GWDG-Nachrichten 2/2009
1. Abschaltung des Parallelrechnersystems IBM pSeries690 (gwdk084)
am 1. Februar 2009
2. Der kurze Draht zur GWDG
3. Benutzerzentriertes Single Sign-On für Shibboleth-Föderationen
4. Kurse des Rechenzentrums
5. Betriebsstatistik Januar 2009
6. Autoren dieser Ausgabe
1. Abschaltung des Parallelrechnersystems IBM pSeries690 (gwdk084) am 1. Februar 2009
Angesichts der rapide ansteigenden Energiekosten muss der Betrieb der Rechencluster unter dem Gesichtpunkt der Energieeffizienz überprüft werden.
Der Ende 2003 installierte Shared-Memory-Parallelrechner IBM pSeries690 (gwdk084) hatte bei einer Gesamtrechenleistung von 0,22 TeraFlop/s einen Stromverbrauch von 15 KW und war damit um den Faktor 6 weniger energieeffizient als das 2007 in Betrieb genommene System SGI Altix 4700, das 40 KW verbraucht, um eine Gesamtrechenleistung von 3,28 TeraFlop/s bereitzustellen (siehe die GWDG-Nachrichten 2/2007).
Aus diesem Grund wurde der letzte IBM-pSeries690-Rechner am 01.02.2009 außer Betrieb genommen, nachdem die drei noch älteren pSeries690-Systeme gwdk081, gwdgk082 und gwdk083 schon am 1. Dezember 2007 abgeschaltet worden waren (siehe die GWDG-Nachrichten 10/2007). Damit wird eine beträchtliche Einsparung an Energiekosten erreicht bei einer vergleichsweise kleinen Reduzierung der insgesamt bei der GWDG verfügbaren Rechenleistung.
2. Der kurze Draht zur GWDG
Zur Verbesserung des Dialogs mit den Nutzern sind bei der GWDG Betreuer für die Fakultäten benannt worden. Diese werden als direkte Ansprechpartner den Kontakt mit den Fakultäten pflegen, Anregungen und Wünsche aufnehmen und bei Problemen gemeinsam mit den Fakultäten Lösungen erarbeiten.
2.1 Die AusgangslageZentrale Aufgabe der GWDG als Rechen- und Kompetenzzentrum ist es, ihren Nutzern aus der Universität Göttingen und der Max-Planck-Gesellschaft die für ihren Wissenschafts- und Forschungsbetrieb notwendigen IT-Dienstleistungen zur Verfügung zu stellen und sie in Fragen dieses IT-Einsatzes zu beraten.
Die zufriedenstellende Erfüllung dieser Aufgabe hängt natürlich von vielen Faktoren ab; u. a. davon, dass die GWDG weiß, welche Dienste für den Wissenschafts- und Forschungsbetrieb benötigt werden, und dann auch davon, dass die Nutzer wissen, welche Dienste der GWDG für ihre jeweiligen Anforderungen einsetzbar sind. Die Nachfrage auf der einen und das Angebot auf der anderen Seite müssen also entsprechend bekannt sein. Für die Informationsströme in beide Richtungen sind noch Verbesserungen wünschenswert, wie folgende Überlegungen zeigen:
Die GWDG verfolgt in engem Kontakt mit IT-Forschungseinrichtungen und -Herstellern die Weiterentwicklung der IT und die sich daraus ergebenden neuen Einsatzmöglichkeiten für die wissenschaftliche Datenverarbeitung. Die Umsetzung dieser Entwicklungen in verbesserte und neuartige Dienstleistungen erfolgt auf der Grundlage der Kenntnisse über den Bedarf bei den Nutzern, die sich im Laufe der Vergangenheit entwickelt haben, und aus den Anfragen, die über den wissenschaftlichen Beirat der GWDG oder von einzelnen Nutzergruppen an die GWDG herangetragen werden.
Die Information der Nutzer über Dienstangebote verbreitet die GWDG insbesondere über ihre Webseiten, Informationsbroschüren wie z. B. den GWDG-Flyer und Kurse-Flyer sowie die monatlich erscheinenden GWDG-Nachrichten. Dass diese Informationsquellen nicht alle Nutzer erreichen, zeigt sich immer wieder daran, dass in Beratungsgesprächen oft zufällig weitere Dienste zur Sprache kommen, die der Gesprächspartner mit Gewinn einsetzen könnte, von deren Existenz er jedoch noch nie etwas gehört hatte.
