Servicio de Identidad de RedIRIS (SIR) 1. Servicio de Identidad de RedIRIS (SIR)

Tamaño: px

Comenzar la demostración a partir de la página:

Download "Servicio de Identidad de RedIRIS (SIR) 1. Servicio de Identidad de RedIRIS (SIR)"

Mariano Duarte Alvarado
hace 8 años
Vistas:

1 Servicio de Identidad de RedIRIS (SIR) 1 Servicio de Identidad de RedIRIS (SIR)

2 Servicio de Identidad de RedIRIS (SIR) 2 Servicio de Identidad de RedIRIS El servicio de identidad de RedIRIS (SIR) permite autentificar a usuarios de sus instituciones afiliados en servicios web proporcionados por proveedores externos. La autentificación de los usuarios se lleva a cabo en los servidores de la Universidad de Vigo o No hay problemas de privacidad, los usuarios y contraseñas no se proporcionan a proveedores de servicio externos o No se pierde flexibilidad. Las modificaciones en la organización de usuarios o en los sistemas usados para autentificarlos no se han de comunicar a proveedores externos. El único acceso para el que necesariamente se usará HTTPS será el que se haga al servidor de autentificación de la propia Universidad de Vigo En la Universidad de Vigo se asignan permisos de acceso. o La asignación de permisos de acceso se hace dentro de la propia organización, únicamente se han de establecer con los administradores del Servicio de Identidad de RedIRIS (SIR) los valores que se han de devolver en estos atributos para que sean interpretados correctamente por los proveedores de servicio o Esta labor la lleva a cabo RedIRIS al negociar con los proveedores externos la autentificación de sus servicios a través de SIR. Es RedIRIS quien indica a las instituciones afiliadas qué información han de devolver los servidores de autentificación al proveedor de servicio. Cuando un usuario se autentifica en un servicio externo a través de SIR, al proveedor de servicio se le indica: Si la autentificación ha sido correcta o no En caso de que haya sido correcta se le indican: o Tipo de usuario: alumno, personal, etc. o Institución a la que pertenece (en nuestro caso la Universidad de Vigo) o Permisos de acceso o Identificador único de usuario. Algunos servicios pueden necesitar distinguir a un usuario de otro (mantener sesiones, historial de acceso al sitio, etc.). Para esto se les envía este identificador opaco (no revela información del usuario) y único. Para realizar la autentificación se ha instalado un sistema de Single Sign On (PAPI) configurado en la Universidad de Vigo: ( Este Single Sign On autentifica a los usuarios y obtiene los permisos de los mismos del directorio LDAP de usuarios Se registra con el Servicio de Identidad de RedIRIS (SIR) este servidor de autentificación (AS) PAPI

La autentificación de los usuarios se lleva a cabo en los servidores de la Universidad de Vigo o No hay problemas de privacidad, los usuarios y contraseñas no se proporcionan a proveedores de

3 Servicio de Identidad de RedIRIS (SIR) 3 Funcionamiento de SIR Aunque se puede tener algún paso adicional previo fijado por el proveedor de servicio, los pasos a seguir en general para autentificarse en un permiso que utilice el Servicio de Identidad de RedIRIS serán los siguientes: El usuario accede a la página web del proveedor de servicio Este le indicará que seleccione entre varios servicios de identidad, entre los cuales uno de ellos será RedIRIS Al seleccionarlo se le redirigirá a la página de SIR (SIRGPoA, En esta página seleccionará de entre las instituciones afiliadas la Universidad de Vigo, esto lo redirigirá al servidor de autentificación de la Universidad de Vigo ( En esta página el usuario se autentificará indicando su cuenta completa (incluyendo dominio) y contraseña, el servidor lo autentificará y redigirá nuevamente a SIR, que a su vez lo redirigirá al proveedor de servicio. Este recibirá la petición del usuario a la que se habrán añadido los atributos que devolvió el servidor de autentificación de su institución: tipo de usuario, permisos de acceso, identificador único opaco, nombre o dominio de la institución, etc.

de identidad, entre los cuales uno de ellos será RedIRIS Al seleccionarlo se le redirigirá a la página de SIR (SIRGPoA, http://www.rediris.

4 Servicio de Identidad de RedIRIS (SIR) 4 Acceso a Microsoft Dreamspark Como ejemplo del funcionamiento del servicio de autentificación de RedIRIS (SIR) se indica el caso del acceso a Microsoft Dreamspark, un servicio de Microsoft que permite a estudiantes universitarios la descarga gratuita de software para desarrollo de Microsoft (Visual Studio, Windows Server 2003, etc.). Este servicio se da a estudiantes universitarios en virtud de un acuerdo entre RedIRIS y Microsoft: El sistema de acceso es algo peculiar, en el sentido de que se exige que el alumno cree una cuenta en Windows Live, con el identificador que desee. El alumno, con un login de Windows Live creado (esto es algo que exige Microsoft para acceder a este servicio) se conecta a Dreamspark para la descarga de software: o o Este login de Windows Live tiene las condiciones de uso que imponga Microsoft, en ningún caso la Universidad de Vigo responde de las condiciones de este servicio o Al crear este usuario en Windows Live no se debería indicar la misma combinación de usuario y contraseña que se tiene en la Universidad de Vigo, en todo caso el hacerlo y las consecuencias que esto pueda tener (pérdida de privacidad en los datos de la cuenta) son una decisión del usuario Login Windows Live ID Microsoft Dreamspark 1: Autentificación en Microsoft Dreamspark con un Login de Windows Live En el primer acceso que realiza a Dreamspark se le pide que indique en un mapa su procedencia, deberá indicar España y seleccionar de entre la lista de proveedores de autentificación a RedIRIS.

