Differenze tra le versioni di "RegistraEntita"
Jump to navigation
Jump to search
| Riga 1: | Riga 1: | ||
==Registrazione IdP== | ==Registrazione IdP== | ||
| − | + | Per poter inserire un nuovo Identity Provider(IdP) nella Federazione IDEM di produzione si rende necessario: | |
| − | + | # L''''entityID''' usato nei documenti di adesione deve corrispondere a quello usato dall'entità | |
| − | + | # Se l'istituzione '''non''' desidera partecipare nell'interfederazione eduGAIN, deve apporre la propria croce sul checkbox per l'opt-out del modulo IDPRR (Identity Provider Registration Request) | |
| − | #'''entityID''' | + | # Accedere al [https://registry.idem.garr.it IDEM Entity Registry] e: |
| − | # | + | #:# Raggiungere la scheda della propria entità: '''Identity Provider''' |
| − | + | #:# Entrare in modalità di modifica premendo sul bottone: [[File:RR EditPencil.png|37px]] e poi su '''Edit Provider''' dal Menù a sinistra che appare | |
| − | # | + | #:# Dalla scheda "'''Organization'''" inserire: |
| − | #''' | + | #:#* '''Name of organization''': Nome dell'organizzazione in Italiano e in Inglese |
| − | #''' | + | #:#* '''Displayname of organization''': Nome dell'organizzazione da mostrare sui Discovery Service in Italiano e in Inglese |
| − | #*'' | + | #:#* '''URL to information about organization''': URL del sito web dell'organizzazione |
| − | + | #:# Dalla scheda "'''Contacts'''" inserire: | |
| − | # | + | #:#* Almeno un indirizzo di una mailing-list dei contatti tecnici responsabili del corretto funzionamento dell'IdP compreso del prefisso "mailto:" |
| − | #*'' | + | #:# Dalla scheda "'''UI Information'''" inserire: |
| − | + | #:#* '''Name of organization''': Nome dell'organizzazione da mostrare sui Discovery Service in Italiano e in Inglese | |
| − | #:#* | + | #:#* '''Description of user community serviced''': Descrizione della comunità di utenti autorizzati ad utilizzare l'IdP |
| − | #:# | + | #:#* '''URL to information about the Identity Provider''' |
| − | #:# | + | #:#: Tale pagina dovrà contenere: |
| − | + | #:#::* Elenco attributi supportati dall'IdP | |
| − | #:# | + | #:#::* Federazioni a cui l'IdP aderisce compresi di loghi e riferimenti ([[:File:IDEM logo big.png|Logo di IDEM]] | [https://idem.garr.it/ Rif. IDEM ITA] | [https://idem.garr.it/en/ Rif. IDEM ENG] | [https://edugain.org/technical-resources/resources/ eduGAIN Logo] | [https://edugain.org/ Rif. eduGAIN]) |
| − | #:# | + | #:#::* Indirizzo di posta elettronica di supporto agli utenti su IDEM e le credenziali di autenticazione |
| − | #:#* | + | #:#* '''URL to Privacy Policy of the Identity Provider''': Privacy Policy dell'organizzazione/IdP |
| − | #:#* | + | #:#* '''Logo of Service''': Logo dell'organizzazione visualizzato sui Discovery Service |
| − | #:#:Tale pagina dovrà contenere: | + | #:#: Tali Loghi, secondo le indicazioni date da [https://wiki.refeds.org/display/FBP/MDUI+-+Software+recommendations#MDUI-Softwarerecommendations-PerMDUIElementinformation-IdP REFEDS], devono: |
| − | #:#::*Elenco attributi supportati dall'IdP | + | #:#::* Essere reperibili da URL protette da HTTPS (con certificato valido) |
| − | #:#::*Federazioni a cui l'IdP aderisce compresi di loghi e riferimenti ([[:File:IDEM logo big.png|Logo di IDEM]] | [https://idem.garr.it/ Rif. IDEM ITA] | [https://idem.garr.it/en/ Rif. IDEM ENG] | [https://edugain.org/technical-resources/resources/ eduGAIN Logo] | [https://edugain.org/ Rif. eduGAIN]) | + | #:#::* Avere la dimensione di 80x60 px (o diversa purchè rispetti l'aspect-ratio) per il logo più grande in ITA e in ENG |
