Shibboleth IdP 3に関する情報をまとめているページです。

注意
Shibboleth IdP 3.2に関する情報に随時更新中です。情報に更新中です。

maxLevel	3

動作確認環境

OS	Java	Servlet	IdP
CentOS 6.5	OpenJDK 7 (CentOS 6.5付属)	Apache Tomcat 7.0.62	Shibboleth IdP 3.1.2
CentOS 6.5	Oracle Java 8u45 + JCE Unlimited Strength Jurisdiction Policy Files	Apache Tomcat 8.0.23	Shibboleth IdP 3.1.2
CentOS 6.5	OpenJDK 7 (CentOS 6.5付属)	Apache Tomcat 7.0.62	Shibboleth IdP 3.2.1

...

conf/metadata-providers.xml

展開

コードブロック

language	xml
title	conf/metadata-providers.xml

    <!-- -->
    <MetadataProvider id="HTTPMetadata"
                      xsi:type="FileBackedHTTPMetadataProvider"
                      backingFile="%{idp.home}/metadata/gakunin-metadata-backing.xml"
                      metadataURL="https://metadata.gakunin.nii.ac.jp/gakunin-metadata.xml">
        <MetadataFilter xsi:type="SignatureValidation" requireSignedRoot="true"
                        certificateFile="/opt/shibboleth-idp-common/credentials/gakunin-signer-2010.cer"/>
        <MetadataFilter xsi:type="RequiredValidUntil" maxValidityInterval="P15D"/>
        <MetadataFilter xsi:type="EntityRoleWhiteList">
            <RetainedRole>md:SPSSODescriptor</RetainedRole>
        </MetadataFilter>
    </MetadataProvider>
    <!-- -->

コードブロック

language	diff
title	デフォルトからの差分

-    <!--
+    <!-- -->
     <MetadataProvider id="HTTPMetadata"
                       xsi:type="FileBackedHTTPMetadataProvider"
-                      backingFile="%{idp.home}/metadata/localCopyFromXYZHTTP.xml"
-                      metadataURL="http://WHATEVER">
+                      backingFile="%{idp.home}/metadata/gakunin-metadata-backing.xml"
+                      metadataURL="https://metadata.gakunin.nii.ac.jp/gakunin-metadata.xml">
-        <MetadataFilter xsi:type="SignatureValidation" requireSignedRoot="true">
-            <PublicKey>
-                MIIBI.....
-            </PublicKey>
-        </MetadataFilter>
-        <MetadataFilter xsi:type="RequiredValidUntil" maxValidityInterval="P30D"/>
+        <MetadataFilter xsi:type="SignatureValidation" requireSignedRoot="true"
+                        certificateFile="/opt/shibboleth-idp-common/credentials/gakunin-signer-2010.cer"/>
+        <MetadataFilter xsi:type="RequiredValidUntil" maxValidityInterval="P15D"/>
         <MetadataFilter xsi:type="EntityRoleWhiteList">
             <RetainedRole>md:SPSSODescriptor</RetainedRole>
         </MetadataFilter>
     </MetadataProvider>
-    -->
+    <!-- -->

注意

Shibboleth IdP 3.2からSignatureValidationFilterのrequireSignedMetadataがrequireSignedRootに変更となりました。requireSignedMetadataの場合、下記のwarningメッセージが表示されます。

書式設定済み

2015-12-18 18:33:35,232 - WARN [net.shibboleth.idp.profile.spring.relyingparty.metadata.filter.impl.SignatureValidationParser:128] - file [/opt/shibboleth-idp/conf/metadata-providers.xml] Use of the attribute 'requireSignedMetadata' is deprecated, use 'requireSignedRoot' instead

Shibboleth IdP 3.

...

