Tietohallinto 1 Martti Jokipii 24.11.2006 TTY Viimeaikaiset aktiviteetit ylläpidon puolella oma sisäinen Shibboleth-federaatio Personec HR-sovelluksen.

Esitys aiheesta: "Tietohallinto 1 Martti Jokipii 24.11.2006 TTY Viimeaikaiset aktiviteetit ylläpidon puolella oma sisäinen Shibboleth-federaatio Personec HR-sovelluksen."— Esityksen transkriptio:

1 Tietohallinto 1 Martti Jokipii 24.11.2006 Shibboleth @ TTY Viimeaikaiset aktiviteetit ylläpidon puolella oma sisäinen Shibboleth-federaatio Personec HR-sovelluksen shibbolointi TTY:n käyttöön yhteistyössä toimittajan kanssa Shibboleth-SP:n 1. käyttöönotto IIS6-ympäristössä pienimuotoista sovellusten shibbolointia mobiilivarmennepilotti Soneran kanssa

2 Tietohallinto 2 Martti Jokipii 24.11.2006 Oma sisäinen Shibboleth-federaatio [ ﴀ urn:mace:funet.fi:tut.fi] tarve konrolloituun attribuuttijakeluun paikallisille Web- sovelluksille (Apache) edellinen yritys vastaavaan perustui ei-kovin-joustavaan Pubcookie+mod_auth_ldap-yhdistelmään ei HAKA-byrokratiaa vielä SP-puolen testaus- ja pilotointivaiheessa testipeti IDP-ylläpidolle HSTYA-projektin peruja oleva sisäinen CA oli valmiina ultrakevyt byrokratian osalta toistaiseksi

3 Tietohallinto 3 Martti Jokipii 24.11.2006 Personec HR:n Shibbolointi TTY:n käyttöön taustalla tarve käyttää Personec HR:aa UPJ:n jalkauttamisen työkaluna käyttäjäryhmänä koko TTY:n henkilökunta tavoitteena käyttönotto helmikuun 2006 alussa tarjosimme jo alussa testipetiksi sisäistä federaatiota reunaehtona (toimittaja) oli, että SP:n edessä on asiakkaan proxy (asiakkaat tulevat /16-blokista) 1. yritys: Ezproxy, ei toiminut kunnolla 2. yritys: Apache 2.0.52, ei toiminut kunnolla 3. yritys: Apache 1.3.34: TOIMII!

4 Tietohallinto 4 Martti Jokipii 24.11.2006 Personec HR:n Shibbolointi TTY:n käyttöön… proxy-ongelmien selvittyä alkoi varsinainen Shib-säätö/testaus SP pyöri IIS-alustalla, säätö toimittajan murheena esteratoja muun ohessa tekeminen toimittajan päässä ei kaikki namikat yksissä käsissä => viivettä SSL-yhteyden terminoiva kuormanjakohärveli toimittajan päässä kokonaisuuden hahmotus konfiksessa IIS-puoli melko vieras asiakkaalle IDP:n kannalta proxy on SP oikean SP:n täytyy uskotella olevansa proxy apuja shibboleth-users@internet2.edu, Scott Cantor shibboleth-users@internet2.edu

5 Tietohallinto 5 Martti Jokipii 24.11.2006 Shibboleth SP käyttöön IIS6-ympäristössä TTY:llä on käytössä Cognos-välineillä toteutettu ”Tietovarasto”-sovellus sisältää mm. taloustietoja autentikointi tehtiin aiemmin Pubcookiella versio 3.3.x ei suostunut toimimaan kunnolla lokakuulla tehdyn palvelinvaihdon (-> 2003 Server) jälkeen (”User authentication failed!”), mikään säätö ei auttanut muuta motivointia: ”Budjetin saatekirjeet ovat lähteneet laitoksille, varastokirjautumisen pitäisi toimia ensi viikon alussa.” siispä asennetaan shibboleth-sp-1.3-win32.msi …

6 Tietohallinto 6 Martti Jokipii 24.11.2006 Shibboleth SP käyttöön IIS6-ympäristössä… … jo sovelletaan konfis toimivasta Apache-SP- esikuvasta tuloksena 2006-10-17 22:24:15 ERROR Shibboleth.ShibBrowserProfile [1] sessionNew: unable to verify signed profile response 2006-10-17 22:24:15 ERROR shibd.Listener [1] sessionNew: caught exception while creating session: unable to verify signed profile response sitten pari päivää / yötä tiivistä debuggausta ja selviää, että konfiksesta puuttuu (cut&paste-erheen takia) seuraava: sittemmin Cognos-SP @ IIS6 on toiminut täysin ongelmitta

7 Tietohallinto 7 Martti Jokipii 24.11.2006 Pienimuotoista sovellusten shibbolointia Viilailtu: TTY:n Intranet-tunnuksen hallintalomake etätyö-ADSL-yhteyksien tilauslomake TWiki Suunnitteilla: Nagios EJBCA Grouper

8 Tietohallinto 8 Martti Jokipii 24.11.2006