| − | #:#::*Indirizzo di posta elettronica di supporto agli utenti su IDEM e le credenziali di autenticazione | + | #:#::* Avere la dimensione di 16x16 px (o diversa purchè rispetti l'aspect-ratio) per il logo più piccolo in ITA e in ENG |
| − | #:# | + | #:#::* Avere lo sfondo trasparente (possibilmente) |
| − | #:#* | + | #:# Dalla scheda "'''SAML'''" verificare: |
| − | + | #:#* Che l''''entityID''' sia corretto | |
| − | + | #:#* Che tutti gli '''endpoint'''/URL siano protetti da '''HTTPS''' | |
| − | + | #:#* Che tutti gli endpoints: '''SingleSignOn Service endpoints''', '''Single Logout Service endpoints''', '''Artifact Resolution Service endpoints''', '''AttributeAuthorityDescriptor''' non presentino errori di binding | |
| − | + | #:#* Che il "'''Supported protocol enumerations'''" sia valorizzato al solo "urn:oasis:names:tc:SAML:2.0:protocol" (SAML v2) (sia per IDPSSODescriptor che per AttributeAuthorityDescriptor) | |
| − | + | #:#* Che nella lista di "'''Supported Name Identifiers'''" compaia prima il "'''transient'''" e poi il "'''persistent'''" (SAML v2) (sia per IDPSSODescriptor che per AttributeAuthorityDescriptor) | |
| − | + | #:#* Che lo "'''Scope'''" sia correttamente valorizzato con il dominio istituzionale (sia per IDPSSODescriptor che per AttributeAuthorityDescriptor) | |
| − | #:#:Tali Loghi, secondo le indicazioni date da [https://wiki.refeds.org/display/FBP/MDUI+-+Software+recommendations#MDUI-Softwarerecommendations-PerMDUIElementinformation-IdP REFEDS], devono: | ||
| − | #:#:* Essere reperibili da URL protette da HTTPS (con certificato valido) | ||
| − | #:#:* Avere la dimensione di 80x60 px (o diversa | ||
| − | #:#:* Avere la dimensione di 16x16 px (o diversa | ||
| − | #:#:* Avere lo sfondo trasparente (possibilmente) | ||
| − | #:# | ||
| − | #:#* | ||
| − | #:#* | ||
| − | #:# | ||
| − | #:#* | ||
| − | |||
| − | |||
| − | |||
| − | #:#* | ||
| − | |||
| − | |||
| − | |||
| − | |||
| − | #*'' | ||
| − | |||
| − | |||
| − | |||
| − | |||
===Validazione metadata=== | ===Validazione metadata=== | ||
| Riga 77: | Riga 54: | ||
==Registrazione SP== | ==Registrazione SP== | ||
| − | + | Per poter inserire un nuovo Service Provider(IdP) nella Federazione IDEM di produzione si rende necessario: | |
| − | + | # L''''entityID''' usato nei documenti di adesione deve corrispondere a quello usato dall'entità | |
| − | + | # Se l'istituzione '''desidera''' partecipare nell'interfederazione eduGAIN, deve apporre la propria croce sul checkbox per l'opt-in del modulo RRR (Resource Registration Request) | |
| − | #'''entityID''' | + | # Accedere al [https://registry.idem.garr.it IDEM Entity Registry] e: |
| − | # | + | #:# Raggiungere la scheda della propria entità: '''Service Provider''' |
| − | # | + | #:# Entrare in modalità di modifica premendo sul bottone: [[File:RR EditPencil.png|37px]] e poi su '''Edit Provider''' dal Menù a sinistra che appare |
| − | #''' | + | #:# Dalla scheda "'''Organization'''" inserire: |
| − | #''' | + | #:#* '''Name of organization''': Nome dell'organizzazione in Italiano e in Inglese |
| − | #*'' | + | #:#* '''Displayname of organization''': Nome dell'organizzazione da mostrare sui Discovery Service in Italiano e in Inglese |
| − | #:# | + | #:#* '''URL to information about the Service''': URL del sito web dell'organizzazione |
| − | #:#* | + | #:# Dalla scheda "'''Contacts'''" inserire: |
| − | #:# | + | #:#* Almeno un indirizzo di una mailing-list dei contatti tecnici responsabili del corretto funzionamento del SP compreso del prefisso "mailto:" |
| − | + | #:# Dalla scheda "'''UI Information'''" inserire: | |
| − | #:#* | + | #:#* '''Name of the Service''': Nome della risorsa da mostrare all'utente in Italiano e in Inglese |
