Open Space sessions VAMP 2013 Notes from the Open Space - - PDF document

Open Space sessions VAMP 2013

Notes ¡from ¡the ¡Open ¡Space ¡sessions ¡ ¡

Open ¡Space ¡sessions ¡VAMP ¡2013 ¡ 1 ¡ Open ¡Space ¡1 ¡ 1 ¡ Account ¡Linking ¡and ¡Mapping ¡(combined ¡notes ¡of ¡Peter ¡& ¡Niels) ¡ 1 ¡ Industry ¡& ¡eduGain ¡(Lukas) ¡ 2 ¡ Getting ¡AAI ¡Wps ¡funded ¡(Ann ¡& ¡Jens) ¡ 3 ¡ AuthN ¡and ¡Incident ¡and ¡response ¡handling ¡(Tommi) ¡ 5 ¡ Open ¡Space ¡2 ¡ 5 ¡ Standards ¡and ¡Collaboration ¡(Michel) ¡ 5 ¡ User ¡Controlled ¡Attribute ¡Values ¡and ¡Release ¡(Lukas) ¡ 7 ¡ Harmonizing ¡Group ¡Information ¡(Niels) ¡ 8 ¡ Contrail ¡(Heather) ¡ 9 ¡

¡ ¡

Open Space 1

Account ¡Linking ¡and ¡Mapping ¡(combined ¡notes ¡of ¡Peter ¡& ¡Niels) ¡

¡ Open Space on Account Linking (AL) / ORCID Use cases:

• 1. Two Ids of the same person (-> 5 ids for 1 persons? - Step up authentication)
• 2. Attributes from different sources - use ¡ID ¡to ¡gether ¡attributes
• 3. Switching jobs - -> Common at VOs, e.g. Postdocs in Ligo
• 4. Student mobility: Joint programme with joint activities, what grades did I get with

what account - - Joined programmes in education - Need for the SAME ID at the SAME time.

• 5. Second factor linking (different levels of trust!)
• 6. SP Linking of different TargetIDs received by a number of Sps within a VO

infrastructure One solution would be ORCID, but that would be a single point of failure and they would be in charge of vetting … AL should rather be in a distributed fasion. Topics discused

• What happens when unlinking your ID?
• LOA problems: how to match LOAs? (LOA = Level of Assurance)
• Collab with users outside federation/university

Who makes the link? Central service, or done at the SP

There are services that only are allowed for members of Higher ed. Linking Google- IDs here might be a bad idea. Mapping persistentID on the side of the SP works. Map ever new targeted ID that comes in. The linking should be done by the user. Sometimes you don't want privileges go over to a linked Account. Thus Linking priviledges to an ORCID-ID only should be an option but not automatic behaviour. ORCID > 300000 Ids. Essentially a registry to get an ID usually for research (datasets, grants, publication and any other research activity). Already uni's are using this as a scenario for life-long-learning Authentication using an ORCID-ID (password) Scopes using oAuth2 to get Information: CV, Publications, grants (in very near future) many more to come. Most used in US, China. Hundred organisations have hundreds of ORCID users. Self asserted and community policed. ISNI standard is used by ORCID and both co-operate There should be a SAML attribute for the ORCID GÉANT activity on account linking (fedID and google and linkedIn etc.) Could be used for services not wanting to do SAML but using oAuth2 to disclose an ID Use case 6 is just to show how desperately such eInfrastructures need to get eduPersonPrincipleName. What is the actual need for linked accounts? When do you switch and what does that look like for the user and the SP? IS the primary ID changing? ORCID persistent over time ? Yes ePPN should also but in practice isn't. A good practice would be to include a year or so into the EPPN ¡ What ¡is ¡the ¡actual ¡need ¡for ¡linked ¡accounts? ¡When ¡do ¡you ¡switch ¡and ¡what ¡ does ¡that ¡look ¡like ¡for ¡the ¡user ¡and ¡the ¡SP? ¡IS ¡the ¡primary ¡ID ¡changing? ¡ * ¡Do ¡not ¡use ¡email ¡as ¡an ¡identifier ¡* ¡ eppn ¡-­‑> ¡uid+date@example.org ¡ ¡

Industry ¡& ¡eduGain ¡(Lukas) ¡

How ¡can ¡commercial ¡companies ¡work ¡in ¡research ¡projects ¡via ¡ federations/eduGAIN? ¡ ¡

• ­‑ ¡Problem: ¡ ¡

¡ ¡* ¡Collaborating ¡with ¡commercial ¡companies ¡often ¡requires ¡staff ¡members ¡from ¡ companies ¡accessing ¡services ¡protected ¡by ¡a ¡SAML ¡SP. ¡ ¡ ¡* ¡Company ¡staff ¡members ¡need ¡an ¡identity ¡that ¡allows ¡them ¡accessing ¡services ¡ ¡ ¡* ¡Federations ¡and ¡eduGAIN ¡are ¡operated ¡for ¡higher ¡education ¡and ¡research ¡in ¡ the ¡first ¡line. ¡They ¡don't ¡accept ¡IdPs ¡from ¡companys. ¡

