Université de Strasbourg. Spécification de l'annuaire d'établissement

Transcription

1 Université de Strasbourg Spécification de l'annuaire d'établissement

2 Historique UdS - Spécification de l'annuaire d'établissement 2/42

3 Version Date Auteur Modification /06/2008 Alain ZAMBONI - Rédaction initiale /06/2008 Alain ZAMBONI - Intégration des remarques de G. Brand, M. Legin et P. David /06/2008 Pierre DAVID - Intégration des remarques de C. Distel /06/2008 Alain ZAMBONI - Intégration des remarques de M. Legin (e.n.t.) /06/2008 Alain ZAMBONI - Intégrations des remarques du groupe de travail /06/ /10/2008 Alain ZAMBONI Emmanuel BLINDAUER Alain ZAMBONI Hervé JAUME - Recommandations SUPANN Corrections de M. Legin - Ajout des chapitres «Active Directory» - Ajout de la description d'univ-r - Intégration des remarques de Julien DUPRE - Description des attributs de la classe inetorgperson /11/2008 Alain ZAMBONI - Renommage d'attributs et classes d'objets (groupes web, listes de diffusion et vacations) /11/2008 Alain ZAMBONI - Ajout de la branche «ou=compat» - Ajout de udsdepartment (classe udsstudent) /11/2008 Alain ZAMBONI - Correction «ou=annuaire» en «o=annuaire» /12/2008 Alain ZAMBONI /12/2008 Alain ZAMBONI /12/2008 Alain ZAMBONI - Ajout classe udssmartcard - Suppression attribut udscharterapproval - Renommage udsentactive en udsactive - Ajout attribut udsstudentcode - Ajout udssourcepresent - Suppression udsharpegeid et udsapogeeid (doublon avec SupannEmpId et SupannEtuId) - Ajout branche «ou=etablissements,o=annuaire» - Ajout classe udsorganization - Ajout udsendmanageddate /01/2009 Alain ZAMBONI - Ajout attribut udsdirectoryid /01/2009 Alain ZAMBONI - Ajout attributs udsdomainreadonly, udsdomainrestricted /04/2009 Alain ZAMBONI - Ajout classe udsunit - Ajout attribut udsharpegedeletiondate - Ajout attribut cn dans la classe udsmailalias /06/2009 Alain ZAMBONI - Ajout de la structure d'enseignement /06/2009 Alain ZAMBONI /07/2009 Alain ZAMBONI /07/2009 Alain ZAMBONI /07/2009 Alain ZAMBONI Christophe DISTEL /08/2009 Alain ZAMBONI - Ajout de la branche «ou=param,o=annuaire» - Ajout de la classe udsldapudsparam - Renommage cn en udsseelementid dans la classe udsseelement - Ajout edupersonorgunitdn et edupersonprimaryorgunitdn - Modification de l'utilisation des attributs udsetpindex, udsdepartement, udsmaindepartment, udselpindex, udsvetindex - Ajout udslistname dans udsunit - Modification de la description de udslistname - udssportsubscription facultatif descriptions udssport modifiées /08/2009 Alain ZAMBONI - udsparentunit (udsunit) /08/2009 Alain ZAMBONI - Intégralité des éléments pédagagos. UdS dans la branche SE ajout udsunitlabel UdS - Spécification de l'annuaire d'établissement 3/42

4 Version Date Auteur Modification /11/2009 Alain ZAMBONI /01/2010 Alain ZAMBONI - Modification descriptions dans classe udsemployee - Ajout de la partie «Téléphonie» (5.8) - Ajout description des groupes et classes associées (udsgroup, SupannGroupe, GroupOfNames) - Ajout udsetpcode, udsprimaryetpcode, udsetpdn, udsprimaryetpdn dans la classe udsstudent - A jout description dans udsmailalias - Ajout udsdisplayname dans udsperson /04/2010 Alain ZAMBONI - Ajout de supannempcorps /05/2010 Alain ZAMBONI /07/2010 Alain ZAMBONI - Suppression edupersonaffiliation et edupersonprimaryaffiliation de udsperson (gestion des comptes non nominatifs) - Ajout de udsgroupapp dans udsgroup - Suppression du descriptif des applications - Suppression du chapitre sur la migration vers l'annuaire UdS - Modification classe udsstudent : - Suppression de udsetpindex - UdsDepartment et udsmaindepartment obsolètes - Ajout udsdepartmentcode, udsmaindepartmentcode, udsdepartmentdn et udsmaindepartmentdn - Ajout de udsresearchorgcode, udstopunitcode et udsprimarytopunitcode dans udsemployee - Ajout de udsactivationkey dans udsperson - Ajout de udsmoneonumber et udsmoneohash dans udssmartcard /07/2010 Alain ZAMBONI - Ajout de supannmailperso dans supannperson /08/2010 Alain ZAMBONI - Ajout de udssmartcardhexnumber dans udssmartcard /09/2010 Alain ZAMBONI /09/2010 Alain ZAMBONI /12/2010 Alain ZAMBONI /01/2011 Alain ZAMBONI Eric DÉCORNOD - udssmartcardnumber, udssmartcardbarcode, udssmartcardhexnumber deviennent facultatifs, pour permettre l'utilisation de la classe udssmartcard pour des personnes possédant uniquement une carte Monéo - Changement de la description de udsbirthdate et udsauthorizedgroup - Ajout de udsshortuid dans udsperson - Suppression de la partie Annuaire Fonctionnel - Supression de la classe udsfunction - Suppression de udsfunctiondn dans udsperson - Suppression de la partie Compatibilité avec les anciens annuaires : - Suppression des classes udspersoncompat et udscompocompat - Suppression de la classe udslistsubscription - Suppression de la classe udsscdiufm - Ajout de udssmartcardtype /09/2011 Alain ZAMBONI Jérémy WAGNER - Modification du format de udsdisplayname UdS - Spécification de l'annuaire d'établissement 4/42