| − | #:# | + | #:#* '''URL to information about the Service''': |
| − | + | #:#: Tale pagina dovrà: | |
| − | #:#* | + | #:#::* Descrivere la risorsa federata per l'utente finale |
| − | #:#* | + | #:#::* Descrivere il pubblico a cui è rivolto |
| − | #:#:Tale pagina dovrà: | + | #:#::* Indicare a quale organizzazione appartiene/da qual è erogata. |
| − | #:#::*Descrivere la risorsa federata per l'utente finale | + | #:#::* Contenere un indirizzo di posta elettronica per il supporto agli utenti finali che accedono la risorsa ed ai gestori dei servizi di Identity Provider(IdP) |
| − | #:#::*Descrivere il pubblico a cui è rivolto | + | #:#::* Contenere i riferimenti alla Privacy Policy adottata dalla risorsa (es. informativa su attributi richiesti e relativo trattamento) |
| − | #:#::*Indicare a quale organizzazione appartiene/da qual è erogata. | + | #:#::* Federazioni a cui l'SP aderisce compresi di loghi e riferimenti ([[:File:IDEM logo big.png|Logo di IDEM]] | [https://idem.garr.it/ Rif. IDEM ITA] | [https://idem.garr.it/en/ Rif. IDEM ENG] | [https://edugain.org/technical-resources/resources/ eduGAIN Logo] | [https://edugain.org/ Rif. eduGAIN]) |
| − | #:#::*Contenere un indirizzo di posta elettronica per il supporto agli utenti finali che accedono la risorsa ed ai gestori dei servizi di Identity Provider(IdP) | + | #:#* '''Description of the Service''': Descrizione della comunità di utenti autorizzati ad utilizzare la risorsa |
| − | #:#::*Contenere i riferimenti alla Privacy Policy adottata dalla risorsa (es. informativa su attributi richiesti e relativo trattamento) | + | #:#* '''URL to Privacy Policy of the Identity Provider''': Privacy Policy dell'organizzazione/SP |
| − | #:#::*Federazioni a cui l'SP aderisce compresi di loghi e riferimenti ([[:File:IDEM logo big.png|Logo di IDEM]] | [https://idem.garr.it/ Rif. IDEM ITA] | [https://idem.garr.it/en/ Rif. IDEM ENG] | [https://edugain.org/technical-resources/resources/ eduGAIN Logo] | [https://edugain.org/ Rif. eduGAIN]) | + | #:#* '''Logo of Service''': Loghi della risorsa visualizzati dagli utenti |
| − | #:# | + | #:#: Tali Loghi, secondo le indicazioni date da [https://wiki.refeds.org/display/FBP/MDUI+-+Software+recommendations#MDUI-Softwarerecommendations-PerMDUIElementinformation-SP REFEDS], devono: |
| − | |||
| − | |||
| − | |||
| − | #:#* | ||
| − | #:#* | ||
| − | #:#:Tali Loghi, secondo le indicazioni date da [https://wiki.refeds.org/display/FBP/MDUI+-+Software+recommendations#MDUI-Softwarerecommendations-PerMDUIElementinformation-SP REFEDS], devono: | ||
#:#:* Essere reperibili da URL protette da HTTPS (con certificato valido) | #:#:* Essere reperibili da URL protette da HTTPS (con certificato valido) | ||
| − | #:#:* Avere la dimensione di 64x350px (o diversa | + | #:#:* Avere la dimensione di 64x350px (o diversa purchè rispetti l'aspect-ratio) per il logo più grande in ITA e in ENG |
#:#:* Avere lo sfondo trasparente (possibilmente) | #:#:* Avere lo sfondo trasparente (possibilmente) | ||
| − | #:# | + | #:# Dalla scheda "'''SAML'''" verificare: |
| − | #:#* | + | #:#* Che l''''entityID''' sia corretto |
| − | + | #:#* Che tutti gli '''endpoint'''/URL siano protetti da '''HTTPS''' | |
| − | + | #:#* Che tutti gli endpoints: '''Assertion Consumer Service''', '''ArtifactResolutionService''', '''SingleLogoutService''', '''RequestInitiator Locations''', '''Discovery Response Locations''' non presentino errori di binding | |
| − | + | #:#* Che il "'''Supported protocol enumerations'''" sia valorizzato al solo "'''urn:oasis:names:tc:SAML:2.0:protocol'''" (SAML v2) | |
