<p>Versio 0.1, Hilkka Kankaanpää, 17.10.2018</p>

<p>Tässä dokumentissa kuvataan Tampereen korkeakoulusäätiön (TKS) käyttäjätietokannan ja sen tietojen ajantasaisuuden toteutuksen yleisistä periaatteista sellaisella tasolla, joka antaa riittävät tiedot käyttäjätietojen laadun ja ajantasaisuuden arvioimiseksi.</p>

<p><em>Kotiorganisaatio asettaa tämän dokumentin www:hen kaikkien saataville. Dokumentti linkitetään Haka-infrastruktuurin kotisivulta.</em></p>

<p><em>Tässä dokumentissa käyttäjätietokannalla tarkoitetaan sitä loppukäyttäjien attribuuttien joukkoa, johon organisaation Identity Provider-palvelin tukeutuu. Käyttäjätietokannan tekninen toteutus voi olla esim. LDAP-hakemisto tai relaatiotietokanta, tai niiden yhdistelmä niin, että Identity Provider -palvelin noutaa osan attribuuteista LDAP-hakemistosta ja osan JDBC:n yli opiskelijarekisteristä.</em></p>

<h2>1. Käyttäjätietokannan ja perusrekistereiden kytkentä</h2>

<p>Perusrekistereitä ovat opiskelijarekisterit (3 kpl), henkilöstörekisterit (2 kpl), vierailijarekisterit (2 kpl) ja Tampereen yliopiston normaalikoulun oppilasrekisteri. Tiedot perusrekistereistä käyttäjätietokantaan saadaan integraatiopalvelun avulla.</p>

<p>Käyttäjähakemistojen tietoja ylläpidetään käyttäjätietokannan avulla ja päivitykset tehdään reaaliaikaisesti käyttäjätietojen muututtua.</p>


<p><em>Lähtöoletuksena on, että opiskelijarekisterin henkilötiedot ovat ajantasalla. </em></p>

<p>Integraatiopalvelut tuovat opiskelijarekistereistä IdMään tarvittavat tiedot vähintään kerran vuorokaudessa niistä opiskelijoista, jotka ovat kirjoilla. Käyttäjätunnuksen voimassaolo määräytyy opiskelijan ilmoittautumisten tai opiskeluoikeuden päättymisen perusteella. Opiskelijan tiedot käsitellään IdMssä heti, kun ne on sinne tuotu ja päivittyvät käyttäjähaemistoihin heti tämän jälkeen.</p>

<h3>1.1.1. Uusi opiskelija</h3>

<p>Uuden opiskelijan tiedot siirtyvät käyttäjätietokantaan samalla siirrolla kun kaikkien muidenkin opiskelijoiden. Hän saa opiskelijaroolin heti, kun hän on ottanut paikan vastaan ja ilmoittautunut riippumatta siitä, ilmoittautuuko hän läsnä- vai poissaolevaksi. Jos hänellä ei vielä ole käyttäjätunnusta, niin hänelle tehdään automaattisesti käyttäjätunnus ja sähköpostiosoite.</p>

<h3>1.1.2. Opiskelijan tiedoissa tapahtuu muutos</h3>

<p>Opiskelijarekisterissä tapahtuneet muutokset päivittyvät seuraavassa integraatioajossa IdM:ään. Nimen muuttuessa nimimuotoinen sähköpostiosoite muutetaan, kun henkilö ottaa yhteyttä HelpDeskiin.</p>

<h3>1.1.3. Opiskelija lakkaa olemasta opiskelija</h3>

<p>Opiskelija on opiskelija niin kauan, kun hänen tiedoistaan opiskelijarekisterissä löytyy vähintään yksi opiskeluoikeus, joka</p>

