Versione attuale delle 17:03, 31 mag 2021

Profilo Tecnico Operativo per le Entità della Federazione IDEM

In questa pagina sono indicati i requisiti delle entità che si intende registrare nella Federazione Italiana delle Identità Digitali IDEM GARR AAI.

Indice

1 Profilo Tecnico Operativo per le Entità della Federazione IDEM

Definizioni

Le parole chiave utilizzate in questo documento, sempre scritte in maiuscolo ed indicate nella tabella di seguito con a fianco la loro versione originale in lingua inglese, devono essere interpretate secondo quanto indicato nella [RFC 2119].


DEVE/OBBLIGATORIO	MUST/SHALL/REQUIRED
NON DEVE	MUST NOT/SHALL NOT
DOVREBBE/RACCOMANDATO	SHOULD
NON DOVREBBE	SHOULD NOT
PUÒ/FACOLTATIVO	MAY/OPTIONAL

[TOP]

Security (SEC) - Identity Provider & Service Provider

I requisiti di seguito elencati sono relativi al certificato SSL utilizzato per l'interfaccia HTTPS del servizio.

Non riguardano invece i certificati utilizzati dagli Identity e Service Provider per cifrare e firmare digitalmente le asserzioni presenti nei metadata.

SEC01 - Grado di robustezza SSL

Il certificato SSL utilizzato sulla porta HTTPS del servizio DEVE riportare almeno un grado B su SSL Labs: https://www.ssllabs.com/ssltest/

[TOP]

SEC02 - Chain issue

Il certificato SSL utilizzato sulla porta HTTPS del servizio DEVE essere privo di "Chain issues" (errori sulla catena della CA) --- verificabile con SSL Labs.

[TOP]

Identity Provider

Metadata (IDP-MD)

I requisiti di seguito elencati sono relativi ai metadata di un Identity Provider (IDP).

IDP-MD01 - validUntil

validUntil, attributo contenuto nell'elemento <md:EntityDescriptor>, DEVE essere rimosso assieme al suo valore in quanto verrà inserito dalla Federazione.

[TOP]

IDP-MD02 - entityID

entityID, attributo contenuto nell'elemento <md:EntityDescriptor>, DEVE essere una URL di lunghezza massima 256 caratteri.

La URL dell'entityID DOVREBBE restituire i metadata dell'entità.

Esempio:

entityID="https://idp.example.org/idp/shibboleth"

[TOP]

IDP-MD03 - Scope

<shibmd:Scope>, contenuto nell'elemento <md:Extension>, DEVE:

assumere valori di dominio nella disponibilità dell'organizzazione (strumento di verifica WHOIS)

Esempio:

<shibmd:Scope>example.org</shibmd:Scope>

[TOP]

IDP-MD04 - DisplayName

<mdui:DisplayName>, contenuto nell'elemento <mdui:UIInfo>, DEVE:

contenere il nome del servizio da mostrare all'utente;
essere definito sia per la lingua italiana, sia per la lingua inglese.

Esempio:

<mdui:DisplayName xml:lang="en">Example University</mdui:DisplayName>
<mdui:DisplayName xml:lang="it">Università di Esempio</mdui:DisplayName>

[TOP]

IDP-MD05 - Description

<mdui:Description>, contenuto nell'elemento <mdui:UIInfo>, DEVE:

contenere una breve descrizione del servizio;
essere definito sia per la lingua italiana, sia per la lingua inglese.

Esempio:

<mdui:Description xml:lang="en">Identity provider for Example University user</mdui:Description> 
<mdui:Description xml:lang="it">Identity provider per gli utenti di Università di Esempio</mdui:Description>

[TOP]

IDP-MD06 - InformationURL

<mdui:InformationURL>, contenuto nell'elemento <mdui:UIInfo>, DEVE:

contenere la URL della pagina informativa del servizio;
essere definito sia per la lingua italiana, sia per la lingua inglese.

Per il contenuto della pagina informativa vedere IDP-FED02.

Esempio:

<mdui:InformationURL xml:lang="en">https://...info page in english...</mdui:InformationURL> 
<mdui:InformationURL xml:lang="it">https://...pagina di informazioni in italiano...</mdui:InformationURL>

[TOP]

IDP-MD07 - PrivacyStatementURL

<mdui:PrivacyStatementURL>, contenuto nell'elemento <mdui:UIInfo>, DEVE:

contenere la URL della pagina sul trattamento dei dati personali del servizio;
essere definito sia per la lingua italiana, sia per la lingua inglese.

Per il contenuto della pagina sul trattamento dei dati personali vedere IDP-FED03.

Esempio:

<mdui:PrivacyStatementURL xml:lang="en">https://...privacy policy in english...</mdui:PrivacyStatementURL>  
<mdui:PrivacyStatementURL xml:lang="it">https://...privacy policy in italiano...</mdui:PrivacyStatementURL>

[TOP]

IDP-MD08 - Logo

<mdui:Logo>, contenuto nell'elemento <mdui:UIInfo>, DEVE:

contenere le URL protette da SSL (https://) dei loghi dell'organizzazione in formato PNG (si RACCOMANDA uno sfondo trasparente) aventi dimensioni:
- 16x16 pixel (o maggiore se rispetta l'aspect-ratio);
- 80x60 pixel (o maggiore se rispetta l'aspect-ratio).

Esempio:

<mdui:Logo width="16" height="16">https://...favicon_16x16.png...</mdui:Logo>
<mdui:Logo width="80" height="60">https://...logo_80x60.png...</mdui:Logo>

[TOP]

IDP-MD09 - KeyDescriptor

I metadata DEVONO contenere almeno un elemento <md:KeyDescriptor> con le seguenti caratteristiche:

privo di ulteriori attributi o con il solo attributo use="signing";
che contenga un certificato X.509 in formato PEM.

Esempio:

<md:KeyDescriptor use="signing">
   <ds:KeyInfo>
      <ds:X509Data>
         <ds:X509Certificate>
         MII[..]
         </ds:X509Certificate>
      </ds:X509Data>
   </ds:KeyInfo>
</md:KeyDescriptor>

[TOP]

IDP-MD10 - SingleSignOnService

<md:SingleSignOnService> DEVE:

essere presente con l'attributo Binding='urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Redirect' perchè necessario alle Authentication Request (AuthnRequest);
essere presente con l'attributo Binding='urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST' perchè necessario alle Authentication Response (AuthnResponse);
in tutti i casi, contenere un attributo Location valorizzato con una URL protetta da SSL (https://).

Esempio:

<SingleSignOnService Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST" Location="https://..."/>
<SingleSignOnService Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Redirect" Location="https://..."/>

[TOP]

IDP-MD11 - SingleLogoutService

<md:SingleLogoutService> DEVE:

essere presente con l'attributo Binding='urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Redirect' perchè necessario alle Logout Request (LogoutRequest);
contenere un attributo Location valorizzato con una URL protetta da SSL (https://).

Esempio:

<SingleLogoutService Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Redirect" Location="https://..."/>

[TOP]

IDP-MD12 - OrganizationName

<md:OrganizationName> , contenuto nell'elemento <md:Organization>, DEVE:

contenere il nome dell'organizzazione a cui afferisce il servizio;
essere definito sia per la lingua italiana, sia per la lingua inglese.

Esempio:

<md:OrganizationName xml:lang="en">Example University</md:OrganizationName> 
<md:OrganizationName xml:lang="it">Università di Esempio</md:OrganizationName>

[TOP]

IDP-MD13 - OrganizationDisplayName

<md:OrganizationDisplayName> , contenuto nell'elemento <md:Organization>, DEVE:

contenere il nome dell'organizzazione che verrà mostrato nelle interfacce utente;
essere definito sia per la lingua italiana, sia per la lingua inglese.

Esempio:

<md:OrganizationDisplayName xml:lang="en">Example University</md:OrganizationDisplayName>
<md:OrganizationDisplayName xml:lang="it">Università di Esempio</md:OrganizationDisplayName>

[TOP]

IDP-MD14 - OrganizationURL

<md:OrganizationURL>, contenuto nell'elemento <md:Organization>, DEVE:

contenere la URL del sito principale dell'organizzazione a cui afferisce il servizio;
essere definito sia per la lingua italiana, sia per la lingua inglese.

Esempio:

<md:OrganizationURL xml:lang="en">https://...institutional site in english...</md:OrganizationURL> 
<md:OrganizationURL xml:lang="it">https://...sito istituzionalein italiano...</md:OrganizationURL>

[TOP]

IDP-MD15 - ContactPerson

I metadata DEVONO contenere almeno un elemento <md:ContactPerson> con le seguenti caratteristiche:

contenere l'indirizzo email del contatto tecnico del servizio;
contenere l'attributo contactType="technical";

Si RACCOMANDA di utilizzare un indirizzo impersonale (ad esempio una mailing-list).

Esempio:

<ContactPerson contactType="technical">mailto:mailing-list@domain</md:ContactPerson>

[TOP]

Federation (IDP-FED)

I requisiti di seguito elencati sono dettati dalla Federazione e destinati agli Identity Provider.

IDP-FED01 - Data

Un Identity Provider in IDEM DEVE essere in grado di rilasciare le seguenti informazioni:

un identificativo univoco, persistente, diverso per ogni servizio e trasmissibile in una delle seguenti forme:
- nell'elemento <NameID> con attributo Format="urn:oasis:names:tc:SAML:2.0:nameid-format:persistent" se indicato nei metadata del Service Provider;
- nell'attributo eduPersonTargetedID per i Service Provider che lo richiedono nell'elemento <md:RequestedAttribute>.
l'attributo eduPersonScopedAffiliation, ovvero l'affiliazione dell'utente con l'aggiunta dello scope.

