Opetus- ja kulttuuriministeriön (OKM:n) toimialan ja sidosryhmien yhteinen sähköinen palveluympäristö. Eduuni-palveluiden tarkoituksena on mahdollistaa.

Esitys aiheesta: "Opetus- ja kulttuuriministeriön (OKM:n) toimialan ja sidosryhmien yhteinen sähköinen palveluympäristö. Eduuni-palveluiden tarkoituksena on mahdollistaa."— Esityksen transkriptio:

1 Eduuni-työtilat ja Sharepoint/ADFS Toni Sormunen, OKM Haka- ja Virtu -seminaari 17.1.2012

2 Opetus- ja kulttuuriministeriön (OKM:n) toimialan ja sidosryhmien yhteinen sähköinen palveluympäristö. Eduuni-palveluiden tarkoituksena on mahdollistaa joustava työskentely yli organisaatiorajojen. Eduunin omistaa OKM ja sen palvelut tuotetaan in-house periaatteella toimialalle. Eduunin lähtökohdaksi on otettu opetus- ja kulttuuriministeriön hallinnonalan tietohallintostrategia 2006–2015, jonka keskeiset sanomat ovat sähköinen työskentely ja verkostomainen toimintatapa. Eduunia ylläpitää ja kehittää CSC - Tieteen tietotekniikan keskus Oy yhteistyössä OKM:n ja asiakasorganisaatioiden kanssa. Eduunin ohjausryhmänä toimii OKM:n toimialan tietohallinnon johtoryhmä (OpIT).

3 Eduunin ensimmäinen palvelu otettiin tuotantokäyttöön hallinnonalan virastoille 7.9.2009
Hallinnonalan Eduuni-palveluja ovat työryhmäpalvelu (SharePoint), Eduuni- pikaviestit ja verkkoneuvottelut (OCS) ja SALAMA-asianhallinta Ensimmäinen toimialalle suuntautuva palvelu on Eduuni-työtilat

4 Eduuni-ID Hajautettu identiteetinhallintajärjestelmä, joka perustuu federoituihin identiteetteihin. Identiteettinä käyttäjän työsähköpostiosoite, jonka hallinta varmistetaan rekisteröitymisen yhteydessä. Kirjautumiseen käytettään jotain luotetuista tunnistuslähteistä (Haka, Virtu, Google, LiveID, Yahoo!) Vahvaa tunnistusta varten tulossa Vetuma

5 Eduuni-työtilat ja Oma Eduuni
OKM:n toimialan yhteinen sähköisen työskentelyn ja verkostoitumisen alusta. Palvelu toteutettu Microsoft SharePoint 2010 tuotteella Laaja tuki eri selaimille Eduuni-työtilat SharePoint 2010 työtiloja sivustot voivat sisältää mm. asiakirjoja, kuvia, tehtäviä, keskusteluja, kalentereita, wiki tai blogi-sivuja jne. Työtilojen käyttövaltuutus Eduuni-ID:llä Oma Eduuni Tarjoaa jokaiselle palveluun rekisteröityneelle mahdollisuuden verkostoitua ja käyttää sosiaalisen median ominaisuuksia Tallennustilaa omille tiedostoille Tuki eri selaimille tuotteella mahdollisimman käyttöjärjestelmä/selain riippumattomasti

6 SharePoint 2010 ja ADFS 2.0 SharePoint 2010 ADFS 2.0
Claims-based WebApplicationit Useita autentikointitapoja voidaan hyödyntää samassa WebApplicationissa SharePointissa on oma STS, jossa tuki WS-federation protokollalle ADFS 2.0 SAML 2.0 ja WS-federation tuki ADFS Claims Engine Mahdollisuus asentaa vikasietoinen farmi

7 SharePoint ympäristö

8 SharePoint STS asetukset
Asetetaan SharePoint STS luottamaan ADFS:ään PowerShell - New-SPTrustedIdentityTokenIssuer $tokensigningcert = New-Object System.Security.Cryptography.X509Certificates.X509Certificate2(”tokensigning.cer") $map1 = New-SPClaimTypeMapping " -IncomingClaimTypeDisplayName "By " -SameAsIncoming $map2 = New-SPClaimTypeMapping " -IncomingClaimTypeDisplayName "By eduPersonPrincipalName" –SameAsIncoming $map3 = New-SPClaimTypeMapping " -IncomingClaimTypeDisplayName "By virtuPersonPrincipalName" –SameAsIncoming $realm = " $signinurl = " $ap = New-SPTrustedIdentityTokenIssuer -Name "Identity" -Description "ADFS 2.0" -Realm $realm - ImportTrustCertificate $tokensigningcert -ClaimsMappings $map1,$map2,$map3 -SignInUrl $signinurl -IdentifierClaim $map1.InputClaimType $rootca = New-Object System.Security.Cryptography.X509Certificates.X509Certificate2("RootCA.cer") New-SPTrustedRootAuthority -Name "ADFS Token Signing Root Authority- fs.domain.fi" -Certificate $rootca Tämän jälkeen voidaan SharePoint Web Applicationissa valita Trusted Identity Provideriksi ADFS

9 ADFS 2.0 asetukset Asetetaan ADFS luottamaan SharePointin STS:ään
ADFS 2.0 Management Console – Relying Party Trusts Add Relying Party Trust Wizard Valitaan AD FS 1.0 and 1.1 profile ADFS 2.0:n voi myös konfiguroida PowerShell cmdleteillä PowerShell komentoja Add-ADFSAttributeStore Adds an attribute store to the Federation Service. Add-ADFSCertificate Adds a new certificate to the Federation Service for signing, decrypting, or securing communications. Add-ADFSClaimDescription Adds a claim description to the Federation Service. Add-ADFSClaimsProviderTrust Adds a new claims provider trust to the Federation Service. Add-ADFSRelyingPartyTrust Adds a new relying party trust to the Federation Service.

10 ADFS 2.0 ja Virtun metadata
ADFS ei voi suoraan hyödyntää Virtun metadataa. Kaikki IdP:t ja SP:t samassa metatiedossa Sertifikaattien käsittelyssä eroja Myös Virtun vaatimukset metatiedon käsittelystä huomioitava. Toteutus Powershell skriptillä ja ohjelmoimalla XML:n käsittely Powershell:n avulla helppoa. ADFS:n mukana paljon valmiita Powershell komentoja joita on hyödynnetty toteutuksessa. Metadatan allekirjoituksen tarkastaminen ohjelmoimalla Osa tarkastuksista ADFS Claim Rule Language:n avulla Keskeiset kohdat metadatan käsittelyssä Metadatasta haetaan per IdP tarvittavat tiedot. Tiedot parametreina Add-ADFSClaimsProviderTrust komennolle . Encryption sertifikaatti

11 Kiitos! toni.sormunen@minedu.fi