Sakai en A-Select

In veel onderwijs en onderzoek installaties wil men gebruik maken van authenticatie die centraal geregeld wordt en tussen de verschillende systemen transparant is. Een oplossing hiervoor is A-select. A-Select is een framework dat het identificeren van gebruikers via verschillende wegen mogelijk maakt, en als spin in het web optreedt bij Single Sign On (SSO) architecturen.

De Open A-Select server ondersteunt verschillende proctocollen om de gerbuiker te identificeren en authenticeren, en fungeert als Identity provider (IdP) via een aantal open standaarden als externe authorisatie authoriteit voor verschillende authenticatie clienten ofwel Service Providers (SP). Dat laatste begrip is een beetje verwarrend, ze bieden diensten aan in de brede zin van het woord, en nemen de specifieke dienst "identificatie" af bij de IdP.

Wat A-Select bijzonder maakt is dat het is toegespitst op de Nederlandse context, zo wordt DigID ondersteund.

Sakai als onderwijs- of onderzoekondersteunend systeem vervult de rol als service provider en zou in theorie gebruik moeten kunnen maken van een A-Select omgeving. Kort onderzoek leert ons dat zowel Sakai als A-Select het SAML2 protocol ondersteunen. Hier zou dus de koppeling plaats moeten vinden.

Aan de A-Select zijde lijkt dit simpel, al moest ik kort even de boncode in om uit te vinden hoe de Open A-Select configuratie zover te krijgen het certificaat op te pikken in de SAML2 metadata, maar daarna lijkt het in orde.

Aan de Sakai zijde hebben we twee paden die we af kunnen:

1. We kunnen gebruik maken van een apache module die de SAML2 identificatie afhandelt, zoals hier voor CAS wordt gedaan. Er bestaat zoiets als mod_auth_saml die in staat is hetzelfde te doen voor SAML2

2. Guanxi is een open source java implementatie van SAML en de The Guanxi Shibb Kit (GSK) is een sakai portal die SAML2 in sakai integreert

Wij kiezen voor de tweede optie, simpelweg omdat die in staat is meer dan alleen de user id door te geven aan Sakai.

Het configureren van de GSK heeft wat voeten in de aarde. Het pakket bestaat uit een aantal bibiliotheken aan elkaar gebonden, wat op zich geen probleem hoeft te zijn, was het niet dat de configuratie hiervan nogal rommelig verloopt en op de verkeerde plek plaatsvindt. Het is moeilijk uit te vinden waar wat precies gebeurt, en de documentatie is op zich goed, maar beschrijft niet hoe met andere IdP dan de standaard te verbinden. Kortom, een flinke learning curve en aardig wat uitzoekwerk.