貴学にてIdPをインストールする場合の構築手順
貴学にて、貴学のサーバにOSからShibboleth(IdP)までインストール・設定を行い、構築する方式です。(IdPv2の旧構築手順)貴学にて、貴学のサーバにOSを含めShibboleth IdPならびに必要なパッケージのインストール・設定を行う手順を説明します。
目次 maxLevel 2 minLevel 2 style none
...
アンカー idpInst1 idpInst1
1. Shibboleth IdP (version
...
4以降) の動作要件
以下は本技術ガイドで構築する前提となる環境です。
- メモリ3GB以上
Java実行環境への推奨割り当てメモリ量が1.5GBですので、その動作に支障がないようにしてください。 - Apache HTTP Server 2.
- 4 以上 と mod_ssl
以下のパッケージはインストール方法も含めて以降の手順で説明します。
- Apache Tomcat 7 or 8
- Java 7 or 8
- GNU Javaは利用できません。 OracleのJavaもしくはOpenJDKを利用してください。
- IdPv2からの移行でかつ attribute-resolver.xml / attribute-filter.xml でスクリプトを使っている場合、引き続きJava 7(OpenJDK 7)の使用を推奨します。(ただしIdPv2でJava 8を使っていた場合、引き続きJava 8(Oracle JDK 8 / OpenJDK 8)を使用してください)
Java 7とJava 8でスクリプトの書き方に若干の違いがあります。
詳細(Shibboleth Wiki): ScriptedAttributeDefinition, BasicScriptedConfiguration, ScriptDataConnector
v2版: IdPJava1.8, ResolverScriptAttributeDefinition, IdPFilterRequirementScript
(基本的にIdPv3での説明はJava 8(Nashorn)がメインでJava 7(Rhino)も併記、v2版は特に断りがなければJava 7(Rhino)での表記となっています)
...
- Jetty 9.4
- jetty-distribution-9.4.32.v20200930を使った手順となっています。
※いずれも以下のShibbolethのサイト「Jetty94」が情報源です。 - 以前の技術ガイドではサーブレットコンテナとしてTomcatを用いたものをご案内しておりました。その関係で継続してTomcat利用を強くご希望の方向けに、暫定的にShibboleth IdP V4をTomcat 9で構築する方法を別途ご案内しております:
⇒旧: 貴学にてIdPv4(Tomcat)をインストールする場合の構築手順- いずれにしろTomcat 10およびそれ以降はサポートできかねますのでご了承ください。
- あくまでも暫定版です。すでに運用中でTomcatをお使いの方は動作確認の上Jettyへの移行をご検討ください。
- jetty-distribution-9.4.32.v20200930を使った手順となっています。
- Java 11
Java 11以降のバージョンのみ対応しています。
注意 文字列置換のためのJavaScriptメソッド
"abc".replace("a", "b")
について、Java 7では全置換されていたものがJava 8では先頭の一致した部分しか置換されなくなるという情報があります。
当該メソッドを使って全置換を行っている場合は正規表現replace(/a/g, "b")
を使うようにしてください。Oracle JDK / OpenJDK 11にてLDAPサーバへの接続にLDAPSを使う場合、以下のエラーになるという情報があります。
書式設定済み java.lang.NullPointerException: Thread local SslConfig has not been set
原因はJDKのバグであるとのことです。該当する場合、以下でUnboundIDを使う回避策が提示されています。
https://wiki.shibboleth.net/confluence/display/IDP30/LDAPonJava>8
詳細: https://issues.shibboleth.net/jira/browse/IDP-1357- エントロピー不足で起動が遅くなる場合があるという情報があります。jre/conf/security/java.securityやシステムプロパティ等で対処してください。
確認方法および手順例: IdPのサービス動作状況の確認の「よくあるエラー」の503エラーの項- この問題はCentOS 7を使っている場合に顕著です。
- VMで稼働させていてこの問題がある場合、ホストマシンでHavegedを導入しVMからこれを参照する等で十分なエントロピーを生成できる場合があるようですので、合わせてご検討ください。
- GNU Javaは利用できません。 OpenJDKもしくはOracleのJavaを利用してください。
最新の情報はShibbolethのサイトでご確認ください:
全体, Jetty 9.4
...