| − | + | #:#* Che la lista di "'''Supported Name Identifiers'''" sia ordinata in modo che in test compaia l'identificatore che si desidera ricevere come ''''preferito''''. Gli identificatori maggiormente usati dagli IdP sono: "''urn:oasis:names:tc:SAML:2.0:nameid-format:transient''", "''urn:oasis:names:tc:SAML:2.0:nameid-format:persistent''" | |
| − | + | #:# Dalla scheda "'''Required Attributes'''" inserire: | |
| − | + | #:#* tutti gli attributi necessari alla risorsa per consentire l'accesso agli utenti. Riportare tali attributi anche sulla Privacy Policy della risorsa stessa. Se gli attributi richiesti per l'accesso sono diversi da ePSA (eduPersonScopedAffiliation) e ePTID(eduPersonTargetedID), segnalare a [mailto:idem-help@garr.it idem-help@garr.it] il perchè durante la valutazione. | |
| − | |||
| − | |||
| − | |||
| − | |||
| − | |||
| − | |||
| − | |||
| − | |||
| − | |||
| − | |||
| − | |||
===Validazione metadata=== | ===Validazione metadata=== | ||
| Riga 149: | Riga 109: | ||
===Test di accesso=== | ===Test di accesso=== | ||
Eseguire una login con https://idp311.idem.garr.it/ e, dopo aver verificato di ricevere gli attributi necessari, comunicare l'ora dell'avvenuto accesso a [mailto:idem-help@garr.it idem-help@garr.it] | Eseguire una login con https://idp311.idem.garr.it/ e, dopo aver verificato di ricevere gli attributi necessari, comunicare l'ora dell'avvenuto accesso a [mailto:idem-help@garr.it idem-help@garr.it] | ||
| − | |||
| − | |||
| − | |||
| − | |||
| − | |||
| − | |||
| − | |||
| − | |||
| − | |||
| − | |||
| − | |||
| − | |||
| − | |||
| − | |||
| − | |||
| − | |||
| − | |||
| − | |||
| − | |||
| − | |||
| − | |||
| − | |||
| − | |||
| − | |||
| − | |||
| − | |||
| − | |||
| − | |||
| − | |||
| − | |||
| − | |||
| − | |||
| − | |||
| − | |||
| − | |||
| − | |||
| − | |||
| − | |||
| − | |||
| − | |||
| − | |||
| − | |||
| − | |||
| − | |||
| − | |||
| − | |||
| − | |||
| − | |||
| − | |||
| − | |||
| − | |||
| − | |||
| − | |||
| − | |||
| − | |||
| − | |||
| − | |||
| − | |||
| − | |||
| − | |||
| − | |||
| − | |||
| − | |||
| − | |||
| − | |||
| − | |||
| − | |||
| − | |||
| − | |||
| − | |||
| − | |||
| − | |||
| − | |||
| − | |||
| − | |||
| − | |||
| − | |||
==SP registration== | ==SP registration== | ||
| − | + | To be able to add a new Service Provider(IdP) on IDEM GARR AAI you need to: | |
| − | + | # Check that the '''entityID''' used into the membership documents is the same | |
| − | #'''entityID''' | + | # If the resourc '''wants''' partecipate into eduGAIN interfederation, has to check the opt-in checkbox on the RRR module (Resource Registration Request) |
| − | # | + | # Access into [https://registry.idem.garr.it IDEM Entity Registry] and: |
| − | # | + | #:# Open your entity under '''Service Provider''' tab |
| − | #''' | + | #:# Enter in the editing mode by pressing: [[File:RR EditPencil.png|37px]] and then on '''Edit Provider''' from the left menù |
| − | #''' | + | #:# From tab "'''Organization'''" insert: |
| − | #*'' | + | #:#* '''Name of organization''': Italian and in English name of the organization owner the resource |
| − | #:# | + | #:#* '''Displayname of organization''': Italian and in English name of the organization owner the resource to show on Discovery Services |
| − | #:# | + | #:#* '''URL to information about the Service''': URL of the website of the organization |
| − | #:#* | + | #:# From tab "'''Contacts'''" insert: |
| − | #:# | + | #:#* an address of a mailing-list contains the technical contacts responsable of the correct working of the SP with the "mailto:" prefix |
| − | + | #:# From tab "'''UI Information'''" insert: | |
| − | #:#* | + | #:#* '''Name of the Service''': Italian and English name of the resource to show to the users |
