INFN-AAI HA SAML Identity Provider Dael Maselli Workshop CCR INFN GRID 2011 16-20 Maggio.

Presentazione sul tema: "INFN-AAI HA SAML Identity Provider Dael Maselli Workshop CCR INFN GRID 2011 16-20 Maggio."— Transcript della presentazione:

1 INFN-AAI HA SAML Identity Provider Dael Maselli Workshop CCR INFN GRID 2011 16-20 Maggio

2 SAML Identity Provider idp.infn.it è l’Identity Provider SAML2.0 di INFN-AAI Compatibile con Shibboleth 2.0 e 1.3 Supporto autenticazione: username/password X.509 PKI Kerberos GSSAPI MOTP: Mobile One Time Password 2INFN-AAI - Dael Maselli - 2011

3 Autorizzazione Backend autorizzazione: LDAP INFN-AAI l’IdP può fornire attributi alle applicazioni (Service Provider) prendendoli dai server LDAP di AAI è possibile definire quali attributi fornire per ogni Service Provider di default vengono esposti gli attributi: cn, eduPersonAffiliation, eduPersonScopedAffiliation, eduPersonEntitlement, eduPersonPrincipalName, eduPersonTargetedID, givenName, mail, sn, uid 3INFN-AAI - Dael Maselli - 2011

4 Stato attuale idp.infn.it è in produzione da Agosto 2010 Servito da 2 nodi ai LNF Gestisce circa 1200 autenticazioni (riuscite) ogni giorno senza accenni al sovraccarico è comunque possibile aggiungere nodi al servizio con poco sforzo 4INFN-AAI - Dael Maselli - 2011

5 Clienti Attualmente viene utilizzato da vari servizi nazionali: Portale SI (portale-sisinfo.infn.it) Gestione presenze SI Tutte le applicazioni DataWeb (preventivi, consuntivi, formazione, associazioni, ecc.) Indico INFN (agenda.infn.it) Wiki INFN (wiki.infn.it) Joomla! INFN (web.infn.it) altri… alcune sedi lo usano anche per applicazioni locali: Catania, LNF, Parma, Pavia, Roma2, Trieste 5INFN-AAI - Dael Maselli - 2011

6 Attuali sistemi di ridondanza Attualmente il sistema risiede su 2 nodi ai LNF System, LAN, Storage NSPOF Load balancing & failover via Cisco SLB PHP Sessions: Memcache sessioni in mirror tra i 2 nodi Se i LNF sono online lo è anche idp.infn.it 6INFN-AAI - Dael Maselli - 2011

7 Ridondanza su WAN! Il core di INFN-AAI è naturalmente ridondato geograficamente: LNF e CNAF Fin ora ci siamo posti il problema di come ottenere un failover trasparente dei servizi come i web server Ora abbiamo il dominio ha.infn.it A breve avremo un IdP gemello di quelli di Frascati al CNAF otterremo una configurazione active/passive con priorità maggiore su LNF (2 nodi LB) 7INFN-AAI - Dael Maselli - 2011

8 idp-infn.lnf 8INFN-AAI - Dael Maselli - 2011 idp1-infn.lnf idp2-infn.lnf idp-infn.cnaf idp.infn.it INFN-AAI Core Service LDAP

9 F I N E INFN-AAI HA SAML Identity Provider Dael Maselli Workshop CCR INFN GRID 2011