Ein weiterer entscheidender Faktor für eine fruchtbare Zusammenarbeit zwischen GWDG und den Einrichtungen und ihren Mitgliedern ist die Verständigung über Probleme, die nicht auf der technischen, sondern auf organisatorischer Ebene liegen: An wen soll sich ein Nutzer wenden, wenn die Arbeit der GWDG nicht seinen Vorstellungen entspricht, wenn seine Anforderungen auch nach Rücksprache mit den technisch zuständigen Mitarbeitern nicht erfüllt werden oder wenn er Anregungen und Verbesserungsvorschläge hat?
2.2 Das Projekt "Institutsbetreuung"Die geschilderte Situation bei der Kommunikation zwischen den Nutzern und der GWDG soll in einem GWDG-internen Projekt Institutsbetreuung" analysiert und verbessert werden, das Anfang 2007 begonnen wurde und dessen Ergebnisse jetzt Schritt für Schritt umgesetzt werden, wie im Folgenden beschrieben wird.
Ziel des Projektes ist es, die Schwachstellen in der Kommunikation der GWDG mit ihren Nutzern festzustellen und zu beseitigen. Dies bedeutet im Einzelnen die Realisierung folgender Teilziele:
Nach ersten Besuchen in einzelnen Instituten wurde zum einen deutlich, dass größerer Bedarf für die Verbesserung des Informationsflusses zwischen der GWDG und ihrer Nutzerschaft besteht. Zum anderen musste aber auch festgestellt werden, dass der Besuch aller Institute der Universität und aller Abteilungen der Max-Planck-Institute im Göttinger Raum ein wenig effizienter Weg zur beabsichtigten Informationsverbesserung sein würde, da viele Institute und Abteilungen gleicher Fachrichtungen ähnliche Informationsdefizite und Wünsche bezüglich der Dienstleistungen der GWDG haben.
Diese beiden Erfahrungen aus den ersten Besuchen führten zu der Entscheidung, die Kommunikation mit den Nutzern im Rahmen der Institutsbetreuung zur Erreichung der o. g. Ziele auf der Ebene der Fakultäten der Universität bzw. ganzer Max-Planck-Institute zu bündeln.
Inzwischen sind Besuche in den meisten der 13 Fakultäten der Universität durchgeführt worden. Aus diesen und den vorangegangenen Institutsbesuchen ergab sich als positiver Gesamteindruck, dass das aktive Zugehen der GWDG auf die Nutzer sehr nützlich ist, um die Kenntnisse über die von der GWDG angebotenen Dienste zu verbreiten und um auf der anderen Seite die Anforderungen und Wünsche an die GWDG sowie die Probleme bei der Nutzung der Dienste in Erfahrung zu bringen.
Dabei gab es einige Punkte, die allen Besuchen gemeinsam waren: Die Darstellung des umfangreichen Leistungsspektrums der GWDG stieß überall auf Interesse, weil es nirgendwo vollständig bekannt war. Häufig genügte es, auf schon bestehende Leistungen hinzuweisen, nach denen bereits Bedarf bestand und die nun genutzt werden können. Kritik an der GWDG wurde konstruktiv geäußert, Informationsdefizite konnten abgebaut werden.
Im Bereich der Anforderungen und Wünsche seitens der besuchten Einrichtungen, ebenso bei der Kritik an der GWDG und bei Verbesserungsvorschlägen, ergab sich erwartungsgemäß ein sehr heterogenes Bild: Die Interessen der Institute und Fakultäten sowie deren konkreter Bedarf an GWDG-Dienstleistungen unterscheiden sich stark, somit sind auch die Wünsche und die Kritik von speziellen, teilweise fachbezogenen Interessen geprägt. Von den zahlreich geäußerten Anforderungen und Wünschen konnten viele kurzfristig realisiert werden, einige sind gerade in Arbeit, bei dem Rest muss noch geprüft werden, ob eine Umsetzung im Rahmen der Aufgaben und Möglichkeiten der GWDG machbar ist.