| − | + | #:#* '''URL to information about the Service''': | |
| − | #:#* | ||
| − | |||
#:#:This page will have: | #:#:This page will have: | ||
#:#::*A description of the federated resource for the final user. | #:#::*A description of the federated resource for the final user. | ||
| Riga 254: | Riga 135: | ||
#:#::*Federations who the resource is member of by using logos and references ([[:File:IDEM logo big.png|Logo di IDEM]] | [https://idem.garr.it/ Rif. IDEM ITA] | [https://idem.garr.it/en/ Rif. IDEM ENG] | [https://edugain.org/technical-resources/resources/ eduGAIN Logo] | [https://edugain.org/ Rif. eduGAIN]) | #:#::*Federations who the resource is member of by using logos and references ([[:File:IDEM logo big.png|Logo di IDEM]] | [https://idem.garr.it/ Rif. IDEM ITA] | [https://idem.garr.it/en/ Rif. IDEM ENG] | [https://edugain.org/technical-resources/resources/ eduGAIN Logo] | [https://edugain.org/ Rif. eduGAIN]) | ||
#:#<u>PrivacyStatementUrl</u>: Privacy Policy del SP ([https://wiki.refeds.org/display/CODE/Privacy+policy+guidelines+for+Service+Providers TEMPLATE]) | #:#<u>PrivacyStatementUrl</u>: Privacy Policy del SP ([https://wiki.refeds.org/display/CODE/Privacy+policy+guidelines+for+Service+Providers TEMPLATE]) | ||
| − | #:#* | + | #:#* '''Description of the Service''': Description of the user community allowed to access/use to the resource |
| − | #:#* | + | #:#* '''URL to Privacy Policy of the Identity Provider''': SP's Privacy Policy ([https://wiki.refeds.org/display/CODE/Privacy+policy+guidelines+for+Service+Providers TEMPLATE]) |
| − | #:# | + | #:#* '''Logo of Service''': Resource logo useful to IdP User Consent page |
| − | + | #:#: By following the reccomendations provided by [https://wiki.refeds.org/display/FBP/MDUI+-+Software+recommendations#MDUI-Softwarerecommendations-PerMDUIElementinformation-SP REFEDS], logos have to: | |
| − | |||
| − | #:#:By following the reccomendations provided by [https://wiki.refeds.org/display/FBP/MDUI+-+Software+recommendations#MDUI-Softwarerecommendations-PerMDUIElementinformation-SP REFEDS], logos have to: | ||
#:#:* Be available on protected HTTPS URL | #:#:* Be available on protected HTTPS URL | ||
#:#:* Be 64x350px (or different if respect the aspect-ratio) | #:#:* Be 64x350px (or different if respect the aspect-ratio) | ||
#:#:* has a transparent background | #:#:* has a transparent background | ||
| − | #:# | + | #:# From tab "'''SAML'''" check: |
| − | #:#* | + | #:#* That the '''entityID''' is correct |
| − | + | #:#* That all '''endpoint'''/URL are protect by '''HTTPS''' | |
| − | + | #:#* That all endpoints: '''Assertion Consumer Service''', '''ArtifactResolutionService''', '''SingleLogoutService''', '''RequestInitiator Locations''', '''Discovery Response Locations''' don't have binding errors on the following endpoinds: | |
| − | + | #:#* That "'''Supported protocol enumerations'''" is set to "'''urn:oasis:names:tc:SAML:2.0:protocol'''" (SAML v2) | |
| − | + | #:#* That the "'''Supported Name Identifiers'''" list is ordered so that on the top there is the '''preferred''' identifier to receive. Identifiers most by used are: "''urn:oasis:names:tc:SAML:2.0:nameid-format:transient''", "''urn:oasis:names:tc:SAML:2.0:nameid-format:persistent''" | |
| − | + | #:# From tab "'''Required Attributes'''" insert: | |
| − | + | #:#* each attribute needed to access the resource by the users. These attributes have to be riported on the resource's Privacy Policy page. If the attributes required are different than ePSA (eduPersonScopedAffiliation) and ePTID(eduPersonTargetedID), contact [mailto:idem-help@garr.it idem-help@garr.it] and provide the reason during the validation. | |
