ページ履歴

...

以下のパッケージはインストール方法も含めて以降の手順で説明します。

jetty Jetty 9.4
- jetty-distribution-9.4.32.v20200930を使った手順となっています。
  ※いずれも以下のShibbolethのサイト「Jetty94」が情報源です。
- 以前の技術ガイドではサーブレットコンテナとしてTomcatを用いたものをご案内しておりました。その関係で継続してTomcat利用を強くご希望の方向けに、暫定的にShibboleth IdP V4をTomcat 9で構築する方法を別途ご案内しております:
  ⇒旧: 貴学にてIdPv4（Tomcat）をインストールする場合の構築手順
  - いずれにしろTomcat 10およびそれ以降はサポートできかねますのでご了承ください。
  - あくまでも暫定版です。すでに運用中でTomcatをお使いの方は動作確認の上Jettyへの移行をご検討ください。

Java 11

Java 11以降のバージョンのみ対応しています。

注意
文字列置換のためのJavaScriptメソッド `"abc".replace("a", "b")` について、Java 7では全置換されていたものがJava 8では先頭の一致した部分しか置換されなくなるという情報があります。当該メソッドを使って全置換を行っている場合は正規表現 `replace(/a/g, "b")` を使うようにしてください。

Oracle JDK / OpenJDK 11にてLDAPサーバへの接続にLDAPSを使う場合、以下のエラーになるという情報があります。
書式設定済み
java.lang.NullPointerException: Thread local SslConfig has not been set
原因はJDKのバグであるとのことです。該当する場合、以下でUnboundIDを使う回避策が提示されています。
https://wiki.shibboleth.net/confluence/display/IDP30/LDAPonJava>8
詳細: https://issues.shibboleth.net/jira/browse/IDP-1357
エントロピー不足で起動が遅くなる場合があるという情報があります。jre/conf/security/java.securityやシステムプロパティ等で対処してください。
確認方法および手順例: IdPのサービス動作状況の確認の「よくあるエラー」の503エラーの項
- この問題はCentOS 7を使っている場合に顕著です。
- VMで稼働させていてこの問題がある場合、ホストマシンでHavegedを導入しVMからこれを参照する等で十分なエントロピーを生成できる場合があるようですので、合わせてご検討ください。
GNU Javaは利用できません。 OpenJDKもしくはOracleのJavaを利用してください。

他の環境および最新の情報はShibbolethのサイトでご確認ください最新の情報はShibbolethのサイトでご確認ください:
全体, Jetty 9.24, Jetty 9.3, Apache Tomcat 8

...

アンカー

	idpInst2
	idpInst2

2. OSをインストールする

...

https://www.eclipse.org/jetty/download.html より最新版のパッケージ(.tgz)をダウンロードしてインストールします。
さらに、Shibboleth Projectが配布している各種設定ファイル群Projectが配布しているJetty向け設定ファイル群(jetty-base)を配置します。

パネル

borderColor	#cccccc
bgColor	#eeeeee
borderStyle	solid

※以下は手順書作成時の最新 # wget https://repo1.maven.org/maven2/org/eclipse/jetty/jetty-distribution/9.4.3244.v20200930v20210927/jetty-distribution-9.4.3244.v20200930v20210927.tar.gz #

tar

zxv

-C

/opt

-f

jetty-distribution-9.4.*.v????????.tar.gz #

(

cd

/opt

;

ln

-s

jetty-distribution-9.4.*.v????????

/opt/jetty

) #

wget

https://build.shibboleth.net/

nexus/service/local/repositories/releases/content

maven/snapshots/net/shibboleth/idp/idp-jetty-base/9.4.

0

1-SNAPSHOT/idp-jetty-base-9.4.

