频繁联盟:参与者的操作实践
参与频繁联合会(“联盟”)使参与者使用口令身份属性管理访问在线资源共享技术,可以频繁的社区。联合会的一个目标是发展,随着时间的推移,社区等合作组织标准,确保共享属性断言足够健壮和可信赖的管理重要的受保护资源的访问。随着信任的社区的发展,最终联合会预计,参与者应该能够彼此信任的身份管理系统和资源访问管理系统,因为他们相信自己的。
频繁的基本期望参与者是他们提供权威、准确属性断言其他参与者,参与者收到一个属性断言保护和尊重隐私约束放在它的联合或信息的来源。促成这一目标,频繁要求每个参与者对其他参与者提供任何身份管理系统的基本信息,包括身份属性支持,或资源访问管理系统,他们在联邦注册使用。
两个标准可信属性证书提供商断言:(1)身份管理系统属于组织的行政或业务管理的范围,和(2)发行系统终端用户的凭证(例如PKI证书,用户id /密码、Kerberos主体,等等)特别有适当的风险管理措施(例如身份验证和授权标准,安全措施,风险评估,变更管理控制,审计跟踪,等等)。
频繁预计,资源提供者,接收来自另一个组织的属性断言,尊重其他组织的政策、规则和标准有关的保护和使用这些数据。此外,这些信息应该只用于提供了它的目的。频繁强烈阻碍了数据的共享与第三方,或聚合为营销目的不明确的许可标识信息提供者。
频繁预计,资源提供者收到来自另一个组织属性断言,尊重其他组织的政策、规则和标准有关的保护和使用这些数据。此外,这些信息应该只用于提供了它的目的。频繁强烈阻碍了数据的共享与第三方,或聚合为营销目的不明确的许可标识信息提供者。
频繁需要参与组织提供所有其他频繁的参与者回答下面的问题。额外的信息来帮助回答每个问题可以在本文的下一节。年底还有一个词汇本文档定义条款所示斜体。
联盟参与者信息
1.1频繁参与者操作实践信息下面是:
。频繁参与组织名称:奥克兰大学万博ManBetX登录。下面的信息是准确的日期:2017年8月4日
1.2身份管理和/或隐私信息
关于参与者的身份管理实践的附加信息和/或有关个人信息隐私政策可以在以下位置找到在线(年代)。
政策和方针
适当的使用和一般信息技术政策
Ellucian横幅
数据
电子邮件
网络
请注意,奥克兰大学域包含url o万博ManBetX登录akland.edu。其他格式,比如网络,不受支持。命名格式标准是www.www.zhongqiwg.com/academic-department/department-name。域名请求必须通过沟通和营销和大学技术服务如上所述在这个政策。
付款/信用卡
软件
在政策# 410,注意第二节。(4)当采购软件购买合同。
监测
系统管理
大学的条款和条件
1.3联系信息
下面的人或办公室可以回答问题对参与者的身份管理系统或资源访问管理政策或实践。
名字:李Foltz -高级系统工程师身份,248-370-2675
名称:科学家们诺瓦克——基础设施服务主任,248-370-2677
2。凭据提供程序信息
- 最关键的责任证书提供商参与者必须联合是提供值得信赖的和准确的身份断言。是很重要的资源提供者知道如何发布的电子身份凭证和可靠的信息与一个给定的相关凭证(或人)。
2.1如果你是一个凭据提供程序,你如何定义一组的人有资格获得电子身份?如果允许例外的定义,谁必须批准这样一个例外呢?
主账户给教师、员工和学生活跃的从属关系。客人/共享账户给人与大学或相关供应商。完全访问。”账户和密码的指导方针。
2.2“社区”的成员是一个断言可能提供让资源访问提供个人参与大学或组织的主要任务。例如,这种说法可能适用于任何人的关系是“当前学生、教师或工作人员。”
什么子集的人在你的身份注册管理系统会识别作为一个“社区”的成员在口令身份断言其他频繁参与者?
“我们的社区成员”是教师、员工和学生活跃的从属关系。客人和共享账户也适用。
电子身份凭证
2.3什么技术用于你的电子身份凭证(例如Kerberos用户id /密码、PKI、…)这可能是使用频繁的行为?如果有超过一种类型的电子凭证,是如何决定谁接收哪种类型?如果多个凭证有关,这是如何管理(如1人。用Kerberos凭证也可以得到一个PKI凭据)和记录呢?
