Toruń 28/29.10.2014. Po udanym uwierzytelnieniu IdP może przekazać do SP dodatkowe informacje o użytkowniku – IdP korzysta ze wskazanego źródła danych.

1 Toruń 28/29.10.2014 ...

Author: Roksana Słupiński

0 downloads 0 Views

1 Toruń 28/29.10.2014

2 Po udanym uwierzytelnieniu IdP może przekazać do SP dodatkowe informacje o użytkowniku – IdP korzysta ze wskazanego źródła danych w celu pobrania informacji o użytkowniku, konfiguracja IdP ustala, jakie atrybuty mogą być udostępniane (zbiór A) – podczas rejestracji SP w federacji wskazywane są wymagania SP odnośnie atrybutów, w metadanych SP powinny być wymienione atrybuty, z których SP korzysta (zbiór B) – SP otrzymuje przekrój zbiorów A i B IdP powinien wysyłać do SP tzw. pseudoanonimowy identyfikator, który jest unikatowy dla danego użytkownika w odniesieniu do tej usługi (SP)

3 Schemat eduPerson definiuje atrybut eduPersonTargetedID (urn:oid:1.3.6.1.4.1.5923.1.1.1.10) jako – A persistent, non-reassigned, opaque identifier for a principal czyli – identyfikator stały (nie zmieniający się przy kolejnych logowaniach), niepowtarzalny, przezroczysty, czyli nie ujawniający tożsamości użytkownika

4 Identyfikator ma format określany w SAML2 jako "urn:oasis:names:tc:SAML:2.0:nameid-format:persistent" Specyfikacja OASIS Assertions and Protocols for the OASIS Security Assertion Markup Language (SAML) V2, w rozdziale 8.3.7 definiuje Persistent Identifier następująco: – jest to stały, transparentny identyfikator, specyficzny dla danego użytkownika, IdP oraz SP lub stowarzyszenia SP (affiliation) – identyfikator MUSI być generowany przez IdP przy użyciu liczby losowej nie mającej żadnego powiązania z identyfikatorem użytkownika – długość identyfikatora nie może przekroczyć 256 znaków

5 Atrybut eduPersonTargetedID został zdefiniowany na potrzeby tworzenia trwałego identyfikatora w Shibboleth, gdy korzystano jeszcze z SAML 1.1 Wartość eduPersonTargetedID była przekazywana jako wartość atrybutu SAML Obecnie rekomendowanym sposobem przekazywania trwałego identyfikatora do SAML 2.0 SP jest umieszczanie go w elemencie Subject przekazywanego poświadczenia (assertion)

