...
旧:貴学にてIdPをインストールする場合の構築手順
貴学にて、貴学のサーバにOSからshibboleth貴学にて、貴学のサーバにOSからShibboleth(IdP)までインストール・設定を行い、構築する方式です。
警告 |
---|
本ページおよび後続のページの内容は古いものです。Shibboleth IdPの最新版は3.2.1であり、バージョン2系のサポートは2016年7月に終了しました。特に新規構築の場合は3.2.1以降を使用することを推奨します。 Shibboleth IdPバージョン3(IdPv3)の情報については、設定・運用・カスタマイズのアップデート手順の3.0.0の項に情報を掲載しております。 IdPv3のインストール手順については以下のページをご参照ください。 |
目次 maxLevel 2 minLevel 2 style none
...
アンカー idpInst1 idpInst1
1.
...
Shibboleth IdP (version 2.
...
3以降) の動作要件
以下は本技術ガイドで構築する前提となる環境です。
- Apache HTTP Server 2.2 以上 と mod_ssl
以下のパッケージはインストール方法も含めて以降の手順で説明します。
- Apache Tomcat 6.0.17以上 (かつ7未満。Tomcat 7ではSOAP接続がサポートされません)
- Tomcat 7およびそれ以降でSOAP接続を行う場合は、
tomcat6-dta-ssl-x.x.x.jar
を使うのではなく
https://wiki.shibboleth.net/confluence/display/IDP30/ApacheTomcat8#ApacheTomcat8-SupportingSOAPEndpoints
でIdPv3向けに用意されておりますtrustany-ssl-x.x.x.jar
をお使いください。
- Tomcat 7およびそれ以降でSOAP接続を行う場合は、
- Java 6 or 7
- Java 7を使用する場合は、IdPバージョン2.4.0以降を使用してください。2.3.xにはJava 7上でのみ特定条件で発生するバグがあります。
- Java 8 は IdP v2 では公式にはサポートされません。IdP v3 でサポート予定です。
IdP v2をJava 8上で使うと Script Attribute Definition で不具合があることが確認されています。
詳細: Shibboleth Wiki: IdPJava1.8 - CentOSに付属する GNU Javaは利用できません。 OracleのJavaもしくはOpenJDKを利用してください。
(ただし、CentOSに付属する Gnu Javaは利用できません。 SunのJavaもしくはOpenJDKを利用してください。)
他の環境および最新の情報はShibbolethのサイトでご確認ください:
全体, Jetty 7, Apache Tomcat, JBoss Tomcat
...
2. OSをインストールする
1. OSでの設定
・OS(CentOS 5)インストール6)インストール
インストーラでインストールするもの。
Webサーバー (HTTPのみ)
Open Ldap OpenLDAP
その他のパッケージは必要に応じてインストールしてください。
ただし、Java開発とTomcat は後の手順で別にインストールします。
運用フェデレーション参加後に、ホスト名を変更する場合はいくつか考慮・解決すべき点があります。ホスト名は十分ご検討いただいた上で設定してください。詳しくは IdPのホスト名変更に関する注意点 をご参照ください。
※このテキストはSELinuxは無効化されているものとして書かれております。下記コマンドでSELinux設定を確認してください。
...
環境に合わせ、ホスト名・ネットワーク・セキュリティを設定して下さい。 SPでは shibd サービスが通信を行います。
2. DNSへ登録する
新しいホスト名とIPアドレスをDNSに登録してください。
3. 時刻同期を設定する
ntpサービスを用い、貴学環境のntpサーバと時刻同期をしてください。
※Shibbolethでは、通信するサーバ間の時刻のずれが約5分を越えるとエラーになります。
...
アンカー | ||||
---|---|---|---|---|
|
3. jdk6、tomcat6をインストールする(★)
1. 古いtomcatの削除
tomcat5-5.5.25以前のバージョンが入っている場合は、削除してください。
2. jdk
...