Esempio con sp.aai-test.garr.it:

eduPersonScopedAffiliation = member@aai-test.garr.it;staff@aai-test.garr.it
persistent = https://garr-idp-test.irccs.garr.it/idp/shibboleth!https://sp.aai-test.garr.it/shibboleth!eYfN....Q1rU=

[TOP]

IDP-FED02 - Informazioni

La pagina informativa esposta in lingua italiana e in lingua inglese DEVE contenere:

un riferimento per il supporto agli utenti (ad esempio un indirizzo di posta, o un web form, ecc.);
un collegamento alla pagina sul trattamento dei dati personali;
il Logo di IDEM e il link al Sito di IDEM.

[TOP]

IDP-FED03 - Trattamento dati personali

La pagina sul trattamento dei dati personali DEVE contenere tutte le informazioni previste dagli artt. 13 e 14 del Regolamento UE 679/2016.

A titolo esemplificativo, Il Servizio IDEM GARR AAI rende disponibile il seguente modello: InformativaDatiPersonaliIdP.

[TOP]

IDP-FED04 - Login

La pagina di login di un Identity Provider federato in IDEM DEVE contenere:

il collegamento alla pagina informativa indicata da <mdui:InformationURL> (IDP-MD06);
il collegamento alla pagina sul trattamento dei dati personali indicata da <mdui:PrivacyStatementURL> (IDP-MD07);
il logo di IDEM (Logo IDEM);
il riferimento al Contatto Tecnico o al Contatto di Supporto per la risoluzione delle problematiche legate all'accesso alle risorse da parte degli utenti.

[TOP]

IDP-FED05 - Certificati metadata

Il certificato o i certificati utilizzati per firmare e cifrare le asserzioni dell'IdP DOVREBBERO essere:

di lunga durata (30 anni);
autofirmati (self-signed);
validi (non scaduto);
non firmati con algoritmi di firma basati su MD5 o SHA1;
corrispondenti ad una chiave privata di almeno 3072 bit.

In ogni caso la chiave privata corrispondente NON DEVE avere una lunghezza minore di 2048 bit.

Esempio IdP Metadata

<md:EntityDescriptor xmlns="urn:oasis:names:tc:SAML:2.0:metadata" xmlns:md="urn:oasis:names:tc:SAML:2.0:metadata" xmlns:ds="http://www.w3.org/2000/09/xmldsig#" xmlns:shibmd="urn:mace:shibboleth:metadata:1.0" xmlns:mdui="urn:oasis:names:tc:SAML:metadata:ui" entityID="https://idp.example.org/idp/shibboleth">
 <md:IDPSSODescriptor protocolSupportEnumeration="urn:oasis:names:tc:SAML:2.0:protocol">
  <md:Extensions>
   <shibmd:Scope regexp="false">example.org</shibmd:Scope>
   <mdui:UIInfo>
    <mdui:DisplayName xml:lang="en">ENG IDP DISPLAYNAME</mdui:DisplayName>
    <mdui:DisplayName xml:lang="it">ITA IDP DISPLAYNAME</mdui:DisplayName>
    <mdui:Description xml:lang="en">ENG IDP DESCRIPTION</mdui:Description>
    <mdui:Description xml:lang="it">ITA IDP DESCRIPTION</mdui:Description>
    <mdui:InformationURL xml:lang="en">HTTPS URL ENG INFO PAGE</mdui:InformationURL>
    <mdui:InformationURL xml:lang="it">HTTPS URL ITA INFO PAGE</mdui:InformationURL>
    <mdui:PrivacyStatementURL xml:lang="en">URL ENG PRIVACY POLICY PAGE</mdui:PrivacyStatementURL>
    <mdui:PrivacyStatementURL xml:lang="it">URL ITA PRIVACY POLICY PAGE</mdui:PrivacyStatementURL>
    <mdui:Logo width="80" height="60">HTTPS URL LOGO</mdui:Logo>
    <mdui:Logo width="16" height="16">HTTPS URL FAVICON</mdui:Logo>
   </mdui:UIInfo>
  </md:Extensions>
  <md:KeyDescriptor use="signing">
   <ds:KeyInfo>
    <ds:X509Data>
     <ds:X509Certificate>
        MII...
     </ds:X509Certificate>
    </ds:X509Data>
   </ds:KeyInfo>
  </md:KeyDescriptor>
  <md:SingleLogoutService Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Redirect" Location="https://idp.example.org/idp/profile/SAML2/Redirect/SLO"/>
  <md:NameIDFormat>urn:oasis:names:tc:SAML:2.0:nameid-format:transient</md:NameIDFormat>
  <md:NameIDFormat>urn:oasis:names:tc:SAML:2.0:nameid-format:persistent</md:NameIDFormat>
  <md:SingleSignOnService Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Redirect" Location="https://idp.example.org/idp/profile/SAML2/Redirect/SSO"/>
  <md:SingleSignOnService Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST" Location="https://idp.example.org/idp/profile/SAML2/POST/SSO"/>
 </md:IDPSSODescriptor>
 <md:Organization>
  <md:OrganizationName xml:lang="it">ITA IDP ORGANIZATION NAME</md:OrganizationName>
  <md:OrganizationName xml:lang="en">ENG IDP ORGANIZATION NAME</md:OrganizationName>
  <md:OrganizationDisplayName xml:lang="it">ITA IDP DISPLAYNAME ORGANIZATION</md:OrganizationDisplayName>
  <md:OrganizationDisplayName xml:lang="en">ENG IDP DISPLAYNAME ORGANIZATION</md:OrganizationDisplayName>
  <md:OrganizationURL xml:lang="it">https://example.org/it</md:OrganizationURL>
  <md:OrganizationURL xml:lang="en">https://example.org/en</md:OrganizationURL>
 </md:Organization>
 <md:ContactPerson contactType="technical">
  <md:GivenName>EXAMPLE CONTACT NAME</md:GivenName>
  <md:SurName>EXAMPLE CONTACT SURNAME</md:SurName>
  <md:EmailAddress>mailto:technical.contact@example.org</md:EmailAddress>
 </md:ContactPerson>
</md:EntityDescriptor>

Service Provider

Metadata (SP-MD)

I requisiti di seguito elencati sono relativi ai metadata che descrivono un Service Provider (SP).

SP-MD01 - validUntil

validUntil , attributo contenuto nell'elemento <md:EntityDescriptor>, DEVE essere rimosso assieme al suo valore in quanto verrà inserito dalla Federazione.

[TOP]

SP-MD02 - entityID

entityID , attributo contenuto nell'elemento <md:EntityDescriptor>, DEVE essere una URL di lunghezza massima 256 caratteri.

La URL dell'entityID DOVREBBE restituire i metadata dell'entità.

Esempio:

entityID="https://sp.example.org/shibboleth"

[TOP]

SP-MD03 - DisplayName

<mdui:DisplayName> , contenuto nell'elemento <mdui:UIInfo>, DEVE:

contenere il nome della risorsa da mostrare all'utente. Attenzione: il nome non deve usare la parola "IDEM" perchè riservata al Servizio;
essere definito sia per la lingua italiana, sia per la lingua inglese.

Esempio:

<mdui:DisplayName xml:lang="en">Resource provided by Example Organization</mdui:DisplayName>
<mdui:DisplayName xml:lang="it">Risorsa erogata da Organizzazione di Esempio</mdui:DisplayName>

[TOP]

SP-MD04 - Description

<mdui:Description> , contenuto nell'elemento <mdui:UIInfo>, DEVE:

contenere una breve descrizione del servizio;
essere definito sia per la lingua italiana, sia per la lingua inglese.

Esempio:

<mdui:Description xml:lang="en">The resource allow you to ...</mdui:Description> 
<mdui:Description xml:lang="it">La risorsa ti permette di ...</mdui:Description>

[TOP]

SP-MD03 - InformationURL

<mdui:InformationURL> , contenuto nell'elemento <mdui:UIInfo>, DEVE:

contenere la URL della pagina informativa del servizio;
essere definito sia per la lingua italiana, sia per la lingua inglese.

Per il contenuto della pagina informativa vedere SP-FED02.

Esempio:

<mdui:InformationURL xml:lang="en">https://...info page in english...</mdui:InformationURL> 
<mdui:InformationURL xml:lang="it">https://...informativa in italiano...</mdui:InformationURL>

[TOP]

SP-MD04 - PrivacyStatementURL

<mdui:PrivacyStatementURL>, contenuto nell'elemento <mdui:UIInfo>, DEVE:

contenere la URL della pagina sul trattamento dei dati personali del servizio;
essere definito sia per la lingua italiana, sia per la lingua inglese.

Per il contenuto della pagina sul trattamento dei dati personali vedere SP-FED03.

Esempio:

<mdui:PrivacyStatementURL xml:lang="en">https://...privacy policy in english...</mdui:PrivacyStatementURL>  
<mdui:PrivacyStatementURL xml:lang="it">https://...privacy policy in italiano...</mdui:PrivacyStatementURL>

[TOP]

SP-MD07 - Logo

<mdui:Logo> , contenuto nell'elemento <mdui:UIInfo>, DOVREBBE:

contenere una URL protetta da SSL ( https:// ) del logo dell'organizzazione in formato PNG (si RACCOMANDA uno sfondo possibilmente trasparente) con:
- base: dai 64 px ai 350 px;
- altezza: dai 64px ai 146px;

Esempio:

<mdui:Logo width="64" height="64">https://...logo.png</mdui:Logo>

[TOP]

SP-MD08 - KeyDescriptor

I metadata DEVONO contenere almeno un elemento <md:KeyDescriptor> con le seguenti caratteristiche:

privo di ulteriori attributi o con il solo attributo use="encryption";
contenente un certificato X.509 in formato PEM.

<md:KeyDescriptor use="encryption">
   <ds:KeyInfo> 
      <ds:X509Data> 
         <ds:X509Certificate>
            MII[..]
         </ds:X509Certificate>
      </ds:X509Data>
   </ds:KeyInfo>
</md:KeyDescriptor>

Se il Service Provider supporta il Single Logout, DEVE essere presente un ulteriore elemento <md:KeyDescriptor> con l'attributo use="signing".

