Visualizza wikitesto di Profilo Tecnico Operativo

<big>Versione 1.0.2</big> 

<big>10 Giugno 2021</big>

===Revisioni===
{| class="wikitable"
|+
!Versione
!Data
!Descrizione
!Autore
|-
|1.0
|01-06-2021
|Prima versione completa.
|Marco Malavolti
Barbara Monticini

Davide Vaghetti
|-
|1.0.1
|07-06-2021
|Modifica IDP-MD08 e SP-MD07
|Marco Malavolti
Barbara Monticini

Davide Vaghetti
|-
|1.0.2
|10-06-2021
|SEC02 trasformato in raccomandazione dato che SEC01 copre gia' i casi di chain-issue piu' gravi.
|Marco Malavolti

Barbara Monticini

Davide Vaghetti
|}

-----

__TOC__

=Profilo Tecnico Operativo per le Entità della Federazione IDEM=
In questa pagina sono indicati i requisiti delle entità che si intende registrare nella Federazione Italiana delle Identità Digitali IDEM GARR AAI.
===Definizioni===
Le parole chiave utilizzate in questo documento, sempre scritte in maiuscolo ed indicate nella tabella di seguito con a fianco la loro versione originale in lingua inglese, devono essere interpretate secondo quanto indicato nella [<nowiki>RFC 2119</nowiki>].
{| class="wikitable"
|+
|DEVE/OBBLIGATORIO
|MUST/SHALL/REQUIRED
|-
|NON DEVE
|MUST NOT/SHALL NOT
|-
|DOVREBBE/RACCOMANDATO
|SHOULD
|-
|NON DOVREBBE
|SHOULD NOT
|-
|PUÒ/FACOLTATIVO
|MAY/OPTIONAL
|}[[#top|[TOP]]]
===Security (SEC) - Identity Provider & Service Provider===
I requisiti di seguito elencati sono relativi al certificato SSL utilizzato per l'interfaccia HTTPS del servizio.

Non riguardano invece i certificati utilizzati dagli Identity e Service Provider per cifrare e firmare digitalmente le asserzioni presenti nei metadata.
====SEC01 - Grado di robustezza SSL====
Il certificato SSL utilizzato sulla porta HTTPS del servizio DEVE riportare <u>almeno un grado B</u> su SSL Labs: https://www.ssllabs.com/ssltest/

[[#top|[TOP]]]
====SEC02 - Chain issue====
Il certificato SSL utilizzato sulla porta HTTPS del servizio DOVREBBE essere <u>privo di "Chain issues"</u> (errori sulla catena della CA) --- verificare con SSL Labs: https://www.ssllabs.com/ssltest/

[[#top|[TOP]]]
==Identity Provider==
===Metadata (IDP-MD)===
I requisiti di seguito elencati sono relativi ai metadata di un Identity Provider (IDP).
====IDP-MD01 - validUntil====
<code>validUntil</code>, attributo contenuto nell'elemento <code><md:EntityDescriptor></code>, DEVE essere <u>rimosso</u> assieme al suo valore in quanto verrà inserito dalla Federazione.

[[#top|[TOP]]]
====IDP-MD02 - entityID====
<code>entityID</code>, attributo contenuto nell'elemento <code><md:EntityDescriptor></code>, DEVE essere una URL di lunghezza massima 256 caratteri.

La URL dell'entityID DOVREBBE restituire i metadata dell'entità.

''Esempio:''<syntaxhighlight lang="xml">
entityID="https://idp.example.org/idp/shibboleth"
</syntaxhighlight>[[#top|[TOP]]]
====IDP-MD03 - Scope====
<code><shibmd:Scope></code>, contenuto nell'elemento <code><md:Extension></code>, DEVE:

*assumere valori di dominio nella disponibilità dell'organizzazione (strumento di verifica WHOIS: https://who.is/)

''Esempio:''<syntaxhighlight lang="xml">
<shibmd:Scope>example.org</shibmd:Scope>
</syntaxhighlight>[[#top|[TOP]]]
====IDP-MD04 - DisplayName====
<code><mdui:DisplayName></code>, contenuto nell'elemento <code><mdui:UIInfo></code>, DEVE:

*contenere il nome del servizio da mostrare all'utente;
*essere definito sia per la lingua <u>italiana</u>, sia per la lingua <u>inglese</u>.

''Esempio:''<syntaxhighlight lang="xml">
<mdui:DisplayName xml:lang="en">Example University</mdui:DisplayName>
<mdui:DisplayName xml:lang="it">Università di Esempio</mdui:DisplayName>
</syntaxhighlight>[[#top|[TOP]]]
====IDP-MD05 - Description====
<code><mdui:Description></code>, contenuto nell'elemento <code><mdui:UIInfo></code>, DEVE:

*contenere una breve descrizione del servizio;
*essere definito sia per la lingua <u>italiana</u>, sia per la lingua <u>inglese</u>.

