貴学にてIdPv5をインストールする場合の構築手順

貴学にて、貴学のサーバにOSを含めShibboleth IdPならびに必要なパッケージのインストール・設定を行う手順を説明します。

maxLevel	2
minLevel	2
style	none

...

アンカー

	idpInst1
	idpInst1

1. Shibboleth IdP (version 5以降) の動作要件

以下は本技術ガイドで構築する前提となる環境です。

メモリ3GB以上
Java実行環境への推奨割り当てメモリ量が1.5GBですので、その動作に支障がないようにしてください。
Apache HTTP Server 2.4 以上　と mod_ssl

以下のパッケージはインストール方法も含めて以降の手順で説明します。

Jetty

9.4

11
- jetty-

distribution

- home-

9

- 11.0.

4

- 20.

32

- tar.

v20200930を使った手順となっています。

- gzを使った手順となっています。

※いずれも以下のShibbolethのサイト「Jetty94」が情報源です。

以前の技術ガイドではサーブレットコンテナとしてTomcatを用いたものをご案内しておりました。その関係で継続してTomcat利用を強くご希望の方向けに、暫定的にShibboleth IdP V4をTomcat 9で構築する方法を別途ご案内しております:
⇒旧: 貴学にてIdPv4（Tomcat）をインストールする場合の構築手順
- いずれにしろTomcat 10およびそれ以降はサポートできかねますのでご了承ください。
- あくまでも暫定版です。すでに運用中でTomcatをお使いの方は動作確認の上Jettyへの移行をご検討ください。

Java 11

Java 11以降のバージョンのみ対応しています。

注意
文字列置換のためのJavaScriptメソッド `"abc".replace("a", "b")` について、Java 7では全置換されていたものがJava 8では先頭の一致した部分しか置換されなくなるという情報があります。当該メソッドを使って全置換を行っている場合は正規表現 `replace(/a/g, "b")` を使うようにしてください。

Oracle JDK / OpenJDK 11にてLDAPサーバへの接続にLDAPSを使う場合、以下のエラーになるという情報があります。
書式設定済み
java.lang.NullPointerException: Thread local SslConfig has not been set
原因はJDKのバグであるとのことです。該当する場合、以下でUnboundIDを使う回避策が提示されています。
https://wiki.shibboleth.net/confluence/display/IDP30/LDAPonJava>8
詳細: https://issues.shibboleth.net/jira/browse/IDP-1357
エントロピー不足で起動が遅くなる場合があるという情報があります。jre/conf/security/java.securityやシステムプロパティ等で対処してください。
確認方法および手順例: IdPのサービス動作状況の確認の「よくあるエラー」の503エラーの項
- この問題はCentOS 7を使っている場合に顕著です。
- VMで稼働させていてこの問題がある場合、ホストマシンでHavegedを導入しVMからこれを参照する等で十分なエントロピーを生成できる場合があるようですので、合わせてご検討ください。
GNU Javaは利用できません。 OpenJDKもしくはOracleのJavaを利用してください。

...

Java 17
- Java 17以降のバージョンのみ対応しています。

最新の情報はShibbolethのサイトでご確認ください:
全体, Jetty11

...

アンカー

	idpInst2
	idpInst2

2. OSをインストールする

1. OSでの設定

・OS（Rocky Linux 9）インストール

インストーラでインストールするもの。

Webサーバー (HTTPのみ)
OpenLDAP

その他のパッケージは必要に応じてインストールしてください。
ただし、Java開発とJettyは後の手順で別にインストールします。

運用フェデレーション参加後に、ホスト名を変更する場合はいくつか考慮・解決すべき点があります。
ホスト名は十分ご検討いただいた上で設定してください。詳しくは IdPのホスト名変更に関する注意点をご参照ください。
※このテキストはSELinuxはPermissiveに設定されているものとして書かれております。下記コマンドでSELinux設定を確認してください。

パネル

borderColor	#cccccc
bgColor	#eeeeee
borderStyle	solid

$ /usr/sbin/getenforce

・ネットワーク設定

環境に合わせ、ホスト名・ネットワーク・セキュリティを設定して下さい。

2. DNSへ登録する

　新しいホスト名とIPアドレスをDNSに登録してください。

3. 時刻同期を設定する

　ntpサービスを用い、貴学環境のntpサーバと時刻同期をしてください。

　※Shibbolethでは、通信するサーバ間の時刻のずれが約3分を越えるとエラーになります。

...

