Bernd Oberknapp, UB Freiburg Einführung in AAR und Shibboleth Shibboleth-Workshop Freiburg, 12. Oktober 2005 Bernd Oberknapp, UB Freiburg

Übersicht Das Projekt AAR Warum AAR? AAR, Shibboleth und SAML Shibboleth-Komponenten Wie funktioniert AAR? Vorteile von AAR Ausblick Bernd Oberknapp, UB Freiburg

Das Projekt AAR Partner: UB Freiburg und UB Regensburg finanziert durch das BMBF eingebettet in vascoda Laufzeit 3 Jahre bis Ende 2007: 2 Jahre Entwicklungs- und Testphase mit ReDI und vascoda als Pilotanwendungen 1 Jahr Unterstützung von Einrichtungen und Anbietern bei der Einführung des Systems Bernd Oberknapp, UB Freiburg

Warum AAR? Authentifizierung, Autorisierung und Rechteverwaltung sind notwendig um den Zugriff auf Ressourcen auf bestimmte Benutzergruppen oder Benutzer einschränken und den Benutzern Dienste personalisiert anbieten zu können. Bernd Oberknapp, UB Freiburg

Warum AAR? Probleme aus Sicht des Anbieters: hoher Aufwand für den Schutz von Ressourcen, insbesondere für einen differenzierten Schutz hoher Aufwand für die Registrierung und Verwaltung von Benutzern für personalisierte Angebote Bernd Oberknapp, UB Freiburg

Warum AAR? Probleme aus Sicht der Einrichtung: hoher Aufwand für die Einbindung neuer Ressourcen in das eigene Angebot hoher Aufwand für den Schutz eigener Ressourcen (z.B. E-Learningmodule) Sicherheitsprobleme und technische Probleme bei heute üblichen Verfahren Bernd Oberknapp, UB Freiburg

Warum AAR? Probleme aus Sicht des Benutzers: mehrfache Authentifizierung für die Nutzung verschiedener Dienste erforderlich verschiedene Benutzerkennungen und Passworte für verschiedene Dienste bei vielen Ressourcen Zugriff nur innerhalb der eigenen Einrichtung Bernd Oberknapp, UB Freiburg

Was ist AAR? AAR ist eine Infrastruktur zur Authentifizierung, Autorisierung und Rechteverwaltung AAR ist ein Single Sign-on System, mit dem verschiedene Ressourcen mit einem einzigen Login genutzt werden können AAR basiert auf einem föderativen Ansatz: Die Einrichtung verwaltet und authentifiziert ihre Mitglieder und der Anbieter kontrolliert den Zugang zu seinen Ressourcen AAR baut auf Shibboleth auf Bernd Oberknapp, UB Freiburg

Was ist Shibboleth? Shibboleth ist ein Internet2/MACE-Projekt (MACE = Middleware Architecture Committee for Education) Shibboleth entwickelt eine Architektur (Protokolle und Profile), Richtlinien-Strukturen und eine Open Source-Implementierung für den einrichtungsübergreifenden Zugriff auf geschützte (Web-)Ressourcen Bernd Oberknapp, UB Freiburg

Was bietet Shibboleth? föderativer Ansatz Single Sign-On Zugriffskontrolle basierend auf Attributen erweiterbarer Satz von Standardattributen Voraussetzungen für effektiven Datenschutz Standard basierte Architektur: SAML (Shibboleth 1.3: SAML 1.1, Liberty und WS Security: SAML 2.0) Bernd Oberknapp, UB Freiburg

Was ist SAML? SAML = Security Assertion Markup Language SAML ist ein XML basierter Standard für den Austausch von Authentifizierungs- und Autorisierungsinformationen (Attributen) SAML definiert verschiedene Nachrichtentypen und Standardverfahren für deren Übertragung (Browser/POST, Browser/Artifact, SOAP) „SAML is a flexible and extensible standard designed to be used – and customized if necessary – by other standards“ (OASIS Security Services TC FAQ) Bernd Oberknapp, UB Freiburg

Shibboleth-Komponenten Identity Provider: Single Sign-on Service (SSO) Attribute Authority (AA) Artifact Resolution Service Service Provider: Assertion Consumer Service (mod_shib) Shibboleth Daemon (shibd) Resource Manager Where Are You From? (WAYF) Bernd Oberknapp, UB Freiburg

Wie funktioniert AAR? (1) (2) (3) (6) (5) (4) (9) (7) (8) Benutzerin bekannt? (1) (3) ja nein Lokalisierungsdienst (2) (4) Benutzerin Benutzerin berechtigt? (6) (5) (7) gestattet verweigert Zugriff (9) ja (8) nein Heimateinrichtung Anbieter Bernd Oberknapp, UB Freiburg

Wie funktioniert AAR? Demo 1: AAR-Testumgegung http://aar.ub.uni-freiburg.de/demo.php Demo 2: EBSCO und Elsevier http://search.epnet.com/shib.asp http://www.sciencedirect.com/ Bernd Oberknapp, UB Freiburg

Vorteile von AAR Vorteile aus Sicht des Anbieters: Ressourcen können differenziert geschützt werden keine Benutzerverwaltung auf Seiten des Anbieters erforderlich Integration in vorhandene Systeme ist häufig mit geringem Aufwand möglich Komponenten sind Open Source (Apache-Lizenz, Version 2.0) und stehen kostenfrei zur Verfügung Bernd Oberknapp, UB Freiburg

Vorteile von AAR Vorteile aus Sicht der Einrichtung: Einbindung neuer Ressourcen in das eigene Angebot ist sehr einfach berechtigten Nutzern anderer Einrichtungen kann leicht Zugriff auf eigene geschützte Ressourcen (z.B. E-Learningmodule) gewährt werden hohe Sicherheit durch zentrale Authentifizierung Komponenten sind Open Source und kostenfrei Bernd Oberknapp, UB Freiburg

Vorteile von AAR Vorteile aus Sicht des Benutzers: Single Sign-on – alle Ressourcen können mit einem einzigen Account und nach nur einmaliger Authentifizierung genutzt werden Nutzung der Ressourcen ist unabhängig von Standort und Zugriffsweg möglich Datenschutz wird respektiert Bernd Oberknapp, UB Freiburg

Ausblick: AAR „ToDo-Liste“ ReDI auf Shibboleth umstellen vascoda-Software Shibboleth-fähig machen weitere Dienste auf Shibboleth umstellen AAR-Rechteserver aufbauen (Regensburg) Einrichtungen und Anbieter bei der Einführung von Shibboleth unterstützen deutschlandweite Föderation aufbauen Bernd Oberknapp, UB Freiburg