GakuNinShibInstall

スペース ショートカット

ページ ツリー

比較バージョン

古いバージョン 43

changes.mady.by.user Yoshiaki Kawano

保存しました

次と比較

新しいバージョン 現在

changes.mady.by.user Takeshi Nishimura

保存しました

キー

  • この行は追加されました。
  • この行は削除されました。
  • 書式設定が変更されました。

...

本メニューでは、IdP・SPを学認申請システム（テストFed）を使用して、実際にテストフェデレーションへ登録します。
テストフェデレーションに関して、詳しくは「テストフェデレーションルール」を参照してください。

 


...

2. 実習セミナーでは

以下のような設定で行います。
手順書と照らし合わせながら、作業を進めてください。

...

パネル
borderColor#cccccc
bgColor#eeeeee
borderStylesolid
例）1番を割り振られた場合
　ex-idp-test01.gakunin.nii.ac.jp

・申請(IdP)証明書

パネル
borderColor#cccccc
bgColor#eeeeee
borderStylesolid
# cat /opt/shibboleth-idp/credentials/server.crt

・申請(SP)証明書

パネル
borderColor#cccccc
bgColor#eeeeee
borderStylesolid
# cat /etc/shibboleth/cert/server.crt

・DSからのリターンURL

パネル
borderColor#cccccc
bgColor#eeeeee
borderStylesolid
https://ex-sp-testXX.gakunin.nii.ac.jp/Shibboleth.sso/DS

・連絡先

パネル
borderColor#cccccc
bgColor#eeeeee
borderStylesolid
ここに限りませんがメタデータとして公開されますので、個人メールアドレス等公開して問題のある情報を入力することは避けてください。身の回りに公開メールアドレス等適当なものがなければ、ご相談ください。

・その他の項目について

パネル
borderColor#cccccc
bgColor#eeeeee
borderStylesolid
各自の名前、所属機関などを設定してください。

...


...
3.手順書
以下の手順書を参照し、作業を行います。
...
・構築SPとテストフェデレーションテスト用IdPの間での接続テスト
 ①  構築したSPのshibboleth2 構築したSPの/etc/shibboleth/shibboleth2.xmlにて、DSをテストフェデレーションのものに変更します。
 パネル
borderColor#cccccc
bgColor#eeeeee
borderStylesolid
<Sessions lifetime="28800" timeout="3600" relayState="ss:mem"
          checkAddress="false" handlerSSL="false" cookieProps="http"
　　　　　　redirectLimit="exact">
（省略）
    <!-- Session diagnostic service. -->
    <Handler type="Session" Location="/Session" showAttributeValues="false"/>

    <  <!-- JSON feed of discovery information. -->
     <Handler   <Handler type="DiscoveryFeed" Location="/DiscoFeed"/>

     <SessionInitiator   <SessionInitiator type="Chaining" Location="/DS" isDefault="true" id="DS">
        <SessionInitiator type="SAML2" template="bindingTemplate.html"/>
         <SessionInitiator   <SessionInitiator type="Shib1"/>
         <!--
        <SessionInitiator type="SAMLDS" URL="https://ex-ds.gakunin.nii.ac.jp/WAYF"/ >
        -->
        <SessionInitiator   <SessionInitiator type="SAMLDS" URL="https://test-ds.gakunin.nii.ac.jp/WAYF" />
     <  </SessionInitiator>

</Sessions>
② テストフェデレーションメタデータ検証用の証明書を
https://metadata.gakunin.nii.ac.jp/gakunin-test-signer-20112020.cer からダウンロードします。
 パネル
borderColor#cccccc
bgColor#eeeeee
borderStylesolid
cd 
 
 /etc/shibboleth/cert 


 wget 
 
 https://metadata.gakunin.nii.ac.jp/gakunin-test-signer-
2011
2020.cer

③ shibboleth2.xmlのメタデータダウンロード元と証明書を変更します。 
 パネル
borderColor#cccccc
bgColor#eeeeee
borderStylesolid
<!--
Allows overriding of error template information/filenames. You can
also add your own attributes with values that can be plugged into the
templates, e.g., helpLocation below.
-->
<Errors supportContact="root@localhost"
    helpLocation="/about.html"
    styleSheet="/shibboleth-sp/main.css"/>
（省略）
<!-- Example of remotely supplied batch of signed metadata. -->
<!-- --> 
<!--