アンカー

	idpInst3
	idpInst3

3. java17(OpenJDK)、jetty11をインストールする

1. tomcatの削除

tomcat が入っている場合は、削除してください。

2. java17 のインストール

Rocky LinuxにはOpenJDKのパッケージが用意されていますので、これをdnfにてインストールします。

...

2. OSをインストールする

1. OSでの設定

・OS（CentOS 7）インストール

インストーラでインストールするもの。

Webサーバー (HTTPのみ)
OpenLDAP

その他のパッケージは必要に応じてインストールしてください。
ただし、Java開発とJettyは後の手順で別にインストールします。

運用フェデレーション参加後に、ホスト名を変更する場合はいくつか考慮・解決すべき点があります。
ホスト名は十分ご検討いただいた上で設定してください。詳しくは IdPのホスト名変更に関する注意点をご参照ください。
※このテキストはSELinuxはPermissiveに設定されているものとして書かれております。下記コマンドでSELinux設定を確認してください。

パネル

borderColor	#cccccc
bgColor	#eeeeee
borderStyle	solid

$ /usr/sbin/getenforce

・ネットワーク設定

...

2. DNSへ登録する

...

3. 時刻同期を設定する

　ntpサービスを用い、貴学環境のntpサーバと時刻同期をしてください。

　※Shibbolethでは、通信するサーバ間の時刻のずれが約3分を越えるとエラーになります。

...

(1) インストール可能なjava-17-openJDKがあるか確認します # dnf list --all | grep java-17-openjdk (2) java-17-openjdkがインストール済か確認します # dnf list --installed | grep java-17-openjdk (3) java-17-openjdkをインストールします # dnf -y install java-17-openjdk (4) インストール結果を確認します # java -version

3. jetty11 のインストール

Jetty11の配置

jetty11は、https://jetty.org/download.html より最新版のパッケージ

...

3. jdk 11、jetty 9.4をインストールする

1. tomcatの削除

...

2. jdk のインストール

CentOS 7にはOpenJDKのパッケージが用意されていますので、これをyumにてインストールします。

パネル

borderColor	#cccccc
bgColor	#eeeeee
borderStyle	solid

# yum install java-11-openjdk-headless

3. jetty 9.4 のインストール

https://www.eclipse.org/jetty/download.html より最新版のパッケージ(.tgz)をダウンロードしてインストールします。
さらに、Shibboleth Projectが配布しているJetty向け設定ファイル群(jetty-base)を配置します。

...

borderColor	#cccccc
bgColor	#eeeeee
borderStyle	solid

...

「最新版のパッケージ(.tgz)」のURLは、https://jetty.org/download.htmlの「The latest releases of Eclipse Jetty」表の「11.0.22 (EOCS)」行の「.tgz」をマウス右クリックして「リンクをコピー」を選択することによって、クリップボードに得ることができます。

（下枠の青色「https://repo1.maven.org/maven2/org/eclipse/jetty/jetty-

...

home/

...

11.

...

0.

...

20/jetty-

...

home-

...

11.

...

0.

...

20.tar.gz」が得られたURLです）

パネル

borderColor	#cccccc
bgColor	#eeeeee
borderStyle	solid

# wget https://repo1.maven.org/maven2/org/eclipse/jetty/jetty-home/11.0.20/jetty-home-11.0.20.tar.gz # tar zxv -C /opt -f jetty-home-11.0.20# tar zxv -C /opt -f jetty-distribution-9.4.*.v????????.tar.gz # ( cd /opt ; ln -s jetty-distributionhome-911.4.*.v???????? 0.20 /opt/jetty )# wget

Jetty-baseの配置

さらに、Shibboleth Projectが配布しているJetty向け設定ファイル群(jetty-base)を配置します。

jetty-baseのURLは、ブラウザで

https://build.shibboleth.net/maven/snapshots/net/shibboleth/idp/idp-jetty-base/

...

