Workshop der Mitarbeiter der EDV-Abteilungen der wissenschaftlichen Bibliotheken in Thüringen am 09. Mai 2007, Erfur

Kinstler, Till

Digitale Bibliothek Thüringen

09.05.07  Verbundzentrale des GBV (VZG)Till Kinstler / Digitale Bibliothek1                    ShibbolethVZG09.05.07  Verbundzentrale des GBV (VZG)Till Kinstler / Digitale Bibliothek2                    ShibbolethVZG Peter Steiner, in: New Yorker, Vol.69 (LXIX), No. 20, July 5, 1993, S. 6109.05.07  Verbundzentrale des GBV (VZG)Till Kinstler / Digitale Bibliothek3                    ShibbolethVZGShibboleth: Überblick•Shibboleth: Wozu?•Was ist das?•Wie funktioniert das?•Was nützt das?•Föderationen•Anwendungsbeispiel: Nationallizenzen09.05.07  Verbundzentrale des GBV (VZG)Till Kinstler / Digitale Bibliothek4                    ShibbolethVZGShibboleth: Wozu?Es gibt Bedarf für Authentifizierung und Autorisierung über Einrichtungsgrenzen hinwegBeispiele:•Geldautomat bei fremder Bank•Mobiltelefon im Ausland•Benutzung des WLANs an fremder Uni•Recherche in lizensiertem Angebot eines kommerziellen Anbieters09.05.07  Verbundzentrale des GBV (VZG)Till Kinstler / Digitale Bibliothek5                    ShibbolethVZGShibboleth: Was ist das?• Einrichtungsübergreifender SSO-Dienst• „nur“ für Webdienste (HTTP mit Webbrowser)• Setzt funktionierendes Identity Management vorraus (ist kein „IdM-System“!, aber eine tolle Erweiterung dafür)• Open Source (Apache Software License 2.0)• Middleware (es gibt nichts zu sehen)• basiert auf SAML• Entwickelt vom Internet2 Konsortium09.05.07  Verbundzentrale des GBV (VZG)Till Kinstler / Digitale Bibliothek6                    ShibbolethVZGShibbolethAltes Testament,Buch Richter, Kapitel 12, Vers 5ff: “Und die Gileaditer nahmen ein die Furt des Jordans vor Ephraim. Wenn nun sprachen die Flüchtigen Ephraims: Laß mich hinübergehen, so sprachen die Männer von Gilead zu ihm: Bist du ein Ephraiter? Wenn er dann antwortete: Nein, so hießen sie ihn sprechen: Schiboleth, so sprach er: Siboleth, und konnte es nicht recht reden. So griffen sie ihn und schlugen ihn an der Furt des Jordans, daß zu der Zeit von Ephraim fielen zweiundvierzigtausend.“09.05.07  Verbundzentrale des GBV (VZG)Till Kinstler / Digitale Bibliothek7                    ShibbolethVZGSzenario: Verteilte Authentifizierung und AutorisierungBenutzerverwaltung:Identity Provider (IdP)Diensteanbieter:Service Provider (SP)AuthentifizierungAutorisierung8VZGInformationsfluss mit ShibbolethHeimateinrichtungBenutzerAnbieter Benutzer bekannt?(1)(4)(5) Benutzer berechtigt?(6)(7)(8)gestattetverweigertZugriff(9)janeinjaneinLokalisierungsdienst(2)(3)Folie: verändert nach  Ato Rupper, UB Freiburg, 200609.05.07  Verbundzentrale des GBV (VZG)Till Kinstler / Digitale Bibliothek9                    ShibbolethVZGShibboleth: VorteileQuelle: http://www.switch.ch/aai/about/09.05.07  Verbundzentrale des GBV (VZG)Till Kinstler / Digitale Bibliothek10                    ShibbolethVZGVorteile für Nutzer• nur noch eine digitale Identität• SSO• Zugriff unabhängig vom Aufenthaltsort/IP-Adressen• Transparenz (wo sind meine Daten?)