• ­‑ ¡Option ¡1: ¡ ¡ ¡

¡ ¡Get ¡them ¡an ¡account ¡on ¡Guest ¡IdP ¡(Home ¡for ¡the ¡homeless). ¡ ¡ ¡ ¡Disadvantage ¡that ¡user ¡gets ¡another ¡username/password ¡and ¡some ¡(funding) ¡ companies ¡don't ¡like ¡using ¡a ¡low-­‑quality ¡"Guest" ¡login ¡

• ­‑ ¡Option ¡2: ¡ ¡ ¡

¡ ¡Ask ¡them ¡to ¡use ¡social ¡login ¡to ¡access ¡service ¡ ¡ ¡ ¡ ¡This ¡is ¡sometimes ¡not ¡appreciated ¡by ¡the ¡companies ¡because ¡they ¡want ¡that ¡ their ¡staff ¡members ¡use ¡the ¡company ¡account. ¡Also ¡for ¡intellectual ¡property ¡right ¡

• reasons. ¡ ¡ ¡
• ­‑ ¡Option ¡3: ¡

¡ ¡No ¡need ¡for ¡companies ¡to ¡be ¡part ¡of ¡a ¡federation, ¡SP ¡admin ¡can ¡bilaterally ¡ configure ¡IdP. ¡Just ¡add ¡company ¡IdP's ¡metadata ¡to ¡SP ¡configuration ¡and ¡ensure ¡ that ¡the ¡same ¡attributes ¡are ¡used. ¡Creates ¡a ¡mini-­‑federation. ¡Because ¡the ¡ companys ¡and ¡the ¡researcher ¡cooperate, ¡they ¡already ¡have ¡an ¡agreement/trust. ¡ ¡ ¡Problem ¡is ¡currently ¡the ¡difficult ¡metadata ¡exchange. ¡No ¡easy ¡interfaces ¡and ¡ processes ¡to ¡add ¡additional ¡metadata. ¡ ¡ ¡Metadata ¡could ¡be ¡loaded ¡from ¡PEER/REAP ¡or ¡an ¡own ¡metadata ¡aggregator ¡ tool ¡could ¡be ¡used ¡to ¡load ¡metadata ¡from ¡different ¡sources. ¡ ¡ ¡ ¡Both ¡alternatives ¡require ¡some ¡efforts ¡from ¡SP ¡admin. ¡Also, ¡not ¡all ¡companies ¡ are ¡able ¡to ¡run ¡a ¡SAML ¡IdP ¡because ¡they ¡are ¡often ¡not ¡familiar ¡with ¡it ¡and ¡need ¡ several ¡months ¡to ¡deploy ¡an ¡IdP. ¡Also, ¡just ¡loading ¡metadata ¡might ¡not ¡be ¡ sufficient, ¡other ¡technical ¡aspects ¡might ¡have ¡to ¡be ¡synchronised ¡in ¡order ¡to ¡ achieve ¡interoperability. ¡ ¡

• ­‑ ¡Option ¡4: ¡

¡ ¡Microsoft ¡Azure ¡allows ¡organisations ¡to ¡host ¡their ¡user ¡directory. ¡Easy ¡to ¡create ¡ VOs ¡within ¡Azure, ¡companys ¡can ¡create ¡"Apps" ¡in ¡Azure ¡to ¡easier ¡collaborate. ¡ Research ¡projects ¡could ¡create ¡bridge ¡to ¡Azure ¡or ¡even ¡use ¡Azure ¡directly ¡as ¡ collaboration ¡tool. ¡However, ¡probably ¡many ¡universities ¡would ¡be ¡skeptical ¡and ¡ reluctant ¡to ¡outsorce ¡their ¡user ¡directories ¡to ¡Microsoft ¡or ¡another ¡company. ¡ ¡ ¡ ¡ From ¡eduGAIN/Federation's ¡perspective ¡Options ¡3 ¡and ¡1 ¡probably ¡are ¡the ¡best ¡ way ¡to ¡go ¡currently, ¡depending ¡on ¡the ¡size ¡of ¡the ¡collaboration ¡and ¡the ¡technical ¡ SAML ¡know-­‑how ¡of ¡the ¡companies. ¡An ¡alternative ¡to ¡bilaterlly ¡load ¡metadata ¡of ¡ commercial ¡companys ¡or ¡using ¡REAP ¡would ¡also ¡be ¡to ¡create ¡a ¡separate ¡ federation ¡for ¡commercial ¡companies, ¡which ¡then ¡also ¡would ¡allow ¡introducing ¡ some ¡minimal ¡policies ¡and ¡technical ¡standards ¡for ¡company ¡IdPs. ¡This ¡might ¡be ¡ something ¡that ¡PingIdentity ¡or ¡others ¡intend ¡to ¡do. ¡