5 Table des matières 1 Introduction Contexte Objectifs et enjeux Objectif de ce document Structure de l'annuaire d'établissement UdS Gestion des personnes Arborescence Les classes d'objets Classe inetorgperson Classe eduperson Classe supannperson Classe udsperson Classe udsemployee Classe udsstudent Classe udstempteacher Classe udssport Classe udsmailaccount Classe udswifiprofile Classe udsvpnprofile Classe udswebgroupmember Classe udssmartcard Structures annexes Messagerie Arborescence Classes d'objets La classe udsmailalias La classe udsdomain La classe udsrights Exemple Profils Wifi Arborescence Les classes d'objets La classe inetorgperson La classe radiusprofile Exemple Profils VPN Arborescence Les classes d'objets La classe inetorgperson La classe radiusprofile Exemple Structure du référentiel Arborescence Schémas La classe udsunit La classe udsseelement Autorisations d'accès à l'annuaire d'établissement Arborescence Schémas la classe organizationalperson la classe groupofnames...33 UdS - Spécification de l'annuaire d'établissement 5/42

6 4.5.3 Exemple Téléphonie Arborescence Schémas pour la téléphone Mitel La classe OrganizationalPerson La classe User La classe billableobject Exemple Groupes dans l'annuaire LDAP Arborescence Schémas La classe groupofnames La classe supanngroupe La classe udsgroup Active Directory Authiris Arborescence Les classes d'objets La classe udsorganization Exemple Durée de vie des comptes Suppression des comptes Arborescence La classe groupofnames Exemple Evolution Paramètres d'applications Arborescence Schémas Classe udsldapudsparam Interaction avec les composantes Objectifs Schémas supportés La branche «ou=composantes» Accès à l'annuaire Exemple...42 UdS - Spécification de l'annuaire d'établissement 6/42

7 1 Introduction 1.1 Contexte La fusion des trois universités strasbourgeoises et de l'iufm au premier janvier 2009 constitue une occasion unique de repenser l'architecture de l'annuaire LDAP défini et utilisé jusque là par divers services informatiques en place. Avec l'expérience accumulée dans la gestion de l'annuaire et grâce à une nouvelle Direction Informatique unifiée, les contraintes de dispersion qui pesaient jusqu'ici disparaissent et ouvrent la voie à une architecture d'annuaire simplifiée et homogène. 1.2 Objectifs et enjeux Les objectifs de cet annuaire sont : d'assurer la cohérence des informations qui s'y trouvent ; de permettre leur utilisation transversale par l'ensemble des applications ; d'offrir aux composantes de l'uds un service d'annuaire fiable et adapté à leurs besoins ; de gérer des services que l'uds s'est engagée à offrir à des établissements partenaires (messagerie, wifi, e.n.t., applications pédagogiques, etc.) ; La structure proposée est un annuaire unique sur lequel s'adossent tous les services, dans le but évident de simplifier les processus et d'en simplifier la gestion. 1.3 Objectif de ce document Cette documentation est destinée à la fois aux concepteurs de l'annuaire et à ses utilisateurs, c'est à dire les concepteurs des applications utilisant l'annuaire. Elle a pour vocation de décrire précisément la structure de l'annuaire, les schémas utilisés et les valeurs des attributs. 2 Structure de l'annuaire d'établissement UdS L'annuaire d'établissement est un annuaire multi-établissement : il doit pouvoir intégrer les utilisateurs des établissements d'enseignement supérieur et de recherche demandant à profiter de l'offre de service de la direction informatique. Cet annuaire est aussi un annuaire applicatif : il contient des informations nécessaires au fonctionnement de services offerts par la direction informatique. Afin de répondre à ces besoins, l'annuaire contient plusieurs branches, chacune contenant des informations de nature différente. Le contenu de ces différentes branches est expliqué plus spécifiquement dans les chapitres suivants. UdS - Spécification de l'annuaire d'établissement 7/42

8 o=annuaire ou=people ou=uds ou=insa ou=referentiel ou=messagerie ou=profilsvpn ou=profilswifi ou=telephonie ou=operateurs ou=composantes ou=groups UdS - Spécification de l'annuaire d'établissement 8/42

9 3 Gestion des personnes Chaque personne se voit attribuer un compte unique par établissement, quel que soit le nombre de fonctions qu'elle peut occuper au sein de l'université. Ainsi, un personnel également inscrit en tant qu'étudiant aura un seul compte, lui offrant accès aux applications réservées au personnel, mais également aux applications pédagogiques proposées aux étudiants. L'annuaire UDS étant multi-établissement, il peut héberger les comptes des utilisateurs de multiples établissement. Les comptes sont propres à chaque établissement. Ainsi, il se peut qu'une même personne physique ait plusieurs comptes dans l'annuaire : un par établissement dans lequel elle est inscrite/employée. 3.1 Arborescence Les personnes sont déclarées dans la branche «ou=people» de l'annuaire d'établissement. Cette branche est subdivisée : chaque établissement hébergé dans l'annuaire a sa sous-branche propre. 3.2 Les classes d'objets Les schémas suivants détaillent la représentation utilisée pour stocker toutes les informations relatives à une personne dans l'annuaire Classe inetorgperson Classe d'objet standard (RFC 2798) définissant une personne. Le détail des attributs contenus par cette classe peut être consulté dans les documents suivants : RFC-2798 de l'ietf : Recommandations SUPANN v1 : Recommandations SUPANN 2008 : Le tableau suivant présente les attributs issus de la classe inetorgperson qui seront utilisés dans l'annuaire UdS. UdS - Spécification de l'annuaire d'établissement 9/42