| − | |||
| − | |||
| − | |||
| − | |||
| − | |||
| − | |||
| − | |||
| − | |||
| − | |||
| − | |||
| − | |||
===Metadata Validation=== | ===Metadata Validation=== | ||
Versione delle 16:35, 22 lug 2019
Indice
Registrazione IdP
Per poter inserire un nuovo Identity Provider(IdP) nella Federazione IDEM di produzione si rende necessario:
- L'entityID usato nei documenti di adesione deve corrispondere a quello usato dall'entità
- Se l'istituzione non desidera partecipare nell'interfederazione eduGAIN, deve apporre la propria croce sul checkbox per l'opt-out del modulo IDPRR (Identity Provider Registration Request)
- Accedere al IDEM Entity Registry e:
- Raggiungere la scheda della propria entità: Identity Provider
- Entrare in modalità di modifica premendo sul bottone:
e poi su Edit Provider dal Menù a sinistra che appare - Dalla scheda "Organization" inserire:
- Name of organization: Nome dell'organizzazione in Italiano e in Inglese
- Displayname of organization: Nome dell'organizzazione da mostrare sui Discovery Service in Italiano e in Inglese
- URL to information about organization: URL del sito web dell'organizzazione
- Dalla scheda "Contacts" inserire:
- Almeno un indirizzo di una mailing-list dei contatti tecnici responsabili del corretto funzionamento dell'IdP compreso del prefisso "mailto:"
- Dalla scheda "UI Information" inserire:
- Name of organization: Nome dell'organizzazione da mostrare sui Discovery Service in Italiano e in Inglese
- Description of user community serviced: Descrizione della comunità di utenti autorizzati ad utilizzare l'IdP
- URL to information about the Identity Provider
- Tale pagina dovrà contenere:
- Elenco attributi supportati dall'IdP
- Federazioni a cui l'IdP aderisce compresi di loghi e riferimenti (Logo di IDEM | Rif. IDEM ITA | Rif. IDEM ENG | eduGAIN Logo | Rif. eduGAIN)
- Indirizzo di posta elettronica di supporto agli utenti su IDEM e le credenziali di autenticazione
- URL to Privacy Policy of the Identity Provider: Privacy Policy dell'organizzazione/IdP
- Logo of Service: Logo dell'organizzazione visualizzato sui Discovery Service
- Tali Loghi, secondo le indicazioni date da REFEDS, devono:
- Essere reperibili da URL protette da HTTPS (con certificato valido)
- Avere la dimensione di 80x60 px (o diversa purchè rispetti l'aspect-ratio) per il logo più grande in ITA e in ENG
- Avere la dimensione di 16x16 px (o diversa purchè rispetti l'aspect-ratio) per il logo più piccolo in ITA e in ENG
- Avere lo sfondo trasparente (possibilmente)
- Dalla scheda "SAML" verificare:
- Che l'entityID sia corretto
- Che tutti gli endpoint/URL siano protetti da HTTPS
- Che tutti gli endpoints: SingleSignOn Service endpoints, Single Logout Service endpoints, Artifact Resolution Service endpoints, AttributeAuthorityDescriptor non presentino errori di binding
- Che il "Supported protocol enumerations" sia valorizzato al solo "urn:oasis:names:tc:SAML:2.0:protocol" (SAML v2) (sia per IDPSSODescriptor che per AttributeAuthorityDescriptor)
- Che nella lista di "Supported Name Identifiers" compaia prima il "transient" e poi il "persistent" (SAML v2) (sia per IDPSSODescriptor che per AttributeAuthorityDescriptor)
- Che lo "Scope" sia correttamente valorizzato con il dominio istituzionale (sia per IDPSSODescriptor che per AttributeAuthorityDescriptor)
Validazione metadata
- EduGAIN Validator: https://technical.edugain.org/validator2
- Federation Metadata URL:
http://md.idem.garr.it/metadata/idem-test-metadata-sha256.xml - Premere su "Validate"
- Controllare che Errors e Warnings non abbiano anomalie per il proprio IdP.
