View
112
Download
4
Category
Preview:
Citation preview
Verteilte Authentifizierung mit Open Source Software – Integrationsplattform für
Wissenschaft und Wirtschaft
Kommunales Daten- und Identitätsmanagement doIT-Fachtagung, Freiburg, 10. November 2005
Ato Ruppert, UB Freiburgruppert@ub.uni-freiburg.de
2
Authentifizierung, Autorisierung, Rechteverwaltung
• Wissenschaftsportale (ReDI, vascoda)• Warum AAR?• Föderationen und Rechtliches
AAR ist ein Projekt der UB Freiburg und UB Regensburg. Gefördert vom BMBF (PT-FI)
Übersicht
3
Wissenschaftportale 1
• Regionale DatenbankInformationen Baden-Württemberg (www.redi-bw.de):
• Angebot insgesamt: 476 Datenbanken
- Nutzung externer Verlagsserver: 142
- Windows-basierte CD-Angebote 326
• Über 60 Teilnehmereinrichtungen
• Zentraler Einkauf über das Konsortium Baden-Württemberg (http://www.konsortium-bw.de)
4
ReDI-Teilnehmer
Die Teilnehmer in Baden-Württemberg
und Gäste aus: Rheinland-Pfalz, Saarland und Bayern
Anfragen aus Sachsen und NRW Crossfire-Nutzung aus
Bayern seit 2001
5
Wissenschaftportale 2
• vascoda ist ein interdisziplinäres Internetportal für wissenschaftliche Information in Deutschland.
• vascoda vereinigt Internetdienste zahlreicher leistungsstarker wissenschaftlicher Bibliotheken und Informationseinrichtungen.
• Mit vascoda wird der Grundbaustein für eine "Digitale Bibliothek Deutschland" gelegt.
• An vascoda sind heute über 30 Einrichtungen mit fast 30 Angeboten beteiligt.
www.vascoda.de
6
Ohne AAR…
7
Mit AAR…
8
Leitsätze zur Nutzung verteilter Informationen im Internet aus Sicht der Nutzer, Einrichtungen und Anbieter
• Nutzer: Der Zugriff auf die lizenzierten Inhalte sollte insbesondere unabhängig vom gewählten Arbeitsplatz und dem Zugriffsweg möglich sein. Alle lizenzierten Inhalte sollten nach nur einmaliger Authentifizierung und Autorisierung (Single Sign-On) zur Verfügung stehen.
• Einrichtungen (etwa Hochschulen): Die freie Wahl des Authentifizierungssystems und ein möglichst geringer Aufwand bei der Rechteverwaltung sind wichtig.
• Anbieter: Insbesondere der Schutz ihrer lizenzpflichtigen Inhalte vor unberechtigtem Zugriff ist wichtig.
Was wollen wir also erreichen?
9
• AAR ist eine Infrastruktur zur Authentifizierung, Autorisierung und Rechteverwaltung
• AAR ist ein Single Sign-on System, mit dem verschiedene Ressourcen mit einem einzigen Login genutzt werden können („ReferenceLinking“)
• AAR basiert auf einem föderativen Ansatz:Die Einrichtung verwaltet und authentifiziertihre Mitglieder und der Anbieter kontrolliertden Zugang zu seinen Ressourcen
• AAR baut auf Shibboleth (Internet2-Projekt) auf• AAR ergänzt Shibboleth um einen Rechteserver
Was ist AAR?
10
Rechteserver
Der Rechteserver ist nicht
Bestandteil von Shibboleth.
Er soll …R
… die Attribute (der Autorisierung) auf die Nutzungsbedingungen der Anbieter abbilden- Z.B.: „moving wall“, Embargos, Zeiteinschränkungen
- Der RS kann zentral oder dezentral (beim SP) eingesetzt werden
Der RS ist Teilprojekt unserer Projektpartner in der UB Regensburg.
11
• Eine Föderation ist ein Zusammenschluss von Einrichtungen und (auch kommerziellen) Anbietern auf Basis gemeinsamer Richtlinien.