''Esempio:''<syntaxhighlight lang="xml">
<mdui:Description xml:lang="en">Identity provider for Example University user</mdui:Description> 
<mdui:Description xml:lang="it">Identity provider per gli utenti di Università di Esempio</mdui:Description>
</syntaxhighlight>[[#top|[TOP]]]
====IDP-MD06 - InformationURL====
<code><mdui:InformationURL></code>, contenuto nell'elemento <code><mdui:UIInfo></code>, DEVE:

*contenere la URL della pagina informativa del servizio;
*essere definito sia per la lingua <u>italiana</u>, sia per la lingua <u>inglese</u>.

Per il contenuto della pagina informativa vedere [[Profilo_Tecnico_Operativo#IDP-FED02 - Informazioni|IDP-FED02]].

''Esempio:''<syntaxhighlight lang="xml">
<mdui:InformationURL xml:lang="en">https://...info page in english...</mdui:InformationURL> 
<mdui:InformationURL xml:lang="it">https://...pagina di informazioni in italiano...</mdui:InformationURL>
</syntaxhighlight>[[#top|[TOP]]]
====IDP-MD07 - PrivacyStatementURL====
<code><mdui:PrivacyStatementURL></code>, contenuto nell'elemento <code><mdui:UIInfo></code>, DEVE:

*contenere la URL della pagina sul trattamento dei dati personali del servizio;
*essere definito sia per la lingua <u>italiana</u>, sia per la lingua <u>inglese</u>.

Per il contenuto della pagina sul trattamento dei dati personali vedere [[Profilo_Tecnico_Operativo#IDP-FED03 - Trattamento dati personali|IDP-FED03]].

''Esempio:''<syntaxhighlight lang="xml">
<mdui:PrivacyStatementURL xml:lang="en">https://...privacy policy in english...</mdui:PrivacyStatementURL>  
<mdui:PrivacyStatementURL xml:lang="it">https://...privacy policy in italiano...</mdui:PrivacyStatementURL>
</syntaxhighlight>[[#top|[TOP]]]
====IDP-MD08 - Logo====
<code><mdui:Logo></code>, contenuto nell'elemento <code><mdui:UIInfo></code>, DEVE:

*contenere almeno una URL protetta da SSL (<code>https://</code>) del logo dell'organizzazione.

Si RACCOMANDA:

*di pubblicare in formato '''PNG''' (con sfondo trasparente)
*di pubblicare due loghi:
**'''16x16 pixel''' (o maggiore se rispetta l'aspect-ratio) - [https://garr-idp-test.irccs.garr.it/it/favicon.png Esempio];
**'''80x60 pixel''' (o maggiore se rispetta l'aspect-ratio) - [https://garr-idp-test.irccs.garr.it/it/logo.png Esempio].

''Esempio:''<syntaxhighlight lang="xml">
<mdui:Logo width="16" height="16">https://...favicon_16x16.png...</mdui:Logo>
<mdui:Logo width="80" height="60">https://...logo_80x60.png...</mdui:Logo>
</syntaxhighlight>[[#top|[TOP]]]

====IDP-MD09 - KeyDescriptor====
I metadata DEVONO contenere almeno un elemento <code><md:KeyDescriptor></code> con le seguenti caratteristiche:

*privo di ulteriori attributi o con il solo attributo <code>use="signing"</code>;
*che contenga un certificato X.509 in formato PEM.

''Esempio:''<syntaxhighlight lang="xml">
<md:KeyDescriptor use="signing">
   <ds:KeyInfo>
      <ds:X509Data>
         <ds:X509Certificate>
         MII[..]
         </ds:X509Certificate>
      </ds:X509Data>
   </ds:KeyInfo>
</md:KeyDescriptor>

</syntaxhighlight>[[#top|[TOP]]]
====IDP-MD10 - SingleSignOnService====
<code><md:SingleSignOnService></code> DEVE:

*essere presente con l'attributo <code>Binding='<nowiki>urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Redirect'</nowiki></code> perchè necessario alle Authentication Request (<code>AuthnRequest</code>);
*essere presente con l'attributo <code>Binding='<nowiki>urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST'</nowiki></code> perchè necessario alle Authentication Response (<code>AuthnResponse</code>);
*in tutti i casi, contenere un attributo <code>Location</code> valorizzato con una URL protetta da SSL (<code>https://</code>).<br />

''Esempio:''<syntaxhighlight lang="xml">
<SingleSignOnService Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST" Location="https://..."/>
<SingleSignOnService Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Redirect" Location="https://..."/>

</syntaxhighlight>[[#top|[TOP]]]
====IDP-MD11 - SingleLogoutService====
<code><md:SingleLogoutService></code> DEVE:

*essere presente con l'attributo <code>Binding='<nowiki>urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Redirect'</nowiki></code>  perchè necessario alle Logout Request (<code>LogoutRequest</code>);
*contenere un attributo <code>Location</code> valorizzato con una URL protetta da SSL (<code>https://</code>).<br />

''Esempio:''<syntaxhighlight lang="xml">
<SingleLogoutService Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Redirect" Location="https://..."/>

</syntaxhighlight>[[#top|[TOP]]]
====IDP-MD12 - OrganizationName====
<code><md:OrganizationName></code> , contenuto nell'elemento <code><md:Organization></code>, DEVE:

*contenere il nome dell'organizzazione a cui afferisce il servizio;
*essere definito sia per la lingua <u>italiana</u>, sia per la lingua <u>inglese</u>.

