...

旧：貴学にてIdPをインストールする場合の構築手順

貴学にて、貴学のサーバにOSからshibboleth貴学にて、貴学のサーバにOSからShibboleth(IdP)までインストール・設定を行い、構築する方式です。

...

...

...

1. Shibboleth IdP (version 2.

...

3以降) の動作要件

以下は本技術ガイドで構築する前提となる環境です。

• Apache HTTP Server 2.2 以上　と mod_ssl

以下のパッケージはインストール方法も含めて以降の手順で説明します。

• Apache Tomcat 6.0.17以上

...

• • Tomcat 7およびそれ以降でSOAP接続を行う場合は、tomcat6-dta-ssl-x.x.x.jar を使うのではなく
    https://wiki.shibboleth.net/confluence/display/IDP30/ApacheTomcat8#ApacheTomcat8-SupportingSOAPEndpoints
    でIdPv3向けに用意されております trustany-ssl-x.x.x.jar をお使いください。
• Java 6 or 7
  
  • Java 7を使用する場合は、IdPバージョン2.4.0以降を使用してください。2.3.xにはJava 7上でのみ特定条件で発生するバグがあります。
  • Java 8 は IdP v2 では公式にはサポートされません。IdP v3 でサポート予定です。
    IdP v2をJava 8上で使うと Script Attribute Definition で不具合があることが確認されています。
    詳細: Shibboleth Wiki: IdPJava1.8
  • CentOSに付属する GNU Javaは利用できません。 OracleのJavaもしくはOpenJDKを利用してください。

...

他の環境および最新の情報はShibbolethのサイトでご確認ください:
全体, Jetty 7, Apache Tomcat, JBoss Tomcat

...

2. OSをインストールする

1. OSでの設定

・OS（CentOS

...

6）インストール

インストーラでインストールするもの。

Webサーバー (HTTPのみ)

...

OpenLDAP

その他のパッケージは必要に応じてインストールしてください。
ただし、Java開発とTomcat は後の手順で別にインストールします。

運用フェデレーション参加後に、ホスト名を変更する場合はいくつか考慮・解決すべき点があります。ホスト名は十分ご検討いただいた上で設定してください。詳しくは IdPのホスト名変更に関する注意点 をご参照ください。
※このテキストはSELinuxは無効化されているものとして書かれております。下記コマンドでSELinux設定を確認してください。

$ /usr/sbin/getenforce

・ネットワーク設定

 環境に合わせ、ホスト名・ネットワーク・セキュリティを設定して下さい。

...

2. DNSへ登録する

　新しいホスト名とIPアドレスをDNSに登録してください。

3. 時刻同期を設定する

　ntpサービスを用い、貴学環境のntpサーバと時刻同期をしてください。

 ※Shibbolethでは、通信するサーバ間の時刻のずれが約５分を越えるとエラーになります。

...

3. jdk6、tomcat6をインストールする（★）

1. 古いtomcatの削除

tomcat5-5.5.25以前のバージョンが入っている場合は、削除してください。

2. jdk

...

・jdk6のパッケージは、「/root/PKG」配下にあります。
　以下のコマンドで移動してから、以降の手順を実施してください。
　# cd /root/PKG
　※シンクライアント環境は32bitなので、パッケージ名の "x64" を"i586" に置き換えてください。

...

のインストール（★）

CentOS 6にはOpenJDKのパッケージが用意されていますので、これをyumにてインストールします。

# yum install java-1.7.0-openjdk

...

# rpm -ivh jdk-7u??-linux-x64

...

.rpm

...

# chmod a+x jdk-6u??-linux-x64-rpm.bin
# ./jdk-6u??-linux-x64-rpm.bin

3. tomcat 6のインストール（★）

...

・tomcat6のパッケージは、「/root/PKG」配下にあります。
　以下のコマンドで移動してから、以降の手順を実施してください。
　# cd /root/PKG

...

CentOS 6の場合、標準パッケージでTomcat 6が用意されていますので、これをyumにてインストールします。

パネル
borderColor #cccccc bgColor #eeeeee borderStyle solid
# yum install tomcat6

展開
title Apache Software Foundationが配布するTomcatパッケージをインストールする場合
http://tomcat.apache.org/download-60.cgi

...

よりダウンロードした apache-tomcat-6.?.??.tar.

...

gz を/usr/javaにを置いて、以下のコマンドを実行してください（?は用意されているtomcatのリビジョン番号にあわせて記述して下さい）。

...

パネル borderColor #cccccc bgColor #eeeeee borderStyle solid # tar zxv -C /usr/java -f apache-tomcat-6.?.??.tar.gz # ln -s /usr/java/apache-tomcat-6.?.?? /usr/java/tomcat

...

自動起動スクリプトを利用すると便利です。ZIPを解凍後にtomcat6起動スクリプトファイルをコピーします。

...

title	実習セミナー

...

