Člankom 27. Pravilnika o ustroju AAI@EduHr definirane su sljedeće obaveze odgovorne osobe matične ustanove u sustavu AAI@EduHr:
"Matična ustanova dužna je imenovati osobe odgovorne za tehničku ispravnost i informacijsku pouzdanost svoga LDAP imenika i prateće programske podrške iz članka 7. Odgovorne osobe iz stavka 1. ovoga članka dužne su održavati podatke o matičnoj ustanovi u registru matičnih ustanova kojeg održava Koordinator".
Osim gore navedenih obaveza, odgovorna osoba u sustavu AAI@EduHr zadužena je i za komunikaciju s timom sustava AAI@EduHr.
Sustav AAI@EduHr je autentikacijska i autorizacijska infrastruktura sustava znanosti i visokog obrazovanja u Republici Hrvatskoj. Svaka ustanova iz sustava Ministarstva znanosti i obrazovanja koja je uključena u sustav AAI@EduHr ima vlastitu bazu (tzv. LDAP imenik) u kojoj su pohranjeni elektronički identiteti korisnika iz te ustanove.
Osnovni elementi sustava AAI@EduHr koji se nalaze na matičnim ustanovama su:
Sve detaljne informacije o sustavu AAI@EduHr nalaze se na Wiki stranicama sustava AAI@EduHr i službenom web sjedištu https://www.aaiedu.hr/
Arhitektura AAI@EduHr sustava pojednostavljeno je prikazana na slici ispod, dok više informacija vezanih uz tehnički opis sustava možete pročitati na internetskoj stranici https://wiki.srce.hr/spaces/AAIUPUTE/pages/196571401/Tehni%C4%8Dki+opis+sustava
Elektronički identitet (engl. electronic identity, digital identity, skraćeno e-identitet) u sustavu AAI@EduHr je skup podataka o pojedincu koji se koristi za potrebe provjere identiteta (autentikacija) i prava pristupa (autorizacija). Pamti se u posebnoj bazi podataka koju zovemo (LDAP) imenik.
Elektronički identitet iz sustava AAI@EduHr je važna imovina koju članu akademske i istraživačke zajednice osobno dodjeljuje njegova matična ustanova.
Elektronički identitet nije "korisnički račun" koji se koristi za neku pojedinu uslugu, nego omogućava pristup velikom broju različitih usluga različitih davatelja usluga. Elektronički identitet često omogućava vlasniku identiteta da pristupa i svojim osobnim podacima i da ostvaruje različita materijalna prava. Zbog svega navedenog elektronički identitet treba koristiti isključivo osobno, ne ga davati drugim osobama i pozorno ga čuvati od svake neovlaštene uporabe.
Elektronički identitet u sustavu AAI@EduHr ima oblik ID_korisnika@oznaka_ustanove.hr
Više informacija o tome što je e-identitet, čemu služi, kako ga sigurno koristiti možete potražiti na interneskoj stranici Što je elektronički identitet u sustavu AAI@EduHr?
Člankom 29. Pravilnika o ustroju AAI@EduHr definirano je tko dodjeljuju i održava elektronički identitete.
Osoba koju ovlasti matična ustanova za dodjeljivanje i održavanje elektroničkih identiteta treba imati pravo administracije imenika kroz AOSI web sučelje za održavanje sadržaja imenika, odnosno u
u atributu hrEduPersonRole (uloga u ustanovi) treba imati upisanu vrijednost "Administrator imenika".
Kako postaviti vrijednost atributa hrEduPersonRole (uloga u ustanovi) opisano je na Wiki stranici Kako postaviti vrijednost atributa hrEduPersonRole (uloga u ustanovi)?
Više informacija o tome tko ima pravo administrirati imenik kroz AOSI web sučelje možete pročitati na Wiki stranici Tko ima pravo administrirati imenik kroz AOSI web sučelje?
Više informacija o administraciji imenika nalazi se na Wiki stranici Administracija LDAP idmenika.