6 https://sp.example.org/shibbol eth" 84e411ea-7daa-4a57-bbf6-b5cc52981b73

7 Alternatywne podejście to przekazanie persistent ID jako atrybutu o nazwie formalnej " urn:oid:1.3.6.1.4.1.5923.1.1.1.10 " https://sp.example.org/shibboleth" 84e411ea-7daa-4a57-bbf6-b5cc52981b73 { "@context": "http://schema.org", "@type": "ImageObject", "contentUrl": "http://images.slideplayer.pl/10/2679684/slides/slide_7.jpg", "name": "Alternatywne podejście to przekazanie persistent ID jako atrybutu o nazwie formalnej urn:oid:1.3.6.1.4.1.5923.1.1.1.10 https://sp.example.org/shibboleth 84e411ea-7daa-4a57-bbf6-b5cc52981b73", "description": "Alternatywne podejście to przekazanie persistent ID jako atrybutu o nazwie formalnej urn:oid:1.3.6.1.4.1.5923.1.1.1.10 https://sp.example.org/shibboleth 84e411ea-7daa-4a57-bbf6-b5cc52981b73", "width": "800" } 8 Tworzenie trwałego identyfikatora przebiega następująco: – przygotowujemy konektor do bazy danych (data connector) o nazwie StoredID – służy on do tworzenia / pobierania wartości – utworzenie definicji atrybutu operującego na StoredID Tworzymy bazę danych o nazwie shibboleth bazie danych i tablicę shibpid i dostosowujemy plik konfiguracji Shibboleth IdP – conf/attribute-resolver.xml { "@context": "http://schema.org", "@type": "ImageObject", "contentUrl": "http://images.slideplayer.pl/10/2679684/slides/slide_8.jpg", "name": "Tworzenie trwałego identyfikatora przebiega następująco: – przygotowujemy konektor do bazy danych (data connector) o nazwie StoredID – służy on do tworzenia / pobierania wartości – utworzenie definicji atrybutu operującego na StoredID Tworzymy bazę danych o nazwie shibboleth bazie danych i tablicę shibpid i dostosowujemy plik konfiguracji Shibboleth IdP – conf/attribute-resolver.xml", "description": "Tworzenie trwałego identyfikatora przebiega następująco: – przygotowujemy konektor do bazy danych (data connector) o nazwie StoredID – służy on do tworzenia / pobierania wartości – utworzenie definicji atrybutu operującego na StoredID Tworzymy bazę danych o nazwie shibboleth bazie danych i tablicę shibpid i dostosowujemy plik konfiguracji Shibboleth IdP – conf/attribute-resolver.xml", "width": "800" } 9 CREATE TABLE IF NOT EXISTS shibpid ( localEntity TEXT NOT NULL, peerEntity TEXT NOT NULL, principalName VARCHAR(255) NOT NULL DEFAULT '', localId VARCHAR(255) NOT NULL, persistentId VARCHAR(36) NOT NULL, peerProvidedId VARCHAR(255) DEFAULT NULL, creationDate timestamp NOT NULL DEFAULT CURRENT_TIMESTAMP ON UPDATE CURRENT_TIMESTAMP, deactivationDate TIMESTAMP NULL DEFAULT NULL, KEY persistentId (persistentId), KEY persistentId_2 (persistentId, deactivationDate), KEY localEntity (localEntity(16), peerEntity(16), localId), KEY localEntity_2 (localEntity(16), peerEntity(16), localId, deactivationDate) ) ENGINE=MyISAM DEFAULT CHARSET=utf8; { "@context": "http://schema.org", "@type": "ImageObject", "contentUrl": "http://images.slideplayer.pl/10/2679684/slides/slide_9.jpg", "name": "CREATE TABLE IF NOT EXISTS shibpid ( localEntity TEXT NOT NULL, peerEntity TEXT NOT NULL, principalName VARCHAR(255) NOT NULL DEFAULT , localId VARCHAR(255) NOT NULL, persistentId VARCHAR(36) NOT NULL, peerProvidedId VARCHAR(255) DEFAULT NULL, creationDate timestamp NOT NULL DEFAULT CURRENT_TIMESTAMP ON UPDATE CURRENT_TIMESTAMP, deactivationDate TIMESTAMP NULL DEFAULT NULL, KEY persistentId (persistentId), KEY persistentId_2 (persistentId, deactivationDate), KEY localEntity (localEntity(16), peerEntity(16), localId), KEY localEntity_2 (localEntity(16), peerEntity(16), localId, deactivationDate) ) ENGINE=MyISAM DEFAULT CHARSET=utf8;", "description": "CREATE TABLE IF NOT EXISTS shibpid ( localEntity TEXT NOT NULL, peerEntity TEXT NOT NULL, principalName VARCHAR(255) NOT NULL DEFAULT , localId VARCHAR(255) NOT NULL, persistentId VARCHAR(36) NOT NULL, peerProvidedId VARCHAR(255) DEFAULT NULL, creationDate timestamp NOT NULL DEFAULT CURRENT_TIMESTAMP ON UPDATE CURRENT_TIMESTAMP, deactivationDate TIMESTAMP NULL DEFAULT NULL, KEY persistentId (persistentId), KEY persistentId_2 (persistentId, deactivationDate), KEY localEntity (localEntity(16), peerEntity(16), localId), KEY localEntity_2 (localEntity(16), peerEntity(16), localId, deactivationDate) ) ENGINE=MyISAM DEFAULT CHARSET=utf8;", "width": "800" } 10 { "@context": "http://schema.org", "@type": "ImageObject", "contentUrl": "http://images.slideplayer.pl/10/2679684/slides/slide_10.jpg", "name": " ", "description": " ", "width": "800" } 11 Targeted ID Targeted ID { "@context": "http://schema.org", "@type": "ImageObject", "contentUrl": "http://images.slideplayer.pl/10/2679684/slides/slide_11.jpg", "name": " Targeted ID Targeted ID", "description": " Targeted ID Targeted ID", "width": "800" } 12 Targeted ID: A unique identifier for a person, different for each service provider. Targeted ID: identyfikator specyficzny dla danego SP { "@context": "http://schema.org", "@type": "ImageObject", "contentUrl": "http://images.slideplayer.pl/10/2679684/slides/slide_12.jpg", "name": "Targeted ID: A unique identifier for a person, different for each service provider.", "description": "Targeted ID: identyfikator specyficzny dla danego SP .", "width": "800" } 13 { "@context": "http://schema.org", "@type": "ImageObject", "contentUrl": "http://images.slideplayer.pl/10/2679684/slides/slide_13.jpg", "name": " ", "description": " ", "width": "800" } 