LDAP
Personale di Riferimento: Maria Laura Mantovani, Francesco Malvezzi, Giovanni Faglioni.
Che cos’è un Servizio di Directory
Presso l’Università di Modena e Reggio Emilia è implementato un Servizio di Directory, che impropriamente o per semplificazione viene spesso chiamato server LDAP.
Un Servizio di Directory è un insieme di programmi dedicati ad organizzare e memorizzare informazioni riguardanti:
- Le persone di una certa organizzazione,
- le risorse a disposizione delle persone,
- la struttura dell’organizzazione a cui le persone appartengono.
Le informazioni a cui si fa riferimento contengono in particolare:
- dati anagrafici (nome, cognome, codice fiscale se si tratta di persone,
- nomi delle strutture organizzative dell’ente, nomi delle risorse, …),
- dati di rubrica (indirizzi postali, indirizzo di posta elettronica, numeri di telefono, fax, altri elementi di reperibilità, …),
- dati riguardanti le relazioni tra le entità (gruppi, permessi, …),
- credenziali (password, certificati digitali, …).
In aggiunta il Servizio di Directory permette di gestire gli accessi degli utenti alle risorse mantenendo costantemente il controllo sui diritti di accesso.
Il Servizio di Directory può fornire, ai servizi che ne hanno bisogno, informazioni costantemente e tempestivamente congruenti riguardo l’organizzazione stessa e le persone che ne fanno parte.
Il Servizio di Directory è a disposizione per essere costantemente interrogato al fine di ottenere in risposta delle informazioni. Tipiche domande a cui il Servizio di Directory risponde sono:
- La persona Pinco Pallo è nota in questo Ateneo?
- In quale struttura Pinco Pallo svolge il suo servizio?
- Qual è il numero di telefono, il fax, l’indirizzo postale, l’indirizzo email di Pinco Pallo?
- Quali sono le strutture organizzative dell’Ateneo?
- Quali sono gli indirizzi, i numeri di telefono, di fax delle strutture dell’Ateneo?
- Chi sono i Direttori delle strutture dell’ateneo?
- Qual è l’elenco del personale afferente ad una certa struttura?
- Qual è l’elenco degli studenti iscritti ad un certo corso?
- Le credenziali immesse da un certo utente sono valide?
- L’utente che ha inserito le credenziali è autorizzato ad accedere al servizio richiesto?
Questo è solo un piccolo esempio per fare capire la tipologia di domande a cui il Servizio di Directory può rispondere. Una traduzione abbastanza chiara per il termine “Servizio di Directory” potrebbe allora essere “Servizio di Elenco”: ad esso infatti chiediamo gli elenchi delle persone, delle strutture, delle risorse connesse in rete.
Presso il nostro Ateneo il Servizio di Directory è implementato su un server raggiungibile all’indirizzo ldap1.unimore.it. E’ disponibile anche un secondo server, ldap2.unimore.it utilizzato per testare gli aggiornamenti delle procedure e le innovazioni.
Il Servizio di Directory risponde estraendo le informazione dal proprio Directory, che è un database in cui giornalmente vengono immesse tutte le informazioni necessarie a fornire le risposte corrette.
E’ evidente che le risposte fornite dal Servizio di Directory saranno utili solo se esatte e attendibili, pertanto le informazioni che vengono trasmesse al Directory devono essere esatte, attendibili, aggiornate e congruenti. Descriveremo quindi quali sono le informazioni che vengono immesse nel Directory e le modalità mediante le quali vengono effettuare le immissioni.
Il Servizio di Directory e il Directory ad esso collegato nelle schematizzazioni viene rappresentato con un triangolo equilatero.
Quali informazioni abbiamo nel Directory
Nel Directory attualmente abbiamo informazioni riguardanti le seguenti entità:
- Studenti attualmente iscritti ai corsi dell’Ateneo;
- Personale attualmente in servizio presso l’Ateneo sia nella forma di dipendente sia nella forma di personale atipico;
- Esterni che attualmente hanno diritto di frequentare e/o utilizzare risorse dell’Ateneo.
- Strutture dell’Ateneo;
- Gruppi di Persone che condividono un interesse (normalmente gli utilizzatori di una certa applicazione).
