...
...
Shibboleth IdP (version 2.3) の動作要件
以下は本技術ガイドで構築する前提となる環境です。
- Apache HTTP Server 2.2 以上 と mod_ssl
以下のパッケージはインストール方法も含めて以降の手順で説明します。
- Apache Tomcat 6.0.17以上 (かつ7未満。Tomcat 7ではSOAP接続がサポートされません)
- Java 5 以上 (Java 6推奨)
(ただし、CentOSに付属する Gnu Javaは利用できません。 SunのJavaもしくはOpenJDKを利用してください。)
他の環境および最新の情報はShibbolethのサイトでご確認ください:
全体, Jetty 7, Apache Tomcat, JBoss Tomcat
OSをインストールする1. OSでの設定
・OS(CentOS 5)インストール
インストーラでインストールするもの。
Webサーバー (HTTPのみ)
Open Ldap
その他のパッケージは必要に応じてインストールしてください。
ただし、Java開発とTomcat は後の手順で別にインストールします。
※このテキストはSELinuxは無効化されているものとして書かれております。下記コマンドでSELinux設定を確認してください。
パネル |
---|
borderColor | #cccccc |
---|
bgColor | #eeeeee |
---|
borderStyle | solid |
---|
|
$ /usr/sbin/getenforce |
・ネットワーク設定
環境に合わせ、ホスト名・ネットワーク・セキュリティを設定して下さい。
SPでは shibd サービスが通信を行います。
2. DNSへ登録する
新しいホスト名とIPアドレスをDNSに登録してください。
3. 時刻同期を設定する
ntpサービスを用い、貴学環境のntpサーバと時刻同期をしてください。
※Shibbolethでは、通信するサーバ間の時刻のずれが約5分を越えるとエラーになります。
jdk6、tomcat6をインストールする
1. 古いtomcatの削除
tomcat5-5.5.25以前のバージョンが入っている場合は、削除してください。
2. jdk 6のインストール(★)
ヒント |
---|
|
・jdk6のパッケージは、「/root/PKG」配下にあります。
以下のコマンドで移動してから、以降の手順を実施してください。
# cd /root/PKG
※シンクライアント環境は32bitなので、パッケージ名の "x64" を"i586" に置き換えてください。 |
http://java.sun.com/javase/downloads/index.jspよりダウンロードしたjdk-6u??-linux-x64-rpm.binを適当なフォルダに置いて、以下のコマンドを実行してください(??は用意されているjdkのリビジョン番号にあわせて記述して下さい)。
パネル |
---|
borderColor | #cccccc |
---|
bgColor | #eeeeee |
---|
borderStyle | solid |
---|
|
# chmod a+x jdk-6u??-linux-x64-rpm.bin
# ./jdk-6u??-linux-x64-rpm.bin |
3. tomcat 6のインストール(★)
ヒント |
---|
|
・tomcat6のパッケージは、「/root/PKG」配下にあります。
以下のコマンドで移動してから、以降の手順を実施してください。
# cd /root/PKG |
http://tomcat.apache.org/download-60.cgi よりダウンロードしたapache-tomcat-6.?.??.tar.gzを/usr/javaにを置いて、以下のコマンドを実行してください(?は用意されているtomcatのリビジョン番号にあわせて記述して下さい)。
パネル |
---|
borderColor | #cccccc |
---|
bgColor | #eeeeee |
---|
borderStyle | solid |
---|
|
# tar zxv -C /usr/java -f apache-tomcat-6.?.??.tar.gz
# ln -s /usr/java/apache-tomcat-6.?.?? /usr/java/tomcat |
自動起動スクリプトを利用すると便利です。ZIPを解凍後にtomcat6起動スクリプトファイルをコピーします。 (*は用意されている起動スクリプトのファイル名にあわせて記述して下さい)
ヒント |
---|
|
・自動起動スクリプトは、「/root/PKG」配下にあります。
以下のコマンドで移動してから、以降の手順を実施してください。
# cd /root/PKG |
パネル |
---|
borderColor | #cccccc |
---|
bgColor | #eeeeee |
---|
borderStyle | solid |
---|
|
