...
※前提として、「クライアント証明書認証を使った認証」が実施済みであるとします。
本メニューでは、IdPとSPを共にカスタマイズします。
IdPには、ID/パスワード認証とクライアント証明書認証を使って、セキュリティレベルに応じた認証方式を設定します。
またSPには、認証のセキュリティレベルを設定します。
上記の設定により、セキュリティレベルが低くて問題ないSPにはID/パスワード認証でアクセスが行えるが、
セキュリティレベル高いSPにアクセスした場合、認証済みであってもクライアント証明書認証などセキュアな
認証方式を行わなければアクセスできないようになります。
なお、本メニュー（認証フローの階層化）に依らなくても、SP側でIdPのgeneral-authnなお、本メニュー（認証フローの階層化）に依らなくても、SP側でIdPのauthn.xmlに記載されているURIを直接指定する（SP設定の propertiesに記載されているURIを直接指定する（SP設定の ShibRequestSetting authnContectClassRef ... に指定する）ことによってIdPが定義している特定の認証手段を用いることを強制することは可能です。ただしSP側がIdPの設定内容を熟知している必要があります。
...
以下のような設定で行います。
手順書と照らし合わせながら、作業を進めてください。
＜IdP側の設定＞
・認証フローの階層化
実習セミナーでは、ID/パスワードと証明書の２つの認証方式で確認します。
以下のように手順書にある内容を置き換えて設定します。
※「RemoteUser」及び「Level3」の設定は、行いません。
・/opt/shibboleth-idp/conf/authn/authn.properties の変更
前段で設定したクライアント証明書強制を無効化します。パスワード認証を追加します。
| パネル | ||||||
|---|---|---|---|---|---|---|
| ||||||
/opt/shibboleth-idp/conf/idp.propertiesの設定内容について
|
・認証フローの階層化
実習セミナーでは、ID/パスワードと証明書の２つの認証方式で確認します。
手順書内では、/opt/shibboleth-idp/conf/idp.propertiesとなっていますが、/opt/shibboleth-idp/conf/authn/authn.propertiesを以下のように変更します。※「X509」及び「Level3」の設定は、行いません。| パネル | ||||||
|---|---|---|---|---|---|---|
| ||||||
| ||||||
| パネル | ||||||
| ||||||
|
また、その他においても/opt/shibboleth-idp/conf/authn/
...
authn....
例：
<bean id="authn/X509" parent="shibboleth.AuthenticationFlow"
（省略）
<bean parent="shibboleth.SAML2AuthnContextClassRef" c:classRef="urn:mace:gakunin.jp:idprivacy:ac:classes:Level2" /> <bean parent="shibboleth.SAML2AuthnContextClassRef" c:classRef="urn:mace:gakunin.jp:idprivacy:ac:classes:Level1" />
※Level3の設定を除いた、Level1～Level2の設定とします。
※他の並べ替えやauthn/Passwordへの追加は元手順書の指示に従ってください。
propertiesを手順書に沿って変更します。
※Level3の設定を除いた、Level1～Level2の設定とします。「X509」に関する設定は不要です。
＜SP側の設定＞
・SP毎にセキュリティレベルを設定
各自作成したSPの認証をセキュリティレベル２に設定し、クライアント証明書を使った認証が必要と設定します。
...
| borderColor | #cccccc |
|---|---|
| bgColor | #eeeeee |
| borderStyle | solid |
以下のように/etc/httpd/conf.d/shib....
confを変更します。
「/secure」に設定している内容に、IdPで設定したセキュリティレベル2を指定する設定を追加します。
| パネル | ||||||||
|---|---|---|---|---|---|---|---|---|
| ||||||||
|
...
| 実習セミナーフェデレーション | https://ex-sp.gakunin.nii.ac.jp/ |
|---|---|
| テストフェデレーション | https://test-sp1.gakunin.nii.ac.jp/ |
① 設定後、IdPはTomcat、SPはApacheの再起動を行ってない場合は行ってください。設定後、IdPはJetty、SPはApacheの再起動を行ってない場合は行ってください。
| パネル | ||||||
|---|---|---|---|---|---|---|
| ||||||
IdP側 restart tomcatjetty SP側 restart httpd |
② 各自が使用するSPの接続確認用ページにアクセスします。
...
④ DSの設定を行っている場合、所属機関の選択画面が表示されるので、各自が使用するIdPを選択します。
⑤ 証明書認証用のログイン画面が表示されるので、Certificate Loginボタンをクリックします。⑥ 個人証明書の要求というダイアログが表示されるので、対象となるクライアント証明書を選択して、
OKボタンをクリックします。
※送信属性同意画面が表示される場合は、そのまま設定値を送信しします。
⑦ ⑥ 正しく属性受信の確認ページが表示される事を確認してください。
※ID/パスワードを入力するログイン画面は表示されず、クライアント証明書で認証が行われ、
ログインする事ができます。
⑧ ⑦ 次に動作確認用のSPにアクセスし、認証要求がなくシングルサインオンにてログインできます。
⑨ ⑧ 一度ブラウザを閉じて、再度動作確認用のSPにアクセスします。
⑩ ⑨ セキュリティレベルが動作確認用SPには設定されていないため、進めていくとデフォルト設定の
IDLoginボタン（ID/パスワード）となります。ID/パスワード認証となります。入力してログインしてください。パスワードを入力してログインしてください。
⑪ ⑩ 次に各自が作成したSPにアクセスします。今回はシングルサインオンとして認証済みですが、
アクセスレベルが動作確認用SPよりも高いため、証明書認証が要求されます。
⑫ ⑪ 認証後、正しく属性受信の確認ページが表示される事を確認してください。
...