1以前の情報

展開

学認メタデータの読み込みはconf/metadata-providers.xmlで設定します。

conf/metadata-providers.xml

コードブロック

language	xml
title	conf/metadata-providers.xml

<MetadataProvider id="HTTPMetadata"
                  xsi:type="FileBackedHTTPMetadataProvider"
                  backingFile="%{idp.home}/metadata/gakunin-metadata-backing.xml"
                  metadataURL="https://metadata.gakunin.nii.ac.jp/gakunin-metadata.xml">

    <MetadataFilter xsi:type="RequiredValidUntil" maxValidityInterval="P15D" />
    <MetadataFilter xsi:type="SignatureValidation"
                    requireSignedMetadata="true"
                    certificateFile="%{idp.home}/credentials/gakunin-signer-2010.cer"/>
    <MetadataFilter xsi:type="EntityRoleWhiteList">
        <RetainedRole>md:SPSSODescriptor</RetainedRole>
    </MetadataFilter>

</MetadataProvider>

認証

...

LDAPを用いたパスワード認証

Shibboleth IdP 3からは、LDAPモジュールを用いたJAASによるパスワード認証に加えて、直接LDAPを参照するパスワード認証が追加されました。

デフォルトは直接LDAPを参照するパスワード認証です。

直接LDAPを参照するパスワード認証

conf/ldap.properties
参照するLDAPにあわせて、Connection properties, SSL configuration, Search DN resolutionのプロパティを設定します。

xmltrue

展開

コードブロック

language

java
title	conf/ldap.properties

collapse

## Connection properties ##
idp.authn.LDAP.ldapURL                          = ldap://localhost:389
idp.authn.LDAP.useStartTLS                      = false
#idp.authn.LDAP.useSSL                          = false
#idp.authn.LDAP.connectTimeout                  = 3000

## SSL configuration, either jvmTrust, certificateTrust, or keyStoreTrust #idp


 
# Search DN resolution, used by anonSearchAuthenticator, bindSearchAuthenticator
# for AD: CN=Users,DC=example,DC=org
idp.authn.LDAP.

sslConfig

baseDN

=

certificateTrust ##

If

using

certificateTrust above, set to the trusted certificate's path

= ou=people,dc=example,dc=ac,dc=jp
idp.authn.LDAP.

trustCertificates

subtreeSearch                    =

%{idp.home}/credentials/ldap-server.crt ## If using keyStoreTrust above, set to the truststore path idp.authn.LDAP.trustStore

true
idp.authn.LDAP.userFilter                       = (uid={user})
# bind search configuration
# for AD: idp.authn.LDAP.bindDN=adminuser@domain.com
idp.authn.LDAP.bindDN                           =
idp.authn.LDAP.bindDNCredential                 =

コードブロック

language	diff
title	デフォルトからの差分

 ## Connection properties ##
-idp.authn.LDAP.ldapURL                          = ldap://localhost:10389
-#idp.authn.LDAP.useStartTLS                     = true
+idp.authn.LDAP.ldapURL                          = ldap://localhost:389
+idp.authn.LDAP.useStartTLS                      = false
 #idp.authn.LDAP.useSSL                          = false
 #idp.authn.LDAP.connectTimeout                  = 3000


 
 # Search DN resolution, used by anonSearchAuthenticator, bindSearchAuthenticator
 # for AD: CN=Users,DC=example,DC=org
-idp.authn.LDAP.baseDN                           =

%{idp.home}/credentials/ldap-server.truststore # Search DN resolution, used by anonSearchAuthenticator, bindSearchAuthenticator # for AD: CN=Users,DC=example,DC=org

ou=people,dc=example,dc=org
-#idp.authn.LDAP.subtreeSearch                   = false
+idp.authn.LDAP.baseDN                           = ou=people,dc=example,dc=ac,dc=jp
+idp.authn.LDAP.subtreeSearch                    = true
 idp.authn.LDAP.userFilter                       = (uid={user})
 # bind search configuration
 # for AD: idp.authn.LDAP.bindDN=adminuser@domain.com
-idp.authn.LDAP.bindDN                           = uid=myservice,ou=system
-idp.authn.LDAP.bindDNCredential                 = myServicePassword
+idp.authn.LDAP.bindDN                           =
+idp.authn.LDAP.bindDNCredential                 =