Auf zwei besonders häufig angesprochene Kritikpunkte soll hier näher eingegangen werden: der Webauftritt der GWDG und die Reaktionszeiten der GWDG. Die Webseiten der GWDG werden vielfach als nicht sehr übersichtlich empfunden, wodurch das Auffinden von Informationen zu bestimmtem Themenbereichen leider erschwert wird. Zum anderen erweisen sich die Inhalte selbst in einigen Fällen als veraltet und daher wenig hilfreich für die Nutzer. Diese Punkte wurden bei der schon weit fortgeschrittenen Neugestaltung der Webseiten berücksichtigt. Noch im ersten Quartal 2009 wird sich die GWDG mit neugestalteten Webseiten präsentieren, die durch eine verbesserte Gliederung den schnellen Zugang zu den Dienstleistungen und Informationen erleichtern sollen. Die Inhalte der Webseiten werden von den für die einzelnen Bereiche zuständigen Mitarbeiterinnen und Mitarbeitern bereitgestellt. Mit entsprechenden Mechanismen im verwendeten Content-Management-System Typo3 werden sie bei der rechtzeitigen und regelmäßigen Aktualisierung dieser Inhalte unterstützt.
Die in der Vergangenheit oft als zu lang empfundenen Reaktionszeiten der GWDG auf Kundenanfragen oder bei der Erbringung vereinbarter Dienstleistungen wurden in mehreren der Fakultätsbesuche angesprochen. Vor allem wegen dieser Problematik hat die GWDG bereits Anfang 2006 das Trouble-Ticket-System OTRS eingeführt (siehe die GWDG-Nachrichten 4/2006). Mit diesem System werden Anfragen über sog. Queues an alle zuständigen Mitarbeiterinnen und Mitarbeitern weitergereicht, so dass auch bei Krankheit oder Abwesenheit einzelner Personen die zügige Bearbeitung der Anfrage gewährleistet ist. Ein Eskalationsmechanismus unterstützt dies zusätzlich. Die bei den besuchten Instituten noch beanstandeten langen Reaktions- und Bearbeitungszeiten sind wohl oftmals darauf zurückzuführen, dass die Existenz dieses Trouble-Tickets-Systems trotz starker Propagierung durch die GWDG noch nicht überall bekannt ist. Die Besuche boten deshalb eine gute Gelegenheit, noch einmal eindringlich darauf hinzuweisen, dass Anfragen und Fehlermeldungen immer an die E-Mail-Adresse support@gwdg.de gerichtet werden sollten, wodurch sie direkt in das Trouble-Ticket-System eingehen. Seit Anfang letzten Jahres gibt es auch ein Web-Interface zur Eingabe und Nachverfolgung von Tickets unter
das die Kommunikation von Fehlermeldungen oder Anfragen noch weiter erleichtern soll (siehe die GWDG-Nachrichten 1/2008). Selbstverständlich ist das Helpdesk der GWDG wie gewohnt auch über die bekannte Tel.-Nr. 0551 201-1523 zu erreichen.
2.3 Die FakultätsbetreuerEin weiteres Ergebnis der Besuche war die Bestätigung der Idee, dass spezielle Betreuer für jede Fakultät als persönliche Ansprechpartner die Kommunikation mit den Nutzern verbessern könnten. Diese sollen als direkte Ansprechpartner bereitstehen
Was hier für die Fakultäten begonnen wurde und weitergeführt werden soll, ist ebenfalls für die Zusammenarbeit mit den Max-Planck-Instituten des Göttinger Raums geplant. Auch für diese sind Besuche geplant und sollen persönliche Ansprechpartner benannt werden.
Für die Fakultäten der Universität ist dies, wie oben beschrieben, bereits Realität; die Betreuer sind benannt und haben sich bei den Gesprächen mit den Fakultäten vorgestellt.
In der folgenden Liste sind die Fakultätsbetreuer noch einmal aufgeführt. Die Nutzer aus den einzelnen Fakultäten können diese anzusprechen, wenn Situationen wie oben beschrieben auftreten, in denen eine Einbeziehung des Fakultätsbetreuers sinnvoll erscheint.
