1. srečanje članic federacij
ArnesAAI in eduroam
Avgust Jauk
Arnes, p.p. 7, SI - 1001 Ljubljana
[email protected]
8. 12. 2014
Namen srečanja
• AAI in eduroam dozorevata
• 10 let eduroam v SI (BIO v 2004)
• 5 let ArnesAAI
• Leta izkušenj -> (problemi) -> novosti
• Tehnologija
• Storitve Arnesa
• Kreiranje skupnosti
• Mailing lista
• …?
Federacije: zakaj že?
• Množica storitev, povsod prijava
•
•
•
•
Aplikacije
Računalniki
Omrežje
Mobilnost -> potreba po gostovanju
• Množica uporabniških imen
• Težko jih je pridobiti
• Gesla pozabljamo
• Obremenitev helpdeska
• Nejevolja uporabnikov
Prijava – običajen način
1
Lastnik
Vira
2
Uporabnik
3
Informacije o
uporabniku
4
Vir
5
Prijava – običajen način (2)
Informacije o
uporabniku
Vir A
Uporabnik
ID,
ID,
geslo, ...ID,
geslo, ...
geslo, ...
Informacije o
uporabniku
Vir b
Informacije o
uporabniku
Vir
…
Enotna prijava: v eni organizaciji
Organizacija
Vir
A
Registracija
Baza z
uporabniki
Vir
B
Avtentikacija
2
1
Informacije o
uporabniku
(ime, naslov …)
Uporabnik
Vir
…
Željena rešitev?
• Enotno uporabniško ime
• NetID, AAI uporabniško ime/račun
• Uporabno za storitve doma in po svetu
• Tudi za priklop v omrežje
• Dodeli ga „domača“ organizacija
• Ponudnik identitete
• Implementacija: federacije
• Ponudniki identitet (LDAP, IdP)
• Ponudniki storitev (SP)
• Pravila, standardi, zaupanje (tehnično, pravno)
Enotna prijava – v federaciji
Lastnik
Virov
Organizacija
4
Registracija
Baza z
uporabniki
Sistem za
Avtentikacijo
Dostava avtorizacijskih
atributov
Avtorizacija
Avtorizacijski
atributi
AAI
1
3
Viri
Avtorizacijska
politika
Sistem za avtorizacijo
Avtentikacija
2
Informacije o
uporabniku
(ime, naslov
…)
Zahteva po dostopu
Legenda:
Sistem
Uporabnik
Podatki
Interakcija
AAI
AAI za spletne storitve
DS
Od kod si?
4 3
5
8
6
Geslo/…
Domača
organizacija
1
2
7
Atributi
Aplikacija
•11
Mobilnost: WLAN
Varno preverjanje istovetnosti
Strežniki Radius
Odjemalec 802.1x
EAP-TTLS + PAP
Mednarodna hierarhija strežnikov
RADIUS za eduroam
vrhnji RADIUS
proxy strežnik
Vrhnje posredovanje
(.si, .de, .nl, .uk, ...)
Nacionalni RADIUS
proxy strežnik
Posredovanje na nacionalnem nivoju
Nacionalni RADIUS
(organizacija-a.si,
proxy strežnik
organizacija-b.nl, …)
RADIUS strežnik
RADIUS strežnik
RADIUS strežnik
RADIUS strežnik
organizacije A
organizacije B
organizacije C
organizacije D
Odločitev za eduroam
WEB
VPN
802.1x
- potrebna
posebna
programska
oprema
+
Standardna -
-potrebna
posebna
programska
oprema
-potreben
seznam
VPN
koncentrato
r
-
Varnost
+
+
-
+
- VPN
kocentrator
+
Enostavna +
uporaba s
strani
uporabnika
Razširljivost +
-
Vpliv na
+
dolžino
podatkovne
prenosne
poti
Potrebna
- Unix
dodatna
strežnik
oprema
+
Vir: 18. Strokovni svet Arnesa, 15.12.2003
Eduroam – prijave pri gostovanju
Eduroam – št. AP pri gostovanju
Kako v federacijo?
Portal
Tiskalni
strežniki
Tok podatkov
Poizvedbe
Osebni
računalniki
Spletna
učilnica
Upravljanje
s vsebinami
Študentje
/ Vpis
e-pošta
Aktivni
Imenik (AD)
koledar
Sistem za
plače
Vodenje
identitet
Alumni
imenik
e-študent
LDAP
Študentska
izkaznica
Knjižnični
sistem
VPN
RADIUS
Dial-up
WLAN
Kako v federacijo 2?
Portal
Tiskalni
strežniki
Tok podatkov
Poizvedbe
Osebni
računalniki
Spletna
učilnica
Upravljanje
s vsebinami
Študentje
/ Vpis
e-pošta
Aktivni
Imenik (AD)
koledar
Sistem za
plače
Vodenje
identitet
Alumni
imenik
e-študent
LDAP
Študentska
izkaznica
Knjižnični
sistem
VPN
RADIUS
Dial-up
Eduroam
WLAN
Kako v federacijo 3?
Tiskalni
strežniki
Tok podatkov
Poizvedbe
Osebni
računalniki
Spletni AAI
Portal
Spletna
učilnica
Upravljanje
s vsebinami
Študentje
/ Vpis
Sistem za
plače
Aktivni
Imenik (AD)
e-pošta
?