2. OSをインストールする
1. OSでの設定
・OS(CentOS 7)インストール
インストーラでインストールするもの。
Webサーバー (HTTPのみ)
OpenLDAP
その他のパッケージは必要に応じてインストールしてください。
ただし、Java開発とJettyは後の手順で別にインストールします。
運用フェデレーション参加後に、ホスト名を変更する場合はいくつか考慮・解決すべき点があります。
ホスト名は十分ご検討いただいた上で設定してください。詳しくは IdPのホスト名変更に関する注意点 をご参照ください。
※このテキストはSELinuxはPermissiveに設定されているものとして書かれております。下記コマンドでSELinux設定を確認してください。
...
2. OSをインストールする
1. OSでの設定
・OS(CentOS 6)インストール
インストーラでインストールするもの。
Webサーバー (HTTPのみ)
OpenLDAP
その他のパッケージは必要に応じてインストールしてください。
ただし、Java開発とTomcat は後の手順で別にインストールします。
運用フェデレーション参加後に、ホスト名を変更する場合はいくつか考慮・解決すべき点があります。ホスト名は十分ご検討いただいた上で設定してください。詳しくは IdPのホスト名変更に関する注意点 をご参照ください。
※このテキストはSELinuxは無効化されているものとして書かれております。下記コマンドでSELinux設定を確認してください。
パネル | ||||||
---|---|---|---|---|---|---|
| ||||||
$ /usr/sbin/getenforce |
...
・ネットワーク設定
環境に合わせ、ホスト名・ネットワーク・セキュリティを設定して下さい。
2. DNSへ登録する
新しいホスト名とIPアドレスをDNSに登録してください。
3. 時刻同期を設定する
ntpサービスを用い、貴学環境のntpサーバと時刻同期をしてください。
※Shibbolethでは、通信するサーバ間の時刻のずれが約5分を越えるとエラーになります。
※Shibbolethでは、通信するサーバ間の時刻のずれが約3分を越えるとエラーになります。
...
アンカー | ||||
---|---|---|---|---|
|
3. jdk
...
11、jetty 9.4をインストールする
1.
...
tomcatの削除
tomcat 6以前のバージョンが入っている場合は、削除してください。が入っている場合は、削除してください。
2. jdk のインストール
...
CentOS 6にはOpenJDKのパッケージが用意されていますので、これをyumにてインストールします。7にはOpenJDKのパッケージが用意されていますので、これをyumにてインストールします。
パネル | ||||||
---|---|---|---|---|---|---|
| ||||||
| ||||||
展開 | ||||||
| ||||||
|
3. jetty 9.4 のインストール
...
...
...
org/jetty/download.html より最新版のパッケージ(.tgz)をダウンロードしてインストールします。
さらに、Shibboleth Projectが配布しているJetty向け設定ファイル群(jetty-base)を配置します。
展開 | ||||||
---|---|---|---|---|---|---|
| ||||||
パネル | ||||||
| ||||||
|
3. tomcat 7のインストール(★)
CentOS 6の場合、標準パッケージにはTomcat 7がないため、Apache Software Foundationが配布するTomcatパッケージをダウンロードしてインストールします。
/usr/javaを作成します。https://tomcat.apache.org/download-70.cgi よりダウンロードした apache-tomcat-7.?.??.tar.gz を/usr/javaに置いて、
以下のコマンドを実行してください(?は用意されているtomcatのリビジョン番号にあわせて記述して下さい)。
ヒント | ||
---|---|---|
| ||
・Tomcat7のパッケージと自動起動スクリプトは、「/root/PKG」配下にあります。 |
パネル | ||||||
---|---|---|---|---|---|---|
| ||||||
# mkdir /usr/java |
自動起動スクリプトを利用すると便利です。ZIPを解凍後にtomcat 7起動スクリプトファイルをコピーします。
...
title | 学認提供自動起動スクリプトについて |
---|
/etc/init.d/tomcat7
を更新する場合はTomcat停止後に行なうのがお勧めです。そうでないとPIDファイル等に不整合が生じます。
|
サービス起動には、jetty起動用のユーザを使用することを推奨します。
ここでは、一般的な"jetty"ユーザを作成します。(以降、"jetty"ユーザを使用する事を前提として説明します。)なお、下記コマンドでユーザID・グループIDは /usr/share/doc/setup-2.8.71/uidgid
の値を利用していますが他の値でも問題ありません。既存のユーザ・グループと重複しない値を指定してください。
...