[TOP]

SP-MD09 - RequestedAttribute

<md:RequestedAttribute> , contenuto nell'elemento <md:AttributeConsumingService>, DEVE:

contenere tutti e soli gli attributi SAML richiesti dalla risorsa;
indicare gli attributi indispensabili all'accesso e all'utilizzo della risorsa con il parametro isRequired="true"
indicare gli attributi non indispensabili all'accesso e all'utilizzo della risorsa con il parametro isRequired="false"

Esempio:

<md:RequestedAttribute FriendlyName="givenName" Name="urn:oid:2.5.4.42" NameFormat="urn:oasis:names:tc:SAML:2.0:attrname-format:uri" isRequired="true"/>
<md:RequestedAttribute FriendlyName="displayName" Name="urn:oid:2.16.840.1.113730.3.1.241" NameFormat="urn:oasis:names:tc:SAML:2.0:attrname-format:uri" isRequired="false"/>

[TOP]

SP-MD10 - OrganizationName

<md:OrganizationName> , contenuto nell'elemento <md:Organization>, DEVE:

contenere il nome dell'organizzazione che offre il servizio;
essere definito sia per la lingua italiana, sia per la lingua inglese.

Esempio:

<md:OrganizationName xml:lang="en">Example Organization</md:OrganizationName> 
<md:OrganizationName xml:lang="it">Organizzazione di Esempio</md:OrganizationName>

[TOP]

SP-MD11 - OrganizationDisplayName

<md:OrganizationDisplayName> , contenuto nell'elemento <md:Organization>, DEVE:

contenere il nome dell'organizzazione che offre il servizio da mostrare all'utente;
essere definito sia per la lingua italiana, sia per la lingua inglese.

Esempio:

<md:OrganizationDisplayName xml:lang="en">Resource provided by Example University</md:OrganizationDisplayName>
<md:OrganizationDisplayName xml:lang="it">Risorsa erogata da Università di Esempio</md:OrganizationDisplayName>

[TOP]

SP-MD12 - OrganizationURL

<md:OrganizationURL>, contenuto nell'elemento <md:Organization>, DEVE:

contenere la URL del sito principale dell'organizzazione che offre il servizio;
essere definito sia per la lingua italiana, sia per la lingua inglese.

Esempio:

<md:OrganizationURL xml:lang="en">https://...institutional site in english...</md:OrganizationURL> 
<md:OrganizationURL xml:lang="it">https://...sito istituzionalein italiano...</md:OrganizationURL>

[TOP]

SP-MD13 - ContactPerson

I metadata DEVONO contenere almeno un elemento <md:ContactPerson> con le seguenti caratteristiche:

contenere l'indirizzo email del contatto tecnico del servizio;
contenere l'attributo contactType="technical";

Si RACCOMANDA di utilizzare un indirizzo impersonale (ad esempio una mailing-list).

Esempio:

<ContactPerson contactType="technical">mailto:mailing-list@domain</md:ContactPerson>

[TOP]

Federation (SP-FED)

I requisiti di seguito elencati sono dettate dalla Federazione e destinate ai Service Provider.

SP-FED01 - Data

un Service Provider in IDEM riceve automaticamente le seguenti informazioni:

Un identificativo univoco persistente e targhettizzato dell'utente:
- persistent-id (persistent NameID) (o eduPersonTargetedID se non è possibile rilasciarlo)
L'affiliazione dell'utente con scopo:
- affiliation (eduPersonScopedAffiliation)

Esempio con sp.aai-test.garr.it:

affiliation = member@aai-test.garr.it;staff@aai-test.garr.it
persistent-id = https://garr-idp-test.irccs.garr.it/idp/shibboleth!https://sp.aai-test.garr.it/shibboleth!eYfN....Q1rU=

Ogni informazione aggiuntiva richiesta per l'utilizzo della/e risorsa/e protetta/e dal Service Provider va motivata adeguatamente via mail a idem-help@garr.it.

[TOP]

SP-FED02 - Informazioni

La pagina informativa esposta in lingua italiana e in lingua inglese DEVE contenere:

la descrizione del servizio;
il pubblico a cui si rivolge il servizio;
la denominazione dell'organizzazione che lo gestisce;
il riferimento al supporto utenti;
il collegamento alla pagina sul trattamento dei dati personali.

[TOP]

SP-FED03 - Trattamento dati

La pagina sul trattamento dei dati personali DEVE contenere tutte le informazioni previste dagli artt. 13 e 14 del Regolamento UE 679/2016.

Per la stesura della privacy policy IDEM suggerisce di seguire le linee guida di REFEDS:

https://wiki.refeds.org/display/CODE/Privacy+policy+guidelines+for+Service+Providers

[TOP]

SP-FED03 - Login Page / Discovery Service

La pagina di accesso ad una risorsa federata in IDEM DEVE contenere:

l'elenco degli IdP abilitati provenienti da IDEM ed eduGAIN;
un riferimento alla pagina informativa del servizio (SP-MD3)

Il Servizio suggerisce di seguire le REFEDS Best Practices: https://discovery.refeds.org/

[TOP]

SP-FED04 - Certificati metadata

Il certificato o i certificati utilizzati per firmare e cifrare le asserzioni dell'IdP DOVREBBERO essere:

di lunga durata (30 anni);
autofirmati (self-signed);
validi (non scaduto);
non firmati con algoritmi di firma basati su MD5 o SHA1;
corrispondenti ad una chiave privata di almeno 3072 bit.

In ogni caso la chiave privata corrispondente NON DEVE avere una lunghezza minore di 2048 bit.

Esempio Metadata Service Provider

<md:EntityDescriptor entityID="https://sp.example.com/shibboleth"
                     xmlns:ds="http://www.w3.org/2000/09/xmldsig#"
                     xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
                     xmlns:md="urn:oasis:names:tc:SAML:2.0:metadata"
                     xmlns:mdui="urn:oasis:names:tc:SAML:metadata:ui">
   <md:SPSSODescriptor protocolSupportEnumeration="urn:oasis:names:tc:SAML:2.0:protocol">
      <md:Extensions>
         <init:RequestInitiator
            xmlns:init="urn:oasis:names:tc:SAML:profiles:SSO:request-init"
            Binding="urn:oasis:names:tc:SAML:profiles:SSO:request-init"
            Location="https://sp.example.com/Shibboleth.sso/Login" />
         <idpdisc:DiscoveryResponse
            xmlns:idpdisc="urn:oasis:names:tc:SAML:profiles:SSO:idp-discovery-protocol"
            Binding="urn:oasis:names:tc:SAML:profiles:SSO:idp-discovery-protocol"
            Location="https://sp.example.com/Shibboleth.sso/DS" index="1" />
         <mdui:UIInfo>
            <mdui:DisplayName xml:lang="en">ENG DISPLAY NAME</mdui:DisplayName>
            <mdui:DisplayName xml:lang="it">ITA DISPLAY NAME</mdui:DisplayName>
            <mdui:Description xml:lang="en">ENG DESCRIPTION</mdui:Description>
            <mdui:Description xml:lang="it">ITA DESCRIPTION</mdui:Description>
            <mdui:InformationURL xml:lang="en">HTTPS ENG INFORMATION PAGE URL</mdui:InformationURL>
            <mdui:InformationURL xml:lang="it">HTTPS ITA INFORMATION PAGE URL</mdui:InformationURL>
            <mdui:Logo height="64" width="64">HTTPS RESOURCE LOGO PNG</mdui:Logo>
            <mdui:PrivacyStatementURL xml:lang="en">HTTPS ENG PRIVACY POLICY PAGE URL</mdui:PrivacyStatementURL>
            <mdui:PrivacyStatementURL xml:lang="it">HTTPS ITA PRIVACY POLICY PAGE URL</mdui:PrivacyStatementURL>
         </mdui:UIInfo>
      </md:Extensions>
      <md:KeyDescriptor>
         <ds:KeyInfo>
            <ds:X509Data>
               <ds:X509Certificate>
                  MII...
               </ds:X509Certificate>
            </ds:X509Data>
         </ds:KeyInfo>
      </md:KeyDescriptor>
      <md:SingleLogoutService
         Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Redirect"
         Location="https://sp.example.com/Shibboleth.sso/SLO/Redirect" />
      <md:SingleLogoutService
         Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST"
         Location="https://sp.example.com/Shibboleth.sso/SLO/POST" />
      <md:AssertionConsumerService
         Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST"
         Location="https://sp.example.com/Shibboleth.sso/SAML2/POST"
         index="1" />
      <md:AttributeConsumingService index="1">
         <!-- example for the required attribute: mail -->
         <md:RequestedAttribute FriendlyName="mail"
            Name="urn:oid:0.9.2342.19200300.100.1.3"
            NameFormat="urn:oasis:names:tc:SAML:2.0:attrname-format:uri"
            isRequired="true" />
         <!-- example for the desired attribute: eduPersonPrincipalName -->
         <md:RequestedAttribute FriendlyName="eppn"
            Name="urn:oid:1.3.6.1.4.1.5923.1.1.1.6"
            NameFormat="urn:oasis:names:tc:SAML:2.0:attrname-format:uri"
            isRequired="false" />
      </md:AttributeConsumingService>
   </md:SPSSODescriptor>
   <md:Organization>
      <md:OrganizationName xml:lang="en">ENG ORGANIZATION NAME</md:OrganizationName>
      <md:OrganizationName xml:lang="it">ITA ORGANIZATION NAME</md:OrganizationName>
      <md:OrganizationDisplayName xml:lang="en">ENG ORGANIZATION DISPLAY NAME</md:OrganizationDisplayName>
      <md:OrganizationDisplayName xml:lang="it">ITA ORGANIZATION DISPLAY NAME</md:OrganizationDisplayName>
      <md:OrganizationURL xml:lang="en">ENG ORGANIZATION URL</md:OrganizationURL>
      <md:OrganizationURL xml:lang="it">ITA ORGANIZATION URL</md:OrganizationURL>
   </md:Organization>
   <md:ContactPerson contactType="technical">
      <md:EmailAddress>mailto:technical.contact.mailing.list@example.org</md:EmailAddress>
   </md:ContactPerson> 
</md:EntityDescriptor>

