...
以下のパッケージはインストール方法も含めて以降の手順で説明します。
- jetty Jetty 9.4
- jetty-distribution-9.4.32.v20200930を使った手順となっています。
※いずれも以下のShibbolethのサイト「Jetty94」が情報源です。 - 以前の技術ガイドではサーブレットコンテナとしてTomcatを用いたものをご案内しておりました。その関係で継続してTomcat利用を強くご希望の方向けに、暫定的にShibboleth IdP V4をTomcat 9で構築する方法を別途ご案内しております:
⇒旧: 貴学にてIdPv4(Tomcat)をインストールする場合の構築手順
- いずれにしろTomcat 10およびそれ以降はサポートできかねますのでご了承ください。
- あくまでも暫定版です。すでに運用中でTomcatをお使いの方は動作確認の上Jettyへの移行をご検討ください。
- Java 11
Java 11以降のバージョンのみ対応しています。
注意 |
---|
文字列置換のためのJavaScriptメソッド "abc".replace("a", "b") について、Java 7では全置換されていたものがJava 8では先頭の一致した部分しか置換されなくなるという情報があります。 当該メソッドを使って全置換を行っている場合は正規表現 replace(/a/g, "b") を使うようにしてください。 |
Oracle JDK / OpenJDK 11にてLDAPサーバへの接続にLDAPSを使う場合、以下のエラーになるという情報があります。
書式設定済み |
---|
java.lang.NullPointerException: Thread local SslConfig has not been set |
原因はJDKのバグであるとのことです。該当する場合、以下でUnboundIDを使う回避策が提示されています。
https://wiki.shibboleth.net/confluence/display/IDP30/LDAPonJava>8
詳細: https://issues.shibboleth.net/jira/browse/IDP-1357
- エントロピー不足で起動が遅くなる場合があるという情報があります。jre/conf/security/java.securityやシステムプロパティ等で対処してください。
確認方法および手順例: IdPのサービス動作状況の確認の「よくあるエラー」の503エラーの項
- この問題はCentOS 7を使っている場合に顕著です。
- VMで稼働させていてこの問題がある場合、ホストマシンでHavegedを導入しVMからこれを参照する等で十分なエントロピーを生成できる場合があるようですので、合わせてご検討ください。
- GNU Javaは利用できません。 OpenJDKもしくはOracleのJavaを利用してください。
他の環境および最新の情報はShibbolethのサイトでご確認ください最新の情報はShibbolethのサイトでご確認ください:
全体, Jetty 9.24, Jetty 9.3, Apache Tomcat 8
...
2. OSをインストールする
...
その他のパッケージは必要に応じてインストールしてください。
ただし、Java開発とTomcat は後の手順で別にインストールします。ただし、Java開発とJettyは後の手順で別にインストールします。
運用フェデレーション参加後に、ホスト名を変更する場合はいくつか考慮・解決すべき点があります。
ホスト名は十分ご検討いただいた上で設定してください。詳しくは IdPのホスト名変更に関する注意点 をご参照ください。
※このテキストはSELinuxはPermissiveに設定されているものとして書かれております。下記コマンドでSELinux設定を確認してください。
...