情報 展開 title 学認提供自動起動スクリプト更新情報（2013年9月26日） 主な変更点は以下の通りです。 一部環境でOS停止時にTomcat停止処理が実行されなかったのを修正 一部環境で日本語表示が?になるのを修正 Tomcat停止待ちに上限を設定(1分) /etc/init.d/tomcat6 を更新する場合はTomcat停止後に行なうのがお勧めです。そうでないとPIDファイル等に不整合が生じます。 Oracle(Sun) JVM / OpenJDK 以外をご使用の方は適宜オプションを調整してください。 パネル borderColor #cccccc bgColor #eeeeee borderStyle solid # unzip tomcat6

...

.zip # chmod a+x tomcat6 # cp tomcat6 /etc/rc.d/init.d/

 自動起動の設定 (このオプション指定では マイナス ‘－’ が２つ必要です)

パネル
borderColor #cccccc bgColor #eeeeee borderStyle solid
# chkconfig --add tomcat6 # chkconfig --level 345 tomcat6 on # service tomcat6 start

 

4. profileの修正（★）

/etc/

...

profileを下記のように修正します。

...

どこでもよいのですが、下記の例では「# /etc/

...

profile」の下（ファイルの2行目）に挿入しています。

...

...

...

...

...

...

...

...

...

...

...

...

追加した環境変数を読み込みます。

5. tomcat6.confの修正（★）

  $CATALINA_BASE/conf/tomcat6.conf を下記のように修正します。

...

...

source /etc/profile

6

※この時点で、tomcatが正常に起動しているか確認します。
以下のアドレスにアクセスし、正常にtomcatのデフォルト画面が表示されるか確認します。
アクセス先のホスト名は、構築中IdPサーバのホスト名に変更してください。
http://example-idp.nii.ac.jp:8080

...

.  httpd の設定（★）

...

...

...

 /etc/httpd/conf/httpd.conf の修正

（省略）
ServerName example-idp.nii.ac.jp:80　←ホスト名
（省略）

 /etc/httpd/conf.d/ssl.conf の修正

（省略） 
<VirtualHost _default_:443>
（省略）
ServerName example-idp.nii.ac.jp:443　←ホスト名
ProxyPass /idp/ ajp://localhost:8009/idp/    ←追加
（省略）

...

7. server.xmlの修正（★）

$CATALINA_BASE/conf/server.

...

xmlを下記のように修正します。
他の用途で使用する予定がなければConnector port="8080"をコメントアウトしてください。

<!--
    <Connector port="8080" protocol="HTTP/1.1"
               connectionTimeout="20000"
               redirectPort="8443" />
-->

 Connector port="8009"に以下のように追加してください。

...

...

...

...

...

...

...

...

...

...

...

...

4. Shibbolethのインストール（★）

各ファイル名等の指定は，Version 2.

...

4.

...

0に準拠しています。

1. shibboleth-IdP のダウンロード

http://www.shibboleth.net/downloads/identity-provider/latest/から最新版のIdP
（shibboleth-identityprovider-2.?.?-bin.zip ）をダウンロードします。

 2.

...

インストール（★）

...

ヒント
title 実習セミナー

...

・shibboleth-IdPのパッケージは、「/root/PKG」配下にあります。

...

以下のコマンドで移動して、以降の手順を実施してください。

...

#

...

cd

...

/root/PKG

 shibboleth-idp-2.?.?-bin.zip  を適当なディレクトリに置いて、以下のコマンドを実行してください。

 

パネル
borderColor #cccccc bgColor #eeeeee borderStyle solid
# unzip shibboleth-identityprovider-2.?.?-bin.zip # cd shibboleth-identityprovider-2.?.? #

...

...

.

...

/install.sh

 install.

...

shシェルスクリプトを実行すると、以下のような問い合わせがあります。
手順に従って、進めてください。

ヒント
title 実習セミナー

...

・インストール時に設定するホスト名は、各自IdPサーバのホスト名を設定してください。

...

例）1番を割り振られた場合

...

ex-idp-test01.

...

gakunin.nii.ac.jp

パネル
borderColor #cccccc bgColor #eeeeee borderStyle solid
Buildfile:

...

src/installer/resources/build.xml

...

install:

...

!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!

...

Be

...

sure

...

you

...

have

...

read

...

the

...

installation/upgrade

...

instructions

...

on

...

the

...

Shibboleth

...

website

...

before

...

proceeding.

...

!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!

...

Where

...

should

...

the

...

Shibboleth

...

Identity

...

Provider

...

software

...

be

...

installed?

...

[/opt/shibboleth-idp]

...

[Enter]　←入力なし

...

What

...

is

...

the

...

fully

...

qualified

...

hostname

...

of

...

the

...

Shibboleth

...

Identity

...

Provider

...

server?

...

[idp.example.org]

...

upkishib-idp.nii.ac.jp[Enter]　←ホスト名

...

A

...

keystore

...

is

...

about

...

to

...

be

...

generated

...

for

...

you.

...

Please

...

enter

...

a

...

password

...

that

...

will

...

be

...

used

...

to

...

protect

...

it.

...

keystore[Enter]

...

←任意のパスワード Updating

...

property

...

file:

...

/root/PKG/shibboleth-identityprovider-2.

...

4.

...

0/src/installer/resources/install.properties

...

（省略）

...

BUILD

...