所有的电子身份凭证NetID /密码。身份验证可能使用频繁需要加密的通道上的地方。在加密口令服务器只允许连接端口和口令和Red Hat目录服务器之间的通信也加密。
2.4如果你的电子身份凭证需要使用密码或销,和在某些情况下,秘密将会通过网络传播不受加密保护(即“明文密码”时使用访问校园服务),请确定在您的组织可以讨论与其他参与者为他们担心,这可能会提高:
NetID和密码不是明文传输的。口令,用户之间的通信发生在TLS 1.2的目录。口令服务器也只打开一个安全的港口。的联系人讨论事件如果发现在1.3上面列出。
2.5如果你支持一个“单点登录(SSO)或类似的校园网络系统,允许一个用户身份验证动作为多个应用程序,您将使用这个验证人们频繁资源提供者,请描述关键安全方面的SSO系统包括会话超时是否由系统执行,是否支持用户发起的会话终止,以及如何使用“公共访问网站”是受保护的。
万博ManBetX登录奥克兰大学使用口令进行身份验证基于SAML和中科院协议的应用程序。会话超时2小时和用户发起的会话终止支持大多数应用程序。
2.6是你的主要电子标识符的人,如“网络ID,”eduPerson EPPN,或eduPersonTargetedID认为是独特的个体,他们被分配呢?如果没有,你有什么政策re-assignment和重用等之间有空隙?
是的,NetID EPPN是独一无二的每个人。NetID的不补发。
2.7信息在你的电子身份数据库是如何获取和更新?特定办公室指定的管理员来执行这个函数吗?人可以在线更新自己的信息吗?
大学初级帐户信息来自ERP(旗帜)系统的权威来源。个人有限的信息他们可以更新,但优先股的名字,地址,电话等可以由所有用户编辑。全部细节”名称服务”。
2.8什么信息在这个数据库被认为是“公共信息”,将提供任何感兴趣的聚会吗?
名、姓和电子邮件地址的教师、员工和学生公共信息。对学生没有公共目录。
你使用你的电子身份凭证系统
2.9请识别典型的类的应用程序中使用自己的电子身份凭证组织?
万博ManBetX登录奥克兰大学NetIDs用于控制和授权访问集中和分散的资源和服务。例子包括电子邮件、学生门户类注册,进入时间表/工资,住房,学生找工作,学习管理系统,有线/无线访问等。
属性断言
属性是数据元素的信息属性断言你可能会使另一个联盟参与者关于一个人在你的身份的身份管理系统。
2.10,你会考虑你的属性断言是足够可靠:
[X]控制网络信息数据库的访问授权给您的组织吗?
[X]被用于购买商品或服务为你的组织?
[X]使访问个人信息,如学生贷款状态?
隐私政策
联盟参与者必须尊重法律和组织隐私限制其他参与者提供的属性信息和使用它只用于其预期目的。
2.11限制你什么地方使用属性信息,您可能提供其他联盟参与者吗?
属性信息可能提供的名字、电子邮件和联系获得/授予适当的访问权限所属系统基于状态。
2.12政策管理属性信息的使用,你可能会释放其他联盟参与者吗?例如,一些信息FERPA或者HIPAA限制吗?
属性信息共享与联盟参与者被认为是私人和保密的。万博ManBetX登录奥克兰大学不会发布任何FERPA有关的属性信息。
3所示。资源提供者的信息
资源提供者只信任的要求作出相应的访问控制决策所需的信息,并不是滥用凭证提供给他们的信息提供者。资源提供者必须描述的基础上对资源的访问和管理实践对他们收到其他参与者属性信息。
3.1你需要什么属性信息个人为了管理对资源的访问您可能提供给其他参与者吗?分别描述为每个资源ProviderID注册。
NetID、电子邮件、联系,eduPersonPrincipalName指定机构。
3.2你做什么使用的属性信息,你收到除了基本的访问控制决策吗?例如,你总会话访问记录或记录的特定信息访问基于属性信息,或提供属性信息伙伴组织,等等。
这个时候我们不使用属性信息来获得额外的访问系统。用户授予访问成功的身份验证之后发生。
3.3人类和技术控制属性信息的访问和使用,可能指的是只有一个特定的人,如个人身份信息?例如,这是信息加密吗?
PII如果任何数据都包含在一个属性的使用,SAML的回应总是加密口令。
3.4描述了人类和技术控制的管理超级用户和其他特权帐户可能有权授权访问的个人身份信息?
访问奥克兰大学基于工作角色。万博ManBetX登录
3.5如果个人身份信息泄露,你采取什么行动通知可能受到影响的人吗?
所有潜在的妥协是由那些与保险公司合作,确保适当的通知和操作。万博ManBetX登录奥克兰大学遵循所描述的过程政策# 860。
4所示。其他信息
4.1技术标准、版本和互操作性
确定的Internet2口令的版本代码发布,您正在使用或如果不使用标准的口令代码,SAML的版本(s)和SOAP和其他相关的标准您已经实现这个目的。
口令3.3.1,SAML 2.0或更高版本
4.2其他的考虑
还有其他注意事项或信息,你想要知道其他联盟参与者与互操作,例如,担心使用明文密码或责任的一个安全漏洞涉及身份信息你可以提供了吗?