• Benutzer kann ggf. selbst bestimmen, welche Daten weitergegeben werden („Visitenkartenmodell“)09.05.07  Verbundzentrale des GBV (VZG)Till Kinstler / Digitale Bibliothek11                    ShibbolethVZGVorteile für „Einrichtungen“/IdP (z.B. Bibliothek oder Uni)• Einfache Integration in bestehendes Identity Management• Kein zusätzlicher Aufwand beim Anbieten neuer Dienste (Pflege von IP-Adressen, Verwaltung von Zugangsdaten, Einrichten von Benutzeraccounts...)• Bessere Angebote für Nutzer: ortsunabhängige Dienste, Datenschutz...09.05.07  Verbundzentrale des GBV (VZG)Till Kinstler / Digitale Bibliothek12                    ShibbolethVZGVorteile für Dienstanbieter/SP• Keine Verwaltung von Zugangs- und Benutzerdaten mehr• Kontrolle der Nutzungsbefugnis (Autorisierung) anhand definierter Merkmale09.05.07  Verbundzentrale des GBV (VZG)Till Kinstler / Digitale Bibliothek13                    ShibbolethVZGGrundlagen für den Einsatz von Shibboleth• Vertrauen• Verträge• Verschlüsselung09.05.07  Verbundzentrale des GBV (VZG)Till Kinstler / Digitale Bibliothek14                    ShibbolethVZGBeziehungsgeflecht09.05.07  Verbundzentrale des GBV (VZG)Till Kinstler / Digitale Bibliothek15                    ShibbolethVZGFöderationenvertraglicher, organisatorischer und technischer Rahmen für verteiltes Identity Management mit ShibbolethQuelle Grafik: http://www.switch.ch/aai/about/federation/09.05.07  Verbundzentrale des GBV (VZG)Till Kinstler / Digitale Bibliothek16                    ShibbolethVZGFöderationen• Zusammenschluss von Identity Providern und Service Providern auf Grundlage von Vereinbarungen• Durch vertragliche Fixierung der Vereinbarungen wird Vertrauen rechtlich abgesichert09.05.07  Verbundzentrale des GBV (VZG)Till Kinstler / Digitale Bibliothek17                    ShibbolethVZGAufgaben einer Föderation• Festlegung organisatorischer Rahmenbedingungen• Festlegung technischer Rahmenbedingungen• Überprüfung der Einhaltung der Bedingungen zur Teilnahme• ggf. Betrieb eines WAYF-Dienstes09.05.07  Verbundzentrale des GBV (VZG)Till Kinstler / Digitale Bibliothek18                    ShibbolethVZGAnwendungsbeispiel: NationallizenzenSzenario:• Viele Angebote von unterschiedlichen Anbietern• Nutzer aus vielen unterschiedlichen Einrichtungen• Nutzer, die keiner Einrichtung angehören (sogenannte Einzelnutzer)09.05.07  Verbundzentrale des GBV (VZG)Till Kinstler / Digitale Bibliothek19                    ShibbolethVZGAnwendungsbeispiel: Nationallizenzen• Verbundzentrale betreibt Registrierungssystem für Institutionen• Zugriffsberechtigte Einrichtungen registrieren IP-Adressen, Angehörige dieser Einrichtungen können aus diesen IP-Bereichen auf Angebote zugreifen• Problem Einzelnutzer: keine festen IP-Adressen• Adhoc-Lösung: Zugriff über verschiedene Proxies bei Verhandlungsführern, mehrmalige Registrierung, mehrere Logins, Intransparenz...09.05.07  Verbundzentrale des GBV (VZG)Till Kinstler / Digitale Bibliothek20                    ShibbolethVZGAnwendungsbeispiel: NationallizenzenLösung:• Registrierung der Einzelnutzer einmalig über System der VZG• Benutzerdaten bilden eine Virtual Home Organization (VHO)• VHO als Identity Provider für Shibboleth• Übergangslösung: EZproxy zum Zugriff auf lizensierte Angebote bei der VZG als Shibboleth Service Provider (solange Angebote nicht Shibboleth-tauglich)

Shibboleth

https://www.db-thueringen.de/servlets/MCRFileNodeServlet/dbt_derivate_00011287/shib_erfurt.pdf

Shibboleth

Abstract

Similar works

Full text

Available Versions

Digitale Bibliothek Thüringen