Related Posts:

• No Related Posts

Este proyecto de investigación ha sido posible gracias a la colaboración del Sistema nacional de Educación a Distancia de México (SINED) con el que ya hemos trabajado con anterioridad.

Actualmente y utilizando el software simplesamlphp es posible la provisión de usuarios bajo demanda, es decir, una vez que el usuario requiere entrar en un sitio, la aplicación final automáticamente da de alta el usuario y no sólo eso sino que es capaz de mantener los datos del usuario actualizados (se actualizarían cada vez que el usuario accede).

Esto es posible mediante la técnología de simplesamlphp montando un Proveedor de identidad, un proveedor de Servicio y desarrollando un conector para la herramienta final, que proporcione soporte SAML2.0 y que además incluya la lógica de crear y actualizar los datos del usuario.

Problemática a resolver

Nos encontramos con escenarios en los que se requiere que los usuarios sean dados de alta por un administrador en un determinado momento y de manera asíncrona. Por ejemplo en el caso de Moodle, un profesor necesita de antemano la lista de usuarios a los que va a impartir un curso y si estos no se provisionan en el Moodle hasta que el alumno accede por primera vez, el profesor nunca será consciente de la existencia de ese usuario.

Escenarios de provisionamiento

A continuación vemos una tabla basada en la información extraída de un estudio desarrollado por SURFnet en el que se analizan como se resuelven el provisionamiento y el deprovisionamiento en las diferentes soluciones existentes.

Nuestra solución se alinearía con la de escenario de provisionamiento/deprovisionamiento iniciado en el IdP y asistido por la federación, haciendo uso de Attribute Query para el caso de Uno x Uno.

Objetivo de la investigación

El objetivo es estudiar la viabilidad de desarrollar un sistema que permita a un administrador de un proveedor de identidad dar de alta usuarios en las aplicaciones de forma asíncrona y segura, haciendo uso del estándar SAML2.0.

Una diferencia notable de la solución que planteamos que difiere de los anteriores mecanismos es que nuestro método no requiere de nuevos mecanismos de seguridad/autenticación para validar las acciones. Nuestra solución utilizara SAML no solo para la transferencia de la información del usuario a provisionar, sino también para validar que la persona que ejecuta la acción de provisionar posee los permisos para ello.

Por tanto se ofrecera una solución segura y de garantias utilizando los mecanismos que ya existen en un entorno que soporte SAML2, sin la necesidad de hacer uso de otro tipo de tecnologías que aumentarían la complejidad del sistema.

Esquema de la solución

En el siguiente esquema se muestran los diferentes elementos que componen el sistema:

Planificación

El proyecto tiene una planificación corta (6 meses), actualmente nos encontramos en la fase de investigación, aunque paralelamente ya estamos poniendo a prueba el protocolo AttributeQuery.

Otros datos de interés

Las pruebas de concepto serán desarrolladas con una aplicación ficticia implementada para la prueba de concepto y para la aplicación Moodle.

En el caso de Moodle se mejorarán los actuales plugins existentes (saml y enrol) para que ofrezcan esta nueva funcionalidad de provisionamiento asíncrono.

Como resultado de esta implementación serán reforzadas las actuales funcionalidades de simpleSAMLphp al contribuir con mejoras del Attribute Query, mecanismo que será utilizado para la transferencia de información.

Proyectos relacionados

Actualmente existen 2 proyectos que tratan de resolver la problemática del provisionamiento de usuarios pero con un enfoque totalmente diferente al de nuestra investigación. Estos proyectos son:

• STINUS
  Es un proyecto que inicialmente comenzaron WAYF.dk y SURFnet, que pretendía ser una herramienta multi-protocolo que permita la administración web de forma centralizada de los permisos/roles de un conjunto de aplicaciones.
  De este proyecto ya hablamos en una antigua entrada de nuestro blog.
• GigaPort3
  Es un proyecto de SURFnet basado en el software Java Syncope liderado por Remco Poortinga. Su objetivo principal es la de construir un mecanismo central para el provisionamiento y utilizarlo en su plataforma SURFconext.

