Koppeling SRAM aan AWS

[baszoetekouw]

TUDelft wil graag AWS aan SRAM gaan koppelen. Daarvoor zijn twee dingen nodig:

• SAML koppeling
• SCIM interface

Thijs heeft al uitgezocht hoe de SAML koppeling hoort te werken: https://wiki.surfnet.nl/pages/viewpage.action?pageId=55357610
@HarryKodden heeft dat voor SRAM ook uitgeprobeerd, maar dat leek nog niet out of the box te werken.

Er moet nog verder uitgezocht worden (met inschakeling van EduTEAMS/Ivan?) wat er precies misgaat. Probleem lijkt dat AWS een emailadress-NameID wil en dat Satosa die niet (zomaar) geeft.

SURFconext gebruikt uieindelijk deze attribuut manipulatie om de NameID voor AWS goed te zetten:

if (!empty($attributes['urn:mace:dir:attribute-def:mail'][0])) {
    $response['__']['CustomNameId'] = [
        'Format' => 'urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress',
        'Value' => $attributes['urn:mace:dir:attribute-def:mail'][0],
    ];
}

[mrvanes]

Dit is wat we momenteel krijgen van eduTeams:
<saml:NameID Format="urn:oasis:names:tc:SAML:2.0:nameid-format:persistent">9535261ce0b104a3d7276700faaf764177433bc7</saml:NameID>

AWS SP metadata moet gedownload tijdens IdP wizard:
https://docs.aws.amazon.com/singlesignon/latest/userguide/manage-your-identity-source-idp.html
update: de SP metadata kan ook later opgehaald worden onder settings/manage authentication.

[mrvanes]

Login succes:

eduTeams NameID format aangepast naar emailaddress:

<ns1:Issuer Format="urn:oasis:names:tc:SAML:2.0:nameid-format:entity">https://proxy.sram.surf.nl/proxy</ns1:Issuer>
  <ns1:Subject>
   <ns1:NameID Format="urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress">[email protected]</ns1:NameID>

AWS console: SCIM provisioning disabled en met de hand bovenstaande gebruiker opgevoerd.

[mrvanes]

SCIM oplossing voor provisioning
https://docs.aws.amazon.com/singlesignon/latest/developerguide/supported-apis.html

[mrvanes]

Een eerste aanzet voor een SCIM AWS connector https://github.com/SURFscz/plsc/tree/feature-scim-aws

[baszoetekouw]

@mrvanes is dit al geschikt om te delen met de klant zodat zij ook kunnen testen?

[baszoetekouw]

Ja, mergen en met TUdelft overleggen.

[baszoetekouw]

@baszoetekouw met TUdelft contact opnemen