ページ履歴

IdP, SP, DS に関する設定・運用・カスタマイズの各種情報についてまとめるページです。

目次

IdP関連情報

Back-Channel設定

Tomcat : clientAuth="want"への変更

...

relying-party.xmlの<DefaultRelyingParty>の下に次の設定を追加します。設定内容はIdPにより異なるため、<DefaultRelyingParty>にある内容をコピーして挿入し、encryptAssertionsおよびencryptNameIdsを"never"に変更してください。

コードブロック

	xml
	xml


<RelyingParty id="SPのentityID"
    provider="IdPのentityID"
    defaultSigningCredentialRef="IdPCredential">
    ...
    <ProfileConfiguration xsi:type="saml:SAML2SSOProfile"
        includeAttributeStatement="true"
        assertionLifetime="300000"
        assertionProxyCount="0"
        signResponses="conditional"
        signAssertions="never"
        encryptAssertions="never"
        encryptNameIds="never" />
    ...
</RelyingParty>

...

login.jspに以下の内容を追記します。

コードブロック

	xml
	xml


<%@ page import="edu.internet2.middleware.shibboleth.idp.util.HttpServletHelper" %>
<%@ page import="org.opensaml.util.storage.StorageService" %>
<%@ page import="edu.internet2.middleware.shibboleth.idp.authn.LoginContext" %>
 
 
<%
   StorageService storageService = HttpServletHelper.getStorageService(application);
   LoginContext loginContext = HttpServletHelper.getLoginContext(storageService,application, request);
%>
 
<% if (loginContext == null) {%>

  <!-- エラー時に表示するメッセージ等をここに記載します。以下はエラーメッセージの例です。 -->
  <p><font color="red">Error:</font> Direct access to this page is not supported.</p>

<% } else { %>

   <!-- 認証画面のログインフォーム部分等のエラー時に表示させたくない部分をこちらに記載します。 -->

<% } %>

...

Embedded DSは、ブラウザの表示言語設定を反映して表示する言語を選びますが、特定の言語で表示したい場合の方法が下記に記載されてます。

JIRA

	DISCOVERY-71
	DISCOVERY-71

学認外のIdPをDSに追加する方法

学認参加のSPで特例として学認外のIdPをDSのリストに表示させるための方法を記載します。 https://meatwiki.nii.ac.jp を例にするとログインするときに表示されるIdPのリストとして、OpenIdPなどの学認外IdPを追加する方法の説明となります。

discoveryTemplate.html を /etc/shibboleth に配置します
JavascriptテンプレートのダウンロードからJavaScript部分だけを抜き出したファイルをドキュメントルート配下(例えば/var/www/html)に js/embedded-wayf_config.js として配置します。
1. 環境に合わせて wayf_URL, wayf_sp_entityID, wayf_sp_handlerURL, wayf_return_url を修正してください。
2. DSのリストに追加したいIdPを wayf_additional_idps に設定してください。

/etc/shibboleth/shibboleth2.xml の設定を変更します。

SessionInitiatorを修正します。

書式設定済み


             <SessionInitiator type="Chaining" Location="/DS" isDefault="true" id="DS">
                 <SessionInitiator type="SAML2" template="bindingTemplate.html"/>
                 <SessionInitiator type="Shib1"/>
-                <SessionInitiator type="SAMLDS" URL="https://ds.gakunin.nii.ac.jp/WAYF"/>
+               <SessionInitiator type="Form" template="discoveryTemplate.html"/>
             </SessionInitiator>

embedded-wayf_config.jsのwayf_additional_idpsに追加したIdPのメタデータを読み込むための設定を追加します。事前にIdPのエンティティメタデータを取得してください。
書式設定済み
<MetadataProvider type="XML" file="additional_idp-metadata.xml"/>

...

redirectLimitオプションにはいくつか種類がありますので、各サイトごとに適切なオプションを選択してください。下記に代表的な/etc/shibboleth/shibboleth2.xml の設定例(diff形式)を挙げます。

"exact"を指定することでリダイレクト先のホスト名やポートなどがリダイレクト元のSPと完全に一致するものだけに制限することが可能です。

コードブロック


  @@ -50,7 +50,8 @@
           security of your site. Stealing sessions via cookie theft is much easier with this disabled.
           -->
           <Sessions lifetime="28800" timeout="3600" relayState="ss:mem"
  -                  checkAddress="false" handlerSSL="false" cookieProps="http">
  +                  checkAddress="false" handlerSSL="false" cookieProps="http"
  +                  redirectLimit="exact">

               <!--
               Configures SSO for a default IdP. To allow for >1 IdP, remove

"exact+whitelist"を指定することでホワイトリストを用いたリダイレクト先の制限が可能です。複数のホスト名でVirtual Host設定を行なっている場合に利用することが想定されます。

コードブロック


  @@ -50,7 +50,8 @@
           security of your site. Stealing sessions via cookie theft is much easier with this disabled.
           -->
           <Sessions lifetime="28800" timeout="3600" relayState="ss:mem"
  -                  checkAddress="false" handlerSSL="false" cookieProps="http">
  +                  checkAddress="false" handlerSSL="false" cookieProps="http"
  +                  redirectLimit="exact+whitelist" redirectWhitelist="https://service1.example.ac.jp/ https://service2.example.ac.jp/">

               <!--
               Configures SSO for a default IdP. To allow for >1 IdP, remove

...

