HY:n alustava ehdotus käyttäjähallintotuotteesta

Transkriptio

1 HY:n alustava ehdotus käyttäjähallintotuotteesta (jota sovellettaisiin Atikiin) Versio 1.2 / Ismo Aulaskari HY siis aikoo markkinoida pakettia joihin kuuluisi HY:n konesalissaan ylläpitämä, varmuuskopioitu Linux(Centos 5) -virtuaalipalvelin ja seuraavat HY:n ylläpitämät ohjelmistot (tai vaihtoehtoisesti varmaan ainakin jonkun muun ylläpitämä palvelin ja HY:n ylläpitämät käyttäjähallintoohjelmistot): Ldap-autentikointia tukeva Openldap-käyttäjähakemisto Kevytkäyttäjähallinto-automaatti joka ylläpitäisi Openldapin käyttäjätietoja ja tarjoaisi kaksisuuntaisia rajapintoja muiden järjestelmien (kuten Atik, korkeakoulujen järjestelmät, Oodi) suuntaan Asennettujen ohjelmistojen lähdekoodit vähintään paketin hankkineille asiakkaille saataville, jos ei koko maailman nähtäväksi (jolloin ohjelmistopaketti olisi kaikkien saatavissa ilman tukisopimusta) Optioina Shibboleth Identity Provider ja HAKA-federaatiota tukeva tietosisältö Ldapin kahdennus (Shibbolethin kahdennusta ei ole HY:llä testattu mutta teoriassa se on mahdollista) -luo uusi -hae -muokkaa Rajapintoja -Oodi -muu ATIK -autentikoi -hae Kevytkäyttäjähallintosovellus Yliopiston autentikointijärjestelmä -Poista -Hae kaikki -? Openldap / Shibboleth IDP Linux-palvelin

2 Yhden tunnuksen politiikan toteuttaminen? Antaako Atik käyttäjän valita Atik-tunnuksen ja kotiorganisaation tunnuksen välillä? Sikäli kun tunnuksen valinnan toiminnallisuus on toteutettu Atikissa itsessään eivät seuraavat kohdat ole merkittävässä asemassa: Jos Atik kutsuu käyttäjätunnistusta Ldap-protokollalla voidaan hyödyntää referraaleja tunnistuksen ohjaamisessa kevytkäyttäjähallinnon Ldapista organisaation Ldapiin Jos Atik on Shibboleth Service Provider ja kevytkäyttäjähallinto on Shibboleth IDP, voidaan tarvittaessa hyödyntää IDP:n DataConnectorin FailOverDependency-optiota käyttäjän etsimiseen sekä kevytkäyttäjähallinnon että organisaation Ldaphakemistosta Openldap-hakemisto Skeematuki vähintään attribuuteille uid (käyttäjätunnus) cn (koko nimi muodossa etunimet sukunimi) userpassword (käyttäjän salasanatiiviste) käyttäjän roolit jos tieto on Atik-järjestelmästä saatavilla onko opinto-oikeutta voimassa tarkempia rooleja, esim. Virkailijastatus eduperson-roolit (esim. Vetuma 2.1 VTJ-kyselyn avulla): hetu sähköposti givenname (etunimet) sn (sukunimi) voimassaolon loppupvm luontipvm muut tarvittavat tiedot (rajaus Atikin ja käyttölupajärjestelmän välillä) Laskutus? opinnot/ilmoittautumiset? opinto-oikeuden pituus? Näitä tuskin tarvitaan käyttäjähallintosovelluksessa, paitsi jos halutaan käyttää niitä rooleina hienojakoiseen auktorisointiin Skeema laajennettavissa funeteduperson 2.0-ehdot täyttäväksi (ja täten Shibboleth-yhteensopivaksi)