11.

...

0.

...

0-SNAPSHOT

...

にアクセスし、バージョン11.0の（ファイル名に含まれる日付けが）最新版であるファイル（idp-jetty-base-

...

11.

...

0.

...

0-

...

*.

...

*-

...

*.tar.

...

gzというファイル名）をマウス右クリックして現れる「リンクをコピー」メニューで、取得してください。（クリップボードにURLがコピーされます）

（下枠の青色「https://build.shibboleth.net/maven/snapshots/net/shibboleth/idp/idp-jetty-base

...

/11.0.0-SNAPSHOT/idp-jetty-base-11.0.0-20240620.102527-121.tar.gz」が得られたURLです）

パネル

bgColor
borderColor	#cccccc

...

サービス起動には、jetty起動用のユーザを使用することを推奨します。

ここでは、一般的な"jetty"ユーザを作成します。（以降、"jetty"ユーザを使用する事を前提として説明します。）なお、下記コマンドでユーザID・グループIDは /usr/share/doc/setup-2.8.71/uidgid の値を利用していますが他の値でも問題ありません。既存のユーザ・グループと重複しない値を指定してください。

パネル

borderColor	#cccccc
bgColor	#eeeeee
borderStyle	solid

#

groupadd -g 110 jetty
# useradd -u 110 -g jetty -d /opt/jetty-base -s /sbin/nologin -c "Jetty daemon" jetty

wgethttps://build.shibboleth.net/maven/snapshots/net/shibboleth/idp/idp-jetty-base/11.0.0-SNAPSHOT/idp-jetty-base-11.0.0-20240620.102527-121.tar.gz# tar zxv -C /opt -f idp-jetty-base-11.0.?-????????.*.tar.gz

Jetty起動用ユーザ

サービス起動には、jetty起動用のユーザを使用することを推奨します。

ここでは、一般的な"jetty"ユーザを作成します。（以降、"jetty"ユーザを使用する事を前提として説明します。）なお、下記コマンドでユーザID・グループIDは /usr/share/doc/setup/uidgid の値を利用していますが他の値でも問題ありません。既存のユーザ・グループと重複しない値を指定してください。以下のコマンドでその他Jetty関連の設定ファイルやディレクトリの所有者、パーミッションを設定します。

パネル

borderColor	#cccccc
bgColor	#eeeeee
borderStyle	solid

#

chown -R root:root /opt/jetty-distribution-9.4.*.v????????

groupadd -g 110 jetty
# useradd -u 110 -g jetty -d /opt/jetty-base

# chmod -R g-w /opt/jetty-base

# chown jetty:jetty /opt/jetty-base/{logs,tmp}

-s /sbin/nologin -c "Jetty daemon" jetty
既にjettyグループやjettyユーザが存在する時は、「既に存在します」という意味のメッセージが表示されますが、無視して下さい。

以下のコマンドでその他Jetty関連の設定ファイルやディレクトリの所有者、パーミッションを設定します。

パネル

borderColor	#cccccc
bgColor	#eeeeee
borderStyle	solid

# chown -R root:root /opt/jetty-home-11.0.20 /opt/jetty-base
# chmod -R g-w /opt/jetty-base
# chown jetty:jetty /opt/jetty-base/{logs,tmp}

Jettyサービス自動起動の設定

jetty11は、"systemctl enable jetty"コマンドで自動起動されるようにしますが、chkconfigコマンドがインストールされていないと、この自動起動設定時にエラーとなります。

（参考：https://www.aidanwardman.com/enabling-boot-start-in-splunk-on-rhel-9-rocky-9/）

