eduGAIN

Qu’est-ce que eduGAIN ?

Chaque membre de la fédération R&E de Belnet est automatiquement intégré à eduGAIN, le projet d’interfédération transcontinental développé par Géant (le réseau paneuropéen de R&E) pour bénéficier des services offerts par d’autres fédérations partout dans le monde. Si vous êtes un fournisseur de services, vous pouvez également mettre les services de votre organisation à la disposition d’eduGAIN.

eduGAIN interconnecte les fédérations d’identité du monde entier, simplifiant l’accès aux contenus, services et ressources pour la communauté mondiale de la recherche et de l’enseignement.

eduGAIN permet des échanges fiables d’informations relatives à l’identité, à l’authentification et à l’autorisation (AAI) en coordonnant les éléments de l’infrastructure technique des fédérations et en fournissant un cadre politique régissant ces échanges d’informations.

Vous pouvez consulter la liste des participants à eduGAIN sur le site web d’eduGAIN ici.

Admin FAQ:

Quels sont les avantages de l’adhésion à eduGAIN ?
Les IdP et SP sont-ils automatiquement intégrés à eduGAIN ?
Quels sont les coûts ?

Technical FAQ

Comment rejoindre eduGAIN ?

Comment faire, sur le plan technique, pour rejoindre eduGAIN ?
Comment rejoindre eduGAIN ?
Comment rejoindre eduGAIN en tant qu’IdP (Identity Provider) ?
Comment rejoindre eduGAIN en tant que SP (fournisseur de services) ?

Liens utiles:

Vous avez besoin de plus d’informations techniques ?

Quels sont les avantages de l’adhésion à eduGAIN ?

Les fédérations connectées apportent des avantages à leurs membres, IdP et SP. À leur tour, les SP peuvent proposer des services potentiellement intéressants pour tout le monde.

Les IdP et SP sont-ils automatiquement intégrés à eduGAIN ?

Non. Une demande en ce sens doit être introduite auprès de Belnet. Voir le schéma sur la structure d’eduGAIN.

Quels sont les coûts ?

Il n’y en a pas ! Ce service est gratuit pour tous les membres.

Comment faire, sur le plan technique, pour rejoindre eduGAIN ?

Dans la plupart des cas, vous devrez ajouter certaines informations à vos fichiers de configuration Shibboleth.

Comment rejoindre eduGAIN ?

Metadata registration practice statement	
Federation name: Belnet Federation
Federation operator: Belnet, Belgium
Federation web page: http://federation.belnet.be

Date of last change: 27 March 2012


Common practices
----------------
The IdPs are Belnet's customers from R&E community,
excluding a administrations and ministries of all levels.
The SP are any companies that offers a service or content that fulfils the
needs of Belnet's R&E community members, respecting the defined policy.

All IdP and SP's administrators connect via https and authenticate
via Belnet Customer's AAI system with regard to the Belnet Federation's metadata manager [1], 
where the original information gets checked and stored in the metadata 
manager's database.  It is later used for generating the Belnet federation's 
metadata.

In addition, before the federation operator publishes metadata dedicated to
interfederation, an institution has first to declare that its
processes are ready for interfederation. Only then will, its IdP and SP
administrators be able to declare that their respective entity is
also technically ready to participate in interfederation.


IdP registration practices
--------------------------
An IdP registering with the federation needs to be manually approved by a team 
member of the federation operator.
Such approval requires:
- a completed membership service agreement signed by an official 
  representative(s) of the newly participating institution;
- elements and attributes to be registered using use a domain name of 
  that institution.

The administrators appointed specifically by that institution will receive
access to the metadata manager service where they can upload the metadata
of the their IdP.

After approval, the federation operator publishes and maintains the 
federation's metadata.

Subsequent changes to these elements and attributes do not require
re-approval by the federation operator. Only, administrators appointed
specifically by that institution can modify the IdP specific information.

For interfederation, the entity must ask the federation operator to publish it 
for participation in eduGAIN.


SP registration practices
-------------------------
Each SP must be manually approved by a team member of the federation operator
 in order to be registered with the federation.
Such approval requires:
- a completed membership service agreement signed by an official 
  representative(s) of the newly participating service provider;
- elements and attributes to be registered using a domain name of 
  that SP.