Related Posts:

• Como hacer que nuestras aplicaciones de Google Apps autentiquen contra nuestra fuente de usuarios local (base de datos, ldap, etc) usando Uniquid (protocolo SAML 2.0).
• “El viaje al e-learning no ha hecho más que comenzar”
• Yaco Sistemas participará en el Workshop #EducaciónyFuturo en Mexico D.F

Refresco de metadatos

Esta funcionalidad permite a los usuarios configurar PEER para que actualice sus metadatos de forma periódica. Para un correcto funcionamiento es necesario que el identificador de la entidad sea una URL que apunte a los mismo metadatos.

Vista previa antes de comitear

Uno de los principales problemas de la vista de edición de metadatos era que el mensaje de commit se perdía con cierta frecuencia y que se mostraban al usuario mensajes de errores en los campos una vez enviados los cambios. Además después de realizar varios cambios no era posible ver el impacto que estos cambios tendrían en los metadatos finales, siendo obligatorio realizar commit de los mismos para visualizarlos.

Hemos solucionado estos problemas en la versión 0.8.0, añadiendo un dialogo modal con el mensaje del commit y las diferencias con respecto a la versión anterior. Este cuadro de dialogo aparece cuando el usuario hace clic en el botón de enviar y es útil para separar el flujo de la edición del flujo del envio.

 Co-existencia con repositorios Git

Antes de la versión 0.8.0, PEER siempre usaba su propio repositorio Git para almacenar los metadatos de las entidades. Si el repositorio no existía lo creaba.

En ésta entrega hemosañadido la posibilidad de utilizar un repositorio externo en el que ya existieran datos previos de entidades. Ahora será necesario indicar que repositorio queremos utilizar para almacenar los metadatos.

Esperamos que esta mejora haga mas facil la integración de PEER con otras herramientas.

Agrupamiento de metadatos

Haciendo uso de esta mejora cualquier usuario de PEER puede definir los grupos de entidades que desee. Un grupo no es más que un nombre que lo identifica y una “query” que lo define. Por decirlo de otro modo, los grupos son conjuntos dinámicos de entidades. Una entidad pertenece a un grupo si sus metadatos cumplen con los argumentos especificados en la “query” dque define ese grupo. Una funcionalidad guay pero, ¿para que sirven realmente los grupos? Bien, tu puedes obtener una fuente RSS con los cambios de los metadatos de cualquier entidad de ese grupo, un mapa con las localizaciones de las entidades y una bonita URL para distribuir el conjunto de entidades.

Hemos implementado un potente lenguaje de consultas para las entidades basado en la especificación XPATH. Da al usuario una gran flexibilidad para definir grupos. En estos momentos podemos definir multiples expresiones XPATH que son agregadas con el operador lógico AND. En un futuro será soportado el operador OR.

Enriqueciento de los metadatos

Por último hemos hecho mejoras en el editor SAMLmetaJS para añadirle soporte de algunas nuevas funcionalidades del estandar de Metadatos SAML y algunas extensiones. Soporte para definir las urls de RequestInitiator y DiscoveryResponse, establecer keywords y logos y algunas mejoras en el plugin de geolocalización como la posibilidad de auto-desciubrir tu geolocalización usando la API de HTM5. Hemos tratado de desarrollar estos componentes externos de la manera menos intrusiva para que Andreas Soldberg el mantenedor de SAMLmetaJS pueda integrar estas mejoras de la manera más fácil posible.

Pero no sólo hemos realiazado cambios en el editor SAMLmetaJS, si tus metadatos son lo suficientemente ricos, la vista pública de tus metadatos mostrará el logo y la localización de tu entidad en el mapa. De esta manera podemos hacer que se destaque y sea más reconocible. Los atributos MDUI son particularmente importantes cuando realizamos descubrimientos por lo que animo a cualquiera que este encargado de los metadatos de su entidad a que agregue esta información. Rodd Widdowson ha escrito una serie de documentos que resumen recomendaciones para las federaciones y softwares referentes a estos atributos.

• Software: https://refeds.terena.org/index.php/MDUI_-_Software_recommendations
• Federations: https://refeds.terena.org/index.php/MDUI_-_Federation_recommendations

Y esto es todo lo nuevo que traemos en esta versión 0.8.0 . Estar atentos pues la entrega de la 0.9.0 será el próximo mes y traera nuevas mejoras.