10 cn Mu O Cet attribut contient le nom complet sans accents de la personne (RFC2256). Les noms et prénoms doivent être en majuscule. Les noms et prénoms composés sont attachés par un «-». Les prénoms et noms sont séparés d'un espace. Tous les autres caractères non alpha-numériques sont supprimés. Ex : NOM-COMPOSE PRENOM-COMPOSE displayname Mo N Cet attribut contient le nom complet avec accents de la personne. Il a pour but d'être utilisé pour l'affichage dans les applications. De ce fait, il doit respecter le format «Prénom» (inverse du cn). Les valeurs du prénom et du nom sont respectivement celles des attributs givenname et sn. facsimiletelephonenumber Mu N Cet attribut contient le numéro de télécopieur auquel la personne est accessible. Pour les personnels dépendant de l'installation téléphonique de la DI, cet attribut devra être renseigné par les informations issues de ce dernier. (RFC2256) givenname Mu N Cet attribut contient le prénom avec accent de la personne (RFC2256). La première lettre de chaque prénom doit être en majuscule et le reste en minuscule. Plusieurs espaces successifs sont remplacés par un seul. Les autres spécificités éventuelles (apostrophe, tiret, etc.) sont inchangés par rapport à la base source mail Mu N Cet attribut contient l'adresse électronique canonique institutionnelle de la personne (RFC1274). Si la personne dispose d'une boîte aux lettres électronique hébergée à la DI, c'est à cette dernière de remplir cet attribut. Cet attribut est uniquement informatif, et n'est pas utilisé pour l'acheminement de courrier électronique. mobile Mu N Cet attribut contient le numéro de téléphone mobile institutionnel de la personne. Pour les personnels dépendant de l'installation téléphonique de la DI, cet attribut devra être renseigné par les informations issues de ce dernier. (RFC1274) postaladdress Mu N Adresse postale institutionnelle complète de la personne (RFC2256). Cette information sera remplie automatiquement selon les données d'affectation issues des bases Harpège et Apogées, ou selon l'annuaire source pour les établissement externes. preferredlanguage Mo N Langue préférée par l'utilisateur. L'utilisation précise de ce champ est à définir. sn Mu O Cet attribut contient le nom avec accent de la personne (RFC2256). La première lettre de chaque nom doit être en majuscule et le reste en minuscule. Plusieurs espaces successifs sont remplacés par un seul. Les autres spécificités UdS - Spécification de l'annuaire d'établissement 10/42

11 éventuelles (apostrophe, tiret, etc.) sont inchangés par rapport à la base source. telephonenumber Mu N Cet attribut contient le numéro de téléphone auquel la personne est accessible. Pour les personnels dépendant de l'installation téléphonique de la DI, cet attribut devra être renseigné par les informations issues de ce dernier. (RFC2256) uid Mu N Cet attribut doit contenir le RDN de la personne (RFC2798). Cet uid est le login de la personne, qui sera utilisé pour l'authentification dans les applications. userpassword Mu N Cet attribut contient le mot de passe de la personne(rfc2307). Ce mot de passe doit être chiffré. Un compte sans mot de passe est un compte verrouillé Classe eduperson La classe eduperson est issue des travaux d'un groupe de travail de l'association EDUCAUSE. Cette classe propose des attributs génériques permettant de définir une personne dans l'enseignement supérieur. L'utilisation de cette classe, plébiscitée par les recommandations SUPANN, s'inscrit dans une démarche d'harmonisation internationale des annuaires d'établissement de l'enseignement supérieur. Le détail des attributs de cette classe peut être consulté dans les documents suivants : Site web EDUCAUSE : Recommandations SUPANN v1 : Recommandations SUPANN 2008 : Le tableau suivant présente les attributs issus de la classe eduperson qui seront utilisés dans l'annuaire UdS. UdS - Spécification de l'annuaire d'établissement 11/42

12 Obligatoire Description edupersonaffiliation Mu N Statut de la personne en fonction de la nomenclature suivante : student : étudiant inscrit dans l'établissement faculty : personnel géré ou hébergé par l'établissement assurant une activité d'enseignement employee : personnel géré ou hébergé par l'établissement assurant une activité autre que l'enseignement ou la recherche researcher : personne assurant une activité de recherche member : personne inscrite dans les bases de l'établissement ; s'ajoute aux profils student, faculty, employee et researcher affiliate : personne ne dépendant pas de l'établissement alum : ancien étudiant ayant gardé des liens avec l'établissement retired : personne retraitée ayant gardé des liens avec l'établissement emeritus : professeur ayant obtenu l'éméritat dans l'établissement library-walk-in : profil spécifique lié à la problématique des accès aux bibliothèques électroniques edupersonprimaryaffiliation Mo N Statut considéré comme principal (cf. nomenclature ci dessus). Le statut principal est choisi parmi ceux dans edupersonaffiliation, dans dans l'ordre priorité croissante suivant : library-walk-in, alum, affiliate, retired, member, emeritus, student, researcher, faculty, employee. edupersonorgunitdn Mu N DN dans l'annuaire UdS désignant les structures d'affectations d'un personnel. Équivalent au format DN de supannentiteaffectation. edupersonprimaryorgunitdn Mo N DN dans l'annuaire UdS désignant la structure d'affectation principale d'un personnel. Contient obligatoirement une des valeurs de edupersonorgunitdn. Équivalent au format DN de supannentiteaffectationprincipale Classe supannperson Les recommandations SUPANN ont pour but d'assurer la compatibilité des annuaires de l'enseignement supérieur aux niveaux national et international. La classe d'objet supannperson complète les classes inetorgperson et eduperson. Elle ajoute des attributs génériques supplémentaires pour définir une personne. Le détail des recommandations SUPANN peut être consulté dans les document suivant : Recommandations SUPANN v1 : Recommandations SUPANN 2008 : Le tableau suivant présente les attributs issus de la classe supannperson qui seront utilisés dans l'annuaire UdS. UdS - Spécification de l'annuaire d'établissement 12/42

13 Obligat oire Description supannetablissement Mo O Établissement de rattachement administratif de la personne supanncivilite Mo N «M.», «Mme» ou «Mlle» (ne pas oublier le point après le M pour monsieur). supannlisterouge Mo O DOIT contenir une information sur le souhait de la personne de figurer en liste rouge. Booléen à VRAI pour les personnes figurant en liste rouge. supannautretelephone Mu N Téléphones fixes autres que le téléphone principal. Même syntaxe que TelephoneNumber. supannentiteaffectation Mu N Représente la ou les affectations de la personne dans un établissement, une composante, un service, etc. Pour l'uds, les valeurs utilisées sont celles du référentiel utilisé dans l' application Harpège. Les affectations les plus fines issues d'harpège figurent dans cet attribut (en opposititon à «udstopunitcode»). supannentiteaffectationprincipale Mo N Représente l'affectation principale de la personne dans l'établissement (composante, service, etc.). Pour l'uds, les valeurs utilisées sont celles du référentiel utilisé dans l' application Harpège. Pour les personnes avec plusieurs contrats, l'affectation principale est choisi selon l'ordre de priorité croissante suivant : affectation vacataire, affectation hébergé, affectation contractuel, affectation titulaire. L'affectations principale la plus fine issue d'harpège figure dans cet attribut (en opposititon à «udsprimarytopunitcode»). supannempid N Identifiant de l'employé dans le logiciel de gestion du personnel de l'établissement. supanncodeine Mo N Cet attribut DOIT stocker le code INE pour les étudiants (voir sigles et glossaire).il DOIT être renseigné si l'attribut edupersonaffiliation contient student. supannetuid Mo N Identifiant de l'étudiant dans le logiciel de gestion de scolarité de l'établissement. SupannEmpCorps Mo N Corps d'appartenance d'un agent. Contenu étiqueté ( NCORPS ), code issu de la colonne CORPS de la table N_CORPS du domaine Gestion du personnel de la BCN ( SupannMailPerso Mu N Adresse électronique personnel de la personne Classe udsperson La classe d'objet udsperson est la classe de base d'une personne de l'uds. Elle propose les attributs nécessaires pour identifier une personne dans le système d'information de l'université de Strasbourg. On retrouve dans cette classe certains attributs issus des classes inetorgperson et eduperson dans le but de les rendre obligatoires. UdS - Spécification de l'annuaire d'établissement 13/42

