HY:n kevytkäyttäjähallintosovellus ATIK-projektille Versio 1.6/ 5.3.2009 Ismo Aulaskari LDAP-autentikointia tukeva Openldap-käyttäjähakemisto Kevytkäyttäjähallinto-automaatti joka ylläpitäisi Openldapin käyttäjätietoja ja tarjoaisi kaksisuuntaisia rajapintoja ATIK-järjestelmälle ja yliopiston käyttäjähallinnolle Web-käyttöliittymä kevytkäyttäjähallintoautomaatille, sisältäen käyttätunnuksen luonnin ja salasanan resetoinnin VETUMA-pohjainen vahva tunnistus käyttäjän rekisteröinnissä ja salasanan uusimisessa Perustason käyttäjä- ja virkailijaroolien hallinta kevytkäyttäjähallintoautomaatissa Näiden asennettujen ohjelmistojen lähdekoodit Ohjelmistokokonaisuus on mahdollista asentaa Linux-palvelimelle tavallisena käyttäjänä ja ajaa tavallisen käyttäjän oikeuksin Dokumentaatio, sisältäen asennus- ja käyttöohjeet, jonka tarkkuutta ei ole määritelty mitenkään
ATIK WS-rajapinta -autentikoi -luo uusi -hae -muokkaa Rajapintoja - Web-liitymä -LDAP -massatuonti esim. Oodista tai käyttölupajärj estelmästä LDAP / SAML2 -autentikoi -hae käyttäjä Kevytkäyttäjähallintosovellus -Poista -Hae kaikki -Muokkaa Openldap / Shibboleth IDP Yliopiston autentikointijärjestelmä Linux-palvelin
Yhden tunnuksen politiikan toteuttaminen Ajateltu tässä versiossa tehdä niin että kaikki tunnistukset menevät Openldapin kautta, ja yliopiston tunnusten autentikointi ohjataan Openldapista yliopiston Radiukseen, LDAPiin tai muuhun toteutettavaan rajapintaan, käyttäen Openldapkotitekoinen perl-demoni-siltaa joka on HY:llä tuotantokäytössä Yliopiston olemassaolevista tunnuksista luodaan kopio ATIK-tietokantaan saman käyttäjän ATIK-tunnukseksi sitä mukaa kun käyttäjiä pyrkii ATIKiin, salasanoja ei synkronoida Osaako ATIK ohjata käyttäjän Openldapin kohtaan riippuen siitä onko kysessä yliopiston tunnus, vai toteutetaanko tuki tälle ohjaukselle Openldapiin? HY-integraatiohahmotelma Jälkimmäinen vaihtoehto mahdollistaa käyttäjähallinnon helpomman kytkennän ATIK-järjestelmään ja voidaan toteuttaa esim. LDAP-attribuutin joka jakaa käyttäjät ATIK-käyttäjiin ja yliopiston käyttäjiin avulla HY:n keskitetyn tunnistuksen vaativat palvelut ATIK Shibboleth LDAP Radius Atikkäyttäjähallinto AD Unix Opiskelijarekisteri HY IDM
Openldap-hakemisto Skeematuki vähintään attribuuteille uid (käyttäjätunnus) cn (koko nimi muodossa etunimet sukunimi) userpassword (käyttäjän salasanatiiviste, jos paikallinen salasana) käyttäjän roolit jos tieto on ATIK-järjestelmästä saatavilla onko opinto-oikeutta voimassa tarkempia rooleja, esim. Virkailijastatus eduperson-roolit (esim. VETUMA 2.1 VTJ-kyselyn avulla, tai käyttäjän itse syöttämänä): hetu sähköposti givenname (etunimet) sn (sukunimi) voimassaolon loppupvm luontipvm muut tarvittavat tiedot (rajaus Atikin ja käyttölupajärjestelmän välillä) Laskutus? opinnot/ilmoittautumiset? opinto-oikeuden pituus? Näitä tuskin tarvitaan käyttäjähallintosovelluksessa, paitsi jos halutaan käyttää niitä rooleina hienojakoiseen auktorisointiin Rajapinta (LDAP v.3) jonka kautta TLS-/LDAPS-suojattu simple bind-tunnistus käyttäjätunnus menee (ainakin tilapäisesti) lukkoon liian monen epäonnistuneen yrityksen jälkeen yksittäisen käyttäjän tietojen haku (joissain rajatapauksissa on mahdollista sallia koko tietokannan haku LDAP-protokollan yli, tätä ei kuitenkaan suositella) esim. Käyttäjän roolin kysely teoriassa voitaisiin sallia käyttäjien luonti ja muokkaaminen LDAP-protokollan yli, ohi käyttölupa-automaatin, salasanaresetointi nämä kuitenkin parempi toteuttaa käyttäjähallintosovelluksen kautta Konfiguroitu tekstitiedostoilla
