DFN-PKI · 62. Betriebstagung des DFN-Vereins Folie 2 Überblick Aktuelles eIDAS OCSP Stapling HTTP Security Header DFN-PKI: Änderungen 2015

DFN Mitteilungen 64 Druck · 2004-09-08 · Prof. Dr. Eike Jessen, Vorsitzender des DFN-Vereins Ein Blick zurück, einmal ohne Zorn Zum 20-jährigen Bestehen des DFN-Vereins Peter

CP der DFN-PKI · PDF fileCP der DFN-PKI Seite 5/30 V3.6 1 Einleitung Der Verein zur Förderung eines Deutschen Forschungsnetzes e. V. (DFN-Verein) betreibt das Deutsche

TEMPLATE-PROVIDER Cases.pdf · 2020. 12. 24. · TEMPLATE-PROVIDER 4 5 TEMPLATE-PROVIDER Webshops Vom einfachen Online-Shop bis hin zu komplexen Mulishop-Sys-temen, Magento eignet

9. DFN-Forum Kommunikationstechnologien · 06.01.2016 · BBK. Gemeinsam handeln. Sicher leben. Kritische Infrastrukturen und IT-Sicherheit 9. DFN-Forum Kommunikationstechnologien

Neues aus dem DFN-CERT€¦ · Andreas Bunten, DFN-CERT Neues aus dem DFN-CERT. 47. DFN-Betriebstagung, 16. Oktober 2007 / Andreas Bunten Folie 2 Tutorium „DFN-PKI in der Praxis“

Shibboleth in hochskalierbaren Umgebungen - DFN · Shibboleth in hochskalierbaren Umgebungen Martin Haase DAASI International martin.haase@daasi.de AAI-Forum 64. DFN-Betriebstagung

Simsa provider day_datenpolitik_20160608

Borland Data Provider

2019-01-29 Shibboleth -und AAI Workshop Helmholtz Berlin 1 · Attribute Attribut-Schemata, -Generierung, -Übertragung und Verarbeitung am SP Shibboleth- und AAI Workshop für Helmholtz-Gemeinschaft

Der Provider als Hilfssheriff?

tubCloud und DFN-Cloud der TU Berlin€¦ · tubCloud / DFN-Cloud | T. Hildmann | ZKI AKe Web & CM 03/2015 Agenda – tubCloud / DFN-Cloud: ownCloud an der TU Berlin und für andere