パネル | ||||||
---|---|---|---|---|---|---|
| ||||||
# unzip tomcat7.zip # chmod a+x tomcat7 # cp tomcat7 /etc/rc.d/init.d/groupadd -g 110 jetty |
以下のコマンドでその他Jetty関連の設定ファイルやディレクトリの所有者、パーミッションを設定します。自動起動の設定 (このオプション指定では マイナス ‘-’ が2つ必要です)
パネル | ||||||
---|---|---|---|---|---|---|
| ||||||
|
4. profileの修正(★)
/etc/profileを下記のように修正します。
どこでもよいのですが、下記の例では「# /etc/profile」の下(ファイルの2行目)に挿入しています。
注意 |
---|
下記のJAVA_HOMEは、OpenJDKを使ったパスとなります。 |
|
以下の内容で /etc/sysconfig/jetty
を作成します。
パネル | ||||||
---|---|---|---|---|---|---|
| ||||||
| ||||||
パネル | ||||||
|
追加した環境変数を読み込みます。
パネル |
---|
# source /etc/profile |
5. jakarta-taglibs-core.jar と jakarta-taglibs-standard.jar の配置(★)
|
ヒント | |||||||||
---|---|---|---|---|---|---|---|---|---|
ここで
|
起動スクリプトを以下のように配置します。 IdPの動作に必要なjstl.jar(jakarta-taglibs-core.jar と jakarta-taglibs-standard.jar)を配置します。
CentOS6の場合、jakarta-taglibs-standardパッケージに入っているので、 yum でインストールします。
パネル | ||||||
---|---|---|---|---|---|---|
| ||||||
|
/usr/share/java 配下にインストールされているので、Tomcat 配下のlib ディレクトリにシンボリックリンクを作成します。
パネル | ||||||
---|---|---|---|---|---|---|
| ||||||
# ln -s /usr/share/java/jakarta-taglibs-core.jar ${CATALINA_BASE}/lib/jakarta-taglibs-core.jar # ln -s /usr/share/java/jakarta-taglibs-standard.jar ${CATALINA_BASE}/lib/jakarta-taglibs-standard.jar |
6. httpd の設定(★)
ヒント | ||
---|---|---|
| ||
・ここで設定するホスト名は、各自IdPサーバのホスト名を設定してください。 |
/etc/httpd/conf/httpd.conf の修正
|
/etc/systemd/system/jetty.service
を以下のように修正します。
パネル | ||||||
---|---|---|---|---|---|---|
| ||||||
(省略) ServerName example-idp.nii.ac.jp:80 ←ホスト名 (省略) |
/etc/httpd/conf.d/ssl.conf の修正
|
設定を反映させ、自動起動の登録を行います。
パネル | ||||||
---|---|---|---|---|---|---|
パネル | ||||||
| ||||||
(省略) <VirtualHost _default_:443> (省略) ServerName example-idp.nii.ac.jp:443 ←ホスト名 ProxyPass /idp/ ajp://localhost:8009/idp/ ←追加 (省略) |
情報 | ||
---|---|---|
加えて、SSL 3.0プロトコルに対する攻撃が発見されておりますので、当該プロトコルを無効化することをお勧めします。⇒SSLバージョン3の脆弱性について (CVE-2014-3566)
|
...
|
4. jetty-baseの設定
/opt/jetty-base/webapps/idp.xmlを以下のように修正します。(idp.warファイルのパス修正)
パネル | ||||||
---|---|---|---|---|---|---|
| ||||||
|
idp-backchannel.iniを読み込まないようにします。
...
$CATALINA_BASE/conf/server.xmlを下記のように修正します。
他の用途で使用する予定がなければConnector port="8080"をコメントアウトしてください。
パネル | ||||||
---|---|---|---|---|---|---|
| ||||||
<!-- <Connector port="8080" protocol="HTTP/1.1" connectionTimeout="20000" redirectPort="8443" /> --> |
Connector port="8009"に以下のように追加してください。
パネル | ||||||
---|---|---|---|---|---|---|
| ||||||
|
...
|
/opt/jetty-base/start.d/start.ini を以下の内容で作成します。
...
パネル | ||||||
---|---|---|---|---|---|---|
| ||||||
|
...
|
/opt/jetty-base/modules/idp.mod を修正します。(https と ssl をコメントアウト)
...
また、起動スクリプトを修正し、"tomcat"ユーザで起動するようにします。
ダウンロードした起動スクリプトを使用する場合は以下のように修正します。(/etc/rc.d/init.d/tomcat7)
パネル | ||||||
---|---|---|---|---|---|---|
| ||||||
|
...
パネル | ||||||
---|---|---|---|---|---|---|
|
...
