Služby poskytované Proxy IdP

Filtr pro WAYF/DS (Where Are You From/Discovery Service)

SP může ovlivnit seznam poskytovatelů identit na WAYF Proxy IdP. Jelikož je WAYF založen na CESNET WAYF (https://www.eduid.cz/cs/tech/wayf), konfigurace filtru se provádí přes https://ds.eduid.cz/filter.php.

Hodnotu filtru poté předat jako atribut filter.
Pro delší filtry doporučujeme hodnotu filtru uložit do souboru a odkaz na daný soubor předat jako attribut efilter.

Více informací o filtru naleznete na https://www.eduid.cz/cs/tech/wayf/sp v části Generátor filtrů

Jak filtr předat Proxy IdP

a. Atributem AuthnContextClassRef v protokolu SAML2

SP nastaví atribut AuthnContextClassRef:
  • Pro filtr hodnotou : urn:cesnet:proxyidp:filter:[hodnota Vámi vygenerovaného filtru]
  • Pro efiltr hodnotou : urn:cesnet:proxyidp:efilter:[odkaz na soubor s filtrem]

V případě naplnění obou filtrů současně bude použit efiltr.

Ukázka nastavení Shibboleth SP v shibboleth2.xml:

<!-- eduID.cz, eduGAIN, Social, Hostel  -->
<SessionInitiator entityID="https://login.cesnet.cz/idp/" type="SAML2" template="bindingTemplate.html" Location="/allfed" id="allfed" relayState="cookie" authnContextClassRef="urn:cesnet:proxyidp:efilter:https://perun.cesnet.cz/wayf/wayf-filter-allfed.txt" />

Ukázka nastavení Shibboleth SP přes Apache web server:

<Location abc>
  ...
  ShibRequestSetting authnContextClassRef urn:cesnet:proxyidp:efilter:https://perun.cesnet.cz/wayf/wayf-filter-allfed.txt
  ...
</Location>

b. Manuálním nastavením SP na Proxy

Filtr je též možné definovat na straně Proxy IdP. Tuto změnu musí provést správce Proxy IdP.
Žádost o přidání filtru posílejte na: s entityId SP a hodnotou filtru/odkaz na soubor s filtrem.


Proxy není schopna kontrolovat, zda jí bude předán validní filtr

V případě nevyužití ani jedné z těchto možností bude zvolen defaultFilter, který zahrnuje federace eduID.cz, eduGAIN,Social a StandaloneIdP

Přístup na konkrétní IdP bez WAYFu

Přímý přístup na konkrétní IdP lze nastavit pomocí atributu AuthnContextClassRef v protokolu SAML hodnotou urn:cesnet:proxyidp:idpentityid:[EntityId daného IdP]