Kotiorganisaation käyttäjähallinnon kuvaus

Transkriptio

1 Kotiorganisaation käyttäjähallinnon kuvaus Versio Tekijä Päiväys 0.1 Timo Leipold Timo Leipold Timo Leipold Timo Leipold Timo Leipold Heli Uusipaavalniemi Tässä dokumentissa ollaan kiinnostuneita käyttäjätietokannan ja sen tietojen ajantasaisuuden toteutuksen yleisistä periaatteista sellaisella tasolla, joka antaa riittävät tiedot käyttäjätietojen laadun ja ajantasaisuuden arvioimiseksi. Kotiorganisaatio asettaa tämän dokumentin www:hen kaikkien saataville ja päivittää sitä omaaloitteisesti, kun muutoksia tulee. Dokumentti linkitetään Haka-infrastruktuurin kotisivulta. Tässä dokumentissa käyttäjätietokannalla tarkoitetaan sitä loppukäyttäjien attribuuttien joukkoa, johon organisaation Identity Provider-palvelin tukeutuu. Käyttäjätietokannan tekninen toteutus voi olla esim. LDAP-hakemisto tai relaatiotietokanta, tai niiden yhdistelmä niin, että Identity Provider - palvelin noutaa osan attribuuteista LDAP-hakemistosta ja osan JDBC:n yli opiskelijarekisteristä. 1. Käyttäjätietokannan ja perusrekistereiden kytkentä 1.1. Opiskelijarekisteri Lähtöoletuksena on, että opiskelijarekisterin henkilötiedot ovat ajantasalla. Miten käyttäjätietokanta on kytketty opiskelijarekisteriin? Opiskelijarekisterinä toimii Winhan relaatiotietokanta, josta tiedot päivitetään tunnin välein klo 01:00-20:00 välisenä aikana käyttäjähakemistoon Uusi opiskelija Miten uuden opiskelijan tiedot päivittyvät opiskelijarekisteristä käyttäjätietokantaan? Uuden opiskelijan tiedot siirtyvät opiskelijarekisteristä käyttäjätietokantaan. Käyttäjähakemistoon muodostuu mm. käyttäjätunnus, salasana, sähköpostiosoite. Koska uusi opiskelija saa käyttäjätunnuksen/opiskelijaroolin? Uusi opiskelija saa käyttäjätunnuksensa opintojen alussa. Mitä tunnukselle tapahtuu, jos uusi opiskelija ei ota opiskelupaikkaa vastaan, tai ottaa paikan vastaan mutta ilmoittautuu poissaolevaksi Mikäli opiskelija ei ota paikkaa vastaan hänelle ei luoda tunnusta. Poissaolevaksi ilmoittautuvalle opiskelijalle ei tehdä tunnusta ennen kuin hän ensimmäisen kerran ilmoittautuu läsnäolevaksi.

2 Opiskelijan tiedoissa tapahtuu muutos Miten opiskelijan muuttuneet tiedot päivittyvät opiskelijarekisteristä käyttäjätietokantaan? Opiskelijan muuttuneet tiedot päivitetään opiskelijarekisteristä automaattisesti tunnin välein klo 01:00-20:00 välisenä aikana Opiskelija lakkaa olemasta opiskelija Koska organisaatio (esim. opintoasiainhallinto) katsoo, että opiskelija lakkaa olemasta opiskelija a) sen jälkeen kun opiskelija valmistuu? Opiskelija kirjataan valmistumispäivänä opiskelijarekisteriin valmistuneeksi. b) sen jälkeen kun lukukausi vaihtuu, ja opiskelija ei ole ilmoittautunut läsnäolevaksi? Opiskelija kirjataan opiskelijarekisteriin eronneeksi. c) sen jälkeen kun opiskelija ilmoittaa keskeyttävänsä opinnot? Opiskelija kirjataan opiskelijarekisteriin eronneeksi. Kuinka kauan ylläolevien tapahtumien jälkeen kestää, että organisaatio (esim. tietohallinto) sulkee opiskelijan käyttäjätunnuksen tai poistaa opiskelijaroolin? Tunnus sulkeutuu automaattisesti kirjauksesta korkeintaan tunnin viiveellä 01:00-20:00 välisenä aikana. Tunnus jää vielä 90 päivän ajaksi karanteeniin Henkilökuntarekisteri Vastaavasti kuin edellä. Henkilökuntarekisteristä tiedot päivitetään tunnin välein klo 01:00-20:00 välisenä aikana käyttäjähakemistoon Uusi työntekijä Uuden työntekijän tiedot siirtyvät henkilökuntarekisteristä käyttäjätietokantaan. Käyttäjähakemistoon muodostuu mm. käyttäjätunnus, salasana, sähköpostiosoite. Uusi työntekijä saa käyttäjätunnuksensa työsuhteen alettua Työntekijän tiedoissa tapahtuu muutos Työntekijän muuttuneet tiedot päivitetään automaattisesti tunnin välein klo 01:00-20:00 välisenä aikana käyttäjähakemistoon.