*Sve o AOSI web sučelju možete pročitati na Wiki stranici Aplikacija za održavanje sadržaja imenika (AOSI)
*AOSI web sučelje za održavanje sadržaja imenika za ustanove koje koriste uslugu ugošćavanja AAI@EduHr servisa nalazi se na https://hosting.aaiedu.hr
Obaveza ustanove je da podaci u LDAP imeniku budu točni i ažurni pri čemu je potrebno slijediti pravila i preporuke za upravljanje elektroničkim identitetima definirana Čl. 29. Pravilnika o ustroju AAI@EduHr. Više informacija o pravilima i preporukama, osim u Pravilniku, možete pročitati na Wiki stranici Preporuke za upravljanje elektroničkim identitetima u sustavu AAI@EduHr
Obaveza svake matične ustanove - davatelja elektroničkih identiteta u sustavu AAI@EduHr je informirati korisnike o obradi njihovih osobnih podataka. Da bismo ustanovama olakšali informiranje korisnika, priredili smo predložak obavijesti o privatnosti.
Za ustanove koje koriste uslugu udomljavanja primarnih AAI@EduHr servisa ustanove na poslužitelju u Srcu mi smo prilagodili obrazac koji se ispisuje i uručuje korisnicima prilikom otvaranja e-identiteta tako da sadrži obavijest.
Više informacija o tome kako objaviti obavijest o privatnosti možete pročitati na Wiki stranici Obavijest o privatnosti - za matične ustanove.
U svrhu povećanja sigurnosti elektroničkih identiteta u sustavu AAI@EduHr, u svim AAI paketima implementirana je podrška za politiku obavezne promjene zaporke. Koje su značajke politike obavezne promjene zaporke, je li za matične ustanove obavezna implementacija politike obavezne promjene zaporke, kako pronaći i otključati zaključane korisnike možete pročitati na Wiki stranici Politika obavezne promjene zaporke u sustavu AAI@EduHr.
Odgovorne osobe u sustavu AAI@Eduhr dužne su održavati podatke o matičnoj ustanovi u registru matičnih ustanova. Shodno tome dostupna je web aplikacija koja omogućava pregled (i promjenu) podataka iz sustava AAI@EduHr vezanih uz ustanovu.
Neke od značajki koje je moguće koristiti su:
Web aplikacija je dostupna na https://administracija.aaiedu.hr
Sustav AAI@EduHr omogućava dvostupanjsku autentikaciju na način da se za prvi stupanj autentikacije koristi metoda autentikacije korisničkom oznakom i zaporkom u sustavu AAI@EduHr, a za drugi stupanj autentikacije koristi se jedna od podržanih metoda višestupanjske autentikacije u sustavu AAI@EduHr (SMS OTP sustav, TOTP sustav, YubiKey sTOTP sustav, WebAuthn FIDO2, vjerodajnice visokog stupnja sigurnosti - eOsobna iskaznica, MobileID osobna iskaznica, FINA RDC osobni certifikat...).
U svrhu unaprijeđenja postojećeg rješenja uvedena je mogućnost upravljanja drugim stupnjem autentikacije u sustavu AAI@EduHr kroz web-sučelje AAI@EduHr administracija.
Upravljanje drugim stupnjem autentikacije podrazumijeva da je za korištenje vjerodajnica drugog stupnja autentikacije potrebno odobrenje ovlaštene osobe matične ustanove za izdavanje drugog stupnja autentikacije krajnjim korisnicima.
Upute za postupak odobravanja zahtjeva za registracijom drugog stupnja nalaze se na Wiki stranici Upute za korištenje web aplikacije za odgovorne osobe matičnih ustanova i partnera u sustavu AAI@EduHr - AAI@EduHr administracija
Matična ustanova može biti i davatelj usluge u sustavu AAI@EduHr ako želi ponuditi uslugu za koju se korisnici trebaju autenticirati putem sustava AAI@EduHr. Takve usluge predstavnici matične ustanove registriraju/ažuriraju kroz sučelje Registra resursa. Svaki postavljeni zahtjev za registracijom/ažiriranjem resursa treba biti odobren od strane odgovorne osobe u sustavu AAI@EduHr.
