旧：貴学にてIdPをインストールする場合の構築手順

貴学にて、貴学のサーバにOSからShibboleth(IdP)までインストール・設定を行い、構築する方式です。

警告

本ページおよび後続のページの内容は古いものです。Shibboleth IdPの最新版は3.2.1であり、バージョン2系のサポートは2016年7月に終了しました。特に新規構築の場合は3.2.1以降を使用することを推奨します。

Shibboleth IdPバージョン3(IdPv3)の情報については、設定・運用・カスタマイズのアップデート手順の3.0.0の項に情報を掲載しております。

IdPv3のインストール手順については以下のページをご参照ください。
⇒貴学にてIdPv3をインストールする場合の構築手順

maxLevel	2
minLevel	2
style	none

...

アンカー

	idpInst1
	idpInst1

1. Shibboleth IdP (version 2.3以降) の動作要件

以下は本技術ガイドで構築する前提となる環境です。

Apache HTTP Server 2.2 以上　と mod_ssl

以下のパッケージはインストール方法も含めて以降の手順で説明します。

Apache Tomcat 6.0.17以上（かつ7未満。Tomcat 7ではSOAP接続がサポートされません）
- Tomcat 7およびそれ以降でSOAP接続を行う場合は、tomcat6-dta-ssl-x.x.x.jar を使うのではなく
  https://wiki.shibboleth.net/confluence/display/IDP30/ApacheTomcat8#ApacheTomcat8-SupportingSOAPEndpoints
  でIdPv3向けに用意されております trustany-ssl-x.x.x.jar をお使いください。
Java 6 以上or 7
- Java 7を使用する場合は、IdPバージョン2.4.0以降を使用してください。2.3.xにはJava 7上でのみ特定条件で発生するバグがあります。
- Java 8 は IdP v2 では公式にはサポートされません。IdP v3 でサポート予定です。
  IdP v2をJava 8上で使うと Script Attribute Definition で不具合があることが確認されています。
  詳細: Shibboleth Wiki: IdPJava1.8
- CentOSに付属する GNU Javaは利用できません。 OracleのJavaもしくはOpenJDKを利用してください。

他の環境および最新の情報はShibbolethのサイトでご確認ください:
全体, Jetty 7, Apache Tomcat, JBoss Tomcat

...

アンカー

	idpInst2
	idpInst2

2. OSをインストールする

1. OSでの設定

・OS（CentOS 6）インストール

インストーラでインストールするもの。

...

その他のパッケージは必要に応じてインストールしてください。
ただし、Java開発とTomcat は後の手順で別にインストールします。

運用フェデレーション参加後に、ホスト名を変更する場合はいくつか考慮・解決すべき点があります。ホスト名は十分ご検討いただいた上で設定してください。詳しくは IdPのホスト名変更に関する注意点をご参照ください。
※このテキストはSELinuxは無効化されているものとして書かれております。下記コマンドでSELinux設定を確認してください。

...

環境に合わせ、ホスト名・ネットワーク・セキュリティを設定して下さい。

2. DNSへ登録する

　新しいホスト名とIPアドレスをDNSに登録してください。

3. 時刻同期を設定する

　ntpサービスを用い、貴学環境のntpサーバと時刻同期をしてください。

※Shibbolethでは、通信するサーバ間の時刻のずれが約５分を越えるとエラーになります。

...

アンカー

	idpInst3
	idpInst3

3. jdk6、tomcat6をインストールする（★）

1. 古いtomcatの削除

tomcat5-5.5.25以前のバージョンが入っている場合は、削除してください。

2. jdk のインストール（★）

OpenJDKをyumにてインストールします。CentOS 6にはOpenJDKのパッケージが用意されていますので、これをyumにてインストールします。

パネル

borderColor	#cccccc
bgColor	#eeeeee
borderStyle	solid

# yum install java-1.7.0-openjdk

展開

title	OracleのJavaを使用する場合

http://java.sun.com/javase/downloads/index.jspよりダウンロードしたパッケージを適当なフォルダに置いて、以下のコマンドを実行してください（にあります"Java SE 7u??"の項にある"JDK"の項より構築環境に合わせてダウンロードしたパッケージを適当なフォルダに置いて、以下のコマンドを実行してください（??は用意されているjdkのリビジョン番号にあわせて記述して下さい）。