<ul>
	<li>alkaa viimeistään seuraavan lukukauden alussa</li>
	<li>ei ole valmistunut</li>
	<li>ei ole keskeytetty</li>
	<li>jolle on ilmoittauduttu kulumassa olevalle tai seuraavalle lukukaudelle hyväksyttävällä läsnäolo- tai poissaolotiedolla</li>
	<li>tai hänellä on voimassaoleva avoimen yliopiston opiskeluoikeus</li>
</ul>

<p>Opiskelijan opiskeluoikeus on voimassa seuraavan lukukauden ilmoittautumisen päättymispäivämäärään asti ilman erillistä ilmoitusta. Jos opiskelija ei ilmoittautumisen päättymispäivään mennessä anna hyväksyttävää läsnäolo- tai poissaoloilmoitusta, hän menettää opiskeluoikeutensa.</p>

<p>Opiskelijan käyttäjätunnus on voimassa 14 vuorokautta opiskeluoikeuden päättymispäivämäärästä tai siitä päivämäärästä, joka on kirjattu opiskelijarekisteriin valmistumis- tai keskeytyspäivämääräksi.</p>


1.1. Opiskelijarekisteri

<p>Integraatiopalvelut tuovat henkilöstörekistereistä IdMään tarvittavat tiedot vähintään kerran vuorokaudessa.</p>

<h3>1.2.1. Uusi työntekijä</h3>

<p>Uuden työntekijän tiedot saadaan henkilöstörekisteristä heti, kun ne on sinne kirjattu ja hänelle tehdään automaattisesti käyttäjätunnus ja sähköpostiosoite, jos hänellä ei vielä ole käyttäjätunnusta. Henkilökunnan peruskäyttövaltuudet tehdään aikaisintaan 3 päivää ennen palvelujakson alkua.</p>

<h3>1.2.2. Työntekijän tiedoissa tapahtuu muutos</h3>

<p>Henkilöstörekisterissä tapahtuneet muutokset päivittyvät seuraavassa integraatioajossa IdM:ään. Jos määräaikainen henkilö saa jatkosopimuksen, jatketaan hänen käyttäjätunnuksensa voimassaoloa automaattisesti henkilöstörekisterin perusteella. Nimen muuttuessa nimimuotoinen sähköpostiosoite muutetaan, kun henkilö ottaa yhteyttä HelpDeskiin.</p>

<h3>1.2.3. Työntekijä lakkaa olemasta työntekijä</h3>

<p>Työntekijä lakkaa olemasta työntekijä, kun hänellä ei ole voimassaolevaa työsopimusta. Tällöin myös oikeus käyttäjätunnukseen päättyy tämän roolin perusteella. Tunnus sulkeutuu automaattisesti työsuhteen päätyttyä seitsemän vuorokauden kuluttua.</p>


1.2. Henkilökuntarekisteri

<p>Käyttäjätunnus voidaan antaa myös Tampereen korkeakoulusäätiön ulkopuolisille henkilöille, joilla on jokin asiallinen yhteys TKS:öön ja jotka perustellulla syyllä tarvitsevat käyttäjätunnusta. Tavallisimpia ryhmiä ovat emeritukset ja erilaiset tutkijat, joiden rooli on henkilökuntaan rinnastettava. Nämä tunnukset tehdään henkilöstörekisteriin tallennettavien emeritus- ja resurssisopimusten perusteella. Lisäksi voi olla henkilöitä vierailija-roolissa, heidän vierailijasopimuksensa tallennetaan HR-järjestelmään. Kaikki nämä sopimukset ovat määräaikaisia, korkeintaan 2 vuotta ja niihin vaaditaan vastuuhenkilö ja niiden myöntämisestä päättää yksikön vastuuhenkilö tai hänen valtuuttamansa henkilö.</p>

<p>Integraatiopalvelut tuovat henkilöstörekistereistä ym. sopimuksista tarvittavat tiedot IdMään vähintään kerran vuorokaudessa.</p>