The administrators appointed specifically by that SP will then receive
access to the Metadata Manager service where they can upload the metadata
of the their SP.

After approval, the federation operator publishes and maintains the 
federation's metadata.

Subsequent changes to these elements and attributes do not require
re-approval by the federation operator. Only, administrators appointed
specifically appointed by that SP can modify the SP specific information.

For interfederation, the entity must ask the federation operator to publish it 
for participation in eduGAIN.


Practices regarding metadata modifications
------------------------------------------
In the Belnet Federation, no metadata are modified because the federation operator
generates them on behalf of all entities acquired through the metadata manager 
service.

The source for generating federation metadata is the metadata manager database. 
The details of a registering entity are entered by each IdP/SP administrator 
providing the necessary metadata. A wizard will parse provided 
entity metadata to check the SAML2 syntax and the required content.

The IdP/SP administrator also has to supply non-technical information such as 
descriptions or support contacts. All technical and non-technical information 
is stored on a customer database. This information will be used to generates
the access credentials for the metadata manager system.


[1] https://federation.belnet.be/re/md-mgmt/

Comment rejoindre eduGAIN en tant qu’IdP (Identity Provider) ?

Pour rejoindre la fédération eduGAIN :

1) Contactez le Belnet Service Desk à l’adresse servicedesk@belnet.be (si vous êtes déjà client, n’oubliez pas votre acronyme). Le Service Desk vous mettra en contact avec notre équipe Relations Clientèle. L’Account Manager vous demandera de remplir, de signer et de nous renvoyer le contrat.

2) Vous devez modifier votre configuration IdP Shibboleth.

2.1) Dans [shibboleth directory]/conf/relying-party.xml, vous devez accepter de recevoir des métadonnées du service eduGAIN. Vous devez donc ajouter les lignes suivantes, comme dans l’exemple ci-dessous :

<metadata:MetadataProvider id="ShibbolethMetadata"  xsi:type="metadata:ChainingMetadataProvider"  xmlns="urn:mace:shibboleth:2.0:metadata">
 ...
         <!-- *******  eduGAIN Federation ******* -->
         <metadata:MetadataProvider id="URLMD4" xsi:type="metadata:FileBackedHTTPMetadataProvider"
                                    xmlns="urn:mace:shibboleth:2.0:metadata"
                                    metadataURL="http://mds.edugain.org"
                                    backingFile="/opt/shibboleth-idp/metadata/mds.edugain.org.xml" >
           <!-- Using chaining filter to allow us multiple filters to be added -->
            <metadata:MetadataFilter xsi:type="ChainingFilter" xmlns="urn:mace:shibboleth:2.0:metadata">
             <!-- Ensure the metadata has a reasonable (1 week) validity period. -->
             <!--  <metadata:MetadataFilter xsi:type="RequiredValidUntil" xmlns="urn:mace:shibboleth:2.0:metadata"
                             maxValidityInterval="P9D" /> -->
             <!--
                 Ensure metadata is signed and use the 'shibboleth.MetadataTrustEngine'
                 to determine its trustworthiness
             -->
               <metadata:MetadataFilter xsi:type="SignatureValidation" xmlns="urn:mace:shibboleth:2.0:metadata"
                             trustEngineRef="eduGAIN.MetadataTrustEngine"
                             requireSignedMetadata="true" />
            </metadata:MetadataFilter>
         </metadata:MetadataProvider>
 ...

Un peu plus loin dans le fichier, les lignes suivantes doivent être incluses afin de vérifier la validité de la signature des données eduGAIN:

...
     <!-- Trust engine used to evaluate the signature on loaded metadata. -->
     <security:TrustEngine id="eduGAIN.MetadataTrustEngine" xsi:type="security:StaticExplicitKeySignature">
         <security:Credential id="eduGAINCredentials" xsi:type="security:X509Filesystem">
             <security:Certificate>/opt/shibboleth-idp/credentials/edugain-mds.cer</security:Certificate>
         </security:Credential>
     </security:TrustEngine>
 ...

2.2) Vous devez télécharger le certificat permettant de signer les métadonnées d’eduGAIN :

Lien vers le certificat de signature d’eduGAIN pour valider la signature des métadonnées

Installez-le dans le répertoire [shibboleth directory]/credentials/ comme spécifié dans votre configuration relying-party.xml.