展開

title	jdk7の場合

パネル

borderColor	#cccccc
bgColor	#eeeeee
borderStyle	solid

# rpm -ivh jdk-7u??-linux-x64.rpm

展開

title	jdk6の場合

パネル

borderColor	#cccccc
bgColor	#eeeeee
borderStyle	solid

# chmod a+x jdk-6u??-linux-x64-rpm.bin
# ./jdk-6u??-linux-x64-rpm.bin

3. tomcat 6のインストール（★）

CentOS6の場合、標準パッケージでTomcat6が準備されているのでyumにてインストールします。CentOS 6の場合、標準パッケージでTomcat 6が用意されていますので、これをyumにてインストールします。

パネル

borderColor	#cccccc
bgColor	#eeeeee
borderStyle	solid

# yum install tomcat6

展開

title	apache-tomcatのパッケージよりインストールする場合Apache Software Foundationが配布するTomcatパッケージをインストールする場合

http://tomcat.apache.org/download-60.cgi　よりダウンロードしたapache よりダウンロードした apache-tomcat-6.?.??.tar.gzをgz を/usr/javaにを置いて、以下のコマンドを実行してください（?は用意されているtomcatのリビジョン番号にあわせて記述して下さい）。

パネル

borderColor	#cccccc
bgColor	#eeeeee
borderStyle	solid

# tar zxv -C /usr/java -f apache-tomcat-6.?.??.tar.gz
# ln -s /usr/java/apache-tomcat-6.?.?? /usr/java/tomcat

自動起動スクリプトを利用すると便利です。ZIPを解凍後にtomcat6起動スクリプトファイルをコピーします。

情報

展開

title	学認提供自動起動スクリプト更新情報（2013年9月26日）

主な変更点は以下の通りです。

一部環境でOS停止時にTomcat停止処理が実行されなかったのを修正
一部環境で日本語表示が?になるのを修正
Tomcat停止待ちに上限を設定(1分)

/etc/init.d/tomcat6 を更新する場合はTomcat停止後に行なうのがお勧めです。そうでないとPIDファイル等に不整合が生じます。

Oracle(Sun) JVM / OpenJDK 以外をご使用の方は適宜オプションを調整してください。

パネル

borderColor	#cccccc
bgColor	#eeeeee
borderStyle	solid

# unzip tomcat6.zip
# chmod a+x tomcat6
# cp tomcat6 /etc/rc.d/init.d/

...

パネル

borderColor	#cccccc
bgColor	#eeeeee
borderStyle	solid

# chkconfig --add tomcat6
# chkconfig --level 345 tomcat6 on
# service tomcat6 start

4. tomcat6.confの修正（★）

...

注意
`下記のJAVA_HOMEは、OpneJDKを使ったパスとなります。環境に合わせて変更してください。またapache-tomcatのパッケージよりインストールした場合は、本手順が必要ありません。`

パネル

borderColor	#cccccc
bgColor	#eeeeee
borderStyle	solid

# Where your java installation lives
#JAVA_HOME="/usr/lib/jvm/java-1.5.0"
JAVA_HOME="/usr/lib/jvm/jre"

# Where your tomcat installation lives
CATALINA_BASE="/usr/share/tomcat6"
CATALINA_HOME="/usr/share/tomcat6"
JASPER_HOME="/usr/share/tomcat6"
CATALINA_TMPDIR="/var/cache/tomcat6/temp"
JAVA_ENDORSED_DIRS="${CATALINA_HOME}/endorsed"

...

4. profileの修正（★）

/etc/profileを下記のように修正します。
どこでもよいのですが、下記の例では「# /etc/profile」の下（ファイルの2行目）に挿入しています。

注意
下記のJAVA_HOMEは、OpneJDKを使ったパスとなります。HOMEは、OpenJDKを使ったパスとなります。また、CATALINA_HOMEは、yumでTomcat6をインストールした場合のパスとなります。HOMEおよびCATALINA_BASEは、yumでtomcat6をインストールした場合のパスとなります。環境に合わせて変更してください。

パネル
`# /etc/profileJAVA_HOME=/usr/lib/jvm/jre` `MANPATH=$MANPATH:$JAVA_HOME/man` `CATALINA_HOME=/usr/share/tomcat6` `CATALINA_BASE=$CATALINA_HOME` `PATH=$JAVA_HOME/bin:$CATALINA_HOMEBASE/bin:$CATALINA_HOME/bin:$PATH` `export PATH JAVA_HOME CATALINA_HOME CATALINA_BASE` `# System wide environment and startup programs, for login setup`

追加した環境変数を読み込みます。

パネル
`# source /etc/profile`

...