JAASによるパスワード認証^{3.1時点の情報}

conf/authn/password-authn-config.xml

<import resource="jaas-authn-config.xml" />の行をアンコメントとして、<import resource="ldap-authn-config.xml" />の行をコメントアウトします。

コードブロック

language	xml
title	conf/authn/password-authn-config.xml
collapse	true

<!-- Choose an import based on the back-end you want to use. -->
<import resource="jaas-authn-config.xml" />
<!-- <import resource="krb5-authn-config.xml" /> -->
<!-- <import resource="ldap-authn-config.xml" /> -->

conf/authn/jaas.config

参照するLDAPにあわせて、org.ldaptive.jaas.LdapLoginModule required以降の行を設定します。

コードブロック

language	xml
title	conf/authn/jaas.config
collapse	true

ShibUserPassAuth {
    /*
        com.sun.security.auth.module.Krb5LoginModule required;
        */
    org.ldaptive.jaas.LdapLoginModule required
      ldapUrl="ldap://localhost"
      baseDn="ou=people,dc=example,dc=ac,dc=jp"
      ssl="false"
      userFilter="uid={user}"
      subtreeSearch="true"
      ;
};

//saml2:Subject/saml2:NameID^3.

...

^{1時点の情報}

//saml2:Subject/saml2:NameIDはconf/attribute-filter.xmlに記述しなくてもconf/saml-nameid.propertiesとconf/saml-nameid.xmlの設定により、SPメタデータの<NameIDFormat>に従って下記の通り送信します。

...

conf/saml-nameid.xml
<ref bean="shibboleth.SAML2PersistentGenerator" /> をアンコメントして有効にします。

コードブロック

language	xml
title	conf/aml-nameid.xml
collapse	true

<!-- Uncommenting this bean requires configuration in saml-nameid.properties. -->
<!-- -->
<ref bean="shibboleth.SAML2PersistentGenerator" />
<!-- -->

conf/saml-nameid.properties
idp.persistentId.generator, idp.persistentId.store, idp.persistentId.sourceAttributeとidp.persistentId.saltを設定します。

コードブロック

language	xml
title	conf/saml-nameid.properties
collapse	true

# Set to shibboleth.StoredPersistentIdGenerator for db-backed storage
# and uncomment/name the PersistentIdStore bean to use
idp.persistentId.generator = shibboleth.StoredPersistentIdGenerator
idp.persistentId.store = PersistentIdStore
# Set this to null to skip hash-based generation of first stored ID
#idp.persistentId.computed = shibboleth.ComputedPersistentIdGenerator

# Otherwise for computed PersistentIDs set the source attribute and salt.
idp.persistentId.sourceAttribute = uid4ppersistentId
idp.persistentId.salt = changethistosomethingrandom

conf/global.xml
idp.persistentId.storeの値をconf/global.xmlで定義します。

コードブロック

language	xml
title	conf/global.xml (Tomcat 7の場合)
collapse	true

<!-- Use this file to define any custom beans needed globally. -->
<bean id="shibboleth.MySQLDataSource"
      class="org.apache.tomcat.dbcp.dbcp.BasicDataSource"
      p:driverClassName="com.mysql.jdbc.Driver"
      p:url="jdbc:mysql://localhost:3306/shibboleth"
      p:username="username"
      p:password="password"
      p:maxActive="10"
      p:maxIdle="5"
      p:maxWait="15000"
      p:testOnBorrow="true"
      p:validationQuery="select 1"
      p:validationQueryTimeout="5" />
<bean id="PersistentIdStore"
      class="net.shibboleth.idp.saml.nameid.impl.JDBCPersistentIdStore"
      p:dataSource-ref="shibboleth.MySQLDataSource" />