Shibboleth SP 2.5より requireLogoutWith が実装されました。 requireLogoutWith では指定されたURL(通常はShibbolethのログアウトURLを指定)に遷移したのちに、元のページの戻るといった処理が自動的に行なわれます。
Shibboleth認証になっているパス(例えば /secure )の中にWebアプリケーションのログアウト処理のページを用意します。ログアウト処理ページは仮に /secure/logout とします。

Apacheの設定

書式設定済み
$ cat /etc/httpd/conf.d/shib.conf (...略...) <Location /secure> AuthType shibboleth ShibRequestSetting requireSession 1 require valid-user </Location>

Webアプリケーションのログアウト処理ページ /secure/logout に対して次のApacheの設定を追加すると requireLogoutWith に指定されている /Shibboleth.sso/Logout にてShibbolethセッションの破棄と /secure/logout によるWebアプリケーションのログアウト処理が一連の動作として行なわれます。

書式設定済み
<Location /secure/logout> require shibboleth ShibRequestSetting requireSession false ShibRequestSetting requireLogoutWith "/Shibboleth.sso/Logout" </Location>

...

NativeSPHandlerのページに倣い、SPでeduPersonPrincipalNameとdisplayNameの属性を必須とする場合の具体的な書き方を例示します。

ApplicationDefaultsにsessionHookの設定を追加(共通)

書式設定済み


     <ApplicationDefaults id="default" policyId="default"
         entityID="https://sp.example.ac.jp/shibboleth-sp"
         REMOTE_USER="eppn persistent-id targeted-id"
-        signing="false" encryption="false">
+        signing="false" encryption="false" sessionHook="/Shibboleth.sso/AttrChecker">

Sessionsの末尾にAttribute Checker Handlerを追加(利用用途に合わせて選択)

eduPersonPrincipalNameとdisplayNameの属性を必須とする(AND条件)

書式設定済み


         <Sessions>
                (...略...)

            <!-- Checks for required attribute(s) before login completes. -->
            <Handler type="AttributeChecker" Location="/AttrChecker" template="attrChecker.html"
                attributes="eppn displayName" flushSession="true"/>

         </Sessions>

もしくは以下の書き方でも可

書式設定済み


         <Sessions>
                (...略...)

           <!-- Checks for required attribute(s) before login completes. -->
           <Handler type="AttributeChecker" Location="/AttrChecker" template="attrChecker.html"
                   flushSession="true">
               <AND>
                   <Rule require="eppn"/>
                   <Rule require="displayName"/>
               </AND>
           </Handler>

         </Sessions>

eduPersonPrincipalNameとdisplayNameのどちらか一方の属性を必須とする場合(OR条件)

書式設定済み


         <Sessions>
                (...略...)

            <Handler type="AttributeChecker" Location="/AttrChecker" template="attrChecker.html"
                    flushSession="true">
                <OR>
                    <Rule require="eppn"/>
                    <Rule require="displayName"/>
                </OR>
            </Handler>

         </Sessions>

...

上記の警告が出力されていてもGakuNinDSの動作には問題ありませんが、下記のように/etc/php.iniにてdate.timezoneを定義することでこの警告は出力されなくなります。

コードブロック


--- php.ini     2012/06/18 08:12:14     1.1
+++ php.ini     2012/06/18 08:19:26
@@ -943,7 +943,7 @@
 [Date]
 ; Defines the default timezone used by the date functions
 ; http://www.php.net/manual/en/datetime.configuration.php#ini.date.timezone
-;date.timezone =
+date.timezone = "Asia/Tokyo"

 ; http://www.php.net/manual/en/datetime.configuration.php#ini.date.default-latitude
 ;date.default_latitude = 31.7667

子ページ表示

スペースショートカット

子ページ

比較バージョン

古いバージョン 61

新しいバージョン 62

キー

IdP関連情報

Back-Channel設定

Tomcat : clientAuth="want"への変更

学認外のIdPをDSに追加する方法

スペース ショートカット

子ページ

ページ履歴

比較バージョン

古いバージョン 61

新しいバージョン 62

キー

IdP関連情報

Back-Channel設定

Tomcat : clientAuth="want"への変更

学認外のIdPをDSに追加する方法

スペースショートカット