La ricerca medica collabora in rete con il servizio GARR IdP in the Cloud

La Fondazione Stella Maris e l’Istituto Oncologico Veneto sono i primi due IRCCS (Istituto di Ricovero e Cura a Carattere Scientifico) ad aderire alla Federazione IDEM attraverso il nuovo servizio GARR IDP in the Cloud. Un terzo Istituto, la Fondazione Don Gnocchi di Firenze è in fase di test.

L’identità digitale è una priorità strategica della comunità scientifica europea e non solo. L’adozione di sistemi di gestione delle identità rappresenta ormai una realtà sempre più imprescindibile per le organizzazioni che desiderano aprirsi alla collaborazione nazionale ed internazionale, accedere a risorse online quali giornali, riviste ed e-book, piattaforme di online education o banche dati, oltre a servizi evoluti di calcolo e storage ad alte prestazioni.

Un’identità federata è una “patente” che consente l’accesso a molteplici risorse e servizi attraverso le credenziali (username e password) rilasciate dall’ente di appartenenza.

Questo sistema semplifica e rende più sicura l’attività online dell’utente ed allo stesso tempo riduce il lavoro di gestione delle credenziali a carico di chi offre servizi. Infatti solo l’organizzazione di appartenenza dell’utente detiene le sue informazioni personali senza la necessità di replicarle in numerosi database.

Tuttavia alcune organizzazioni hanno difficoltà ad aderire alla Federazione IDEM e più in generale alle federazioni di identità. Secondo uno studio richiesto dalla Commissione Europea su “Authentication, Authorisation and Accounting platforms and services for scientific resources”, il livello di implementazione, la partecipazione delle istituzioni e la quantità di servizi disponibili attraverso diverse federazioni è sotto il livello desiderato. Le difficoltà si manifestano soprattutto nelle organizzazioni di piccole dimensioni o laddove non sono disponibili le competenze tecniche necessarie alla configurazione, gestione e manutenzione di un Identity Provider compatibile con gli standard richiesti da IDEM. Altre complicazioni possono rintracciarsi nella tipologia di attività o nel carattere eterogeneo dell’utenza interna all’organizzazione.

Secondo Maria Laura Mantovani, responsabile del servizio IDEM: “Alcune particolari comunità di ricercatori sono ospitate da enti di piccole dimensioni o organizzazioni che non hanno nell'ICT il loro focus principale. Il caso degli IRCCS (Istituti di Ricovero e Cura a Carattere Scientifico) è emblematico: questi istituti, pur avendo grandi dimensioni ed un gran numero tra dipendenti e pazienti con sistemi di gestione delle identità dedicati, hanno settori di ricerca costituiti da poche centinaia di utenti. Ecco che l’adozione di un sistema di identity management esclusivo per il settore della ricerca, diviene spesso un ostacolo insormontabile, richiedendo risorse hardware/software e competenze tecniche specifiche non uniformabili al sistema utilizzato dall’organizzazione. Casi simili si riscontrano anche tra gli Istituti Zooprofilattici Sperimentali, gli enti che fanno capo al Ministero dei Beni Culturali, come musei, biblioteche e archivi e anche gli istituti scolastici.

IdP in the Cloud, la soluzione studiata da GARR, risponde alle raccomandazioni dello studio AAA: fornire all’utente soluzioni pronte all’uso, semplificando la filiera tecnica per l’adozione di sistemi di gestione delle identità federate”. Vediamo come funziona. Per capire l’autenticazione federata dobbiamo in primo luogo

distinguere due attori: chi fornisce le identità (Identity Provider o IdP), generalmente un ente o un‘organizzazione che opera nella ricerca o un’università, e chi offre una risorsa (Service Provider o SP) come, ad esempio, editori o altri fornitori di servizi. Il Service Provider riguarda la risorsa singola, per esempio un corso o una digital library. Normalmente, l’implementazione di un IdP richiede l’installazione di software che utilizzano standard in grado di interoperare con i sistemi dei partecipanti alla federazione. Lo standard utilizzato da IDEM è SAML 2.0 e l’applicazione software più utilizzata si chiama Shibboleth, un software open source ideato proprio per la comunità della ricerca.

Nella schema viene mostrato il percorso di autenticazione per accedere ad una risorsa (digital library). In un caso (IDP Inside) l'autenticazione viene eseguita da un IDP installato e configurato all'interno dell'Ente di appartenenza dell'utente, nel secondo caso (IDP in The Cloud) l'IDP si trova nella cloud GARR.

Lo Shibboleth IdP ha il compito di mediare tra il sistema di gestione delle utenze dell’organizzazione e le risorse che hanno aderito alla federazione (SP) attraverso un sistema predefinito di regole e attributi. L’organizzazione che ha implementato l’IdP, una volta diventata tecnicamente affidabile, è autorizzata dalla Federazione, che rende disponibili le informazioni (metadati) relative al nuovo ingresso. Da questo momento, il riferimento dell’organizzazione, sarà visibile nell’elenco degli IdP o WAYF (Where Are You From) di tutte le risorse federate. Questi passaggi potrebbero rivelarsi complessi per una organizzazione che non avesse disponibilità di competenze tecniche o di hardware da destinare all’operazione. IdP in the Cloud demanda gli sforzi di implementazione e configurazione dell’IdP alla cloud GARR.

