...
- We hebben een akkoord nodig van de SURFconext verantwoordelijke van jouw instelling voor het overzetten van de oude IdP naar de nieuwe IdP. Een mail naar support@surfconext.nl volstaat hiervoor.
- Vervolgens gaan we verifiëren of alle metadata van de nieuwe IdP beschikbaar is om deze op te voeren in onze testomgeving of in onze productieomgeving.
- Daarnaast We gaan controleren of de attributen van de oude IdP gelijk zijn aan de attributen van de nieuwe IdP. Dit is met name van belang voor de uid, schacHomeOrganization. Deze zijn essentieel zijn voor de identificatie van de gebruiker op de aangesloten diensten. Als een je hier toch iets verandert zal het er toe leiden dat SURFconext een nieuw NameID en eduPersonTargetedID gaat genereren. Dit kan tot gevolg hebben dat gebruikers geen toegang meer hebben tot hun profielen bij diensten. Als deze attributen gelijk blijven zullen de gebruikersprofielen bij diensten bewaard blijven. Zie ook onze attributen pagina. Dit doe je door met Stuur ons de attributen van een zelfde gebruikersaccount op de oude en op de nieuwe én de oude IdP door aan te melden (liefst in een private sessie van je browser) op https://engine.surfconext.nl/authentication/sp/debug en ons de attributen sturen door te klikken (onderaan de pagina) op de knop "Mail naar SURFconext-Beheer". Als je Identity Provider op onze testomgeving is gedefinieerd kun je ons de attributen daarvan sturen door te navigeren naar https://engine.test.surfconext.nl/authentication/sp/debug.
- Zorg dat je de end-points, de SingleSignOnService-locaties, op je IdP een minimale score 'B' heeft op SSL-Labs. Het zal doorgaans zo zijn dat je bij een upgrade minimaal 'A' scoort omdat je systeem weer bij de tijd is. Als je hier niet aan voldoet sluiten we de IdP niet aan op productieomgeving van SURFconext.
- Voordat de migratie ingezet wordt gaan we er van uit dat alles grondig is getest in de test-omgeving van SURFconext. Test met alle browsers en let er op dat bij browsers van Microsoft de Windows Authentication in je Microsoft ADFS correct geconfigureerd is.
- Wij zullen diensten inlichten dat het entityID van jullie IdP gaat veranderen. Dit is het geval voor diensten met een eigen Where Are You From (WAYF) en deze blijven tot nader orde op beide IdPs aangesloten. Dit gaat voor de ene dienst sneller dan de andere dus hier moeten we op tijd mee beginnen. Hoewel diensten van Topdesk geen WAYF tonen moeten ook voor instanties van Topdesk de nieuwe IdP ingesteld worden. Dit is aan de instelling om te configureren dan wel aan te geven bij Topdesk met een mail naar premiumsupport@topdesk.com. SURFnet kan je de informatie geven die je nodig hebt voor de migratie. Je ontvangt een lijst met diensten die hun eigen WAYF hebben.
- Geef bij ons aan wanneer je de migratie gaat uitvoeren.
...