Related Posts:

• PyPI and YacoPyPI y Yaco
• PEER. Primeras impresiones
• Presentación de PEER en el encuentro REFEDS de otoño

La verdad es que el viaje fue algo relámpago ya que fui y volví a Londres en el mismo día. A las 10 de la mañana ya estaba en el centro de conferencias donde se celebraba el FAM11. En la recepción inicial pude hablar con Andreas Solberg, creador de SimpleSAMLphp, DiscoJuice, SAMLMetaJS y muchos otros proyectos de enorme relevancia en el mundo de la federación de identidades. En nuestra conversación pude hablarle de nuestras ideas de mejoras en SimpleSAMLphp y su respuesta fue muy positiva. También hablamos del problema del descubrimiento del proveedor de identidad y como DiscoJuice intenta resolverlo mejorando enormemente el estado del arte de los servicios WAYF. Finalmente mencionamos el proyecto SAMLMetaJS y las futuras contribuciones que haremos dentro del proyecto PEER. Uno de los problemas que me preocupaban era la limitación del interfaz de usuario actual basado en pestañas en cuanto al número de plugins posibles que se puedan tener activados. En principio pensamos que en lugar de añadir muchos más plugins lo que haríamos sería enriquecer los actuales.

A continuación asistí a la keynote impartida por Jonathan Richardson de la University of East Anglia. En su charla nos contó cómo han tenido que empezar a tomarse mucho más en serio los datos de identidad de sus alumnos desde perspectivas como el valor que se le ofrece a sus alumnos y también con respecto a la seguridad de esa información tan sensible. Las universidades deben tomar la decisión de publicar la información básica o mantenerla en privado. En general a los usuarios no les importa la tecnología y el proceso de la autenticación. Lo que quieren es acceder a las aplicaciones. En cuanto a la seguridad se pueden considerar 3 dimensiones principales: la seguridad del dispositivo, la seguridad de la red y la seguridad de las credenciales utilizadas. En el extremo de lo más seguro tendríamos un ordenador personal conectado con un cable de red a la red del campus y un sistema de credenciales basado en tarjetas criptográficas. En el otro extremo encontraríamos un telefóno móvil conectado via WIFI utilizando OpenID como credenciales de acceso. Otro tema interesante que trató Richardson fue la idea de que los consumidores de datos suelen tener costes derivados mientras que los publicadores de datos suelen tener ingresos por tal actividad. Finalmente mencionó el problema del phising, que ellos han sufrido, y recomendó al menos dos prácticas muy simples: no tener pantallas de acceso distintas para cada aplicación y nunca enviar tú contraseña o datos personal en respueta a un email. Parece muy básico pero se nos suele olvidar demasiado a menudo. Igual que el no bloquear el teléfono móvil cuando lo tenemos configurado con el acceso al correo electrónico, que, como todo el mundo sabe es la llave principal a todas nuestras identidades digitales.

Tras esta interesante charla pude conversar en el descanso con Paul Tallentire, un técnico de IT de la biblioteca del Birtbeck College. Aunque estaba empezando en el mundo de la federación de identidades lo cierto es que se mostró muy interesado y tuve la oportunidad de mencionarle nuestros trabajos en el sur de España.

De vuelta a las charlas asistí a la que se daba del proyecto Moonshot en la que Rhys Smith nos contó el problema de que la federación de identidades es actualmente una colección de tecnologías bastante fragmentada. Por un lado tenemos Radius y Eduroam (entre otros) para la autenticación federada de las redes de comunicación. Por otro tenemos la autenticación federada de las aplicaciones con protocolos como SAML2, OpenId o Facebook Connect. Incluso hay un hueco en las aplicaciones de escritorio ya que no se suelen utilizar tecnologías federadas en este caso. El objetivo del proyecto Moonshot es poner un poco de orden en todo este caos sin reinventar ninguna rueda, sólo basándose en tecnologías maduras como GSSA-API, SSPI, SASL, Radius, EAP, SAML y un poco de código de pegamento. Moonshot no quiere sustituir nada, sólo complementarlo. Por ejemplo, vimos un caso de autenticación federada entre un cliente ssh, un servidor ssh y un servidor Radius. En este ejemplo la autenticación la resolvía Radius mientras que la autorización se delegaba a un componente que “hablaba” SAML. Rhys habló del estado de Moonshot diciendo que está listo para testeo intensivo en el caso de Linux y Mac y que los clientes de Windows estarán listos en el primer cuatrimestre del 2012. Hay un piloto en JANET y quieren pasar el proceso de estandarización de la IETF. En el futuro ven su software como una parte integrada del Sistema Operativo.