• Eine Föderation schafft das für Shibboleth notwendige Vertrauensverhältnis zwischen Einrichtungen und Anbietern und einen organisatorischen Rahmen für den Austausch von Benutzerinformationen.
Was ist eine Föderation?
12
Aufgaben einer Föderation sind:• Vorgabe von Richtlinien (Policies)• Verwaltung der Metadaten der Mitglieder• Betrieb des Lokalisierungsdienstes (WAYF)• Betrieb einer Zertifizierungsstelle• Technischer Support
Aufbau einer deutschlandweiten Föderation im Rahmen des DFN wird angestrebt
Aufgaben einer Föderation
13
Aufbau einer Föderation
Für den Aufbau einer Föderation muss(mindestens) festgelegt werden:• Organisationsstruktur• Voraussetzungen für die Mitgliedschaft• Rechte und Pflichten der Föderation und Mitglieder• Richtlinien
– Aufnahmeverfahren für neue Mitglieder– Aktualisierung der Metadaten– akzeptierte (CA-)Zertifikate– Standardattribute, Datenschutz– Vorgehensweise bei Missbrauch
14
Datenschutz 1 (Datenhaltung)
Europäisches Recht (Art. 6): Personenbezogene Datendürfen nur für spezielle Aufgaben verarbeitet werden!
• Die Einrichtungen (=IdP) müssen den Zweck der Datenhaltung festlegen und beschreiben. In Universitäten z.B. (verkürzt): Unterstützung von Wissenschaft und Lehre.
Daraus folgt:• Die Ziele aller Mitglieder einer Föderation müssen diesem Zweck
entsprechen!Also auf Seiten der Dienstanbieter (SP):• Z.B. Buchhandel, ZS-Verlage, wiss. Infodienste: Ja• Z.B. EBAY, Kaufhäuser: Nein• Behörden: ?
15
Datenschutz 2 (Weitergabe von Attributen)
Europäisches Recht (Art. 7), §§18-20 LDSG: Weitergabe personenbezogener Daten nur wenn notwendig
1. Zur Vertragserfüllung (mit den Anbietern)2. Gesetzliche Grundlagen vorliegen3. Zum Schutz vitaler Interessen (der Anbieter)4. Zur Erfüllung der Leistung eines Auftrages (des Anbieters)
5. Nach ausdrücklicher Zustimmung der betroffenen Person
Aber:Auch eine nachträgliche Zustimmung der Person kann die in 1-4
genannten Bedingungen nicht überschreiben!
16
Shibboleth-Standardattribute
• Shibboleth/InCommon-Standardattribute basieren auf dem eduPerson-Schema: http://www.incommonfederation.org/docs/policies/federatedattributes.html
• Internationale Anbieter halten sich üblicherweise an diesen Standard
• Service Provider kommen meistens mit einigen wenigen Attributen aus, die in der Shibboleth-Software bereits weitgehend vorkonfiguriert sind
• Beispiele:– eduPersonScopedAffiliation (member@..., staff@...)– eduPersonTargetedID (r12345z@...)– eduPersonPrincipalName (ruppert@uni-freiburg.de)
17
Stand und Ausblick
• Alle Komponenten von Shibboleth sind in einer Testumgebung verfügbar
• ReDI wird bis Jahresende auf Shibboleth umgestellt (mit einer „internen“ Föderation, etwa 60 IdP)
• Gespräche mit dem DFN und vascoda zur Gründung einer deutschlandweiten Föderation laufen an.
• Gespräche mit Dienstanbietern entwickeln sich sehr positiv (im Rahmen von Kaufverhandlungen, etwa 100 kommerzielle SP)
• Die Betriebssoftware IPS von vascoda wird bis Mitte 2006 auf Shibboleth umgestellt
• Der Rechteserver wird bis Mitte 2006 als Prototyp zur Verfügung stehen.
18
Danke für Ihre Aufmerksamkeit!
info@aar.vascoda.de
Recommended