Haka-infrastruktuuri

Kotiorganisaation käyttäjähallinnon kuvaus

Versio Tekijä Päiväys
     
     

Tässä dokumentissa ollaan kiinnostuneita käyttäjätietokannan ja sen tietojen ajantasaisuuden toteutuksen yleisistä periaatteista sellaisella tasolla, joka antaa riittävät tiedot käyttäjätietojen laadun ja ajantasaisuuden arvioimiseksi.

Kotiorganisaatio asettaa tämän dokumentin www:hen kaikkien saataville ja päivittää sitä oma-aloitteisesti, kun muutoksia tulee. Dokumentti linkitetään Haka-infrastruktuurin kotisivulta.

Tässä dokumentissa käyttäjätietokannalla tarkoitetaan sitä loppukäyttäjien attribuuttien joukkoa, johon organisaation Identity Provider-palvelin tukeutuu. Käyttäjätietokannan tekninen toteutus voi olla esim. LDAP-hakemisto tai relaatiotietokanta, tai niiden yhdistelmä niin, että Identity Provider -palvelin noutaa osan attribuuteista LDAP-hakemistosta ja osan JDBC:n yli opiskelijarekisteristä. 

1. Käyttäjätietokannan ja perusrekistereiden kytkentä

1.1. Opiskelijarekisteri

Lähtöoletuksena on, että opiskelijarekisterin henkilötiedot ovat ajantasalla.

Miten käyttäjätietokanta on kytketty opiskelijarekisteriin?

1.1.1. Uusi opiskelija

Miten uuden opiskelijan tiedot päivittyvät opiskelijarekisteristä käyttäjätietokantaan?
Koska uusi opiskelija saa käyttäjätunnuksen/opiskelijaroolin?
Mitä tunnukselle tapahtuu, jos uusi opiskelija ei ota opiskelupaikkaa vastaan, tai ottaa paikan vastaan mutta ilmoittautuu poissaolevaksi?

1.1.2. Opiskelijan tiedoissa tapahtuu muutos

Miten opiskelijan muuttuneet tiedot päivittyvät opiskelijarekisteristä käyttäjätietokantaan?

1.1.3. Opiskelija lakkaa olemasta opiskelija

Koska organisaatio (esim. opintoasiainhallinto) katsoo, että opiskelija lakkaa olemasta opiskelija
a) sen jälkeen kun opiskelija valmistuu?
b) sen jälkeen kun lukukausi vaihtuu, ja opiskelija ei ole ilmoittautunut läsnäolevaksi?
c) sen jälkeen kun opiskelija ilmoittaa keskeyttävänsä opinnot?

Kuinka kauan ylläolevien tapahtumien jälkeen kestää, että organisaatio (esim. tietohallinto) sulkee opiskelijan käyttäjätunnuksen tai poistaa opiskelijaroolin?

1.2. Henkilökuntarekisteri

Vastaavasti kuin edellä.

1.2.1. Uusi työntekijä

1.2.2. Työntekijän tiedoissa tapahtuu muutos

1.2.3. Työntekijä lakkaa olemasta työntekijä

1.3. Muut käyttäjät ja heidän henkilötietojensa ajantasaisuus

Onko organisaatiossa vielä jotain muita käyttäjiä, joilla on käyttäjätunnus ja jotka voivat kirjautua Identity Provider -palvelimen kautta Haka-infrastruktuurin palveluihin (Suomen Akatemian tutkijat? Ravintolahenkilökunta? Siviilipalvelusmiehet? Dosentit? Alumnit? Emeritukset? Kirjaston asiakkaat?). Minkälainen haku- ja hyväksymismenettely näihin tunnuksiin liittyy?
Miten heidän käyttäjätietojensa ajantasaisuus ja sulkeutuminen/roolitiedon päivittyminen on varmistettu?

Sellaiset käyttäjät, jotka eivät ole luonnollisia henkilöitä (esim. ainejärjestöt), eivät ole myöskään Haka-infrastruktuurin tarkoittamia loppukäyttäjiä, eikä heidän kirjautumistaan Identity Provider -palvelimen kautta palveluihin tule sallia.