SUCCESSFUL

...

Total

...

time:

...

54

...

seconds

 上記のような質問に答えながら、インストールを行います。
※途中で入力するパスワードはデフォルトで作成されるキーストアファイル(credentials/idp.jks)のパスワードとなります。このテキストでは使用しません。

3.

...

（★）

・下記「※」に記載されているように、edubaseCloud環境では2.3.4以降となるので、
　該当ファイルが同封されていません。
　「shibboleth-jce-1.1.0.jar」は、「/root/PKG」配下にありますので、以下の
　コマンドでコピーしてください。
　# cp /root/PKG/shibboleth-jce-1.1.0.jar $JAVA_HOME/jre/lib/ext

 shibboleth-identityprovider-2.?.?-bin.zip を展開した shibboleth-identityprovider-2.?.?/lib/ にある
 shibboleth-jce-1.1.0.jar を $JAVA_HOME/jre/lib/ext にコピーします。

# cp lib/shibboleth-jce-1.1.0.jar $JAVA_HOME/jre/lib/ext

※ 2.3.4以降には当該ファイルが同梱されていません。⇒情報交換ML:00414, 情報交換ML:00513

さらに、  $JAVA_HOME/jre/lib/security/java.security ファイルに以下を追加します。

#
# List of providers and their preference orders (see above):
#
security.provider.1=sun.security.provider.Sun
（省略）
security.provider.7=org.jcp.xml.dsig.internal.dom.XMLDSigRI
security.provider.8=sun.security.smartcardio.SunPCSC
security.provider.9=edu.internet2.middleware.shibboleth.DelegateToApplicationProvider 　↑行を追加

番号:9 は、既に記載されている番号に合わせて順番にして下さい。
（9が既に記載されている場合は、10に修正して行を追加）

4. Tomcatの設定（★）

...

SOAP通信用モジュール配置

（以前ここに記述されていた手順は、後の サーバ証明書の設定(IdP) の ２．ライブラリのコピー に移動しました。この段階でやるべきことはありません。）

4. Tomcatの設定（★）

/opt/shibboleth-idp/lib/endorsed/ にある5つの jarファイルを $CATALINA_HOME/endorsed ディレクトリを作成してそこへコピーします。

# mkdir $CATALINA_HOME/endorsed
# cp /opt/shibboleth-idp/lib/endorsed/*.jar $CATALINA_HOME/endorsed

...

以下はIdP 2.

...

4.

...

0の場合のファイル名例

serializer-2.10.0.jar
xalan-2.7.1.jar
xercesImpl-2.10.0.jar
xml-apis-2.10.0.jar
xml-resolver-1.2.jar

...

export CATALINA_OPTS="-Djava.endorsed.dirs=${CATALINA_HOME}/endorsed"

・以下の作業は実習セミナーでは行う必要はありません。（root権限で動作します）

 Tomcatを”tomcat”ユーザで実行する場合は、ログファイルを出力できるようディレクトリの所有者を変更します。

CentOS 6のtomcatパッケージではTomcatを”tomcat”ユーザで実行するため、ログファイルを出力できるようディレクトリの所有者を変更します。
同様に、メタデータの保存ディレクトリの所有者も変更します。

# chown -R tomcat: /opt/shibboleth-idp/logs

 同様に、メタデータの保存ディレクトリの所有者も変更します。

...

# chown -R tomcat: /opt/shibboleth-idp/metadata

5. idp.war の配置（★）

/opt/shibboleth-idp/war/idp.war

...

ファイルを、${CATALINA_

...

BASE}/webapps ディレクトリにコピーします。

# cp /opt/shibboleth-idp/war/idp.war ${CATALINA_

...

BASE}/webapps/

 httpdとTomcatを再起動します。

# service tomcat6 stop
# service httpd restart
# service tomcat6 start

...

Tomcatの起動後、${CATALINA_BASE}/logs/catalina.out にエラーが出力されていない事を確認してください。

※catalina.outにTomcat終了時（再起動時）のタイミングで以下のようなエラーが表示されることがありますが問題ありませんので無視してください。

致命的: A web application appears to have started a TimerThread named [Timer-0] via the java.util.Timer API but has failed to stop it. To prevent a memory leak, the timer (and hence the associated thread) has been forcibly cancelled.

致命的: A web application created a ThreadLocal with key of type [null] (value [ch.qos.logback.core.UnsynchronizedAppenderBase$1@XXXXXXXX]) and a value of type [java.lang.Boolean] (value [false]) but failed to remove it when the web application was stopped. To prevent a memory leak, the ThreadLocal has been forcibly removed.

...

(関連するバグレポート)

...

5. サービスの起動・停止方法

httpd の起動方法

service httpd start

tomcat の起動方法

service tomcat6 start 
sh /usr/java/tomcat/bin/startup.sh (起動スクリプトを利用しない場合)

httpd の停止方法

service httpd stop

tomcat の停止方法

service tomcat6 stop

sh /usr/java/tomcat/bin/shutdown.sh (起動スクリプトを利用しない場合)

...

インストールが完了したら，サイト情報等の設定を行って下さい．

...