14 Targeted ID Targeted ID: A unique identifier different for each SP Targeted ID: unikatowy identyfikator specyficzny dla SP { "@context": "http://schema.org", "@type": "ImageObject", "contentUrl": "http://images.slideplayer.pl/10/2679684/slides/slide_14.jpg", "name": " Targeted ID Targeted ID: A unique identifier different for each SP Targeted ID: unikatowy identyfikator specyficzny dla SP ", "description": " Targeted ID Targeted ID: A unique identifier different for each SP Targeted ID: unikatowy identyfikator specyficzny dla SP ", "width": "800" } 15 Atrybuty eduPersonTargetedID/persistentID są generowane przez dodawany przez dedykowane filtry: – saml:PersistentNameID – generuje identyfikator persistent Id o formacie urn:oasis:names:tc:SAML:2.0:nameid- format:persistent na podstawie wskazanego atrybutu oraz wartości secretsalt ustalonej w pliku config/config.php – saml:SQLPersistentNameID – generuje identyfikator persistent Id i umieszcza go w bazie danych SQL – SSP musi mieć skonfigurowany dostęp do zasobów SQL, w tym celu należy ustawić w pliku config/config.php opcję store.type 'store.type' => 'sql', { "@context": "http://schema.org", "@type": "ImageObject", "contentUrl": "http://images.slideplayer.pl/10/2679684/slides/slide_15.jpg", "name": "Atrybuty eduPersonTargetedID/persistentID są generowane przez dodawany przez dedykowane filtry: – saml:PersistentNameID – generuje identyfikator persistent Id o formacie urn:oasis:names:tc:SAML:2.0:nameid- format:persistent na podstawie wskazanego atrybutu oraz wartości secretsalt ustalonej w pliku config/config.php – saml:SQLPersistentNameID – generuje identyfikator persistent Id i umieszcza go w bazie danych SQL – SSP musi mieć skonfigurowany dostęp do zasobów SQL, w tym celu należy ustawić w pliku config/config.php opcję store.type store.type => sql ,", "description": "Atrybuty eduPersonTargetedID/persistentID są generowane przez dodawany przez dedykowane filtry: – saml:PersistentNameID – generuje identyfikator persistent Id o formacie urn:oasis:names:tc:SAML:2.0:nameid- format:persistent na podstawie wskazanego atrybutu oraz wartości secretsalt ustalonej w pliku config/config.php – saml:SQLPersistentNameID – generuje identyfikator persistent Id i umieszcza go w bazie danych SQL – SSP musi mieć skonfigurowany dostęp do zasobów SQL, w tym celu należy ustawić w pliku config/config.php opcję store.type store.type => sql ,", "width": "800" } 16 'authproc.idp' => array( 1 => array( 'class' => 'saml:SQLPersistentNameID', 'attribute' =>'eduPersonPrincipalName', 'AllowCreate' => "true" ), { "@context": "http://schema.org", "@type": "ImageObject", "contentUrl": "http://images.slideplayer.pl/10/2679684/slides/slide_16.jpg", "name": "authproc.idp => array( 1 => array( class => saml:SQLPersistentNameID , attribute => eduPersonPrincipalName , AllowCreate => true ),", "description": "authproc.idp => array( 1 => array( class => saml:SQLPersistentNameID , attribute => eduPersonPrincipalName , AllowCreate => true ),", "width": "800" } 17 90 => array( 'class' => 'consent:Consent', 'store' => 'consent:Cookie', 'focus' => 'yes', 'checked' => TRUE ), 95 => array( 'class' => 'saml:PersistentNameID2TargetedID', 'attributename' => 'eduPersonTargetedID', 'nameId' => TRUE ), 100 => array( 'class' => 'core:AttributeMap', 'name2oid'), ), { "@context": "http://schema.org", "@type": "ImageObject", "contentUrl": "http://images.slideplayer.pl/10/2679684/slides/slide_17.jpg", "name": "90 => array( class => consent:Consent , store => consent:Cookie , focus => yes , checked => TRUE ), 95 => array( class => saml:PersistentNameID2TargetedID , attributename => eduPersonTargetedID , nameId => TRUE ), 100 => array( class => core:AttributeMap , name2oid ), ),", "description": "90 => array( class => consent:Consent , store => consent:Cookie , focus => yes , checked => TRUE ), 95 => array( class => saml:PersistentNameID2TargetedID , attributename => eduPersonTargetedID , nameId => TRUE ), 100 => array( class => core:AttributeMap , name2oid ), ),", "width": "800" } 18 eduPersonTargetedID powinien być wysyłany w postaci NameID, w tej sytauacji trzeba zadeklarować w metadata/saml20-idp-hosted.php: 'attributeencodings' => array( 'urn:oid:1.3.6.1.4.1.5923.1.1.1.10' => 'raw', ), – raw oznacza, że atrybuty mają być przekazywane bez żadnej modyfikacji, dzięki temu jest możliwe przekazywanie odpowiedzi w postaci XML { "@context": "http://schema.org", "@type": "ImageObject", "contentUrl": "http://images.slideplayer.pl/10/2679684/slides/slide_18.jpg", "name": "eduPersonTargetedID powinien być wysyłany w postaci NameID, w tej sytauacji trzeba zadeklarować w metadata/saml20-idp-hosted.php: attributeencodings => array( urn:oid:1.3.6.1.4.1.5923.1.1.1.10 => raw , ), – raw oznacza, że atrybuty mają być przekazywane bez żadnej modyfikacji, dzięki temu jest możliwe przekazywanie odpowiedzi w postaci XML", "description": "eduPersonTargetedID powinien być wysyłany w postaci NameID, w tej sytauacji trzeba zadeklarować w metadata/saml20-idp-hosted.php: attributeencodings => array( urn:oid:1.3.6.1.4.1.5923.1.1.1.10 => raw , ), – raw oznacza, że atrybuty mają być przekazywane bez żadnej modyfikacji, dzięki temu jest możliwe przekazywanie odpowiedzi w postaci XML", "width": "800" } 19