コードブロック

language	xml
title	conf/global.xml (Tomcat 8の場合)
collapse	true

<!-- Use this file to define any custom beans needed globally. -->
<bean id="shibboleth.MySQLDataSource"
      class="org.apache.tomcat.dbcp.dbcp2.BasicDataSource"
      p:driverClassName="com.mysql.jdbc.Driver"
      p:url="jdbc:mysql://localhost:3306/shibboleth"
      p:username="username"
      p:password="password"
      p:maxIdle="5"
      p:testOnBorrow="true"
      p:validationQuery="select 1"
      p:validationQueryTimeout="5" />

<bean id="PersistentIdStore"
      class="net.shibboleth.idp.saml.nameid.impl.JDBCPersistentIdStore"
      p:dataSource-ref="shibboleth.MySQLDataSource" />

注意
Tomcat 8の場合に、`p:maxActive`および`p:maxWait`を指定するとエラーとなり、Shibboleth IdPが起動しない。

conf/attribute-resolver.xmlとconf/attribute-filter.xml
idp.persistentId.sourceAttributeの値をconf/attribute-resolver.xmlの//resolver:AttributeDefinitionで定義して、conf/attribute-filter.xmlで送信設定を行います。

コードブロック

language	xml
title	conf/attribute-resolver.xml
collapse	true

<!-- ========================================== -->
<!--      PersistentId Definition               -->
<!-- ========================================== -->

<!-- Attribute Definition for %{idp.persistentId.sourceAttribute} -->
<resolver:AttributeDefinition id="%{idp.persistentId.sourceAttribute}" xsi:type="ad:Simple"
    sourceAttributeID="uid">
    <resolver:Dependency ref="myLDAP" />
</resolver:AttributeDefinition>

コードブロック

language	xml
title	conf/attribute-filter.xml
collapse	true

<!--  Release to anyone -->
<afp:AttributeFilterPolicy id="PolicyforAnyone">
    <afp:PolicyRequirementRule xsi:type="basic:ANY" />

    <afp:AttributeRule attributeID="%{idp.persistentId.sourceAttribute}">
        <afp:PermitValueRule xsi:type="basic:ANY" />
    </afp:AttributeRule>

</afp:AttributeFilterPolicy>

conf/intercept/consent-intercept-config.xml
ユーザ同意画面にて%{idp.persistentId.sourceAttribute}を表示しないように、//util:list[@id="shibboleth.consent.attribute-release.BlacklistedAttributeIDs"]に%{idp.persistentId.sourceAttribute}を追加します。

コードブロック

language	xml
title	conf/intercept/consent-intercept-config.xml
collapse	true

<util:list id="shibboleth.consent.attribute-release.BlacklistedAttributeIDs">
    <value>transientId</value>
    <value>persistentId</value>
    <value>eduPersonTargetedID</value>
    <value>%{idp.persistentId.sourceAttribute}</value>
</util:list>

eduPersonTargetedId 属性の送信^3.

...

^{1時点の情報}

//saml2:Subject/saml2:NameIDとは別に//saml2:AttributeStatement/saml2:Attribute[@FriendlyName="eduPersonTargetedID"]としてeduPersonTargetedId属性を送信する設定は下記の通りです。

...

conf/attribute-resolver.xml

コードブロック

language	xml
title	conf/attribute-resolver.xml
collapse	true

<!-- ========================================== -->
<!--      Data Connectors                       -->
<!-- ========================================== -->
 
<!-- Stored targeted ID connector -->
<resolver:DataConnector xsi:type="StoredId" xmlns="urn:mace:shibboleth:2.0:resolver:dc"
                        id="storedID"
                        generatedAttributeID="storedID"
                        sourceAttributeID="%{idp.persistentId.sourceAttribute}"
                        salt="changethistosomethingrandom">
<!--
                        salt="%{idp.persistentId.salt}">
-->
    <resolver:Dependency ref="%{idp.persistentId.sourceAttribute}" />
    <BeanManagedConnection>shibboleth.MySQLDataSource</BeanManagedConnection>
</resolver:DataConnector>

注意
Shibboleth IdP 3.1.2では、`salt`属性は`%{idp.persistentId.salt}`で置き換えられませんので、ご注意ください。[IDP-771]

Attribute Query^3.