A continuación Alex Bilbie que nos habló del protocolo Oauth. Aunque fue una charla algo básica siempre es bueno escuchar las opiniones de una persona tan joven que no tiene ningún background en federación de identidades ya que le coloca en una posición en la que ver las cosas desde otras perspectivas muy interesantes.

En el descanso de la comida puede hablar con otras personas procedentes de distintas universidades y comprobé que se enfrentan a un problema similar al que tenemos en la federación CONFIA: han sido capaces de construir una federación formada por una enorme cantidad de proveedores de identidades pero escasean los proveedores de servicios. En el caso de la federación inglesa el proveedor de servicio dominante es el acceso a las bibliotecas y es común que a este tipo de eventos acudan tanto especialistas en federación de identidades como bibliotecarios, ya que son los principales usuarios por ahora. También es importante destacar que los LMS se están abriendo camino poco a poco.

Por la tarde estuve en las charlas de usabilidad con ponentes de la talla de Andy Powell, Rod Widdowson y Andreas Solberg. Los tres hablaron de cómo las tecnologías de la federación de identidades han madurado y son bastante solidas pero lo mismo no ocurre con la usabilidad de las soluciones ofrecidas. En este sentido trabajos como el conjunto de metadatos MDUI son un paso en la dirección adecuada pero es necesario que los responsables de los servicios y los proveedores de identidad lo adopten y proporcionen dichos metadatos. Los avances en servicios WAYF son también muy importantes y en este sentido DiscoJuice es una herramienta muy útil.

En otro de los descansos estuve charlando con Joost van Dijk al que ya conocí en Helsinki. En esta ocasión hablamos del software Filesender y le comenté posibles vías de colaboración. Aunque él no lleva directamente este proyecto sí que me facilitó los contactos adecuados para que les podamos transmitir nuestras ideas.

Para terminar el evento asistí a una charla en la que se habló del futuro de OpenAthens. OpenAthens es un software de proveedor de identidad muy popular en Inglaterra y por lo que pude comprobar las próximas versiones (OpenAthens LA y el proyecto Monteverde) incluyen una interfaz de usuario totalmente rediseñada y espectacular.

En definitiva, un evento muy productivo y bien organizado. Espero poder acudir a futuras ediciones.

Os dejo una foto con Andreas

Related Posts:

• Slides of FAM11 — Federated Access Management ConferencePresentaciones del FAM11 — Federated Access Management Conference
• FAM11 — Federated Access Management Conference

EUDAT pretende desarrollar un modelo de infraestructura colaborativa de datos (“Collaborative Data Infrastructure”, CDI) que mejore el acceso a los datos científicos y ofrezca respuesta a las necesidades de los investigadores. Para ello integrará a todos los agentes involucrados (gestores de repositorios de datos nacionales, centros de almacenamiento y computación, redes, proveedores de identidad, y centros de investigación y universidades que utilizan esas infraestructuras de datos). El proyecto pretende que su infraestructura sea colaborativa, orientada a las necesidades de los investigadores, sostenible y flexible, paneuropea y multidisciplinaria.

El Barcelona Supercomputing Center (BSC), apuesta también por este proyecto. / "By courtesy of Barcelona Supercomputing Center – www.bsc.es".

“EUDAT llenará un vacío importante en el actual panorama europeo de e-Infraestructuras”, afirma el Dr. Kimmo Koski, director gerente de CSC y coordinador del Proyecto EUDAT. “Nuestro objetivo es desarrollar una infraestructura genérica para la gestión de datos científicos que pueda ser utilizada por una gran diversidad de comunidades de investigación e infraestructuras existentes”.

“Esto únicamente se puede lograr con un enfoque sistemático y concentrado que cubra el ciclo vital completo de los datos, y a través de la colaboración entre las diversas partes interesadas y en particular entre las comunidades implicadas en el diseño de servicios específicos y entre los centros de datos dispuestos a ofrecer soluciones genéricas”, asegura el Dr. Koski. “Nuestro objetivo final es desarrollar un ecosistema de datos paneuropeo de alta calidad, rentable y sostenible, que ofrezca respuesta a las necesidades de los investigadores y de las comunidades de usuarios europeos”.