Naturwissenschaften, Mathematik und InformatikFakultät für Forstwissenschaften und Waldökologie:
Sigrun Greber, Tel. 201-1518,
E-Mail: sgreber@gwdg.de
Rechts-, Wirtschafts- und Sozialwissenschaften
Geisteswissenschaften und Theologie
3. Benutzerzentriertes Single Sign-On für Shibboleth-Föderationen
3.1 Dezentrales Identity Management für Web-Anwendungen
Getrieben durch Entwicklungen wie Asynchronous JavaScript and XML (kurz: AJAX) bzw. Web 2.0" sind in den letzten Jahren zahlreiche Web-Anwendungen entstanden, die durch die Verschmelzung von client- und serverseitiger Dynamik eine weitaus höhere Interaktivität erlauben. Anwendungsbereiche, die zuvor Desktop-Applikationen vorbehalten waren, können nun dezentral über das World Wide Web zur Verfügung gestellt werden. Um die im Web verarbeiteten Daten zu schützen, erfordern die Anwendungen eine erfolgreiche Authentifizierung und Autorisierung der Anwender z. B. über Benutzernamen und Passwörter. Aufgrund der zunehmenden Anzahl von Web-Anwendungen sehen sich Benutzer daher auch mit einer wachsenden Anzahl an unterschiedlichen Benutzernamen und Passwörtern konfrontiert. Sichere Single-Sign-On-Lösungen, die dem Benutzer nach einmaliger Anmeldung mit einem einheitlichen Benutzernamen und Passwort Zugang zu unterschiedlichen Web-Anwendungen ermöglichen, können durch unterschiedliche Verfahren realisiert werden. Neben spezialisierten Lösungen, die direkt HTTP-Mechanismen wie z. B. Cookies verwenden, existieren in föderations-basierten (federated identity, z. B. Shibboleth) und benutzerzentrierten Verfahren (user-centric, z. B. OpenID) offene Standards. Beide erlauben eine dezentrale Authentifizierung und Autorisierung bzw. eine dezentrale Verwaltung und Speicherung der Identitäten.
Benutzerzentrierte Verfahren wie z. B. OpenID erlauben es den Benutzern, selbst zu entscheiden, für welche Web-Anwendungen sie ihre Identität verwenden. Außerdem ermöglichen sie den Benutzern, im Gegensatz zu föderationsbasierten Verfahren, weltweit eindeutige einheitliche Benutzernamen (z. B. E-Mail-Adressen oder URLs). Obwohl benutzerzentrierte Verfahren einige weitere Vorteile gegenüber föderativer Authentifizierung bieten, haben letztere u. a. aufgrund des Security-Assertion-Markup-Language(SAML)-Standards insbesondere im wissenschaftlichen Umfeld eine größere Verbreitung. Beispielsweise existiert mit der DFN-AAIhttp://www.aai.dfn.de) des DFN-Vereins eine Föderation für deutsche Forschungseinrichtungen, die das SAML-basierte Verfahren Shibboleth einsetzt.
Die GWDG arbeitet gemeinsam mit dem Rechenzentrum Garching, der Max Planck Digital Library und der IVS-CPT der MPG an der Realisierung einer Shibboleth-Föderation für die MPG. Neben dem Discovery Service bietet die GWDG hierbei eine Schnittstelle zu den eigenständigen Benutzerverwaltungen der 80 Institute an. Dieser sog. IdP Proxy ermöglicht es den Benutzern der Institute, unter Verwendung ihres lokalen Accounts auf unterschiedliche Dienstleistungen in verschiedenen Föderationen (z. B. der DFN-AAI) zuzugreifen. Im Rahmen der NDS-AAI, als Shibboleth-Föderation für das Land Niedersachsen, realisiert die GWDG auch für die Georg-August-Universität Göttingen einen Zugriff auf Dienste innerhalb unterschiedlicher Föderationen.
Um die Interoperabilität von web-basierten Single- Sign-On-Verfahren unterschiedlicher Hersteller zu gewährleisten, wurde von der OASIS die Security Assertion Markup Language (SAML) als einheitlicher Standard verabschiedet [4]. SAML liegt aktuell in der Version 2.0 vor. Bei der Authentifizierung und Autorisierung wird in SAML zwischen dem Service Provider (SP), der die zugriffsbeschränkte Ressource vorhält, und dem Identity Provider (IdP), der berechtigte Identitäten (Benutzernamen und Passwort) bereitstellt, unterschieden. Ein Service Provider kann beispielsweise bei einem Verlag bzw. einem externen Dienstleister implementiert werden. Identity Provider werden dezentral z. B. in Instituten der MPG (als Heimat-Organisationen") realisiert und ermöglichen die Authentifizierung und Autorisierung der Instituts-Benutzer in SAML-basierten Föderationen. Eine Föderation umfasst mehrere SPs und IdPs, die sich untereinander vertrauen. Dies ermöglicht den über die IdPs angebundenen Benutzern ein Single Sign-On an den von den SPs zur Verfügung gestellten Ressourcen.