3) Pour être entièrement conforme aux exigences d’eduGAIN, vous devez modifier les métadonnées de votre IdP pour inclure les sections suivantes (à ajouter dans la section :

   xmlns:mdrpi="urn:oasis:names:tc:SAML:metadata:rpi"
   xmlns:mdui="urn:oasis:names:tc:SAML:metadata:ui"

   Right after the <EntityDescriptor> part, the following part needs to be included:
        <Extensions>
            <mdrpi:RegistrationInfo registrationAuthority="http://federation.belnet.be/" registrationInstant="2012-03-27T12:00:00Z">
              <mdrpi:RegistrationPolicy xml:lang="en">http://federation.belnet.be/files/Belnet-metadata-registration-practice-statement.txt</mdrpi:RegistrationPolicy>
            </mdrpi:RegistrationInfo>
        </Extensions>
        
   In the <IDPSSODescriptor> part, the following needs to be present:

        <Extensions>
            <shibmd:Scope regexp="false" xmlns:shibmd="urn:mace:shibboleth:metadata:1.0">[YOUR DOMAIN]</shibmd:Scope>
             <mdui:UIInfo xmlns:mdui="urn:oasis:names:tc:SAML:metadata:ui">
                <mdui:DisplayName xml:lang="en">[YOUR INSTITUTION]</mdui:DisplayName>
                <mdui:Description xml:lang="en">[SMALL DESCRIPTION OF YOUR INSTITUTION]</mdui:Description>
                <mdui:Logo height="16" width="16">https://anyurlwithyourlogoaccessible/yoursmalllogo.png</mdui:Logo>
                <mdui:Logo height="75" width="153">https://anyurlwithyourlogoaccessible/yourbiglogo.png</mdui:Logo>

                               </mdui:UIInfo>
                                <mdui:DiscoHints xmlns:mdui="urn:oasis:names:tc:SAML:metadata:ui">
                                        <mdui:IPHint>[the IPv4 range you are using 193.190.x.y/mm</mdui:IPHint>
                                        <mdui:IPHint>2001:6a8:[your  IPV6 range]::/64</mdui:IPHint>
                                        <mdui:DomainHint>[YOUR DOMAIN]</mdui:DomainHint>
                                        <mdui:GeolocationHint>[YOUR GEO COORDINATES in format like geo:50.825312,4.365471]</mdui:GeolocationHint>
                                </mdui:DiscoHints>
        </Extensions>

Le mdui : Logo n’est pas obligatoire, mais il est attrayant lorsqu’il est affiché dans le service de découverte d’eduGAIN, à côté de celui de votre institution (ce service de découverte s’appelle discojuice).
Attention : dans les versions précédentes, il nous était demandé de mettre un logo intégré base64 dans les balises , mais la taille des métadonnées agrégées n’a cessé d’augmenter depuis. Les logos doivent désormais être fournis sous la forme d’une URL HTTPS et des recommandations ont été formulées concernant les tailles maximales (voir https://wiki.shibboleth.net/confluence/display/SHIB2/IdPMDUIRecommendations pour plus d'information).

4) À la réception de votre lettre, nous publierons vos métadonnées sur la liste de métadonnées eduGAIN de Belnet, qui sera intégrée aux métadonnées eduGAIN globales.

Comment rejoindre eduGAIN en tant que SP (fournisseur de services) ?

  • Pour adhérer à la fédération eduGAIN, contactez le Belnet Service Desk à l’adresse servicedesk@belnet.be (si vous êtes déjà client, n’oubliez pas votre acronyme). Le Service Desk vous mettra en contact avec notre Customer Relations Team.
  • L’Account Manager vous demandera de remplir, de signer et de renvoyer le contrat.
  • À sa réception, nous publierons vos métadonnées sur la liste de métadonnées eduGAIN de Belnet, qui sera intégrée aux métadonnées eduGAIN globales.

Vous avez besoin de plus d’informations techniques et de liens utiles ?

eduGAIN website
Fichier XML de métadonnées - participants Belnet à eduGAIN
Déclarations sur les pratiques d’enregistrement des métadonnées d’eduGAIN
Certificat de signature d’eduGAIN pour valider la signature des métadonnées

Avez-vous trouvé ce FAQ utile?

Copyright © 2021 Belnet.