在使用之前,奥克兰大学和资源提供者之间达成协议应该完成。万博ManBetX登录指定允许使用的协议应包括语言的属性,包括等规定信息可能仅用于该协议规定的目的而不是提供给第三方未经明确的书面许可的奥克兰大学万博ManBetX登录
额外的笔记和细节操作实践问题。
作为一个社区的组织愿意管理访问在线资源合作,并且通常没有正式合同的非商业资源,至关重要的是,每个参与者都有一个好的理解的身份和由其他参与者实现资源管理实践。上述问题的目的是建立一个基本水平的共同的理解,使这对其他参与者评估信息。
为了回答这些问题,请考虑你想知道自己的行动如果你是另一个参与者决定什么层次的信任与在线系统的交互。
例如:
你需要知道的关于证书提供商为了做出明智的决定是否接受他们的断言来管理或应用程序访问您的在线资源?
你需要知道一个资源提供者为了自信提供信息,它可能不能够?
它也可能有助于考虑身份管理系统如何在一个机构可以在其组织。
- 你可能中央校园组织,作为资源提供者,问同行的校园凭据提供程序(例如计算机科学系,中央图书馆,或医疗中心),以决定是否接受其身份断言,IT组织控制对资源的访问呢?
- 什么部门询问中央校园身份管理系统如果美国想利用它为自己的应用程序?下面的段落编号提供额外的背景编号问题本文的主要部分。
[1.2]频繁证书供应商强烈建议发布在他们的网站上的隐私和信息安全管理他们的政策身份管理系统。资源提供者强烈建议张贴他们的政策对个人识别信息的使用。
[1.3]其他频繁参与者可能希望与这个人或办公室联系,提供进一步的问题或提供的信息,如果他们希望建立一个更加正式的关于资源共享与组织的关系。
[2]许多组织有非常非正式流程发行电子凭证。例如,一个通过学生校园这个书店。一个资源提供者可能更愿意接受你吗断言在某种程度上,这个过程可以被视为权威。
[2.1]是很重要的一个社区的资源提供者有一些主意你可能代表的身份。尤其如此,断言如eduPerson“社区成员”或“学生”等等。一个典型的定义可能是“教职员工以及活跃的学生”,但这还包括校友,未来的学生,临时员工,访问学者,等。此外,可能会有正式或非正式的机制使例外这个定义,例如适应学生仍然完成一个论文或无偿志愿者。
这个问题要求你,作为凭据提供商,将提供电子凭证。这通常是广泛定义,以便在本地组织可以容纳各种各样的应用程序。这个问题的原因是重要的是区分一组问题的人可能有一个凭证和那些属于你的子集的定义“会员社区”为目的的频繁属性断言。
[2.2]断言的“社区”的成员通常是足够好决定是否授权访问基本在线资源,例如library-like材料或网站。频繁鼓励参与者使用这种说法只是“教职员工以及活跃的学生”,但一些组织可能需要定义这个不同。频繁的资源提供者需要知道如果被定义不同。
[2.3]例如,如果有一个校园认可记录办公室电子凭证和办公室等问题,利用强、可靠的技术和良好的数据库管理实践,这些因素可能表明高度可靠的凭证,因此值得信赖身份断言。
[2.4]不同的技术进行不同的固有风险。例如,一个用户标识和口令可以很轻松地共享或“偷走”。PKI凭据或美国卡很难分享或偷窃。出于实际的原因,一些校园使用一种技术为教职员工学生凭证和另一个。在某些情况下敏感的应用程序将保证强和/或二级证书。
[2.5]发送密码“明文”是一个重大风险和所有频繁参与者强烈建议取消这样的做法。不幸的是,这可能很困难,尤其是与遗留应用程序。例如,获得一个集中的日历应用程序通过无线数据连接当你参加一个会议可能会透露您的密码其他会议。如果这也是你的校园证书密码,可以使用另一个人冒充你频繁的参与者。
[2.6]“单点登录(SSO)是一种方法,允许用户解锁他们的电子身份凭证,然后用它来访问各种资源和应用程序一段时间。这避免了人们必须记住很多不同的标识和密码或不断的日志系统。然而,它也可能削弱电子身份之间的联系和实际的人是指因为别人可能会使用相同的计算机和假设前用户的身份。如果没有限制SSO会话期间,联盟资源提供者可能是担心任何身份断言你的有效性。因此重要的是要问你使用SSO的技术。
[2.7]在一些身份管理系统,主要标识符人可能被重用,特别是如果他们包含共同的名称,例如:(电子邮件保护)。这可以创建模糊如果资源提供者需要主标识符来控制对资源的访问的人。
[2.8]安全数据库保存的信息关于一个人至少是一样重要的电子身份凭证提供的链接记录在数据库中。适当的安全数据库,以及管理和审计跟踪数据库的变化,和管理数据库信息的访问是很重要的。