Hierfür stellt der IdP nach einer erfolgreichen Authentifizierung ein digital signiertes Token (Assertion) für den Benutzer aus, dessen Signatur durch die SPs überprüft wird. Die Vertrauensstellung wird dabei über X.509-Zertifikate gewährleistet, wie sie z. B. die DFN-PKI (
In wissenschaftlichen IT-Strukturen hat sich das SAML-basierte Shibboleth-Verfahren etabliert, das auch bei der DFN-AAI verwendet wird. Abbildung 1 zeigt den Ablauf einer Authentifizierung und Autorisierung bei Shibboleth in der Version 2.0. Für die Lokalisierung des für den Benutzer zuständigen IdPs verwendet Shibboleth einen sog. Discovery Service. Der Benutzer wählt hier die Heimat-Organisation, der er angehört, aus. Seit Shibboleth Version 2.0 wird auch eine passive Auswahl des zuständigen IdP durch den SP (basierend auf der IP-Adresse des Clients) unterstützt. Nach dem erfolgreichen Login am IdP übermittelt der Benutzer die von dem IdP ausgestellte Assertion an den SP, der diese sowie die Attribute für die Autorisierung prüft und anschließend den Zugriff auf die Ressource gewährt. Eine Referenz auf die Assertion wird als Cookie für den IdP im Web-Browser gespeichert, so dass ein nachfolgender Zugriff auf eine Ressource eines anderen SPs innerhalb der Föderation keine erneute Anmeldung erfordert. Zusammen mit den am SP aufgebauten HTTP-Sitzungen wird so ein Single Sign-On innerhalb der Föderation ermöglicht.
Föderative Authentifizierungsverfahren (insbesondere Shibboleth) sind derzeit weit verbreitet. Durch die Interoperabilität des SAML-Standards bieten auch viele Software-Hersteller Lösungen für föderative Authentifizierung an (z. B. Microsoft ADFS, Sun OpenSSO oder Novell Access Manager). Andererseits sind die konkreten Implementierungen (z. B. Shibboleth) häufig komplex zu administrieren. Für den Benutzer wird zusätzlich die Verwendung komplex, sofern er Ressourcen unterschiedlicher Föderationen verwenden kann. Die Lokalisierung wird beispielsweise erschwert, wenn mehrere Föderationen zu einer Konföderation zusammengefasst werden (vgl. eduGAIN [2]). Der Benutzer muss in diesem Fall zwei Discovery-Service-Instanzen durchlaufen, und zunächst seine Heimat-Föderation und dann seine Heimat-Organisation kennen und auswählen.
Im Gegensatz zu föderativen Authentifizierungsverfahren erfolgt die Lokalisierung bei benutzerzentrierten Verfahren durch den Benutzer. Der Benutzer wählt beispielsweise eine Karte (I-Card), die seine Zugehörigkeit zu einem Provider (vgl. Identity Provider in Föderationen) angibt. Zusätzlich hat er die Möglichkeit auszuwählen, welche Informationen er an den Consumer (vgl. Service Provider in Föderationen) übermitteln möchte. Dadurch wird neben der Usability hinsichtlich der Lokalisierung auch der Datenschutz erhöht. Aufgrund der vereinfachten Lokalisierung sind Implementierungen benutzerzentrieter Authentifizierungsverfahren in der Regel weniger komplex als föderationsbasierte.
I-Cards (z. B. von Mircosoft CardSpace in Windows Vista) werden jedoch noch nicht von allen Web-Browsern für die Authentifizierung an Web-Anwendungen unterstützt. Eine häufig verwendete Alternative für benutzerzentrierte Verfahren bilden daher URLs oder E-Mail-Adressen als global eindeutiges Identifizierungsmerkmal der Benutzer. URLs und E-Mail-Adressen werden beispielsweise von OpenID verwendet, das nicht zuletzt aufgrund der Unterstützung durch Google und Yahoo seit Ende 2008 an Bedeutung gewinnt.
Alternativen zu OpenID bilden z. B. Microsoft CardSpace oder Higgins. Andere benutzerzentrierte Authentifizierungsverfahren werden mit OpenID integriert (z. B. sxip oder OAuth). Zum aktuellen OpenID-Standard [3] in der Version 2.0 existieren einige Erweiterungen, die beispielsweise neben dem Single Sign-On auch die Übertragung von Attributen für die Autorisierung, analog zu den föderativen Authentifizierungsverfahren, erlauben. Ein Beispiel für eine Authentifizierung und Autorisierung mittels OpenID zeigt die Abbildung 2.