https://www.eclipse.org/jetty/download.html より最新版のパッケージ(.tgz)をダウンロードしてインストールします。
さらに、Shibboleth Projectが配布している各種設定ファイル群Projectが配布しているJetty向け設定ファイル群(jetty-base)を配置します。
パネル |
---|
borderColor | #cccccc |
---|
bgColor | #eeeeee |
---|
borderStyle | solid |
---|
|
※以下は手順書作成時の最新 # wget https://repo1.maven.org/maven2/org/eclipse/jetty/jetty-distribution/9.4.3244.v20200930v20210927/jetty-distribution-9.4.3244.v20200930v20210927.tar.gz # tar zxv -C /opt -f jetty-distribution-9.4.*.v????????.tar.gz # ( cd /opt ; ln -s jetty-distribution-9.4.*.v???????? /opt/jetty ) # wget https://build.shibboleth.net/ nexus/service/local/repositories/releases/contentmaven/snapshots/net/shibboleth/idp/idp-jetty-base/9.4. 01-SNAPSHOT/idp-jetty-base-9.4 .0.1-20220208.135650-767.tar.gz #
tar zxv -C /opt -f idp-jetty-base-9.4.?-????????.*.tar.gz
|
サービス起動には、jetty起動用のユーザを使用することを推奨します。
ここでは、一般的な"jetty"ユーザを作成します。(以降、"jetty"ユーザを使用する事が前提で説明します。)ユーザを使用する事を前提として説明します。)なお、下記コマンドでユーザID・グループIDは /usr/share/doc/setup-2.8.71/uidgid
の値を利用していますが他の値でも問題ありません。既存のユーザ・グループと重複しない値を指定してください。
パネル |
---|
borderColor | #cccccc |
---|
bgColor |
---|
|
パネル |
---|
borderColor | #cccccc |
---|
bgColor | #eeeeee |
---|
borderStyle | solid |
---|
|
# groupadd -g 110 jetty # useradd -ru 110 -g jetty -d /opt/jetty-base -s /sbin/nologin -c "Jetty daemon" jetty |
...
パネル |
---|
borderColor | #cccccc |
---|
bgColor | #eeeeee |
---|
borderStyle | solid |
---|
|
# chown -R root:root /opt/jetty-distribution-9.4.*.v???????? /opt/jetty-base
# chmod -R g-w /opt/jetty-base
# chown jetty:jetty /opt/jetty-base/{logs,tmp }
|
以下の内容で /etc/sysconfig/
jettyを作成します。jetty
を作成します。
パネル |
---|
borderColor | #cccccc |
---|
bgColor | #eeeeee |
---|
borderStyle | solid |
---|
|
コード ブロック |
---|
|
JAVA=/usr/lib/jvm/jre/bin/java
JETTY_HOME=/opt/jetty
JETTY_BASE=/opt/jetty-base
JETTY_RUN=/opt/jetty-base/tmp
JETTY_STATE=/opt/jetty-base/tmp/jetty.state
|
...
ヒント |
---|
ここで JAVA= で指定しているコマンドの存在・バージョンを確認しておくとよいでしょう。javaコマンドにパスが通っている場合はこの行を削除してもかまいません。 パネル |
---|
borderColor | #cccccc |
---|
bgColor | #eeeeee |
---|
borderStyle | solid |
---|
|
|
# sudo cp -ip /opt/jetty/bin/jetty.sh /etc/init.d/jetty # sudo cp -ip /opt/jetty/bin/jetty.service /etc/systemd/system/
|
...
$ /usr/lib/jvm/jre/bin/java -version
openjdk version "11.0.10" 2021-01-19 LTS
OpenJDK Runtime Environment 18.9 (build 11.0.10+9-LTS)
OpenJDK 64-Bit Server VM 18.9 (build 11.0.10+9-LTS, mixed mode, sharing)
|
|
起動スクリプトを以下のように配置します。
...
パネル |
---|
borderColor | #cccccc |
---|
bgColor | #eeeeee |
---|
borderStyle | solid |
---|
|
[Service]
Type=forking EnvironmentFile=-/etc/sysconfig/jetty
PIDFile=/opt/jetty-base/tmp/jetty.pid
ExecStart=/etc/init.d/jetty start
ExecStop=/etc/init.d/jetty stop
ExecReload=/etc/init.d/jetty restart SuccessExitStatus=143
User=jetty
Group=jetty
|
...
# sudo cp -ip /opt/jetty/bin/jetty.sh /etc/init.d/jetty # sudo cp -ip /opt/jetty/bin/jetty.service /etc/systemd/system/
|
/etc/systemd/system/
jetty.service
を以下のように修正します。
パネル |
---|
|
パネル |
---|
borderColor | #cccccc |
---|
bgColor | #eeeeee |
---|
borderStyle | solid |
---|
|
# sudo systemctl daemon-reload # sudo systemctl enable jetty
|
4. jetty-baseの設定
[Service]
Type=forking EnvironmentFile=-/etc/sysconfig/jetty
PIDFile=/opt/jetty-base/
|
...