# unzip tomcat6-*.zip
# chmod a+x tomcat6
# cp tomcat6 /etc/rc.d/init.d/ |
自動起動の設定 (このオプション指定では マイナス ‘-’ が2つ必要です)
パネル |
---|
borderColor | #cccccc |
---|
bgColor | #eeeeee |
---|
borderStyle | solid |
---|
|
# chkconfig --add tomcat6
# chkconfig --level 345 tomcat6 on
# service tomcat6 start |
4. /etc/profileに下記を追加してください。(★)
「# /etc/profile」の下(2行目)に挿入します。
パネル |
---|
borderColor | #cccccc |
---|
bgColor | #eeeeee |
---|
borderStyle | solid |
---|
|
JAVA_HOME=/usr/java/default
MANPATH=$MANPATH:$JAVA_HOME/man
CATALINA_HOME=/usr/java/tomcat
TOMCAT_HOME=$CATALINA_HOME
PATH=$JAVA_HOME/bin:$CATALINA_HOME/bin:$PATH
export PATH JAVA_HOME CATALINA_HOME |
追加した環境変数を読み込みます。
パネル |
---|
borderColor | #cccccc |
---|
bgColor | #eeeeee |
---|
borderStyle | solid |
---|
|
source /etc/profile |
※この時点で、tomcatが正常に起動しているか確認します。
以下のアドレスにアクセスし、正常にtomcatのデフォルト画面が表示されるか確認します。
アクセス先のホスト名は、構築中IdPサーバのホスト名に変更してください。
http://example-idp.nii.ac.jp:8080
5. httpd の設定(★)
ヒント |
---|
|
・ここで設定するホスト名は、各自IdPサーバのホスト名を設定してください。
例)1番を割り振られた場合
ex-idp-test01.ecloud.nii.ac.jp |
/etc/httpd/conf/httpd.conf の修正
パネル |
---|
borderColor | #cccccc |
---|
bgColor | #eeeeee |
---|
borderStyle | solid |
---|
|
(省略)
ServerName example-idp.nii.ac.jp:80 ←ホスト名
(省略) |
/etc/httpd/conf.d/ssl.conf の修正
パネル |
---|
borderColor | #cccccc |
---|
bgColor | #eeeeee |
---|
borderStyle | solid |
---|
|
(省略)
<VirtualHost _default_:443>
(省略)
ServerName example-idp.nii.ac.jp:443 ←ホスト名
ProxyPass /idp/ ajp://localhost:8009/idp/ ←追加
(省略) |
6. /usr/java/tomcat/conf/server.xmlの修正(★)
他の用途で使用する予定がなければConnector port="8080"をコメントアウトしてください。
パネル |
---|
borderColor | #cccccc |
---|
bgColor | #eeeeee |
---|
borderStyle | solid |
---|
|
<!--
<Connector port="8080" protocol="HTTP/1.1"
connectionTimeout="20000"
redirectPort="8443" />
--> |
Connector port="8009"に以下のように追加してください。
パネル |
---|
borderColor | #cccccc |
---|
bgColor | #eeeeee |
---|
borderStyle | solid |
---|
|
<Connector port="8009"
protocol="AJP/1.3" redirectPort="8443" enableLookups="false" tomcatAuthentication="false" address="127.0.0.1" /> |
shibbolethのインストール
各ファイル名等の指定は,Version 2.3.6に準拠しています。
1. shibboleth-IdP のダウンロード
http://www.shibboleth.net/downloads/identity-provider/latest/から最新版のIdP
(shibboleth-identityprovider-2.?.?-bin.zip )をダウンロードします。
2. インストール(★)
ヒント |
---|
|
(★)