Der Benutzer meldet sich am Consumer mit seiner OpenID an. Anhand der E-Mail Adresse oder eines Zugriffs auf die angegebene URL ermittelt der Consumer den zuständigen Provider, an den er anschließend eine Authentifizierungsanfrage richtet. Die eigentliche Authentifizierung erfolgt vom Benutzer über das Login am Provider. Ist die Authentifizierung erfolgreich, so leitet der Provider den Benutzer wieder an den Consumer. Hierbei kann er auch Attribute für die Autorisierung des Benutzers am Consumer übermitteln. Durch die Speicherung einer Sitzung (basierend auf einem Cookie) beim Provider wird ein Single Sign-On über unterschiedliche Consumer ermöglicht.
Benutzerzentrierte Verfahren wie z. B. OpenID sind vergleichsweise neu und weisen daher noch einige Sicherheitslücken auf. Beispielsweise wurden einige typische Angriffe auf Web-Anwendungen wie Phishing, Replay-Attacken und Implementierungsfehler (z. B. Injections, Cross-Site Scripting und Cross-Site Request Forgeries) in [5] vorgestellt. Obwohl für benutzerzentrierte Verfahren kein einheitlicher Standard existiert, hat das OpenID-Verfahren seit 2008 eine große Verbreitung erlangt. Dies resultiert vor allem aus der Unterstützung von OpenID durch Google und Yahoo. Allerdings liegt in der Unterstützung von OpenID durch große Unternehmen auch ein Nachteil, da diese bislang nur OpenID-Provider und keine Consumer für ihre Dienste anbieten. Benutzer mit einem Google- oder Yahoo-Account erhalten somit lediglich eine OpenID. Benutzer mit OpenIDs anderer Anbieter können jedoch nicht auf die Dienste von Google oder Yahoo zugreifen. Momentan werden OpenID-Consumer eher von kleineren Anbietern betrieben, die sich dadurch eine Steigerung der Anzahl ihrer Benutzer erhoffen. Solange große Web-Dienstleister ausschließlich OpenID-Provider anbieten, werden auch zukünftig unterschiedliche Benutzernamen bzw. OpenIDs auf der Seite der Benutzer erforderlich sein.
Die Bindung der Benutzer an ihren OpenID-Provider ist ein allgemeiner Nachteil von OpenID. Hat ein Benutzer seine OpenID für unterschiedliche Dienste registriert, so ist er abhängig von der Verfügbarkeit der OpenID durch seinen Provider. Fällt der Dienst des OpenID-Providers aus oder ändert dieser seine Geschäftsbedingungen, und der Benutzer wechselt den Anbieter, so sind auch die Consumer und die dort hinterlegten Daten, für die er seine OpenID verwendet hat, nicht mehr zugänglich.
3.2 Benutzerzentrierte Lokalisierung mit ShibbolethShibboleth bzw. SAML-basierte Verfahren besitzen derzeit die weiteste Verbreitung in wissenschaftlichen IT-Strukturen. Innerhalb der Max-Planck-Gesellschaft bestand die Anforderung, Shibboleth für die Authentifizierung und Autorisierung verteilter Forschungsgruppen einzusetzen. Um einige Vorteile benutzerzentrierter Verfahren für föderatives Identity Management nutzbar zu machen, wurden im Rahmen der Realisierung der Föderation der MPG (MPG-AAI
Eine einfache Lösung für die Integration der eigenständigen Institute in die DFN-AAI bildet die Registrierung separater IdPs für jedes Institut der MPG innerhalb der DFN-AAI. Dies hätte jedoch zur Folge gehabt, dass jedes Institut einen IdP installieren und warten muss. Aus Sicht des DFN-Vereins war es außerdem nicht wünschenswert, alle 80 Institute der MPG separat zu integrieren, da dies die Verwaltung des Discovery Service erschwert hätte. Neben der Unterstützung der Eigenständigkeit der IT der Institute sollte die MPG-AAI zusätzlich offen für die Integration weiterer Föderationen, z. B. von internationalen Forschungsgruppen oder -netzen, konzipiert werden. Alle Institute sollten die Möglichkeit bekommen, selbst Föderationen beizutreten als auch Föderationen, die für die gesamte MPG angeboten werden, zu nutzen.
