Sessions

Zugangsbeschränkung über NDS-Passwort

Zum Zugangsschutz von WWW-Seiten eignen sich .htacces-Dateien. Damit kann man den Zugang

• auf bestimmte IP-Adressbereiche beschränken (z.B. nur innerhalb der Universität oder z.B. nur einzelne Rechner)
• über ein Passwort beschränken.

Das RZ bietet daneben noch eine eigene Zugangskontrolle, die den Zugang per NDS-Account mit dem NDS- Passwort regelt.

NDS-Passwortzugang

Der NDS-Account ist der Schlüssel zu allen Rechner-Diensten der Universität. Mit dem NDS-Passwort kann man sich an seinem Rechner einloggen, eMails senden, kostenpflichtige Druckaufträge abgeben, sich von überall auf der Welt durch VPN in das Intranet der Uni anmelden und vieles mehr.

Der NDS-Passwortzugang wird mit einem Session-Management-System verbunden und steht in der PHP-Bibliothek rzi_session.php3 zur Verfügung. Die Session-Daten der angemeldeten Benutzer werden in einer lokalen Datenbank gesammelt. Außerdem werden die Skripten in sogenannte "Bereiche" und die Benutzer in "Gruppen" eingeteilt.
Die Benutzerdaten sind in "Stammdaten", die allen Skripten zugänglich sind, und "addons" (Erweiterungen), die nur bestimmten Skripten zugänglich sind, aufgeteilt.

Die Bereiche dienen dazu, die verschiedenen Skripten, die das Sessionmanagementsystem verwenden, von anderen Skripten und auch von einander zu trennen. Jeder Bereich wird durch ein Kürzel identifiziert und hat folgende Eigenschaften:

• Kürzel zur Identifikation (max. 31 Zeichen: nur Buchstaben, Ziffern und Unterstrich)
• Dieses Kürzel wird intern (z.B. in PHP-Skripten) verwendet, um den Bereich zu indentifizieren.
• Name (max. 63 beliebige Zeichen)
• Der Name, der allgemein verwendet wird, um diesen Bereich zu identifizieren. Er wird z.B. bei einer Auflistung der aktiven Bereichen benutzt.
• Kurzbeschreibung (max 400 beliebige Zeichen)
• Dieser Text wird bei einer Zusammenfassung aller Bereiche verwendet.
• Langbeschreibung (max 800 beliebige Zeichen)
• Ein Text, der im Anmeldeformular angezeigt wird, damit der Benutzer weißt, in welchen Bereich er sich anmeldet.
• Gastzugang
• Eine boolische Variable wird benutzt, um zu definieren, ob einen „Gastzugang“ zum Bereich immer gewährt wird. Normalerweise wird diese Variable in der DB auf FALSE gesetzt. Der Gastzugang kann aber für einzelne Seiten erlaubt werden.
• Ein oder mehrere URLs (Verzeichnisse)
• Ein URL identifiziert ein Verzeichnis auf einem Server. Da die PHP-Skripten in "SafeMode" laufen, muss die Sessionbibliothek rzi_session.php3 für die normalen Skripten freigeschaltet werden. Aus Sicherheitsgründen wird der Schalter register globals bei jedem Verzeichnis, das die Sessions benutzt, grundsätzlich ausgeschaltet. Ein URL identifiziert auch einen Server, der ebenfalls für Datenbankzugriffe freigeschaltet werden muss. Außerdem wird der URL für Glaubwürdigkeitsprüfungen benutzt.

Gruppen

Jeder Benutzer bekommt eine Hauptgruppe, die identisch ist mit seinem "3.-Level-Container" (das letzte OU in seinem "Distinguished Name"). Für Angestellte ist das der Fachbereich oder die Einrichtung und für Studierende stud. Benutzer können auch anderen Gruppen angehören, weiteres darüber in der Dokumentation zur Benutzerverwaltung.