...
jetty.pid
ExecStart=/etc/init.d/jetty start
ExecStop=/etc/init.d/jetty stop
ExecReload=/etc/init.d/jetty restart SuccessExitStatus=143
User=jetty
Group=jetty
|
設定を反映させ、自動起動の登録を行います。
...
パネル |
---|
borderColor | #cccccc |
---|
bgColor | #eeeeee |
---|
borderStyle | solid |
---|
|
# sudo systemctl daemon-reload # sudo systemctl enable jetty
|
4. jetty-baseの設定
/opt/jetty-base/webapps/idp.xmlを以下のように修正します。(idp.warファイルのパス修正)
パネル |
---|
borderColor | #cccccc |
---|
bgColor | #eeeeee |
---|
borderStyle | solid |
---|
|
<Configure class="org.eclipse.jetty.webapp.<Configure class="org.eclipse.jetty.webapp.WebAppContext">
<Set name="war"><SystemProperty name="idp.war.path" default="/opt/shibboleth-idp/war/idp.war" /></Set>
<Set name="contextPath"><SystemProperty name="idp.context.path" default="/idp" /></Set>
<Set name="extractWAR">false</Set>
<Set name="copyWebDir">false</Set>
<Set name="copyWebInf">true</Set>
</Configure>
|
...
パネル |
---|
borderColor | #cccccc |
---|
bgColor | #eeeeee |
---|
borderStyle | solid |
---|
|
# ---------------------------------------
# Module: idp
# Shibboleth IdP
# ---------------------------------------
------
--module=idp
--module=http --module=http-forwarded
## Keystore file path (relative to $jetty.base)
jetty.sslContext.keyStorePath=../credentials/idp-userfacing.p12
(省略)
※末尾に以下を追加 ## Connector port to listen on
jetty.ssl.port=443 ※利用されない
jetty.http.host=127.0.0.1 jetty.http.port=8080
|
...
module=idp
--module=http
--module=http-forwarded
## Keystore file path (relative to $jetty.base)
jetty.sslContext.keyStorePath=../credentials/idp-userfacing.p12
(省略)
※末尾に以下を追加
## Connector port to listen on
jetty.ssl.port=443 ※利用されない
jetty.http.host=127.0.0.1 jetty.http.port=8080
|
/opt/jetty-base/start.d/idp-logging.ini を修正します。
パネル |
---|
borderColor | #cccccc |
---|
bgColor | #eeeeee |
---|
borderStyle | solid |
---|
|
(省略)
# Override logback version pinned in jetty-home/modules/logback-impl.mod
logback.version=1.2.10
# Override SLF4J version pinned in jetty-home/modules/slf4j-api.mod
slf4j.version=1.7.32 |
情報 |
---|
ここで記載しているバージョンは lib/logback/ および log/slf4j/ 以下に配置されているライブラリのバージョンです。展開したjetty-baseが本技術ガイドに記載のものと異なる場合は、実際に配置されているライブラリのバージョンを logback.version= および slf4j.version= に記述してください。 |
/opt/jetty-base/etc/tweak-ssl.xmlを以下の内容で作成します。
注意 |
---|
過去の技術ガイドでは id="shibContextFactory" の部分を誤って id="sslContextFactory" としておりました。本設定が正しく反映されるように、修正をお願いいたします。 |
...