<p><em>Sellaiset käyttäjät, jotka eivät ole luonnollisia henkilöitä (esim. ainejärjestöt), eivät ole myöskään Haka-infrastruktuurin tarkoittamia loppukäyttäjiä Tampereen korkeakoulusäätiössä, eikä heidän kirjautumistaan Identity Provider -palvelimen kautta palveluihin sallita.</em></p>


1.3. Muut käyttäjät ja heidän henkilötietojensa ajantasaisuus

<h2>2. Henkilöllisyyden todentaminen</h2>


<p>Uuden käyttäjän täytyy vaihtaa käyttäjätunnuksensa salasana ja hyväksyttävä käyttösäännöt, jotta hän saa tunnuksen käyttöönsä. Hän voi kirjautua aktivointisovellukseen joko suomi.fi tunnistautumispalvelun avulla tai kertakäyttösalasanalla, jonka hän saa HelpDeskistä todistettuaan henkilöllisyytensä.</p>

<p>Uusi tunnus on käytettävissä, kun henkilö on vaihtanut sen salasanan ja hyväksynyt käyttösäännöt.</p>


2.1. Käyttäjätunnuksen antamisen yhteydessä

<p>Salasana on oltava 10-40 merkkiä ja sille tehdään määrätyt laatutarkistukset. Suomi.fi kirjautumista tai HelpDeskistä saatavaa kertakäyttösalasanaa voidaan käyttää vaihdettaussa unohtunutta salasanaa. Salasana vanhenee 210 päivän välein.</p>

<p>Laatutarkistukset:</p>

<ul>
	<li>Merkkivalikoima
	<ul>
		<li>Kirjainkoosta riippuvat (case-sensitiiviset) alfanumeeriset symbolit: a-z, A-Z, 0-9</li>
		<li>Ei skandeja eikä välilyöntiä</li>
		<li>Ei tabulointia eikä ctrl-merkkejä</li>
		<li>Ei näppäinyhdistelmää vaativia merkkejä (dead key characters)</li>
		<li>Täytyy sisältää kaikista vähintään yhden merkin seuraavista ryhmistä: pieni kirjain (a-z), iso kirjain (A-Z) tai numero (0-9)</li>
	</ul>
	</li>
	<li>Ei saa sisältää osaa nimestäsi tai käyttäjätunnuksestasi.</li>
	<li>Salasanahistoria muistaa viisi edellistä salasanaa.</li>
	<li>Salasanan minimivaihtoväli on yksi päivä.</li>
</ul>

<p>Salasana ei saa muistuttaa liiaksi vanhaa.</p>


2.2. Kun käyttäjä kirjautuu käyttäjätunnuksensa avulla

<h2>3. Käyttäjätietokannassa saatavilla olevat tiedot</h2>

<p><em>Lisätietoja funetEduPerson-skeemasta on&nbsp;</em><a href="https://wiki.eduuni.fi/display/CSCHAKA/funetEduPerson-skeema"><em>täällä</em></a><em>.</em></p>

<p><em>Rasti kohtaan "Saatavuus", jos kyseinen henkilötieto on ajantasalla ja siten saatavilla Identity Provider -palvelimen yli.<br>
Kohtaan "Miten ajantasaisuus turvataan" esimerkiksi viittaus luvun 1. järjestelmiin.</em></p>

<p><em>Jos organisaatiolla on omia (ei siis funetEduPersonin mukaisia) attribuutteja, jotka näkyvät ulospäin Identity Provider-palvelimesta, lisää ne taulukon loppuun. Tarvittaessa linkki dokumenttiin, joka tarkemmin kuvailee omien attribuuttien skeeman.</em></p>