・shibboleth-IdPのパッケージは、「/root/PKG」配下にあります。
以下のコマンドで移動して、以降の手順を実施してください。
# cd /root/PKG |
shibboleth-idp-2.?.?-bin.zip を適当なディレクトリに置いて、以下のコマンドを実行してください。
パネル |
---|
borderColor | #cccccc |
---|
bgColor | #eeeeee |
---|
borderStyle | solid |
---|
|
# unzip shibboleth-identityprovider-2.?.?-bin.zip
# cd shibboleth-identityprovider-2.?.?
# chmod a+x install.sh
# ./install.sh |
install.shシェルを実行すると、以下のような問い合わせがあります。
手順に従って、進めてください。
ヒント |
---|
|
(★)
・インストール時に設定するホスト名は、各自IdPサーバのホスト名を設定してください。
例)1番を割り振られた場合
ex-idp-test01.ecloud.nii.ac.jp |
パネル |
---|
borderColor | #cccccc |
---|
bgColor | #eeeeee |
---|
borderStyle | solid |
---|
|
Buildfile: src/installer/resources/build.xml
install:
!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!
Be sure you have read the installation/upgrade instructions on the Shibboleth website before proceeding.
!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!
Where should the Shibboleth Identity Provider software be installed? [/opt/shibboleth-idp]
[Enter] ←入力なし
What is the fully qualified hostname of the Shibboleth Identity Provider server? [idp.example.org]
upkishib-idp.nii.ac.jp[Enter] ←ホスト名
A keystore is about to be generated for you. Please enter a password that will be used to protect it.
keystore[Enter] ←任意のパスワード
Updating property file: /root/PKG/shibboleth-identityprovider-2.3.6/src/installer/resources/install.properties
(省略)
BUILD SUCCESSFUL
Total time: 54 seconds |
上記のような質問に答えながら、インストールを行います。
※途中で入力するパスワードはデフォルトで作成されるキーストアファイル(credentials/idp.jks)のパスワードとなります。このテキストでは使用しません。
3. Java の設定(★)
ヒント |
---|
|
(★) ・下記「※」に記載されているように、edubaseCloud環境では2.3.4以降となるので、
該当ファイルが同封されていません。
「shibboleth-jce-1.1.0.jar」は、「/root/PKG」配下にありますので、以下の
コマンドでコピーしてください。
# cp /root/PKG/shibboleth-jce-1.1.0.jar $JAVA_HOME/jre/lib/ext |
shibboleth-identityprovider-2.?.?-bin.zip を展開した shibboleth-identityprovider-2.?.?/lib/ にある
shibboleth-jce-1.1.0.jar を $JAVA_HOME/jre/lib/ext にコピーします。
パネル |
---|
borderColor | #cccccc |
---|
bgColor | #eeeeee |
---|
borderStyle | solid |
---|
|
# cp lib/shibboleth-jce-1.1.0.jar $JAVA_HOME/jre/lib/ext |
※ 2.3.4以降には当該ファイルが同梱されていません。⇒情報交換ML:00414, 情報交換ML:00513
さらに、 $JAVA_HOME/jre/lib/security/java.security ファイルに以下を追加します。
パネル |
---|
borderColor | #cccccc |
---|
bgColor | #eeeeee |
---|
borderStyle | solid |
---|
|
#
# List of providers and their preference orders (see above):
#
security.provider.1=sun.security.provider.Sun
(省略)
security.provider.7=org.jcp.xml.dsig.internal.dom.XMLDSigRI
security.provider.8=sun.security.smartcardio.SunPCSC
security.provider.9=edu.internet2.middleware.shibboleth.DelegateToApplicationProvider ↑行を追加
|
番号:9 は、既に記載されている番号に合わせて順番にして下さい。
(9が既に記載されている場合は、10に修正して行を追加)
4. Tomcatの設定(★)