<MetadataProvider type="XML" validate="true"
      uri      url="https://ex-ds.gakunin.nii.ac.jp/fed/ex-fed-metadata.xml"
-->
<MetadataProvider type="XML" validate="true"
      uri="https://metadata.gakunin.nii.ac.jp/gakunin-test-metadata.xml"
      backingFilePath      backingFilePath="federation-metadata.xml" reloadInterval="7200">
    <MetadataFilter type="RequireValidUntil" maxValidityInterval="1296000"/>
    <!--
    <MetadataFilter type="Signature" certificate="/etc/shibboleth/cert/ex-fed.crt"/>
    -->
    <MetadataFilter type="Signature" certificate="/etc/shibboleth/cert/gakunin-test-signer-20112020.cer" verifyBackup="false"/>
    <DiscoveryFilter     <DiscoveryFilter type="Blacklist" matcher="EntityAttributes" trimTags="true"
      attributeName      attributeName="http://macedir.org/entity-category"
      attributeNameFormat      attributeNameFormat="urn:oasis:names:tc:SAML:2.0:attrname-format:uri"
      attributeValue      attributeValue="http://refeds.org/category/hide-from-discovery" />
    <TransportOption     <TransportOption provider="CURL" option="64">1</TransportOption>
    <TransportOption     <TransportOption provider="CURL" option="81">2</TransportOption>
    <TransportOption     <TransportOption provider="CURL" option="10065">/etc/pki/tls/certs/ca-bundle.crt</TransportOption>
</MetadataProvider>
<!-- -->

<!-- Example of  locally maintained remotely supplied "on-demand" signed metadata. -->
<!--
<MetadataProvider type="XMLMDQ" validate="true"  filecacheDirectory="partner-metadata.xml"/>
-->mdq"
④ shibdおよびhttpdを再起動します。
 パネル
borderColor#cccccc
bgColor#eeeeee
borderStylesolid
systemctl 
 
 restart 
 
 httpd 


 systemctl 
 
 restart 
 
 shibd

⑤ テストフェデレーションDSから接続テスト用IdPを選択します。
・各自構築したSPにアクセスします。
 パネル
borderColor#cccccc
bgColor#eeeeee
borderStylesolid
例）1番を割り振られた場合
  https://ex-sp-test01.gakunin.nii.ac.jp/
 ・ログインボタンをクリックします。
 ・テストフェデレーションDSが表示されるので、所属している機関リストから関東カテゴリの「GakuNin ・テストフェデレーションDSが表示されるので、所属している機関リストから関東カテゴリの「GakuNin テスト IdP」
　(英語表示の場合はKantoカテゴリの「GakuNin Test IdP」)を選択します。
 ・ログイン画面が表示されるので、ユーザtest001、パスワードtest001を入力して認証を行います。・ログイン画面が表示されるので、ユーザtest001、パスワードtest001を入力して認証を行います。
 ・正しく属性受信の確認ページが表示されます。
　(IdPエンティティIDが”https://test-idp1.gakunin.nii.ac.jp/idp/shibboleth”となっていることを確認してください) 
...
① 構築IdPにて、テストフェデレーションメタデータ検証用の証明書を
 https://metadata.gakunin.nii.ac.jp/gakunin-test-signer-20112020.cer からダウンロードします。
 パネル
borderColor#cccccc
bgColor#eeeeee
borderStylesolid
cd 
 
 /opt/shibboleth-idp/credentials 


 wget 
 
 https://metadata.gakunin.nii.ac.jp/gakunin-test-signer-
2011
2020.cer

② /opt/shibboleth-idp/conf/metadata-providers.xmlのメタデータ自動ダウンロード設定を変更します。 
 パネル
borderColor#cccccc
bgColor#eeeeee
borderStylesolid
<!-- ========================================================================================== -->?xml version="1.0" encoding="UTF-8"?>
<MetadataProvider id="ShibbolethMetadata" xsi:type="ChainingMetadataProvider"
（省略）
<!--