14 uid Mo O Login de l'utilisateur givenname Mo O Prénom de l'utilisateur udsbirthdate Mo O Date de naissance de la personne. Une valeur de « Z» (=01/01/1900) indique une date date inconnue. udsbirthname Mo N de naissance de l'utilisateur Ce champ est uniquement rempli si le nom d'usage (sn) est différent du nom de naissance UdsDisplayName Mo O complet de l'utilisateur suivi du code de la composante, du service ou de l'établissement. Les étudiants ont également le suffixe ETU. Le suffixe est entre parenthèses. Exemples : - «Robert TARTANPION / MAI» - «Jacques SELERE / ETU INSA» udslab Mu N Laboratoire(s) de recherche au(x)quel(s) est affectée la personne udsactive Mo N Booléen indiquant si la personne a activé son compte E.N.T. udsnetmanagergroup Mo N Groupe de gestionnaires réseaux ayant des droits sur l'administration de la personne udsendmanageddate Mo N Date de fin d'adoption du compte. A cette date, l'attribut «udsnetmanagergroup» de ce cette entrée sera supprimé. Dans le cas des comptes créés manuellement, cette date fait office de date de suppression. udsdatasource Mu O de la(les) base(s) source(s) dont l'entrée est issue. Valeurs possibles : APOGEE, HARPEGE, INSA, ENGEES, MANUEL La valeur «MANUEL» est utilisée lorsque les comptes ne sont pas rattachés à une base de données source. Les cas envisageables sont : - établissement sans annuaire d'établissement - comptes invités d'accès réseau (Wifi/VPN) udssourcepresent Mo O Booléen indiquant si l'enregistrement de la personne dans le système d'information est encore valide : - personnels UDS : VRAI si la personne a un contrat valide (=présent dans la vue Harpège) - étudiants UDS : toujours VRAI pour l'instant. A revoir lors de la mise en place du nouveau connecteur Apogée. - INSA, ENGEES : toujours à VRAI - Comptes manuels : toujours à FAUX udsharpegedeletiondate Mo N Date indiquant le jour où la personne n'apparait plus dans la vue Harpège, ie. n'a plus de contrat valide a l'université. Cette date indique le début du sursis du compte. udssourcedn Mo N DN de référence dans l'annuaire INSA ou ENGEES si la personne est issue d'un de ces établissements. Attribué uniquement si udsdatasource a la valeur correspondante UdS - Spécification de l'annuaire d'établissement 14/42

15 UdsShortUid Mo N Login court pour la personne (<= 12 caractères). Cet attribut bénéficie d'une contrainte d'unicité. Il n'y a pas de contrainte entre ce login court et l'uid standard : l'udsshortuid d'une personne A peut être l'uid d'une personne B. Les changements d'uid n'impactent pas cet attribut. Actuellement uniquement utilisé par SIFAC, l'alimentation de cet attribut est entièrement géré par l'équipe d'exploitation SIFAC. UdsDirectoryId Mo O Numéro unique et immuable d'une personne dans l'annuaire UdS. Permet d'identifier un individu en cas de changement de login. udsactivationkey Mo N Clé d'activation initiale du compte. Cette clé est attribué lors de la création du compte. La procédure de première connexion authentifie l'utilisateur avec cette attribut. Une fois cette procédure effectuée et le vrai mot de passe initialisé, cette clé est supprimée Classe udsemployee La classe udsemployee est attribuée aux personnels de l'université. Elle permet de renseigner les informations propres à ce statut issues de la base Harpège. udsstatus Mo O Statut de la personne : Titulaire, Arrivant (création Harpgest), Vacataire, Contractuel, Heberge. Pour les personnes avec plusieurs contrats, ce statut est choisi selon l'ordre de priorité croissante suivante : Heberge, Arrivant, Vacataire, Contractuel, Titulaire. udsgrade Mo N Grade de la personne. Pour les personnes avec plusieurs contrats, le grade est choisi selon l'ordre de priorité croissante suivant : grade hébergé, grade arrivant, grade contractuel, grade titulaire. udsendofactivitydate Mo N Date de fin d'activité en tant que personnel universitaire. Format date LDAP udsspeciality Mo N Indique le code CNU pour les enseignants/chercheurs et la BAP pour les ITRF. udstopunitcode Mu N Code des composantes ou services d'affection de plus haut niveau de l'employé. Pour l'uds, les valeurs utilisées sont celles du référentiel utilisé dans l' application Harpège. udsprimarytopunitcode Mo N Code de la composantes ou du service d'affection de plus haut niveau de l'employé. Pour l'uds, la valeur utilisée est celle du référentiel utilisé dans l' application Harpège. Pour les personnes avec plusieurs contrats, l'affectation principale est choisi selon l'ordre de priorité croissante suivant : affectation vacataire, affectation hébergé, affectation contractuel, affectation titulaire. UdS - Spécification de l'annuaire d'établissement 15/42

