INFN-AAI per il Servizio Sistema Informativo Dael Maselli Frascati, 10/07/2012 Riunione plenaria del Servizio Sistema Informativo

Cosa è INFN-AAI Authentication & Authorization Infrastructure Garantire a tutte le applicazioni INFN un sistema per Il riconoscimento degli utenti (AuthN) e dei relativi permessi in base ai ruoli (AuthZ) Definizione degli standard per l’interazione tra applicazione e INFN-AAI Garanzia di affidabilità tramite sistemi di High- Availability e ridondanza geografica Garantire l’aggiornamento dei dati forniti 2INFN-AAI - Dael Maselli

AAI nel contesto generale INFN-AAI - Dael Maselli

La Storia di GODiVA Durante lo studio di AAI ci si è resi conto che non esisteva una base dati delle utenze e ruoli INFN Si è deciso che l’INFN aveva bisogno di uno IAM Identity and Access Manager INFN-AAI ha quindi definito l’architettura del IAM per l’INFN e coordinato lo sviluppo del software GODiVA Nel frattempo INFN-AAI si è preoccupato di reperire i dati cercando di armonizzarli 4INFN-AAI - Dael Maselli

AAI, AAI PLUS, IAM & GODiVA INFN-AAI - Dael Maselli IAM & GODiVA

Architettura di Autenticazione Front-end (quello che l’utente può utilizzare) WAWA (SAML 2.0 IdP) Username/Password Kerberos5 GSS-API X.509 OneTimePassword (in test) LDAP Kerberos5 (for selected users only) Back-end (cosa c’è dietro) Kerberos5 PKI X.509 (INFN-CA & TERENA TCS) LDAP INFN-AAI - Dael Maselli

Achitettura LDAP di INFN-AAI Ramo nazionale (ou=people,dc=infn,dc=it) gestito via GODiVA + protoXXX (user, group, NIS) infnUUID givenName sn cn O (Organization) OU (Organization Unit) L (locality) eduPersonAffiliation eduPersonEntitlement isMemberOf schacUserStatus schacPersonalUniqueID (CF) uid mail mailAlternateAddress infnKerberosPrincipal INFN-AAI - Dael Maselli

Achitettura LDAP di INFN-AAI Ramo locale (ou=people,dc=le,dc=infn,dc=it) gestito via protoserv (a cura dei servizi calcolo delle strutture) uid mail mailAlternateAddress infnKerberosPrincipal givenName sn cn schacPersonalUniqueID (CF) infnLinkedUUID INFN-AAI - Dael Maselli

Perché protoTools INFN-AAI nasce per fornire il servizio di Autenticazione ed Autorizzazione per tutti i sistemi informatici dell’INFN Servizi centralizzati (DataWeb, SisInfo, Webtools, ecc. ecc.) Servizi locali Login interattive UNIX Calcolo scientifico (es cluster Nucleari teorici a Pisa) In questo scenario è essenziale integrare in INFN-AAI le informazioni provenienti dalle strutture Lo sviluppo di GODiVA non era (e non lo è ancora) maturo al punto di integrare le funzionalità dei protoTools INFN-AAI - Dael Maselli

Requisiti per Autenticazione Identità Digitale registrata in GODiVA infnUUID, givenName, sn, … Username uid Sistema di autenticazione infnKerberosPrincipal oppure userPassword Posta elettronica istituzionale mail e mailAlternateAddress INFN-AAI - Dael Maselli

Login tramite INFN-AAI (AuthN) Perché un utente possa accedere ad una applicazione tramite INFN-AAI questi deve: avere un account fornito dal Servizio Calcolo e Reti della sede di contratto e le informazioni relative a tale account inserite correttamente in protoAAI (a cura del Servizio Calcolo e Reti locale); altrimenti può registrarsi tramite la procedura e attendere che la propria anagrafica venga certificata. 11INFN-AAI - Dael Maselli

Informazioni sugli utenti (AuthZ) INFN-AAI può mettere a disposizione delle applicazioni alcune informazioni relative all’utente Stato del contratto/associazione/ospitalità/ecc. Ruolo negli organigrammi istituzionale e scientifico Indirizzo di contatto Sede di appartenenza ecc... Tali informazioni vengono condivise secondo delle politiche di accesso definite in modo granulare. 12INFN-AAI - Dael Maselli

I Numeri di INFN-AAI INFN-AAI mette a disposizione informazioni su: Identità posso accedere alle applicazioni quindi NON possono accedere per la mancanza di attributi essenziali (uid, ) a tutt’oggi solo 363, distribuite a macchia di leopardo nelle strutture INFN, sono relative a contratti in essere, registrati in INFN-AAI: associati: 301 borsisti: 38 ospiti: 23 dipendenti: 1 13INFN-AAI - Dael Maselli

Ectoplasmi Tra le Identità Digitali presenti nel ramo nazionale di INFN-AAI, ogni tanto manca qualcuno Dipendente o Borsista non inserito nell’anagrafica di HR della Direzione Affari del Personale di AC Es. Jan Perz Associabili per i quali non è stata mai iniziata la procedura di associazione INFN-AAI - Dael Maselli

L’importanza di GODiVA GODiVA è nato all’interno di INFN-AAI per fornire le funzionalità di Identity and Access Management ad esso necessarie Ad oggi, grazie anche al contributo degli sviluppatori di DataWeb, GODiVA svolge a pieno le funzionalità di gestione delle Identità Deve essere ora garantito lo sviluppo della parte relativa alla gestione degli Accessi, essenziale per INFN-AAI INFN-AAI - Dael Maselli

F I N E INFN-AAI per il Servizio Sistema Informativo Dael Maselli