ページ履歴

...

注意
IdPにてNameIDを暗号化する設定にしている場合、上記設定だけではうまく連携できない可能性があります。その場合は、特定のSPへのアサーションを暗号化しない設定を参考に、encryptAssertionsは<DefaultRelyingParty>の設定を引き継ぎ、encryptNameIdsだけを"never"に変更してください。

同じ値が再割り当てされないeduPersonTargetedIDの生成方法

eduPersonTargetedID(ePTID)を生成するときにLDAP上の属性としてuidを代表とした属性値が利用されますが、これらの属性値では再割り当ての問題があります。例えばuidとして test001 を使っていた人が異動になり、さらに年月が経って同じuidを使いたいという人が現われた場合にはそのまま割り当ててしまうことはできません。これはSP 側で uid=test001 という属性値を基に生成されたePTIDで個人を識別していた場合に、再割り当て前の人物と、再割り当て後の人物を区別できず同一人物とみなして再割り当て前のアカウントの情報を利用してしまうことが起こるためです。

ePTIDでStoredIDを利用している場合には失効処理を行うことで新しいePTIDを生成することができることから、ソースとなる属性値の再割り当てをすることは可能です。今回は別の方法として、uidの付加情報としてLDAPエントリの作成時間(createTimestamp)を加えた値をソースとしてePTIDを生成する方法を調査しました。例えば uid-createTimestamp のように2つの属性値をハイフンでつなげて test001-20130314110740Z といった値をソースとしてePTIDを生成すれば、uid再割り当てごとの失効処理が不要となります。ただし、再割り当ての際に必ず「作成時間」が変更されるように処理することが前提となります。

下記ではLDAP上のuidとcreateTimestampをソースとしたePTIDの生成例をご紹介いたします。ComputedIDをベースに設定方法を紹介していますが、StoredIDの場合も同様です。

eduPersonTargetedIDのAttributeDefinitionはデフォルトのままで利用可能です。

コードブロック

    <!-- Attribute Definition for eduPersonTargetedID -->
    <resolver:AttributeDefinition id="eduPersonTargetedID" xsi:type="SAML2NameID" xmlns="urn:mace:shibboleth:2.0:resolver:ad"
        nameIdFormat="urn:oasis:names:tc:SAML:2.0:nameid-format:persistent"
        sourceAttributeID="computedID">
        <resolver:Dependency ref="computedID" />

        <resolver:AttributeEncoder xsi:type="SAML1XMLObject" xmlns="urn:mace:shibboleth:2.0:attribute:encoder"
                name="urn:oid:1.3.6.1.4.1.5923.1.1.1.10" />

        <resolver:AttributeEncoder xsi:type="SAML2XMLObject" xmlns="urn:mace:shibboleth:2.0:attribute:encoder"
                name="urn:oid:1.3.6.1.4.1.5923.1.1.1.10" friendlyName="eduPersonTargetedID" />
    </resolver:AttributeDefinition>

Template Attribute Definitionで uid-createTimestamp の文字列を返すAttributeDefinitionを定義して、ComputedID用DataConnectorの sourceAttributeID, Dependencyを変更します。ここでは「templateePTID」という名前を用います。

コードブロック

    <!-- Computed targeted ID connector -->
    <resolver:DataConnector xsi:type="ComputedId" xmlns="urn:mace:shibboleth:2.0:resolver:dc"
                            id="computedID"
                            generatedAttributeID="computedID"
-                           sourceAttributeID="uid"
+                           sourceAttributeID="templateePTID"
                            salt="*****YOUR_SALT*****">
-       <resolver:Dependency ref="myLDAP" />
+       <resolver:Dependency ref="templateePTID" />
    </resolver:DataConnector> 

+   <resolver:AttributeDefinition id="templateePTID" xsi:type="Template" xmlns="urn:mace:shibboleth:2.0:resolver:ad">
+       <resolver:Dependency ref="myLDAP" />
+
+       <Template>
+           <![CDATA[
+               ${uid}-${createTimestamp}
+           ]]>
+       </Template>
+
+       <SourceAttribute>uid</SourceAttribute>
+       <SourceAttribute>createTimestamp</SourceAttribute>
+   </resolver:AttributeDefinition>

LDAPからcreateTimestampを取得するためにReturnAttributesを定義します。

コードブロック

    <resolver:DataConnector id="myLDAP" xsi:type="dc:LDAPDirectory"
        ldapURL="ldap://localhost"
        baseDN="o=Test Organization,dc=ac,c=JP"
        principal="cn=olmgr,o=Test Organization,dc=ac,c=JP"
        principalCredential="**** YOUR LDAP Password ****">
        <dc:FilterTemplate>
            <![CDATA[
                (uid=$requestContext.principalName)
            ]]>
        </dc:FilterTemplate>
+       <dc:ReturnAttributes>* createTimestamp</dc:ReturnAttributes>
    </resolver:DataConnector>

SP関連情報

Embedded DS

特定の言語で表示する方法

...

スペースショートカット

子ページ

比較バージョン

古いバージョン 90

新しいバージョン 91

キー

同じ値が再割り当てされないeduPersonTargetedIDの生成方法

SP関連情報

Embedded DS

特定の言語で表示する方法

スペース ショートカット

子ページ

ページ履歴

比較バージョン

古いバージョン 90

新しいバージョン 91

キー

同じ値が再割り当てされないeduPersonTargetedIDの生成方法

SP関連情報

Embedded DS

特定の言語で表示する方法

スペースショートカット