パネル

/etc/init.dが存在していたら削除します。（install後、/etc/init.d -> rc.d/init.dとするので、/etc/init.dが存在していると、dnf install でエラーとなります。）
# rm -rf /etc/init.d
init.dの下に有効なファイルがある時は、バックアップして下さい。

chkconfigをインストールする
# dnf install chkconfig

以下の内容で /etc/sysconfig/jetty を作成します。

パネル

borderColor	#cccccc
bgColor	#eeeeee
borderStyle	solid

JAVA=/usr/lib/jvm/jre/bin/java
JETTY_HOME=/opt/jetty
JETTY_BASE=/opt/jetty-base
JETTY_RUN=/opt/jetty-base/tmp
JETTY_STATE=/opt/jetty-base/tmp/jetty.state
JETTY_START_TIMEOUT=120

ヒント

ここで JAVA= で指定しているコマンドの存在・バージョンを確認しておくとよいでしょう。javaコマンドにパスが通っている場合はこの行を削除してもかまいません。

パネル

borderColor	#cccccc
bgColor	#eeeeee
borderStyle	solid

$ /usr/lib/jvm/jre/bin/java -version
openjdk version "11.0.10" 2021-01-19 LTS
OpenJDK Runtime Environment 18.9 (build 11.0.10+9-LTS)
OpenJDK 64-Bit Server VM 18.9 (build 11.0.10+9-LTS, mixed mode, sharing)

...

パネル

borderColor	#cccccc
bgColor	#eeeeee
borderStyle	solid

[Service]
Type=forking
EnvironmentFile=-/etc/sysconfig/jetty
PIDFile=/opt/jetty-base/tmp/jetty.pid
ExecStart=/etc/init.d/jetty start
ExecStop=/etc/init.d/jetty stop
ExecReload=/etc/init.d/jetty restart
SuccessExitStatus=143
User=jetty
Group=jetty
TimeoutStartSec=150

設定を反映させ、自動起動の登録を行います。

パネル

borderColor	#cccccc
bgColor	#eeeeee
borderStyle	solid

# sudo systemctl daemon-reload # sudo systemctl enable jetty

4. jetty-baseの設定

/opt/jetty-base/webapps/idp.xmlを以下のように修正します。（idp.warファイルのパス修正）xmlを以下のように修正します。（下記のようになっていることを確認します）

パネル

borderColor	#cccccc
bgColor	#eeeeee
borderStyle	solid

<Configure class="org.eclipse.jetty.webapp.WebAppContext">
   <Set name="war"><SystemProperty name="idp.war.pathhome" default="/opt/shibboleth-idp" />/war/idp.war" /><war</Set>
<Set    <Set name="contextPath"><SystemProperty name="idp.context.path" default="/idp" /></Set>
   <Set name="extractWAR">false</Set>
   <Set name="copyWebDir">false</Set>
   <Set name="copyWebInf">true</Set>
   <Set name="persistTempDirectory">false</Set>
</Configure>

idp-backchannel.iniを読み込まないようにします。

...

パネル

borderColor	#cccccc
bgColor	#eeeeee
borderStyle	solid

# Any other required Jetty modules...
# Allows setting Java system properties (-Dname=value)
# and JVM flags (-X, -XX) in this file
# NOTE: spawns child Java process
--exec

# Uncomment if IdP is installed somewhere other than /opt/shibboleth-idp
#-Didp.home=/path/to/shibboleth-idp
# Newer garbage collector that reduces memory needed for larger metadata files
-XX:+UseG1GC

# Maximum amount of memory that Jetty may use, at least 1.5G is recommended
# for handling larger (> 25M) metadata files but you will need to test on
# your particular metadata configuration
-Xmx1500m

# Prevent blocking for entropy.
-Djava.security.egd=file:/dev/./urandom

# Set Java tmp location
-Djava.io.tmpdir=tmp

/opt/jetty-base/modules/idp.mod を修正します。（https と ssl をコメントアウト）

パネル

borderColor	#cccccc
bgColor	#eeeeee
borderStyle	solid

[depend]
annotations
deploy
ext
http
#https
jsp
jstl
plus
resources
server
servlets
#ssl