Per gli Studenti abbiamo:
- il cognome (sn)
- il nome (givenName)
- il nome completo (cn)
- le 2 username assegnate (uid)
- la password collegata alle username
- informazioni per la gestione amministrativa della password (shadow*)
- informazioni per la gestione dell’accesso ai computer (samba*)
- il codice fiscale (unimorecodicefiscale)
- il numero di tessera che gli è stata rilasciata (unimorestudnumerotessera)
- una indicazione sulla validità della tessera (unimorestudvaliditatessera) con valori S(ì) e N(o)
- la data di rilascio della tessera
- il codice (unimorestudfacolta ) e il nome (unimorestuddescrfacolta ) delle Facoltà a cui è iscritto
- il codice (unimorestudcorso) e il nome (unimorestuddescrcorso) dei Corsi a cui è iscritto
- il numero di matricola assegnato (unimorestudmatricola)
- l’anno accademico in cui è stata fatta l’ultima iscrizione relativamente al corso riferito (unimorestudultimoannoaccademico)
- l’anno di corso relativamente al corso riferito (unimorestudannocorso)
- lo stato dell’iscrizione relativamente al corso riferito (unimorestudtipoiscrizione)
- il codice (unimorestudcodiceindirizzo) e la descrizione (unimorestuddescrindirizzo) dell’indirizzo del corso riferito
- la durata del corso riferito (unimorestudduratacorso)
- il codice (unimorecorscodicecorso) e la descrizione (unimorecorsdescrizionecorso) del percorso riferito
- il codice (unimorecorscodiceindirizzo) e la descrizione (unimorecorsdescrizioneindirizzo) dell’indirizzo del percorso riferito
- la durata del percorso (unimorecorsdurataanni)
- lo stato del percorso (unimorecorscodicestato)
- il codice (unimorecorscodiceordinamento) e la descrizione (unimorecorsdescrizioneordinamento) dell’ordinamento riferito
- il codice (unimorecorscodicetipocorso) e la descrizione (unimorecorstipocorso) dell’tipo di corso (Laurea, Laurea Specialistica, Master, Dottorato, …) riferito
- il codice (unimorestudsede) e la descrizione (unimorestuddescrsede) della sede
- l’indirizzo email (mail : utilizzato dalle rubriche e quindi pubblicabile liberamente; unimoremailprincipale : utilizzato per costruire le liste interne, non pubblicabile; unimoremail utilizzato per scopi istituzionali, non pubblicabile)
- la classificazione secondo lo schema eduPerson (eduPersonAffiliation, eduPersonScopedAffiliation)
I dati degli studenti vengono aggiornati quotidianamente nottetempo mediante una procedura che confronta i dati inseriti nell’applicazione gestionale ESSE3. Le variazioni introdotte giornalmente in ESSE3 dalle segreterie studenti e dal personale preposto vengono quindi riprodotte entro la mattina successiva dentro il Directory LDAP. Questa procedura è di fondamentale importanza, perché consente di avere nel Directory LDAP dati aggiornati e congruenti con ESSE3, inoltre sono dati garantiti in quanto non è possibile effettuare altre modifiche che non provengano dalle fonti autorizzate (in questo caso le segreterie studenti).
Gli Studenti hanno come Base DN “ou=people,dc=unimore,dc=it” e si estraggono con il filtro “ou=Studenti”
Per il Personale attualmente in servizio presso l’Ateneo abbiamo:
- il cognome (sn)
- il nome (givenName)
- il nome completo (cn)
- la username assegnata (uid)
- la password collegata alla username
- informazioni per la gestione amministrativa della password (shadow*)
- informazioni per la gestione dell’accesso ai computer (samba*)
- il codice fiscale (unimorecodicefiscale)
- il numero di matricola (unimoreDipMatricola)
- il numero di tessera che gli è stata rilasciata (unimoreDipTessera)
- i numeri di telefono (telephoneNumber)
- i numeri di fax (facsimileTelephoneNumber)
- il codice (unimoreDipCodiceRuolo) ed il relativo ruolo (unimoreDipRuolo)
- il codice (unimoreDipInquadramento) ed il relativo inquadramento (unimoreDipDescrizioneInquadramento)
- la data di variazione dell’ultimo inquadramento (unimoreDipDataUltimoInquadramento)
- il codice (unimoreDipCodiceProfilo) ed il relativo profilo (unimoreDipProfilo)
- il codice (unimoreDipCodiceAttivita) e la relativa attività (unimoreDipAttivita)
- la struttura dove la persona afferisce organizzativamente (unimoreDiporg2) e la struttura direttamente superiore (unimoreDiporg1)
- la sede di lavoro della persona (unimoreDiporg4) e la struttura direttamente superiore (unimoreDiporg3)
- l’afferenza per quanto riguarda l’attività didattica (unimoreDipAfferenzaDidattica) con il relativo codice (unimoreDipCodiceDidattica)