2. Henkilöllisyyden todentaminen

2.1. Käyttäjätunnuksen antamisen yhteydessä

Millä tavalla uuden käyttäjän henkilöllisyys todennetaan, kun hänelle annetaan käyttäjätunnus?

2.2. Kun käyttäjä kirjautuu käyttäjätunnuksensa avulla

Salasanatodennukseen liittyvät laatuvaatimukset.
Mahdolliset käytettävissä olevat salasanaa tukevammat autentikointimenetelmät.

3. Käyttäjätietokannassa saatavilla olevat tiedot

Lisätietoja funetEduPerson-skeemasta (ver 2.0) on täällä.

Rasti kohtaan "Saatavuus", jos kyseinen henkilötieto on ajantasalla ja siten saatavilla Identity Provider -palvelimen yli.
Kohtaan "Miten ajantasaisuus turvataan" esimerkiksi viittaus luvun 1. järjestelmiin.

Jos organisaatiolla on omia (ei siis funetEduPersonin mukaisia) attribuutteja, jotka näkyvät ulospäin Identity Provider-palvelimesta, lisää ne taulukon loppuun. Tarvittaessa linkki dokumenttiin, joka tarkemmin kuvailee omien attribuuttien skeeman.

Attribuutti
 Saatavuus
 Miten ajantasaisuus turvataan
 Muuta (esim. tulkintaohje)
cn / commonName
      MUST
description      
displayName      MUST
employeeNumber      
facsimileTelephoneNumber    
givenName      
homePhone      
homePostalAddress      
jpegPhoto      
l / localityName
      
labeledURI
      
mail      
mobile      
o / organizationName
      
ou / organizationalUnitName
      
postalAddress
     
postalCode      
preferredLanguage      
seeAlso      
sn / surname
      MUST
street      
telephoneNumber      
title      
uid      
userCertificate


eduPersonAffiliation
      Mitä arvoja on saatavilla?
eduPersonEntitlement      
eduPersonNickName
      
eduPersonOrgDN      
eduPersonOrgUnitDN      
eduPersonPrimaryAffiliation    
eduPersonPrimaryOrgUnitDN      
eduPersonPrincipalName      MUST
eduPersonScopedAddiliation      
eduPersonTargetedID      
schacMotherTongue
      
schacGender
      
schacDateOfBirth
      
schacPlaceOfBirth
      
schacCountryOfCitizenship
      
schacHomeOrganization
     MUST.
Mikä arvo on käytössä?
schacHomeOrganizationType     MUST
Mikä arvo on käytössä?
schacCountryOfResidence      
schacUserPresenceID      
schacPersonalUniqueCode      
schacPersonalUniqueID


schacUserStatus


funetEduPersonHomeOrganization

superseded
funetEduPersonStudentID

superseded
funetEduPersonIdentityCode

superseded
funetEduPersonDateOfBirth

superseded
funetEduPersonTargetDegreeUniversity

superseded
funetEduPersonTargetDegreePolytech

superseded
funetEduPersonTargetDegree


funetEduPersonEducationalProgramUniv

superseded
funetEduPersonEducationalProgramPolytech

superseded
funetEduPersonProgram


funetEduPersonMajorUniv

superseded
funetEduPersonOrientationAlternPolytech

superseded
funetEduPersonSpecialisation


funetEduPersonStudyStart


funetEduPersonPrimaryStudyStart


funetEduPersonStudyToEnd


funetEduPersonPrimaryStudyToEnd


funetEduPersonCreditUnits


funetEduPersonECTS


funetEduPersonStudentCategory


funetEduPersonStudentStatus


funetEduPersonStudentUnion

Mikä arvo on käytössä?
funetEduPersonHomeCity


funetEduPersonEPPNTimeStamp










4. Muuta

4.1. Kardinaliteetit

Yksi henkilöllisyys per tosielämän käyttäjä, vai
Yksi henkilöllisyys per rooli (esim. opiskelija-työntekijällä kaksi käyttäjätunnusta)?

4.2. EduPersonPrincipalNamen revokointi ja kierrätys

Voiko eduPersonPrincipalName vaihtua?
Millä tavalla organisaatio kierrättää vapautuneita eduPersonPrincipalName-arvoja?