X-Git-Url: https://git.rohieb.name/seminar-bachelor.git/blobdiff_plain/6af31314651dc9809bcbc0fce4734fa3cb9e5873..e7e145726ad4de7e2ebbe9bdc2671cc61230a463:/authz.tex

diff --git a/authz.tex b/authz.tex
index c95c7da..684c7b5 100644
--- a/authz.tex
+++ b/authz.tex
@@ -1,13 +1,27 @@
-\section{Weitergehende Benutzerautorisierung}
+\section{Weitergehende Benutzerautorisierung: eduGAIN}
+\begin{figure}[htb]
+  \centering
+  \includegraphics[width=0.6\textwidth]{edugain-arch.png}
+  \caption{eduGAIN-Architektur~\cite{Lopez2008418}}
+  \label{fig:edugain}
+\end{figure}
 
-Um erweiterte Benutzerautorisierung zu implementieren, fÃ¼hren LÃ³pez et al. \cite{Lopez2008418}\cite{Lopez2007900} ein weiteres Modell namens \emph{\acr{NAS-SAML}} ein, das zur Verwaltung und Abfrage von Autorisierungsattributen genutzt werden kann. Auch hier hat jeder Benutzer eine Heiminstitution, die seine Autorisierungsattribute speichert.
+Um erweiterte Benutzerautorisierung zu implementieren, wurde das \emph{eduGAIN}-Projekt gestartet. Es hat zum Ziel, existierende Institutionen durch eine Authentifizierungs- und Autorisierungs-Infrastruktur zu verbinden. Die Infrastruktur (siehe Abb. \ref{fig:edugain}) besteht aus \emph{Bridged Elements} (BE), die von den Institutionen gestellt werden und die Kommunikation zwischen Institutionen regeln sowie Authentifizierungs- und Autorisierungsinformationen bereitstellen; und zum anderen einem \emph{MetaData Service} (MDS), der Metadaten Ã¼ber existierende Bridged Elements sammelt und zwischen ihnen vermittelt. Er dient als zentraler Lokationsservice, den ein Bridged Element benutzt, um zum Austausch von Autorisierungsinformationen mit Bridged Elements anderer Institutionen Kontakt aufzunehmen.
 
-Es kennt folgende EntitÃ¤ten:
+Im Kontext von eduGAIN fÃ¼hren LÃ³pez et al. \cite{Lopez2008418}\cite{Lopez2007900} ein weiteres Modell namens \emph{\acr{NAS-SAML}} ein, das zur Verwaltung und Abfrage von Autorisierungsattributen genutzt werden kann und auf den XML-basierten Sprachen SAML (\emph{Security Assertion Markup Language}) und XACML (\emph{eXtensible Access Control Markup Language}) basiert. Mittels SAML werden Authentifizierungs- und Autorisierungsinformationen ausgetauscht, wÃ¤hrend XACML dazu genutzt wird, Richtlinien fÃ¼r die Autorisierung zu definieren.
+
+Auch in diesem Modell hat jeder Benutzer eine Heiminstitution, die eine Menge von Attributen zu ihm speichert, beispielsweise seine GruppenzugehÃ¶rigkeit. Die Institution, bei der der Benutzer zu Gast ist, wird \emph{Remote Instutition} genannt. Das Modell kennt zudem folgende EntitÃ¤ten:
 \begin{itemize}
+  \item die RADIUS-Server in der Home und Remote Institution, die fÃ¼r die Authentifizierung in eduroam genutzt werden
+  \item den \emph{Identity Provider}, eine EntitÃ¤t der Home Institution, die die Authentifizierungs- und Autorisierungsinformationen Ã¼ber deren Benutzer speichert
   \item einen \emph{Policy Decision Point} in der besuchten Institution, der den Zugriff auf bestimmte Netzwerkressourcen regelt
-  \item ein \emph{edu\acr{GAIN} Bridged Element}, das die Kommunikation zwischen Institutionen regelt sowie Authentifizierungs- und Autorisierungsinformationen bereitstellt
 \end{itemize}
 
-Die Authentifizierungsphase Ã¼ber \acr{RADIUS} wird dahingehend erweitert, dass das Bridged Element der Heiminstitution des Benutzers als Interface zwischen dem \acr{RADIUS}-Server der Heiminstitution und dem Identity Provider arbeitet, und zusÃ¤tzlich dem \acr{RADIUS}-Server der besuchten Institution eine Zugriffsnummer mitgibt, mit der weitere Benutzerattribute abgerufen werden kÃ¶nnen. Das Bridged Element der besuchten Organisation ist dafÃ¼r zustÃ¤ndig, Autorisierungsanfragen des \acr{RADIUS}-Server seiner Institution zu beantworten, indem er die Anfrage an die Heiminstitution des Benutzers weiterleitet, wobei die vorher erhaltene Zugriffsnummer als SchlÃ¼ssel dient, um dem Bridged Element der Heiminstitution die Berechtigung nachzuweisen. Aufgrund dieser abgefragten Attribute ist der Policy Decision point in der besuchten Institution imstande, Autorisierungsentscheidungen zu treffen und den Zugriff auf Netzwerkressourcen zuzulassen oder zu verweigern.
+Die Kommunikation zwischen \acr{RADIUS}-Server und Bridged Element findet bevorzugt Ã¼ber \acr{LDAP} (Lightweight Directory Access Protocol) statt; einem weit verbreiteten Protokoll zur Abfrage von Daten aus einem Verzeichnis. Bridged Elements verstÃ¤ndigen sich untereinander Ã¼ber \acr{SAML}, das im XML-basierten \acr{SOAP} Ã¼ber HTTP oder Ã¤hnliche Protokolle auf Anwendungsschicht gekapselt wird, um Prozeduren auf entfernten Systemen aufzurufen (sog. \emph{Remote Procedure Call}).
+
+Die Authentifizierungsphase Ã¼ber \acr{RADIUS} wird dahingehend erweitert, dass der Server der Home Institution dem anfragenden Server der Remote Institution in der RADIUS-\emph{Access-Accept}-Nachricht ein \emph{Handle} mitgibt, mit dem dieser Ã¼ber das Bridged Element seiner Institution weitere Attribute des Benutzers abfragen kann. Das Bridged Element der Remote Institution leitet die Autorisierungsanfragen Ã¼ber SAML an das Bridged Element der Heiminstitution weiter, wobei das vorher erhaltene Handle als SchlÃ¼ssel dient, um dem Bridged Element der Heiminstitution die Berechtigung nachzuweisen.
+
+Die empfangenen Attribute wiederum verwendet das Bridged Element der Remote Institution, um den Policy Decision Point nach einer endgÃ¼ltigen Autorisierungsentscheidung zu fragen, und schlieÃlich dem RADIUS-Server der Remote Institution mitzuteilen, ob der Zugriff auf die vom Benutzer angeforderten Netzwerkressourcen zuzulassen oder zu verweigern ist.
 
-Die Kommunikation zwischen \acr{RADIUS}-Server und Bridged Element findet bevorzugt Ã¼ber \acr{LDAP} statt; die Bridged Elements verstÃ¤ndigen sich Ã¼ber das in der edu\acr{GAIN}-Architektur spezifizierte, XML-basierte Protokoll \acr{SAML}, das in \acr{SOAP} gekapselt wird.
+%\subsection{Status und Alternativen}
+eduGAIN befindet sich zur Zeit in einer Testphase, an der die LÃ¤nder Deutschland, Kroatien, Finnland, die Tschechische Republik, Polen und die Schweiz teilnehmen. \cite{edugain.org}
