[HREF-tech] RR tapasztalatok - SP szűrési szabályok

[Csillag Tamas]

Sziasztok!

Egy kis segítségre van szükségem, illetve tapasztalataimat osztanám
meg: Ma próbálkoztam életem első RR-ben felvett és az RR-es elképzelés
szerint beállított SP-t életre kelteni.

Tapasztalatok:

Kivettem azt az általános szabályt, ami a többi föderációs SP fele egy
minimális attribútum halmazt kiad. Így nem működött a wiki.aai.niif.hu
-n a belépés. (Mert ha valakinél csak ajánlott az eppn kiadása, annak
nem adom ki.) Kézzel felvettem a RR-ben, hogy a wiki.aai -nak
mindenképp adja ki. Most működik.
. Esetleg át lehetne írni, hogy ne ajánlott, hanem kötelező legyen?

SP létrehozásakor a nameid választásakor elbizonytalanodtam. Végül kis
hezitálás után a "Persistent NameID" lehetőséget választottam (később
persze rájöttem, hogy nálunk az IDP nem tud ilyet). Az IDP (slo build)
nullpointerexception-t dobott.
. Az újabb idp-k amin ezt a hibát javítottátok hogyan viselkezdik
ilyen esetben?
. Nem lehetne esetleg default-nak a 'Transient NameID' -t bejelölni?
Lehet, hogy cél lehet, hogy a persistent nameid elérhető legyen
(tényleg ez manapság egy föderációs idp-n mennyire elérhető?), de
lehet, hogy érdemes lenne jelezni az SP-t regisztrálónak, hogyha
valaki a persistent nameid-t kéri, akkor az idp-k egy részével fog
csak tudni kommunikálni.

Az SP-nek előkészített attribute-policy.xml szűrést alkalmaz a
eppn-re. Nálunk most úgy van konfigurálva, hogy az email címet adja ki
eppn-ként (az emailszerver is ezt használja, így ez így jó, user nem
módosíthatja). Viszont azt sejtem, hogy nem jó a formátum amiben
kiadja, így a ScopingRules kiszűri (jelzi a logban, ha a szűrést
megszüntetem az alkalmazás megkapja).
. Kérlek segítsetek, hogy az IDP-n, hogyan kell ezt konfigurálni, hogy
jól működjön? (továbbra is úgy szeretném, hogy az email címet
használja)

Előre is köszönök mindent!

Üdv.
-- 
CSILLAG Tamas (cstamas) - http://digitus.itk.ppke.hu/~cstamas

We must not put mistakes into programs because of sloppiness, we have to do it
systematically and with care.                        -- Edsger Dijkstra