Als Alternative zur Registrierung separater IdPs für die Institute wurde daher ein einzelner IdP entwikkelt, der als Proxy die gesamte MPG in der DFN-AAI repräsentiert. Dieser IdP Proxy" ist dabei sowohl in der DFN-AAI als auch in der MPG-AAI registriert, wie in Abbildung 3 illustriert. Verwenden Benutzer eines Instituts der MPG einen Dienst innerhalb der DFN-AAI, so wählen sie im Discovery Service des DFN-Vereins Max-Planck-Gesellschaft" aus und werden zum Login an dem IdP Proxy weitergeleitet. An diesem können sich die Benutzer mit dem Account ihres lokalen Instituts anmelden.
Um die heterogene Struktur der Benutzerverwaltung an den Instituten abzubilden, können Institute bezüglich der Anbindung an den IdP Proxy zwischen drei Optionen wählen, die in Abbildung 3 gezeigt werden.
Bei dem in Option a) gezeigten Betriebsmodell betreibt das Institut einen eigenständigen Shibboleth IdP innerhalb der MPG-AAI, der dann vom IdP Proxy für die Authentifizierung und Autorisierung verwendet wird. Besitzt das Institut keine Kapazitäten für den Betrieb eines Shibboleth IdP, so kann auch eine bestehende Benutzerverwaltung angebunden werden. Beispielsweise könnte der IdP Proxy gemäß Option b) eine Datenbank, ein Kerberos KDC oder, wie in der MPG am häufigsten verwendet, einen LDAP-Server des Instituts abfragen. Innerhalb der MPG existieren darüber hinaus kleinere Institute, die keine eigene Benutzerverwaltung durchführen bzw. diese an externe Dienstleister auslagern. Die Option c) in Abbildung 3 zeigt diese Auslagerung des Identity Mangements an die GWDG.
Der IdP Proxy kann zusätzlich zur in Abbildung 3 gezeigten MPG-AAI und DFN-AAI auch in weitere Föderationen aufgenommen werden. Beispielsweise können Föderationen anderer Länder oder Forschungsgruppen am IdP Proxy angebunden werden. Dies unterstützt auch die Fluktuation von Personen und Projekten (z .B. temporäre Aufnahme von Gastforschern etc.). Der IdP Proxy bildet somit eine zentrale Instanz, um dezentrale Authentifizierung und Vertrauensstellungen zu realisieren.
Unabhängig von dem durch das Institut gewählten Betriebsmodell können die für den Benutzer ermittelten Attribute vor der Übermittlung an den Service Provider gefiltert oder modifiziert werden. Beispielsweise können Scopes auf @mpg.de" geändert oder Attribute, deren Inhalt nur innerhalb der MPG übertragen werden darf, gefiltert werden. Dadurch wird der Datenschutz bei der Übermittlung von Attributen zwischen unterschiedlichen Föderationen gewährleistet. Um den Benutzern vergleichbar mit den benutzerzentrierten Verfahren, wie in Abschnitt 3.1.2 beschreiben, die Möglichkeit zu geben, die übermittelten Attribute selbst zu kontrollieren, wurde auf dem IdP Proxy der in der Schweiz für die SWITCH-AAI entwickelte ArpViewer [1] installiert. Der ArpViewer zeigt dem Benutzer alle ermittelten Attribute an und erfordert dessen explizite Zustimmung vor der Übermittlung.
Um auch über unterschiedliche Shibboleth-basierte Föderationen hinweg die Vorteile der Lokalisierung mittels globaler Benutzernamen, wie im Abschnitt 3.1.2 für benutzerzentrierte Verfahren beschrieben, zu nutzen, verwenden die Benutzer für die Anmeldung am IdP Proxy ihre E-Mail-Adresse. Anhand der Domain der E-Mail Adresse kann der Proxy das für den Benutzer zuständige Institut sowie das gewünschte Authentifizierungs- und Autorisierungsverfahren ermitteln. Die Benutzer müssen sich daher nur ihre E-Mail-Adresse, nicht die Zugehörigkeit zu Institutionen oder unterschiedlichen Föderationen, merken. Anders als bei alternativen Verfahren wie z. B. eduGAIN [2], die ebenfalls mehrere Föderationen miteinander verbinden, erfolgt für den Benutzer nur eine Lokalisierung. Er muss nur die Max-Planck-Gesellschaft und nicht anschließend in einem weiteren Discovery Service das zuständige Institut auswählen. Außerdem kann in den externen Föderationen ein einziger IdP für die gesamte MPG angegeben werden und so die Übersichtlichkeit des Discovery Service für die Benutzer der Föderation gewährleistet werden. E-Mail-Adressen werden nur für das Login am IdP Proxy verwendet. Sie werden nicht an die Service Provider übermittelt.