/opt/jetty-base/start.d/idp.ini を修正します。（赤字のように修正します）します。

パネル

borderColor	#cccccc
bgColor	#eeeeee
borderStyle	solid

# ---------------------------------------
# Module: idp
# Shibboleth IdP
# ---------------------------------------
--module=idplogging-logback --module=httpidp
--module=http-forwarded

## Keystore file path (relative to $jetty.base)
jetty.sslContext.keyStorePath=../credentials/idp-userfacing.p12

--module=http-forwarded

（省略）

（省略）
※末尾に以下を追加## Connector port to listen on
jetty.ssl.port=443　　※利用されない# Allows use of default IdP command line tools.
jetty.http.host=127.0.0.1
jetty.http.port=8080

/opt/jetty-base/start.d/idp-logging.ini を修正します。ファイルが無ければ作成してください。

（省略）
# Override logback version pinned in jetty-home/modules/logback-impl.mod
logback.version=1.2.10

パネル

borderColor	#cccccc
bgColor	#eeeeee
borderStyle	solid

# Override SLF4J logback version pinned in jetty-home/modules/slf4jlogback-apiimpl.mod
slf4jlogback.version=1.74.329

情報

ここで記載しているバージョンは lib/logbacklogging/ および log/slf4j/ 以下に配置されているライブラリのバージョンです。展開したjetty-baseが本技術ガイドに記載のものと異なる場合は、実際に配置されているライブラリのバージョンを logback.version= および slf4j.version= に記述してください。に記述してください。

この記述を間違えると、エラーメッセージ
java.security.PrivilegedActionException: java.lang.ClassNotFoundException: ch.qos.logback.access.jetty.RequestLogImpl
によりShibboleth IdPの起動に失敗したり、/opt/jetty-base/logs/jetty.logが出力されないといったことが起こります。

/opt/jetty-base/etc/tweak-ssl.xmlを以下の内容で作成します。

...

過去の技術ガイドでは id="shibContextFactory" の部分を誤って id="sslContextFactory" としておりました。本設定が正しく反映されるように、修正をお願いいたします。

パネル

borderColor	#cccccc
bgColor	#eeeeee
borderStyle	solid

<!DOCTYPE Configure PUBLIC "-//Jetty//Configure//EN"
"http://www.eclipse.org/jetty/configure_9_4.dtd">
<Configure id="shibContextFactorysslContextFactory"

     class class="org.eclipse.jetty.util.ssl.SslContextFactory">
    <Set name="IncludeProtocols">
        <Array type="String">
            <Item>TLSv1.3</Item>
            <Item>TLSv1.2</Item>
        </Array>
    </Set>
    <Set name="ExcludeProtocols">
        <Array type="String">
            <Item>TLSv1.1</Item>
            <Item>TLSv1</Item>
            <Item>SSL</Item>
            <Item>SSLv2</Item>
            <Item>SSLv3</Item>
        </Array>
    </Set>
    <Set name="IncludeCipherSuites">
        <Array type="String">
            >
<Item>TLS_AESECDHE.*</Item>
            <Item>TLS_CHACHA20AES.*</Item>
            <Item>TLS_ECDHERSA.*</Item>
            <Item>TLS_EMPTY_RENEGOTIATION_INFO_SCSV</Item>
        </Array>
    </Set>
    <Set name="ExcludeCipherSuites">
        <Array type="String">
            <Item>.*NULL.*</Item>
            <Item>.*RC4.*</Item>
            <Item>^ <Item>.*_(MD5|SHA|SHA1)$<MD5.*</Item>
            <Item>.*DES.*</Item>
            <Item>.*DSS.*</Item>
            <Item>^TLS_DHE_.*$</Item>
            <Item>^TLS_RSA_.*$</Item>
        <Item>TLS_DHE.*</Item>
</Array>
    </Set>
</Configure>

上記ファイルを参照するように /opt/jetty-base/modules/idp-backchannel.mod に追記します。

パネル

borderColor	#cccccc
bgColor	#eeeeee
borderStyle	solid

（省略）
[xml]
etc/idp-backchannel.xml
etc/tweak-ssl.xml

5. httpd の設定

/etc/httpd/conf/httpd.conf の修正

...