# chown -R tomcat:tomcat /usr/java/tomcat/{temp,logs,work}
# chown tomcat:tomcat /usr/java/tomcat/webapps
# chmod +t /usr/java/tomcat/webapps
# chgrp tomcat /usr/java/tomcat/conf/*.*
# chmod g+r /usr/java/tomcat/conf/*.*
[depend] |
/opt/jetty-base/start.d/idp.ini を修正します。
※Tomcatのpidファイルをls -dl等で所有者・パーミッションを確認の上必要なら変更する
...
パネル | |
---|---|
|
|
...
chown -R tomcat:tomcat /var/run/tomcat
|
/opt/jetty-base/start.d/idp-logging.ini を修正します。
パネル | |
---|---|
|
...
4. Shibbolethのインストール(★)
各ファイル名等の指定は,Version 3.1.2に準拠しています。
1. Shibboleth IdP パッケージのダウンロード
http://www.shibboleth.net/downloads/identity-provider/latest/から最新版のIdP( shibboleth-identity-provider-3.?.?.zip )をダウンロードします。
情報 |
---|
ダウンロードしたファイルの真正性を確かめるにはPGP署名(ダウンロードURLに".asc"を追加したもの)を確認してください。 |
2. インストール(★)
ヒント | ||
---|---|---|
| ||
・Shibboleth IdPのパッケージは、「/root/PKG」配下にあります。 |
shibboleth-identity-provider-3.?.?.zip を適当なディレクトリに置いて、以下のコマンドを実行してください。
パネル | ||||||
---|---|---|---|---|---|---|
| ||||||
# unzip shibboleth-identity-provider-3.?.?.zip
# cd shibboleth-identity-provider-3.?.?
# ./bin/install.sh |
install.shシェルスクリプトを実行すると、以下のような問い合わせがあります。
手順に従って、進めてください。
ヒント | ||
---|---|---|
| ||
・Hostnameは、設定しなくても設定されているはずです。 |
パネル | ||||||
---|---|---|---|---|---|---|
| ||||||
|
...
3. Tomcatの設定(★)
Tomcatを”tomcat”ユーザで実行する場合は、ログファイルを出力できるようディレクトリの所有者を変更します。
同様に、設定ファイルやメタデータの保存ディレクトリなどの所有者・アクセス権限も変更します。
パネル | ||||||
---|---|---|---|---|---|---|
| ||||||
(省略) # chgrp -R tomcat /opt/shibboleth-idp/conf # chmod -R g+r /opt/shibboleth-idp/conf # chgrp tomcat /opt/shibboleth-idp/metadata # chmod g+w /opt/shibboleth-idp/metadata # chmod +t /opt/shibboleth-idp/metadata |
4. idp.war の配置(★)
/opt/shibboleth-idp/war/idp.war ファイルを、${CATALINA_BASE}/webapps ディレクトリにコピーします。
|
情報 |
---|
ここで記載しているバージョンは lib/logback/ および log/slf4j/ 以下に配置されているライブラリのバージョンです。展開したjetty-baseが本技術ガイドに記載のものと異なる場合は、実際に配置されているライブラリのバージョンを logback.version= および |
/opt/jetty-base/etc/tweak-ssl.xmlを以下の内容で作成します。
注意 |
---|
過去の技術ガイドでは |
パネル | ||||||
---|---|---|---|---|---|---|
| ||||||
パネル | ||||||
| ||||||
# cp /opt/shibboleth-idp/war/idp.war ${CATALINA_BASE}/webapps/ |
httpdとTomcatを再起動します。
パネル | ||||||
---|---|---|---|---|---|---|
| ||||||
# service tomcat7 stop
# service httpd restart
# service tomcat7 start |
Tomcatの起動後、${CATALINA_BASE}/logs/catalina.out にエラーが出力されていない事を確認してください。
※catalina.outにTomcat終了時(再起動時)のタイミングで以下のようなエラーが表示されることがありますが問題ありませんので無視してください。
パネル | ||||||
---|---|---|---|---|---|---|
| ||||||
致命的: A web application appears to have started a TimerThread named [Timer-0] via the java.util.Timer API but has failed to stop it. To prevent a memory leak, the timer (and hence the associated thread) has been forcibly cancelled. |
パネル | ||||||
---|---|---|---|---|---|---|
| ||||||
致命的: A web application created a ThreadLocal with key of type [null] (value [ch.qos.logback.core.UnsynchronizedAppenderBase$1@XXXXXXXX]) and a value of type [java.lang.Boolean] (value [false]) but failed to remove it when the web application was stopped. To prevent a memory leak, the ThreadLocal has been forcibly removed. |
...