''Esempio:''<syntaxhighlight lang="xml">
<md:OrganizationName xml:lang="en">Example University</md:OrganizationName> 
<md:OrganizationName xml:lang="it">Università di Esempio</md:OrganizationName>
</syntaxhighlight>[[#top|[TOP]]]
====IDP-MD13 - OrganizationDisplayName====
<code><md:OrganizationDisplayName></code> , contenuto nell'elemento <code><md:Organization></code>, DEVE:

*contenere il nome dell'organizzazione che verrà mostrato nelle interfacce utente;
*essere definito sia per la lingua <u>italiana,</u> sia per la lingua <u>inglese</u>.

''Esempio:''<syntaxhighlight lang="xml">
<md:OrganizationDisplayName xml:lang="en">Example University</md:OrganizationDisplayName>
<md:OrganizationDisplayName xml:lang="it">Università di Esempio</md:OrganizationDisplayName>
</syntaxhighlight>[[#top|[TOP]]]
====IDP-MD14 - OrganizationURL====
<code><md:OrganizationURL></code>, contenuto nell'elemento <code><md:Organization></code>, DEVE:

*contenere la URL del sito principale dell'organizzazione a cui afferisce il servizio;
*essere definito sia per la lingua <u>italiana</u>, sia per la lingua <u>inglese</u>.

''Esempio:''<syntaxhighlight lang="xml">
<md:OrganizationURL xml:lang="en">https://...institutional site in english...</md:OrganizationURL> 
<md:OrganizationURL xml:lang="it">https://...sito istituzionale in italiano...</md:OrganizationURL>
</syntaxhighlight>[[#top|[TOP]]]
====IDP-MD15 - ContactPerson====
I metadata DEVONO contenere <u>almeno</u> un elemento <code><md:ContactPerson></code> con le seguenti caratteristiche:

*contenere l'indirizzo email del contatto tecnico del servizio;
*contenere l'attributo <code>contactType="technical"</code>;

Si RACCOMANDA di utilizzare un indirizzo <u>impersonale</u> (ad esempio una mailing-list).

''Esempio:''<syntaxhighlight lang="xml">
<ContactPerson contactType="technical">mailto:mailing-list@domain</md:ContactPerson>
</syntaxhighlight>[[#top|[TOP]]]
===Federation (IDP-FED)===
I requisiti di seguito elencati sono dettati dalla Federazione e destinati agli Identity Provider.
====IDP-FED01 - Data====
Un Identity Provider in IDEM DEVE essere in grado di rilasciare le seguenti informazioni:

#un identificativo univoco, persistente, diverso per ogni servizio e trasmissibile in una delle seguenti forme:
#*nell'elemento <code><NameID></code> con attributo <code>Format="<nowiki>urn:oasis:names:tc:SAML:2.0:nameid-format:persistent</nowiki>"</code> se indicato nei metadata del  Service Provider;
#*nell'attributo <code>eduPersonTargetedID</code> per i Service Provider che lo richiedono nell'elemento <code><md:RequestedAttribute></code>.
#l'attributo <code>eduPersonScopedAffiliation</code>, ovvero l'affiliazione dell'utente con l'aggiunta dello <code>scope</code>.<br />

''Esempio con [https://sp.aai-test.garr.it/secure sp.aai-test.garr.it]:''<syntaxhighlight lang="xml">
affiliation = member@aai-test.garr.it;staff@aai-test.garr.it
persistent = https://garr-idp-test.irccs.garr.it/idp/shibboleth!https://sp.aai-test.garr.it/shibboleth!eYfN....Q1rU=
</syntaxhighlight>[[#top|[TOP]]]
====IDP-FED02 - Informazioni====
La pagina informativa esposta in lingua <u>italiana</u> e in lingua <u>inglese</u> DEVE contenere:

#un riferimento per il supporto agli utenti (ad esempio un indirizzo di posta, o un web form, ecc.);
#un collegamento alla pagina sul trattamento dei dati personali;
#il Logo di IDEM e il link al Sito di IDEM.

''Esempi:''

*IT: https://garr-idp-test.irccs.garr.it/it/info.html
*EN: https://garr-idp-test.irccs.garr.it/en/info.html

[[#top|[TOP]]]
====IDP-FED03 - Trattamento dati personali====
La pagina sul trattamento dei dati personali DEVE contenere tutte le informazioni previste dagli artt. 13 e 14 del Regolamento UE 679/2016.