To znači da je jedna od obaveza odgovorne osobe odobravanje postavljenih zahtjeva za registracijom novog resursa ili ažuriranjem postavki registriranog resursa kroz sučelje Registra resusa koje se nalazi na https://registar.aaiedu.hr Sve o postupku odobravanja takvih zahtjeva možete saznati na Wiki stranici Registar resursa u odjeljku Postupak odobravanja i obrade zahtjeva
Ako vaša ustanova ima pravo korištenja usluge Office 365, sustav AAI@EduHr omogućava prijavu u uslugu O365 uporabom e-identiteta.
Uputa za taj postupak nalazi se na Wiki stranici Microsoft Office 365
Ustanove koje koriste uslugu ugošćavanja AAI@EduHr servisa trebaju proći korake navedene u poglavlju „Je li moguće uspostaviti vezu sustava AAI@EduHr i Office 365 ako koristim uslugu ugošćavanja AAI servisa na računalu hosting.aaiedu.hr?“
Više informacija imate li pravo na (besplatno) korištenje usluge O365 pročitajte na https://www.srce.unizg.hr/office365
Ako se vaša ustanovu odluči da želi ažurirati elektroničke identitete u LDAP imeniku kroz ISVU, potrebno je provesti usklađivanje sadržaja LDAP imenika ustanove i ISVU baze.
Sve informacije nalaze se na Wiki stranici Je li moguće održavati sadržaj LDAP imenika kroz ISVU.
Matične ustanove koje iz opravdanih razloga (nedostatak vlastitog poslužitelja, nedostatak stalne i pouzdane veze na Internet, nedostatak stručnog osoblja itd.) ne mogu instalirati i održavati LDAP imenik i ostale servise potrebne za rad AAI@EduHr sustava na lokalnom poslužitelju svoje ustanove mogu zatražiti ugošćavanje osnovnih AAI@EduHr servisa u Srcu.
Sve važne informacije o ugošćavanju primarnih i sekundarnih AAI@EduHr servisa nalazi se na Wiki stranicama Procedura udomljavanja primarnih AAI@EduHr servisa na poslužitelju u Srcu i Procedura udomljavanja sekundarnih AAI@EduHr servisa na poslužitelju u Srcu
Jednom godišnje provodi se provjera usklađenosti, odnosno certificiranje matičnih ustanova u sustavu AAI@EduHr s normama sustava AAI@EduHr. Sve matične ustanove u sustavu AAI@EduHr obuhvaćene su tom provjerom. Provjera usklađenosti je provjera koliko ustanove poštuju pravila sustava AAI@EduHr te obaveze koje su ulaskom u AAI@EduHr sustav pristale ispunjavati. Korisnicima s ustanova čija usklađenost tijekom certificiranja bude ocjenjena nedovoljnom ograničava se ili potpuno ukida pristup nekim resursima dostupnim unutar AAI@EduHr sustava te im neće biti moguće pristupiti sustavu e-Građani uporabom AAI@EduHr elektroničkog identiteta.
Sve o certificiranju matičnih ustanova u sustavu AAI@EduHr nalazi se na Wiki stranici Certificiranje matičnih ustanova.
Status osnovnih AAI@EduHr servisa ((LDAP, RADIUS, AOSI) na matičnim ustanovama
*Ispravnost AAI@EduHr servisa možete provjeriti putem stranice https://www.aaiedu.hr/statistika-i-stanje-sustava/maticne-ustanove/statusi-servisa
Iznimno je važno da elementi AAI@EduHr sustava na matičnoj ustanovi (LDAP imenik, RADIUS poslužitelj i AOSI web servis) budu stalno dostupni kako bi korisnici s ustanove mogli koristiti resurse koji za autentikaciju i autorizaciju koriste AAI@EduHr sustav.
Nedostupnost samo jednog od elemenata može rezultirati nemogućnošću uporabe nekog od resursa.
Da bi autentikacija i autorizacija korisnika prilikom pristupanja resursima u sustavu AAI@EduHr mogla normalno funkcionirati potrebno je osigurati sljedeće:
Kada poslužitelj promijeni IP adresu ili DNS naziv potrebno je sljedeće: