設定と接続テスト
以下の※を一読した上で次の手順を順に実行してください。(IdPv2の旧IdPセッティング、IdPv3の旧IdPセッティング)
- OpenLDAPの設定(貴学でIdPをインストールする場合のみ)
- Shibbolethの設定
- metadata-providers.xml(★)
主な設定内容: メタデータの参照設定(自動ダウンロードなど) - idp.properties(★)
主な設定内容: entityIDやScopeなどIdPの設定(証明書や認証方法も含む) - ldap.properties(★)
主な設定内容: 認証先LDAPの設定
(ldapURL,useStartTLS, baseDN, subtreeSearch, userFilter, bindDN, bindDNCredential) - saml-nameid.properties
主な設定内容: idp.persistentIdの設定 - secrets.properties
主な設定内容: LDAPのパスワード(bindDNCredential)やsaltの設定 - attribute-resolver.xml(★)
主な設定内容: IdPで取り扱う属性情報の設定
属性情報の取得元の設定(LDAP,ComputedID等) - attribute-filter.xml(★)
主な設定内容: attribute-resolverで設定した属性情報のうち 送信する属性を各SP毎に設定。 - 属性送信同意画面の設定(IdPv4)
主な設定内容: V4.1以降デフォルトで無効化された属性送信同意機能を有効化。 - IdPのサービス動作状況の確認
- metadata-providers.xml(★)
- サーバ証明書の申請と設定
情報 |
---|
※ 設定ファイルを変更したら必ずプロセスを再起動しログを確認すること |
...
IdPのログは以下に出力されます。
|
...
/opt/shibboleth-idp/logs/idp-access.log
IdPのアクセスログです。IdPへのアクセス日時やアクセス元といった情報が含まれます。
フォーマット:
...
|
...
ただし、CentOS 7においてidp-process.logに出力されるべきログがTomcat起動当初に限って誤って /var/log/messages に出力される場合があるようですので、上記ファイルで確認できない場合はこちらもご参照ください。messagesへの出力はフォーマットが若干異なり以下のようになります。日付、ホスト名の後の" server: "がポイントです。
なお、これらログファイルに関する設定は、/opt/shibboleth-idp/conf/logback.xml にあります。上記ファイルが見当たらない場合は/opt/shibboleth-idp/dist/conf/ |
...
logback. |
...
xml との差分を確認してください。 |
...
上記のログファイルでエラーの原因が特定できない場合、以下に挙げたTomcatのログファイルをご確認ください。どのファイルにどのような内容が書き出されるかは定かではありませんが、service.xmlやinternal.xmlの記述ミスのような低レベルなエラーがこれらに出力されます。「Xerces-JのClassNotFoundはlocalhost*にしか出力されない」「TLSのログはcatalina.outにしか出力されない」のようなこともあります(逆に複数ログに記録されるものもありますが)ので、くれぐれも3つのファイル全てをチェックするようにしてください。経験上有益な情報を含んでいるものから順に書いています。
|
...
|
...
構築後のカスタマイズ
- 属性管理(登録、変換、リリース方法)
- 新規SPの登録方法
- ユーザアクセスのロギング
- 認証方法の変更、設定(証明書による認証)
- LDAPの新規作成方法
本ページ先頭の「OpenLDAPの設定」の項をご覧ください。 - eduPersonTargetedIDにStoredIDを利用するための設定
- StoredIDを利用するための設定メタデータ記載の証明書更新手順(IdP)
- IdPアップデート手順 (*はセキュリティフィックス)
- 2.3.0(*) 情報交換ML:00346 情報交換ML:00348
- 2.3.2(*) 情報交換ML:00366 不具合対策方法:情報交換ML:00415
- 2.3.5 情報交換ML:00414 情報交換ML:00419
- 2.3.6(*)
- 2.3.8
- 2.4.0(*)
- 2.4.1,2.4.2(*) 情報交換ML:00855
- 2.4.3(*) 情報交換ML:00876
- 2.4.4(*) 情報交換ML:00915
- 3.0.0以上 情報交換ML:00879, 情報交換ML:00880, GakuNinShare:Shibboleth IdP 3, シボレス実習活用編, 貴学にてIdPv3をインストールする場合の構築手順
...
...
ノウハウ
- 特定SPに対するユーザ毎のアクセス制限(IdPv2のFPSPプラグイン相当)
- 送信属性同意機能の設定について(IdPv2のuApprove JPプラグイン相当。
新規構築の場合はデフォルトで有効化されています) - IdPのホスト名変更に関する注意点
以下のノウハウは主にIdPv2向けですが、IdPv3向けにも有用な情報がありますのでご参照ください。
- 既存システムへの変更点を最小限にしたまま eduPerson 形式での属性受け渡しの実現方法(含:Mapped AttributeDefinition等による属性マッピング方法)
(2008年度実証実験にて大阪大学提供) - OpenSSO と Shibboleth 2.0 の SAML 2.0 連携
(2008年度実証実験にて大阪大学提供) - プライバシを考慮したID受け渡し(含:データベースを用いたeduPersonTargetedIDの提供方法)
(2008年度実証実験にて京都産業大学提供)ロードバランサー配下のシボレスIdP環境設定に関する検証実験 - IdPサーバにおけるTerracottaサーバ、Terracottaクライアント(Tomcat)の自動起動について IdPサーバにおけるTerracottaサーバ、Terracottaクライアント(Tomcat)の起動確認について
- Active DirectoryにおけるeduPersonスキーマ(拡張スキーマ)の利用
(成城大学提供) - Active Directoryにおけるツリー情報をePSAに利用する方法(含:Script AttributeDefinitionによる属性変換方法)
※ Active DirectoryをLDAPサーバとしてShibboleth IdPと連携する場合は、Shibboleth Wikiの以下のページもご参照ください。
⇒LdapServerIssues - Google Appsの接続方法
(山形大学提供) - ユーザ同意取得システム:uApprove JP
- 特定SPに対するユーザ毎のアクセス制限(FPSPプラグイン)
- Shibboleth用多要素認証導入のための技術ガイド(学認春CAMP2014 金沢大学資料)
Shibboleth IdPの認証機能を拡張するための導入として、最適な資料です。 - IdPのホスト名変更に関する注意点
...
情報 |
---|
このページに探している情報がない場合、下記のWikiスペースにも有益な情報が掲載されていますので、あわせてご覧ください。 ⇒meatwiki:GakuNinShare |
...