16 udsresearchorgcode Mu N Pour les personnels uniquement hébergés, contient le code Harpège de l'organisme employeur de la personne (ex. S pour CNRS) Classe udsstudent La classe udsstudent est attribuée aux étudiants de l'université. Elle permet de renseigner les informations propres à ce statut issues de la base Apogée. Les attributs obligatoires de cette classe peuvent être renseignés dès l'inscription administrative. C'est cette inscription qui est déterminante pour affecter le statut d'étudiant à une personne. Les autres attributs demandent que l'étudiant ait effectué son inscription pédagogique. Pour l'uds, seuls les éléments éléments pédagogiques «chargés» sont renseignés. Les natures concernées sont : UECH : UE chargée ; STAG : stage ; MEMR : mémoire de recherche; MATI : matière ; MLNS : langue NS; MEM : mémoire ; PRJ : projet ; SE : séminaire. multivalu é Obligatoire Description udsacademicyear Mo O Dernière année d'inscription de l'étudiant. Format : 4 chiffres. Ex: 2007 pour l'année scolaire 2007/2008 udsmaindepartment Mo N Obsolète en janvier 2011 Composante principale d'inscription de l'étudiant. Format : DN dans l'annuaire de la composante. udsdepartment Mu N Obsolète en janvier 2011 Composante(s) d'inscription(s) de l'étudiant. Format : DN dans l'annuaire de la composante. UdsDepartmentCode Mu N Composante(s) d'inscription(s) de l'étudiant. Format : code de la composante (chaîne de caractère). udsmaindepartmentcode Mo N Composante principale d'inscription de l'étudiant. Format : code de la composante (chaîne de caractère). udsdepartmentdn Mu N Composante(s) d'inscription(s) de l'étudiant. Format : DN dans l'annuaire de la composante. udsmaindepartmentdn Mo N Composante principale d'inscription de l'étudiant. Format : DN dans l'annuaire de la composante. udsendofrightdate Mo N Date de fin de droits étudiants. Format date LDAP udsvetindex Mu N Version d'étape à laquelle(auxquelles) est inscrit l'étudiant. Actuellement inutile. udselpindex Mu N Élément(s) pédagogique(s) au(x)quel(s) est inscrit l'étudiant. Format : DN dans l'annuaire le l'élément correspondant. udsstudentcode Mo N Numéro de l'étudiant interne à l'université. Présent UdS - Spécification de l'annuaire d'établissement 16/42

17 multivalu é Obligatoire Description sur la carte d'étudiant. Ne pas confondre avec le numéro de dossier Apogée et le code INE. udsetpdn Mu N DN dans l'annuaire des étapes auxquelles l'étudiant est inscrit (non-obligatoire car toutes les étapes ne sont pas dans l'annuaire). udsprimaryetpdn Mo N DN dans l'annuaire de l'étape de l'inscription principale (non-obligatoire car toutes les étapes ne sont pas dans l'annuaire). udsetpcode Mu O codes des étapes Apogée auxquelles l'étudiant est inscrit. udsprimaryetpcode Mo O code de l'étape de l'inscription principale Classe udstempteacher Cette classe est une classe spécifique pour les enseignants vacataires. Elle est utilisée par les applications pédagogiques pour déterminer les droits d'accès. Obligatoir e Description udstempteacherenddate Mo O Date de fin de la vacation. Format date LDAP Classe udssport Cette classe contient des attributs nécessaires à l'application SiuapsWeb. Elle permet de déterminer le montant des droits sportifs, et de savoir si la personne les a acquittés. Cette classe est uniquement utilisé pour les personnes (étudiants et personnels) hors du SI de l'uds. Pour l'insa et l'engees, ces valeurs sont issues de la réplications de l'annuaire LDAP d'établissement. udssportsubscription Mo N Booléen déterminant si la personne a payé les droits sportifs auprès d'une entité de son établissement (scolarité, etc.). Le paiement direct au SIUAPS n'est pas concerné par cette valeur. udssportrate Mo N Indice salarial d'un personnel. udsscholar Mo N Pour les étudiants. Booléen indiquant si l'étudiant est boursier udsbaccalaureatyear Mo N Année d'obtention du baccalauréat. Permet d'exempter les étudiants venant de réussir le bac des droits sportifs Classe udsmailaccount Cette classe contient les attributs nécessaires au service d'hébergement de messagerie. Elle offre les attributs définissant une boîte aux lettres. UdS - Spécification de l'annuaire d'établissement 17/42

18 udsmaildirectory Mo O Indique le répertoire de stockage de la boîte aux lettres sur le(s) serveur(s) de messagerie udscanonicaladdress Mo O Adresse de messagerie principale de la personne udsalternateaddress Mu N Adresse(s) de messagerie secondaire(s) de la personne udsquota Mo N Espace disque maximum en octets autorisé pour cette boîte aux lettres. La valeur doit se terminer avec «S» pour préciser que c'est une limite sur la taille de la boîte. Ex : 5Go S udsmailfilter Mo N Séquence de filtre de messagerie à appliquer aux messages à destination de cette boîte aux lettres. Cf. udsmaillimitdate Mo N Date d'expiration de la boîte aux lettres. Format date LDAP Classe udswifiprofile Cette classe contient les attributs autorisant la personne à se connecter au réseau sans-fil Osiris et permettant de la placer dans un sous-réseau spécifique. Une personne sans cette classe ne peut se connecter au réseau sans-fil. udsradiusprofilewifi Mo O Profil Wifi de la personne, faisant référence à un profil déclaré dans la branche des profils wifi. udswifilimitdate Mo N Date d'expiration de l'accès au réseau sans-fil. Format date LDAP. Pour les comptes wifi invités ou conférences, cette date indique la date de suppression du compte Classe udsvpnprofile Cette classe contient les attributs autorisant la personne à utiliser le service d'accès à distance VPN et permettant de la placer dans un sous-réseau spécifique. Une personne sans cette classe ne peut utiliser ce service. udsradiusprofilevpn Mo O Profil VPN de la personne, faisant référence à un profil déclaré dans la branche des profils VPN. udsvpnlimitdate Mo N Date d'expiration de l'accès au service VPN. Format date LDAP Classe udswebgroupmember Cette classe permet d'attribuer un ou plusieurs groupes web à une personne. Ces groupes pourront être utilisés par les serveurs web pour restreindre l'accès à certaines pages. UdS - Spécification de l'annuaire d'établissement 18/42