Riferimenti

[RFC 2119] Key words for use in RFCs to Indicate Requirement Levels

http://www.rfc-editor.org/rfc/rfc2119.txt

[SAML2Core] Assertions and Protocols for the OASIS Security Assertion Markup Language (SAML) V2.0

http://docs.oasis-open.org/security/saml/v2.0/saml-core-2.0-os.pdf

[SAML2Bind] Bindings for the OASIS Security Assertion Markup Language (SAML) V2.0

http://docs.oasis-open.org/security/saml/v2.0/saml-bindings-2.0-os.pdf

[SAML2Meta] Metadata for the OASIS Security Assertion Markup Language (SAML) V2.0

http://docs.oasis-open.org/security/saml/v2.0/saml-metadata-2.0-os.pdf

[SAML2MDIOP] SAML V2.0 Metadata Interoperability Profile Version 1.0

http://docs.oasis-open.org/security/saml/Post2.0/sstc-metadata-iop-os.pdf

[SAML2Int] SAML V2.0 Deployment Profile for Federation Interoperability

https://kantarainitiative.github.io/SAMLprofiles/saml2int.html

@@ Riga 1: / Riga 1: @@
+= Profilo Tecnico Operativo per le Entità della Federazione IDEM =
+In questa pagina sono indicati i requisiti delle entità che si intende registrare nella Federazione Italiana delle Identità Digitali IDEM GARR AAI.
 __TOC__
-<br />
+===Definizioni===
+Le parole chiave utilizzate in questo documento, sempre scritte in maiuscolo ed indicate nella tabella di seguito con a fianco la loro versione originale in lingua inglese, devono essere interpretate secondo quanto indicato nella [<nowiki>RFC 2119</nowiki>].
+{| class="wikitable"
+|+
+|DEVE/OBBLIGATORIO
+|MUST/SHALL/REQUIRED
+|-
+|NON DEVE
+|MUST NOT/SHALL NOT
+|-
+|DOVREBBE/RACCOMANDATO
+|SHOULD
+|-
+|NON DOVREBBE
+|SHOULD NOT
+|-
+|PUÒ/FACOLTATIVO
+|MAY/OPTIONAL
+|}
+[[#top|[TOP]]]
 ===Security (SEC) - Identity Provider & Service Provider===
-<br />
+I requisiti di seguito elencati sono relativi al certificato SSL utilizzato per l'interfaccia HTTPS del servizio.
-====SEC1 - Grado di robustezza SSL====
-il certificato SSL sulla porta 443 deve riportare '''almeno un grado B''' sullo strumento: https://www.ssllabs.com/ssltest/
+Non riguardano invece i certificati utilizzati dagli Identity e Service Provider per cifrare e firmare digitalmente le asserzioni presenti nei metadata.
+====SEC01 - Grado di robustezza SSL====
+Il certificato SSL utilizzato sulla porta HTTPS del servizio DEVE riportare <u>almeno un grado B</u> su SSL Labs: https://www.ssllabs.com/ssltest/
+[[#top|[TOP]]]
+====SEC02 - Chain issue====
+Il certificato SSL utilizzato sulla porta HTTPS del servizio DEVE essere <u>privo di "Chain issues"</u> (errori sulla catena della CA) --- verificabile con SSL Labs.
-e deve essere '''privo di "chain issue"''' (errori sulla catena della CA)
+[[#top|[TOP]]]
+==Identity Provider==
+===Metadata (IDP-MD)===
+I requisiti di seguito elencati sono relativi ai metadata di un Identity Provider (IDP).<br />
+====IDP-MD01 - validUntil====
+<code>validUntil</code>, attributo contenuto nell'elemento <code><md:EntityDescriptor></code>, DEVE essere <u>rimosso</u> assieme al suo valore in quanto verrà inserito dalla Federazione.
 [[#top|[TOP]]]
-<br />
+====IDP-MD02 - entityID====
-====SEC2 - Chain issue====
+<code>entityID</code>, attributo contenuto nell'elemento <code><md:EntityDescriptor></code>, DEVE essere una URL di lunghezza massima 256 caratteri.
-il certificato SSL sulla porta 443 deve essere '''privo di "chain issue"''' (errori sulla catena della CA)
-[[#top|[TOP]]]
+La URL dell'entityID DOVREBBE restituire i metadata dell'entità.
-<br />
-====SEC3 - Debian Weak Key====
-il certificato SSL sulla porta 443 deve essere '''privo di Debian Weak Keys'''
-[[#top|[TOP]]]
-==Identity Provider==
+''Esempio:''<syntaxhighlight lang="xml">
-I requisiti indicati devono essere soddisfatti al fine di accedere alla Federazione Italiana delle Identità Digitali IDEM GARR AAI.
+entityID="https://idp.example.org/idp/shibboleth"
+</syntaxhighlight>[[#top|[TOP]]]
+====IDP-MD03 - Scope====
+<code><shibmd:Scope></code>, contenuto nell'elemento <code><md:Extension></code>, DEVE:
-===Metadata (IDP-MD)===
+*assumere valori di dominio nella disponibilità dell'organizzazione (strumento di verifica WHOIS)
-<br />
-====IDP-MD1 - Scope====
-<code><shibmd:Scope></code> deve assumere valori disponibili per l'organizzazione. Verifica eseguita con [https://www.whois.com/whois WHOIS].
@@ Riga 38: / Riga 68: @@
 [[#top|[TOP]]]
-<br />
+====IDP-MD04 - DisplayName====
+<code><mdui:DisplayName></code>, contenuto nell'elemento <code><mdui:UIInfo></code>, DEVE:
-====IDP-MD2 - DisplayName====
+*contenere il nome del servizio da mostrare all'utente;
-<code><mdui:DisplayName></code> deve assumere un valore sia per la lingua Italiana che per la lingua Inglese.
+*essere definito sia per la lingua <u>italiana</u>, sia per la lingua <u>inglese</u>.
@@ Riga 50: / Riga 81: @@
 </syntaxhighlight>
 [[#top|[TOP]]]
+====IDP-MD05 - Description====
+<code><mdui:Description></code>, contenuto nell'elemento <code><mdui:UIInfo></code>, DEVE:
-<br />
+*contenere una breve descrizione del servizio;
-====IDP-MD3 - Description====
+*essere definito sia per la lingua <u>italiana</u>, sia per la lingua <u>inglese</u>.
-<code><mdui:Description></code> deve assumere un valore sia per la lingua Italiana che per la lingua Inglese.
@@ Riga 62: / Riga 94: @@
 </syntaxhighlight>
 [[#top|[TOP]]]
+====IDP-MD06 - InformationURL====
+<code><mdui:InformationURL></code>, contenuto nell'elemento <code><mdui:UIInfo></code>, DEVE:
-<br />
+*contenere la URL della pagina informativa del servizio;
-====IDP-MD4 - InformationURL====
+*essere definito sia per la lingua <u>italiana</u>, sia per la lingua <u>inglese</u>.
-<code><mdui:InformationURL></code> deve essere valorizzato sia per la lingua Italiana che per la lingua Inglese.
+Per il contenuto della pagina informativa vedere [[RequisitiEntita#IDP-FED02 - Informazioni|IDP-FED02]].
@@ Riga 71: / Riga 106: @@
 <syntaxhighlight lang="xml">
 <mdui:InformationURL xml:lang="en">https://...info page in english...</mdui:InformationURL>
-<mdui:InformationURL xml:lang="it">https://...informativa in italiano...</mdui:InformationURL>
+<mdui:InformationURL xml:lang="it">https://...pagina di informazioni in italiano...</mdui:InformationURL>
 </syntaxhighlight>
 [[#top|[TOP]]]
+====IDP-MD07 - PrivacyStatementURL====
+<code><mdui:PrivacyStatementURL></code>, contenuto nell'elemento <code><mdui:UIInfo></code>, DEVE:
+*contenere la URL della pagina sul trattamento dei dati personali del servizio;
+*essere definito sia per la lingua <u>italiana</u>, sia per la lingua <u>inglese</u>.
-<br />
+Per il contenuto della pagina sul trattamento dei dati personali vedere [[RequisitiEntita#IDP-FED03 - Trattamento dati personali|IDP-FED03]].
-====IDP-MD5 - PrivacyStatementURL====
-<code><mdui:PrivacyStatementURL></code>deve essere valorizzato sia per la lingua Italiana che per la lingua Inglese.
@@ Riga 86: / Riga 124: @@
 </syntaxhighlight>
 [[#top|[TOP]]]
+====IDP-MD08 - Logo====
+<code><mdui:Logo></code>, contenuto nell'elemento <code><mdui:UIInfo></code>, DEVE:
-<br />
+*contenere le URL protette da SSL (<code>https://</code>) dei loghi dell'organizzazione in formato '''PNG''' (si RACCOMANDA uno sfondo trasparente) aventi dimensioni:
-====IDP-MD6 - Logo====
+**'''16x16 pixel''' (o maggiore se rispetta l'aspect-ratio);
-<code><mdui:Logo></code> deve essere valorizzato con una URL <code>https://</code> riportante il logo dell'organizzazione in formato PNG (sfondo possibilmente trasparente) nei formati:
+**'''80x60 pixel''' (o maggiore se rispetta l'aspect-ratio).
-*16x16 pixel (o maggiore se rispetta l'aspect-ratio)
-*80x60 pixel (o maggiore se rispetta l'aspect-ratio)
@@ Riga 101: / Riga 138: @@
 </syntaxhighlight>
 [[#top|[TOP]]]
+====IDP-MD09 - KeyDescriptor====
+I metadata DEVONO contenere almeno un elemento <code><md:KeyDescriptor></code> con le seguenti caratteristiche:
-<br />
+*privo di ulteriori attributi o con il solo attributo <code>use="signing"</code>;
-====IDP-MD7 - OrganizationName====
+*che contenga un certificato X.509 in formato PEM.
-<code><md:OrganizationName></code> deve essere valorizzato sia per la lingua Italiana che per la lingua Inglese.
+''Esempio:''<syntaxhighlight lang="xml">
+<md:KeyDescriptor use="signing">
+   <ds:KeyInfo>
+      <ds:X509Data>
+         <ds:X509Certificate>
+         MII[..]
+         </ds:X509Certificate>
+      </ds:X509Data>
+   </ds:KeyInfo>
+</md:KeyDescriptor>
+</syntaxhighlight>[[#top|[TOP]]]
+====IDP-MD10 - SingleSignOnService====
+<code><md:SingleSignOnService></code> DEVE:
+*essere presente con l'attributo <code>Binding='<nowiki>urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Redirect'</nowiki></code> perchè necessario alle Authentication Request (<code>AuthnRequest</code>);
+*essere presente con l'attributo <code>Binding='<nowiki>urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST'</nowiki></code> perchè necessario alle Authentication Response (<code>AuthnResponse</code>);
+*in tutti i casi, contenere un attributo <code>Location</code> valorizzato con una URL protetta da SSL (<code>https://</code>).<br />
+''Esempio:''<syntaxhighlight lang="xml">
+<SingleSignOnService Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST" Location="https://..."/>
+<SingleSignOnService Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Redirect" Location="https://..."/>
+</syntaxhighlight>[[#top|[TOP]]]
+====IDP-MD11 - SingleLogoutService====
+<code><md:SingleLogoutService></code> DEVE:
+*essere presente con l'attributo <code>Binding='<nowiki>urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Redirect'</nowiki></code>  perchè necessario alle Logout Request (<code>LogoutRequest</code>);
+*contenere un attributo <code>Location</code> valorizzato con una URL protetta da SSL (<code>https://</code>).<br />
+''Esempio:''<syntaxhighlight lang="xml">
+<SingleLogoutService Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Redirect" Location="https://..."/>
+</syntaxhighlight>[[#top|[TOP]]]