Getting ¡AAI ¡Wps ¡funded ¡(Ann ¡& ¡Jens) ¡

Why ¡is ¡it ¡a ¡problem? ¡

• ­‑ ¡Lots ¡of ¡parties ¡involved ¡in ¡end ¡to ¡end ¡service ¡delivery ¡-­‑ ¡Entitlements ¡managed ¡

in ¡many ¡contexts. ¡

• ­‑ ¡Even ¡using ¡existing ¡infrastructure, ¡integration ¡is ¡still ¡important ¡so ¡everyone ¡has ¡

to ¡do ¡some ¡work ¡

• ­‑ ¡Existing ¡systems ¡still ¡have ¡big ¡gaps ¡
• ­‑ ¡Funding ¡bodies ¡are ¡averse ¡to ¡“double ¡paying” ¡-­‑ ¡Even ¡if ¡this ¡is ¡not ¡double ¡paying! ¡
• ­‑ ¡Logging ¡into ¡things ¡and ¡getting ¡stuff ¡is ¡not ¡glamorous. ¡

¡ Contrail ¡Example ¡ Sliding ¡scale ¡of ¡reusability/applicability… ¡(picture ¡omitted) ¡

¡ Why ¡is ¡it ¡a ¡problem ¡at ¡campus? ¡ ¡ ¡ ¡ ¡ IdPs ¡are ¡inflexible ¡ ¡

• Publishing ¡meaningful ¡attributes ¡is ¡work! ¡
• Managing ¡multiple ¡attibutes ¡for ¡multiple ¡projects ¡is ¡work! ¡
• Even ¡using ¡tools ¡to ¡make ¡it ¡easier ¡is ¡work! ¡
• Supporting ¡new ¡tech ¡for ¡non-­‑web ¡SSO ¡is ¡work! ¡

Meanwhile, ¡the ¡mail ¡server ¡is ¡slow, ¡there’s ¡an ¡alarm ¡going ¡off ¡in ¡the ¡CS ¡lab ¡and ¡ the ¡Dean ¡has ¡a ¡problem ¡with ¡the ¡photocopier… ¡ Specialist ¡Research ¡Institutes ¡have ¡an ¡advantage ¡here. ¡ ¡ Potential ¡Campus ¡Approaches ¡ ¡ IdP ¡admins ¡need ¡ ¡ ¡enough ¡money ¡to ¡keep ¡service ¡running ¡ ¡ ¡enough ¡money ¡to ¡keep ¡service ¡seen ¡as ¡important ¡ Options: ¡

• ­‑ ¡Topslice ¡of ¡internal ¡budget ¡at ¡department ¡level ¡is ¡for ¡‘research’ ¡-­‑ ¡Risks ¡– ¡this ¡

funding ¡is ¡lost ¡in ¡the ¡noise ¡of ¡the ¡non-­‑science ¡ ¡ ¡infrastructure ¡so ¡influence ¡is ¡lost. ¡

• ­‑ ¡Pilot ¡projects ¡can ¡fund ¡new ¡items ¡e.g. ¡Moonshot ¡@JANET ¡-­‑ ¡Disadvantage ¡– ¡focus ¡
• n ¡pilot, ¡not ¡production. ¡

¡ Why ¡is ¡it ¡a ¡problem ¡for ¡VOs ¡ ¡ ¡ ¡ ¡ VOs ¡may ¡be ¡expected ¡to ¡run ¡infrastructure/services ¡e.g. ¡Attribute ¡Authorities, ¡ not ¡just ¡traditional ¡SPs ¡ Need ¡to ¡demonstrate ¡why ¡an ¡existing ¡service ¡is ¡not ¡enough ¡when ¡this ¡is ¡ sometimes ¡by ¡design ¡ VO ¡needs ¡to ¡have ¡a ¡partner ¡or ¡outsourced ¡operations ¡ ¡ ¡If ¡outsourced ¡e.g. ¡to ¡another ¡project, ¡what ¡about ¡x-­‑ ¡ ¡funding ¡and ¡sustainability? ¡ Cloud? ¡Mechanism ¡of ¡actually ¡ ¡ ¡paying? ¡ Getting ¡things ¡into ¡production ¡and ¡staying ¡in ¡production ¡post-­‑project ¡end… ¡open ¡ data ¡principle ¡ ¡ Potential ¡approaches ¡for ¡VOs ¡ ¡ ¡ ¡ ¡ Make ¡funding ¡more ¡elastic ¡with ¡subcontractors? ¡ ¡ ¡Politically ¡difficult ¡ E-­‑Infrastructures ¡offer ¡Attribute ¡Authorities ¡as ¡a ¡Service ¡ ¡ ¡VO ¡then ¡provides ¡know-­‑how ¡ ¡ ¡Not ¡sure ¡if ¡the ¡solution ¡can ¡be ¡generic ¡enough ¡ ¡ ¡Goldilocks… ¡ ¡ Challenge ¡in ¡a ¡several ¡nutshells ¡ ¡ ¡ ¡ ¡ Cover ¡both ¡development/pilot ¡and ¡production/operations ¡ Lack ¡of ¡unifying ¡strategy ¡ Lack ¡of ¡clearly ¡defined ¡interface ¡(not ¡technology!) ¡+ ¡expectations ¡ ¡ ¡Careful ¡with ¡barrier ¡to ¡entry! ¡ VOs, ¡Federations, ¡e-­‑Infrastructures, ¡Campus ¡IT ¡have ¡to ¡be ¡very ¡clear ¡in ¡ explaining ¡their ¡roles ¡ Case ¡studies/practical ¡examples? ¡ ¡ ¡GN3plus, ¡EUDAT ¡– ¡look ¡for ¡commonalities ¡in ¡user ¡ ¡ ¡communities ¡work? ¡