パネル |
---|
borderColor | #cccccc |
---|
bgColor | #eeeeee |
---|
borderStyle | solid |
---|
|
<!DOCTYPE Configure PUBLIC "-//Jetty//Configure//EN"
"http://www.eclipse.org/jetty/configure_9_4.dtd">
<Configure id="sslContextFactoryshibContextFactory" class="org.eclipse.jetty.util.ssl.SslContextFactory">
SslContextFactory">
<Set name="IncludeProtocols"> <Array type="String">
<Item>TLSv1.3</Item>
<Item>TLSv1.2</Item>
</Array>
</Set>
<Set name="IncludeProtocolsExcludeProtocols">
<Array type="String">
<Item>TLSv1.3<1</Item>
<Item>TLSv1</Item>
<Item>SSL</Item>
<Item>SSLv2</Item>
<Item>TLSv1.2< <Item>SSLv3</Item>
</Array>
</Set>
<Set name="ExcludeProtocolsIncludeCipherSuites">
<Array type="String">
<Item>TLSv1.1< <Item>TLS_AES.*</Item>
<Item>TLSv1< <Item>TLS_CHACHA20.*</Item>
<Item>SSL</Item>
<Item>SSLv2< <Item>TLS_ECDHE.*</Item>
<Item>SSLv3< <Item>TLS_EMPTY_RENEGOTIATION_INFO_SCSV</Item> </Array>
</Set>
<Set name="IncludeCipherSuitesExcludeCipherSuites">
<Array type="String">
<Item>TLS_ECDHE"String"> <Item>.*NULL.*</Item>
<Item>.*RC4.*</Item>
<Item>^.*_(MD5|SHA|SHA1)$</Item> <Item>.*DES.*</Item>
<Item>TLS_AES <Item>.*DSS.*</Item>
<Item>TLS <Item>^TLS_DHE_RSA.*<$</Item>
</Array>
</Set>
<Set name="ExcludeCipherSuites">
<Array type="String">
<Item>.*NULL.*</Item>
<Item>.*RC4.*</Item>
<Item>.*MD5.*</Item>
<Item>.*DES.*</Item>
<Item>.*DSS.*</Item>
<Item>TLS_DHE.*</Item>
</Array>
</Set>
</Configure> <Item>^TLS_RSA_.*$</Item> </Array>
</Set>
</Configure>
|
上記ファイルを参照するように /opt/jetty-base/modules/idp-backchannel.mod に追記します。
パネル |
---|
borderColor | #cccccc |
---|
bgColor | #eeeeee |
---|
borderStyle | solid |
---|
|
(省略)
[xml]
etc/idp-backchannel.xml
etc/tweak-ssl.xml |
5. httpd の設定
/etc/httpd/conf/httpd.conf の修正
...
パネル |
---|
borderColor | #cccccc |
---|
bgColor | #eeeeee |
---|
borderStyle | solid |
---|
|
(省略) <VirtualHost _default_:443> (省略)
# ServerName example-idp.nii.ac.jp:443 ←ホスト名 ↑コメントアウト(#)を削除 ↓以下を追加
RequestHeader set X-Forwarded-Port 443
RequestHeader set X-Forwarded-Proto https
RequestHeader unset Forwarded
RequestHeader unset X-Forwarded-For ProxyPass /idp/ http://localhost:8080/idp/ connectiontimeout=5 timeout=15 RequestHeader set REMOTE-USER %{REMOTE_USER}s
(省略)
|
情報 |
---|
加えて、SSL 3.0プロトコルに対する攻撃が発見されておりますので、当該プロトコルを無効化することをお勧めします。 ⇒SSLバージョン3の脆弱性について (CVE-2014-3566) パネル |
---|
SSLProtocol all -SSLv2 -SSLv3
|
|
...
パネル |
---|
borderColor | #cccccc |
---|
bgColor | #eeeeee |
---|
borderStyle | solid |
---|
|
# sudo chown -R jetty:jetty /opt/shibboleth-idp/logs # sudo chgrp jetty /opt/shibboleth-idp/metadata
# sudo chmod g+w /opt/shibboleth-idp/metadata
# sudo chmod +t /opt/shibboleth-idp/metadata
|
ヒント |
---|
IdPが実際に使用する証明書の秘密鍵はまだ配置されておりませんので、所有者・パーミッションは後の手順で設定します。 |
アンカー |
---|
| jakarta-taglibs-core.jar_jakarta-taglibs-standard.jar |
---|
| jakarta-taglibs-core.jar_jakarta-taglibs-standard.jar |
---|
|
...