Page History

Hinweise und Konfigurationsdetails eines Shibboleth 2.x IDPs IDP für das GÉANT (formals TERENA) "Trusted Certificates Service bzw. genauer für persönliche und "e-science/grid"-Zertifikate – nur solche sind zur Zeit nach SAML-Login bestellbar".

entityID

Der global eindeutige Name des SAML Services Providers von Sectigo (dem TCS-Anbieter ab Mitte 2020) lautet: https://www.digicert.com/sso

Attribute

cert-manager.com/shibboleth

Das Service wurde von der InCommon-Federation registriert und wird von dort über eduGAIN weiterpubliziert. D.h. nur jene ACOnet-Teilnehmerinstitutionen, die sowohl an eduID.at als auch an eduGAIN/Interfederation teilnehmen (und die TCS-Zusatzvereinbarung abgeschlossen haben), können sich über ihre eigene Institution bei diesem Service anmelden, sei es für Admin-Zugriffe oder zum Beantragen persönlicher Zertifikate für Endbenutzer*innen.

Attribute

Admin-Zugriff SCM Portal

Für die TCS-Administrator*innen einer Institution ist die Anmeldung am Sectigo Certificate Manager (SCM)-Portal über SAML möglich. Dazu müssen die Attribute:

• eduPersonPrincipalName
• mail
  

vom IDP übermittelt werden (und zuvor vom ACOnet-Team im SCM provisioniert worden sein).

Persönliche Zertifikate

Für das Beantragen persönlicher Zertifikate (etwa zum Signieren von E-Mails) braucht das Service die folgenden Attribute:

• mail (institutionelle E-Mail-Adresse)
  
• displayName (voller Name)
• givenName (Vorname)
• sn (Nachname)
• eduPersonPrincipalName (siehe unten)
• schacHomeOrganization (siehe unten)
• eduPersonEntitlement (siehe unten)

Der Service-URL des SAML Self-Service Portals lautet: https://cert-manager.com/customer/ACOnet/idp/clientgeant – siehe TCS FAQDiese entsprechen exakt den im alten Service genutzten (mit Comodo als anbieter und dem TCS Personal Portal), siehe http://confusa.assembla.com/wiki/show/confusa/Required_attribute_description
Erwähnt werden im Folgenden nur Abweichungen zur Shibboleth IDP-Standardkonfiguration, die bereits Attributdefinitionen zu mail, eppn, usw. enthält.

eduPersonPrincipalName

Offensichlich ist es keine gute Idee, die Semantik von standardisierten und weltweit eingesetzten Attributen (wie denen des jenen aus eduPerson-Standards) für eigene Zwecke neu abweichend festzulegen, wie das hier beim TCS geschiehtbei TCS geschehen ist. Aus Gründen der Kompatibiltät mit eingeführten Services wird dieses Attribut aber (bis auf Weiteres) beibehalten.

eduPersonEntitlement

Nur noch die beiden WerteZur Beantragung persönlicher Zertifikate muß das eduPersonEntitlement-Attribut den folgenden Werte haben:

• urn:mace:terena.org:tcs:personal-userurn:mace:terena.org:tcs:escience-user

sind relevant und werden als völlig equivalent behandelt (eines davon reichr also). Etwaige Etwaige früher verwendete "-admin" Entitlement-Werte sind nunmehr obsolet.obsolet und können ggfs. lokal entfernt werden: Die Berechtigung für Administrator*innen erfolgt direkt (und nur) in SCM.

Diese Entitlements dürfen N.B.: Diese Entitlements dürfen nur unter bestimmten Bedingungen und nur an berechtigte Personen vergeben werden, wie im TERENA Personal CA Certificate Practice Statement, Abschnitt 3.2.3, beschrieben. ( TODO: Neue Version des CPS!)

schacHomeOrganization

Nachschlagen

Für die schacHomeOrganization kann man in /opt/shibboleth-idp/conf/attribute-resolver.xml folgende Attributdefinition eintragen:

<resolver:AttributeDefinition id="schacHomeOrg" xsi:type="ad:Simple" sourceAttributeID="schacHomeOrg">
  <resolver:Dependency ref="staticSchac" />
  <resolver:AttributeEncoder xsi:type="enc:SAML1String" name="urn:oid:1.3.6.1.4.1.25178.1.2.9" />
  <resolver:AttributeEncoder xsi:type="enc:SAML2String" name="urn:oid:1.3.6.1.4.1.25178.1.2.9" friendlyName="schacHomeOrganization" />
</resolver:AttributeDefinition>

Erzeugen

In der selben Datei wird auch die von obiger Attributdefinition referenzierte Abhängigkeit ("staticSchac" genannt) definiert. Nachdem im einfachsten Fall alle Identitäten eines IDPs zur selben "home organization" gehören, kann für alle derselbe Wert (hier als Beispiel example.org) direkt in der IDP-Konfiguration generiert werden:

<resolver:DataConnector id="staticSchac" xsi:type="dc:Static">
  <dc:Attribute id="schacHomeOrg">
    <dc:Value>example.org</dc:Value>
  </dc:Attribute>
</resolver:DataConnector>

Attribute weitergeben

...

siehe die jeweils gültigen TCS-Vereinbarungen (TODO).

schacHomeOrganization

Die Dokumentation zum Erzeugen/Nachschlagen von Attributen für den Shibboleth IDP enthält eine fertige Vorlage zum Erzeugen von "schacHomeOrganization".

Attribute weitergeben

Die Weitergabe oben definierter Attribute wird wie üblich in /opt/shibboleth-idp/conf/attribute-filter.xml eingerichtet

...

:

<afp:AttributeFilterPolicy<AttributeFilterPolicy id="TCSportalTCS">
  <afp:PolicyRequirementRule<PolicyRequirementRule xsi:type="basic:AttributeRequesterStringRequester" value="https://www.digicertcert-manager.com/ssoshibboleth" />
  <AttributeRule <afp:AttributeRule attributeID="eduPersonPrincipalName">
    <afp:PermitValueRule xsi:type="basic:ANY permitAny="true" />
  </afp:AttributeRule>
  <afp:AttributeRule<AttributeRule attributeID="eduPersonEntitlementdisplayName">
    <afp:PermitValueRule xsi:type="basic:OR" permitAny="true" />
      <basic:Rule xsi:type="basic:AttributeValueString" value="urn:mace:terena.org:tcs:personal-user<AttributeRule attributeID="givenName" permitAny="true" />
  <AttributeRule  </afp:PermitValueRule>
  </afp:AttributeRule>
  <afp:AttributeRuleattributeID="sn" permitAny="true" />
  <AttributeRule attributeID="schacHomeOrgmail">
    <afp:PermitValueRule xsi:type="basic:ANY permitAny="true" />
  </afp:AttributeRule>
  <afp:AttributeRule <AttributeRule attributeID="displayNameschacHomeOrganization">
    <afp:PermitValueRule xsi:type="basic:ANY permitAny="true" />
  </afp:AttributeRule>
  <afp:AttributeRule <AttributeRule attributeID="emaileduPersonEntitlement">
    <afp:PermitValueRule<PermitValueRule xsi:type="Value" value="basic:ANYurn:mace:terena.org:tcs:personal-user" />
  </afp:AttributeRule>
</afp:AttributeFilterPolicy>