shibboleth-identityprovider-2.?.?-bin.zip を解凍した shibboleth-identityprovider-2.?.?/endorsed にある5つの jarファイルを $CATALINA_HOME/endorsed ディレクトリを作成してそこへコピーします。
パネル |
---|
borderColor | #cccccc |
---|
bgColor | #eeeeee |
---|
borderStyle | solid |
---|
|
# mkdir $CATALINA_HOME/endorsed
# cp endorsed/*.jar $CATALINA_HOME/endorsed |
以下はIdP 2.3.6の場合のファイル名例
serializer-2.10.0.jar
xalan-2.7.1.jar
xercesImpl-2.10.0.jar
xml-apis-2.10.0.jar
xml-resolver-1.2.jar
これらの jar ファイルが有効となるよう、tomcat 起動スクリプトを変更します。
先のページのtomcat6 を利用した場合は、以下のような有効化が記述されていることを確認してください。
(/etc/rc.d/init.d/tomcat6)
パネル |
---|
borderColor | #cccccc |
---|
bgColor | #eeeeee |
---|
borderStyle | solid |
---|
|
export CATALINA_OPTS="-Djava.endorsed.dirs=${CATALINA_HOME}/endorsed" |
ヒント |
---|
|
・以下の作業は実習セミナーでは行う必要はありません。(root権限で動作します) |
Tomcatを”tomcat”ユーザで実行する場合は、ログファイルを出力できるようディレクトリの所有者を変更します。
パネル |
---|
borderColor | #cccccc |
---|
bgColor | #eeeeee |
---|
borderStyle | solid |
---|
|
# chown -R tomcat: /opt/shibboleth-idp/logs |
同様に、メタデータの保存ディレクトリの所有者も変更します。
パネル |
---|
borderColor | #cccccc |
---|
bgColor | #eeeeee |
---|
borderStyle | solid |
---|
|
# chown -R tomcat: /opt/shibboleth-idp/metadata |
5. idp.war の配置(★)
/opt/shibboleth-idp/war/idp.war ファイルを、
${CATALINA_HOME}/webapps ディレクトリにコピーします。
パネル |
---|
borderColor | #cccccc |
---|
bgColor | #eeeeee |
---|
borderStyle | solid |
---|
|
# cp /opt/shibboleth-idp/war/idp.war ${CATALINA_HOME}/webapps |
httpdとTomcatを再起動します。
パネル |
---|
borderColor | #cccccc |
---|
bgColor | #eeeeee |
---|
borderStyle | solid |
---|
|
# service tomcat6 stop
# service httpd restart
# service tomcat6 start |
Tomcatの起動後、/usr/java/tomcat/logs/catalina.out にエラーが出力されていない事を確認してください。
※catalina.outにTomcat終了時(再起動時)のタイミングで以下のようなエラーが表示されることがありますが問題ありませんので無視してください。
パネル |
---|
borderColor | #cccccc |
---|
bgColor | #eeeeee |
---|
borderStyle | solid |
---|
|
致命的: A web application appears to have started a TimerThread named [Timer-0] via the java.util.Timer API but has failed to stop it. To prevent a memory leak, the timer (and hence the associated thread) has been forcibly cancelled. |
パネル |
---|
borderColor | #cccccc |
---|
bgColor | #eeeeee |
---|
borderStyle | solid |
---|
|
致命的: A web application created a ThreadLocal with key of type [null] (value [ch.qos.logback.core.UnsynchronizedAppenderBase$1@XXXXXXXX]) and a value of type [java.lang.Boolean] (value [false]) but failed to remove it when the web application was stopped. To prevent a memory leak, the ThreadLocal has been forcibly removed. |
(関連するバグレポート)
サービスの起動・停止方法
httpd の起動方法
service httpd start
tomcat の起動方法
service tomcat6 start
sh /usr/java/tomcat/bin/startup.sh (起動スクリプトを利用しない場合)
httpd の停止方法
service httpd stop
tomcat の停止方法
service tomcat6 stop
sh /usr/java/tomcat/bin/shutdown.sh (起動スクリプトを利用しない場合)
インストールが完了したら,サイト情報等の設定を行って下さい.