KNF:IdP-migratie

Timing is belangrijk! Als de migratie niet tegelijkertijd bij de IdP en Kennisnet wordt uitgevoerd dan kunnen authenticatie verzoeken verkeerd gerouteerd worden.

Migratie stappen

1. Test eerst op het oude platform productie: https://referentie.entree.kennisnet.nl/referentiesp staging: https://referentie-s.entree.kennisnet.nl/referentiesp
2. Maak een screenshot van de attributen
3. Migreer eerst de staging omgeving indien die beschikbaar
4. Test na migratie of de attributen uid en NameId gelijk zijn
5. Wijzig het endpoint voor de SSO notificatie

Metadata Entree Federatie

De metadata url's van het nieuwe platform van Entree Federatie

• Productie: https://engine.entree.kennisnet.nl/authentication/sp/metadata
• Staging: https://engine.entree-s.kennisnet.nl/authentication/sp/metadata

Migratie van de IdP staging koppeling

Stuur een verzoek naar Kennisnet om de staging IdP koppeling beschikbaar te maken op de nieuwe platform.

• Metadata van de nieuwe Entree Federatie staging importeren: https://engine.entree-s.kennisnet.nl/authentication/sp/metadata
• Authenticatie en doorgifte attributen testen met de Referentie Service Provider: https://referentie.entree.kennisnet.nl/saml/module.php/core/authenticate.php?as=OpenConext-SAML-testaccepted

Migratie van de IdP productie koppeling

Moment van migratie afspreken met Kennisnet.

• Metadata van de nieuwe Entree Federatie productie importeren: https://engine.entree.kennisnet.nl/authentication/sp/metadata
• Authenticatie en doorgifte attributen testen met de Referentie Service Provider: https://referentie.entree.kennisnet.nl/saml/module.php/core/authenticate.php?as=OpenConext-SAML

ADFS Migratie script

Hieronder staat een script voor het migreren van de ADFS koppeling met Entree Federatie. Het script kopieert de oude koppeling en maakt een nieuwe koppeling met het nieuwe platform van Entree Federatie.

Belangrijk aandachtspunt zijn de variabelen $oldRelyingPartyId en $newRelyingPartyId. Uiteraard moeten die aangepast worden voor een staging migratie.

Daarnaast kan het zijn dat ADFS het Entree Federatie entityId ‘aselect.entree.kennisnet.nl’ verwacht. In dat geval de $oldRelyingPartyId aanpassen. Deze wordt gebruikt om de oude koppeling naar de nieuwe koppeling te kopiëren (als die niet met elkaar overeenkomen gebeurt er niks).

De metadata refresh wordt automatisch aangezet. De signing staat in ADFS standaard op de gewenste SHA-256, daar hoeft dus niets voor te gebeuren.

# Envs
$oldRelyingPartyId = "https://aselect.entree.kennisnet.nl"
$newRelyingPartyId = "https://engine.entree.kennisnet.nl/authentication/sp/metadata"
# Add new Entree Federation relying party trust
Add-AdfsRelyingPartyTrust -Name $newRelyingPartyId -MonitoringEnabled $true -AutoUpdateEnabled $true -MetadataUrl $newRelyingPartyId
# Copy claim rules from old Entree Federation
Set-AdfsRelyingPartyTrust -TargetIdentifier $newRelyingPartyId -IssuanceTransformRules (Get-AdfsRelyingPartyTrust -Identifier $oldRelyingPartyId).IssuanceTransformRules -AccessControlPolicyName (Get-AdfsRelyingPartyTrust -Identifier $oldRelyingPartyId).AccessControlPolicyName
# Remove temp file
Remove-Item -Path "C:\federatie-copy-*-tmp.txt"

SSO notificatie

SSO notificatie endpoint aanpassen naar nieuwe endpoint. De SSO notificatie via redirect uitvoeren, andere opties worden door browsers steeds minder ondersteund.

• SSO notificatie middels redirect instellen