[2.9]许多组织将使某些对任何人都是开放的,有限的“公共信息。“其他信息可能会给内部组织用户或应用程序,或者可能需要许可FERPA或HIPAA规则下的主题。资源提供者可能需要知道什么信息你愿意提供“公共信息”,并规定可能适用于其他你可能发布的信息。
[2.10]为了帮助一个资源提供者评估可靠身份断言,它有助于知道您的组织如何使用相同的断言。这里的假设是,你或会使用相同的身份管理系统为您自己的应用程序中使用频繁的目的。
[2.11]你对这个问题的回答表明你有信心的程度你的身份断言的准确性。
[2.12]甚至“公共信息”可能是限制在如何使用它。例如,创建一个营销邮件列表的“收获”电子邮件地址从一个校园目录网站可能被认为是非法使用这些信息。请注明你限制你把信息提供给他人。
[2.13]请注明什么法律或其他外部约束可能会有信息提供给他人。
[3.1]请确定您的访问管理需求帮助其他参与者理解和利用你的资源(s)的计划。你也可以相反为办公室提供的联系信息或人可以回答询问。
[3.2]作为资源提供者,请声明你使用(s)将使你收到的属性信息。
[3.3]个人识别信息可以是各种各样的东西,而不仅仅是一个名字或信用卡号码。大群以外的所有信息标识,如“社区成员,”应该受到保护而站点上的居民。
[3.4]某些功能位置可以有非凡的特权对您的系统的信息。监督是什么意思来确保现有不会滥用这种特权呢?
[3.5]偶尔保护分解和信息被破坏。有些州法律要求通知受影响的个人。什么法律和/或机构政策管理个人如果信息通知你妥协吗?
[4.1]最频繁的参与者将使用的Internet2口令技术,但这不是必需的。它可能是重要的其他参与者了解你是否正在使用的其他implementtions技术标准。
[4.2]作为凭据提供商,您可能希望限制类型的应用程序可能使用你的断言。作为资源提供者,你想做一个声明用户凭证必须如何管理。这个问题是完全开放的结束,供你使用。
术语表
- 访问管理系统——系统或服务的集合与特定的在线资源和/或服务,推导出决定是否允许一个给定的个人获得这些资源或利用这些服务。
- 断言——凭据提供程序提供的身份信息资源提供者。
- 属性——一个与电子身份数据库相关的信息记录。一些属性是一般;其他个人。所有属性的某个子集定义了一个独特的个体。
- 身份验证——一个人的过程验证或确认其与电子标识符。例如,进入一个与一个用户id相关联的密码或帐户的名字是假设来验证用户标识的人。
- 授权的过程,确定一个特定的人是否应该允许访问应用程序或功能,或者使用一个资源。资源管理器然后使访问控制决策,也可以考虑其他因素如时间、用户的位置和/或资源系统上的负载。
凭据提供程序——一个校园或其他组织,管理和运行一个身份管理系统,并提供其社区其他成员的信息频繁的参与者。
- 电子标识符——一串字符或结构化的数据可以用来引用一个电子身份。例子包括电子邮件地址、用户帐户名,Kerberos主体名称,或加州大学校园NetID,雇员或学生证、PKI证书。
- 电子身份——一组关于个人的信息维护,通常在校园电子身份数据库。可能包括角色和权限以及个人信息。必须是权威的信息的应用程序将使用它。
- 电子身份凭证——电子标识符和相应的个人秘密与电子相关的身份。电子身份凭证通常的人发出的主题信息,使人获得应用程序或其他资源需要控制这类访问。
- 电子身份数据库——结构化与给定个体的信息集合。有时被称为一个“企业目录。”Typically includes name, address, email address, affiliation, and electronic identifier(s). Many technologies can be used to create an identity database, for example LDAP or a set of linked relational databases.
- 身份,身份是一组相关的信息与特定的物理人或其他实体。典型的凭据提供程序将权威的只有一个人的身份信息的一个子集。什么身份属性可能在任何情况下取决于相关的环境遭到了质疑。
- 身份管理系统,一套标准、程序和技术对个人提供电子凭证和维护权威的信息持有者的凭证。
- NetID——电子标识符创建专门为使用在线应用程序。它通常是一个整数,通常没有其他意义。
- 个人秘密(也验证令牌),本文档的上下文中使用,密码的代名词,短语或销。它使持有人电子标识符来确定他/她人的标识符。
资源提供者——校园或其他组织,使网上的资源用于用户部分基于信息接收到来自其他参与者频繁。