A titolo esemplificativo, Il Servizio IDEM GARR AAI rende disponibile il seguente modello: [[InformativaDatiPersonaliIdP|InformativaDatiPersonaliIdP.]]

''Esempi:''

*IT: https://garr-idp-test.irccs.garr.it/it/privacy.html
*EN: https://garr-idp-test.irccs.garr.it/en/privacy.html

[[#top|[TOP]]]
====IDP-FED04 - Login====
La pagina di login di un Identity Provider federato in IDEM DEVE contenere:

*il collegamento alla pagina informativa indicata da <code><mdui:InformationURL></code> ([[Profilo_Tecnico_Operativo#IDP-MD06%20-%20InformationURL|IDP-MD06]]);
*il collegamento alla pagina sul trattamento dei dati personali indicata da <code><mdui:PrivacyStatementURL></code> ([[Profilo_Tecnico_Operativo#IDP-MD07%20-%20PrivacyStatementURL|IDP-MD07]]);
*il logo di IDEM ([https://idem.garr.it/tutti-i-documenti/idem-archivio/banner-e-loghi Logo IDEM]);
*il riferimento al <u>Contatto Tecnico</u> o al <u>Contatto di Supporto</u> per la risoluzione delle problematiche legate all'accesso alle risorse da parte degli utenti.

[[#top|[TOP]]]
====IDP-FED05 - Certificati metadata====
Il certificato o i certificati utilizzati per <u>firmare e cifrare</u> le asserzioni dell'IdP DOVREBBERO essere:

*di lunga durata (30 anni);
*auto firmati (self-signed);
*validi (non scaduti);
*non firmati con algoritmi di firma basati su MD5 o SHA1;
*corrispondenti ad una chiave privata di almeno 3072 bit.

In ogni caso la chiave privata corrispondente NON DEVE avere una lunghezza minore di 2048 bit.

[[#top|[TOP]]]
===Esempio IdP Metadata===
<syntaxhighlight lang="xml">
<md:EntityDescriptor xmlns="urn:oasis:names:tc:SAML:2.0:metadata" xmlns:md="urn:oasis:names:tc:SAML:2.0:metadata" xmlns:ds="http://www.w3.org/2000/09/xmldsig#" xmlns:shibmd="urn:mace:shibboleth:metadata:1.0" xmlns:mdui="urn:oasis:names:tc:SAML:metadata:ui" entityID="https://idp.example.org/idp/shibboleth">
 <md:IDPSSODescriptor protocolSupportEnumeration="urn:oasis:names:tc:SAML:2.0:protocol">
  <md:Extensions>
   <shibmd:Scope regexp="false">example.org</shibmd:Scope>
   <mdui:UIInfo>
    <mdui:DisplayName xml:lang="en">ENG IDP DISPLAYNAME</mdui:DisplayName>
    <mdui:DisplayName xml:lang="it">ITA IDP DISPLAYNAME</mdui:DisplayName>
    <mdui:Description xml:lang="en">ENG IDP DESCRIPTION</mdui:Description>
    <mdui:Description xml:lang="it">ITA IDP DESCRIPTION</mdui:Description>
    <mdui:InformationURL xml:lang="en">HTTPS URL ENG INFO PAGE</mdui:InformationURL>
    <mdui:InformationURL xml:lang="it">HTTPS URL ITA INFO PAGE</mdui:InformationURL>
    <mdui:PrivacyStatementURL xml:lang="en">URL ENG PRIVACY POLICY PAGE</mdui:PrivacyStatementURL>
    <mdui:PrivacyStatementURL xml:lang="it">URL ITA PRIVACY POLICY PAGE</mdui:PrivacyStatementURL>
    <mdui:Logo width="80" height="60">HTTPS URL LOGO</mdui:Logo>
    <mdui:Logo width="16" height="16">HTTPS URL FAVICON</mdui:Logo>
   </mdui:UIInfo>
  </md:Extensions>
  <md:KeyDescriptor use="signing">
   <ds:KeyInfo>
    <ds:X509Data>
     <ds:X509Certificate>
        MII...
     </ds:X509Certificate>
    </ds:X509Data>
   </ds:KeyInfo>
  </md:KeyDescriptor>
  <md:SingleLogoutService Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Redirect" Location="https://idp.example.org/idp/profile/SAML2/Redirect/SLO"/>
  <md:NameIDFormat>urn:oasis:names:tc:SAML:2.0:nameid-format:transient</md:NameIDFormat>
  <md:NameIDFormat>urn:oasis:names:tc:SAML:2.0:nameid-format:persistent</md:NameIDFormat>
  <md:SingleSignOnService Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Redirect" Location="https://idp.example.org/idp/profile/SAML2/Redirect/SSO"/>
  <md:SingleSignOnService Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST" Location="https://idp.example.org/idp/profile/SAML2/POST/SSO"/>
 </md:IDPSSODescriptor>
 <md:Organization>
  <md:OrganizationName xml:lang="it">ITA IDP ORGANIZATION NAME</md:OrganizationName>
  <md:OrganizationName xml:lang="en">ENG IDP ORGANIZATION NAME</md:OrganizationName>
  <md:OrganizationDisplayName xml:lang="it">ITA IDP DISPLAYNAME ORGANIZATION</md:OrganizationDisplayName>
  <md:OrganizationDisplayName xml:lang="en">ENG IDP DISPLAYNAME ORGANIZATION</md:OrganizationDisplayName>
  <md:OrganizationURL xml:lang="it">https://example.org/it</md:OrganizationURL>
  <md:OrganizationURL xml:lang="en">https://example.org/en</md:OrganizationURL>
 </md:Organization>
 <md:ContactPerson contactType="technical">
  <md:GivenName>EXAMPLE CONTACT NAME</md:GivenName>
  <md:SurName>EXAMPLE CONTACT SURNAME</md:SurName>
  <md:EmailAddress>mailto:technical.contact@example.org</md:EmailAddress>
 </md:ContactPerson>
</md:EntityDescriptor>
</syntaxhighlight>[[#top|[TOP]]]