のインストール(★)
ヒント | ||
---|---|---|
| ||
・jdk6のパッケージは、「/root/PKG」配下にあります。 |
...
CentOS 6にはOpenJDKのパッケージが用意されていますので、これをyumにてインストールします。
パネル | ||||||
---|---|---|---|---|---|---|
| ||||||
|
展開 | ||
---|---|---|
| ||
...
にあります"Java SE 7u??"の項にある"JDK"の項より構築環境に合わせてダウンロードしたパッケージを適当なフォルダに置いて、以下のコマンドを実行してください(??は用意されているjdkのリビジョン番号にあわせて記述して下さい)。
|
...
|
...
|
3. tomcat 6のインストール(★)
ヒント | ||
---|---|---|
| ||
・tomcat6のパッケージは、「/root/PKG」配下にあります。 |
...
CentOS 6の場合、標準パッケージでTomcat 6が用意されていますので、これをyumにてインストールします。
パネル | ||||||
---|---|---|---|---|---|---|
| ||||||
|
展開 | ||
---|---|---|
| ||
...
よりダウンロードした apache-tomcat-6.?.??.tar. |
...
gz を/usr/javaにを置いて、以下のコマンドを実行してください(?は用意されているtomcatのリビジョン番号にあわせて記述して下さい)。
|
...
自動起動スクリプトを利用すると便利です。ZIPを解凍後にtomcat6起動スクリプトファイルをコピーします。 |
...
| ||||||||||||||||||||||
| 実習セミナー |
・自動起動スクリプトは、「/root/PKG」配下にあります。 以下のコマンドで移動してから、以降の手順を実施してください。# cd /root/PKG
|
自動起動の設定 (このオプション指定では マイナス ‘-’ が2つ必要です)
パネル | ||||||
---|---|---|---|---|---|---|
| ||||||
# chkconfig --add tomcat6 # chkconfig --level 345 tomcat6 on # service tomcat6 start |
4. profileの修正(★)
/etc/
...
profileを下記のように修正します。
「# どこでもよいのですが、下記の例では「# /etc/profile」の下(2行目)に挿入します。profile」の下(ファイルの2行目)に挿入しています。
パネルnote |
---|
下記のJAVA_HOMEは、OpenJDKを使ったパスとなります。 |
パネル | ||||||
---|---|---|---|---|---|---|
| ||||||
| ||||||
|
...
|
追加した環境変数を読み込みます。
パネル |
---|
# source /etc/profile |
5. tomcat6.confの修正(★)
注意 |
---|
Shibboleth IdP 2.4.3およびそれ以降をインストールする場合はこの手順は不要です。次の「6. httpd の設定」から先を行ってください。 |
$CATALINA_BASE/conf/tomcat6.conf
を下記のように修正します。
情報 |
---|
CentOS 6 tomcat6パッケージにおいて、/usr/share/tomcat6/conf/XXX.conf と /etc/tomcat6/XXX.conf は同一ファイルです。 |
注意 |
---|
Apache Software FoundationのパッケージよりTomcatをインストールした場合は、本手順は必要ありません。(endorsedについては後の手順で設定します) |
パネル | ||||||
---|---|---|---|---|---|---|
| ||||||
source /etc/profile |
※この時点で、tomcatが正常に起動しているか確認します。
以下のアドレスにアクセスし、正常にtomcatのデフォルト画面が表示されるか確認します。
アクセス先のホスト名は、構築中IdPサーバのホスト名に変更してください。
http://example-idp.nii.ac.jp:8080
|
6
...
. httpd の設定(★)
ヒント | ||
---|---|---|
| ||
・ここで設定するホスト名は、各自IdPサーバのホスト名を設定してください。 |
/etc/httpd/conf/httpd.conf の修正
...