5. tomcat6.confの修正（★）

注意
Shibboleth IdP 2.4.3およびそれ以降をインストールする場合はこの手順は不要です。次の「6. httpd の設定」から先を行ってください。バージョンが不明な場合は実行してかまいません。

$CATALINA_BASE/conf/tomcat6.conf を下記のように修正します。

情報
CentOS 6 tomcat6パッケージにおいて、`/usr/share/tomcat6/conf/XXX.conf` と `/etc/tomcat6/XXX.conf` は同一ファイルです。

注意
Apache Software FoundationのパッケージよりTomcatをインストールした場合は、本手順は必要ありません。（endorsedについては後の手順で設定します）

パネル

borderColor	#cccccc
bgColor	#eeeeee
borderStyle	solid

# Where your tomcat installation lives
CATALINA_BASE="/usr/share/tomcat6"
CATALINA_HOME="/usr/share/tomcat6"
JASPER_HOME="/usr/share/tomcat6"
CATALINA_TMPDIR="/var/cache/tomcat6/temp"
JAVA_ENDORSED_DIRS="${CATALINA_HOME}/endorsed"

6

...

以下のアドレスにアクセスし、正常にtomcatのデフォルト画面が表示されるか確認します。
アクセス先のホスト名は、構築中IdPサーバのホスト名に変更してください。
http://example-idp.nii.ac.jp:8080

...

. httpd の設定（★）

ヒント

title	実習セミナー

・ここで設定するホスト名は、各自IdPサーバのホスト名を設定してください。
　例）1番を割り振られた場合
　　　ex-idp-test01.ecloudgakunin.nii.ac.jp

/etc/httpd/conf/httpd.conf の修正

...

パネル

borderColor	#cccccc
bgColor	#eeeeee
borderStyle	solid

（省略） 
<VirtualHost _default_:443>
（省略）
ServerName example-idp.nii.ac.jp:443　←ホスト名
ProxyPass /idp/ ajp://localhost:8009/idp/    ←追加
（省略）

情報

加えて、SSL 3.0プロトコルに対する攻撃が発見されておりますので、当該プロトコルを無効化することをお勧めします。⇒SSLバージョン3の脆弱性について (CVE-2014-3566)

パネル
`SSLProtocol all -SSLv2 -SSLv3`

...

7. server.xmlの修正（★）

$CATALINA_BASE/conf/server.xmlを下記のように修正します。
他の用途で使用する予定がなければConnector port="8080"をコメントアウトしてください。

...

パネル

borderColor	#cccccc
bgColor	#eeeeee
borderStyle	solid

<Connector port="8009" protocol="AJP/1.3" redirectPort="8443" enableLookups="false" tomcatAuthentication="false" address="127.0.0.1" maxPostSize="100000" />

...

アンカー

	idpInst4
	idpInst4

4. Shibbolethのインストール（★）

各ファイル名等の指定は，Version 2.4.0に準拠しています。

1. shibboleth-IdP のダウンロード

警告

Shibboleth IdPの最新版はバージョン3.0.0ですが、本技術ガイドは2.x.xをベースにしており、一部設定ファイルに互換性がありません。本技術ガイドの手順でIdPを構築する場合は、http://shibboleth.net/downloads/identity-provider/2.4.3/ からバージョン2.4.3(shibboleth-identityprovider-2.4.3-bin.zip)をダウンロードし続きを行ってください。

~~http://www.shibboleth.net/downloads/identity-provider/latest/から最新版のIdP~~
（shibboleth-identityprovider-2.?.?-bin.zip ）をダウンロードします。

情報
ダウンロードしたファイルの真正性を確かめるにはPGP署名（ダウンロードURLに".asc"を追加したもの）を確認してください。

2. インストール（★）

ヒント

title	実習セミナー

・shibboleth-IdPのパッケージは、「/root/PKG」配下にあります。
　以下のコマンドで移動して、以降の手順を実施してください。
　# cd /root/PKG

shibboleth-idp-2.?.?-bin.zip を適当なディレクトリに置いて、以下のコマンドを実行してください。

パネル

borderColor	#cccccc
bgColor	#eeeeee
borderStyle	solid

# unzip shibboleth-identityprovider-2.?.?-bin.zip
# cd shibboleth-identityprovider-2.?.?
# ./install.sh

...

ヒント

title	実習セミナー

・インストール時に設定するホスト名は、各自IdPサーバのホスト名を設定してください。
　例）1番を割り振られた場合
　　　ex-idp-test01.ecloudgakunin.nii.ac.jp

パネル

borderColor	#cccccc
bgColor	#eeeeee
borderStyle	solid

Buildfile:

src/installer/resources/build.xml

install:

!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!

Be

sure

you

have

read

the

installation/upgrade

instructions

on

the

Shibboleth

website

before

proceeding.