¡ ¡Who ¡is ¡which ¡lego ¡brick? ¡ ¡

AuthN ¡and ¡Incident ¡and ¡response ¡handling ¡(Tommi) ¡

¡

• ­‑ ¡Conclusions ¡and ¡discussion ¡topics ¡

¡ * ¡Minimum ¡agreed ¡and ¡explained ¡set ¡of ¡attributes ¡for ¡identity ¡ federations ¡and ¡interfederations ¡for ¡security ¡resons ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡* ¡Minimising ¡transmission ¡of ¡sensitive ¡information ¡is ¡desirable ¡ base ¡on ¡stakeholder ¡(user, ¡service ¡provier, ¡IdP, ¡funder/policymaker) ¡ interests ¡and ¡needs ¡(Use ¡cases) ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡* ¡Example: ¡UK ¡federation ¡has ¡four ¡recommended ¡attributes ¡to ¡be ¡ released ¡based ¡on ¡the ¡needs ¡of ¡SPs ¡ ¡ ¡ ¡ ¡ ¡* ¡Service ¡providers ¡want ¡assurances ¡for ¡proper ¡incident ¡response ¡ processes ¡from ¡the ¡federations ¡they ¡collaborate ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡* ¡eduGAIN ¡to ¡act ¡here? ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡* ¡Important ¡for ¡Service ¡provider ¡like ¡EGI ¡that ¡cross ¡national ¡ boundaries ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡* ¡Problem: ¡eduGAIN ¡does ¡not ¡mandate ¡standard ¡way ¡of ¡incident ¡ response, ¡please ¡do ¡something ¡about ¡it ¡ ¡ ¡ ¡ ¡ ¡* ¡Policy ¡target ¡is ¡"stackability" ¡to ¡allow ¡mixing ¡and ¡matching. ¡ Marching ¡order: ¡information ¡about ¡the ¡need ¡-­‑> ¡policy ¡templates ¡-­‑> ¡ technology ¡test ¡-­‑> ¡iteration ¡using ¡a ¡practical ¡experience ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡* ¡Can ¡be ¡tests ¡based ¡on ¡needs ¡by ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡* ¡Again ¡think ¡of ¡crossing ¡country ¡borders ¡ ¡ ¡ ¡ ¡ ¡* ¡Purpose ¡of ¡federation ¡is ¡to ¡replace ¡bilateral ¡agreements ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡* ¡Federation ¡is ¡more ¡policy ¡than ¡technology ¡ ¡ ¡

Open Space 2

Standards ¡and ¡Collaboration ¡(Michel) ¡

Conclusion: ¡All ¡roads ¡lead ¡to ¡SAML ¡ Definition ¡Collaboration: ¡What ¡happens ¡between ¡Service ¡Providers ¡& ¡IdPs ¡ ¡

• ­‑ ¡OGF ¡has ¡produced ¡a ¡specification ¡based ¡on ¡SAML2/XACML2 ¡
• ­‑ ¡ESA ¡(Earth ¡Observation) ¡has ¡embarked ¡in ¡Shibboleth ¡

¡ ¡ ¡ ¡-­‑ ¡role ¡as ¡data ¡provider ¡ ¡ ¡ ¡ ¡-­‑ ¡System ¡authentication ¡-­‑-­‑> ¡SAML ¡was ¡selected ¡ ¡ ¡ ¡ ¡-­‑ ¡define(d) ¡services ¡that ¡identify ¡ ¡ ¡ ¡ ¡-­‑ ¡STS ¡(Security ¡Token ¡Service) ¡to ¡bridge ¡system2system ¡authentication ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡-­‑ ¡parallel ¡to ¡Shib ¡based ¡user ¡authentication ¡ ¡ ¡ ¡ ¡-­‑ ¡upcoming ¡c2c, ¡may ¡use ¡OpenID ¡

¡ ¡ ¡ ¡-­‑ ¡WG ¡in ¡ENISA ¡"Heterogeneus ¡multi-­‑mission ¡accessibility" ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡-­‑ ¡proposed ¡as ¡a ¡standard ¡to ¡OGC ¡(Open ¡Geospatial ¡Consortium), ¡waiting ¡for ¡ comments ¡ ¡ ¡ ¡ ¡-­‑ ¡high ¡investment ¡in ¡SAML ¡in ¡ESA, ¡saved ¡money. ¡ ¡ ¡ ¡ ¡-­‑ ¡however ¡invested ¡into ¡and ¡extended ¡Shibboleth ¡ ¡ ¡ ¡ ¡-­‑ ¡OpenID ¡for ¡C2C ¡ ¡ ¡ ¡ ¡-­‑ ¡Shib ¡for ¡c2c ¡possible, ¡integrated ¡for ¡c2b ¡ ¡ ¡ ¡ ¡-­‑ ¡SAML ¡for ¡b2b ¡(SAML ¡web ¡profile) ¡ ¡ ¡ ¡ ¡-­‑ ¡setting ¡up ¡the ¡Shib ¡env ¡was ¡particularly ¡significant ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡-­‑ ¡one ¡single ¡registry, ¡15 ¡service ¡providers ¡after ¡2 ¡years ¡ ¡ ¡ ¡ ¡-­‑ ¡tools ¡around ¡Shib ¡were ¡designed ¡to ¡make ¡the ¡life ¡of ¡SPs ¡easy ¡ ¡

