Beispiele zum Shibboleth Service

Schreiben Sie die nachfolgenden Direktiven in die Datei .htaccess des Webverzeichnisses, das geschützt werden soll.

Beispiel 1:
Inhalt von .htaccess:
AuthType Shibboleth
ShibRequestSetting requireSession true
Require valid-user
Anmerkungen:
- Der Wert der Direktive AuthType (== Shibboleth) ist vorgegeben.
- Die Direktive "Require valid-user" bewirkt, dass alle Mitglieder der TUHH mit ihrem TUHH-Account und ihrem Kerberos-Passwort nach erfolgreicher Authentifizierung auf die geschützte Webseite zugreifen können.

Beispiel 2:
Inhalt von .htaccess:
AuthType Shibboleth
ShibRequestSetting requireSession true
Require user username1 username2
Anmerkungen:
- Die Direktive "Require ...." bewirkt, dass die Benutzer mit dem TUHH-Accounts "username1" und "username2" nach erfolgreicher Authentifizierung auf die geschützte Webseite zugreifen können. Autorisiert sind nur die Benutzer "username1" und "username2".

Beispiel 3:
Inhalt von .htaccess:
AuthType Shibboleth
ShibRequestSetting requireSession true
AuthGroupFile /htdocs/tuhh/mysite/include/.htGroupFile
Require group myGroup
Inhalt von .htGroupFile:
myGroup: \
username1 \
username2 \
username3 \
username4
Anmerkungen:
- Die Direktive AuthGroupFile legt den Namen einer Datei fest, in der eine oder mehrere Benutzergruppen definiert werden.
- Die Direktive "Require Group myGroup" bewirkt, dass alle Mitglieder der in der Datei ".htGroupFile" definierten Gruppe "myGroup" mit ihrem TUHH-Account und ihrem Kerberos-Passwort nach erfolgreicher Authentifizierung auf die geschützte Webseite zugreifen können.

Beispiel 4:
Inhalt von .htaccess:
AuthType Shibboleth
ShibRequestSetting requireSession true
Require shib-attr affiliation ~ employee@(tuhh|tu-harburg)\.de
Anmerkung:
Die Direktive "Require shib-attr affiliation ~ employee@(tuhh|tu-harburg)\.de" bewirkt, dass alle Mitarbeiter der TUHH mit ihrem TUHH-Account und ihrem Kerberos-Passwort nach erfolgreicher Authentifizierung auf die geschützte Webseite zugreifen können.

Die Shibboleth-Regel shib-attr ermöglicht eine Authorisierung anhand der übertragenen Shibboleth-Attribute. An den Webserver www.tuhh.de werden die Attribute

  • uid (entspricht dem LDAP-Attribut uid)
  • ou (entspricht dem LDAP-Attribut ou)
  • affiliation (entspricht dem LDAP-Attribut tuhhEduPersonScopedAffiliation)
  • entitlement (wird für Bibliothek-Dienste benötigt, NICHT für Funktionsaccounts gesetzt)
übertragen. Bei der Beschreibung der Regel sind reguläre Ausdrücke möglich. Das Zeichen "~" kennzeichnet den nachfolgenden Ausdruck als regulären Ausdruck.

Im nachfolgenden Beispiel wird das Shibboleth-Attribut ou genutzt.

Beispiel 5:
Inhalt von .htaccess:
AuthType Shibboleth
ShibRequestSetting requireSession true
Require shib-attr ou ~ ^RZ
Anmerkung:
Die Direktive "Require shib-attr ou ~ ^RZ" bewirkt, dass alle Benutzer, deren Organisationseinheit mit RZ anfängt, mit ihrem TUHH-Account und ihrem Kerberos-Passwort nach erfolgreicher Authentifizierung auf die geschützte Webseite zugreifen können. In diesem Beispiel sind das alle Mitarnbeiter des Rechenzentrums.

Beispiel 6:
Inhalt von .htaccess:
AuthType Shibboleth
ShibRequestSetting requireSession true
Require shib-user ! ~ ^rztmbr$
Anmerkung 1:
Die Direktive "Require shib-user ! ~ ^rztmbr$" bewirkt, dass der Account rztmbr als Berechtigter ausgeschlossen wird. Alle anderen Accounts sind berechtigt.

Anmerkung 2:
Eine Negation ist auch mit der Apache Direktive RequireNone möglich:
AuthType Shibboleth
ShibRequestSetting requireSession true
<RequireNone>
   Require user rztmbr
</RequireNone>
Auch damit wird der Account rztmbr als Einziger ausgeschlossen.

Weitere Informationen zu Shibboleth