警告 |
---|
まだテスト中です。運用環境への適用は避けてください。 |
1. 目的
Shibboleth IdPクラスタを構成したときに、stateless/memcached方式では、ログイン処理中(ログイン画面表示→ID/パスワード入力→チェック→認証済みcookie設定)にノードを移動することが問題となる。独自ホスト名を用いてこれを防ぐ方法を提示する。
- 高価なロードバランサを使わなくても適当な振り分けで大丈夫!
1.1. 検証環境
以下の環境で検証しました。
ソフトウェア | バージョン |
---|---|
Scientific Linux | 6.3 |
JDK | yumパッケージのOpenJDK |
Tomcat | yumパッケージ(tomcat6-6.0.24-45.el6.noarch) |
Shibboleth IdP | 2.3.6 |
2. マシン構成
以下は2ノードでの構成を示すが、原理的にはN台で可能である。
...
各ノードのサーバ証明書には、2つのホスト名をsubjectAltNameに記載した1枚の証明書を使うと良い。ただし携帯電話でアクセスする可能性がある場合は別々の証明書とする(CNしか見ない実装があるため)。
別々の証明書を使う時はName-based virtual hostでなくIP-based virtual hostを使うこと。
3. 設定
各ノードで以下の設定を行う。
...
- JSESSIONIDの後にはノード番号(1もしくは2)を記述すること。もしすでにidp.xmlが存在する場合は、sessionCookieNameおよびsessionCookieDomainを追加する。
/usr/java/tomcat/webapps/idp/WEB-INF/web.xml
のcookieDomainがコメントアウトされている行を探し、コメントアウトを解除した上で以下のように修正する。コード ブロック language xml <!-- --> <context-param> <param-name>cookieDomain</param-name> <param-value>.idp.example.ac.jp</param-value> </context-param> <!-- -->
- /etc/httpd/conf.d/ssl.conf
を以下のように修正する。パネル ServerName 1.idp.example.ac.jp:443 ← 当該ノードの独自ホスト名を記述
UseCanonicalName On ← Onにしていない場合は追加...
ProxyPass /idp ajp://localhost:8009/idp
ProxyPassReverse /idp/ https://idp.example.ac.jp:443/idp/ ← ProxyPassの行の後に追加 - (オプショナル、Tomcat 6.0.27未満の場合効果なし)
/usr/java/tomcat/conf/Catalina/localhost/idp.xml
に以下の内容のファイルを作成する。
JSESSIONIDの後にはノード番号(1もしくは2)を記述すること。もしすでにidp.xmlが存在する場合は、sessionCookieNameおよびsessionCookieDomainを追加する。パネル <Context sessionCookieName="JSESSIONID1" sessionCookieDomain=".idp.example.ac.jp" />
4. 検証
各ノードでTomcatおよびhttpdを再起動し、それぞれにアクセスし以下を確認すること。
...