Käyttöoikeustietojen välittäminen Haka-luottamusverkostossa FinELib-päivä Arto Tuomi CSC - Tieteen tietotekniikan keskus Oy

Haka - tilanne  Haka tuotannossa elokuusta 2005  Haka- luottamusverkostoon on liittynyt 39/46 korkeakoulua Yliopistoja puuttuu 3: Lapin yliopisto, Hanken ja Kuvataideakatemia  Hakan kautta voi kirjautua 59 palveluun

Hakan toimijat  Tunnistuslähde Tarjoaa käyttäjätietoja sekä vastaa käyttäjätunnistuksesta Kukin Suomen korkeakoulu  Palveluntarjoaja Luottaa tunnistuslähteiden tarjoamaan tietoon, jonka perusteella sallii/ei salli käyttäjän käyttää palvelua Korkeakoulun yksikkö, kumppani, yksityinen yritys jne.  Operaattori Ylläpitää yhteistä infrastruktuuria ja koordinoi toimintaa CSC - Tieteen tietotekniikan keskus Oy

Hakassa sovittuja asioita  Toimintakäytännöt Sopimukset, vaatimukset, tehtävät  Tekniset rajapinnat SAML Tietoja ei synkronoida vaan käyttäjäkohtaiset tiedot tulevat vain kun käyttäjä itse tulee palveluun  Käyttäjäattribuutit FunetEduPerson-skeema Määrittää millä tavalla henkilön ominaisuuksia kuvataan Hakan komponenttien välillä skeemahttp:// skeema

Tunnistusketju 1.Palvelu ohjaa käyttäjän tunnistautumaan kotiorganisaatioonsa 2.Onnistuneen tunnistuksen jälkeen käyttäjälle luovutetaan kyseisen palvelun tarvitsemat attribuutit 3.Käyttäjä välittää palvelulle omat attribuuttinsa 4.Palvelu tarkistaa saamiensa tietojen virheettömyyden Attribuuttien oikeellisuus on sopimuksella taattu 5.Palvelu tekee oikeutuspäätöksen saamiensa tietojen perusteella

Attribuutit Hakassa  Kullekin tunnistuslähteelle pakolliset attribuutit Nimi, organisaatio, yksikäsitteinen tunniste  Muut attribuutit kunkin organisaation omien mahdollisuuksien mukaan  Esimerkkejä rooli, tutkinto-ohjelma, opintosuunta jne. Vapaasti määriteltävä eduPersonEntitlement

Yleinen attribuuttiperusteinen pääsynvalvonta  Pääsynvalvonta perustuu johonkin yleiseen henkilön ominaisuuteen  Palvelun voi kohdentaa tietyn pääaineen opiskelijalle Rooli = student & opintosuunta = ”tilastokeskuksen pääainekoodi” Esim.

Yksittäisen käyttäjän pääsy  Yksittäiselle käyttäjälle Vaaditaan jokin henkilön kuvaava yksiselitteinen attribuutti  Avataan käyttäjälle palvelussa oikeus käyttöön, joka liitetään attribuuttina saatavaan henkilötunnisteeseen Toteuttavissa palvelussa sähköisesti

Palvelukohtainen attribuutti  Käyttäjä pääsee palveluun, jos hänellä on tietty attribuutti Esim. attribuutti eduPersonEntitlement = PalveluA → Käyttäjä pääsee palveluun A Esim.  Helppo teknisesti  Miten saadaan attribuutti liitettyä käyttäjiin Liitos tunnistuslähteessä (IT-palvelut) Valmius ja halukkuus ylläpitoon toistaiseksi kysymysmerkki

Käyttöönotto  Tekniset rakennuspalat valmiina  Attribuutteja tarjolla useimmilla organisaatioilla Muiltakin voi löytyä oikealla motivaatiolla  Entitlement-attribuutin käyttö myös mahdollista Attribuutti määritettävä Selvitettävä organisaatioiden mahdollisuus sitä tarjota ja ylläpitää