...

^{1時点の情報}

SAML 2 persistent IDでのAttribute Queryの許可

conf/c14n/subject-c14n.xml
conf/c14n/subject-c14n.xmlの<ref bean="c14n/SAML2Persistent" />をアンコメントします。
コードブロック
language xml
title conf/c14n/subject-c14n.xml
collapse true
 <ref bean="c14n/SAML2Persistent" />

画面のカスタマイズ^3.

...

^{1時点の情報}

ロゴの変更

ロゴをデフォルトのOur Identity Providerから機関のロゴに変更する手順は下記の通りです。

...

コマンドラインオプション user.languageとuser.country
環境変数 LC_MESSAGES
環境変数 LANG

ユーザ同意機能^3.

...

^{1時点の情報}

Shibboleth IdP 3には、uApprove相当のユーザ同意機能があります。uApprove JPとの違いはShibboleth IdP 3のユーザ同意機能とuApprove JPとの相違点を参照ください。

...

[Shibboleth wiki] Identity Provider 3
[Shibboleth wiki] IdP 3 / ReleaseNotes
[SWITCH] Shibboleth Identity Provider (IdP) 3 Installation Guide
[SWITCH] Shibboleth IdPv3: Considerations in the Context of SWITCHaai
- 3.1 Operating Systems: Linux long-term support (Ubuntu Server 14.04 LTS / Red Hat Enterprise Linux 7 / CentOS 7)
- 3.2 Java & Servlet Container: OpenJDK 7, Apache Tomcat 7 & Apache HTTP Server 2.4
- 3.3 Database for persistentIDs and user consent: PostgreSQL
- 3.4 IdP Session Storage: Client Session Storage with Cookies
[upki-fed:00880] Re: Shibboleth IdP 3.0 リリース
シボレス実習活用編
学認技術ガイド > IdP構築後のカスタマイズ内「IdPアップデート手順」
学認技術ガイド > 貴学にてIdPv3をインストールする場合の構築手順

...

Shibboleth IdP 3.2からSignatureValidationFilterのrequireSignedMetadataがrequireSignedRootに変更となりました。requireSignedMetadataの場合、下記のwarningメッセージが表示されます。

...

スペースショートカット

子ページ

比較バージョン

古いバージョン 76

新しいバージョン 77

キー

動作確認環境

Shibboleth IdP 3.

1以前の情報

認証

LDAPを用いたパスワード認証

直接LDAPを参照するパスワード認証

JAASによるパスワード認証^{3.1時点の情報}

//saml2:Subject/saml2:NameID^3.

^{1時点の情報}

eduPersonTargetedId 属性の送信^3.

^{1時点の情報}

Attribute Query^3.

^{1時点の情報}

SAML 2 persistent IDでのAttribute Queryの許可

画面のカスタマイズ^3.

^{1時点の情報}

ロゴの変更

ユーザ同意機能^3.

^{1時点の情報}

スペース ショートカット

子ページ

ページ履歴

比較バージョン

古いバージョン 76

新しいバージョン 77

キー

動作確認環境

Shibboleth IdP 3.

1以前の情報

認証

LDAPを用いたパスワード認証

直接LDAPを参照するパスワード認証

JAASによるパスワード認証3.1時点の情報

//saml2:Subject/saml2:NameID3.

1時点の情報

eduPersonTargetedId 属性の送信3.

1時点の情報

Attribute Query3.

1時点の情報

SAML 2 persistent IDでのAttribute Queryの許可

画面のカスタマイズ3.

1時点の情報

ロゴの変更

ユーザ同意機能3.

1時点の情報

スペースショートカット

JAASによるパスワード認証^{3.1時点の情報}

//saml2:Subject/saml2:NameID^3.

^{1時点の情報}

eduPersonTargetedId 属性の送信^3.

^{1時点の情報}

Attribute Query^3.

^{1時点の情報}

画面のカスタマイズ^3.

^{1時点の情報}

ユーザ同意機能^3.

^{1時点の情報}