INFNAAI per il Servizio Sistema Informativo Dael Maselli

INFN-AAI per il Servizio Sistema Informativo Dael Maselli Frascati, 10/07/2012 Riunione plenaria del Servizio Sistema Informativo

Cosa è INFN-AAI l l l Authentication & Authorization Infrastructure Garantire a tutte le applicazioni INFN un sistema per l Il riconoscimento degli utenti (Auth. N) l e dei relativi permessi in base ai ruoli (Auth. Z) Definizione degli standard per l’interazione tra applicazione e INFN-AAI Garanzia di affidabilità tramite sistemi di High. Availability e ridondanza geografica Garantire l’aggiornamento dei dati forniti INFN-AAI - Dael Maselli - 2012 2

AAI nel contesto generale INFN-AAI - Dael Maselli - 2012 3

La Storia di GODi. VA l l Durante lo studio di AAI ci si è resi conto che non esisteva una base dati delle utenze e ruoli INFN Si è deciso che l’INFN aveva bisogno di uno IAM l Identity and Access Manager INFN-AAI ha quindi definito l’architettura del IAM per l’INFN e coordinato lo sviluppo del software GODi. VA Nel frattempo INFN-AAI si è preoccupato di reperire i dati cercando di armonizzarli INFN-AAI - Dael Maselli - 2012 4

AAI, AAI PLUS, IAM & GODi. VA INFN-AAI - Dael Maselli - 2012 5

Architettura di Autenticazione l l Front-end (quello che l’utente può utilizzare) l WAWA (SAML 2. 0 Id. P) l Username/Password l Kerberos 5 GSS-API l X. 509 l One. Time. Password (in test) l LDAP l Kerberos 5 (for selected users only) Back-end (cosa c’è dietro) l Kerberos 5 l PKI X. 509 (INFN-CA & TERENA TCS) l LDAP INFN-AAI - Dael Maselli - 2012 6

Achitettura LDAP di INFN-AAI l Ramo nazionale (ou=people, dc=infn, dc=it) gestito via GODi. VA + proto. XXX (user, group, NIS) infn. UUID given. Name sn cn O (Organization) OU (Organization Unit) L (locality) edu. Person. Affiliation edu. Person. Entitlement is. Member. Of schac. User. Status schac. Personal. Unique. ID (CF) uid mail. Alternate. Address infn. Kerberos. Principal INFN-AAI - Dael Maselli - 2012 7

Achitettura LDAP di INFN-AAI l Ramo locale (ou=people, dc=infn, dc=it) gestito via protoserv (a cura dei servizi calcolo delle strutture) uid mail. Alternate. Address infn. Kerberos. Principal given. Name sn cn schac. Personal. Unique. ID (CF) infn. Linked. UUID INFN-AAI - Dael Maselli - 2012 8

Perché proto. Tools l l l INFN-AAI nasce per fornire il servizio di Autenticazione ed Autorizzazione per tutti i sistemi informatici dell’INFN l Servizi centralizzati (Data. Web, Sis. Info, Webtools, ecc. ) l Servizi locali l Login interattive UNIX l Calcolo scientifico (es cluster Nucleari teorici a Pisa) In questo scenario è essenziale integrare in INFN-AAI le informazioni provenienti dalle strutture Lo sviluppo di GODi. VA non era (e non lo è ancora) maturo al punto di integrare le funzionalità dei proto. Tools INFN-AAI - Dael Maselli - 2012 9

Requisiti per Autenticazione l l Identità Digitale registrata in GODi. VA l infn. UUID, given. Name, sn, … Username l uid Sistema di autenticazione l infn. Kerberos. Principal oppure user. Password Posta elettronica istituzionale l mail e mail. Alternate. Address INFN-AAI - Dael Maselli - 2012 10

Login tramite INFN-AAI (Auth. N) l Perché un utente possa accedere ad una applicazione tramite INFN-AAI questi deve: l avere un account fornito dal Servizio Calcolo e Reti della sede di contratto e le informazioni relative a tale account inserite correttamente in proto. AAI (a cura del Servizio Calcolo e Reti locale); l altrimenti può registrarsi tramite la procedura https: //iam. infn. it/Nuova. Anagrafica/ e attendere che la propria anagrafica venga certificata. INFN-AAI - Dael Maselli - 2012 11

Informazioni sugli utenti (Auth. Z) l l INFN-AAI può mettere a disposizione delle applicazioni alcune informazioni relative all’utente l Stato del contratto/associazione/ospitalità/ecc. l Ruolo negli organigrammi istituzionale e scientifico l Indirizzo email di contatto l Sede di appartenenza l ecc. . . Tali informazioni vengono condivise secondo delle politiche di accesso definite in modo granulare. INFN-AAI - Dael Maselli - 2012 12

I Numeri di INFN-AAI l INFN-AAI mette a disposizione informazioni su: l 14. 055 Identità l 7. 769 posso accedere alle applicazioni l 6. 286 quindi NON possono accedere per la mancanza di attributi essenziali (uid, e-mail) l a tutt’oggi solo 363, distribuite a macchia di leopardo nelle strutture INFN, sono relative a contratti in essere, registrati in INFN-AAI: l associati: 301 l borsisti: 38 l ospiti: 23 l dipendenti: 1 INFN-AAI - Dael Maselli - 2012 13

Ectoplasmi l Tra le Identità Digitali presenti nel ramo nazionale di INFN-AAI, ogni tanto manca qualcuno l Dipendente o Borsista non inserito nell’anagrafica di HR della Direzione Affari del Personale di AC l Es. Jan Perz l Associabili per i quali non è stata mai iniziata la procedura di associazione INFN-AAI - Dael Maselli - 2012 14

L’importanza di GODi. VA l l l GODi. VA è nato all’interno di INFN-AAI per fornire le funzionalità di Identity and Access Management ad esso necessarie Ad oggi, grazie anche al contributo degli sviluppatori di Data. Web, GODi. VA svolge a pieno le funzionalità di gestione delle Identità Deve essere ora garantito lo sviluppo della parte relativa alla gestione degli Accessi, essenziale per INFN-AAI - Dael Maselli - 2012 15

FINE INFN-AAI per il Servizio Sistema Informativo Dael Maselli