==Service Provider==
===Metadata (SP-MD)===
I requisiti di seguito elencati sono relativi ai metadata che descrivono un Service Provider (SP).
====SP-MD01 - validUntil====
<code>validUntil</code> , attributo contenuto nell'elemento <code><md:EntityDescriptor></code>, DEVE essere <u>rimosso</u> assieme al suo valore in quanto verrà inserito dalla Federazione.

[[#top|[TOP]]]
====SP-MD02 - entityID====
<code>entityID</code> , attributo contenuto nell'elemento <code><md:EntityDescriptor></code>, DEVE essere una URL di lunghezza massima 256 caratteri.

La URL dell'entityID DOVREBBE restituire i metadata dell'entità.

''Esempio:''<syntaxhighlight lang="xml">
entityID="https://sp.example.org/shibboleth"
</syntaxhighlight>[[#top|[TOP]]]
====SP-MD03 - DisplayName====
<code><mdui:DisplayName></code> , contenuto nell'elemento <code><mdui:UIInfo></code>, DEVE:

*contenere il nome della risorsa da mostrare all'utente. '''Attenzione''': il nome <u>non deve usare</u> la parola "IDEM" perchè riservata al [https://idem.garr.it/federazione-idem/la-federazione#servizio Servizio];
*essere definito sia per la lingua <u>italiana</u>, sia per la lingua <u>inglese</u>.

''Esempio:''<syntaxhighlight lang="xml">
<mdui:DisplayName xml:lang="en">Resource provided by Example Organization</mdui:DisplayName>
<mdui:DisplayName xml:lang="it">Risorsa erogata da Organizzazione di Esempio</mdui:DisplayName>
</syntaxhighlight>[[#top|[TOP]]]
====SP-MD04 - Description====
<code><mdui:Description></code> , contenuto nell'elemento <code><mdui:UIInfo></code>, DEVE:

*contenere una breve descrizione del servizio;
*essere definito sia per la lingua <u>italiana</u>, sia per la lingua <u>inglese</u>.

''Esempio:''<syntaxhighlight lang="xml">
<mdui:Description xml:lang="en">The resource allow you to ...</mdui:Description> 
<mdui:Description xml:lang="it">La risorsa ti permette di ...</mdui:Description>
</syntaxhighlight>[[#top|[TOP]]]
====SP-MD05 - InformationURL====
<code><mdui:InformationURL></code> , contenuto nell'elemento <code><mdui:UIInfo></code>, DEVE:

*contenere la URL della pagina informativa del servizio;
*essere definito sia per la lingua <u>italiana</u>, sia per la lingua <u>inglese</u>.

Per il contenuto della pagina informativa vedere [[Profilo_Tecnico_Operativo#SP-FED02%20-%20Informazioni|SP-FED02]].

''Esempio:''<syntaxhighlight lang="xml">
<mdui:InformationURL xml:lang="en">https://...info page in english...</mdui:InformationURL> 
<mdui:InformationURL xml:lang="it">https://...informativa in italiano...</mdui:InformationURL>
</syntaxhighlight>[[#top|[TOP]]]
====SP-MD06 - PrivacyStatementURL====
<code><mdui:PrivacyStatementURL></code>, contenuto nell'elemento <code><mdui:UIInfo></code>, DEVE:

*contenere la URL della pagina sul trattamento dei dati personali del servizio;
*essere definito sia per la lingua <u>italiana</u>, sia per la lingua <u>inglese</u>.

Per il contenuto della pagina sul trattamento dei dati personali vedere [[Profilo_Tecnico_Operativo#SP-FED03%20-%20Trattamento%20dati|SP-FED03]].