情報

加えて、SSL 3.0プロトコルに対する攻撃が発見されておりますので、当該プロトコルを無効化することをお勧めします。
⇒SSLバージョン3の脆弱性について (CVE-2014-3566)

パネル
`SSLProtocol all -SSLv2 -SSLv3 -TLSv1 -TLSv1.1`

/etc/httpd/conf.d/virtualhost-localhost80.conf を以下の内容で作成してください。
これはShibboleth IdPが提供するreload-metadata.sh等のコマンドを使った操作を可能にするためのものです。

注意

すでに同一のvirtual hostを別のところで定義している場合は、そちらに含めてください。
また、すでに _default_:80 のVirtualHostが定義されている場合はその中の宣言が localhost:80 に適用されなくなりますので、
必要であればその宣言をこのファイルにも含めてください。

_default_:80 が定義されているファイルに下記ProxyPassを含める方法もありますが、外部からの通常のアクセスがセキュア
でない80番ポートに対しても行えることになりますので推奨しません。
（もちろん、ファイアウォール等で適切に対処されていれば問題ありません）

パネル

bgColor	#eeeeee

<VirtualHost localhost:80> ProxyPass /idp/ http://localhost:8080/idp/ connectiontimeout=5 timeout=15 </VirtualHost>

...

4. Shibbolethのインストール

各ファイル名等の指定は，Version 4に準拠しています。

...

http://shibboleth.net/downloads/identity-provider/latest/から最新のIdP（ shibboleth-identity-provider-4.?.?.tar.gz ）をダウンロードします。

情報
ダウンロードしたファイルの真正性を確かめるにはPGP署名（ダウンロードURLに".asc"を追加したもの）を確認してください。

...

shibboleth-identity-provider-4.?.?.tar.gz を適当なディレクトリに置いて、以下のコマンドを実行してください。

...

borderColor	#cccccc
bgColor	#eeeeee
borderStyle	solid

...

	#eeeeee

<VirtualHost localhost:80> ProxyPass /idp/ http://localhost:8080/idp/ connectiontimeout=5 timeout=15 </VirtualHost>

...

アンカー

	idpInst4
	idpInst4

4. Shibbolethのインストール

各ファイル名等の指定は，Version 5に準拠しています。

1. Shibboleth IdP パッケージのダウンロード

http://shibboleth.net/downloads/identity-provider/latest/から最新のIdP（

...

shibboleth-identity-provider-

...

5.?.?

...

.tar.gz）をwgetでダウンロードします。
shibboleth-identity-provider-5.?.?.tar.gz をマウスの右ボタンでクリックするとショートカットメニューが表示されますが、「リンクをコピー」メニューを選択すると、クリップボードにダウンロード元のURLが得られます。
このURLからwgetでパッケージをダウンロードします。

パネル

borderColor	#cccccc
bgColor	#eeeeee
borderStyle	solid

# wget https://shibboleth.net/downloads/identity-provider/latest/shibboleth-identity-provider-5.1.2.tar.gz

情報
ダウンロードしたファイルの真正性を確かめるにはPGP署名（ダウンロードURLに".asc"を追加したもの）を確認してください。

2. インストール

ダウンロードしたtar.gzファイルを展開し、bin/installコマンドを実行します。

パネル

borderColor	#cccccc
bgColor	#eeeeee
borderStyle	solid

# tar xzvf shibboleth-identity-provider-5.1.2.tar.gz
# cd shibboleth-identity-provider-5.1.2

↓下記2行を記載したファイル install.properties を作成する。
# cat > ../install.properties
idp.conf.credentials.filemode=640
idp.conf.credentials.group=jetty
CTRL+d ←CTRLキーを押しながらdキーを同時に押す

ここで作成したファイルは、bin/install.sh実行後、削除されるようです。
# sudo bin/install.sh --propertyFile ../install.properties

