ページ履歴

1. はじめに

本メニューでは、IdPをカスタマイズします。
uApproveJP-3をインストールして実現します。4をインストールして実現します。
送信属性の設定をオプショナルとしたり、また必須属性と設定するなど組み込み機能と比べ
柔軟な設定が可能となっています。

...

2. 実習セミナーでは

一般的な手順は「3. 手順書」に記載されています。ただし、本実習セミナー特有の設定内容等を以下に記載しています。
両方を参照しつつ作業を進めてください。

・前提条件

パネル

borderColor	#cccccc
bgColor	#eeeeee
borderStyle	solid

実習セミナーでは、リレーショナルデータベースを用いたものとします。
事前準備として、以下のようにCentOS 7の標準であるmariaDBをインストールし、7の標準であるMariaDBをインストールし、
起動させておいてください。

# yum install mariadb-server
# systemctl start mariadb

なお、実習では不要ですが実運用の場合は以下を実行してください。
（OS起動時の自動起動および、rootアカウントにパスワードを設定します）

# systemctl enable mariadb
# mysql_secure_installation

なお、手順書中mysqlコマンドはMariaDBのものが使われ、プロンプトが mysql> ではなく mariadb> になりますが問題ありません。

・インストール

...

borderColor	#cccccc
bgColor	#eeeeee
borderStyle	solid

...

uApproveJPのパッケージは、「３．手順書」に記載されていますが、実習セミナーでは
予めダウンロードした「/root/PKG」内の uApproveJP-4.0.0-bin.zip を使います。
以下のコマンドを実行して、手順書の記載に合わせて「/usr/local/src」配下に展開しておきます。

パネル

borderColor	#cccccc
bgColor	#eeeeee
borderStyle	solid

# cd /root/PKG
# unzip -d /usr/local/src uApproveJP-

3

4.

2

0.0-bin.zip

以降、手順書中の $UAPPROVE_INSTALL$ の部分は /usr/local/src/uApproveJP-

3

4.

2

0.0/ と読み替えてください。

・CentOS 7環境に合わせたMySQLDataSourceの設定

...

borderColor	#cccccc
bgColor	#eeeeee
borderStyle	solid

...

<bean id="shibboleth.MySQLDataSource"
      class="org.apache.commons.dbcp.BasicDataSource"
      p:driverClassName="com.mysql.jdbc.Driver"
      p:url="jdbc:mysql://localhost:3306/shibboleth"
      p:username="shibboleth"

・ローカライズ（日本語環境用メッセージファイル）

パネル

borderColor	#cccccc
bgColor	#eeeeee
borderStyle	solid

手順書内にある「2.3 ローカライズ」の日本語環境用のメッセージファイルテンプレートは以下のURLの
ページにリンクがあるので、そこからダウンロードしてください。

※実習セミナーではIdP3.2.1を使っていますので、IdP3.2用の3ファイルをダウンロードします。
例）IdP3.2の場合
# cd /opt/shibboleth-idp/messages/# wget https://wiki.shibboleth.net/confluence/download/attachments/21660022/authn-messages_ja.properties # wget https://wiki.shibboleth.net/confluence/download/attachments/21660022/consent-messages_ja.properties
# wget https://wiki.shibboleth.net/confluence/download/attachments/21660022/error-messages_ja.properties

