eduGAIN

Wat is eduGAIN?

Elk lid van de Belnet R&E Federation wordt automatisch opgenomen in eduGAIN, het transcontinentale interfederatieproject dat ontwikkeld is door Géant GÉANT (het pan-Europese onderzoeks- en onderwijsnetwerk) om gebruik te maken van de diensten die aangeboden worden door andere federaties uit de hele wereld. Als u een service provider bent, kunt u uw organisatiediensten ook beschikbaar stellen voor eduGAIN.

eduGAIN verbindt identiteitsfederaties over de hele wereld met elkaar en vereenvoudigt de toegang tot content, diensten en bronnen voor de wereldwijde onderzoeks- en onderwijscommunity.

eduGAIN maakt het mogelijk om identiteits-, authenticatie- en autorisatiegegevens (IAA) betrouwbaar uit te wisselen door elementen van de technische infrastructuur van de federatie te coördineren en een beleidsframework te bieden dat deze informatie-uitwisseling reguleert.

Hier kunt u de lijst met eduGAIN-deelnemers op de eduGAIN-website bekijken hier.

Admin FAQ:

Wat zijn de voordelen van deel uitmaken van eduGAIN?
Worden IdP's/SP's automatisch in eduGAIN opgenomen?
Wat zijn de kosten?

Technical FAQ

Hoe deel te nemen?

Wat heb ik op technisch vlak nodig om me aan te sluiten bij eduGAIN?
Hoe sluit ik me aan bij eduGAIN?
Hoe sluit ik me als IdP (identity provider) aan bij eduGAIN?
Hoe sluit ik me als SP (service provider) aan bij eduGAIN?

Handige links

Meer technische informatie en nuttige links nodig?

 

Wat zijn de voordelen van deel uitmaken van eduGAIN?

De verbonden federaties bieden hun lid-de IdP's en SP'’s die lid zijn tal van voordelen. SP's kunnen op hun beurt interessante diensten aan alle deelnemers bieden.

Worden IdP's/SP's automatisch in eduGAIN opgenomen?

Nee. Hiervoor moet een specifiek verzoek worden ingediend bij Belnet. Dit ziet u in het structuurdiagram van eduGAIN.

Wat zijn de kosten?

Er zijn er geen! De dienst is gratis voor alle gebruikers.

Wat heb ik op technisch vlak nodig om me aan te sluiten bij eduGAIN?

U moet gewoon bepaalde informatie in uw Shibboleth-configuratiebestanden invullen.

Hoe sluit ik me aan bij eduGAIN?

Metadata registration practice statement	
Federation name: Belnet Federation
Federation operator: Belnet, Belgium
Federation web page: http://federation.belnet.be

Date of last change: 27 March 2012


Common practices
----------------
The IdPs are Belnet's customers from R&E community,
excluding a administrations and ministries of all levels.
The SP are any companies that offers a service or content that fulfils the
needs of Belnet's R&E community members, respecting the defined policy.

All IdP and SP's administrators connect via https and authenticate
via Belnet Customer's AAI system with regard to the Belnet Federation's metadata manager [1], 
where the original information gets checked and stored in the metadata 
manager's database.  It is later used for generating the Belnet federation's 
metadata.

In addition, before the federation operator publishes metadata dedicated to
interfederation, an institution has first to declare that its
processes are ready for interfederation. Only then will, its IdP and SP
administrators be able to declare that their respective entity is
also technically ready to participate in interfederation.


IdP registration practices
--------------------------
An IdP registering with the federation needs to be manually approved by a team 
member of the federation operator.
Such approval requires:
- a completed membership service agreement signed by an official 
  representative(s) of the newly participating institution;
- elements and attributes to be registered using use a domain name of 
  that institution.

The administrators appointed specifically by that institution will receive
access to the metadata manager service where they can upload the metadata
of the their IdP.

After approval, the federation operator publishes and maintains the 
federation's metadata.

Subsequent changes to these elements and attributes do not require
re-approval by the federation operator. Only, administrators appointed
specifically by that institution can modify the IdP specific information.

For interfederation, the entity must ask the federation operator to publish it 
for participation in eduGAIN.


SP registration practices
-------------------------
Each SP must be manually approved by a team member of the federation operator
 in order to be registered with the federation.
Such approval requires:
- a completed membership service agreement signed by an official 
  representative(s) of the newly participating service provider;
- elements and attributes to be registered using a domain name of 
  that SP.