3 Työntekijä lakkaa olemasta työntekijä Henkilöstöpalvelut kirjaa työntekijän henkilökuntarekisteriin eronneeksi. Tunnus sulkeutuu automaattisesti kirjauksesta korkeintaan tunnin viiveellä 01:00-20:00 välisenä aikana. Tunnus jää vielä 90 päivän ajaksi karanteeniin Muut käyttäjät ja heidän henkilötietojensa ajantasaisuus Onko organisaatiossa vielä jotain muita käyttäjiä, joilla on käyttäjätunnus ja jotka voivat kirjautua Identity Provider -palvelimen kautta Haka-infrastruktuurin palveluihin (Suomen Akatemian tutkijat? Ravintolahenkilökunta? Siviilipalvelusmiehet? Dosentit? Alumnit? Emeritukset? Kirjaston asiakkaat?). Minkälainen haku- ja hyväksymismenettely näihin tunnuksiin liittyy? Miten heidän käyttäjätietojensa ajantasaisuus ja sulkeutuminen/roolitiedon päivittyminen on varmistettu? Ulkopuoliset kirjataan Laureassa henkilökunnan järjestelmään. Elinkaarenhallinta hallinnoidaan henkilöstöpalveluissa. Sellaiset käyttäjät, jotka eivät ole luonnollisia henkilöitä (esim. ainejärjestöt), eivät ole myöskään Haka-infrastruktuurin tarkoittamia loppukäyttäjiä, eikä heidän kirjautumistaan Identity Provider - palvelimen kautta palveluihin tule sallia. 2. Henkilöllisyyden todentaminen 2.1. Käyttäjätunnuksen antamisen yhteydessä Millä tavalla uuden käyttäjän henkilöllisyys todennetaan, kun hänelle annetaan käyttäjätunnus? Salasanan luovuttaja todentaa henkilön henkilöllisyyden kuvallisesta viranomaisten hyväksymästä henkilötodistuksesta tai vastaavalla menetelmällä salasanojen luovutuksen yhteydessä. Tai käyttäjä voidaan tunnistaa matkapuhelimen SIM-kortilla olevalla mobiilivarmenteella, sähköisellä henkilökortilla olevalla kansalaisvarmenteella tai pankkien verkkopankkitunnuksilla Kun käyttäjä kirjautuu käyttäjätunnuksensa avulla Salasanatodennukseen liittyvät laatuvaatimukset. Mahdolliset käytettävissä olevat salasanaa tukevammat autentikointimenetelmät. Salasanassa tulee olla 8 merkkiä. Salasanan tulee sisältää vähintään kolmea eri merkkityyppiä seuraavista neljästä: pienet kirjaimet, isot kirjaimet, numerot, tietyt erikoismerkit. Salasanan muuttaminen on estetty, mikäli ehdot eivät täyty. Salasanoilla on 120 päivän pakotettu vaihtoväli. 3. Käyttäjätietokannassa saatavilla olevat tiedot Lisätietoja funeteduperson-skeemasta on täällä. Rasti kohtaan "Saatavuus", jos kyseinen henkilötieto on ajantasalla ja siten saatavilla Identity Provider -palvelimen yli. Kohtaan "Miten ajantasaisuus turvataan" esimerkiksi viittaus luvun 1. järjestelmiin.

4 Jos organisaatiolla on omia (ei siis funetedupersonin mukaisia) attribuutteja, jotka näkyvät ulospäin Identity Provider-palvelimesta, lisää ne taulukon loppuun. Tarvittaessa linkki dokumenttiin, joka tarkemmin kuvailee omien attribuuttien skeeman. Attribuutti Saatavuus Miten ajantasaisuus turvataan Muuta (esim. tulkintaohje) cn / commonname X rekistereistä MUST description displayname X rekistereistä MUST employeenumber facsimiletelephonenumber givenname X rekistereistä MUST homephone homepostaladdress X rekistereistä jpegphoto l / localityname labeleduri mail X rekistereistä MUST mobile X rekistereistä o / organizationname ou / organizationalunitname postaladdress X rekistereistä postalcode X rekistereistä preferredlanguage seealso sn / surname X rekistereistä MUST street telephonenumber title uid X rekistereistä, staattinen usercertificate edupersonaffiliation X rekistereistä employee, student

5 edupersonentitlement edupersonnickname edupersonorgdn edupersonorgunitdn edupersonprimaryaffiliation X rekistereistä edupersonprimaryorgunitdn edupersonprincipalname X rekistereistä MUST edupersonscopedaddiliation edupersontargetedid schacmothertongue schacgender schacdateofbirth X rekistereistä schacplaceofbirth schaccountryofcitizenship schachomeorganization X vakio laurea.fi schachomeorganizationtype X vakio polytechnic schaccountryofresidence schacuserpresenceid schacpersonaluniquecode schacpersonaluniqueid X rekistereistä schacuserstatus funetedupersonhomeorganization funetedupersonstudentid funetedupersonidentitycode funetedupersondateofbirth funetedupersontargetdegreeuniversity funetedupersontargetdegreepolytech funetedupersontargetdegree funetedupersoneducationalprogramuniv funetedupersoneducationalprogrampolyte ch funetedupersonprogram X rekistereistä funetedupersonmajoruniv

6 funetedupersonorientationalternpolytech funetedupersonspecialisation funetedupersonstudystart funetedupersonprimarystudystart funetedupersonstudytoend funetedupersonprimarystudytoend funetedupersoncreditunits funetedupersonects funetedupersonstudentcategory funetedupersonstudentstatus funetedupersonstudentunion funetedupersonhomecity funetedupersoneppntimestamp Mikä arvo on käytössä? 4. Muuta 4.1. Kardinaliteetit Yksi henkilöllisyys per tosielämän käyttäjä, vai Yksi henkilöllisyys per rooli (esim. opiskelija-työntekijällä kaksi käyttäjätunnusta)? Yksi henkilöllisyys per rooli EduPersonPrincipalNamen revokointi ja kierrätys Voiko edupersonprincipalname vaihtua? Käyttäjätunnusta ei muuteta. Käyttäjä luopuu vanhasta tunnuksesta ja käyttäjälle luodaan uusi tunnus. Millä tavalla organisaatio kierrättää vapautuneita edupersonprincipalname-arvoja? Käyttäjätunnusta eli edupersonprincipalnamea ei kierrätetä.