19 udswebgroup Mu O Groupe web au(x)quel(s) appartient la personne Classe udssmartcard Cette classe permet de stocker les informations relatives à la carte multi-services ou la carte Monéo de la personne. Obligatoire Description UdsSmartcardType Mo N Type de la carte : CMS : carte multi-service SCD : carte de de lecteur externe SCD VAC : carte de photocopie vacataire UdS udssmartcardnumber Mo N Numéro fabricant de la carte multi-service. Format dépendant du constructeur de la carte. Correpond au numéro de la carte MIFARE au format décimal. udssmartcardbarcode Mo N Numéro à 10 chiffres du code barre de la carte multiservice. Nécessaire pour certaines applications pour lesquelles le numéro fabricant serait incompatible. udsmoneonumber Mo N Numéro de la carte Monéo (tronqué au 16 derniers caractères). Nécessité à vérifier. udsmoneohash Mo N Numéro complet de la carte Monéo chiffré (SHA1 hexadécimal). udssmartcardhexnumber Mo N Numéro de la carte MIFARE au format Hexadécimal. 4 Structures annexes 4.1 Messagerie Le service de messagerie nécessite le stockage de deux types d'informations en plus des boîtes aux lettres : les aliases de messagerie, et la liste des domaines de messagerie hébergés. Les aliases de messagerie sont les adresses de messagerie qui ne sont pas affectées directement à des boîtes aux lettres. Ces adresses redirigent les messages vers une ou plusieurs autres adresses, qui peuvent être hors du périmètre du service de messagerie centralisée Arborescence Toutes les informations complémentaires relatives à la messagerie sont stockées dans la branche «ou=messagerie». Cette branche est divisée en deux sous-branches : la branche «ou=aliases» qui contient tous les aliases la branche «ou=domaines» qui répertorie tous les domaines hébergés Ces deux sous-branches ne sont pas elles-même subdivisées Classes d'objets La classe udsmailalias Cette classe permet de déclarer des aliases. Elle est de type structurel, et peut donc être attribuée seule à un objet. UdS - Spécification de l'annuaire d'établissement 19/42

20 uid Mo O Adresse de l'alias udsforwardaddress Mu O Adresse(s) destinataire(s) de l'alias udslistmanagedby Mo N Certains aliases peuvent être déclarés par des applications (ex: listes de diffusions). Lorsque c'est le cas, cet attribut indique le nom de l'application. Les aliases présentant cet attribut ne doivent pas être modifiés manuellement. cn Mu N Attribut standard (rfc 2256). Description de l'alias. Si cet attribut est présent, l'alias apparaît dans le carnet d'adresse LDAP. description Mu N Attribut standard (rfc 1617).Commentaire de l'aliases. Affichés uniquement dans l'application Authiris pour le gestionnaire de l'alias La classe udsdomain Cette classe permet de déclarer des domaines. Elle est de type structurel, et peut donc être attribuée seule à un objet. uid Mo O Adresse de l'alias udsdomainrestricted Mo N Booléen indiquant que les aliases créés dans ce domaine ne peuvent être gérés que par le groupe de correspondant l'ayant créé. Si l'attribut est absent, la valeur par défaut est «FALSE». Exemple pratique : le domaine «unistra.fr» est utilisable par tous les correspondants réseaux, mais chacun ne pourra modifier que ceux qu'il a créé. La règle de gestion suivante s'impose : les aliases dans les domaines concernés doivent impérativement se voir ajouter un (ou plusieurs) attribut(s) «udsauthorizedgroup». Un aliases né repondant pas à cette règle ne sera pas modifiable. UdsDomainReadOnly Mo N Booléen indiquant que le domaine est en «readonly». Aucune adresse ne peut être ajoutée, modifiée ou supprimée dans un tel domaine. Si l'attribut est absent, la valeur par défaut est «FALSE». A utiliser pour geler la modification d'adresses dans les domaines xxx.u-strasbg.fr La classe udsrights Cette classe est de type auxiliaire, et est donc forcément attribuée en supplément d'une classe structurelle. Elle est utilisée dans la définition des domaines, des aliases et des profils Wifi et VPN. Elle permet de déclarer des groupes de correspondants autorisés à utiliser ces ressources. Les correspondants affectés aux groupes déclarés auront le droit de manipuler les adresses des domaines de messagerie concernés ou d'affecter les profils Wifi et VPN en questions. udsauthorizedgroup Mu O Groupe(s) de correspondants réseaux autorisés à UdS - Spécification de l'annuaire d'établissement 20/42

21 utiliser cette ressource (domaine de messagerie, Profils VPN ou Wifi). Le contenu est sous forme de d'expression «glob», avec les caractères spéciaux suivants : - * : n'importe quelle suite de caractères -? : n'importe quel caratère -! (en début de valeur) : interdit l'accès à la ressource au groupe nommé après. UdS - Spécification de l'annuaire d'établissement 21/42

22 4.1.4 Exemple L'exemple fictif suivant présente quelques aliases et la déclaration des domaines associés. ou=annuaire ou=messagerie ou=aliases udsforwardaddress: udsforwardaddress: udsforwardaddress: udsforwardaddress: udsforwardaddress: " /usr/local/bin/queue udslistmanagedby: Gestionnaire de liste Sympa udsforwardaddress: udsauthorizedgroup: di-infra... ou=domaines uid=math-info.uds.fr udsauthorizedgroup: math-info udsauthorizedgroup: super-admin uid=uds.fr udsauthorizedgroup: sympa-admin udsauthorizedgroup: super-admin uid=unistra.fr udsauthorizedgroup: sympa-admin udsauthorizedgroup: super-admin udsauthorizedgroup: di-infra udsauthorizedgroup: math-info udsauthorizedgroup: physique UdsDomainRestricted: TRUE UdS - Spécification de l'annuaire d'établissement 22/42