• ­‑ ¡Shib ¡artefact ¡is ¡not ¡a ¡SAML ¡token, ¡cannot ¡be ¡used ¡in ¡different ¡admin ¡domain. ¡

¡ ¡ ¡ ¡-­‑ ¡end-­‑to-­‑end ¡AuthN ¡to ¡AuthZ ¡

• ­‑ ¡SAML ¡allows ¡inter-­‑domain ¡interoperability ¡

¡ ¡ ¡ ¡-­‑ ¡suited ¡better ¡for ¡SOA ¡

• ­‑ ¡Therefore ¡ESA ¡uses ¡STS ¡(Shib ¡-­‑> ¡SAML2) ¡to ¡translate ¡Shib ¡artefact ¡into ¡a ¡ ¡

¡ ¡ ¡ ¡Shib ¡token ¡in ¡SAML ¡format ¡ ¡

• ­‑ ¡Biobank ¡also ¡has ¡different ¡administrative ¡domains ¡

¡ ¡ ¡ ¡-­‑ ¡So ¡is ¡this ¡a ¡moonshot ¡to ¡translate ¡ESA's ¡use ¡case ¡to ¡Biobank? ¡ ¡ ¡ ¡ ¡-­‑ ¡Biobanks ¡are ¡paranoid ¡about ¡information ¡security ¡(and ¡that ¡with ¡a ¡good ¡ reason!) ¡ ¡ ¡ ¡ ¡-­‑ ¡Further ¡into ¡the ¡future: ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡-­‑ ¡There ¡likely ¡may ¡be ¡research ¡Clouds ¡with ¡data ¡provided ¡by ¡Biobanks ¡ ¡

• ­‑ ¡Three-­‑step ¡process ¡(ESA) ¡(1-­‑to-­‑many ¡IdP ¡to ¡SP ¡relationship) ¡

¡ ¡ ¡ ¡a) ¡Implement ¡your ¡service ¡as ¡SP ¡ ¡ ¡ ¡ ¡b) ¡Test ¡against ¡reference ¡model ¡(clone ¡of ¡production ¡infra) ¡(in ¡a ¡test-­‑shib ¡env) ¡ ¡ ¡ ¡ ¡c) ¡deploy ¡in ¡production ¡ ¡

• ­‑ ¡ESA ¡service ¡oriented ¡IdP ¡modelling ¡

¡ ¡ ¡ ¡-­‑ ¡Respects ¡differentiation ¡of ¡"master" ¡or ¡"community" ¡SP ¡ ¡ ¡ ¡ ¡-­‑ ¡Use ¡PersistentID ¡for ¡users ¡to ¡allow ¡SPs ¡to ¡query ¡for ¡user ¡data ¡even ¡when ¡not ¡ logged ¡in ¡ ¡ ¡ ¡ ¡-­‑ ¡ESA ¡IT ¡department ¡serves ¡all ¡ESA ¡departments. ¡ESA ¡EO ¡serves ¡all ¡"outside ¡ users" ¡ ¡ ¡ ¡ ¡-­‑ ¡ESA ¡IT ¡is ¡the ¡department ¡participating ¡in ¡HelixNebula ¡ ¡ ¡ ¡ ¡ ¡

• ­‑ ¡RedIRIS ¡(Spain) ¡ ¡

¡ ¡ ¡ ¡-­‑ ¡started ¡with ¡PAPI, ¡ ¡ ¡ ¡ ¡-­‑ ¡supports ¡SAML1, ¡SAML2 ¡and ¡RADIUS ¡ ¡ ¡ ¡ ¡-­‑ ¡involved ¡in ¡GEANT3Plus ¡and ¡Moonshot ¡ ¡ ¡ ¡ ¡-­‑ ¡uses ¡simpleSAMLphp ¡ ¡ ¡ ¡ ¡-­‑ ¡involved ¡in ¡a ¡number ¡of ¡projects ¡with ¡IDM ¡federation ¡in ¡CLouds ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡ ¡-­‑ ¡Enol ¡Fernandez ¡et ¡al ¡in ¡EGI ¡ ¡ Conclusions ¡ 1) ¡SAML ¡support ¡grows ¡in ¡momentum ¡in ¡communities ¡

2) ¡Codebase ¡of ¡practical ¡solutions ¡is ¡growing, ¡facilitating ¡market ¡of ¡solutions ¡ 3) ¡STS ¡as ¡way ¡forward ¡to ¡translate ¡OpenID ¡connect, ¡Shib ¡etc. ¡into ¡SAML ¡tokents ¡ ¡ ¡ ¡ ¡-­‑-­‑> ¡support ¡inter-­‑domain ¡interoperability ¡ ¡ ¡ ¡ ¡-­‑-­‑> ¡STS ¡as ¡a ¡proxy ¡service ¡for ¡users ¡ 4) ¡IDM ¡federation ¡as ¡blueprints ¡for ¡other ¡communities ¡ 5) ¡ESA ¡"ended ¡up" ¡with ¡SAML2 ¡because ¡of ¡existing ¡solutions. ¡OCLC ¡*decided* ¡to ¡ ¡ ¡ ¡ ¡ ¡use ¡SAML2 ¡during ¡the ¡complete ¡rewrite ¡of ¡their ¡codebase ¡ ¡ ¡ ¡ ¡-­‑-­‑> ¡convergence ¡ ¡ ¡ ¡ ¡ ¡ "ALL ¡ROADS ¡LEAD ¡TO ¡SAML" ¡ ¡

User ¡Controlled ¡Attribute ¡Values ¡and ¡Release ¡(Lukas) ¡

Conclusions ¡

• 1. ¡Should ¡user ¡be ¡in ¡control? ¡NO. ¡

IdP ¡could ¡ask ¡user ¡to ¡provide ¡attributes ¡on ¡the ¡fly ¡but ¡technically ¡not ¡possible ¡to ¡ distinguish ¡between ¡self-­‑asserted ¡attributes. ¡ ¡

• 2. ¡Should ¡user ¡release ¡attributes ¡or ¡has ¡influence ¡in ¡release ¡decisions ¡about ¡

attributes? ¡ Optional ¡attributes? ¡Attributes ¡that ¡are ¡'optional" ¡should ¡not ¡be ¡used ¡at ¡all. ¡ ¡ More ¡details ¡beneath: ¡ Should ¡the ¡user ¡be ¡in ¡control ¡of ¡attribute ¡values? ¡

• ­‑-­‑-­‑-­‑-­‑-­‑-­‑-­‑-­‑-­‑-­‑-­‑-­‑-­‑-­‑-­‑-­‑-­‑-­‑-­‑-­‑-­‑-­‑-­‑-­‑-­‑-­‑-­‑-­‑-­‑-­‑-­‑-­‑-­‑-­‑-­‑-­‑-­‑-­‑-­‑-­‑-­‑-­‑-­‑-­‑-­‑-­‑-­‑-­‑-­‑ ¡

* ¡Generally ¡no ¡ * ¡Answer ¡might ¡also ¡on ¡question ¡who ¡is ¡owner ¡of ¡data? ¡ ¡ ¡ ¡-­‑ ¡E.g. ¡mobile ¡phone ¡number, ¡home ¡address, ¡etc. ¡"belong" ¡to ¡user, ¡therefore ¡ should ¡be ¡able ¡to ¡change ¡them ¡ ¡ ¡-­‑ ¡Affiliation ¡to ¡an ¡institution ¡is ¡owned ¡and ¡set ¡by ¡institution ¡only, ¡no ¡change ¡by ¡ user ¡ * ¡Allowing ¡the ¡user ¡to ¡set ¡values ¡for ¡missing ¡attributes ¡(e.g. ¡mail ¡address) ¡on ¡SP ¡ side ¡is ¡very ¡common ¡and ¡good ¡practive ¡ * ¡Allowing ¡the ¡user ¡to ¡set ¡values ¡during ¡login ¡on ¡IdP ¡side ¡(in ¡case ¡IdP ¡cannot ¡ deliver ¡required ¡attributes) ¡would ¡be ¡possible ¡but ¡might ¡lead ¡to ¡the ¡problem ¡that ¡ the ¡SP ¡does ¡not ¡know ¡which ¡attributes ¡are ¡self-­‑asserted ¡and ¡which ¡are ¡not ¡ * ¡Technically ¡it ¡is ¡currently ¡not ¡easily ¡possible ¡in ¡SAML ¡to ¡specify ¡if ¡an ¡attribute ¡ was ¡self-­‑asserted ¡or ¡set ¡by ¡the ¡IdP ¡ ¡ ¡ Should ¡the ¡user ¡be ¡in ¡control ¡of ¡attribute ¡release? ¡

• ­‑-­‑-­‑-­‑-­‑-­‑-­‑-­‑-­‑-­‑-­‑-­‑-­‑-­‑-­‑-­‑-­‑-­‑-­‑-­‑-­‑-­‑-­‑-­‑-­‑-­‑-­‑-­‑-­‑-­‑-­‑-­‑-­‑-­‑-­‑-­‑-­‑-­‑-­‑-­‑-­‑-­‑-­‑-­‑-­‑-­‑-­‑-­‑-­‑-­‑ ¡

* ¡It ¡depends ¡on ¡whether ¡an ¡attribute ¡is ¡required ¡or ¡desired ¡ * ¡Required ¡attributes ¡are ¡essentially ¡needed ¡by ¡SP ¡to ¡log ¡in ¡the ¡user ¡ * ¡Optional ¡attributes ¡are ¡"nice-­‑to-­‑have" ¡attributes ¡that ¡in ¡theory ¡are ¡not ¡required ¡ but ¡might ¡change ¡the ¡set ¡of ¡features ¡available ¡ot ¡the ¡user ¡within ¡an ¡application ¡ * ¡Allowing ¡the ¡user ¡to ¡disable ¡the ¡release ¡e.g. ¡during ¡attribute ¡consent ¡in ¡ uApprove ¡might ¡cause ¡problems ¡because ¡some ¡applications ¡might ¡work ¡ differently ¡in ¡case ¡an ¡optional ¡attribute ¡is ¡not ¡available. ¡User ¡then ¡might ¡not ¡

know ¡exactly ¡why ¡a ¡feature ¡is ¡not ¡available ¡to ¡him ¡if ¡he ¡decided ¡not ¡to ¡release ¡an ¡