・AttributeInMetadataマッチングルール

/opt/shibboleth-idp/conf/attribute-filter.xmlを設定します。

パネル

bgColor	#eeeeee

AttributeFilterPolicyGroupタグにuApproveJP用の設定を2箇所に追加します。

<AttributeFilterPolicyGroup id="ShibbolethFilterPolicyForGakuNinTestFed"
         xmlns="urn:mace:shibboleth:2.0:afp"         xmlns:afp="urn:mace:shibboleth:2.0:afp"
        xmlns:basic="urn:mace:shibboleth:2.0:afp:mf:basic"
        xmlns:saml="urn:mace:shibboleth:2.0:afp:mf:saml"
        xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
        xmlns:uajpmf="http://www.gakunin.jp/ns/uapprove-jp/afp/mf"
        xsi:schemaLocation="urn:mace:shibboleth:2.0:afp xmlns:xsi="http://shibbolethwww.w3.netorg/schema2001/idp/shibboleth-afp.xsd
                            urn:mace:shibboleth:2.0:afp:mf:basic http://shibboleth.net/schema/idp/shibboleth-afp-mf-basic.xsd
                            XMLSchema-instance"
xsi:schemaLocation="urn:mace:shibboleth:2.0:afp :mf:saml http://shibboleth.net/schema/idp/shibboleth-afp-mf-saml.xsd                              http://www.gakunin.jp/ns/uapprove-jp/afp/mf http://www.gakunin.jp/schema/idp/gakunin-afp-mf-uapprovejp.xsd">

パネル

bgColor	#eeeeee

実習セミナーでは、「sn、givenName、mail、eduPersonAffiliation」をオプショナル属性とします。実習セミナーでは、「surname、givenName、mail、eduPersonAffiliation」をオプショナル属性とします。
以下のように4つの属性を全て変更してください。
例）surname属性の設定
例）eduPersonAffiliation属性の設定

<AttributeRule attributeID="surnameeduPersonAffiliation">
<PermitValueRule xsi:type="uajpmf:AttributeInMetadata" matchIfMetadataSilent="true" onlyIfRequired="false" onlyIfChecked="true" /></AttributeRule>

・Tomcatの再起動

・Java11で動作するように切り替え

mysql-connector-javaインストール時にJava8がインストールされ、Java11ではなくJava8に切り替わっている可能性があります。
以下の手順で確認して、Java8が設定されている場合は、再度Java11を利用できるように切り替えます。

パネル

borderColor	#cccccc
bgColor	#eeeeee
borderStyle	solid

# alternatives --config java　

There are 2 programs which provide 'java'.

Selection Command
-----------------------------------------------
1 java-11-openjdk.x86_64 (/usr/lib/jvm/java-11-openjdk-11.0.7.10-4.el7_8.x86_64/bin/java)
*+ 2 java-1.8.0-openjdk.x86_64 (/usr/lib/jvm/java-1.8.0-openjdk-1.8.0.262.b10-0.el7_8.x86_64/jre/bin/java)

Enter to keep the current selection[+], or type selection number: 1[Enter]　←　Java11が表示されている「1」を選択

・Jettyの再起動

Jettyを再起動して、更新した設定ファイルを読み込ませます。Tomcatを再起動して、更新した設定ファイルを読み込ませます。

パネル

borderColor	#cccccc
bgColor	#eeeeee
borderStyle	solid

# systemctl restart tomcat

...

jetty

...

3. 手順書

下記の設定手順書を参照し、作業を行います。
※リンク先のページを開くと、「インストールおよび設定方法」と記載されたリンクがあるので、※セミナー環境ではShibboleth IdP 4.2.1がインストールされていますので、最新版のuApproveJPバージョン4.0.0をお使いください。
※リンク先のページを開くと、それぞれのバージョンの「インストールおよび設定方法」と記載されたリンクがあるので、
　そのリンクをクリックしてください。
※「1 基本的なデプロイ」から「2.3 ローカライズ」内の「カスタムメッセージ」まで行います。ただしローカライズ」まで行います。ただし「1.5 6 カスタムテンプレート」および「2.2 テンプレート」は、読み飛ばしてください。
※「2.4 AttributeInMetadataマッチングルール」については、上記実習セミナーの設定を行います。
※手順書内に記載されているtomcat再起動のコマンドは、CentOS 7のものに置き換えてください。
　（「２．実習セミナーでは」の「tomcat再起動」を参照）※「1.5 設定のカスタマイズ」では、services-system.xmlとattribute-release-beans.xmlの編集を「Shibboleth IdP 4.1以降では...」の手順で行ってください。
※「3 AttributeInMetadata」については、上記実習セミナーの設定を行います。