23 4.2 Profils Wifi Arborescence Toutes les définitions des profils Wifi sont stockées dans une branche «ou=profilswifi», reliée à la racine de l'annuaire d'établissement. Il n'y a pas de subdivision en sous-branche Les classes d'objets Les profils Wifi sont constitués de plusieurs classes d'objets. Parmi ces classes, la seule propre à l'uds est la classe udsrights (cf paragraphe ) La classe inetorgperson Quelques attributs de la classe standard inetorgperson sont utilisés. uid Mu O identifiant du profil. Par convention, les identifiants des profils Wifi débutent par «wifi-». sn Mu O du profil cn Mu O Description informative du profil La classe radiusprofile La classe applicative radiusprofile propose de nombreux attributs. Ceux utilisés dans les profils Wifi sont décrits dans le tableau ci-après. radiustunneltype Mo O Valeur numérique indiquant le type de tunnel réseau utilisé. La valeur utilisée au sein d'osiris est 13 pour spécifier l'utilisation de «réseaux virtuels» (VLAN). radiustunnelmediumtyp e radiustunnelprivategrou pid Mo O Valeur numérique indiquant le protocole réseau du tunnel. La valeur utilisée au sein d'osiris est 6 pour spécifier Ethernet. Mo O Valeur numérique indiquant le numéro du réseau virtuel Ethernet Exemple L'exemple suivant présente un profil Wifi et son attribution à un utilisateur. UdS - Spécification de l'annuaire d'établissement 23/42

24 o=annuaire ou=people ou=uds uid=lechef UdsRadiusProfileWifi: uid=wifi-math-info,ou=profilswifi,o=annuaire udswifilimitdate: Z ou=profilswifi uid: wifi-math-info sn: vlan wifi de Math-Info cn: donne l'acces au réseau interne du département de Mathématique et d'informatique radiustunneltype: 13 radiustunnelmediumtype: 6 radiustunnelprivategroupid: 156 udsauthorizedgroup: math-info 4.3 Profils VPN Arborescence Toutes les définitions des profils VPN sont stockées dans une branche «ou=profilsvpn», reliée à la racine de l'annuaire d'établissement. Il n'y a pas de subdivision en sous-branche Les classes d'objets Les profils VPN sont constitués de plusieurs classes d'objets. Parmi ces classes, la seule propre à l'uds est la classe udsrights (cf paragraphe ) La classe inetorgperson Quelques attributs de la classe standard inetorgperson sont utilisés. uid Mu O Identifiant du profil. Par convention, les identifiants des profils Wifi débutent par «vpn-». sn Mu O du profil cn Mu O Description informative du profil UdS - Spécification de l'annuaire d'établissement 24/42

25 La classe radiusprofile La classe applicative radiusprofile propose de nombreux attributs. Ceux utilisés dans les profils Wifi sont décrits dans le tableau ci-après. radiusreplyitem Mu O Méta-attribut contenant des paramètres de configuration (Cisco-AVPair) interprétés par le routeur VPN. Les différentes paramètres AVPair sont : ipsec:addr-pool = nom de l'espace d'adresses IP déclaré sur le routeur ipsec:default-domain = nom du domaine DNS ipsec:dns-servers = adresse du (des) serveur(s) DNS ipsec:include-local-lan = booléen. Si vrai, le client ne passera pas par le serveur VPN pour joindre son réseau local d'origine ipsec:max-logins = nombre de connexions simultanées autorisées par utilisateurs ipsec:netmask = masque de sous-réseau IP Exemple L'exemple suivant présente un profil VPN et son attribution à un utilisateur. UdS - Spécification de l'annuaire d'établissement 25/42

26 o=annuaire ou=people ou=uds uid=lechef UdsRadiusProfileVPN: uid=vpn-math-info,ou=profilswifi,o=annuaire udswifilimitdate: Z ou=profilsvpn uid: vpn-math-info sn: vlan vpn de Math-Info cn: donne l'acces au réseau interne du département de Mathématique et d'informatique radiusreplyitem: Cisco-AVPair := "ipsec:addr-pool=mathinfovpnippool" radiusreplyitem: Cisco-AVPair += "ipsec:default-domain=uds.fr" radiusreplyitem: Cisco-AVPair += "ipsec:dns-servers= " radiusreplyitem: Cisco-AVPair += "ipsec:include-local-lan=1" radiusreplyitem: Cisco-AVPair += "ipsec:max-logins=1" radiusreplyitem: Cisco-AVPair += "ipsec:netmask= " authorizedgroup: math-info 4.4 Structure du référentiel Le référentiel de l'annuaire contient toutes les informations structurelles de référence relatives au fonctionnement de l'établissement : description des enseignements, des unités de recherche, des composantes, etc Arborescence La branche «ou=referentiel» héberge l'ensemble de ces données. L'annuaire pouvant héberger des informations d'autres établissements pour leur offrir des services (par exemple la messagerie et les listes de diffusion étudiantes), une subdivision sur ce critère est effectuée. Les sous-branches ainsi créées sont nommées «ou=etab» (ex: ou=uds). Chaque branche d'établissement est ensuite subdivisée en sous-branches pour chaque type d'information. Les contenants ainsi créés sont : «ou=se» : détaille la structure d'enseignement de l'établissement ; «ou=structures» : définis les composantes et services de l'établissement. La branche «ou=se» est quand à elle subdivisée en deux sous-branches référençant les étapes universitaires et les éléments pédagogiques : «ou=etp» : détaille les étapes universitaires ; «ou=elp» : détaille les éléments pédagogiques. Tous les éléments pédagogiques Apogée sont présents dans l'annuaire. Dans le cas de l'uds, ces informations sont issues des applications de gestion des ressources humaines UdS - Spécification de l'annuaire d'établissement 26/42

27 (Harpège), de scolarité (Apogée), de gestion financière et comptable (Nabuco) et de gestion de la recherche (Graal). UdS - Spécification de l'annuaire d'établissement 27/42

28 o=annuaire ou=referentiel ou=uds ou=se ou=etp ou=elp ou=structures Schémas La classe udsunit La branche composante contient toutes les composantes, services et laboratoires de l'uds (le mot «structure» sera utilisé). Elles est alimentée par les structures saisies dans les bases du Système Information, càd Harpège, Apogée et Graal. Tous ces structures utilisent la même classe d'objet «udsunit». Cette classe part du principe que les codes de composantes sont identiques dans les différentes bases.. ou Mu O Attribut standard (rfc 1617). Code de la structure dans l'annuaire uds. Pour les structures UdS issues d'apogee et Harpege, c'est le code sur trois lettres de la structure (ex: MAI). Pour les laboratoires issus de Graal, il s'agit de l'idenfifiant UdsShortDesc Mo O Libellé court de la structure. À la création, initialisé à la valeur de la base du SI. Il peut être modifié manuellement pour faire apparaître un nom court plus intelligible pour la structure. udslongdesc Mo O Libellé long de la structure. Issu des bases du SI. udsunitlabel Mu N Label d'un laboratoire, issu de Graal (ex: UMR 7730) Non renseigné pour les composantes et services issues d'apogée et d'harpège. facsimiletelephonenumb er Mu N Cet attribut contient le numéro de télécopieur générique de la structure. Pour l'uds, Cette information sera remplie automatiquement selon les UdS - Spécification de l'annuaire d'établissement 28/42