''Esempio:''<syntaxhighlight lang="xml">
<mdui:PrivacyStatementURL xml:lang="en">https://...privacy policy in english...</mdui:PrivacyStatementURL>  
<mdui:PrivacyStatementURL xml:lang="it">https://...privacy policy in italiano...</mdui:PrivacyStatementURL>
</syntaxhighlight>[[#top|[TOP]]]
====SP-MD07 - Logo====
<code><mdui:Logo></code> , contenuto nell'elemento <code><mdui:UIInfo></code>, DEVE:

*contenere almeno una URL protetta da SSL (<code>https://</code>) del logo dell'organizzazione.

Si RACCOMANDA:

*di pubblicare in formato '''PNG''' (con sfondo trasparente)

*un logo con:
**''base'': dai 64 px ai 350 px;
**''altezza'': dai 64px ai 146px;

''Esempio:''<syntaxhighlight lang="xml">
<mdui:Logo width="64" height="64">https://...logo.png</mdui:Logo>
</syntaxhighlight>[[#top|[TOP]]]
====SP-MD08 - KeyDescriptor====
I metadata DEVONO contenere <u>almeno</u> un elemento <code><md:KeyDescriptor></code> con le seguenti caratteristiche:

*privo di ulteriori attributi o con il solo attributo <code>use="encryption"</code>;
*contenente un certificato X.509 in formato PEM.
<syntaxhighlight lang="xml">
<md:KeyDescriptor use="encryption">
   <ds:KeyInfo> 
      <ds:X509Data> 
         <ds:X509Certificate>
            MII[..]
         </ds:X509Certificate>
      </ds:X509Data>
   </ds:KeyInfo>
</md:KeyDescriptor>
</syntaxhighlight>Se il Service Provider supporta il Single Logout, DEVE essere presente un <u>ulteriore</u> elemento <code><md:KeyDescriptor></code> con l'attributo <code>use="signing"</code>.

[[#top|[TOP]]]
====SP-MD09 - RequestedAttribute====
<code><md:RequestedAttribute></code> , contenuto nell'elemento <code><md:AttributeConsumingService></code>, DEVE:

*contenere tutti e soli gli attributi SAML richiesti dalla risorsa;
*indicare gli attributi <u>indispensabili</u> all'accesso e all'utilizzo della risorsa con il parametro <code>isRequired="true"</code>
*indicare gli attributi <u>non indispensabili</u> all'accesso e all'utilizzo della risorsa con il parametro <code>isRequired="false"</code>

''Esempio:''<syntaxhighlight lang="xml">
<md:RequestedAttribute FriendlyName="givenName" Name="urn:oid:2.5.4.42" NameFormat="urn:oasis:names:tc:SAML:2.0:attrname-format:uri" isRequired="true"/>
<md:RequestedAttribute FriendlyName="displayName" Name="urn:oid:2.16.840.1.113730.3.1.241" NameFormat="urn:oasis:names:tc:SAML:2.0:attrname-format:uri" isRequired="false"/>

</syntaxhighlight>[[#top|[TOP]]]
====SP-MD10 - OrganizationName====
<code><md:OrganizationName></code> , contenuto nell'elemento <code><md:Organization></code>, DEVE:

*contenere il nome dell'organizzazione che offre il servizio;
*essere definito sia per la lingua <u>italiana</u>, sia per la lingua <u>inglese</u>.

''Esempio:''<syntaxhighlight lang="xml">
<md:OrganizationName xml:lang="en">Example Organization</md:OrganizationName> 
<md:OrganizationName xml:lang="it">Organizzazione di Esempio</md:OrganizationName>
</syntaxhighlight>[[#top|[TOP]]]
====SP-MD11 - OrganizationDisplayName====
<code><md:OrganizationDisplayName></code> , contenuto nell'elemento <code><md:Organization></code>, DEVE:

*contenere il nome dell'organizzazione che offre il servizio da mostrare all'utente;
*essere definito sia per la lingua <u>italiana</u>, sia per la lingua <u>inglese</u>.

''Esempio:''<syntaxhighlight lang="xml">
<md:OrganizationDisplayName xml:lang="en">Resource provided by Example University</md:OrganizationDisplayName>
<md:OrganizationDisplayName xml:lang="it">Risorsa erogata da Università di Esempio</md:OrganizationDisplayName>
</syntaxhighlight>[[#top|[TOP]]]
====SP-MD12 - OrganizationURL====
<code><md:OrganizationURL></code>, contenuto nell'elemento <code><md:Organization></code>, DEVE:

*contenere la URL del sito principale dell'organizzazione che offre il servizio;
*essere definito sia per la lingua <u>italiana</u>, sia per la lingua <u>inglese</u>.

''Esempio:''<syntaxhighlight lang="xml">
<md:OrganizationURL xml:lang="en">https://...institutional site in english...</md:OrganizationURL> 
<md:OrganizationURL xml:lang="it">https://...sito istituzionalein italiano...</md:OrganizationURL>
</syntaxhighlight>[[#top|[TOP]]]
====SP-MD13 - ContactPerson====
I metadata DEVONO contenere <u>almeno</u> un elemento <code><md:ContactPerson></code> con le seguenti caratteristiche:

*contenere l'indirizzo email del contatto tecnico del servizio;
*contenere l'attributo <code>contactType="technical"</code>;

Si RACCOMANDA di utilizzare un indirizzo <u>impersonale</u> (ad esempio una mailing-list).

''Esempio:''<syntaxhighlight lang="xml">
<ContactPerson contactType="technical">mailto:mailing-list@domain</md:ContactPerson>
</syntaxhighlight>[[#top|[TOP]]]
===Federation (SP-FED)===
I requisiti di seguito elencati sono dettate dalla Federazione e destinate ai Service Provider.
====SP-FED01 - Data====
un Service Provider in IDEM riceve ''automaticamente'' le seguenti informazioni:

#Un identificativo univoco persistente e targhettizzato dell'utente:
#*<code>persistent-id</code> '''(persistent NameID)'''  (o ''eduPersonTargetedID'' se non è possibile rilasciarlo)
#L'affiliazione dell'utente con scopo:
#*<code>affiliation</code> '''(eduPersonScopedAffiliation)'''

''Esempio con [https://sp.aai-test.garr.it/secure sp.aai-test.garr.it]:''<syntaxhighlight lang="xml">
affiliation = member@aai-test.garr.it;staff@aai-test.garr.it
persistent-id = https://garr-idp-test.irccs.garr.it/idp/shibboleth!https://sp.aai-test.garr.it/shibboleth!eYfN....Q1rU=

</syntaxhighlight><u>Ogni informazione aggiuntiva richiesta</u> per l'utilizzo della/e risorsa/e protetta/e dal Service Provider <u>va motivata adeguatamente</u> via mail a <code>idem-help@garr.it</code>.

[[#top|[TOP]]]
====SP-FED02 - Informazioni====
La pagina informativa esposta in lingua <u>italiana</u> e in lingua <u>inglese</u> DEVE contenere:

#la descrizione del servizio;
#il pubblico a cui si rivolge il servizio;
#la denominazione dell'organizzazione che lo gestisce;
#il riferimento al supporto utenti;
#il collegamento alla pagina sul trattamento dei dati personali.

[[#top|[TOP]]]
====SP-FED03 - Trattamento dati====
La pagina sul trattamento dei dati personali DEVE contenere tutte le informazioni previste dagli artt. 13 e 14 del Regolamento UE 679/2016.

Per la stesura della privacy policy IDEM suggerisce di seguire le linee guida di REFEDS:

https://wiki.refeds.org/display/CODE/Privacy+policy+guidelines+for+Service+Providers

[[#top|[TOP]]]
====SP-FED04 - Login Page / Discovery Service====
La pagina di accesso ad una risorsa federata in IDEM DEVE contenere:

*l'elenco degli IdP abilitati provenienti da IDEM ed eduGAIN;
*un riferimento alla pagina informativa del servizio ([[Profilo Tecnico Operativo#SP-MD05 - InformationURL|SP-MD05]])

Il Servizio suggerisce di seguire le ''REFEDS Best Practices:'' https://discovery.refeds.org/

[[#top|[TOP]]]
====SP-FED05 - Certificati metadata====
Il certificato o i certificati utilizzati per firmare e cifrare le asserzioni dell'IdP DOVREBBERO essere:

*di lunga durata (30 anni);
*auto firmati (self-signed);
*validi (non scaduti);
*non firmati con algoritmi di firma basati su MD5 o SHA1;
*corrispondenti ad una chiave privata di almeno 3072 bit.

In ogni caso la chiave privata corrispondente NON DEVE avere una lunghezza minore di 2048 bit.

[[#top|[TOP]]]
===Esempio Metadata Service Provider===
<syntaxhighlight lang="xml">
<md:EntityDescriptor entityID="https://sp.example.com/shibboleth"
                     xmlns:ds="http://www.w3.org/2000/09/xmldsig#"
                     xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
                     xmlns:md="urn:oasis:names:tc:SAML:2.0:metadata"
                     xmlns:mdui="urn:oasis:names:tc:SAML:metadata:ui">
   <md:SPSSODescriptor protocolSupportEnumeration="urn:oasis:names:tc:SAML:2.0:protocol">
      <md:Extensions>
         <init:RequestInitiator
            xmlns:init="urn:oasis:names:tc:SAML:profiles:SSO:request-init"
            Binding="urn:oasis:names:tc:SAML:profiles:SSO:request-init"
            Location="https://sp.example.com/Shibboleth.sso/Login" />
         <idpdisc:DiscoveryResponse
            xmlns:idpdisc="urn:oasis:names:tc:SAML:profiles:SSO:idp-discovery-protocol"
            Binding="urn:oasis:names:tc:SAML:profiles:SSO:idp-discovery-protocol"
            Location="https://sp.example.com/Shibboleth.sso/DS" index="1" />
         <mdui:UIInfo>
            <mdui:DisplayName xml:lang="en">ENG DISPLAY NAME</mdui:DisplayName>
            <mdui:DisplayName xml:lang="it">ITA DISPLAY NAME</mdui:DisplayName>
            <mdui:Description xml:lang="en">ENG DESCRIPTION</mdui:Description>
            <mdui:Description xml:lang="it">ITA DESCRIPTION</mdui:Description>
            <mdui:InformationURL xml:lang="en">HTTPS ENG INFORMATION PAGE URL</mdui:InformationURL>
            <mdui:InformationURL xml:lang="it">HTTPS ITA INFORMATION PAGE URL</mdui:InformationURL>
            <mdui:Logo height="64" width="64">HTTPS RESOURCE LOGO PNG</mdui:Logo>
            <mdui:PrivacyStatementURL xml:lang="en">HTTPS ENG PRIVACY POLICY PAGE URL</mdui:PrivacyStatementURL>
            <mdui:PrivacyStatementURL xml:lang="it">HTTPS ITA PRIVACY POLICY PAGE URL</mdui:PrivacyStatementURL>
         </mdui:UIInfo>
      </md:Extensions>
      <md:KeyDescriptor>
         <ds:KeyInfo>
            <ds:X509Data>
               <ds:X509Certificate>
                  MII...
               </ds:X509Certificate>
            </ds:X509Data>
         </ds:KeyInfo>
      </md:KeyDescriptor>
      <md:SingleLogoutService
         Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Redirect"
         Location="https://sp.example.com/Shibboleth.sso/SLO/Redirect" />
      <md:SingleLogoutService
         Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST"
         Location="https://sp.example.com/Shibboleth.sso/SLO/POST" />
      <md:AssertionConsumerService
         Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST"
         Location="https://sp.example.com/Shibboleth.sso/SAML2/POST"
         index="1" />
      <md:AttributeConsumingService index="1">
         <!-- example for the required attribute: mail -->
         <md:RequestedAttribute FriendlyName="mail"
            Name="urn:oid:0.9.2342.19200300.100.1.3"
            NameFormat="urn:oasis:names:tc:SAML:2.0:attrname-format:uri"
            isRequired="true" />
         <!-- example for the desired attribute: eduPersonPrincipalName -->
         <md:RequestedAttribute FriendlyName="eppn"
            Name="urn:oid:1.3.6.1.4.1.5923.1.1.1.6"
            NameFormat="urn:oasis:names:tc:SAML:2.0:attrname-format:uri"
            isRequired="false" />
      </md:AttributeConsumingService>
   </md:SPSSODescriptor>
   <md:Organization>
      <md:OrganizationName xml:lang="en">ENG ORGANIZATION NAME</md:OrganizationName>
      <md:OrganizationName xml:lang="it">ITA ORGANIZATION NAME</md:OrganizationName>
      <md:OrganizationDisplayName xml:lang="en">ENG ORGANIZATION DISPLAY NAME</md:OrganizationDisplayName>
      <md:OrganizationDisplayName xml:lang="it">ITA ORGANIZATION DISPLAY NAME</md:OrganizationDisplayName>
      <md:OrganizationURL xml:lang="en">ENG ORGANIZATION URL</md:OrganizationURL>
      <md:OrganizationURL xml:lang="it">ITA ORGANIZATION URL</md:OrganizationURL>
   </md:Organization>
   <md:ContactPerson contactType="technical">
      <md:EmailAddress>mailto:technical.contact.mailing.list@example.org</md:EmailAddress>
   </md:ContactPerson> 
</md:EntityDescriptor>
</syntaxhighlight>[[#top|[TOP]]]

===Riferimenti===
[RFC 2119]  Key words for use in RFCs to Indicate Requirement Levels

http://www.rfc-editor.org/rfc/rfc2119.txt

[IDEM-META] IDEM METADATA PROFILE v1.0

https://wiki.idem.garr.it/w/images/8/81/IDEM_METADATA_PROFILE_V1.1-ita-eng.pdf

[SAML2Core] Assertions and Protocols for the OASIS Security Assertion Markup Language (SAML) V2.0

http://docs.oasis-open.org/security/saml/v2.0/saml-core-2.0-os.pdf

[SAML2Bind] Bindings for the OASIS Security Assertion Markup Language (SAML) V2.0

http://docs.oasis-open.org/security/saml/v2.0/saml-bindings-2.0-os.pdf

[SAML2Meta] Metadata for the OASIS Security Assertion Markup Language (SAML) V2.0

http://docs.oasis-open.org/security/saml/v2.0/saml-metadata-2.0-os.pdf

[SAML2MDIOP] SAML V2.0 Metadata Interoperability Profile Version 1.0

http://docs.oasis-open.org/security/saml/Post2.0/sstc-metadata-iop-os.pdf

[SAML2Int] SAML V2.0 Deployment Profile for Federation Interoperability

https://kantarainitiative.github.io/SAMLprofiles/saml2int.html

[REFEDS-DISCO] REFEDS - Discovery Best Practice

https://wiki.refeds.org/display/FBP/Discovery+Best+Practice

[[#top|[TOP]]]