+====IDP-MD12 - OrganizationName====
+<code><md:OrganizationName></code> , contenuto nell'elemento <code><md:Organization></code>, DEVE:
+*contenere il nome dell'organizzazione a cui afferisce il servizio;
+*essere definito sia per la lingua <u>italiana</u>, sia per la lingua <u>inglese</u>.
@@ Riga 113: / Riga 194: @@
 </syntaxhighlight>
 [[#top|[TOP]]]
+====IDP-MD13 - OrganizationDisplayName====
+<code><md:OrganizationDisplayName></code> , contenuto nell'elemento <code><md:Organization></code>, DEVE:
-<br />
+*contenere il nome dell'organizzazione che verrà mostrato nelle interfacce utente;
-====IDP-MD8 - OrganizationDisplayName====
+*essere definito sia per la lingua <u>italiana,</u> sia per la lingua <u>inglese</u>.
-<code><md:OrganizationDisplayName></code> deve essere valorizzato sia per la lingua Italiana che per la lingua Inglese.
@@ Riga 125: / Riga 207: @@
 </syntaxhighlight>
 [[#top|[TOP]]]
+====IDP-MD14 - OrganizationURL====
+<code><md:OrganizationURL></code>, contenuto nell'elemento <code><md:Organization></code>, DEVE:
-<br />
+*contenere la URL del sito principale dell'organizzazione a cui afferisce il servizio;
-====IDP-MD9 - OrganizationURL====
+*essere definito sia per la lingua <u>italiana</u>, sia per la lingua <u>inglese</u>.
-<code><md:OrganizationURL></code> deve essere valorizzato sia per la lingua Italiana che per la lingua Inglese.
@@ Riga 138: / Riga 221: @@
 [[#top|[TOP]]]
+====IDP-MD15 - ContactPerson====
+I metadata DEVONO contenere <u>almeno</u> un elemento <code><md:ContactPerson></code> con le seguenti caratteristiche:
-<br />
+*contenere l'indirizzo email del contatto tecnico del servizio;
-====IDP-MD10 - ContactPerson====
+*contenere l'attributo <code>contactType="technical"</code>;
-<code><md:ContactPerson></code> deve essere valorizzato almeno il <code>contactType="technical"</code> con un indirizzo impersonale (mailing-list)
+Si RACCOMANDA di utilizzare un indirizzo <u>impersonale</u> (ad esempio una mailing-list).
@@ Riga 152: / Riga 238: @@
 <br />
-====IDP-MD11 - validUntil====
+===Federation (IDP-FED)===
-<code>validUntil</code> deve essere '''rimosso''' assieme al suo valore in quanto sarà la Federazione a stabilirlo
+I requisiti di seguito elencati sono dettati dalla Federazione e destinati agli Identity Provider.
-[[#top|[TOP]]]
+====IDP-FED01 - Data====
+Un Identity Provider in IDEM DEVE essere in grado di rilasciare le seguenti informazioni:
+#un identificativo univoco, persistente, diverso per ogni servizio e trasmissibile in una delle seguenti forme:
+#*nell'elemento <code><NameID></code> con attributo <code>Format="<nowiki>urn:oasis:names:tc:SAML:2.0:nameid-format:persistent</nowiki>"</code> se indicato nei metadata del  Service Provider;
+#*nell'attributo <code>eduPersonTargetedID</code> per i Service Provider che lo richiedono nell'elemento <code><md:RequestedAttribute></code>.
+#l'attributo <code>eduPersonScopedAffiliation</code>, ovvero l'affiliazione dell'utente con l'aggiunta dello <code>scope</code>.<br />
-<br />
+''Esempio con [https://sp.aai-test.garr.it/secure sp.aai-test.garr.it]:''<syntaxhighlight lang="xml">
-====IDP-MD12 - endpoint====
+eduPersonScopedAffiliation = member@aai-test.garr.it;staff@aai-test.garr.it
-Tutti i seguenti endpoint nei metadata devono iniziare con '''<code>https://</code>''' ed avere il giusto '''<code>Binding=</code>''':
+persistent = https://garr-idp-test.irccs.garr.it/idp/shibboleth!https://sp.aai-test.garr.it/shibboleth!eYfN....Q1rU=
+</syntaxhighlight>
-*<code><ArtifactResolutionService></code>
+[[#top|[TOP]]]
-*<code><SingleLogoutService></code>
-*<code><SingleSignOnService></code>
-*<code><AttributeService></code> (solo se esiste <code><AttributeAuthorityDescriptor></code>)
+====IDP-FED02 - Informazioni====
+La pagina informativa esposta in lingua <u>italiana</u> e in lingua <u>inglese</u> DEVE contenere:
+#un riferimento per il supporto agli utenti (ad esempio un indirizzo di posta, o un web form, ecc.);
+#un collegamento alla pagina sul trattamento dei dati personali;
+#il Logo di IDEM e il link al Sito di IDEM.
-''Esempio:''<syntaxhighlight lang="xml">
+[[#top|[TOP]]]
-<ArtifactResolutionService Binding="urn:oasis:names:tc:SAML:2.0:bindings:SOAP" Location="https://..." index="1"/>
-<SingleLogoutService Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Redirect" Location="https://..."/>
+====IDP-FED03 - Trattamento dati personali====
-<SingleLogoutService Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST" Location="https://..."/>
+La pagina sul trattamento dei dati personali DEVE contenere tutte le informazioni previste dagli artt. 13 e 14 del Regolamento UE 679/2016.
-<SingleLogoutService Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST-SimpleSign" Location="https://..."/>
-<SingleSignOnService Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST" Location="https://..."/>
+A titolo esemplificativo, Il Servizio IDEM GARR AAI rende disponibile il seguente modello: [[InformativaDatiPersonaliIdP|InformativaDatiPersonaliIdP.]]
-<SingleSignOnService Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST-SimpleSign" Location="https://..."/>
-<SingleSignOnService Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Redirect" Location="https://..."/>
-</syntaxhighlight>[[#top|[TOP]]]
+[[#top|[TOP]]]
-<br />
-===Federation (IDP-FED)===
-====IDP-FED1 - Data====
+====IDP-FED04 - Login====
-un Identity Provider in IDEM deve essere in grado di rilasciare determinate informazioni:
+La pagina di login di un Identity Provider federato in IDEM DEVE contenere:
-#Un identificativo univoco persistente e targhettizzato per i suoi utenti:
+*il collegamento alla pagina informativa indicata da <code><mdui:InformationURL></code> ([[RequisitiEntita#IDP-MD06%20-%20InformationURL|IDP-MD06]]);
-#*<code>persistent-id</code> '''(persistent NameID)'''  (o ''eduPersonTargetedID'' se non è possibile rilasciarlo)
+*il collegamento alla pagina sul trattamento dei dati personali indicata da <code><mdui:PrivacyStatementURL></code> ([[RequisitiEntita#IDP-MD07%20-%20PrivacyStatementURL|IDP-MD07]]);
-#L'affiliazione dell'utente con scopo:
+*il logo di IDEM ([https://idem.garr.it/tutti-i-documenti/idem-archivio/banner-e-loghi Logo IDEM]);
-#*<code>affiliation</code> '''(eduPersonScopedAffiliation)'''
+*il riferimento al <u>Contatto Tecnico</u> o al <u>Contatto di Supporto</u> per la risoluzione delle problematiche legate all'accesso alle risorse da parte degli utenti.
+[[#top|[TOP]]]
+====IDP-FED05 - Certificati metadata====
+Il certificato o i certificati utilizzati per <u>firmare e cifrare</u> le asserzioni dell'IdP DOVREBBERO essere:
-''Esempio con [https://sp.aai-test.garr.it/secure sp.aai-test.garr.it]:''<syntaxhighlight lang="xml">
+*di lunga durata (30 anni);
-affiliation = member@aai-test.garr.it;staff@aai-test.garr.it
+*autofirmati (self-signed);
-persistent-id = https://garr-idp-test.irccs.garr.it/idp/shibboleth!https://sp.aai-test.garr.it/shibboleth!eYfN....Q1rU=
+*validi (non scaduto);
+*non firmati con algoritmi di firma basati su MD5 o SHA1;
+*corrispondenti ad una chiave privata di almeno 3072 bit.
-</syntaxhighlight>[[#top|[TOP]]]
+In ogni caso la chiave privata corrispondente NON DEVE avere una lunghezza minore di 2048 bit.
-<br />
-====IDP-FED2 - Info Page====
-La pagina informativa esposta in lingua Italiana e in lingua Inglese deve opportunamente contenere:
-#indirizzo di posta elettronica per il supporto agli utenti in merito a IDEM e alle credenziali di autenticazione
+===Esempio IdP Metadata===
-#La Privacy Policy per l’utente contenente gli attributi che potrebbe rilasciare alle risorse federate
+<syntaxhighlight lang="xml">
-#('''fortemente raccomandato''') Logo di IDEM e link al Sito di IDEM
+<md:EntityDescriptor xmlns="urn:oasis:names:tc:SAML:2.0:metadata" xmlns:md="urn:oasis:names:tc:SAML:2.0:metadata" xmlns:ds="http://www.w3.org/2000/09/xmldsig#" xmlns:shibmd="urn:mace:shibboleth:metadata:1.0" xmlns:mdui="urn:oasis:names:tc:SAML:metadata:ui" entityID="https://idp.example.org/idp/shibboleth">
+ <md:IDPSSODescriptor protocolSupportEnumeration="urn:oasis:names:tc:SAML:2.0:protocol">
+  <md:Extensions>
+   <shibmd:Scope regexp="false">example.org</shibmd:Scope>
+   <mdui:UIInfo>
+    <mdui:DisplayName xml:lang="en">ENG IDP DISPLAYNAME</mdui:DisplayName>
+    <mdui:DisplayName xml:lang="it">ITA IDP DISPLAYNAME</mdui:DisplayName>
+    <mdui:Description xml:lang="en">ENG IDP DESCRIPTION</mdui:Description>
+    <mdui:Description xml:lang="it">ITA IDP DESCRIPTION</mdui:Description>
+    <mdui:InformationURL xml:lang="en">HTTPS URL ENG INFO PAGE</mdui:InformationURL>
+    <mdui:InformationURL xml:lang="it">HTTPS URL ITA INFO PAGE</mdui:InformationURL>
+    <mdui:PrivacyStatementURL xml:lang="en">URL ENG PRIVACY POLICY PAGE</mdui:PrivacyStatementURL>
+    <mdui:PrivacyStatementURL xml:lang="it">URL ITA PRIVACY POLICY PAGE</mdui:PrivacyStatementURL>
+    <mdui:Logo width="80" height="60">HTTPS URL LOGO</mdui:Logo>
+    <mdui:Logo width="16" height="16">HTTPS URL FAVICON</mdui:Logo>
+   </mdui:UIInfo>
+  </md:Extensions>
+  <md:KeyDescriptor use="signing">
+   <ds:KeyInfo>
+    <ds:X509Data>
+     <ds:X509Certificate>
+        MII...
+     </ds:X509Certificate>
+    </ds:X509Data>
+   </ds:KeyInfo>
+  </md:KeyDescriptor>
+  <md:SingleLogoutService Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Redirect" Location="https://idp.example.org/idp/profile/SAML2/Redirect/SLO"/>
+  <md:NameIDFormat>urn:oasis:names:tc:SAML:2.0:nameid-format:transient</md:NameIDFormat>
+  <md:NameIDFormat>urn:oasis:names:tc:SAML:2.0:nameid-format:persistent</md:NameIDFormat>
+  <md:SingleSignOnService Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Redirect" Location="https://idp.example.org/idp/profile/SAML2/Redirect/SSO"/>
+  <md:SingleSignOnService Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST" Location="https://idp.example.org/idp/profile/SAML2/POST/SSO"/>