29 données d'affectation issues des bases SI. (à préciser : en cas de différence sur une structure commune, quelle base sera la bonne prioritaire). (RFC2256) mail Mu N Cet attribut contient l'adresse électronique institutionnelle de la structure. (RFC1274). postaladdress Mu N Adresse postale institutionnelle complète de la structure (RFC2256). Pour l'uds, Cette information sera remplie automatiquement selon les données d'affectation issues des bases SI. (à préciser : en cas de différence sur une structure commune, quelle base sera la bonne prioritaire). telephonenumber Mu N Cet attribut contient le numéro de téléphone auquel la structure est accessible. Pour l'uds, cette information sera remplie automatiquement selon les données d'affectation issues des bases du SI. (à préciser : en cas de différence sur une structure commune, quelle base sera la bonne prioritaire) (RFC2256). udsdatasource Mu O de la(les) base(s) source(s) dont l'entrée est issue. Valeurs possibles : APOGEE, HARPEGE, GRAAL. UdsGraalId Mo N Identifiant d'une composante dans Graal. Permet de rattacher les UR de Graal aux composantes Harpège. Cette valeur est remplie uniquement pour les composantes (UdsUnitType=C) existante dans Graal (udsdatasource=graal). UdsParentUnit Mo N DN dans l'annuaire de la structure parente. Information issues des bases du SI. UdsUnitType Mo O Information issues des bases du SI. Type de structure : C : composante (Harpège ou Apogée) A : autre : service, département (Harpège) L : laboratoire (Graal) udslistname Mu N Provoque la création d'alias(es) de messagerie supplémentaire(s) dirigeant vers la liste de diffusion de la structure. Contient uniquement le préfixe de l'alias. Le programme générant les listes déterminera le domaine de l'adresse (étudiant ou personnel). Pour le listes étudiants, le nom par défaut de la liste de diffusion est ou-annee@domaine. Actuellement inutilisé pour les personnels La classe udsseelement Les éléments de la structure d'enseignement utilisent tous la même classe d'objet, qu'ils soient des étapes ou des éléments pédagogiques. Un attribut dédié permet de faire la différence entre ces deux types d'éléments. udsseelementid Mo O Identifiant de l'élément. Issu d'apogée pour l'uds. UdS - Spécification de l'annuaire d'établissement 29/42

30 udsshortdesc Mo O Libellé court de l'élément. Issu d'apogée pour l'uds. udslongdesc Mo O Libellé long de la structure.issu d'apogée pour l'uds. udsseelementtype Mo O Type de l'élément : - etp = étape - elp = element pédagogique udsseelementnature Mo N Pour les éléments pédagogiques, cet attribut contient la nature de l'élément pédagogique. Pour les étapes, il n'est pas renseigné. udsparent Mu O DN de l'objet SE (étape, élément pédagogique ou structure) père. udslistname Mu N Provoque la création d'alias(es) de messagerie supplémentaire(s) dirigeant vers la liste de diffusion de l'élément. Contient le préfixe de l'alias (sera obligatoirement dans le domaine de messagerie étudiant). Le nom par défaut de la liste de diffusion est udsseelementid-annee@domaine. 4.5 Autorisations d'accès à l'annuaire d'établissement L'annuaire d'établissement de l'uds contient de nombreuses informations sensibles, qui ne doivent pas être accessibles au public. C'est aussi la source principale d'informations pour de nombreuses applications. Enfin, c'est également une synthèse d'informations issues de plusieurs applications de gestion. Les interactions des différentes applications avec l'annuaire sont donc nombreuses, mais doivent rester contrôlées. L'annuaire restreint donc les accès sur la base des «access-lists» du serveur LDAP. Ce système permet de réserver l'accès à des ressources uniquement sur certains critères (adresse IP, valeur d'un attribut, etc.), et de limiter le type d'accès (lecture, écriture, etc). L'identification des accès à l'annuaire se fait par authentification des applications et des personnes. C'est sur l'identifiant fourni lors de l'authentification qu'est effectuée la restriction d'accès aux informations. L'annuaire contient donc une structure dédié à la déclaration des identifiants autorisés à y accéder Arborescence La structure de données contenant les autorisations d'accès à l'annuaire se situe dans la branche «ou=operateurs». Cette branche est subdivisée en deux sous-branches : «ou=accounts» : déclaration des identifiants de connexion à l'annuaire pour les applications. «ou=groups» : groupes d'utilisateurs issus de la branche «ou=people». Les autorisations d'accès porteront sur ces groupes plutôt que sur les personnes individuelles. UdS - Spécification de l'annuaire d'établissement 30/42

31 o=annuaire ou=operateurs ou=accounts ou=groups UdS - Spécification de l'annuaire d'établissement 31/42

32 4.5.2 Schémas Les classes d'objets utilisés pour la déclaration de ces entrées sont des classes standards spécifiées en détail dans la RFC la classe organizationalperson Cette classe est utilisée pour définir des entrées pour les applications la classe groupofnames Cette classe permet de créer des groupement d'entrées LDAP. Cette classe est utilisée dans la sousbranche «ou=groups» pour définir des groupes de personnes (via leur DN). Les access-list autorisent ensuite les groupes d'utilisateurs à accéder aux ressources Exemple L'exemple suivant présente la déclaration d'un compte pour l'application d'annuaire fonctionnel, ainsi que la déclaration du groupe d'administrateurs de l'annuaire. o=annuaire ou=operateurs ou=accounts cn=annufct userpassword: pwdannufct sn: application de l'annuaire fonctionnel ou=groups cn=ldapadmin description: administrateurs de math-info member: uid=ladmin,ou=uds,ou=people,o=annuaire member: uid=schmidt,ou=uds,ou=people,o=annuaire... UdS - Spécification de l'annuaire d'établissement 32/42