Single Sign-On

Als bevorzugte Variante des Authentifizierungsservices wird Single Sign-On angeboten.

Authentifizierungsportal

Das Authentifizierungsportal bietet neben der Anmeldung auch ein explizites Abmelden (Single Sign-Off) vom Portal und den einzelnen Anwendungen. Wenn das Portal geöffnet ist, funktionieren die Single Sign-On URL (https://iu.zid.tuwien.ac.at/AuthServ.authenticate?app=n). Damit sind Verweise zwischen Applikationen möglich.

Beim Abmelden vom Portal erhalten die geöffneten Anwendungen eine Abmeldenachricht. Diese wird nach dem gleichen Schema wie die Anmeldenachricht erzeugt, nur wird statt "sKey" der Parametername "logout" verwendet. Als Antwort soll ein Redirect zurückgegeben werden, und zwar auf
https://iu.zid.tuwien.ac.at/0.graphic.check bei erfolgreicher Abmeldung und auf
https://iu.zid.tuwien.ac.at/0.graphic.cross bei Misserfolg.
Wird bei einer Anwendung die Sitzung durch ein Timeout beendet, kann sie dies durch ein Redirect auf
https://iu.zid.tuwien.ac.at/0.graphic.watch anzeigen.

Die Sichtbarkeit von Anwendungen im Portal ist wie folgt geregelt:

• Kein SSO: Die Anwendung erscheint nicht im Portal. Der SSO-URL führt zu einer Fehlermeldung.
• Unsichtbar: Die Anwendung erscheint nicht im Portal.
• Institut: Nur für Institutsmitarbeiter sichtbar.
• Fakultät: Nur für Fakultätsangehörige sichtbar.
• Mitarbeiter: Für alle Mitarbeiter sichtbar, d.h. nicht für Studenten.
• Student: Für Studenten und Absolventen sichtbar.
• Allgemein: Für alle sichtbar.
• Zusätzlich sind Anwendungen, die über die Matrikelnummer identifizieren, nur für Personen mit MNr sichtbar (Studenten, Absolventen).

Außer im Fall Kein SSO funktionieren die SSO-URL auch dann, wenn die Anwendung nicht im Portal des jeweiligen Benutzers sichtbar ist. Die Verantwortlichen der einzelnen Anwendungen können im Portal über Portal konfigurieren die Sichtbarkeit und allfällige Parameterwerte festlegen.

Aufruf

Der Single Sign-On Aufruf des Authentifizierungsservices hat die Form
 https://iu.zid.tuwien.ac.at/AuthServ.authenticate?app=n

Bei Bedarf wird durch diesen Aufruf der Benutzer zur Eingabe von Benutzername und TU Passwort aufgefordert.
Das optionale Feld param wird wie üblich an den Anwendungsserver durchgereicht.