Presentazione del software Grouper per la gestione dei privilegi di gruppo in un contesto di Single Sign On, a cura del Gruppo di lavoro VOs del CTS

Transcript

1 Presentazione del software Grouper per la gestione dei privilegi di gruppo in un contesto di Single Sign On, a cura del Gruppo di lavoro VOs del CTS Danilo Crecchia Università di Modena e Reggio Emilia

2 Cos è Grouper Grouper e' uno strumento sviluppato dalla internet2 che perme5e di creare degli spazi di lavoro (folder o stem) so5o cui definire dei gruppi (normalmente di uten<) ed aggiungere en<tà ai gruppi stessi ricercandoli in diverse fon< da< (es. ldap locale).

3 Come lavora Folders o stem Gruppo Membri direk So5ogruppi Membri indirek Tom Barton

4 Gruppi composti e gruppi calcolati I gruppi compos< sono da< dall' unione, intersezione tra altri due gruppi o dal complementare di un gruppo rispe5o ad un altro; = = = - I membri dei gruppi calcola< vengono recupera< da una query fa5a su una base di da<.

5 Membri e privilegi I membri sono chiama< subject: un astrazione di qualsiasi ogge5o la cui appartenenza può essere ges<ta da Grouper; Ai subject possono essere assegna< privilegi sui gruppi o sugli stem: Create group Create folder Admin Update membership Read membership View group Op<n Optout I privilegi assegna< su un gruppo sono eredita< da tuk i suoi membri

6 Moduli Grouper API Grouper UI Grouper WS Grouper - PSP

7 Grouper - API Questo modulo è il cuore del so]ware, al suo interno possiamo trovare le configurazioni rela<ve a: db relazionale u<lizzato; fon< di da< da cui recuperiamo i membri; logging; autocaricamento dei gruppi calcola< (loader); ESB; Hooks (trigger che sulla base di even< di Grouper possono far par<re programmi Java). Tu5e le operazioni possibili vengono effe5uate tramite una shell (GSH)

8 Grouper - UI Rappresenta l interfaccia web (personalizzabile nel layout) che espone molte delle funzionalità dell api. Si divide in: Admin UI: da accesso a quasi tu5e le funzionalità e gli oggek (folder, gruppi, membri, privilegi, a5ribu< ); Lite UI: condivide le stesse funzione della prima richiedendo meno click grazie all uso della tecnologia ajax. Di default l auten<cazione viene fa5a da Tomcat ma sulla base di semplici configurazioni (Newcastle University) può essere delegata a Shibboleth.

9 Grouper - WS Mentre la ui risulta appropriata per amministratori con una buona conoscenza dei concek alla base della ges<one del gruppo può non essere un'okma scelta per quegli uten< finali che si dovranno occupare della ges<one di uno o pochi gruppi. In quest'ul<mo caso forse è più appropriato incorporare le funzionalità di ges<one del gruppo in un'applicazione esistente a5raverso l'uso dei web services. Web Services disponibili (soap/rest): Add Member Add or remove grouper privileges Assign A5ribute Defini<on Name Inheritance Assign A5ributes Assign Permissions A5ribute Defini<on Name Delete A5ribute Defini<on Name Save Delete Member Get A5ribute Assignments Get grouper privileges Get Groups Get Members Get Memberships Get Permission Assignments Get Subjects Find A5ribute Defini<on Names Find Groups Find Stems Group Delete Group Save Has Member Member change subject Stem Delete Stem Save

10 Grouper PSP (Provisioning Service Provider) Porta su LDAP Stem, memberships e gruppi Sfru5a lo shibboleth a5ribute resolver (componente locale) per il calcolo degli a5ribu< U<lizza un linguaggio di provisioning standard SPMLv2(Service Provisioning Markup Language) Può importare gruppi LDAP già presen< Perme5e il provisioning su più LDAP

11 SSO e Grouper Grazie a Shibboleth oggi possiamo trascurare in maniera completa l'auten<cazione ma come ci dice Stefano Gargiullo nella presentazione 'Federare un'applicazione': Un applicazione prote5a con Shibboleth non effe5ua alcun <po di autorizzazione o meglio effe5ua un autorizzazione che coincide con l auten<cazione. L autorizzazione è possibile solo in presenza di a5ribu< associa< all utente (elemen< per discernere l insieme di azioni concesse ad un iden<tà). Un caso possibile in IDEM è sfru5are l a5ributo edupersonscopedaffilia<on a fini autorizza<vi, (per autorizzazioni piu` granulari si potrebbe richiedere un valore specifico di edupersonen<tlement o avere un mapping dei ruoli in locale) Sfru=ando le potenzialità di Grouper è possibile, in maniera centralizzata, gesdre gli accessi e le autorizzazioni per ogni applicadvo.

12 SSO (le autorizzazioni con un mapping dei ruoli in locale) ApplicaDvo Ges<one ruoli uid uid ruolo Paperino Ruolo_1 Topolino Ruolo_2 Pippo Admin Admin

13 SSO (le autorizzazioni con Grouper) ldap org applica<vo admin ruolo1 ruolo2 Priv. admin ApplicaDvo ismemberof Ges<one ruoli org:applica<vo:admin......

14 Perché Grouper? Rende facile gestire accessi ed autorizzazioni alle applicazioni Permette di delegare la gestione degli accessi a persone che non hanno nessuna competenza informatica Permette di creare gruppi di soggetti (persone, ) a partire da fonti diverse (ldap, oracle, mysql, etc) In un unico posto si può vedere chi accede a cosa

15 Ringraziamenti Roberta Cantaroni Università di Modena e Reggio Emilia (membro del CTS- IDEM) Francesco Malvezzi Università di Modena e Reggio Emilia

16 Riferimenti h=p://