Este servicio se da a estudiantes universitarios en virtud de un acuerdo entre RedIRIS y Microsoft: http://www.microsoft.com/spain/prensa/noticias/2008/febrero/n19.

5 Servicio de Identidad de RedIRIS (SIR) 5 Selecciona proveedor de identidad 2: Selecciona el proveedor de identidad (servicio SIR de RedIRIS) Selecciona región: Europa Selecciona país: España Selecciona proveedor de identidad: RedIRIS Una vez hecho esto se le redirige al servicio de autentificación de RedIRIS (SIR), que le permite elegir entre un listado de instituciones afiliadas al servicio. Selecciona institución 3: Selecciona la institución a que pertenece Servicio de Identidad de RedIRIS (SIR) Selecciona institución: Universidad de Vigo Seleccionando de entre las instituciones adscritas a SIR Universidad de Vigo se le redirige al servidor de autentificación, que le pedirá su cuenta de correo completa (del tipo usuario@alumnos.uvigo.es o usuario@uvigo.es) y contraseña. Una vez autentificado, si la autentificación es correcta, se le devolverá a la página de Dreamspark indicando que la autentificación ha tenido éxito e indicando también una serie de atributos que habrán sido proporcionados por el servidor de autentificación de la Universidad de Vigo: Tipo de usuario de que se trata (alumno, personal, etc.). o Los tipos de usuario son los que se indican en student: alumno employee: trabajador (pas/pdi) staff: otro tipo de vinculación con la institución o Se podrían tener otros valores que se acordarían con los proveedores de servicio Permisos de acceso

6 Servicio de Identidad de RedIRIS (SIR) 6 Identificador único del usuario o Este identificador lo utilizan los proveedores de acceso para distinguir los accesos de distintos usuarios y para mantener un historial de navegación o Para mantener la privacidad de los usuarios el identificador en cuestión debe ser opaco. Se está usando un hash MD5 de la ubicación del usuario en el directorio LDAP (dn) Organización a la que pertenece el usuario o En este caso se envía un valor fijo (uvigo.es) La cadena de atributos que se envía al Servicio de Identidad de RedIRIS (SIR) y que este envía posteriormente a Dreamspark es del tipo: o epa=student,epti=.,sho=uvigo.es,epe=urn:mace:entitle ment:common-lib-terms

Se está usando un hash MD5 de la ubicación del usuario en el directorio LDAP (dn) Organización a la que pertenece el usuario o En este caso se envía un valor fijo (uvigo.

7 Servicio de Identidad de RedIRIS (SIR) 7 Directorio LDAP 2: Autentifica usuario Obtiene atributos 1: Autentificación 3: Devuelve resultado y atributos Indica usuario (cuenta completa) y contraseña) Universidad de Vigo 4: Accede a SIR indicando resultado y atributos 5: Devuelve resultado y atributos Servicio de Identidad de RedIRIS (SIR) 6: Vuelve a Dreamspark indicando resultado y atributos Microsoft Dreamspark 4: Se autentifica y se le devuelve a Dreamspark con el resultado de la autentificación y los atributos del usuario

atributos 5: Devuelve resultado y atributos Servicio de Identidad de RedIRIS (SIR) 6: Vuelve a Dreamspark indicando resultado y

8 Servicio de Identidad de RedIRIS (SIR) 8 Si la autentificación es correcta y los atributos devueltos indican que se trata de un alumno, este puede continuar con la navegación y descarga de software de Dreamspark. Continúa navegación Microsoft Dreamspark 5: Continúa la navegación en Microsoft Dreamspark Si la verificación del usuario ha sido correcta podrá continuar con la descarga de software

Dreamspark. Continúa navegación Microsoft Dreamspark https://downloads.channel8.msdn.

9 Servicio de Identidad de RedIRIS (SIR) 9 Servicios a los que proporciona acceso SIR En estos momentos RedIRIS está en negociaciones con varios proveedores de servicios para dar acceso a estos a la comunidad académica a través de SIR. De momento se puede acceder ya a los siguientes servicios: Dreamspark: Web of Knowledge ScienceDirect: s OpenID En la página de SIR ( se mantiene una relación actualizada de estos servicios.

De momento se puede acceder ya a los siguientes servicios: Dreamspark: http://channel8.msdn.

Documentos relacionados

Single Sign On y Federaciones en las Universidades. Noviembre 2012

Single Sign On y Federaciones en las Universidades Noviembre 2012 Single Sign On Una interpretación, muy resumida: Sistema en el cual las aplicaciones delegan la autenticación de los usuarios a un servicio