Aktuell befindet sich eine Integration von OpenID im IdP Proxy in der Entwicklung. Benutzer der MPG erhalten dabei eine OpenID (z. B. nach dem Muster
Referenzen
4. Kurse des Rechenzentrums
4.1 Allgemeine Informationen zum Kursangebot der GWDG
Das Kursangebot der GWDG richtet sich an die Mitarbeiterinnen und Mitarbeiter aus den Instituten der Universität Göttingen und der Max-Planck-Gesellschaft sowie aus anderen wissenschaftlichen Einrichtungen, die zum erweiterten Benutzerkreis der GWDG gehören. Eine Benutzerkennung für die Rechenanlagen der GWDG ist nicht erforderlich.
oder per E-Mail an die Adresse auftrag@gwdg.de mit dem Betreff "Kursanmeldung" erfolgen. Für die schriftliche Anmeldung stehtein Formular zur Verfügung. Telefonische Anmeldungen können wegen der Einbeziehung der Kurse in die interne Kosten- und Leistungsrechnung der GWDG nicht angenommen werden. Aus diesem Grund können Anmeldungen auch nur durch den Gruppenmanager - eine der GWDG vom zugehörigen Institut bekannt gegebene und dazu autorisierte Person - oder Geschäftsführenden Direktor des Instituts vorgenommen werden. Die Anmeldefrist endet jeweils sieben Tage vor Kursbeginn. Sollten nach dem Anmeldeschluss noch Teilnehmerplätze frei sein, sind auch noch kurzfristige Anmeldungen in Absprache mit dem Dispatcher (Tel.: 0551 201-1524, E-Mail: auftrag@gwdg.de) möglich. Eine Anmeldebestätigung wird nur an auswärtige Institute oder auf besonderen Wunsch zugesendet. Falls eine Anmeldung wegen Überbelegung des Kurses nicht berücksichtigt werden kann, erfolgt eine Benachrichtigung.
Die Kurse sind - wie die meisten anderen Leistungen der GWDG - in das interne Kosten- und Leistungsrechnungssystem der GWDG einbezogen. Die bei den Kursen angegebenen Arbeitseinheiten (AE) werden vom jeweiligen Institutskontingent abgezogen. Für die Institute der Universität Göttingen und der Max-Planck-Gesellschaft erfolgt keine Abrechnung in EUR.
Absagen durch die Teilnehmer oder die zugehörigen Gruppenmanager bzw. Geschäftsführenden Direktoren können bis zu acht Tagen vor Kursbeginn erfolgen. Bei späteren Absagen durch die Teilnehmer oder die zugehörigen Gruppenmanager bzw. Geschäftsführenden Direktoren werden die für die Kurse berechneten Arbeitseinheiten vom jeweiligen Institutskontingent abgebucht. Sollte ein Kurs aus irgendwelchen Gründen, zu denen auch die Unterschreitung der Mindestteilnehmerzahl bei Anmeldeschluss sowie die kurzfristige Erkrankung des Kurshalters gehören, abgesagt werden müssen, so werden wir versuchen, dies den betroffenen Personen rechtzeitig mitzuteilen. Daher sollte bei der Anmeldung auf möglichst vollständige Adressangaben inkl. Telefonnummer und E-Mail-Adresse geachtet werden. Die Berechnung der Arbeitseinheiten entfällt in diesen Fällen selbstverständlich. Weitergehende Ansprüche können jedoch nicht anerkannt werden.
Alle Kurse finden in Räumen der GWDG statt. Der Kursraum und der Vortragsraum der GWDG befinden sich im Turm 5 bzw. 6, UG des Max-Planck-Instituts für biophysikalische Chemie, Am Fassberg, 37077 Göttingen. Die Wegbeschreibung zur GWDG bzw. zum Max-Planck-Institut für biophysikalische Chemie sowie der Lageplan sind
Ausführliche Informationen zu den Kursen, insbesondere zu den Kursinhalten und Räumen, sowie aktuelle kurzfristige Informationen zum Status der Kurse sind
hier.
zu finden. Anfragen zu den Kursen können an den Dispatcher per Telefon unter der Nummer 0551 201-1524 oder per E-Mail an die Adresse auftrag@gwdg.de gerichtet werden.
4.2 Kurse von März bis Dezember 2009 in thematischer Übersicht
4.3 Kurse von März bis Dezember 2009 in chronologischer Übersicht
Gesellschaft für wissenschaftliche Datenverarbeitung mbH Göttingen© 2013 · 