情報
install.shのコマンドラインオプションとして -D... の指定ができなくなりましたので、バージョン5では、../install.propertiesを上記のように作成してから実行してください。

install.shシェルスクリプトを実行すると、以下のような問い合わせがあります。
手順に従って、進めてください。

注意
インストール時に入力するパスワードを本運用で使う場合は、推測されにくいものを使用してください。 ※ここで入力した Cookie Encryption Key Password は、/opt/shibboleth-idp/credentials/secrets.propertiesに記載されます。　一方 Backchannel PKCS12 Password は記録されません。

パネル

borderColor	#cccccc
bgColor	#eeeeee
borderStyle	solid

Installation Directory: [/opt/shibboleth-idp] ?
[Enter]　←入力なし（デフォールト設定）
INFO - New Install. Version: 5.1.2

Buildfile: /root/shibboleth-identity-provider-4.0.1/bin/build.xml
install:
Source (Distribution) Directory (press <enter> to accept default): [/root/shibboleth-identity-provider-4.0.1] ?
[Enter]　←入力なし

Installation Directory: [/opt/shibboleth-idp] ?
[Enter]　←入力なし

INFO [net.shibboleth.idp.installer.V4Install:151] - New Install. Version: 4.0.1
Host Name: [upkishib-idp.nii.ac.jp] [Enter]　←入力なし ※表示されたホスト名が違う場合、設定してください。

INFO [net.shibboleth.idp.installer.V4Install:549] - Creating idp-signing, CN = upkishib-idp.nii.ac.jp URI = https://upkishib-idp.nii.ac.jp/idp/shibboleth, keySize=3072
INFO [net.shibboleth.idp.installer.V4Install:549] - Creating idp-encryption, CN = upkishib-idp.nii.ac.jp URI = https://upkishib-idp.nii.ac.jp/idp/shibboleth, keySize=3072

Backchannel PKCS12 Password: backpass[Enter]　←任意のパスワード Re-enter password: backpass[Enter]

INFO [net.shibboleth.idp.installer.V4Install:592] - Creating backchannel keystore, CN = upkishib-idp.nii.ac.jp URI = https://upkishib-idp.nii.ac.jp/idp/shibboleth, keySize=3072

Cookie Encryption Key Password: cookiepass[Enter]　←任意のパスワード
Re-enter password: cookiepass[Enter]

INFO [net.shibboleth.idp.installer.V4Install:633] - Creating backchannel keystore, CN = upkishib-idp.nii.ac.jp URI = https://Hostname: [upkishib-idp.nii.ac.jp/idp/shibboleth] ?
[Enter]　←入力なし ※表示されたホスト名が違う場合、設定してください。, keySize=3072
INFO [net.shibboleth.utilities.java.support.security.BasicKeystoreKeyStrategyTool:166] - No existing versioning property, initializing...　（省略）
SAML EntityID: [https://upkishib-idp.nii.ac.jp/idp/shibboleth] ?
[Enter]　←入力なし　←入力なし（デフォールト設定）

Attribute Scope: [nii.ac.jp]
[Enter]　←入力なし ※表示されたスコープが違う場合、設定してください。

（省略）

（省略）

BUILD SUCCESSFUL
Total time: 2 minutes 9 seconds

上記のような質問に答えながら、インストールを行います。

3. パーミッションの調整

”jetty”ユーザがログファイルを出力できるようディレクトリの所有者を変更します。

...

ヒント
IdPが実際に使用する証明書の秘密鍵はまだ配置されておりませんので、所有者・パーミッションは後の手順で設定します。

アンカー

	jakarta-taglibs-core.jar_jakarta-taglibs-standard.jar
	jakarta-taglibs-core.jar_jakarta-taglibs-standard.jar

4

...

.

...