Los resultados esperados de la infraestructura colaborativa de datos son, fundamentalmente, impulsar la investigación y la colaboración intensiva de datos multidisciplinarios (desarrollando el despliegue de servicios comunes por parte de las comunidades investigadoras, colaborando y explotando las sinergias interdisciplinarias entre comunidades y colaborando con otras infraestructuras a gran escala); asegurar un acceso amplio y preservar los datos de un modo sostenible (teniendo una infraestructura sólida capaz de sostener la escala y complejidad de los datos que se generarán durante los próximos 10-20 años, situando a Europa en una posición competitiva en el ámbito de repositorios de datos de relevancia mundial); y desarrollar economías de escala y coste-eficiencia (compartiendo recursos y trabajo a bajo coste).

Miembros

En el proyecto EUDAT participa un consorcio de 23 socios representando a 13 países y a 15 comunidades usuarias de distintas disciplinas. Entre los socios se encuentran los principales representantes de las comunidades de investigación en lingüística (CLARIN), ciencias de la tierra (EPOS), ciencias del clima (ENES), ciencias ambientales (LIFEWATCH) y ciencias biológicas y médicas (VPH). A todos ellos se les han asignado recursos del proyecto para que puedan especificar sus necesidades y co‐diseñar los servicios relacionados. Otras comunidades se han unido a EUDAT como miembros asociados, y representan 15 disciplinas de investigación en los principales campos de la ciencia.

“EUDAT llenará un vacío importante en el actual panorama europeo de e-Infraestructuras”

El coordinador científico de EUDAT, Peter Wittenburg, del Instituto Max Planck de Psicolingüística en Nijmegen, los Países Bajos, asegura que “además de proporcionar servicios comunes como el alojamiento y la preservación de datos, EUDAT allanará el terreno para facilitar un acceso integrado e interoperable a los datos y, de esta manera, facilitar la nueva ciencia y la creación de un conocimiento eficiente”. “Es precisamente esta doble oportunidad lo que hace a la iniciativa EUDAT tan interesante para las comunidades de investigación e infraestructuras”.

Wittenburg ha destacado, sin embargo, que los retos de la integración, la interoperabilidad, la gestión del ciclo de vida de los datos, y la creación de confianza implicarían un proceso de discusión global y continuo. “EUDAT hace un llamamiento a las aportaciones de aquellos interesados en adaptar sus soluciones o colaborar en el diseño del CDI. Los foros de usuarios de EUDAT y el Grupo de Trabajo para el Acceso y la Interoperabilidad de Datos (DAIFT) ya ofrecen la oportunidad de participar en el debate”. Por su parte, Sergi Girona, director de operaciones del Barcelona Supercomputing Center (BSC), destaca la apuesta decidida del centro por este proyecto que “supone un paso adelante en materia de colaboración científica y que, al mismo tiempo, consolida la presencia del BSC en infraestructuras europeas y no únicamente en computación como hasta ahora, sino que también en la gestión de datos, que se están convirtiendo de facto en el cuarto pilar de la ciencia”.

Participación de REDIRIS

RedIRIS colabora en el proyecto EUDAT como un organismo que intenta proporcionar su experiencia en tecnologías federadas, tanto en aspectos relacionados con Infraestructuras de Autenticación y Autorización (“AAI”, en sus siglas en inglés) como en la relación de acceso a datos y metadatos. Además, contribuirá a la adaptación de las correspondientes infraestructuras necesarias para las necesidades del proyecto y apoyará las tareas operacionales del centro de investigación Barcelona Supercomputer Center.

En concreto, la labor de RedIRIS en el proyecto EUDAT se centra en la actividad WP5 del mismo, dedicada a la evaluación de los servicios y tecnologías que se aplicarán en el proyecto.

Actividades

“► WP4. Capturing Communities Requirements (conocer las necesidades de las comunidades).

“► WP5. Building the services (construir los servicios).

“► WP6. Deploying the services and operating the federated infraestructure (desarrollar los servicios y operar la infraestructura federada).

Fuente original

Related Posts:

• Como hacer que nuestras aplicaciones de Google Apps autentiquen contra nuestra fuente de usuarios local (base de datos, ldap, etc) usando Uniquid (protocolo SAML 2.0).
• Slides of FAM11 — Federated Access Management ConferencePresentaciones del FAM11 — Federated Access Management Conference
• Resumen del Workshop #EducaciónyFuturo