CSC – Tieteen tietotekniikan keskus Oy CSC – IT Center for Science Ltd. Luottamusverkosto eli federaatio. Haka-luottamusverkosto 10.2.2009 Tieteen tietotekniikan.

Esitys aiheesta: "CSC – Tieteen tietotekniikan keskus Oy CSC – IT Center for Science Ltd. Luottamusverkosto eli federaatio. Haka-luottamusverkosto 10.2.2009 Tieteen tietotekniikan."— Esityksen transkriptio:

1 CSC – Tieteen tietotekniikan keskus Oy CSC – IT Center for Science Ltd. Luottamusverkosto eli federaatio. Haka-luottamusverkosto 10.2.2009 Tieteen tietotekniikan keskus CSC

2 Luottamusverkosto eli federaatio Luottamusverkosto eli federaatio (engl. federation) on organisaatioiden muodostama yhteisö, joka päättää tehdä yhteistyötä käyttäjien tunnistamiseksi yli organisaatiorajojen. –päättää käyttää siihen vaikka Shibboleth-tekniikkaa! luottamusverkosto on siis organisatorinen (ei siis tekninen) olio löysässä puheessa federaatiolla tarkoitetaan myös luottamusverkoston käyttämää tekniikkaa (esim. Shibboleth)

3 Mistä luottamusverkoston pitää sopia Luottamus: –kuinka osapuolet luottavat toisiinsa Käyttäjätiedot kotikorkeakoulussa ajan tasalla Palveluntarjoajan järjestelmä tietoturvallinen Käyttäjän yksityisyyttä ei loukata (henkilötietolaki) Luottamusverkostoa operoidaan sovittujen pelisääntöjen mukaan Skeema eli attribuuttien esitystapa: –funetEduPerson –esim. kuinka ilmaistaan ”lääketieteen opiskelija” –esim. kuinka Matti Virtanen erotetaan kaimoistaan Protokolla: –esim. Shibboleth, SAML2.0, OpenID Tietoturvainfrastruktuuri: –PKI=palvelinvarmenteet, esim Sonera CA

4 Haka-luottamusverkosto eli federaatio (CSC operoi) Kotikorkeakoulut Haka: käyttäjän tunnistuksen luottamusverkosto Palveluntarjoajat Kirjastojen Nelli- tiedonhakuportaali Kirjastojen Voyager- kirjastojärjestelmä Yksittäisen korkeakoulun oppimisympäristö Virtuaaliamk-portaali (www.amk.fi) YO1 YO2 AMKn AMK1 YOn AMK2 Shib IdP CSC:n Funet-extranet (info.funet.fi) Shib SP  Kotikorkeakoulu ylläpitää käyttäjän perustietoja (nimi, yhteystiedot, rooli, opintosuunta ym)  Kotikorkeakoulu autentikoi käyttäjän (esim. salasanalla)  Kotikorkeakoulu luovuttaa (käyttäjän suostumuksella) henkilötietoja palveluntarjoajalle  Palveluntarjoaja päättää henkilötietojen perusteella, millainen näkymä käyttäjälle avautuu palvelussa

5 Haka on Suomen korkeakoulujen luottamusverkosto Haka-luottamusverkoston tarkoitus on tukea korkeakoulujen ja tutkimuslaitosten opetus- ja tutkimustoimintaa kehittämällä ja ylläpitämällä käyttäjän tunnistamiseen liittyvää infrastruktuuria. –tärkeä määritelmä, kun päätetään, kenet federaatioon voidaan ottaa ja kenet ei (henkilötietolaki 7§) Haka-luottamusverkostoon voivat liittyä yliopistot ja ammattikorkeakoulut, julkisella rahoituksella toimivat tutkimuslaitokset, yliopistolliset sairaalat, opetusta ja tutkimusta tukevat organisaatiot sekä palveluntarjoajat. –tarkempi määritelmä Haka-palvelusopimuksessa http://www.csc.fi/hallinto/haka/luottamusverkosto/liittyminen

6 Haka-infrastruktuuri on CSC:n palvelu korkeakouluille Haka Yo1 Yo3 Amk1 Yo4 Yo2 Amk4 Amk3 Amk2 CSC (operaattori) Luottamusverkostoon liitytään allekirjoittamalla palvelusopimus CSC:n kanssa.

7 Haka-luottamusverkoston organisoituminen Luottamusverkoston kumppanit Luottamusverkoston operaattori Luottamusverkoston jäsenet CSC – Tieteen tietotekniikan keskus Oy Hakan keskitetyt osat IdPPalvelu IdPPalvelu IdPSP OhjausryhmäTekninen ryhmä SP

8 Palvelusopimus: CSC luottamusverkoston operaattorina ylläpitää luottamusverkoston metatietoa ja WAYF/DS:ä –mitä jäseniä ja kumppaneita luottamusverkostoon on liittynyt –mitä IdP- ja SP-palvelimia luottamusverkostoon on rekisteröity –mitä attribuutteja kukin SP tarvitsee –tekniset yhteystiedot ja –henkilöt –luotetut varmentajat ym organisoi ohjausryhmän ja teknisen ryhmän toiminnan suunnittelee luottamusverkoston toimintaa ohjausryhmän avulla ylläpitää kansainvälisiä yhteyksiä ylläpitää testilaitteistoa ja testaa ohjelmakomponentteja järjestää koulutusta ja edistää tunnettavuutta helpdesk IdP/SP-ylläpitäjille

9 Palvelusopimus: luottamusverkoston jäsenet ja kumppanit jäsenet voivat rekisteröidä luottamusverkostoon yhden IdP:n ja useita SP:tä –siis vain yksi IdP/korkeakoulu kumppanit voivat rekisteröidä luottamusverkostoon vain SP- palvelimia –kumppanit ovat organisaatioita, jotka tarjoavat palveluja loppukäyttäjille korkeakouluissa nimeävät hallinnollisen yhteyshenkilön huolehtivat SAML/Shibboleth-palvelimiensa asennuksesta ja ylläpidosta huolehtivat luottamusverkoston metatiedon päivityksestä

10 Palvelusopimus: kotiorganisaationa toimiva kytkee SAML/Shibboleth IdP:n paikalliseen käyttäjätietokantaan antaessaan käyttäjätunnuksen varmistaa hakijan henkilöllisyyden autentikoi ainakin salasanalla ja huolehtii niiden turvallisuudesta tarjoaa vain ajantasaisia attribuutteja noudattaen funetEduPersonia pitää luetteloa siitä, mitä attribuutteja kullekin palvelulle luovutetaan tarjoaa käyttäjälle mahdollisuuden tutustua palvelun tietosuojaselosteeseen ennen kuin pyytää käyttäjältä suostumuksen henkilötietojen luovutukseen kerää lokia ja informoi käyttäjää lokitietojen käytöstä järjestää loppukäyttäjälle helpdesk-pisteen laatii käyttäjähallinnostaan kuvauksen luottamusverkoston muita jäseniä varten

11 Palvelusopimus: palveluntarjoajana toimiva asentaa SAML/Shibboleth SP:n ja integroi sen palveluun ilmoittaa operaattorille –mitkä attribuutit ovat palvelun kannalta tarpeellisia –tietosuojaselosteen URL:n suorittaa palvelunsa pääsynvalvontaa kerää lokia ja luovuttaa sitä tarvittaessa kotiorganisaatiolle väärinkäytösten selvittämistä varten