• ptional ¡attribute. ¡This ¡could ¡cause ¡hard ¡to ¡debug ¡problems. ¡ ¡

* ¡Local ¡SPs ¡within ¡an ¡organisation ¡usually ¡get ¡more ¡attributes ¡than ¡other ¡SPs ¡

• utside ¡the ¡organisation ¡

¡ ¡-­‑ ¡In ¡this ¡case ¡these ¡attributes ¡are ¡required ¡by ¡the ¡SP, ¡so ¡release ¡is ¡justified ¡ * ¡Orchid ¡asks ¡users ¡whether ¡they ¡want ¡to ¡provide ¡and ¡share ¡address ¡or ¡not. ¡Most ¡ decide ¡not ¡to ¡provide ¡it, ¡probably ¡because ¡it's ¡the ¡default ¡choice ¡in ¡the ¡form. ¡ * ¡According ¡to ¡the ¡data ¡protection ¡law, ¡only ¡required ¡attributes ¡should ¡exist ¡ because ¡optional ¡attributes ¡contradict ¡the ¡data ¡minimization ¡policy. ¡ * ¡It's ¡genereally ¡the ¡responsibility ¡of ¡the ¡SP ¡to ¡offer ¡possibility ¡for ¡the ¡user ¡to ¡ personalize ¡his ¡profile. ¡ * ¡In ¡France ¡it's ¡the ¡decision/responsibility ¡of ¡the ¡organisation ¡to ¡release ¡ attributes ¡about ¡the ¡user. ¡User ¡has ¡no ¡saying ¡in ¡this. ¡ * ¡Accuraccy ¡of ¡optional ¡attributes ¡cannot ¡matter ¡to ¡SP ¡(therefore, ¡they ¡are ¡

• ptional) ¡

* ¡Sometimes ¡there ¡is ¡a ¡general ¡assumption ¡that ¡every ¡attribute ¡coming ¡from ¡an ¡

• rganisation ¡was ¡checked ¡and ¡vetted. ¡

* ¡French ¡Supan ¡schema ¡has ¡different ¡fields ¡for ¡private ¡and ¡institutional ¡email ¡ addresses ¡ * ¡Many ¡German ¡universities ¡will ¡send ¡emails ¡only ¡to ¡official ¡mail ¡address ¡but ¡ user ¡can ¡configure ¡a ¡redirect ¡to ¡any ¡other ¡address ¡and ¡thus ¡take ¡responsibiliy ¡ * ¡Facebook ¡is ¡in ¡an ¡excellent ¡legal ¡position ¡because ¡users ¡post ¡content ¡about ¡

• ther ¡users ¡(thus ¡commiting ¡data ¡protection ¡crimes) ¡

* ¡Generally ¡one ¡solution ¡for ¡difficult ¡cases ¡could ¡be ¡to ¡outsource ¡the ¡attribute ¡ release ¡decision ¡to ¡user ¡(ask ¡him ¡after ¡authentication) ¡in ¡case ¡of ¡services ¡that ¡are ¡

• ptional ¡for ¡a ¡user ¡to ¡use ¡ ¡(e.g. ¡online ¡shop ¡for ¡students) ¡

* ¡Use ¡of ¡entity ¡categories ¡could ¡mitigate ¡attribute ¡release ¡by ¡flagging ¡SPs ¡with ¡ high ¡benefit ¡but ¡low ¡risk ¡regarding ¡attribute ¡release. ¡User ¡does ¡not ¡have/need ¡a ¡ choice ¡in ¡such ¡cases. ¡ * ¡SWAMID ¡uses ¡2-­‑dimensional ¡Research&Education ¡entity ¡categories ¡whereas ¡ InCommon ¡uses ¡Research&Scholarship ¡entity ¡categories. ¡ * ¡1/3 ¡of ¡SPs ¡in ¡SWAMID ¡were ¡categorized. ¡3 ¡out ¡of ¡50 ¡IdPs ¡support ¡entity ¡

• categories. ¡

¡

Harmonizing ¡Group ¡Information ¡(Niels) ¡

Harmonizing ¡exchange ¡of ¡Group ¡Information ¡ Problem ¡space ¡

• ­‑ ¡Avoid ¡growing ¡pains ¡we ¡saw ¡when ¡national ¡federations ¡needed ¡to ¡

interfederate ¡

• ­‑ ¡What ¡is ¡the ¡standerdized ¡wat ¡to ¡transfer ¡group ¡info ¡via ¡e.g. ¡REST? ¡
• ­‑ ¡Especially ¡how ¡to ¡transfer ¡role ¡formation ¡
• ­‑ ¡Between ¡federations ¡attributes ¡differ, ¡even ¡between ¡IdPs ¡within ¡a ¡

federation ¡

• ­‑ ¡Standardized ¡attributes ¡are ¡being ¡used, ¡but ¡how ¡to ¡use ¡authZ ¡attributes ¡
• ­‑ ¡Difference ¡between ¡IdP ¡attributes ¡and ¡VO ¡attributes ¡
• ­‑ ¡Who ¡is ¡authorative ¡for ¡this ¡attribute? ¡
• ­‑ ¡How ¡do ¡group ¡management ¡systems ¡federate? ¡
• ­‑ ¡Should ¡federated ¡group ¡providers ¡talk ¡to ¡one ¡or ¡many ¡SPs? ¡