パネル | ||||||
---|---|---|---|---|---|---|
| ||||||
(省略) <VirtualHost _default_:443> (省略) ServerName example-idp.nii.ac.jp:443 ←ホスト名 ProxyPass /idp/ ajp://localhost:8009/idp/ ←追加 (省略) |
情報 | ||
---|---|---|
加えて、SSL 3.0プロトコルに対する攻撃が発見されておりますので、当該プロトコルを無効化することをお勧めします。⇒SSLバージョン3の脆弱性について (CVE-2014-3566)
|
...
7. server.xmlの修正(★)
$CATALINA_BASE/conf/server.
...
xmlを下記のように修正します。
他の用途で使用する予定がなければConnector port="8080"をコメントアウトしてください。
...
パネル | ||||||
---|---|---|---|---|---|---|
| ||||||
|
...
アンカー | ||||
---|---|---|---|---|
|
4.
...
Shibbolethのインストール(★)
各ファイル名等の指定は,Version 2.34.6に準拠しています。0に準拠しています。
1. shibboleth-IdP のダウンロード
警告 |
---|
Shibboleth IdPの最新版はバージョン3.0.0ですが、本技術ガイドは2.x.xをベースにしており、一部設定ファイルに互換性がありません。本技術ガイドの手順でIdPを構築する場合は、http://shibboleth.net/downloads/identity-provider/2.4.3/ からバージョン2.4.3(shibboleth-identityprovider-2.4.3-bin.zip)をダウンロードし続きを行ってください。 |
http://www.shibboleth.net/downloads/identity-provider/latest/から最新版のIdP
(shibboleth-identityprovider-2.?.?-bin.zip )をダウンロードします。
情報 |
---|
ダウンロードしたファイルの真正性を確かめるにはPGP署名(ダウンロードURLに".asc"を追加したもの)を確認してください。 |
2.
...
インストール(★)
ヒント | ||
---|---|---|
| ||
・shibboleth-IdPのパッケージは、「/root/PKG」配下にあります。 |
shibboleth-idp-2.?.?-bin.zip を適当なディレクトリに置いて、以下のコマンドを実行してください。
パネル | ||||||
---|---|---|---|---|---|---|
| ||||||
# unzip shibboleth-identityprovider-2.?.?-bin.zip
# cd shibboleth-identityprovider-2.?.?
# chmod a+x install.sh
# ./install.sh |
install.shシェルを実行すると、以下のような問い合わせがあります。shシェルスクリプトを実行すると、以下のような問い合わせがあります。
手順に従って、進めてください。
ヒント | ||
---|---|---|
| ||
・インストール時に設定するホスト名は、各自IdPサーバのホスト名を設定してください。 |
パネル | ||||||
---|---|---|---|---|---|---|
| ||||||
|
上記のような質問に答えながら、インストールを行います。
※途中で入力するパスワードはデフォルトで作成されるキーストアファイル(credentials/idp.jks)のパスワードとなります。このテキストでは使用しません。
3.
...
ヒント | ||
---|---|---|
| ||
・下記「※」に記載されているように、edubaseCloud環境では2.3.4以降となるので、 |
shibboleth-identityprovider-2.?.?-bin.zip を展開した shibboleth-identityprovider-2.?.?/lib/ にある
shibboleth-jce-1.1.0.jar を $JAVA_HOME/jre/lib/ext にコピーします。
パネル | ||||||
---|---|---|---|---|---|---|
| ||||||
# cp lib/shibboleth-jce-1.1.0.jar $JAVA_HOME/jre/lib/ext |
※ 2.3.4以降には当該ファイルが同梱されていません。⇒情報交換ML:00414, 情報交換ML:00513
さらに、 $JAVA_HOME/jre/lib/security/java.security ファイルに以下を追加します。
パネル | ||||||
---|---|---|---|---|---|---|
| ||||||
# # List of providers and their preference orders (see above): # security.provider.1=sun.security.provider.Sun (省略) security.provider.7=org.jcp.xml.dsig.internal.dom.XMLDSigRI security.provider.8=sun.security.smartcardio.SunPCSC security.provider.9=edu.internet2.middleware.shibboleth.DelegateToApplicationProvider ↑行を追加 |
番号:9 は、既に記載されている番号に合わせて順番にして下さい。
(9が既に記載されている場合は、10に修正して行を追加)
4. Tomcatの設定(★)
SOAP通信用モジュール配置
(以前ここに記述されていた手順は、後の サーバ証明書の設定(IdP) の 2.ライブラリのコピー に移動しました。この段階でやるべきことはありません。)
4. Tomcatの設定(★)
注意 |
---|
Shibboleth IdP 2.4.3およびそれ以降をインストールする場合は本手順の |
/opt/shibboleth-idp/lib/endorsed/ shibboleth-identityprovider-2.?.?-bin.zip を解凍した shibboleth-identityprovider-2.?.?/endorsed にある5つの jarファイルを $CATALINA_HOME/endorsed ディレクトリを作成してそこへコピーします。
パネル | ||||||
---|---|---|---|---|---|---|
| ||||||
# mkdir $CATALINA_HOME/endorsed
# cp /opt/shibboleth-idp/lib/endorsed/*.jar $CATALINA_HOME/endorsed |
...
