1. Käyttäjätietokannan ja perusrekistereiden kytkentä

Transkriptio

1 Kotiorganisaation käyttäjähallinnon kuvaus Versio Tekijä Päiväys 0.1 Timo Leipold Timo Leipold Timo Leipold Timo Leipold Timo Leipold Tässä dokumentissa ollaan kiinnostuneita käyttäjätietokannan ja sen tietojen ajantasaisuuden toteutuksen yleisistä periaatteista sellaisella tasolla, joka antaa riittävät tiedot käyttäjätietojen laadun ja ajantasaisuuden arvioimiseksi. Kotiorganisaatio asettaa tämän dokumentin www:hen kaikkien saataville ja päivittää sitä omaaloitteisesti, kun muutoksia tulee. Dokumentti linkitetään Haka-infrastruktuurin kotisivulta. Tässä dokumentissa käyttäjätietokannalla tarkoitetaan sitä loppukäyttäjien attribuuttien joukkoa, johon organisaation Identity Provider-palvelin tukeutuu. Käyttäjätietokannan tekninen toteutus voi olla esim. LDAP-hakemisto tai relaatiotietokanta, tai niiden yhdistelmä niin, että Identity Provider - palvelin noutaa osan attribuuteista LDAP-hakemistosta ja osan JDBC:n yli opiskelijarekisteristä. 1. Käyttäjätietokannan ja perusrekistereiden kytkentä 1.1. Opiskelijarekisteri Lähtöoletuksena on, että opiskelijarekisterin henkilötiedot ovat ajantasalla. Miten käyttäjätietokanta on kytketty opiskelijarekisteriin? Opiskelijarekisterinä toimii Winhan relaatiotietokanta, josta tiedot päivitetään eräajolla kerran käyttäjähakemistoon Uusi opiskelija Miten uuden opiskelijan tiedot päivittyvät opiskelijarekisteristä käyttäjätietokantaan? Uuden opiskelijan tiedot siirtyvät päivittäin opiskelijarekisteristä käyttäjätietokantaan. Käyttäjähakemistoon muodostuu mm. käyttäjätunnus, salasana, sähköpostiosoite. Koska uusi opiskelija saa käyttäjätunnuksen/opiskelijaroolin? Uusi opiskelija saa käyttäjätunnuksensa opintojen alussa. Mitä tunnukselle tapahtuu, jos uusi opiskelija ei ota opiskelupaikkaa vastaan, tai ottaa paikan vastaan mutta ilmoittautuu poissaolevaksi?

2 Mikäli opiskelija ei ota paikkaa vastaan hänelle ei luoda tunnusta. Poissaolevaksi ilmoittautuvan opiskelijan tunnus pysyy toiminnassa Opiskelijan tiedoissa tapahtuu muutos Miten opiskelijan muuttuneet tiedot päivittyvät opiskelijarekisteristä käyttäjätietokantaan? Opiskelijan muuttuneet tiedot päivitetään opiskelijarekisteristä automaattisesti kerran Opiskelija lakkaa olemasta opiskelija Koska organisaatio (esim. opintoasiainhallinto) katsoo, että opiskelija lakkaa olemasta opiskelija a) sen jälkeen kun opiskelija valmistuu? Opiskelija kirjataan valmistumispäivänä opiskelijarekisteriin valmistuneeksi. b) sen jälkeen kun lukukausi vaihtuu, ja opiskelija ei ole ilmoittautunut läsnäolevaksi? Opiskelija kirjataan opiskelijarekisteriin eronneeksi. c) sen jälkeen kun opiskelija ilmoittaa keskeyttävänsä opinnot? Opiskelija kirjataan opiskelijarekisteriin eronneeksi. Kuinka kauan ylläolevien tapahtumien jälkeen kestää, että organisaatio (esim. tietohallinto) sulkee opiskelijan käyttäjätunnuksen tai poistaa opiskelijaroolin? Tunnus sulkeutuu automaattisesti kirjausta seuraavana päivänä. Tunnus jää vielä 90 päivän ajaksi karanntteeniin Henkilökuntarekisteri Vastaavasti kuin edellä. Henkilökuntarekisteristä tiedot päivitetään eräajolla kerran käyttäjähakemistoon Uusi työntekijä Uuden työntekijän tiedot siirtyvät päivittäin henkilökuntarekisteristä käyttäjätietokantaan. Käyttäjähakemistoon muodostuu mm. käyttäjätunnus, salasana, sähköpostiosoite. Uusi työntekijä saa käyttäjätunnuksensa työsuhteen alettua Työntekijän tiedoissa tapahtuu muutos Työntekijän muuttuneet tiedot päivitetään henkilökuntarekisteristä automaattisesti kerran vuorkaudessa käyttäjähakemistoon.