+ </md:IDPSSODescriptor>
+ <md:Organization>
+  <md:OrganizationName xml:lang="it">ITA IDP ORGANIZATION NAME</md:OrganizationName>
+  <md:OrganizationName xml:lang="en">ENG IDP ORGANIZATION NAME</md:OrganizationName>
+  <md:OrganizationDisplayName xml:lang="it">ITA IDP DISPLAYNAME ORGANIZATION</md:OrganizationDisplayName>
+  <md:OrganizationDisplayName xml:lang="en">ENG IDP DISPLAYNAME ORGANIZATION</md:OrganizationDisplayName>
+  <md:OrganizationURL xml:lang="it">https://example.org/it</md:OrganizationURL>
+  <md:OrganizationURL xml:lang="en">https://example.org/en</md:OrganizationURL>
+ </md:Organization>
+ <md:ContactPerson contactType="technical">
+  <md:GivenName>EXAMPLE CONTACT NAME</md:GivenName>
+  <md:SurName>EXAMPLE CONTACT SURNAME</md:SurName>
+  <md:EmailAddress>mailto:technical.contact@example.org</md:EmailAddress>
+ </md:ContactPerson>
+</md:EntityDescriptor>
+</syntaxhighlight>
-[[#top|[TOP]]]<br />
+==Service Provider==
+===Metadata (SP-MD)===
+I requisiti di seguito elencati sono relativi ai metadata che descrivono un Service Provider (SP).
 <br />
-====IDP-FED3 - Privacy Page====
+====SP-MD01 - validUntil====
-La pagina informativa esposta in lingua Italiana e in lingua Inglese deve opportunamente contenere le adeguate informazioni circa la Privacy dei suoi utenti.
+<code>validUntil</code> , attributo contenuto nell'elemento <code><md:EntityDescriptor></code>, DEVE essere <u>rimosso</u> assieme al suo valore in quanto verrà inserito dalla Federazione.
-A titolo esemplificativo, IDEM, fornisce la seguente pagina: [[InformativaDatiPersonaliIdP]]
+[[RequisitiEntita#top|[TOP]]]
-[[#top|[TOP]]]
+====SP-MD02 - entityID====
+<code>entityID</code> , attributo contenuto nell'elemento <code><md:EntityDescriptor></code>, DEVE essere una URL di lunghezza massima 256 caratteri.
-<br /><br />
+La URL dell'entityID DOVREBBE restituire i metadata dell'entità.
-====IDP-FED4 - Login Page====
-La pagina di login di un Identity Provider federato in IDEM deve contenere:
-*il riferimento alla pagina Informativa inserita in <code><mdui:InformationURL></code>
-*il riferimento alla pagina di Privacy Policy inserita in <code><mdui:PrivacyStatementURL></code>
-*il logo di IDEM ([[:File:IDEM logo big.png|Logo IDEM]])
-*il riferimento del Contatto Tecnico o di Supporto per le problematiche legate all'accesso alle risorse da parte dei propri utenti
-[[#top|[TOP]]]<br />
+''Esempio:''<syntaxhighlight lang="xml">
-==Service Provider==
+entityID="https://sp.example.org/shibboleth"
-<br />
+</syntaxhighlight>[[RequisitiEntita#top|[TOP]]]
-===Metadata (SP-MD)===
+====SP-MD03 - DisplayName====
-<br />
+<code><mdui:DisplayName></code> , contenuto nell'elemento <code><mdui:UIInfo></code>, DEVE:
-====SP-MD1 - DisplayName====
+*contenere il nome della risorsa da mostrare all'utente. '''Attenzione''': il nome <u>non deve usare</u> la parola "IDEM" perchè riservata al [https://idem.garr.it/federazione-idem/la-federazione#servizio Servizio];
-<code><mdui:DisplayName></code> deve assumere un valore sia per la lingua Italiana che per la lingua Inglese e non può contenere il valore "IDEM" riservato al [https://idem.garr.it/federazione-idem/la-federazione#servizio Servizio].
+*essere definito sia per la lingua <u>italiana</u>, sia per la lingua <u>inglese</u>.
@@ Riga 244: / Riga 378: @@
 </syntaxhighlight>
 [[#top|[TOP]]]
+====SP-MD04 - Description====
+<code><mdui:Description></code> , contenuto nell'elemento <code><mdui:UIInfo></code>, DEVE:
-<br />
+*contenere una breve descrizione del servizio;
-====SP-MD2 - Description====
+*essere definito sia per la lingua <u>italiana</u>, sia per la lingua <u>inglese</u>.
-<code><mdui:Description></code> deve assumere un valore sia per la lingua Italiana che per la lingua Inglese.
@@ Riga 256: / Riga 391: @@
 </syntaxhighlight>
 [[#top|[TOP]]]
+====SP-MD03 - InformationURL====
+<code><mdui:InformationURL></code> , contenuto nell'elemento <code><mdui:UIInfo></code>, DEVE:
+*contenere la URL della pagina informativa del servizio;
+*essere definito sia per la lingua <u>italiana</u>, sia per la lingua <u>inglese</u>.
-====SP-MD4 - InformationURL====
+Per il contenuto della pagina informativa vedere [[RequisitiEntita#SP-FED02%20-%20Informazioni|SP-FED02]].
-<code><mdui:InformationURL></code> deve essere valorizzato sia per la lingua Italiana che per la lingua Inglese.
@@ Riga 268: / Riga 406: @@
 </syntaxhighlight>
 [[#top|[TOP]]]
+====SP-MD04 - PrivacyStatementURL====
+<code><mdui:PrivacyStatementURL></code>, contenuto nell'elemento <code><mdui:UIInfo></code>, DEVE:
-<br />
+*contenere la URL della pagina sul trattamento dei dati personali del servizio;
-====SP-MD5 - PrivacyStatementURL====
+*essere definito sia per la lingua <u>italiana</u>, sia per la lingua <u>inglese</u>.
-<code><mdui:PrivacyStatementURL></code>deve essere valorizzato sia per la lingua Italiana che per la lingua Inglese.
+Per il contenuto della pagina sul trattamento dei dati personali vedere [[RequisitiEntita#SP-FED03%20-%20Trattamento%20dati|SP-FED03]].
@@ Riga 280: / Riga 421: @@
 </syntaxhighlight>
 [[#top|[TOP]]]
+====SP-MD07 - Logo====
+<code><mdui:Logo></code> , contenuto nell'elemento <code><mdui:UIInfo></code>, DOVREBBE:
-<br />
+*contenere una URL protetta da SSL ( <code>https://</code> ) del logo dell'organizzazione in formato '''PNG''' (si RACCOMANDA uno sfondo possibilmente trasparente) con:
-====SP-MD6 - Logo====
+**''base'': dai 64 px ai 350 px;
-<code><mdui:Logo></code> deve essere valorizzato con una URL <code>https://</code> riportante il logo dell'organizzazione in formato PNG (sfondo possibilmente trasparente) con:
+**''altezza'': dai 64px ai 146px;
-*''base'': dai 64 px ai 350 px
-*''altezza'': dai 64px ai 146px
-Se viene fornito di dimensioni maggiori, <u>deve rispettare l'aspect-ratio</u>.
+''Esempio:''
+<syntaxhighlight lang="xml">
+<mdui:Logo width="64" height="64">https://...logo.png</mdui:Logo>
+</syntaxhighlight>
+[[#top|[TOP]]]
+====SP-MD08 - KeyDescriptor====
+I metadata DEVONO contenere <u>almeno</u> un elemento <code><md:KeyDescriptor></code> con le seguenti caratteristiche:
-''Esempio:''
+*privo di ulteriori attributi o con il solo attributo <code>use="encryption"</code>;
+*contenente un certificato X.509 in formato PEM.
 <syntaxhighlight lang="xml">
-<mdui:Logo width="80" height="60">https://...logo_80x60.png...</mdui:Logo>
+<md:KeyDescriptor use="encryption">
-</syntaxhighlight>
+   <ds:KeyInfo>
+      <ds:X509Data>
+         <ds:X509Certificate>
+            MII[..]
+         </ds:X509Certificate>
+      </ds:X509Data>
+   </ds:KeyInfo>
+</md:KeyDescriptor>
+</syntaxhighlight>Se il Service Provider supporta il Single Logout, DEVE essere presente un <u>ulteriore</u> elemento <code><md:KeyDescriptor></code> con l'attributo <code>use="signing"</code>.
 [[#top|[TOP]]]
-<br />
+====SP-MD09 - RequestedAttribute====
-====SP-MD7 - RequestedAttribute====
+<code><md:RequestedAttribute></code> , contenuto nell'elemento <code><md:AttributeConsumingService></code>, DEVE:
-<code><md:RequestedAttribute></code> devono essere valorizzati <u>almeno per tutti gli attributi necessari</u> all'accesso e all'utilizzo della risorsa federata.
+*contenere tutti e soli gli attributi SAML richiesti dalla risorsa;
+*indicare gli attributi <u>indispensabili</u> all'accesso e all'utilizzo della risorsa con il parametro <code>isRequired="true"</code>
+*indicare gli attributi <u>non indispensabili</u> all'accesso e all'utilizzo della risorsa con il parametro <code>isRequired="false"</code>
@@ Riga 305: / Riga 465: @@
 <syntaxhighlight lang="xml">
 <md:RequestedAttribute FriendlyName="givenName" Name="urn:oid:2.5.4.42" NameFormat="urn:oasis:names:tc:SAML:2.0:attrname-format:uri" isRequired="true"/>
-<md:RequestedAttribute FriendlyName="displayName" Name="urn:oid:2.16.840.1.113730.3.1.241" NameFormat="urn:oasis:names:tc:SAML:2.0:attrname-format:uri" isRequired="true"/>
+<md:RequestedAttribute FriendlyName="displayName" Name="urn:oid:2.16.840.1.113730.3.1.241" NameFormat="urn:oasis:names:tc:SAML:2.0:attrname-format:uri" isRequired="false"/>
 </syntaxhighlight>
 [[#top|[TOP]]]
+====SP-MD10 - OrganizationName====
+<code><md:OrganizationName></code> , contenuto nell'elemento <code><md:Organization></code>, DEVE:
-<br />
+*contenere il nome dell'organizzazione che offre il servizio;
-====SP-MD7 - OrganizationName====
+*essere definito sia per la lingua <u>italiana</u>, sia per la lingua <u>inglese</u>.
-<code><md:OrganizationName></code> deve essere valorizzato sia per la lingua Italiana che per la lingua Inglese.
@@ Riga 321: / Riga 482: @@
 </syntaxhighlight>
 [[#top|[TOP]]]
+====SP-MD11 - OrganizationDisplayName====
+<code><md:OrganizationDisplayName></code> , contenuto nell'elemento <code><md:Organization></code>, DEVE:
-<br />
+*contenere il nome dell'organizzazione che offre il servizio da mostrare all'utente;
-====SP-MD8 - OrganizationDisplayName====
+*essere definito sia per la lingua <u>italiana</u>, sia per la lingua <u>inglese</u>.
-<code><md:OrganizationDisplayName></code> deve essere valorizzato sia per la lingua Italiana che per la lingua Inglese.
@@ Riga 330: / Riga 492: @@
 <syntaxhighlight lang="xml">
 <md:OrganizationDisplayName xml:lang="en">Resource provided by Example University</md:OrganizationDisplayName>
-<md:OrganizationDisplayName xml:lang="it">Risorsa fornita da Università di Esempio</md:OrganizationDisplayName>
+<md:OrganizationDisplayName xml:lang="it">Risorsa erogata da Università di Esempio</md:OrganizationDisplayName>
 </syntaxhighlight>
 [[#top|[TOP]]]
+====SP-MD12 - OrganizationURL====
+<code><md:OrganizationURL></code>, contenuto nell'elemento <code><md:Organization></code>, DEVE:
-<br />
+*contenere la URL del sito principale dell'organizzazione che offre il servizio;
-====SP-MD9 - OrganizationURL====
+*essere definito sia per la lingua <u>italiana</u>, sia per la lingua <u>inglese</u>.