- l’indirizzo email (mail : utilizzato dalle rubriche e quindi pubblicabile liberamente; unimoremailprincipale : utilizzato per costruire le liste interne, non pubblicabile; unimoremail utilizzato per scopi istituzionali, non pubblicabile)
- la classificazione secondo lo schema eduPerson (eduPersonAffiliation, eduPersonScopedAffiliation)
I Ruoli a cui afferisce il Personale istituzionale sono:
AS,Assistenti universitari CD,Collaboratori linguistici (tempo determinato INPDAP) CL,Collaboratori ed esperti linguistici D8,Dirigente DC,Dirigente a contratto LC,Lettore di madre lingua ND,Personale non docente NM,Non docenti a tempo det-Tesoro PA,Professori Associati PO,Professori Ordinari RU,Ricercatori Universitari
Tuttavia oltre ai suddetti ruoli istituzionali abbiamo anche i seguenti ruoli che consideriamo Atipici e provengono dalla base di dati realizzata mediante la procedura Esterni:
COLLABORATORE COORDINATO CONTINUATIVO CULTORE DELLA MATERIA DOCENTE A CONTRATTO INTERINALE LAVORATORE OCCASIONALE (contratto personale senza partita IVA) LIBERO PROFESSIONISTA (Contratto personale con partita IVA) SUPERVISORE SISS TITOLARE DI ASSEGNO DI RICERCA TITOLARE DI BORSA DI STUDIO TUTOR
Infine abbiamo i seguenti ruoli che consideriamo Esterni:
COLLABORATORE DI RICERCA (a titolo gratuito) CONVENZIONATO (cliente delle convenzioni) DIPENDENTE ALTRA UNIVERSITA DIPENDENTE ALTRO ENTE DI RICERCA DIPENDENTE AZIENDA POLICLINICO DIPENDENTE DI ALTRA AZIENDA SANITARIA DOTTORANDO DI ALTRA UNIVERSITA FORNITORE (dipendente o titolare delle ditte fornitrici) LAUREATO FREQUENTATORE OSPITE CON ACCESSO AL SERVIZIO VPN OSPITE (di solito di lunga durata) PROFESSORE EMERITO PROFESSORE FUORI RUOLO STUDENTE DI ALTRA UNIVERSITA
I dati del Personale istituzionale vengono aggiornati quotidianamente nottetempo mediante una procedura che confronta i dati inseriti nell’applicazione gestionale CSA. Le variazioni introdotte giornalmente in CSA dagli uffici della Direzione Risorse Umane e dal personale preposto vengono quindi riprodotte entro la mattina successiva dentro il Directory LDAP. Questa procedura è di fondamentale importanza, perché consente di avere nel Directory LDAP dati aggiornati e congruenti con CSA, inoltre sono dati garantiti in quanto non è possibile effettuare altre modifiche che non provengano dalle fonti autorizzate (in questo caso la Direzione Risorse Umane).
Il Personale istituzionale dell’Ateneo ha come Base DN “ou=people,dc=unimore,dc=it” e si estrae con il filtro “ou=Dipendenti”.
I dati del Personale Atipico e degli Esterni vengono aggiornati quotidianamente nottetempo mediante una procedura che confronta i dati inseriti nell’applicazione gestionale “ESTERNI”. Le variazioni introdotte giornalmente in “IDENTIFICAZIONE ESTERNI” dagli uffici e dal personale preposto vengono quindi riprodotte entro la mattina successiva dentro il Directory LDAP. Questa procedura è di fondamentale importanza, perché consente di avere nel Directory LDAP dati aggiornati e congruenti con la procedura “IDENTIFICAZIONE ESTERNI”, inoltre sono dati garantiti in quanto non è possibile effettuare altre modifiche che non provengano dalle fonti. Si precisa che la procedura “IDENTIFICAZIONE ESTERNI” è un’applicazione che attualmente conta un settantina di operatori, denominati “Incaricati per l’identificazione del personale esterno”, distribuiti in tutte le strutture dell’ateneo. Ciascun operatore è abilitato ad inserire e modificare i dati delle Persone, nelle categorie Atipici ed Esterni, afferenti alla propria struttura. Tutti i dati inseriti dagli incaricati per l’identificazione del personale esterno concorrono alla formazione del DB_ESTERNI.
La figura mostra la provenienza dei dati che concorrono a formare i dati presenti nell’Elenco LDAP.
Risultati e benefici ottenuti dopo l’introduzione del Servizio LDAP
Il Servizio LDAP ci dà una fotografia istantanea delle persone presenti in ateneo: aggiornato quotidianamente ci dice che ad oggi 17/9/2007 ci sono 23376 studenti (compresi dottorandi e specializzandi), 1770 dipendenti (compresi i titolari di assegno di ricerca), 606 esterni validamente identificati (compresi gli atipici), 1154 esterni non ancora identificati. A ciascuno di essi sono state assegnate credenziali personali. Tutte le applicazioni che devono conoscere i propri utenti possono avvalersi del servizio di Directory per validare l’ingresso delle persone senza il bisogno di doverle nuovamente identificare, con conseguente notevole riduzione del carico amministrativo di gestione dell’applicazione stessa.
Servizi basati su LDAP
--Manto 13:44, 1 February 2008 (CET)