0

1-20220208.135650-767.tar.gz#

tar

zxv

-C

/opt

-f

idp-jetty-base-9.4.?-????????.*.tar.gz

サービス起動には、jetty起動用のユーザを使用することを推奨します。

ここでは、一般的な"jetty"ユーザを作成します。（以降、"jetty"ユーザを使用する事が前提で説明します。）ユーザを使用する事を前提として説明します。）なお、下記コマンドでユーザID・グループIDは /usr/share/doc/setup-2.8.71/uidgid の値を利用していますが他の値でも問題ありません。既存のユーザ・グループと重複しない値を指定してください。

パネル

borderColor	#cccccc
bgColor	#eeeeee
borderStyle	solid

# useraddgroupadd -rg 110 jetty
# useradd -u 110 -g jetty -d /opt/jetty-base -s /sbin/nologin -c "Jetty daemon" jetty

...

パネル

borderColor	#cccccc
bgColor	#eeeeee
borderStyle	solid

# chown -R root:root /opt/jetty-distribution-9.4.*.v???????? /opt/jetty-base

# chmod -R g-w /opt/jetty-base

# chown jetty:jetty /opt/jetty-base/{logs,tmp}

以下の内容で /etc/sysconfig/jettyを作成します。jetty を作成します。

パネル

borderColor	#cccccc
bgColor	#eeeeee
borderStyle	solid

コードブロック

language	bash

JAVA=/usr/lib/jvm/jre/bin/java

JETTY_HOME=/opt/jetty

JETTY_BASE=/opt/jetty-base

JETTY_RUN=/opt/jetty-base/tmp

JETTY_STATE=/opt/jetty-base/tmp/jetty.state

...

ヒント

ここで JAVA= で指定しているコマンドの存在・バージョンを確認しておくとよいでしょう。javaコマンドにパスが通っている場合はこの行を削除してもかまいません。

パネル

borderColor	#cccccc
bgColor	#eeeeee
borderStyle	solid

$ /usr/lib/jvm/jre/bin/java -version
openjdk version "11.0.10" 2021-01-19 LTS
OpenJDK Runtime Environment 18.9 (build 11.0.10+9-LTS)
OpenJDK 64-Bit Server VM 18.9 (build 11.0.10+9-LTS, mixed mode, sharing)

起動スクリプトを以下のように配置します。

パネル

borderColor	#cccccc
bgColor	#eeeeee
borderStyle	solid

# sudo # sudo cp -ip /opt/jetty/bin/jetty.sh /etc/init.d/jetty
# sudo cp -ip /opt/jetty/bin/jetty.service /etc/systemd/system/

...

パネル

borderColor	#cccccc
bgColor	#eeeeee
borderStyle	solid

# ---------------------------------------
# Module: idp
# Shibboleth IdP
# ---------------------------------------
--module=idp
--module=http
--module=http-forwarded

## Keystore file path (relative to $jetty.base).base)
jetty.sslContext.keyStorePath=../credentials/idp-userfacing.p12

（省略）

※末尾に以下を追加

## Connector port to listen on
jetty.ssl.port=443　　※利用されない
jetty.http.host=127.0.0.1 jetty.sslContexthttp.keyStorePath=../credentialsport=8080

/opt/jetty-base/start.d/idp-logging.ini を修正します。

パネル

borderColor	#cccccc
bgColor	#eeeeee
borderStyle	solid

（省略）

# Override logback version pinned in jetty-home/modules/logback-impl.mod
logback.version=1.2.10
# Override SLF4J version pinned in jetty-home/modules/slf4j-api.mod
slf4j.version=1.7.32

情報

ここで記載しているバージョンは lib/logback/ および log/slf4j/ 以下に配置されているライブラリのバージョンです。展開したjetty-baseが本技術ガイドに記載のものと異なる場合は、実際に配置されているライブラリのバージョンを logback.version= および slf4j.version= に記述してください。userfacing.p12（省略）
※末尾に以下を追加## Connector port to listen on
jetty.ssl.port=443　　※利用されない
jetty.http.host=127.0.0.1 jetty.http.port=8080

/opt/jetty-base/etc/tweak-ssl.xmlを以下の内容で作成します。

注意
過去の技術ガイドでは `id="shibContextFactory"` の部分を誤って `id="sslContextFactory"` としておりました。本設定が正しく反映されるように、修正をお願いいたします。