Ad ogni organizzazione richiedente GARR assegnerà una appliance virtuale, personalizzata per la singola organizzazione, che comprende un sistema di identity management e un IdP conformi ai requisiti richiesti dalla Federazione IDEM e dall’interfederazione eduGAIN. L’appliance viene consegnata all’organizzazione già personalizzata, configurata e registrata nelle federazioni IDEM ed eduGAIN. Il sistema è dotato di una interfaccia web che permette ad un amministratore dell’organizzazione di gestire il ciclo di vita delle identità digitali degli utenti dell’organizzazione.

GARR fornisce il supporto tecnico per qualsiasi problema possa presentarsi e monitora il buon funzionamento tecnico del sistema, scaricando l’organizzazione di tutte le complessità tecniche. Il servizio può essere fornito in differenti modalità in funzione delle esigenze dell’organizzazione richiedente: la modalità Full SaaS (Software as a Service) prevede un supporto completo fornito di uno Shibboleth IdP ed un sistema di gestione utenze (LDAP Server) che verrà popolato attraverso una apposita interfaccia web; la modalità Replica PaaS (Platform as a Service) prevede uno Shibboleth IdP ed un sistema di gestione utenze (LDAP Server) che replicherà le utenze dell’organizzazione. La modalità Smart PaaS prevede infine il solo Shibboleth IdP.

Questa soluzione tecnologica presto verrà estesa agli altri istituti di ricerca biomedica connessi alla rete GARR, visto che il servizio è realizzato nell’ambito dell’accordo di collaborazione tra GARR e Ministero della Salute per il collegamento a banda ultralarga degli IRCCS e degli IZS. Alessandro Andretto dell'Istituto Oncologico Veneto e Massimo Del Sarto della Fondazione Stella Maris ci parlano di questa prima esperienza con IdP in the Cloud.

Nella schema le tre soluzioni di IDP In The Cloud

Perché avete pensato di aderire a IDEM e come mai avete scelto IdP in the Cloud?

Andretto: Nel nostro istituto siamo da sempre molto attenti a seguire le innovazioni tecnologiche che possano comportare un miglioramento nella vita dei ricercatori, inoltre, il nostro direttore scientifico è stato il primo a credere fortemente in questa tecnologia che ha voluto immediatamente implementare.

Del Sarto: L’adesione alla Federazione IDEM si è resa necessaria al fine di facilitare la fruizione dei servizi messi a disposizione dal Ministero della Salute e dagli altri enti aderenti ad IDEM. Fin dall’inizio l’IRCCS Stella Maris è stato molto interessato al progetto IDEM, ma problematiche di risorse interne non ci avevano consentito di aderire. Finalmente con il nuovo progetto IdP in the Cloud siamo riusciti in tempi molto brevi ad implementare il servizio di IdP.

Quali sono i principali benefici per il vostro ente e i vostri ricercatori?

Andretto: L’identità digitale federata permette ai circa 200 ricercatori dello IOV di accedere in modo semplice ad un alto numero di risorse, come ad esempio le pubblicazioni scientifiche o il workflow della ricerca. Finora ogni unità operativa gestiva per proprio conto le credenziali, duplicando un lavoro che ora verrà fatto in modo centralizzato. IdP in the Cloud ci ha permesso di non caricarci di un’infrastruttura tecnologica che non avremmo potuto sostenere per mancanza di risorse hardware e di personale.

Del Sarto: IDEM faciliterà il lavoro dei nostri ricercatori, per esempio consentendo loro l’accesso ai servizi bibliografici (Nilde, riviste online, etc) e al workflow della ricerca, ma anche l’accesso a servizi più generali come le reti WiFi. Così il nostro IRCCS potrà semplificare la gestione dell’accesso dei ricercatori ospiti alla rete WiFi. Inoltre, pur essendo le collaborazioni di ricerca internazionali in numero minore rispetto alle nazionali, negli ultimi anni sono cresciute di numero e importanza, in questo caso l’adesione a eduGAIN rappresenta un grande valore aggiunto.

Avete incontrato resistenze o difficoltà tecniche o organizzative nella gestione?

Andretto: Come detto il nostro direttore scientifico ha subito creduto in questa tecnologia e aderire è stato semplicissimo, nessuna azione tecnica, ma solo uno scambio di informazioni con GARR.

Del Sarto: Il maggior lavoro è stato nell’aggiornare le procedure e le policy interne per renderle conformi a quanto richiesto dalla Federazione, mentre i piccoli problemi tecnici sono stati velocemente risolti.

www.idem.garr.it