- Federation Metadata URL:
Validazione certificati
- Controllare la robustezza del proprio IdP su: SSL Server Test
- Controllare certificato e catena della CA sulla porta 443
- Controllare che il certificato sulla 443 non abbia una Weak key (Debian)
- Pagina di Login:
- Verificare che sia protetta da una CA riconosciuta dal browser
Test di accesso
Eseguire una login su https://sp24-test.garr.it/secure e, dopo aver verificato di vedere 'eduPersonTargetedID' e 'affiliation', comunicare l'ora dell'avvenuto accesso a idem-help@garr.it
Registrazione SP
Per poter inserire un nuovo Service Provider(IdP) nella Federazione IDEM di produzione si rende necessario:
- L'entityID usato nei documenti di adesione deve corrispondere a quello usato dall'entità
- Se l'istituzione desidera partecipare nell'interfederazione eduGAIN, deve apporre la propria croce sul checkbox per l'opt-in del modulo RRR (Resource Registration Request)
- Accedere al IDEM Entity Registry e:
- Raggiungere la scheda della propria entità: Service Provider
- Entrare in modalità di modifica premendo sul bottone: e poi su Edit Provider dal Menù a sinistra che appare
- Dalla scheda "Organization" inserire:
- Name of organization: Nome dell'organizzazione in Italiano e in Inglese
- Displayname of organization: Nome dell'organizzazione da mostrare sui Discovery Service in Italiano e in Inglese
- URL to information about the Service: URL del sito web dell'organizzazione
- Dalla scheda "Contacts" inserire:
- Almeno un indirizzo di una mailing-list dei contatti tecnici responsabili del corretto funzionamento del SP compreso del prefisso "mailto:"
- Dalla scheda "UI Information" inserire:
- Name of the Service: Nome della risorsa da mostrare all'utente in Italiano e in Inglese
- URL to information about the Service:
- Tale pagina dovrà:
- Descrivere la risorsa federata per l'utente finale
- Descrivere il pubblico a cui è rivolto
- Indicare a quale organizzazione appartiene/da qual è erogata.
- Contenere un indirizzo di posta elettronica per il supporto agli utenti finali che accedono la risorsa ed ai gestori dei servizi di Identity Provider(IdP)
- Contenere i riferimenti alla Privacy Policy adottata dalla risorsa (es. informativa su attributi richiesti e relativo trattamento)
- Federazioni a cui l'SP aderisce compresi di loghi e riferimenti (Logo di IDEM | Rif. IDEM ITA | Rif. IDEM ENG | eduGAIN Logo | Rif. eduGAIN)
- Description of the Service: Descrizione della comunità di utenti autorizzati ad utilizzare la risorsa
- URL to Privacy Policy of the Identity Provider: Privacy Policy dell'organizzazione/SP
- Logo of Service: Loghi della risorsa visualizzati dagli utenti
- Tali Loghi, secondo le indicazioni date da REFEDS, devono:
- Essere reperibili da URL protette da HTTPS (con certificato valido)
- Avere la dimensione di 64x350px (o diversa purchè rispetti l'aspect-ratio) per il logo più grande in ITA e in ENG
- Avere lo sfondo trasparente (possibilmente)
- Dalla scheda "SAML" verificare:
- Che l'entityID sia corretto
- Che tutti gli endpoint/URL siano protetti da HTTPS
- Che tutti gli endpoints: Assertion Consumer Service, ArtifactResolutionService, SingleLogoutService, RequestInitiator Locations, Discovery Response Locations non presentino errori di binding
- Che il "Supported protocol enumerations" sia valorizzato al solo "urn:oasis:names:tc:SAML:2.0:protocol" (SAML v2)
- Che la lista di "Supported Name Identifiers" sia ordinata in modo che in test compaia l'identificatore che si desidera ricevere come 'preferito'. Gli identificatori maggiormente usati dagli IdP sono: "urn:oasis:names:tc:SAML:2.0:nameid-format:transient", "urn:oasis:names:tc:SAML:2.0:nameid-format:persistent"
- Dalla scheda "Required Attributes" inserire:
- tutti gli attributi necessari alla risorsa per consentire l'accesso agli utenti. Riportare tali attributi anche sulla Privacy Policy della risorsa stessa. Se gli attributi richiesti per l'accesso sono diversi da ePSA (eduPersonScopedAffiliation) e ePTID(eduPersonTargetedID), segnalare a idem-help@garr.it il perchè durante la valutazione.