パネル

borderColor	#cccccc
bgColor	#eeeeee
borderStyle	solid

<!DOCTYPE Configure PUBLIC "-//Jetty//Configure//EN"
          "http://www.eclipse.org/jetty/configure_9_4.dtd">
<Configure id="sslContextFactoryshibContextFactory" class="org.eclipse.jetty.util.ssl.SslContextFactory">
    <Set name="IncludeProtocols">        <Array type="String">            <Item>TLSv1.3</Item>            <Item>TLSv1.2</Item>        </Array>    </Set>    <Set name="ExcludeProtocols">        <Array type="String">            <Item>TLSv1.1</Item>            <Item>TLSv1</Item>            <Item>SSL</Item>            <Item>SSLv2</Item>            <Item>SSLv3</Item>        </Array>    </Set>    <Set name="IncludeCipherSuites">        <Array type="String">            <Item>TLS_ECDHEAES.*</Item>            <Item>TLS_CHACHA20.*</Item>            <Item>TLS_AESECDHE.*</Item>
            <Item>TLS_RSA.*<_EMPTY_RENEGOTIATION_INFO_SCSV</Item>        </Array>    </Set>    <Set name="ExcludeCipherSuites">        <Array type="String">            <Item>.*NULL.*</Item>            <Item>.*RC4.*</Item>            <Item>^.*_(MD5|SHA|SHA1)$</Item>             <Item>.*MD5DES.*</Item>            <Item>.*DES.*</Item>
<Item>.*DSS.*</Item>
<Item>TLS_DHE.*</Item>
</Array>
</Set>
</Configure>.*DSS.*</Item>            <Item>^TLS_DHE_.*$</Item>             <Item>^TLS_RSA_.*$</Item>        </Array>    </Set>
</Configure>

上記ファイルを参照するように /opt/jetty-base/modules/idp-backchannel.mod に追記します。

パネル

borderColor	#cccccc
bgColor	#eeeeee
borderStyle	solid

（省略）

[xml]
etc/idp-backchannel.xml
etc/tweak-ssl.xml

5. httpd の設定

/etc/httpd/conf/httpd.conf の修正

...

パネル

borderColor	#cccccc
bgColor	#eeeeee
borderStyle	solid

（省略） <VirtualHost _default_:443> （省略）~~#~~ServerName example-idp.nii.ac.jp:443　←ホスト名
↑コメントアウト（#）を削除
↓以下を追加
RequestHeader set X-Forwarded-Port 443 RequestHeader set X-Forwarded-Proto https
RequestHeader unset Forwarded
RequestHeader unset X-Forwarded-For ProxyPass /idp/ http://localhost:8080/idp/ connectiontimeout=5 timeout=15 RequestHeader set REMOTE-USER %{REMOTE_USER}s（省略）

情報

加えて、SSL 3.0プロトコルに対する攻撃が発見されておりますので、当該プロトコルを無効化することをお勧めします。
⇒SSLバージョン3の脆弱性について (CVE-2014-3566)

パネル
`SSLProtocol all -SSLv2 -SSLv3`

...

パネル

borderColor	#cccccc
bgColor	#eeeeee
borderStyle	solid

# sudo chown -R jetty:jetty /opt/shibboleth-idp/logs # sudo chgrp jetty /opt/shibboleth-idp/metadata
# sudo chmod g+w /opt/shibboleth-idp/metadata
# sudo chmod +t /opt/shibboleth-idp/metadata # sudo chgrp jetty /opt/shibboleth-idp/credentials/secrets.properties

ヒント
IdPが実際に使用する証明書の秘密鍵はまだ配置されておりませんので、所有者・パーミッションは後の手順で設定します。

...

スペースショートカット

ページツリー

比較バージョン

古いバージョン 118

新しいバージョン現在

キー

2. OSをインストールする

5. httpd の設定

スペース ショートカット

ページ ツリー

ページ履歴

比較バージョン

古いバージョン 118

新しいバージョン 現在

キー

2. OSをインストールする

5. httpd の設定

スペースショートカット

ページツリー

新しいバージョン現在