以下はIdP 2.34.6の場合のファイル名例0の場合のファイル名例
serializer-2.10.0.jar
xalan-2.7.1.jar
xercesImpl-2.10.0.jar
xml-apis-2.10.0.jar
xml-resolver-1.2.jar
展開 | ||
---|---|---|
| ||
これらの jar ファイルが有効となるよう、tomcat 起動スクリプトを変更します。 |
...
前出の tomcat6 自動起動スクリプトを利用した場合は、以下のような有効化が記述されていることを確認してください。
|
ヒント | ||
---|---|---|
| ||
・以下の作業は実習セミナーでは行う必要はありません。(root権限で動作します) |
Tomcatを”tomcat”ユーザで実行する場合は、ログファイルを出力できるようディレクトリの所有者を変更します。CentOS 6のtomcatパッケージではTomcatを”tomcat”ユーザで実行するため、ログファイルを出力できるようディレクトリの所有者を変更します。
同様に、メタデータの保存ディレクトリの所有者も変更します。
パネル | ||||||
---|---|---|---|---|---|---|
| ||||||
|
...
| ||||||
パネル | ||||||
---|---|---|---|---|---|---|
| ||||||
|
5. idp.war の配置(★)
/opt/shibboleth-idp/war/idp.war ファイルを、
$ファイルを、${CATALINA_HOMEBASE}/webapps ディレクトリにコピーします。
パネル | ||||||
---|---|---|---|---|---|---|
| ||||||
# cp /opt/shibboleth-idp/war/idp.war ${CATALINA_HOMEBASE}/webapps/ |
httpdとTomcatを再起動します。
パネル | ||||||
---|---|---|---|---|---|---|
| ||||||
# service tomcat6 stop # service httpd restart # service tomcat6 start |
Tomcatの起動後、/usr/java/tomcatTomcatの起動後、${CATALINA_BASE}/logs/catalina.out にエラーが出力されていない事を確認してください。
...
パネル | ||||||
---|---|---|---|---|---|---|
| ||||||
致命的: A web application created a ThreadLocal with key of type [null] (value [ch.qos.logback.core.UnsynchronizedAppenderBase$1@XXXXXXXX]) and a value of type [java.lang.Boolean] (value [false]) but failed to remove it when the web application was stopped. To prevent a memory leak, the ThreadLocal has been forcibly removed. |
...
...
アンカー idpInst5 idpInst5
5. サービスの起動・停止方法
httpd の起動方法
service httpd start
tomcat の起動方法
service tomcat6 start
sh /usr/java/tomcat/bin/startup.sh (起動スクリプトを利用しない場合)
httpd の停止方法
service httpd stop
tomcat の停止方法
service tomcat6 stop
sh /usr/java/tomcat/bin/shutdown.sh (起動スクリプトを利用しない場合)
...
インストールが完了したら,サイト情報等の設定を行って下さい.
...
...