-<code><md:OrganizationURL></code> deve essere valorizzato sia per la lingua Italiana che per la lingua Inglese.
@@ Riga 346: / Riga 509: @@
 [[#top|[TOP]]]
+====SP-MD13 - ContactPerson====
+I metadata DEVONO contenere <u>almeno</u> un elemento <code><md:ContactPerson></code> con le seguenti caratteristiche:
-<br />
+*contenere l'indirizzo email del contatto tecnico del servizio;
-====SP-MD10 - ContactPerson====
+*contenere l'attributo <code>contactType="technical"</code>;
-<code><md:ContactPerson></code> deve essere valorizzato almeno il <code>contactType="technical"</code> con un indirizzo impersonale (mailing-list)
+Si RACCOMANDA di utilizzare un indirizzo <u>impersonale</u> (ad esempio una mailing-list).
@@ Riga 359: / Riga 525: @@
 [[#top|[TOP]]]
-<br />
+===Federation (SP-FED)===
+I requisiti di seguito elencati sono dettate dalla Federazione e destinate ai Service Provider.
-===Federation (SP-FED)===
+====SP-FED01 - Data====
-<br />
+un Service Provider in IDEM riceve ''automaticamente'' le seguenti informazioni:
-====SP-FED1 - Data====
-un Service Provider in IDEM riceve automaticamente le seguenti informazioni:
 #Un identificativo univoco persistente e targhettizzato dell'utente:
@@ Riga 370: / Riga 535: @@
 #L'affiliazione dell'utente con scopo:
 #*<code>affiliation</code> '''(eduPersonScopedAffiliation)'''
@@ Riga 378: / Riga 544: @@
 </syntaxhighlight>
+<u>Ogni informazione aggiuntiva richiesta</u> per l'utilizzo della/e risorsa/e protetta/e dal Service Provider <u>va motivata adeguatamente</u> via mail a <code>idem-help@garr.it</code>.
+[[#top|[TOP]]]
+====SP-FED02 - Informazioni====
+La pagina informativa esposta in lingua <u>italiana</u> e in lingua <u>inglese</u> DEVE contenere:
-<u>Ogni informazione aggiuntiva richiesta</u> per l'utilizzo della/e risorsa/e protetta/e dal Service Provider <u>va motivata adeguatamente</u> a <code>idem-help@garr.it</code>.
+#la descrizione del servizio;
+#il pubblico a cui si rivolge il servizio;
+#la denominazione dell'organizzazione che lo gestisce;
+#il riferimento al supporto utenti;
+#il collegamento alla pagina sul trattamento dei dati personali.
-[[#top|[TOP]]]<br />
+[[#top|[TOP]]]
-<br />
-====SP-FED2 - Info Page====
+====SP-FED03 - Trattamento dati====
-La pagina informativa esposta in lingua Italiana e in lingua Inglese deve opportunamente contenere:
+La pagina sul trattamento dei dati personali DEVE contenere tutte le informazioni previste dagli artt. 13 e 14 del Regolamento UE 679/2016.
+Per la stesura della privacy policy IDEM suggerisce di seguire le linee guida di REFEDS:
-#la descrizione del servizio reso
+https://wiki.refeds.org/display/CODE/Privacy+policy+guidelines+for+Service+Providers
-#il pubblico a cui si rivolge il servizio reso
-#la denominazione dell'organizzazione che la condivide
-#indirizzo di posta elettronica per il supporto agli utenti e ai gestori di Identity Provider
-#un riferimento alla Privacy Policy adottata dal servizio
-[[#top|[TOP]]]<br />
+[[#top|[TOP]]]
-<br />
+====SP-FED03 - Login Page / Discovery Service====
+La pagina di accesso ad una risorsa federata in IDEM DEVE contenere:
-====SP-FED3 - Privacy Page====
+*l'elenco degli IdP abilitati provenienti da IDEM ed eduGAIN;
-La pagina informativa esposta in lingua Italiana e in lingua Inglese deve opportunamente contenere le adeguate informazioni circa la Privacy seguita dal servizio.
+*un riferimento alla pagina informativa del servizio ([[RequisitiEntita#SP-MD3%20-%20InformationURL|SP-MD3]])
-A titolo esemplificativo, IDEM, suggerisce la seguente pagina: https://wiki.refeds.org/display/CODE/Privacy+policy+guidelines+for+Service+Providers
+Il Servizio suggerisce di seguire le ''REFEDS Best Practices:'' https://discovery.refeds.org/
 [[#top|[TOP]]]
+====SP-FED04 - Certificati metadata====
+Il certificato o i certificati utilizzati per firmare e cifrare le asserzioni dell'IdP DOVREBBERO essere:
+*di lunga durata (30 anni);
+*autofirmati (self-signed);
+*validi (non scaduto);
+*non firmati con algoritmi di firma basati su MD5 o SHA1;
+*corrispondenti ad una chiave privata di almeno 3072 bit.
+In ogni caso la chiave privata corrispondente NON DEVE avere una lunghezza minore di 2048 bit.
+===Esempio Metadata Service Provider===
+<syntaxhighlight lang="xml">
+<md:EntityDescriptor entityID="https://sp.example.com/shibboleth"
+                     xmlns:ds="http://www.w3.org/2000/09/xmldsig#"
+                     xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
+                     xmlns:md="urn:oasis:names:tc:SAML:2.0:metadata"
+                     xmlns:mdui="urn:oasis:names:tc:SAML:metadata:ui">
+   <md:SPSSODescriptor protocolSupportEnumeration="urn:oasis:names:tc:SAML:2.0:protocol">
+      <md:Extensions>
+         <init:RequestInitiator
+            xmlns:init="urn:oasis:names:tc:SAML:profiles:SSO:request-init"
+            Binding="urn:oasis:names:tc:SAML:profiles:SSO:request-init"
+            Location="https://sp.example.com/Shibboleth.sso/Login" />
+         <idpdisc:DiscoveryResponse
+            xmlns:idpdisc="urn:oasis:names:tc:SAML:profiles:SSO:idp-discovery-protocol"
+            Binding="urn:oasis:names:tc:SAML:profiles:SSO:idp-discovery-protocol"
+            Location="https://sp.example.com/Shibboleth.sso/DS" index="1" />
+         <mdui:UIInfo>
+            <mdui:DisplayName xml:lang="en">ENG DISPLAY NAME</mdui:DisplayName>
+            <mdui:DisplayName xml:lang="it">ITA DISPLAY NAME</mdui:DisplayName>
+            <mdui:Description xml:lang="en">ENG DESCRIPTION</mdui:Description>
+            <mdui:Description xml:lang="it">ITA DESCRIPTION</mdui:Description>
+            <mdui:InformationURL xml:lang="en">HTTPS ENG INFORMATION PAGE URL</mdui:InformationURL>
+            <mdui:InformationURL xml:lang="it">HTTPS ITA INFORMATION PAGE URL</mdui:InformationURL>
+            <mdui:Logo height="64" width="64">HTTPS RESOURCE LOGO PNG</mdui:Logo>
+            <mdui:PrivacyStatementURL xml:lang="en">HTTPS ENG PRIVACY POLICY PAGE URL</mdui:PrivacyStatementURL>
+            <mdui:PrivacyStatementURL xml:lang="it">HTTPS ITA PRIVACY POLICY PAGE URL</mdui:PrivacyStatementURL>
+         </mdui:UIInfo>
+      </md:Extensions>
+      <md:KeyDescriptor>
+         <ds:KeyInfo>
+            <ds:X509Data>
+               <ds:X509Certificate>
+                  MII...
+               </ds:X509Certificate>
+            </ds:X509Data>
+         </ds:KeyInfo>
+      </md:KeyDescriptor>
+      <md:SingleLogoutService
+         Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Redirect"
+         Location="https://sp.example.com/Shibboleth.sso/SLO/Redirect" />
+      <md:SingleLogoutService
+         Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST"
+         Location="https://sp.example.com/Shibboleth.sso/SLO/POST" />
+      <md:AssertionConsumerService
+         Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST"
+         Location="https://sp.example.com/Shibboleth.sso/SAML2/POST"
+         index="1" />
+      <md:AttributeConsumingService index="1">
+         <!-- example for the required attribute: mail -->
+         <md:RequestedAttribute FriendlyName="mail"
+            Name="urn:oid:0.9.2342.19200300.100.1.3"
+            NameFormat="urn:oasis:names:tc:SAML:2.0:attrname-format:uri"
+            isRequired="true" />
+         <!-- example for the desired attribute: eduPersonPrincipalName -->
+         <md:RequestedAttribute FriendlyName="eppn"
+            Name="urn:oid:1.3.6.1.4.1.5923.1.1.1.6"
+            NameFormat="urn:oasis:names:tc:SAML:2.0:attrname-format:uri"
+            isRequired="false" />
+      </md:AttributeConsumingService>
+   </md:SPSSODescriptor>
+   <md:Organization>
+      <md:OrganizationName xml:lang="en">ENG ORGANIZATION NAME</md:OrganizationName>
+      <md:OrganizationName xml:lang="it">ITA ORGANIZATION NAME</md:OrganizationName>
+      <md:OrganizationDisplayName xml:lang="en">ENG ORGANIZATION DISPLAY NAME</md:OrganizationDisplayName>
+      <md:OrganizationDisplayName xml:lang="it">ITA ORGANIZATION DISPLAY NAME</md:OrganizationDisplayName>
+      <md:OrganizationURL xml:lang="en">ENG ORGANIZATION URL</md:OrganizationURL>
+      <md:OrganizationURL xml:lang="it">ITA ORGANIZATION URL</md:OrganizationURL>
+   </md:Organization>
+   <md:ContactPerson contactType="technical">
+      <md:EmailAddress>mailto:technical.contact.mailing.list@example.org</md:EmailAddress>
+   </md:ContactPerson>
+</md:EntityDescriptor>
+</syntaxhighlight>
+===Riferimenti===
+[RFC 2119]  Key words for use in RFCs to Indicate Requirement Levels
+http://www.rfc-editor.org/rfc/rfc2119.txt
+[SAML2Core] Assertions and Protocols for the OASIS Security Assertion Markup Language (SAML) V2.0
+http://docs.oasis-open.org/security/saml/v2.0/saml-core-2.0-os.pdf
+[SAML2Bind] Bindings for the OASIS Security Assertion Markup Language (SAML) V2.0
+http://docs.oasis-open.org/security/saml/v2.0/saml-bindings-2.0-os.pdf
+[SAML2Meta] Metadata for the OASIS Security Assertion Markup Language (SAML) V2.0
+http://docs.oasis-open.org/security/saml/v2.0/saml-metadata-2.0-os.pdf
-<br />
-====SP-FED4 - Login Page / Discovery Service====
+[SAML2MDIOP] SAML V2.0 Metadata Interoperability Profile Version 1.0
-La login di una risorsa federata protetta da un Service Provider federato in IDEM deve contenere:
-*il logo di IDEM ([[:File:IDEM logo big.png|Logo IDEM]]) [e il logo di eduGAIN ([https://edugain.org/wp-content/uploads/2018/02/eduGAIN.jpg JPG] | [https://edugain.org/wp-content/uploads/2018/02/eduGAIN.png PNG]) se vi ha aderito]
+http://docs.oasis-open.org/security/saml/Post2.0/sstc-metadata-iop-os.pdf
-*un elenco degli IdP in IDEM [e in eduGAIN se vi ha aderito]
-*un riferimento alla pagina Informativa del servizio
-''REFEDS Best Practices:'' https://discovery.refeds.org/
+[SAML2Int] SAML V2.0 Deployment Profile for Federation Interoperability
-[[#top|[TOP]]]
+https://kantarainitiative.github.io/SAMLprofiles/saml2int.html