3 Mahdollinen HAKA-luottamusverkostojäsenyys asettaa tiukkoja vaatimuksia käyttäjähallinnon prosesseille Mahdollisuus kahdentaa Openldap-palvelu vikasiedon/kuormantasauksen kannalta Toimii vähin katkoin ilmankin Mahdollisuus Shibboleth Identity Providerin asentamiseen Tarvitaan tuki Shibboleth-autentikointiin Rajapinta (Ldap v.3) jonka kautta TLS-/LDAPS-suojattu simple bind-tunnistus käyttäjätunnus menee (ainakin tilapäisesti) lukkoon liian monen epäonnistuneen yrityksen jälkeen yksittäisen käyttäjän tietojen haku (joissain rajatapauksissa on mahdollista sallia koko tietokannan haku Ldap-protokollan yli, tätä ei kuitenkaan suositella) esim. Käyttäjän roolin kysely teoriassa voitaisiin sallia käyttäjien luonti ja muokkaaminen Ldap-protokollan yli, ohi käyttölupa-automaatin, salasanaresetointi nämä kuitenkin parempi toteuttaa käyttäjähallintosovelluksen kautta Konfiguroitu tekstitiedostolla Lokitus säädettävissä, normaalisti ldap-operaation tarkkuudella Ldap-hakemiston monitorointi? (HY:llä esim. Big Sister, Smokeping, Logwatch..)

4 Kevytkäyttäjähallinto-automaatti J2EE5-alustalle (referenssisovelluspalvelimena Glassfish v2) Automaatti/automaatit joka huolehtii kerran vuorokaudessa vanhentuneiden käyttäjätunnusten poistosta/lukitsemisesta käyttäjätietokannan levylle dumppaamisen varmuuskopiointia varten On konfiguroitavissa tekstitiedostosta ldap-palvelimen ja ylläpitotunnuksen tiedot tuetut käyttäjätiedot käyttäjätunnuksen formaattifunktio/-luokka Periaatteessa kahdennettavissa sovelluspalvelinklusterilla Lokitus säädettävissä, monitorointi sovelluspalvelimella Rajapinta (WS-I Basic Profile 1.1 -web service) HTTPS-yhteyden yli, jonka kautta uusien käyttäjätunnusten luonti Ldapiin käyttäjätunnusten tietojen muokkaaminen roolin (opiskelija/ei-opiskelija) päivitys salasanan resetointi? käyttäjän/käyttäjien tietojen haku käyttäjän rooli(e)n kysely myös kaikki käyttäjät XML-dumppina synkronointitarpeita ajatellen Optiona Oodi-rajapinta (Web service, Oodin WS-määritelmien mukaan) seuraavien tietojen synkronointiin: opiskelijan vanhojen opiskelutietojen katselu ei ilmeisesti kuulu käyttäjähallintosovelluksen piiriin vaan Atikiin Optiona muu tarvittava organisaatiokohtainen integraatiorajapinta? REST, HTTPS POST? Tarvitaan tarkistuksia yliopiston käyttölupajärjestelmästä, onko käyttäjä jo siellä olemassa Optiona web-liittymä käyttäjätietojen ylläpitoon (liittyy tuotteen muihin käyttömahdollisuuksiin) tarpeita voi tulla myöhemmin virkailijaroolien ylläpito pitäisi olla hoidettavissa Atikin puolelta

5 oliko tämä toteutettava tällä puolella virkailijakäyttöliittymänä niitä henkilöitä varten jotka eivät kykene Vetuma-tunnistautumaan ilmeisesti se tulee Atikiin Omien käyttäjätietojen tarkistaminen web-lomakkeella -Atikin ominaisuus muokkausmahdollisuus myös Atikissa Optiona voi olla myös Vetuma-autentikointi-osion toteuttaminen Luvan luonti Salasanaresetointi Tunnistuksen edessä käyttämäärän valvonta Käyttäjä yrittää luoda tunnusta, jos tunnus jo olemassa ohjataan salasanaresetointiin Miniversio kevytkäyttäjähallinnosta ilman rajapintoja, käyttöliittymiä voisi olla cronissa pyörivä perl-skripti joka osaisi vain varmuuskopioinnin ja vanhentuneiden tunnusten poiston