The administrators appointed specifically by that SP will then receive
access to the Metadata Manager service where they can upload the metadata
of the their SP.

After approval, the federation operator publishes and maintains the 
federation's metadata.

Subsequent changes to these elements and attributes do not require
re-approval by the federation operator. Only, administrators appointed
specifically appointed by that SP can modify the SP specific information.

For interfederation, the entity must ask the federation operator to publish it 
for participation in eduGAIN.


Practices regarding metadata modifications
------------------------------------------
In the Belnet Federation, no metadata are modified because the federation operator
generates them on behalf of all entities acquired through the metadata manager 
service.

The source for generating federation metadata is the metadata manager database. 
The details of a registering entity are entered by each IdP/SP administrator 
providing the necessary metadata. A wizard will parse provided 
entity metadata to check the SAML2 syntax and the required content.

The IdP/SP administrator also has to supply non-technical information such as 
descriptions or support contacts. All technical and non-technical information 
is stored on a customer database. This information will be used to generates
the access credentials for the metadata manager system.


[1] https://federation.belnet.be/re/md-mgmt/

Hoe sluit ik me als IdP (identity provider) aan bij eduGAIN?

Als u lid wilt worden van de eduGAIN-federatie, neemt u de volgende stappen:

1) Neem contact op met onze Belnet Servicedesk via servicedesk@belnet.be. Bent u al klant bij ons? Houd dan uw acroniem bij de hand. De Servicedesk verbindt u door met ons Customer Relations Team. De accountmanager vraagt u om de overeenkomst in te vullen, te ondertekenen en aan ons terug te bezorgen.

2) Pas uw Shibboleth IdP-configuratie aan.

2.1) In [shibboleth directory]/conf/relying-party.xml:

Moet u toestemming geven om metadata van de eduGAIN-service te ontvangen. Daarvoor moet u de volgende regels toevoegen, zoals in het onderstaande voorbeeld:

<metadata:MetadataProvider id="ShibbolethMetadata"  xsi:type="metadata:ChainingMetadataProvider"  xmlns="urn:mace:shibboleth:2.0:metadata">
 ...
         <!-- *******  eduGAIN Federation ******* -->
         <metadata:MetadataProvider id="URLMD4" xsi:type="metadata:FileBackedHTTPMetadataProvider"
                                    xmlns="urn:mace:shibboleth:2.0:metadata"
                                    metadataURL="http://mds.edugain.org"
                                    backingFile="/opt/shibboleth-idp/metadata/mds.edugain.org.xml" >
           <!-- Using chaining filter to allow us multiple filters to be added -->
            <metadata:MetadataFilter xsi:type="ChainingFilter" xmlns="urn:mace:shibboleth:2.0:metadata">
             <!-- Ensure the metadata has a reasonable (1 week) validity period. -->
             <!--  <metadata:MetadataFilter xsi:type="RequiredValidUntil" xmlns="urn:mace:shibboleth:2.0:metadata"
                             maxValidityInterval="P9D" /> -->
             <!--
                 Ensure metadata is signed and use the 'shibboleth.MetadataTrustEngine'
                 to determine its trustworthiness
             -->
               <metadata:MetadataFilter xsi:type="SignatureValidation" xmlns="urn:mace:shibboleth:2.0:metadata"
                             trustEngineRef="eduGAIN.MetadataTrustEngine"
                             requireSignedMetadata="true" />
            </metadata:MetadataFilter>
         </metadata:MetadataProvider>
 ...

Iets verderop in het bestand moeten de volgende regels worden opgenomen om de geldigheid van de handtekening van de eduGAIN-gegevens te verifiëren:

...
     <!-- Trust engine used to evaluate the signature on loaded metadata. -->
     <security:TrustEngine id="eduGAIN.MetadataTrustEngine" xsi:type="security:StaticExplicitKeySignature">
         <security:Credential id="eduGAINCredentials" xsi:type="security:X509Filesystem">
             <security:Certificate>/opt/shibboleth-idp/credentials/edugain-mds.cer</security:Certificate>
         </security:Credential>
     </security:TrustEngine>
 ...

2.2) Download het certificaat waarmee de metadata van eduGAIN worden ondertekend:

Link naar eduGAIN-ondertekeningscertificaat om handtekening van metadata te valideren

Installeer het in[shibboleth directory]/credentials/ zoals beschreven in uw relying-party.xml-configuratie.