5. サービスの起動・停止方法
httpd の起動方法
service httpd start
tomcat の起動方法
service tomcat7 start
sh /usr/java/tomcat/bin/startup.sh (起動スクリプトを利用しない場合)
httpd の停止方法
service httpd stop
tomcat の停止方法
service tomcat7 stop
...
|
上記ファイルを参照するように /opt/jetty-base/modules/idp-backchannel.mod に追記します。
パネル | ||||||
---|---|---|---|---|---|---|
| ||||||
(省略) |
5. httpd の設定
/etc/httpd/conf/httpd.conf の修正
パネル | ||||||
---|---|---|---|---|---|---|
| ||||||
|
/etc/httpd/conf.d/ssl.conf の修正
パネル | ||||||
---|---|---|---|---|---|---|
| ||||||
|
情報 | ||
---|---|---|
加えて、SSL 3.0プロトコルに対する攻撃が発見されておりますので、当該プロトコルを無効化することをお勧めします。
|
/etc/httpd/conf.d/virtualhost-localhost80.conf
を以下の内容で作成してください。
これはShibboleth IdPが提供するreload-metadata.sh等のコマンドを使った操作を可能にするためのものです。
注意 |
---|
すでに同一のvirtual hostを別のところで定義している場合は、そちらに含めてください。 _default_:80 が定義されているファイルに下記ProxyPassを含める方法もありますが、外部からの通常のアクセスがセキュア |
パネル | ||
---|---|---|
| ||
|
...
アンカー | ||||
---|---|---|---|---|
|
4. Shibbolethのインストール
各ファイル名等の指定は,Version 4に準拠しています。
1. Shibboleth IdP パッケージのダウンロード
http://shibboleth.net/downloads/identity-provider/latest/から最新のIdP( shibboleth-identity-provider-4.?.?.tar.gz )をダウンロードします。
情報 |
---|
ダウンロードしたファイルの真正性を確かめるにはPGP署名(ダウンロードURLに".asc"を追加したもの)を確認してください。 |
2. インストール
shibboleth-identity-provider-4.?.?.tar.gz を適当なディレクトリに置いて、以下のコマンドを実行してください。
パネル | ||||||
---|---|---|---|---|---|---|
| ||||||
|
install.shシェルスクリプトを実行すると、以下のような問い合わせがあります。
手順に従って、進めてください。
注意 |
---|
インストール時に入力するパスワードを本運用で使う場合は、推測されにくいものを使用してください。 |
パネル | ||||||
---|---|---|---|---|---|---|
| ||||||
|
上記のような質問に答えながら、インストールを行います。
3. パーミッションの調整
”jetty”ユーザがログファイルを出力できるようディレクトリの所有者を変更します。
同様に、メタデータの保存ディレクトリの所有者・パーミッションも変更します。
パネル | ||||||
---|---|---|---|---|---|---|
| ||||||
|
ヒント |
---|
IdPが実際に使用する証明書の秘密鍵はまだ配置されておりませんので、所有者・パーミッションは後の手順で設定します。 |
アンカー | ||||
---|---|---|---|---|
|
4. jstl-1.2.jar の配置
※jstlの別途インストールは不要
5. ディレクトリインデックスの禁止
edit-webapp内にweb.xml を作成します。
パネル | ||||||
---|---|---|---|---|---|---|
| ||||||
|
作成したweb.xml を以下の内容で修正します。
※既存の<servlet>の前に設定を追加します。
パネル | ||||||
---|---|---|---|---|---|---|
| ||||||
|
以下を実行して反映させます。
パネル | ||||||
---|---|---|---|---|---|---|
| ||||||
|
httpdの再起動とJettyの起動を行います。(すでにJettyが起動している場合はstopしてから行ってください)
パネル | ||||||
---|---|---|---|---|---|---|
| ||||||
# systemctl restart httpd
# systemctl start jetty |
注意 |
---|
※jetty起動に失敗したら設定修正後、/opt/jetty-base/tmp/下にファイルが残っていたら削除してから再度起動してください。 |
...
アンカー idpInst5 idpInst5
5. サービスの起動・停止方法
サービス | 起動コマンド | 停止コマンド | 再起動コマンド |
---|---|---|---|
httpd | systemctl start httpd | systemctl stop httpd | systemctl restart httpd |
jetty | systemctl start jetty | systemctl stop jetty | systemctl restart jetty |
...
インストールが完了したら,サイト情報等の設定を行って下さい.
...