Page History

...

Solche Änderung an Verwaltungsdaten sollten nach Möglichkeit auf Systeme der Lehrverwaltung beschränkt bleiben. Benutzt man die Matrikelnummer jedoch auch als Basis von UserIDs oder Email-Adressen, vervielfältigt man die Auswirkungen solcher Änderungen in alle IT-Systeme, unter teils hohem Aufwand für Datenmigration und BenutzerInnen-Support ("Ihre UserID, Email-Adresse, Homepage, eduroam-Identifier, etc. haben sich geändert, ..."). Im Kontext von Identity Federation wären dann aber auch Systeme außerhalb der eigenen Institution von solchen Änderungen betroffen, wenn etwa das eduPersonPrincipalName-Attribut aus der Matrikelnummer gebildet wird und diese sich ändert: Damit änderte sich auch der ggfs davon abgeleitete Wert des eduPersonPrincipalName , und Betroffene verlören damit u.U. Zugriff auf ihre Daten bei diversen föderierten Services, die sich auf das eduPersonPrincipalName-Attribut zur Wiedererkennung ihrer NutzerInnen verlassen. Im Anlassfall alle davon betroffenen Services zu ermitteln und zu verständigen und um deren Kooperation bei der Korrektur/dem Nachtragen solcher Änderungen zu ersuchen, erscheint wenig verlockend.

...

Im international eingesetzten SCHAC-Schema wurde das Attribut schacPersonalUniqueCode definiert, das u.a. aktuell für den European Student Identifier (ESI) verwendet wird. Die Werte dieses Attributs sind URNs, mit standardisierten Prefixen. Sofern also die studentische Matrikelnummer als SAML-Attribut übertragen werden soll, empfielt ACOnet die Form als ESI:

urn:schac:personalUniqueCode:int:esi:at:0001234501234567

Shibboleth IDP

Nachdem dieses Attribut nicht in genau in Form des ESI bereits irgendwo gespeichert sein wird, folgt ein Beispiel, wie dynamisch aus dem Attribut uid (das aus dem DataConnector mit der id="myLDAP" kommt) die Matrikelnummer extrahiert und in die benötigte Form gebracht werden kann. In diesem fiktiven Beispiel enthält uid eine lokale UserID, die für Studierende die Form "x<MATRIKELNR>" hat. Hat die UserID nicht die erwartete Form, bleibt das Attribut leer (und wird vom IDP später entfernt):

...

...

Eine passende Policy für den attribute-filter.xml, dieses Attribut (bzw. nur die ESI-spezifischen Werte davon) nur an aufgezählte Service Provider weiterzugeben (hier: den eduID.at Demo SP und den Erasmus+ Proxy), und nur, wenn das Attribut eduPersonAffiliation den Wert student hat (also nur für Studierende), könnte beim Shibboleth IDP dann so aussehen:

...