3) Om aan alle vereisten voor eduGAIN te voldoen, moet u de volgende secties toevoegen aan de metadata van uw IdP (toe te voegen in het gedeelte ):

   xmlns:mdrpi="urn:oasis:names:tc:SAML:metadata:rpi"
   xmlns:mdui="urn:oasis:names:tc:SAML:metadata:ui"

   Right after the <EntityDescriptor> part, the following part needs to be included:
        <Extensions>
            <mdrpi:RegistrationInfo registrationAuthority="http://federation.belnet.be/" registrationInstant="2012-03-27T12:00:00Z">
              <mdrpi:RegistrationPolicy xml:lang="en">http://federation.belnet.be/files/Belnet-metadata-registration-practice-statement.txt</mdrpi:RegistrationPolicy>
            </mdrpi:RegistrationInfo>
        </Extensions>
        
   In the <IDPSSODescriptor> part, the following needs to be present:

        <Extensions>
            <shibmd:Scope regexp="false" xmlns:shibmd="urn:mace:shibboleth:metadata:1.0">[YOUR DOMAIN]</shibmd:Scope>
             <mdui:UIInfo xmlns:mdui="urn:oasis:names:tc:SAML:metadata:ui">
                <mdui:DisplayName xml:lang="en">[YOUR INSTITUTION]</mdui:DisplayName>
                <mdui:Description xml:lang="en">[SMALL DESCRIPTION OF YOUR INSTITUTION]</mdui:Description>
                <mdui:Logo height="16" width="16">https://anyurlwithyourlogoaccessible/yoursmalllogo.png</mdui:Logo>
                <mdui:Logo height="75" width="153">https://anyurlwithyourlogoaccessible/yourbiglogo.png</mdui:Logo>

                               </mdui:UIInfo>
                                <mdui:DiscoHints xmlns:mdui="urn:oasis:names:tc:SAML:metadata:ui">
                                        <mdui:IPHint>[the IPv4 range you are using 193.190.x.y/mm</mdui:IPHint>
                                        <mdui:IPHint>2001:6a8:[your  IPV6 range]::/64</mdui:IPHint>
                                        <mdui:DomainHint>[YOUR DOMAIN]</mdui:DomainHint>
                                        <mdui:GeolocationHint>[YOUR GEO COORDINATES in format like geo:50.825312,4.365471]</mdui:GeolocationHint>
                                </mdui:DiscoHints>
        </Extensions>

De mduiMDUI: Logo is niet verplicht, maar het ziet er aantrekkelijker uit als dit naast het logo van uw instelling wordt weergegeven in de ontdekkingsdienst van eduGAIN (deze ontdekkingsdienst heet discojuice).

Let op: in vorige versies werd ons gevraagd een ingebed base64-logo in de -tags te zetten, maar sindsdien is het volume aan verzamelde metadata steeds groter geworden. Nu moeten de logo's worden aangeleverd als HTTPS-URL en zijn er aanbevelingen over de maximale afmetingen (zie https://wiki.shibboleth.net/confluence/display/SHIB2/IdPMDUIRecommendations voor meer informatie).

4) Wanneer we uw brief hebben ontvangen, publiceren we uw metadata op de Belnet eduGAIN-lijst met metadata die in de globale eduGAIN-metadata wordt geïntegreerd.

Hoe sluit ik me als SP (service provider) aan bij eduGAIN?

Als u lid wilt worden van de eduGAIN-federatie, neemt u contact op met onze Belnet Servicedesk via servicedesk@belnet.be. Bent u al klant bij ons? Houd dan uw acroniem bij de hand. De Servicedesk verbindt u door met ons Customer Relations Team.

De accountmanager vraagt u om de overeenkomst in te vullen, te ondertekenen en aan ons terug te bezorgen.

Wanneer we deze hebben ontvangen, publiceren we uw metadata op de Belnet eduGAIN-lijst met metadata die in de globale eduGAIN-metadata wordt geïntegreerd.

Meer technische informatie en nuttige links nodig?

Website van eduGAIN
XML-bestand met metadata - eduGAIN-deelnemers van Belnet
Practice statements voor metadataregistratie in eduGAIN
eduGAIN-ondertekeningscertificaat om de handtekening van metadata te valideren

Vond u deze FAQ nuttig?

Copyright © 2021 Belnet.