<table>
	<tbody>
		<tr>
			<td><strong>Attribuutti</strong></td>
			<td><strong>Saatavuus</strong></td>
			<td><strong>Miten ajantasaisuus turvataan</strong></td>
			<td><strong>Muuta (esim. tulkintaohje)</strong></td>
		</tr>
		<tr>
			<td>cn / commonName</td>
			<td>X</td>
			<td>1.1, 1.2, 1.3</td>
			<td>Kutsumanimi Sukunimi</td>
		</tr>
		<tr>
			<td>description</td>
			<td> </td>
			<td> </td>
			<td> </td>
		</tr>
		<tr>
			<td>displayName</td>
			<td>X</td>
			<td>1.1, 1.2, 1.3</td>
			<td>Kutsumanimi Sukunimi</td>
		</tr>
		<tr>
			<td>employeeNumber</td>
			<td>X</td>
			<td>1.2</td>
			<td>Vain henkilökunnalla </td>
		</tr>
		<tr>
			<td>facsimileTelephoneNumber</td>
			<td> </td>
			<td> </td>
			<td> </td>
		</tr>
		<tr>
			<td>givenName</td>
			<td>X</td>
			<td>1.1, 1.2, 1.3</td>
			<td>Kutsumanimi</td>
		</tr>
		<tr>
			<td>homePhone</td>
			<td> </td>
			<td> </td>
			<td> </td>
		</tr>
		<tr>
			<td>homePostalAddress</td>
			<td> </td>
			<td> </td>
			<td> </td>
		</tr>
		<tr>
			<td>jpegPhoto</td>
			<td> </td>
			<td> </td>
			<td> </td>
		</tr>
		<tr>
			<td>l / localityName</td>
			<td> </td>
			<td> </td>
			<td> </td>
		</tr>
		<tr>
			<td>labeledURI</td>
			<td> </td>
			<td> </td>
			<td> </td>
		</tr>
		<tr>
			<td>mail</td>
			<td>X</td>
			<td>1.1, 1.2, 1.3</td>
			<td>Ensisijainen sähköpostiosoite</td>
		</tr>
		<tr>
			<td>mobile</td>
			<td>X</td>
			<td> </td>
			<td> </td>
		</tr>
		<tr>
			<td>o / organizationName</td>
			<td>X</td>
			<td>vakio</td>
			<td> </td>
		</tr>
		<tr>
			<td>ou / organizationalUnitName</td>
			<td> </td>
			<td>1.1, 1.2, 1.3</td>
			<td> </td>
		</tr>
		<tr>
			<td>postalAddress</td>
			<td> </td>
			<td> </td>
			<td> </td>
		</tr>
		<tr>
			<td>postalCode</td>
			<td> </td>
			<td> </td>
			<td> </td>
		</tr>
		<tr>
			<td>preferredLanguage</td>
			<td>X</td>
			<td>1.1, 1.2, 1.3 </td>
			<td>fi tai en </td>
		</tr>
		<tr>
			<td>seeAlso</td>
			<td> </td>
			<td> </td>
			<td> </td>
		</tr>
		<tr>
			<td>sn / surname</td>
			<td>X</td>
			<td>1.1, 1.2, 1.3 </td>
			<td>sukunimi</td>
		</tr>
		<tr>
			<td>street</td>
			<td> </td>
			<td> </td>
			<td> </td>
		</tr>
		<tr>
			<td>telephoneNumber</td>
			<td> </td>
			<td> </td>
			<td> </td>
		</tr>
		<tr>
			<td>title</td>
			<td>X</td>
			<td>1.2 </td>
			<td>Tieto vain työntekijällä </td>
		</tr>
		<tr>
			<td>uid</td>
			<td>X</td>
			<td>muuttumaton</td>
			<td> </td>
		</tr>
		<tr>
			<td>userCertificate</td>
			<td> </td>
			<td> </td>
			<td> </td>
		</tr>
		<tr>
			<td>nationalIdentificationNumber (hetu)</td>
			<td>X</td>
			<td>1.1, 1.2, 1.3</td>
			<td> </td>
		</tr>
		<tr>
			<td>eduPersonAffiliation</td>
			<td>X</td>
			<td>1.1, 1.2, 1.3 </td>
			<td>Student, Faculty, Staff, Employee, Member, Affiliate</td>
		</tr>
		<tr>
			<td>eduPersonEntitlement</td>
			<td>X</td>
			<td>1.1, 1.2, 1.3  </td>
			<td> </td>
		</tr>
		<tr>
			<td>eduPersonNickName</td>
			<td> </td>
			<td> </td>
			<td> </td>
		</tr>
		<tr>
			<td>eduPersonOrgDN</td>
			<td> </td>
			<td> </td>
			<td> </td>
		</tr>
		<tr>
			<td>eduPersonOrgUnitDN</td>
			<td> </td>
			<td> </td>
			<td> </td>
		</tr>
		<tr>
			<td>eduPersonPrimaryAffiliation</td>
			<td>X</td>
			<td>1.1, 1.2, 1.3 </td>
			<td>Student, Faculty, Staff, Member, Affiliate  </td>
		</tr>
		<tr>
			<td>eduPersonPrimaryOrgUnitDN</td>
			<td>X</td>
			<td>1.1, 1.2, 1.3 </td>
			<td> </td>
		</tr>
		<tr>
			<td>eduPersonPrincipalName</td>
