Documentation :
Lorsque votre SP est inscrit dans l'inter-fédération eduGAIN, vous devez adapter la configuration de votre brique SP en conséquence pour charger les méta-données eduGAIN, prendre en compte des attributs utilisateurs supplémentatires et utiliser un service de découverte (WAYF) adapté à ce contexte. Vous trouverez ci-dessous des exemples de configurations pour un SP Shibboleth. Si vous utilisez une autre implémentation logicielle, vous devrez adapter ces recommandations à votre contexte.
Téléchargez le certificat de l'AC utilisée pour signer les méta-données.
cd /etc/shibboleth/ wget https://pub.federation.renater.fr/metadata/certs/renater-metadata-signing-cert-2016.pem
Vérifiez l'empreinte du certificat :
openssl x509 -fingerprint -sha1 -in metadata-federation-renater.crt -noout SHA1 Fingerprint=CD:14:DE:02:64:31:53:B6:3B:4E:EB:48:42:E0:66:EC:69:33:68:98
Ajoutez le chargement des méta-données eduGAIN, en plus des méta-données de la Fédération Education-Recherche, dans le fichier shibboleth2.xml :
<!-- Meta-données de la fédération Éducation-Recherche --> <MetadataProvider type="XML" url="https://pub.federation.renater.fr/metadata/renater/main/main-idps-renater-metadata.xml" backingFilePath="idps-renater-metadata.xml" reloadInterval="1800"> <MetadataFilter type="Signature" certificate="renater-metadata-signing-cert-2016.pem"/> </MetadataProvider> <!-- Méta-données eduGAIN --> <MetadataProvider type="XML" url="https://pub.federation.renater.fr/metadata/edugain/main/main-idps-edugain-metadata.xml" backingFilePath="idps-edugain-metadata.xml" reloadInterval="1800"> <MetadataFilter type="Signature" certificate="renater-metadata-signing-cert-2016.pem"/> </MetadataProvider>
Cette documentation décrit le jeu d'attributs utilisateurs minimal reconnu dans le cadre de eduGAIN.
Le fichier attribute-map.xml permet d'associer un nom (utilisé pour accéder à l'attribut parmi les variables d'environnement) à chaque attribut SAML reçu par le SP. Dans le contexte eduGAIN, vous devez enrichir ce fichier pour prendre en compte les attributs schacHomeOrganization et schacHomeOrganizationType.
<!-- schacHomeOrganization --> <Attribute name="urn:mace:terena.org:schac:schacHomeOrganization" id="schacHomeOrganization" /> <Attribute name="urn:oid:1.3.6.1.4.1.25178.1.2.9" id="schacHomeOrganization"/> <!-- schacHomeOrganizationType --> <Attribute name="urn:mace:terena.org:schac:schacHomeOrganizationType" id="schacHomeOrganizationType" /> <Attribute name="urn:oid:1.3.6.1.4.1.25178.1.2.10" id="schacHomeOrganizationType"/>
Avec eduGAIN votre SP est capable d'authentifier des utilisateurs auprès d'IdPs supplémentaires par rapport aux IdPs inscrits dans la fédération Education-Recherche. Votre SP doit donc utiliser un service de découverte incluant les IdPs inscrits dans eduGAIN.
Vous avez deux options : mettre en oeuvre un service de découverte pour les besoins de vos SP ou utiliser le service de découverte proposé par RENATER. Si vous choisissez de mettre en oeuvre un service de découverte, vous pouvez utiliser une des implémentations suivantes :
L'exemple ci-dessous indique comment configurer un SP Shibboleth pour utiliser le service de découverte eduGAIN proposé par RENATER.
## extrait du fichier shibboleth2.xml <SSO discoveryProtocol="SAMLDS" discoveryURL="https://discovery.renater.fr/edugain"> SAML2 SAML1 </SSO>
Documentation :
En tant que gestionnaire d'un fournisseur de services vous controlez la liste des fournisseur d'identités proposés aux utilisateurs pour s'authentifier sur votre service, via le service de découverte (WAYF). Cependant le bon fonctionnement du processus d'authentification requiert une configuration adaptée au niveau de chacun de ces fournisseurs d'identités :
Nous vous recommandons de vous conformer au Code of Conduct eduGAIN, afin de limiter les problèmes liés au point (2) évoqué ci-dessus.
En vous conformant au Code of Conduct, vous vous engagez à mettre en oeuvre des bonnes pratiques de gestion des données à caractère personnel. Vous déclarez votre conformité au Code of Conduct via le guichet de la fédération de RENATER. Vous devrez fournir l'URL du document (Privacy Policy) affichant vos pratiques de gestion des données à caractère personnel.
Un guide, publié par le groupe REFEDS, vous donne des indications pour rédiger votre Pricacy Policy.
Depuis le guichet de la fédération, dans l'onglet “Rattachement à une fédération”, cliquez sur le bouton “Inscription” pour eduGAIN
Le demande d'inscription dans eduGAIN fera l'objet d'une validation par les contacts fédération de votre organisme.
Le service eduGAIN Access Check est un IdP inscrit dans eduGAIN. Il permet à l'administrateur d'un SP, inscrit lui aussi dans eduGAIN, d'obtenir des comptes de test lui permettant de tester le bon fonctionnement du service. Ces comptes de test sont valide pendant une semaine.
