GakuNinShibInstall

スペース ショートカット

ページ ツリー

比較バージョン

古いバージョン 7

changes.mady.by.user Takeshi Nishimura

保存しました

次と比較

新しいバージョン 現在

changes.mady.by.user Takeshi Nishimura

保存しました

キー

  • この行は追加されました。
  • この行は削除されました。
  • 書式設定が変更されました。

ユーザアクセスのロギング

注意

以下のスクリプトはIdPバージョン2時代のものでありIdPv3では未検証です。またJava 7向けのものです。動作報告をお待ちしております。

IdPの運用において、インシデント発生時の対応のためには、ユーザ認証の記録をログファイルに出力しておくことが必要となります。特に、SPに対してeduPersonPrincipalNameのような個人識別可能な属性を渡さない場合は、セッションの識別子やeduPersonTargetedIDなどが手がかりとなります。

IdPにおいてログに記録するための一つの方法としては、attribute-resolver.xmlに以下のような定義を追加（<AttributeResolver></AttributeResolver>の内側)する方法があります(Shibboleth IdP 3.2.1.5以降で動作確認1以降で動作確認)。


● eduPersonTargetedIDの定義でComputedIDを用いている場合 eduPersonTargetedIDの定義でComputedIDを用いている場合

以下の例では、指定したSP（ここでは https://shiken-sp00.nii.ac.jp/shibboleth-sp）に対して送信される属性のみがログに記録されます。

パネル
borderColor#cccccc
bgColor#eeeeee
borderStylesolid
titleShibboleth IdP V4以降向け

    <AttributeDefinition id="eduPersonTargetedIDLogging" xsi:type="ScriptedAttribute">
        <!-- Inputs that provides the source attribute. -->
        <InputDataConnector ref="computedID" attributeNames="computedID" />
        <InputAttributeDefinition ref="eduPersonPrincipalName" />
        <Script><![CDATA[
            logger = Java.type("org.slf4j.LoggerFactory").getLogger("net.shibboleth.idp.attribute");

            if ( resolutionContext.attributeRecipientID.equals("https://shiken-sp00.nii.ac.jp/shibboleth-sp") ) {
                logger.info(
                    "eduPersonPrincipalName : " + eduPersonPrincipalName.getValues().get(0).getValue()
                        + '@' + eduPersonPrincipalName.getValues().get(0).getScope()
                    + " , eduPersonTargetedID : " + computedID.getValues().get(0)
                    );
            }
        ]]></Script>
    </AttributeDefinition>

パネル
borderColor#cccccc
bgColor#eeeeee
borderStylesolid
titleShibboleth IdP 3.xでJava 8 以降の場合

<resolver:AttributeDefinition

id="eduPersonTargetedIDLogging"

xsi:type="Script"

xmlns="urn:mace:shibboleth:2.0:resolver:ad">



  <!--

Dependency

that

provides

the

source

attribute.

-->


  <resolver:Dependency

ref="computedID"

/>


  <resolver:Dependency

ref="eduPersonPrincipalName"

/>



  <Script><![CDATA[

importPackage(Packages.edu.internet2.middleware.shibboleth.common.attribute.provider); importPackage(Packages.org.slf4j); logger = LoggerFactory.getLogger("edu.internet2.middleware.shibboleth.resolver.Script.scriptTest"); eduPersonTargetedIDLogging = new BasicAttribute("eduPersonTargetedIDLogging"); if ( requestContext.inboundMessageIssuer


       logger = Java.type("org.slf4j.LoggerFactory").getLogger("net.shibboleth.idp.attribute");

       if (  resolutionContext.attributeRecipientID.equals("https://shiken-sp00.nii.ac.jp/shibboleth-sp") ) {
           logger.info(
                   "eduPersonPrincipalName : " + eduPersonPrincipalName.getValues().get(0).getValue()
                           + '@' + eduPersonPrincipalName.getValues().get(0).getScope()
                   + " , eduPersonTargetedID : " + computedID.getValues().get(0)
                  );
       }
  ]]></Script>
</resolver:AttributeDefinition>

パネル
borderColor#cccccc
bgColor#eeeeee
borderStylesolid
titleShibboleth IdP 3.xでJava 7 の場合

<resolver:AttributeDefinition id="eduPersonTargetedIDLogging" xsi:type="Script" xmlns="urn:mace:shibboleth:2.0:resolver:ad">


  <!-- Dependency that provides the source attribute. -->
  <resolver:Dependency ref="computedID" />
  <resolver:Dependency ref="eduPersonPrincipalName" />

  <Script><![CDATA[
       importPackage(Packages.org.slf4j);

       logger = LoggerFactory.getLogger("net.shibboleth.idp.attribute");

       if (  resolutionContext.attributeRecipientID.equals("https://shiken-sp00.nii.ac.jp/shibboleth-sp")

)

{ logger.info( "eduPersonPrincipalName : " +

{
           logger.info(
                   "eduPersonPrincipalName : " + eduPersonPrincipalName.getValues().get(0

) +

).getValue()
                           + '@'

+

eduPersonPrincipalName.getValues().get(0).getScope()

+ " , eduPersonTargetedID : " +


                   + " , eduPersonTargetedID : " + computedID.getValues().get(0)

); }


                  );
       }
  ]]></Script>


</resolver:AttributeDefinition>

 定義を追加したあと、Tomcatの再起動を行い設定を反映してください。

この例では、指定したSPに対して送信される属性のみがログに記録されます。 定義を追加した後、tomcatを再起動してください。idpidp-process.logに次のようなメッセージが出力されるようになります。なお、ログレベルはINFOになっていますので、logginglogに次のようなメッセージが出力されるようになります。なお、ログレベルはINFOになっていますので、logback.xmlの設定も必要に応じて調整してください。  


パネル
borderColor#cccccc
bgColor#eeeeee
borderStylesolid
16:00:39.9132016-08-31 13:57:02,281 - INFO [edunet.internet2.middleware.shibboleth.resolveridp.Script.scriptTestattribute:-2] [TP-Processor5] - eduPersonPrincipalName : test001@nii.ac.jp , eduPersonTargetedID : 9FbbgVJOm93VyaW5r0MplcubHGgLkDwL3dNSb9FBr3TNP0g3D9F7mk=


●  eduPersonTargetedIDの定義でStoredIDを用いている場合上の例でcomputedIDを全てstoredIDに置き換えてください。

上の例で computedID を全て storedID に置き換えてください（置き換える個所には下線を引いています）。


 

...

参考：eduPersonTargetedIDでComputedIDを使う方法は eduPersonTargetedID に記載されています。