• ­‑ ¡Groups ¡are ¡used ¡AUthZ; ¡but ¡groups ¡are ¡compicated, ¡groups ¡may ¡be ¡roles. ¡
• ­‑ ¡Group ¡with ¡federated ¡members ¡vs ¡a ¡federated ¡group ¡
• ­‑ ¡Groups ¡and ¡uses ¡can ¡be ¡put ¡in ¡roles. ¡

¡ ¡ ¡

• ­‑> ¡Transfer ¡mechanisms ¡
• ­‑> ¡Protocols ¡

¡ ¡ ¡

• ­‑ ¡Do ¡not ¡top ¡down: ¡bottom ¡up ¡is ¡needed ¡as ¡they ¡know ¡what ¡is ¡needed ¡
• ­‑ ¡Weak ¡vs ¡Strong ¡groups. ¡
• ­‑ ¡Distributed ¡model ¡of ¡federations ¡hampers ¡AuthZ ¡
• ­‑ ¡Federations ¡should ¡offer ¡group ¡services ¡to ¡support ¡collaborarion. ¡
• ­‑ ¡'Language' ¡around ¡groups ¡is ¡not ¡well ¡defined. ¡
• ­‑ ¡What ¡is ¡the ¡real ¡set ¡of ¡functionality ¡we ¡need: ¡It ¡seems ¡that ¡this ¡is ¡

rather ¡easy, ¡and ¡SCIM ¡might ¡be ¡enough? ¡

• ­‑ ¡VOOT/SCIM ¡works ¡if ¡simple ¡stuff ¡is ¡needed ¡

¡

Contrail ¡(Heather) ¡

<The ¡experts ¡were ¡taken ¡by ¡aliens ¡and ¡not ¡in ¡the ¡room... ¡but ¡still.. ¡See ¡the ¡notes ¡ beneath.> ¡ ¡ Why ¡did ¡Contrail ¡get ¡started? ¡ ¡ ¡ They ¡decided ¡they ¡wanted ¡to ¡be ¡able ¡to ¡consume ¡and ¡support ¡attributes ¡created ¡ by ¡VO ¡without ¡requiring ¡the ¡VO ¡to ¡change ¡any ¡of ¡their ¡infrastructure. ¡ ¡ If ¡they ¡have ¡a ¡SAML-­‑based ¡attribute ¡authority, ¡that's ¡obviously ¡good. ¡ ¡ What ¡brought ¡us ¡here ¡to ¡find ¡out ¡more ¡information? ¡

• ­‑ ¡Want ¡to ¡know ¡more ¡about ¡the ¡policy ¡components. ¡
• ­‑ ¡There ¡are ¡RPs ¡that ¡just ¡want ¡to ¡know ¡if ¡someone ¡is ¡allowed ¡to ¡access ¡a ¡
• resource. ¡ ¡The ¡RP ¡could ¡manage ¡the ¡user, ¡but ¡it ¡doesn't ¡really ¡scale. ¡ ¡It ¡would ¡be ¡

better ¡to ¡have ¡a ¡central ¡policy ¡administration ¡point. ¡ ¡In ¡Contrail, ¡it ¡seems ¡that ¡the ¡ user ¡can ¡administrate ¡the ¡policy. ¡ ¡The ¡RP ¡just ¡has ¡to ¡speak ¡a ¡very ¡simple ¡protocol ¡ (but ¡we're ¡not ¡sure ¡which ¡one). ¡ ¡ ¡

• ­‑ ¡Their ¡goals ¡are ¡that ¡they ¡want ¡to ¡reuse ¡systems, ¡but ¡what ¡are ¡they ¡using? ¡
• ­‑ ¡How ¡they ¡architect ¡it, ¡how ¡they ¡decide ¡what ¡as ¡an ¡infrastructure ¡service ¡

provider ¡to ¡provide. ¡

• ­‑ ¡It ¡sounds ¡like ¡a ¡rights ¡management ¡software ¡-­‑ ¡but ¡it ¡is ¡also ¡more ¡than ¡that. ¡ ¡Just ¡

want ¡more ¡information. ¡

• ­‑ ¡Heard ¡about ¡it ¡yesterday ¡and ¡"semiramis" ¡seemed ¡similar. ¡
• ­‑ ¡Also ¡heard ¡about ¡it ¡yesterday, ¡and ¡want ¡to ¡know ¡if ¡it ¡is ¡another ¡lone ¡project, ¡or ¡

are ¡they ¡converging ¡with ¡other ¡initiatives ¡that ¡are ¡doing ¡the ¡same ¡things? ¡ ¡Want ¡ to ¡know ¡status ¡and ¡relationships. ¡ ¡