La fédération locale

Le guichet de la fédération RENATER vous offre la possibilité de gérer une fédération qui vous est propre, hébergée par RENATER.

Principe de fonctionnement

Le guichet de la fédération permet de décrire des entités SAML (IdP ou SP) une seule fois puis de les inscrire dans une ou plusieurs fédérations. Ainsi on peut mettre à jour les informations techniques sur une entités SAML ; elles seront propagées dans les différentes fédérations dans lesquelles est enregistrée l'entitée SAML.

Ce principe de fonctionnement a été étendu pour permettre à des organismes ou des groupes d'organismes (UNR, PRES, groupe d'écoles) de définir leur fédération locale au sein du guichet opéré par RENATER. Le guichet permet l'enregistrement dans la fédération locale avec le même niveau de confiance que la Fédération Education-Recherche et publie le fichier de méta-données de cette fédération locale.

Cette gestion de fédérations locales doit permettre aux organismes de gérer des SP locaux :

  • sans gérer de multiples relations bilatérales,
  • sans devoir les enregistrer dans la fédération nationale,
  • en définissant à un seul endroit la liste des IdPs autorisés.

Gestion des inscriptions dans votre fédération locale

Une entité SAML (IdP ou SP) peut, au choix, s'inscrire dans la fédération locale uniquement ou bien dans la fédération locale et dans la Fédération Education-Recherche.
Pour un SP, l'appartenance à une Fédération locale en plus de la Fédération Education-Recherche n'a pas beaucoup de sens, puisque le but de la fédération locale, est d'en réduire l'audience, aux seuls IdP de la fédération locale.
Pour un IdP, il est tout à fait possible et même recommandé, qu'il soit inscrit dans toutes les fédérations qui contiennent des SP auxquels les utilisateurs auront besoin d'accéder.
Votre fédération locale ne sera visible, dans le guichet de la fédération, qu'à un sous-ensemble des utilisateurs. Seuls les utilisateurs authentifiés, ayant une adresse mail dans un des domaines autorisés verront la fédération locale et pourront demander l'inscription d'entités SAML dans celle-ci.

La demande d'inscription dans la fédération locale est faite par le contact technique de l'entité SAML. Seules les entités SAML rattachées à un organisme connu peuvent demander l'inscription dans la fédération. La demande d'inscription est soumise à validation d'un des deux contacts fédération de l'organisme concerné.
La demande d'inscription est également soumise à la vérification des conditions d'enregistrement de la fédération locale.
Chaque fédération locale dispose de ses propres règles

Conditions d'enregistrement dans une fédération

Chaque fédération peut être associée à des conditions d'enregistrement, permettant de restreindre les possibilités d'inscriptions des entités dans celle-ci.
Le but est de s'assurer que des règles basiques liées à la politique de chaque fédération sont respectées.
Quelques exemples :

  • une entité inscrite dans la fédération de test, ne peut pas demander à être inscrite dans la Fédération Education-Recherche.
  • une entité rattachée à aucun organisme ne peut pas demander à être inscrite dans la Fédération Education-Recherche.


Les conditions d'enregistrement s'appliquent sur les attributs d'une entité. Elles sont vérifiées à chaque modification de l'entité, mais ne sont pas réévaluées au cours du temps.
Le tableau suivant liste les règles possibles :

Propriétés Prédicats
Nom Type est définie /
n'est pas définie
est égal à /
n'est pas égal à
correspond à /
ne correspond pas à
est vraie /
est fausse
est résolvable est atteignable doit être unique
dans la fédération
doit être rattaché à /
ne doit pas être rattaché à
doit être enregistrée dans /
ne doit pas être enregistrée dans
Nom (fr/en) Chaîne X X X X
Description (fr/en) Chaîne X X X X
Pays de traitement des données Chaîne X X X X
Identifiant SAML Chaîne X X X X
Certificat X509 (actuel/temporaire) Chaîne X X X X
Nom 1er/2nd responsable Chaîne X X X X
Nom contact SIRTFI Chaîne X X X X
Adresse contact SIRTFI Chaîne X X X X
Adresse contact technique Chaîne X X X X
Conformité SIRTFI Booléen X
Conformité CoC Booléen X
Traitement des données en Europe Booléen X
URL de la politique de confidentialité URL X X X X X X
URL d'accès au service URL X X X X X X
Rattachement à un organisme Rattachement X
Enregistrements dans des fédérations Enregistrement X

Gestion des méta-données

Le fichier de méta-données de la fédération locale est publié sur une URL non devinable, mais pérenne, du type https://pub.federation.renater.fr/metadata/fedlocale-sj789s/.

Exemple de configuration pour un IdP Shibboleth

<MetadataProvider type="Chaining">
  <!-- Méta-données de la Fédération Education-Recherche -->
  <MetadataProvider
    id="RenaterMetadata"
    xsi:type="FileBackedHTTPMetadataProvider"
    backingFile="%{idp.home}/metadata/preview-all-renater-test-metadata.xml"
    metadataURL="https://pub.federation.renater.fr/metadata/renater/main/main-sps-renater-metadata.xml">
 
    <MetadataFilter xsi:type="SignatureValidation" requireSignedRoot="true" certificateFile="%{idp.home}/credentials/renater-metadata-signing-cert-2016.pem">
    </MetadataFilter>
 
  </MetadataProvider>
 
  <!-- Meta-données de fédération locale -->
  <MetadataProvider 
    id="FedeLocale" 
    xsi:type="FileBackedHTTPMetadataProvider"
    metadataURL="https://pub.federation.renater.fr/metadata/fedlocale-sj789s/fedlocale-metadata.xml"
    backingFile="/opt/shibboleth-idp/metadata/renater-fedlocale-metadata.xml">
    <MetadataFilter xsi:type="SignatureValidation" requireSignedRoot="true" certificateFile="%{idp.home}/credentials/renater-metadata-signing-cert-2016.pem">
    </MetadataFilter>
  </MetadataProvider>
 
</MetadataProvider>
 

Exemple de configuration pour un SP Shibboleth

  <!-- Méta-données fédération locale -->
  <MetadataProvider type="XML" url="https://pub.federation.renater.fr/metadata/fedlocale-sj789s/fedlocale-metadata.xml"
			    backingFilePath="renater-fedlocale-metadata.xml" reloadInterval="1800">
	    <MetadataFilter type="RequireValidUntil" maxValidityInterval="2419200"/>
	    <MetadataFilter type="Signature" certificate="renater-metadata-signing-cert-2016.pem"/>
	  </MetadataProvider>

Créer ma fédération locale

Pour créer votre fédération locale, faîtes-en la demande sur le portail d'assistance RENATER.