Page History

Hinweise und Konfigurationsdetails eines Shibboleth IDPsIDP für das GÉANT "Trusted Certificates Service".

entityID

Der global eindeutige Name des SAML Services Providers von Sectigo (dem TCS-Anbieter ab Mitte 2020) lautet: https://cert-manager.com/shibboleth

Das Service wurde von der InCommon-Federation registriert und wird von dort über eduGAIN weiterpubliziert. D.h. nur jene ACOnet-Teilnehmerinstitutionen, die sowohl an eduID.at als auch an eduGAIN/Interfederation teilnehmen (und die TCS-Zusatzvereinbarung abgeschlossen haben), können sich über ihre eigene Institution bei diesem Service anmelden, sei es für Admin-Zugriffe oder zum Beantragen persönlicher Zertifikate für Endbenutzer*innen.

...

• mail (institutionelle E-Mail-Adresse)
  
• displayName (voller Name)
• givenName (Vorname)
• sn (Nachname)
• eduPersonPrincipalName (siehe unten)
• schacHomeOrganization (siehe unten)
• eduPersonEntitlement (siehe unten)

...

N.B.: Diese Entitlements dürfen nur unter bestimmten Bedingungen und nur an berechtigte Personen vergeben werden, siehe die jeweils gültigen TCS-Vereinbarungen (TODO).

schacHomeOrganization

Die Dokumentation zum Erzeugen/Nachschlagen von Attributen für den Shibboleth IDP enthält eine fertige Vorlage zum Erzeugen von "schacHomeOrganization".

...

Die Weitergabe oben definierter Attribute wird wie üblich in /opt/shibboleth-idp/conf/attribute-filter.xml eingerichtet:

<AttributeFilterPolicy id="TCS">
  <PolicyRequirementRule xsi:type="Requester" value="https://cert-manager.com/shibboleth" />
  <AttributeRule attributeID="eduPersonPrincipalName" permitAny="true" />
  <AttributeRule attributeID="displayName" permitAny="true" />
  <AttributeRule attributeID="givenName" permitAny="true" />
  <AttributeRule attributeID="surnamesn" permitAny="true" />
  <AttributeRule attributeID="mail" permitAny="true" />
  <AttributeRule attributeID="schacHomeOrganization" permitAny="true" />
  <AttributeRule attributeID="eduPersonEntitlement">
    <PermitValueRule xsi:type="Value" value="urn:mace:terena.org:tcs:personal-user" />
  </AttributeRule>
</AttributeFilterPolicy>

...