			<td>X</td>
			<td>1.1, 1.2, 1.3 </td>
			<td><span class="spamspan"><span class="u">tunnus</span> [at] <span class="d">tuni.fi</span></span></td>
		</tr>
		<tr>
			<td>eduPersonScopedAddiliation</td>
			<td>X</td>
			<td>1.1, 1.2, 1.3 </td>
			<td> </td>
		</tr>
		<tr>
			<td>eduPersonTargetedID</td>
			<td>X</td>
			<td> </td>
			<td> </td>
		</tr>
		<tr>
			<td>schacMotherTongue</td>
			<td>X</td>
			<td>1.1</td>
			<td>Äidinkieli (vain opiskelija)</td>
		</tr>
		<tr>
			<td>schacGender</td>
			<td>X </td>
			<td>1.1, 1.2, 1.3 </td>
			<td>Sukupuoli</td>
		</tr>
		<tr>
			<td>schacDateOfBirth</td>
			<td>X</td>
			<td>1.1, 1.2, 1.3 </td>
			<td>Syntymäpäivä</td>
		</tr>
		<tr>
			<td>schacPlaceOfBirth</td>
			<td> </td>
			<td> </td>
			<td> </td>
		</tr>
		<tr>
			<td>schacCountryOfCitizenship</td>
			<td>X</td>
			<td>1.1</td>
			<td>Kansalaisuus (vain opiskelija)</td>
		</tr>
		<tr>
			<td>schacHomeOrganization</td>
			<td>X</td>
			<td>vakio</td>
			<td>tuni.fi<br>
			<br>
			</td>
		</tr>
		<tr>
			<td>schacHomeOrganizationType</td>
			<td>X </td>
			<td>1.1, 1.2, 1.3  </td>
			<td>urn:schac:homeOrganizationType:fi:university  tai urn:schac:homeOrganizationType:fi:polytechnic   </td>
		</tr>
		<tr>
			<td>schacCountryOfResidence</td>
			<td> </td>
			<td> </td>
			<td> </td>
		</tr>
		<tr>
			<td>schacUserPresenceID</td>
			<td> </td>
			<td> </td>
			<td> </td>
		</tr>
		<tr>
			<td>schacPersonalUniqueCode</td>
			<td>X</td>
			<td>1.1 </td>
			<td>(vain opiskelija) </td>
		</tr>
		<tr>
			<td>schacPersonalUniqueID</td>
			<td> </td>
			<td> </td>
			<td> </td>
		</tr>
		<tr>
			<td>schacUserStatus</td>
			<td> </td>
			<td> </td>
			<td> </td>
		</tr>
		<tr>
			<td>funetEduPersonTargetDegree</td>
			<td>X</td>
			<td>1.1</td>
			<td>Suoritettava tutkinto (vain opiskelija)</td>
		</tr>
		<tr>
			<td>funetEduPersonProgram</td>
			<td> </td>
			<td> </td>
			<td> </td>
		</tr>
		<tr>
			<td>funetEduPersonSpecialisation</td>
			<td> </td>
			<td> </td>
			<td> </td>
		</tr>
		<tr>
			<td>funetEduPersonStudyStart</td>
			<td> </td>
			<td> </td>
			<td> </td>
		</tr>
		<tr>
			<td>funetEduPersonPrimaryStudyStart</td>
			<td> </td>
			<td> </td>
			<td> </td>
		</tr>
		<tr>
			<td>funetEduPersonStudyToEnd</td>
			<td> </td>
			<td> </td>
			<td> </td>
		</tr>
		<tr>
			<td>funetEduPersonPrimaryStudyToEnd</td>
			<td> </td>
			<td> </td>
			<td> </td>
		</tr>
		<tr>
			<td>funetEduPersonCreditUnits</td>
			<td> </td>
			<td> </td>
			<td> </td>
		</tr>
		<tr>
			<td>funetEduPersonECTS</td>
			<td> </td>
			<td> </td>
			<td> </td>
		</tr>
		<tr>
			<td>funetEduPersonStudentCategory</td>
			<td>X</td>
			<td>1.1</td>
			<td> (vain opiskelija)</td>
		</tr>
		<tr>
			<td>funetEduPersonStudentStatus</td>
			<td>X</td>
			<td>1.1</td>
			<td>Läsnäolotieto (vain opiskelija)</td>
		</tr>
		<tr>
			<td>funetEduPersonStudentUnion</td>
			<td>X</td>
			<td>1.1</td>
			<td>Mikä arvo on käytössä? (vain opiskelija)</td>
		</tr>
		<tr>
			<td>funetEduPersonHomeCity</td>
			<td>X</td>
			<td>1.1</td>
			<td>Kotikunta (vain opiskelija)</td>
		</tr>
		<tr>
			<td>funetEduPersonEPPNTimeStamp</td>
			<td> </td>
			<td> </td>
			<td> </td>
		</tr>
		<tr>
			<td>funetEduPersonLeanderID</td>
			<td>X</td>
			<td>1.1</td>
			<td>OppijaID (vain opiskelija)</td>
		</tr>
		<tr>
			<td>funetEduPersonGivenNames</td>
			<td>X</td>
			<td>1.1, 1.2, 1.3 </td>
			<td> Kutsumanimi</td>
		</tr>
	</tbody>
</table>