ディレクトリインデックスの禁止

edit-webapp内にweb.xml を作成します。

パネル

borderColor	#cccccc
bgColor	#eeeeee
borderStyle	solid

# sudo mkdir /opt/shibboleth-idp/edit-webapp/WEB-INF# sudo cp -ip /opt/shibboleth-idp/dist/webapp/WEB-INF/web.xml /opt/shibboleth-idp/edit-webapp/WEB-INF/web.xml # sudo chmod u+w /opt/shibboleth-idp/edit-webapp/WEB-INF/web.xml

作成したweb.xml を以下の内容で修正します。
※既存の<servlet>の前に設定を追加します。<servlet>ブロックがない時は、最後（</web-app>の手前）に追加してください。

パネル

borderColor	#cccccc
bgColor	#eeeeee
borderStyle	solid

<filter-mapping>
<filter-name>SLF4JMDCServletFilter</filter-name>
<url-pattern>/*</url-pattern>
</filter-mapping>


<servlet>
<servlet-name>default</servlet-name>
     <servlet-class>org.eclipse.jetty.servlet.DefaultServlet</servlet-class>
       <init-param>
         <param-name>dirAllowed</param-name>
         <param-value>false</param-value>
       </init-param>
     <load-on-startup>0</load-on-startup>
</servlet>

<servlet>
<servlet-name>idp</servlet-name>

...

注意
※jetty起動に失敗したら設定修正後、/opt/jetty-base/tmp/下にファイルが残っていたら削除してから再度起動してください。 ※build.shしたら sudo systemctl restart jetty しないと反映されません。

...

アンカー

	idpInst5
	idpInst5

5. サービスの起動・停止方法

サービス	起動コマンド	停止コマンド	再起動コマンド
httpd	systemctl start httpd	systemctl stop httpd	systemctl restart httpd
jetty	systemctl start jetty	systemctl stop jetty	systemctl restart jetty

...

インストールが完了したら，サイト情報等の設定を行って下さい．

...

スペースショートカット

ページツリー

比較バージョン

古いバージョン 4

新しいバージョン現在

キー

貴学にてIdPv5をインストールする場合の構築手順

1. Shibboleth IdP (version 5以降) の動作要件

2. OSをインストールする

1. OSでの設定

2. DNSへ登録する

3. 時刻同期を設定する

3. java17(OpenJDK)、jetty11をインストールする

1. tomcatの削除

2. java17 のインストール

2. OSをインストールする

1. OSでの設定

2. DNSへ登録する

3. 時刻同期を設定する

3. jetty11 のインストール

3. jdk 11、jetty 9.4をインストールする

1. tomcatの削除

2. jdk のインストール

3. jetty 9.4 のインストール

4. jetty-baseの設定

5. httpd の設定

4. Shibbolethのインストール

4. Shibbolethのインストール

1. Shibboleth IdP パッケージのダウンロード

2. インストール

3. パーミッションの調整

4

.

ディレクトリインデックスの禁止

5. サービスの起動・停止方法

インストールが完了したら，サイト情報等の設定を行って下さい．

スペース ショートカット

ページ ツリー

ページ履歴

比較バージョン

古いバージョン 4

新しいバージョン 現在

キー

貴学にてIdPv5をインストールする場合の構築手順

1. Shibboleth IdP (version 5以降) の動作要件

2. OSをインストールする

1. OSでの設定

2. DNSへ登録する

3. 時刻同期を設定する

3. java17(OpenJDK)、jetty11をインストールする

1. tomcatの削除

2. java17 のインストール

2. OSをインストールする

1. OSでの設定

2. DNSへ登録する

3. 時刻同期を設定する

3. jetty11 のインストール

3. jdk 11、jetty 9.4をインストールする

1. tomcatの削除

2. jdk のインストール

3. jetty 9.4 のインストール

4. jetty-baseの設定

5. httpd の設定

4. Shibbolethのインストール

4. Shibbolethのインストール

1. Shibboleth IdP パッケージのダウンロード

2. インストール

3. パーミッションの調整

4

.

ディレクトリインデックスの禁止

5. サービスの起動・停止方法

インストールが完了したら，サイト情報等の設定を行って下さい．

スペースショートカット

ページツリー

新しいバージョン現在