Vodenje
identitet
Alumni
imenik
e-študent
LDAP
Študentska
izkaznica
koledar
Knjižnični
sistem
VPN
RADIUS
Dial-up
Eduroam
WLAN
Kako v federacijo 4?
Tiskalni
strežniki
Tok podatkov
Poizvedbe
Osebni
računalniki
Spletni AAI
Portal
SP
Spletna
učilnica
SP
Upravljanje
s vsebinami
SP
Študentje
/ Vpis
Sistem za
plače
e-pošta
Aktivni
Imenik (AD)
SP
DS
Vodenje
identitet
SP
SP
koledar
imenik
IdP
Alumni
SP
LDAP
Študentska
izkaznica
Knjižnični
sistem
VPN
RADIUS
Dial-up
Eduroam
WLAN
e-študent
Vodenje identitet - primitivno
Tiskalni
strežniki
Tok podatkov
Poizvedbe
Osebni
računalniki
Spletni AAI
Portal
SP
Spletna
učilnica
SP
Upravljanje
s vsebinami
SP
e-pošta
Aktivni
Imenik (AD)
IT
osebje
SP
DS
Ročni
procesi
SP
SP
koledar
imenik
IdP
SP
LDAP
Študentska
izkaznica
Knjižnični
sistem
VPN
RADIUS
Dial-up
Eduroam
WLAN
e-študent
Vodenje identitet - napredno
Tiskalni
strežniki
Tok podatkov
Poizvedbe
Osebni
računalniki
Spletni AAI
Portal
SP
Spletna
učilnica
SP
Upravljanje
s vsebinami
SP
Študentje
/ Vpis
Sistem za
plače
e-pošta
Aktivni
Imenik (AD)
SP
DS
IdM
SP
SP
koledar
imenik
IdP
Alumni
SP
LDAP
Študentska
izkaznica
Knjižnični
sistem
VPN
RADIUS
Dial-up
Eduroam
WLAN
e-študent
Preveč kompleksno?
Tiskalni
strežniki
Tok podatkov
Poizvedbe
Osebni
računalniki
Spletni AAI
Portal
SP
Spletna
učilnica
SP
Upravljanje
s vsebinami
SP
Študentje
/ Vpis
Sistem za
plače
e-pošta
Aktivni
Imenik (AD)
SP
DS
IdM
SP
SP
koledar
imenik
IdP
Alumni
SP
LDAP
Študentska
izkaznica
Knjižnični
sistem
VPN
RADIUS
Dial-up
Eduroam
WLAN
e-študent
Preveč kompleksno (2)?
Tiskalni
strežniki
Tok podatkov
Poizvedbe
Osebni
računalniki
Spletni AAI
Portal
SP
Spletna
učilnica
SP
Upravljanje
s vsebinami
SP
Študentje
/ Vpis
Sistem za
plače
e-pošta
Aktivni
Imenik (AD)
SP
DS
IdM
SP
SP
koledar
imenik
IdP
Alumni
SP
LDAP
Študentska
izkaznica
Knjižnični
sistem
- gostovano na Arnesu
VPN
RADIUS
Dial-up
Eduroam
WLAN
e-študent
Kaj torej dobite na Arnesu
• Gostovanje gradnikov federacij
• Eduroam: LDAP, RADIUS
• ArnesAAI: IdP, DS, (SP+aplikacije)
• IdM
• Portal članic, modul AAI
• Pridružitev federaciji
• Naročanje in upravljanje gostovanja IdP, LDAP, IdM
• Orodja
•
•
•
•
Preverjanje IdP, gesel, …
Pridobivanje certifikatov
Konfiguriranje odjemalcev za eduroam
…
• Navodila za administratorje in uporabnike
• Pomoč
Nadaljevanje programa
• AAI
• AAI za uporabnike velika novost
• Veliko dela na uporabniški izkušnji
• Pohitritev postopka prijave ( > 10 x )
• Lažja izbira domače organizacije
• Branding prijavne strani
•
•
•
•
Pridružitev eduGAIN
Orodje za preverjanje IdP
Nove verzije IdP, SP, navodila
„Portal članic“: upravljanje članstva
Nadaljevanje programa
• Kako polniti imenik
• LDAP kot mačka
• Kar nekaj orodij
• WebIdM, LDAP Admin, Jxplorer
• Pomanjkljiva funkcionalnost
• Kompleksnost, nevarnost
• IdM (SIO MdM) – rešitev problemov
• Enostavnost, potrebna funkcionalnost
• Tudi tiskanje obvestil o dodelitvi uporabniških
imen
• Prenos podatkov v OpenLDAP in AD
Nadaljevanje programa
• Eduroam (za uporabnike)
• Problemi uporabnikov
• konfiguriranje odjemalcev
• Pomanjkljiva diagnostika
• Rešitve
• CAT: orodje za konfiguriranje odjemalcev
• ArnesLink: Windows odjemalec, diagnostika!
• Orodje za test pravilnosti gesla
Nadaljevanje programa
• Eduroam (za organizacije)
• Konfiguracije
• WLAN za goste brez eduroam računa
• Redundantna postavitev eduroam
• …
• Nove verzije FreeRADIUS, LDAP
• Orodje za delo s certifikati
• Pridobivanje, preverjanje, …
AAI/Eduroam ekipa
• Rok Papež
• Blaž Divjak
• Marko Dolničar
• Gregor Cimerman