Differenze tra le versioni di "RequisitiEntita"

Versione attuale delle 17:03, 31 mag 2021

Profilo Tecnico Operativo per le Entità della Federazione IDEM

Indice

Definizioni

Security (SEC) - Identity Provider & Service Provider

SEC01 - Grado di robustezza SSL

SEC02 - Chain issue

Identity Provider

Metadata (IDP-MD)

IDP-MD01 - validUntil

IDP-MD02 - entityID

IDP-MD03 - Scope

IDP-MD04 - DisplayName

IDP-MD05 - Description

IDP-MD06 - InformationURL

IDP-MD07 - PrivacyStatementURL

IDP-MD08 - Logo

IDP-MD09 - KeyDescriptor

IDP-MD10 - SingleSignOnService

IDP-MD11 - SingleLogoutService

IDP-MD12 - OrganizationName

IDP-MD13 - OrganizationDisplayName

IDP-MD14 - OrganizationURL

IDP-MD15 - ContactPerson

Federation (IDP-FED)

IDP-FED01 - Data

IDP-FED02 - Informazioni

IDP-FED03 - Trattamento dati personali

IDP-FED04 - Login

IDP-FED05 - Certificati metadata

Esempio IdP Metadata

Service Provider

Metadata (SP-MD)

SP-MD01 - validUntil

SP-MD02 - entityID

SP-MD03 - DisplayName

SP-MD04 - Description

SP-MD03 - InformationURL

SP-MD04 - PrivacyStatementURL

SP-MD07 - Logo

SP-MD08 - KeyDescriptor

SP-MD09 - RequestedAttribute

SP-MD10 - OrganizationName

SP-MD11 - OrganizationDisplayName

SP-MD12 - OrganizationURL

SP-MD13 - ContactPerson

Federation (SP-FED)

SP-FED01 - Data

SP-FED02 - Informazioni

SP-FED03 - Trattamento dati

SP-FED03 - Login Page / Discovery Service

SP-FED04 - Certificati metadata

Esempio Metadata Service Provider

Riferimenti

Menu di navigazione

Ricerca