Tehdyt toimenpiteet
Haka-testipalvelut
CSC tarjoaa myös Haka-luottamusverkostoon rekisteröitymistä
valmisteleville Shibboleth-ylläpitäjille mahdollisuuden testata ja
kokeilla järjestelmiään CSC:n Shibboleth-testipalveluiden kanssa.
Varsinkin tuotantokäyttöön tulevien järjestelmien toimivuus on hyvä
varmistaa ennen niiden liittämistä Hakaan. CSC tarjoaa mahdollisuuden
testata Shibboleth 2 IdP- ja SP-palvelimia vasten. Näin
varmistetaan toimivuus sekä vanhempien että uudempien asennusten kanssa.
Lataa tästä CSC:n testipalvelinten metadata,
joka sinun täytyy testausvaiheessa ottaa käyttöön testattavassa
IdP/SP-palvelimessasi. Testipalvelinten metadatan allekirjoituksen
voit halutessasi tarkistaa tällä varmenteella.
Testauksessa käytettävät metadatat (myös testaajien) ja
tulokset ovat julkisia, mikä tulee huomioida käytettävissä
käyttäjätiedoissa sekä järjestelmissä.
Mikäli testaustarpeessasi on jotain poikkeavaa tai muuta epäselvää, kysy lisää haka@csc.fi -osoitteesta.
Jos haluat testata Identity Provider -palvelintasi:
- Rekisteröi testi-IdP:si Haka Resurssirekisterillä testipalveluksi. Resurssirekisterin Help-valikosta löydät tarkemmat ohjeet teknisten tietojen täyttämiseksi.
- Ota IdP:ssäsi käyttöön testipalveluiden metadata (ks. yllä)
- Salli attribuuttien luovutus testipalvelimille. Shibboleth 2:ta varten testikäyttöön tehty attribute-filter-testing.xml tekee tämän.
- Kokeile testipalvelua osoitteessa https://testsp.funet.fi/haka/. Valitse organisaatiosi, ja kirjaudu sisään omalla tunnuksellasi. Tämän jälkeen testipalvelu näyttää kaikki onnistuneesti siirretyt attribuutit, mikäli kirjautuminen onnistui. Jos kirjautuminen ei onnistu ja ongelma ei selviä omin voimin, lähetä IdP:isi virhelokista koko kirjautumisyrityksen lokit ja virheen kuvaus meille haka@csc.fi, niin tutkimme asiaa myös SP:n lokeista.
Jos haluat testata Service Provider -palvelintasi:
- Rekisteröi testi-SP:si Haka Resurssirekisterillä testipalveluksi. Resurssirekisterin Help-valikosta löydät tarkemmat ohjeet teknisten tietojen täyttämiseksi.
- Ota käyttöön SP:ssäsi testipalveluiden metadata (ks. yllä)
- Aseta SP:si ohjaamaan Hakan testi-WAYF/DS -palveluun, jonka osoite on https://testsp.funet.fi/shibboleth/WAYF
- Mene selaimella palveluusi, jolloin palvelun pitäisi ohjata sinut ym. WAYF/DS -palveluun, josta valitse Hakan testi-IdP "Haka test IdP". Saat palvelua rekisteröidessäsi sähköpostitse testikäyttäjätunnuksen, jolla pääset kirjautumaan tähän IdP:iin.
Hakaan jo rekisteröidyn IdP:n attribuuttien luovutuksen testaaminen
Haka-luottamusverkostoon on rekisteröity yksi Service Provider -palvelin attribuuttien luovutuksen testaamiseen. Palvelimen avulla IdP-ylläpitäjä voi varmistaa, että Hakaan rekisteröity Identity Provider -palvelin luovuttaa attribuutit oikein (attribuuttien nimeäminen ja formaatti). Loppukäyttäjä voi tarkistaa, että hänen henkilötietonsa kotiorganisaatiossa ovat ajan tasalla. Palvelu löytyy osoitteesta https://rr.funet.fi/haka
Muut SAML2-toteutukset
Muita kuin Shibboleth SAML2-toteuksia testattaessa kannattaa huomioida myös testattavan toteuksen ominaisuudet. Testipalvelimissa käytettävä SAML2 AuthnContext on "urn:oasis:names:tc:SAML:2.0:ac:classes:PasswordProtectedTransport", attribuuttien NameFormat on "urn:oasis:names:tc:SAML:2.0:attrname-format:uri" ja käytettävä NameID "urn:oasis:names:tc:SAML:2.0:nameid-format:transient"
Viestienvaihdossa käytettävä SAML2 binding on "urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST".
Katso tarkemmat tiedot Hakan SAML 2 -profiilista!