8 Tworzenie trwałego identyfikatora przebiega następująco: – przygotowujemy konektor do bazy danych (data connector) o nazwie StoredID – służy on do tworzenia / pobierania wartości – utworzenie definicji atrybutu operującego na StoredID Tworzymy bazę danych o nazwie shibboleth bazie danych i tablicę shibpid i dostosowujemy plik konfiguracji Shibboleth IdP – conf/attribute-resolver.xml

9 CREATE TABLE IF NOT EXISTS shibpid ( localEntity TEXT NOT NULL, peerEntity TEXT NOT NULL, principalName VARCHAR(255) NOT NULL DEFAULT '', localId VARCHAR(255) NOT NULL, persistentId VARCHAR(36) NOT NULL, peerProvidedId VARCHAR(255) DEFAULT NULL, creationDate timestamp NOT NULL DEFAULT CURRENT_TIMESTAMP ON UPDATE CURRENT_TIMESTAMP, deactivationDate TIMESTAMP NULL DEFAULT NULL, KEY persistentId (persistentId), KEY persistentId_2 (persistentId, deactivationDate), KEY localEntity (localEntity(16), peerEntity(16), localId), KEY localEntity_2 (localEntity(16), peerEntity(16), localId, deactivationDate) ) ENGINE=MyISAM DEFAULT CHARSET=utf8;

11 Targeted ID Targeted ID

12 Targeted ID: A unique identifier for a person, different for each service provider. Targeted ID: identyfikator specyficzny dla danego SP

14 Targeted ID Targeted ID: A unique identifier different for each SP Targeted ID: unikatowy identyfikator specyficzny dla SP

15 Atrybuty eduPersonTargetedID/persistentID są generowane przez dodawany przez dedykowane filtry: – saml:PersistentNameID – generuje identyfikator persistent Id o formacie urn:oasis:names:tc:SAML:2.0:nameid- format:persistent na podstawie wskazanego atrybutu oraz wartości secretsalt ustalonej w pliku config/config.php – saml:SQLPersistentNameID – generuje identyfikator persistent Id i umieszcza go w bazie danych SQL – SSP musi mieć skonfigurowany dostęp do zasobów SQL, w tym celu należy ustawić w pliku config/config.php opcję store.type 'store.type' => 'sql',

16 'authproc.idp' => array( 1 => array( 'class' => 'saml:SQLPersistentNameID', 'attribute' =>'eduPersonPrincipalName', 'AllowCreate' => "true" ),

17 90 => array( 'class' => 'consent:Consent', 'store' => 'consent:Cookie', 'focus' => 'yes', 'checked' => TRUE ), 95 => array( 'class' => 'saml:PersistentNameID2TargetedID', 'attributename' => 'eduPersonTargetedID', 'nameId' => TRUE ), 100 => array( 'class' => 'core:AttributeMap', 'name2oid'), ),

18 eduPersonTargetedID powinien być wysyłany w postaci NameID, w tej sytauacji trzeba zadeklarować w metadata/saml20-idp-hosted.php: 'attributeencodings' => array( 'urn:oid:1.3.6.1.4.1.5923.1.1.1.10' => 'raw', ), – raw oznacza, że atrybuty mają być przekazywane bez żadnej modyfikacji, dzięki temu jest możliwe przekazywanie odpowiedzi w postaci XML

Toruń 28/29.10.2014. Po udanym uwierzytelnieniu IdP może przekazać do SP dodatkowe informacje o użytkowniku – IdP korzysta ze wskazanego źródła danych.

Recommend Documents