Validazione metadata
- EduGAIN Validator: https://technical.edugain.org/validator2
- Federation Metadata URL:
http://md.idem.garr.it/metadata/idem-test-metadata-sha256.xml - Premere su "Validate"
- Controllare che Errors e Warnings non abbiano anomalie per il proprio SP
- Federation Metadata URL:
Validazione SSL
- Controllare la robustezza del proprio SP su: SSL Server Test
- Controllare certificato e catena della CA sulla porta 443
- Controllare che il certificato sulla 443 non abbia una Weak key (Debian)
- Pagina di Login:
- Verificare che sia protetta da una CA riconosciuta dal browser
Test di accesso
Eseguire una login con https://idp311.idem.garr.it/ e, dopo aver verificato di ricevere gli attributi necessari, comunicare l'ora dell'avvenuto accesso a idem-help@garr.it
SP registration
To be able to add a new Service Provider(IdP) on IDEM GARR AAI you need to:
- Check that the entityID used into the membership documents is the same
- If the resourc wants partecipate into eduGAIN interfederation, has to check the opt-in checkbox on the RRR module (Resource Registration Request)
- Access into IDEM Entity Registry and:
- Open your entity under Service Provider tab
- Enter in the editing mode by pressing: and then on Edit Provider from the left menù
- From tab "Organization" insert:
- Name of organization: Italian and in English name of the organization owner the resource
- Displayname of organization: Italian and in English name of the organization owner the resource to show on Discovery Services
- URL to information about the Service: URL of the website of the organization
- From tab "Contacts" insert:
- an address of a mailing-list contains the technical contacts responsable of the correct working of the SP with the "mailto:" prefix
- From tab "UI Information" insert:
- Name of the Service: Italian and English name of the resource to show to the users
- URL to information about the Service:
- This page will have:
- A description of the federated resource for the final user.
- A description of the interested audience for the resource.
- A description of the owner institution.
- An email address to support the final users and the Identity Provider managers
- The Privacy Policy references
- Federations who the resource is member of by using logos and references (Logo di IDEM | Rif. IDEM ITA | Rif. IDEM ENG | eduGAIN Logo | Rif. eduGAIN)
- PrivacyStatementUrl: Privacy Policy del SP (TEMPLATE)
- Description of the Service: Description of the user community allowed to access/use to the resource
- URL to Privacy Policy of the Identity Provider: SP's Privacy Policy (TEMPLATE)
- Logo of Service: Resource logo useful to IdP User Consent page
- By following the reccomendations provided by REFEDS, logos have to:
- Be available on protected HTTPS URL
- Be 64x350px (or different if respect the aspect-ratio)
- has a transparent background
- From tab "SAML" check:
- That the entityID is correct
- That all endpoint/URL are protect by HTTPS
- That all endpoints: Assertion Consumer Service, ArtifactResolutionService, SingleLogoutService, RequestInitiator Locations, Discovery Response Locations don't have binding errors on the following endpoinds:
- That "Supported protocol enumerations" is set to "urn:oasis:names:tc:SAML:2.0:protocol" (SAML v2)
- That the "Supported Name Identifiers" list is ordered so that on the top there is the preferred identifier to receive. Identifiers most by used are: "urn:oasis:names:tc:SAML:2.0:nameid-format:transient", "urn:oasis:names:tc:SAML:2.0:nameid-format:persistent"
- From tab "Required Attributes" insert:
- each attribute needed to access the resource by the users. These attributes have to be riported on the resource's Privacy Policy page. If the attributes required are different than ePSA (eduPersonScopedAffiliation) and ePTID(eduPersonTargetedID), contact idem-help@garr.it and provide the reason during the validation.
Metadata Validation
- EduGAIN Validator: https://technical.edugain.org/validator2
- Federation Metadata URL:
http://md.idem.garr.it/metadata/idem-test-metadata-sha256.xml - Press on "Validate"
- Check that Errors and Warnings do not report anomalies for the SP.
- Federation Metadata URL:
Certificate Validation
- Check IdP health on: SSL Server Test
- Check certificate and CA chain on port 443
- Check certificate on port 443 does not have a Weak key (Debian)
- Login page:
- Check it is protected by a CA recognized by the browser
Access Test
Log in onto your resource by using https://idp311.idem.garr.it/ and after you verified you can see the required attributes, inform about the time you accessed it via email idem-help@garr.it