<!--                             Metadata Configuration                                         -->
<!--                                                                                            -->
<!--  Below you place the mechanisms which define how to load the metadata for the SP you will  -->
<!--  provide a service to.                                                                     -->
<!--                                                                                            -->
<!--  Two examples are provided.  The Shibboleth Documentation at                               -->
<!--  https://wiki.shibboleth.net/confluence/display/IDP30/MetadataConfiguration                -->
<!--  provides more details.                                                                    -->
<!--                                                                                            -->
<!--  NOTE.  This file SHOULD NOT contain the metadata for this IdP.                            -->
<!--                                                                                            -->
<!-- ========================================================================================== -->
<!--
Example HTTP metadata provider.  Use this if you want to download the metadata
from a remote source.
（省略）
<!-- -->
<!--
<MetadataProvider id="HTTPMetadata"
                  xsi                  xsi:type="FileBackedHTTPMetadataProvider"
                  backingFile                  backingFile="%{idp.home}/metadata/gakunin-metadata-backing.xml"
                  metadataURL                  metadataURL="https://ex-ds.gakunin.nii.ac.jp/fed/ex-fed-metadata.xml">
-->
<MetadataProvider id="HTTPMetadata"
                  xsi:type="FileBackedHTTPMetadataProvider"
                  backingFile="%{idp.home}/metadata/gakunin-metadata-backing.xml"
                  metadataURL="https://metadata.gakunin.nii.ac.jp/gakunin-test-metadata.xml">
<!--
       <MetadataFilter xsi:type="SignatureValidation" requireSignedRoot="true" 
                     certificateFile="%{idp.home}/credentials/ex-fed.crt">
-->
    <MetadataFilter xsi:type="SignatureValidation" requireSignedRoot="true"
                    certificateFile="%{idp.home}/credentials/gakunin-test-signer-20112020.cer" >
<!--
          <PublicKey>
              MIIBI.....
          < /PublicKey>
--> 
    </MetadataFilter>
    <MetadataFilter    <MetadataFilter xsi:type="RequiredValidUntil" maxValidityInterval="P15D"/>
    <MetadataFilter     <MetadataFilter xsi:type="EntityRoleWhiteList">
        <RetainedRole>md        <RetainedRole>md:SPSSODescriptor</RetainedRole>
    <    </MetadataFilter>
</MetadataProvider>
<!-- -->

③ tomcatを再起動します。jettyを再起動します。 
 パネル
borderColor#cccccc
bgColor#eeeeee
borderStylesolid
systemctl restart tomcatjetty

④ テストフェデレーションの接続テスト用SP https://test-sp1.gakunin.nii.ac.jp にアクセスします。
・ログインボタンをクリックします。
・テストフェデレーションDSの所属している機関から各自の構築したIdP名称があるかどうかを確認し、選択をします。
・テストフェデレーションDSの所属している機関から「各自の構築したIdP名称」があるかどうかを確認し、選択をします。
　（※ここで選択するIdPは GakuNin テスト IdPではありません）
・IdPのログイン画面が表示されるので、ユーザtest001、パスワードtest001を入力して認証を行います。・IdPのログイン画面が表示されるので、ユーザtest001、パスワードtest001を入力して認証を行います。
・正しく属性受信の確認ページが表示されることを確認してください。（本確認についてのみ、属性が全て"NOT RECEIVED"になっていても問題ありません。そうなっていることを確認した上で次の確認に進んでください。）
...
 パネル
borderColor#cccccc
bgColor#eeeeee
borderStylesolid
例）1番を割り振られた場合
  https://ex-sp-test01.gakunin.nii.ac.jp/
② ログインボタンをクリックします。
③ テストフェデレーションDSの所属している機関から各自の構築したIdPを選択します。テストフェデレーションDSの所属している機関から「各自の構築したIdP名称」を選択します。
④  IdPのログイン画面が表示されるので、ユーザtest001、パスワードtest001を入力して認証を行います。 IdPのログイン画面が表示されるので、ユーザtest001、パスワードtest001を入力して認証を行います。
⑤ 正しく属性受信の確認ページが表示されることを確認してください。
...