Shibboleth Single-Sign-On

• Beschreibung
• Identity Provider der PHL
• Infos und Erläuterungen

Zugangsberechtigungen zu Online-Diensten werden besonders im Wissenschaftsbereich zunehmend über das Verfahren Shibboleth Single-Sign-On (SSO, dt. Einmalanmeldung) geregelt.

Shibboleth ist eine Entwicklung der US-amerikanischen INTERNET2-Initiative. Die Infrastruktur der Shibboleth Föderation in Deutschland wird innerhalb des DFN-AAI (Authentifikations- und Autorisierungs-Infrastruktur) vom Deutschen Forschungsnetz (DFN) betreut. In der Shibboleth Föderation haben Anbieter von Online-Diensten die Rolle der Service Provider (SP, dt. Diensteanbieter); die Hochschulen übernehmen die Aufgabe der Identity Provider (IdP, dt. Identitätsanbieter) und liefern Attribute zur Identität von Benutzern.

Das Shibboleth-Verfahren erlaubt es Benutzern, anstelle einer Authentifizierung beim Service Provider einen Zugriff auf Online-Dienste durch Authentifizierung gegenüber der Heimatorganisation zu erhalten. Zur Authentifizierung bei der Heimatorganisation verwenden Benutzer ihren Anmeldenamen und ihr Passwort der Heimatorganisation. Benutzer benötigen dadurch nicht bei jedem einzelnen Service Provider eine eigene Benutzerkennung mit Passwort.

Der Authentifizierungsvorgang bei einem Service Provider wird im Shibboleth-Verfahren umgeleitet auf das Anmeldeportal der Heimatorganisation, die als Shibboleth Identity Provider nach erfolgreicher Anmeldung eines Benutzers die relevanten Attribute des Benutzers an den Service Provider übermittelt. Der Service Provider entscheidet auf Grund der Attribute, z.B der Zugehörigkeit zur Gruppe der Studierenden oder Mitarbeiter, ob ein Benutzer berechtigt ist, auf den Online-Dienst zuzugreifen. Der Service Provider erfährt vom Identity Provider der Heimatorganisation nur die Attribute des Benutzers. Dadurch bleibt der Benutzer gegenüber dem Service Provider anonym.