!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!

Where

should

the

Shibboleth

Identity

Provider

software

be

installed?

[/opt/shibboleth-idp]

[Enter]　←入力なし

What

is

the

fully

qualified

hostname

of

the

Shibboleth

Identity

Provider

server?

[idp.example.org]

upkishib-idp.nii.ac.jp[Enter]　←ホスト名

A

keystore

is

about

to

be

generated

for

you.

Please

enter

a

password

that

will

be

used

to

protect

it.

keystore[Enter]

　←任意のパスワード

　←任意のパスワード
Updating

property

file:

/root/PKG/shibboleth-identityprovider-2.4.0/src/installer/resources/install.properties

（省略）

BUILD

SUCCESSFUL

Total

time:

54

seconds

上記のような質問に答えながら、インストールを行います。
※途中で入力するパスワードはデフォルトで作成されるキーストアファイル(credentials/idp.jks)のパスワードとなります。このテキストでは使用しません。

3. SOAP通信用モジュール配置

...

（以前ここに記述されていた手順は、後のサーバ証明書の設定(IdP) の２．ライブラリのコピーに移動しました。この段階でやるべきことはありません。）

4. Tomcatの設定（★）

注意
Shibboleth IdP 2.4.3およびそれ以降をインストールする場合は本手順の `endorsed/` ディレクトリの作成は不要です。次のディレクトリの所有者変更から先を実行してください。

ヒント

title	実習セミナー

・「tomcat6-dta-ssl-1.0.0.jar」は、「/root/PKG」配下にありますので、以下の
　コマンドでコピーしてください。
　# cp /root/PKG/tomcat6-dta-ssl-1.0.0.jar $CATALINA_HOME/lib

https://build.shibboleth.net/nexus/content/repositories/releases/edu/internet2/middleware/security/tomcat6/tomcat6-dta-ssl/1.0.0/tomcat6-dta-ssl-1.0.0.jarよりダウンロードします。
tomcat6-dta-ssl-1.0.0.jarを$CATALINA_HOME/lib配下にコピーします。

パネル
`# cp tomcat6-dta-ssl-1.0.0.jar $CATALINA_HOME/lib`

展開

title	shibboleth-jceを使用した場合

shibboleth-identityprovider-2.?.?-bin.zip を展開した shibboleth-identityprovider-2.?.?/lib/ にある
shibboleth-jce-1.1.0.jar を $JAVA_HOME/jre/lib/ext にコピーします。

パネル

borderColor	#cccccc
bgColor	#eeeeee
borderStyle	solid

# cp lib/shibboleth-jce-1.1.0.jar $JAVA_HOME/jre/lib/ext

※ 2.3.4以降には当該ファイルが同梱されていません。⇒情報交換ML:00414, 情報交換ML:00513

さらに、 $JAVA_HOME/jre/lib/security/java.security ファイルに以下を追加します。

パネル

borderColor	#cccccc
bgColor	#eeeeee
borderStyle	solid

# 
# List of providers and their preference orders (see above): 
# 
security.provider.1=sun.security.provider.Sun 
（省略） 
security.provider.7=org.jcp.xml.dsig.internal.dom.XMLDSigRI 
security.provider.8=sun.security.smartcardio.SunPCSC 
security.provider.9=edu.internet2.middleware.shibboleth.DelegateToApplicationProvider
 　↑行を追加

番号:9 は、既に記載されている番号に合わせて順番にして下さい。
（9が既に記載されている場合は、10に修正して行を追加）

...

/opt/shibboleth-idp/lib/endorsed/ にある5つの jarファイルを $CATALINA_HOME/endorsed ディレクトリを作成してそこへコピーします。

...

serializer-2.10.0.jar
xalan-2.7.1.jar
xercesImpl-2.10.0.jar
xml-apis-2.10.0.jar
xml-resolver-1.2.jar

展開

title	apache-tomcatのパッケージよりインストールした場合Apache Software Foundationのパッケージよりインストールした場合

これらの jar ファイルが有効となるよう、tomcat 起動スクリプトを変更します。
前出の tomcat6 自動起動スクリプトを利用した場合は、以下のような有効化が記述されていることを確認してください。
（/etc/rc.d/init.d/tomcat6）

パネル

borderColor	#cccccc
bgColor	#eeeeee
borderStyle	solid

export CATALINA_OPTS="-Djava.endorsed.dirs=${CATALINA_HOME}/endorsed"

CentOS 6のtomcatパッケージではTomcatを”tomcat”ユーザで実行するため、ログファイルを出力できるようディレクトリの所有者を変更します。Tomcatを”tomcat”ユーザで実行する場合は、ログファイルを出力できるようディレクトリの所有者を変更します。
同様に、メタデータの保存ディレクトリの所有者も変更します。