Lokitus säädettävissä, normaalisti LDAP-operaation tarkkuudella LDAP-hakemiston monitorointi? (HY:llä esim. Big Sister, Smokeping, Logwatch..) Kevytkäyttäjähallinto-automaatti J2EE5-alustalle (referenssisovelluspalvelimena Glassfish v2) Automaatti/automaatit joka huolehtii kerran vuorokaudessa vanhentuneiden käyttäjätunnusten poistosta/lukitsemisesta käyttäjätietokannan levylle dumppaamisen varmuuskopiointia varten On konfiguroitavissa tekstitiedostoista LDAP-palvelimen ja ylläpitotunnuksen tiedot tuetut käyttäjätiedot käyttäjätunnuksen formaattifunktio/-luokka Periaatteessa kahdennettavissa sovelluspalvelinklusterilla Lokitus säädettävissä sovelluspalvelimella, monitorointi sovelluspalvelimella Rajapinta (WS-I Basic Profile 1.1 -web service) HTTPS-yhteyden yli, jonka kautta uusien käyttäjätunnusten luonti ATIKista LDAPiin käyttäjätunnusten tietojen muokkaaminen ATIK-järjestelmän opintotietojen perusteella roolin (opiskelija/ei-opiskelija, virkailija) päivitys käyttäjän/käyttäjien tietojen haku käyttäjän rooli(e)n kysely tarvittaessa myös kaikki käyttäjät XML-dumppina synkronointitarpeita ajatellen Web-liittymä käyttäjätietojen ylläpitoon (liittyy tuotteen muihin käyttömahdollisuuksiin) tarpeita voi tulla myöhemmin käyttäjät jotka eivät voi VETUMA-tunnistautua, rekisteröinti, tietojen muuttaminen? käyttäjä/virkailijaroolien ylläpito rooleja rajallinen, harvoin muuttuva joukko, joita kontrolloidaan kevytkäyttäjähallinnon puolella LDAPissa yksinkertaisuussyistä Käyttäjän rooleja säilytetään kevytkäyttäjähallinnon puolella ATIKkäyttäjäobjekteissa LDAPissa
käyttäjällä voi olla monta roolia roolien kysymiset/muuttamiset ws-rajapinnan kautta VETUMA-autentikointi-osion toteuttaminen Luvan luonti Openldapiin Salasanaresetointi (vain ATIK-tunnuksille, ei yliopiston) Tunnistuksia rajattu määrä/viikko/hetu/ip? Kirjautumiskäyttöliittymä tarjoaa vaihtoehdot: kirjautuminen yliopiston tunnuksilla kirjautuminen ATIK-tunnuksilla unohtunut tunnus/unohtunut salasana/uuden tunnuksen rekisteröinti Kun käyttäjä yrittää luoda tunnusta, jos ATIK-tunnus jo olemassa kerrotaan käyttäjälle käyttäjätunnus, jos ei muista ohjataan salasanaresetointiin Tarkistus onko käyttäjällä tunnusta kotiyliopistossa, henkilötunnuksen perusteella VETUMA-tunnistamisen jälkeen ei tarvitse luoda käyttäjälle sessiota ATIKjärjestelmään, vaan on ok että käyttäjä kirjautuu ATIKiin saatuaan VETUMAlla tunnuksen ja salasanan.
ATIK-käyttölupajärjestelmän prosessit (löyhä hahmotelma) Kevytkäyttäjähallinnon tarjoamat kutsutyypit ja vastaukset: Käyttäjä yrittää kirjautua(tunnus, salasana) ok palautetaan ok väärä tunnus tai salasana palautetaan epäonnistuminen, ATIKin tarjottava käyttäjälle linkit seuraaviin: Unohti tunnuksensa Tunnus olemassa(sukunimi, hetu) Unohti tunnuksensa Rekisteröidy Ei tunnusta Rekisteröidy Rekisteröidy(sukunimi, hetu) Unohti tunnuksensa VETUMA-tunnistus saadaan varmistettu hetu, Luodaan tunnus Unohti tunnuksensa palautetaan käyttäjätunnus, tarjotaan opastusta tunnuksista Käyttäjä yrittää kirjautua uudestaan tarjotaan Salasanan resetointia(vai lähettääkö atik lokaaleja salasanoja käyttäjälle?) Luodaan tunnus(varmennettu hetu, etunimi, sukunimi, rooli, voimassaolon loppupvm, mail?) palauttaa luodun käyttäjätunnuksen Tunnus olemassa(sukunimi,hetu) palauttaa tunnuksen tai ilmoituksen sen puuttumisesta Salasanan resetointi VETUMA-tunnistus varmennetulla hetulla etsitään käyttäjän tunnus, ja annetaan vaihtaa sen salasana Muokkaa tunnusta(tunnus, rooli, henkilötiedot) Poista tunnus(tunnus) Hae tunnuksia(hakusanat) Roolien kysely(tunnus)
Lisäominaisuuksia joita sovellukseen voi hankkia tulevaisuudessa Shibboleth Identity Provider ja HAKA-federaatiota tukeva tietosisältö(olisi hyvä jos ATIKjärjestelmä olisi Shibboleth Service Provider-suojattu) Skeema laajennettavissa funeteduperson 2.0-ehdot täyttäväksi (ja täten Shibbolethyhteensopivaksi) Mahdollinen HAKA-luottamusverkostojäsenyys asettaa tiukkoja vaatimuksia käyttäjähallinnon prosesseille Pitäisikö kevytkäyttäjähallinnon toimia myös Shibboleth Service Providerina jotta HAKAfederaation eri organisaatioden käyttäjät voisivat rekisteröityä olemassaolevilla tunnuksillaan? LDAPin kahdennus (Shibbolethin kahdennusta ei ole HY:llä testattu mutta teoriassa sekin on mahdollista) Kevytkäyttäjähallinnon www-littymän kahdennus onnistuu, jos kuorma käy yhdelle sovelluspalvelimelle liian raskaaksi Optiona muu tarvittava organisaatiokohtainen integraatiorajapinta? REST, HTTPS POST? Tarvitaan tarkistuksia yliopiston käyttölupajärjestelmästä, onko käyttäjä jo siellä olemassa Omien käyttäjätietojen tarkistaminen web-lomakkeella -Atikin ominaisuus(?) muokkausmahdollisuus myös Atikissa(?)
