Federación entre instituciones

Si diez universidades quisieran conectar sus identidades de dos en dos, necesitarían decenas de acuerdos y de intercambios técnicos, y cada nueva institución multiplicaría el trabajo. En una federación multilateral cada entidad se registra una vez, publica sus metadatos y acepta las reglas comunes; todas las demás ya confían en ella porque confían en el acuerdo, no en cada firma por separado.

Esa economía tiene un precio: la confianza ya no es entre dos partes que se conocen, sino entre todas, y una sola entidad descuidada afecta a las demás. Por eso la federación impone reglas mínimas que cada miembro debe cumplir.

Los metadatos son un archivo firmado que describe a una entidad: quién es, qué ámbitos usa y con qué certificado firma. Tienen una fecha de válidos hasta. Si esa fecha pasa, la regla de la federación es clara: la entidad queda fuera hasta que los renueve. El síntoma desde el lado del usuario es raro y difícil de rastrear: personas de una universidad que ayer entraban a la revista hoy no pueden, y nadie ha cambiado nada en su cuenta.

Abre glosario.txt y metadatos.txt y compara la columna «válidos hasta» con el corte, 2026-10-07.

El certificado de firma es lo que permite comprobar que los datos vienen de la entidad. Cuando vence sin reemplazo, el ingreso se rompe; por eso la regla pide coordinar el cambio con antelación. La rotación segura publica el certificado nuevo en los metadatos antes de retirar el viejo, de modo que durante un tiempo los dos valen y ningún proveedor se queda sin poder verificar.

La regla de la federación fija una ventana: un certificado que vence dentro de los 30 días siguientes al corte exige coordinar su reemplazo. Con el corte en 2026-10-07, esa ventana llega hasta el 2026-11-06 inclusive. Cuenta, entre todas las entidades de metadatos.txt, los certificados que caen dentro de ella.

Un proveedor de servicio que quiere recibir atributos de personas debe declarar una categoría que la federación verifica. La categoría resume para qué se usarán los datos —por ejemplo, investigación— y, con ella, la federación y cada institución saben qué atributos se pueden liberar sin evaluar cada caso. Un servicio sin categoría que pide atributos no tiene nada que lo respalde.

En metadatos.txt hay dos columnas que importan: si la entidad pide atributos de persona y qué categoría declaró. Un servicio sin categoría que no pide atributos no es un problema; uno que sí los pide, sí.

Cada IdP tiene registrados sus ámbitos en los metadatos: los dominios que le pertenecen. Cuando un IdP envía una afiliación con ámbito, el proveedor debe comprobar que ese ámbito está entre los registrados para ese emisor. Si no lo está, alguien afirma ser de una institución que no es la suya, por error de configuración o por intención, y la afiliación se rechaza. Es una verificación sencilla y la que más se omite.

Abre aserciones.txt y compara el ámbito de cada afiliación con los ámbitos registrados del IdP que la emitió en metadatos.txt.