3 Työntekijä lakkaa olemasta työntekijä Henkilöstösitheeri kirjaa työntekijän henkilökuntarekisteriin eronneeksi. Tunnus sulkeutuu automaattisesti kirjausta seuraavana päivänä. Tunnus jää vielä 90 päivän ajaksi karanntteeniin Muut käyttäjät ja heidän henkilötietojensa ajantasaisuus Onko organisaatiossa vielä jotain muita käyttäjiä, joilla on käyttäjätunnus ja jotka voivat kirjautua Identity Provider -palvelimen kautta Haka-infrastruktuurin palveluihin (Suomen Akatemian tutkijat? Ravintolahenkilökunta? Siviilipalvelusmiehet? Dosentit? Alumnit? Emeritukset? Kirjaston asiakkaat?). Minkälainen haku- ja hyväksymismenettely näihin tunnuksiin liittyy? Miten heidän käyttäjätietojensa ajantasaisuus ja sulkeutuminen/roolitiedon päivittyminen on varmistettu? Ulkopuoliset kirjataan Laureassa henkilökunnan järjestelmään, ulkopuolisten tunnusten vahvistamisesta vastaa yleensä toimipistejohtajat. Sellaiset käyttäjät, jotka eivät ole luonnollisia henkilöitä (esim. ainejärjestöt), eivät ole myöskään Haka-infrastruktuurin tarkoittamia loppukäyttäjiä, eikä heidän kirjautumistaan Identity Provider - palvelimen kautta palveluihin tule sallia. 2. Henkilöllisyyden todentaminen 2.1. Käyttäjätunnuksen antamisen yhteydessä Millä tavalla uuden käyttäjän henkilöllisyys todennetaan, kun hänelle annetaan käyttäjätunnus? Salasanan luovuttaja todentaa henkilön henkilöllisyyden kuvallisesta viranomaisten hyväksymästä henkilötodistuksesta tai vastaavalla menetelmällä salasanojen luovutuksen yhteydessä Kun käyttäjä kirjautuu käyttäjätunnuksensa avulla Salasanatodennukseen liittyvät laatuvaatimukset. Mahdolliset käytettävissä olevat salasanaa tukevammat autentikointimenetelmät. Salasanassa tulee olla 8 merkkiä. Salasanan tulee sisältää vähintään kolmea eri merkkityyppiä seuraavista neljästä: pienet kirjaimet, isot kirjaimet, numerot, tietyt erikoismerkit. Salasanan muuttaminen on estetty mikäli ehdot eivät täyty. Salasanoilla on 120 päivän pakotettu vaihtoväli. 3. Käyttäjätietokannassa saatavilla olevat tiedot Lisätietoja funeteduperson-skeemasta (ver 2.0) on täällä. Rasti kohtaan "Saatavuus", jos kyseinen henkilötieto on ajantasalla ja siten saatavilla Identity Provider -palvelimen yli. Kohtaan "Miten ajantasaisuus turvataan" esimerkiksi viittaus luvun 1. järjestelmiin.

4 Jos organisaatiolla on omia (ei siis funetedupersonin mukaisia) attribuutteja, jotka näkyvät ulospäin Identity Provider-palvelimesta, lisää ne taulukon loppuun. Tarvittaessa linkki dokumenttiin, joka tarkemmin kuvailee omien attribuuttien skeeman. Attribuutti Saatavuus Miten ajantasaisuus turvataan cn / commonname X rekistereistä kerran description displayname X rekistereistä kerran employeenumber facsimiletelephonenumber givenname X rekistereistä kerran homephone homepostaladdress jpegphoto l / localityname labeleduri mail X rekistereistä kerran mobile o / organizationname ou / organizationalunitname postaladdress postalcode preferredlanguage seealso sn / surname X rekistereistä kerran street telephonenumber title uid usercertificate edupersonaffiliation X rekistereistä kerran Muuta (esim. tulkintaohje) staff, student

5 edupersonentitlement edupersonnickname edupersonorgdn edupersonorgunitdn edupersonprimaryaffiliation X rekistereistä kerran edupersonprimaryorgunitdn edupersonprincipalname X rekistereistä kerran edupersonscopedaddiliation edupersontargetedid schacmothertongue schacgender schacdateofbirth schacplaceofbirth schaccountryofcitizenship schachomeorganization X vakio laurea.fi schachomeorganizationtype X vakio polytechnic schaccountryofresidence schacuserpresenceid schacpersonaluniquecode schacpersonaluniqueid schacuserstatus funetedupersonhomeorganization funetedupersonstudentid funetedupersonidentitycode funetedupersondateofbirth funetedupersontargetdegreeuniversity funetedupersontargetdegreepolytech funetedupersontargetdegree funetedupersoneducationalprogramuniv funetedupersoneducationalprogrampolytech funetedupersonprogram X rekistereistä kerran funetedupersonmajoruniv

6 funetedupersonorientationalternpolytech funetedupersonspecialisation funetedupersonstudystart funetedupersonprimarystudystart funetedupersonstudytoend funetedupersonprimarystudytoend funetedupersoncreditunits funetedupersonects funetedupersonstudentcategory funetedupersonstudentstatus funetedupersonstudentunion funetedupersonhomecity funetedupersoneppntimestamp Mikä arvo on käytössä? 4. Muuta 4.1. Kardinaliteetit Yksi henkilöllisyys per tosielämän käyttäjä, vai Yksi henkilöllisyys per rooli (esim. opiskelija-työntekijällä kaksi käyttäjätunnusta)? Yksi henkilöllisyys per rooli EduPersonPrincipalNamen revokointi ja kierrätys Voiko edupersonprincipalname vaihtua? Käyttäjätunnusta ei muuteta. Käyttäjä luopuu vanhasta tunnuksesta ja käyttäjälle luodaan uusi tunnus. Millä tavalla organisaatio kierrättää vapautuneita edupersonprincipalname-arvoja? Käyttäjätunnusta eli edupersonprincipalnamea ei kierrätetä.