Rajapintakuvaus v. 1.0 / 5.3.2009 Ismo Aulaskari Miksi ATIKista erillinen kevytkäyttäjähallintosovellus? ATIK:in ja yliopistojen järjestelmien välille tarvitaan integraatiota 1. tarjouskilpailu ATIK-2.0-järjestelmästä epäonnistui koska yliopistot eivät kyenneet määrittelemään yhteistä integraatiorajapintaa Atikiin ja toimittajat hinnoittelivat useiden eri integraatiovaihtoehtojen toteuttamisen, sekä käyttäjien tunnistukseen ja käyttäjähallintoon (vahva verkkotunnistus, salasana- ja roolihallinto) liittyvät toiminnot liian kalliiksi tämän takia ryhdyttiin suunnittelemaan yhtä standardoitua integraatiorajapintaa jota tarjota toimittajille ja toteuttaa sen yliopistopuoli eri integraatioineen halvemmalla HY:n projektina kaikkien käyttöön Yliopistojenvälisen yhteisen käyttäjähallinnon toteuttamisen syy potentiaaliset kustannushyödyt, ylläpidossa ja Tupas/VETUMA-sopimuksissa HY itse aikoo käyttää kevytkäyttäjähallintoa sopivalla tavalla olemassaolevaan käyttäjähallintoonsa integroituna, ei sen korvaajana merkittävä osa koodipohjasta on jo tehty ja tuotantokäytössä Teatterikorkeakoulun HAKA-käyttäjähallintona yhteistoiminta kustannussyistä oli ATIK 2.0-projektin kantava idea Kevytkäyttäjähallintotuotteessa oma tunnusvarasto ja käyttäjähallintotoiminnot jotta voidaan säilyttää ATIK-tunnuksia jossain silloin kun yliopiston käyttäjähallintoon ei pääse kuin opiskelijarekisterin kautta Atikissa luodaan tunnuksia jo ennen käyttäjien ilmoittautumista kursseille, kurssi-ilmoittautumiset kirjataan opiskelijarekisteriin kuka tahansa kadunmies voi luoda tunnuksen eli niitä on potentiaalisesti paljon yliopistojen ei tarvitse välttämättä antaa Atikille pääsyä yliopiston käyttäjähallintoon/opiskelijarekisteriin Samalla voitaisiin tarjota kevyttunnushallinto sitä tarvitseville Tarkoitus olisi tarjota integraatiorajapintoja myös kevytkäyttäjähallinnolle tulleitten kutsujen välittämiseen yliopiston järjestelmille Kevytkäyttäjähallinnon lokaalit tunnukset voidaan myös verkkotasolla pitää erossa esim. lisenssoiduista aineistoista ATIKin ja kevytkäyttäjähallinnon välinen rajapinta (tätä pitää tarkentaa toimittajan kanssa neuvottelemalla) Web service-rajapinta, esim. WS-I Basic Profile 1.1 -web service HTTPS-yhteyden yli Toteutettava turvallisesti ja avoimia standardeja hyödyntäen(jotta myös kilpailevat käyttäjähallintosovellukset pystyvät ATIKiin kytkeytymään) Virhetilanteet määriteltävä Palvelujen välinen tunnistus määriteltävä
Kutsut (ATIK kutsuu kevytkäyttäjähallintoa): autentikoi(käyttäjätunnus, salasana) palauttaa totuusarvon onnistumisesta luo uusi käyttäjätunnus(etunimi, sukunimi?) palauttaa henkilötunnuksen hae käyttäjä(hakusana(t)) palauttaa sovitussa formaatissa käyttäjäobjektin jos löytyy muokkaa(ainakin opiskelijaroolin muokkauspyynnöt) palauttaa totuusarvon onnistumisesta Muut käyttäjätiedon muutokset hoidetaan kevytkäyttäjähallinnon web-liittymällä virkailijan toimesta paitsi salasanaresetointi myös käyttäjän toimesta.