パネル

borderColor	#cccccc
bgColor	#eeeeee
borderStyle	solid

# chown -R tomcat: /opt/shibboleth-idp/logs
# chown -R tomcat: /opt/shibboleth-idp/metadata

5. idp.war の配置（★）

/opt/shibboleth-idp/war/idp.war ファイルを、
$ファイルを、${CATALINA_HOMEBASE}/webapps ディレクトリにコピーします。

パネル

borderColor	#cccccc
bgColor	#eeeeee
borderStyle	solid

# cp /opt/shibboleth-idp/war/idp.war ${CATALINA_HOMEBASE}/webapps/

httpdとTomcatを再起動します。

...

パネル

borderColor	#cccccc
bgColor	#eeeeee
borderStyle	solid

致命的: A web application created a ThreadLocal with key of type [null] (value [ch.qos.logback.core.UnsynchronizedAppenderBase$1@XXXXXXXX]) and a value of type [java.lang.Boolean] (value [false]) but failed to remove it when the web application was stopped. To prevent a memory leak, the ThreadLocal has been forcibly removed.

...

(関連するバグレポート)

...

アンカー

	idpInst5
	idpInst5

5. サービスの起動・停止方法

httpd の起動方法

service httpd start

tomcat の起動方法

service tomcat6 start
sh /usr/java/tomcat/bin/startup.sh (起動スクリプトを利用しない場合)

httpd の停止方法

service httpd stop

tomcat の停止方法

service tomcat6 stop

sh /usr/java/tomcat/bin/shutdown.sh (起動スクリプトを利用しない場合)

...

インストールが完了したら，サイト情報等の設定を行って下さい．

...

スペースショートカット

ページツリー

比較バージョン

古いバージョン 55

新しいバージョン現在

キー

旧：貴学にてIdPをインストールする場合の構築手順

1. Shibboleth IdP (version 2.3以降) の動作要件

2. OSをインストールする

1. OSでの設定

2. DNSへ登録する

3. 時刻同期を設定する

3. jdk6、tomcat6をインストールする（★）

1. 古いtomcatの削除

2. jdk のインストール（★）

3. tomcat 6のインストール（★）

4. tomcat6.confの修正（★）

4.

profileの修正（★）

5. tomcat6.confの修正（★）

6

. httpd の設定（★）

7. server.xmlの修正（★）

4. Shibbolethのインストール（★）

1. shibboleth-IdP のダウンロード

2. インストール（★）

3. SOAP通信用モジュール配置

（以前ここに記述されていた手順は、後のサーバ証明書の設定(IdP) の２．ライブラリのコピーに移動しました。この段階でやるべきことはありません。）

4. Tomcatの設定（★）

5. idp.war の配置（★）

5. サービスの起動・停止方法

httpd の起動方法

tomcat の起動方法

httpd の停止方法

tomcat の停止方法

インストールが完了したら，サイト情報等の設定を行って下さい．

スペース ショートカット

ページ ツリー

ページ履歴

比較バージョン

古いバージョン 55

新しいバージョン 現在

キー

旧：貴学にてIdPをインストールする場合の構築手順

1. Shibboleth IdP (version 2.3以降) の動作要件

2. OSをインストールする

1. OSでの設定

2. DNSへ登録する

3. 時刻同期を設定する

3. jdk6、tomcat6をインストールする（★）

1. 古いtomcatの削除

2. jdk のインストール（★）

3. tomcat 6のインストール（★）

4. tomcat6.confの修正（★）

4.

profileの修正（★）

5. tomcat6.confの修正（★）

6

. httpd の設定（★）

7. server.xmlの修正（★）

4. Shibbolethのインストール（★）

1. shibboleth-IdP のダウンロード

2. インストール（★）

3. SOAP通信用モジュール配置

（以前ここに記述されていた手順は、後の サーバ証明書の設定(IdP) の ２．ライブラリのコピー に移動しました。この段階でやるべきことはありません。）

4. Tomcatの設定（★）

5. idp.war の配置（★）

5. サービスの起動・停止方法

httpd の起動方法

tomcat の起動方法

httpd の停止方法

tomcat の停止方法

インストールが完了したら，サイト情報等の設定を行って下さい．

スペースショートカット

ページツリー

新しいバージョン現在

（以前ここに記述されていた手順は、後のサーバ証明書の設定(IdP) の２．ライブラリのコピーに移動しました。この段階でやるべきことはありません。）