Lista attribuuteista

<p>Käyttäjällä on vain yksi käyttäjätunnus, johon on liitetty tieto kaikista rooleista ja käyttövaltuuksista. Poikkeustapauksissa käyttäjällä voi olla kaksi tai useampia käyttäjätunnuksia, tällaiset poikkeukset ovat ylläpitohenkilökuntaa.</p>


4.1. Kardinaliteetit

<p>EduPersonPrincipalName ei vaihdu</p>

<p>EduPersonPrincipalName arvoja ei kierrätetä, ne jäädytetään pysyvästi.</p>


Tampereen korkeakoulusäätiön käyttäjähallinnon kuvaus

1. Käyttäjätietokannan ja perusrekistereiden kytkentä

1.1. Opiskelijarekisteri

1.2. Henkilökuntarekisteri

1.3. Muut käyttäjät ja heidän henkilötietojensa ajantasaisuus

2. Henkilöllisyyden todentaminen

2.1. Käyttäjätunnuksen antamisen yhteydessä

2.2. Kun käyttäjä kirjautuu käyttäjätunnuksensa avulla

3. Käyttäjätietokannassa saatavilla olevat tiedot

Lista attribuuteista

4. Muuta

4.1. Kardinaliteetit

4.2. EduPersonPrincipalNamen revokointi ja kierrätys

Anna palautetta!