設定手順書

※補足：属性選択画面の必須属性とオプショナル属性について
　uApproveJPでは、IdP側の設定（conf/attribute-filter.xmlの<PermitValueRule xsi:type="uajpmf:AttributeInMetadata" onlyIfChecked="true">）と
　SPメタデータの設定（//md:SPSSODescriptor/md:AttributeConsumingService/md:RequestedAttribute）に基づいて属性を必須かオプショナルにわけられます。（詳細は後述）
　オプショナル属性はチェックボックスによりユーザに属性の送信を委ねます。必須属性はユーザによる属性毎送信拒否の設定が行えません（チェックボックスにチェックが入った状態でグレーアウトしています）。
　また、IdP側の設定にある<PermitValueRule xsi:type="uajpmf:AttributeInMetadata" onlyIfChecked="true">以外のルールで、送信が許可された属性は全て
　必須属性となります。ここで「<PermitValueRule ...>以外」とは、onlyIfChecked="false"の場合の他、xsi:type="ANY"等のルールも含まれます。

PermitValueRuleに与える設定と属性選択画面の表示の組み合わせを表にすると、以下のようになります。

SPメタデータ
<md:AttributeConsumingService> なし	<md:AttributeConsumingService> あり
	<md:RequestedAttribute> なし	<md:RequestedAttribute> あり
	<md:RequestedAttribute> なし	isRequired="false" もしくは指定なし	isRequired="true"
IdP 設定（attribute-filter）	<PermitValueRule xsi:type="uajpmf:AttributeInMetadata" onlyIfChecked="true">	onlyIfRequired="false" matchIfMetadataSilent="false"	表示しない	表示しない	オプショナル属性	必須属性
		onlyIfRequired="false" matchIfMetadataSilent="true"	オプショナル属性	表示しない	オプショナル属性	必須属性
		onlyIfRequired="true" matchIfMetadataSilent="true"	オプショナル属性	表示しない	表示しない	必須属性
		onlyIfRequired="true" matchIfMetadataSilent="false"	表示しない	表示しない	表示しない	必須属性
	<PermitValueRule xsi:type="uajpmf:AttributeInMetadata" onlyIfChecked="true">　以外		必須属性	必須属性	必須属性	必須属性

なお、「表示しない」については属性送信もされません。

...

4. 動作確認

① 設定後、Tomcatの再起動を行ってない場合は行なってください。設定後、Jettyの再起動を行ってない場合は行なってください。

パネル

borderColor	#cccccc
bgColor	#eeeeee
borderStyle	solid

systemctl restart tomcatjetty

② 各自が使用するSPの接続確認用ページにアクセスします。

パネル

borderColor	#cccccc
bgColor	#eeeeee
borderStyle	solid

例）1番を割り振られた場合

https://ex-sp-

test01

test01.gakunin.nii.ac.jp/

③ ログインボタンをクリックします。

④ DSの所属機関の選択画面が表示されるので、各自が使用するIdPを選択します。

...

スペースショートカット

ページツリー

比較バージョン

古いバージョン 25

新しいバージョン現在

キー

1. はじめに

2. 実習セミナーでは

・前提条件

・インストール

・CentOS 7環境に合わせたMySQLDataSourceの設定

・ローカライズ（日本語環境用メッセージファイル）

・Tomcatの再起動

・Java11で動作するように切り替え

・Jettyの再起動

3. 手順書

SPメタデータ

IdP

設定

4. 動作確認

スペース ショートカット

ページ ツリー

ページ履歴

比較バージョン

古いバージョン 25

新しいバージョン 現在

キー

1. はじめに

2. 実習セミナーでは

・前提条件

・インストール

・CentOS 7環境に合わせたMySQLDataSourceの設定

・ローカライズ（日本語環境用メッセージファイル）

・Tomcatの再起動

・Java11で動作するように切り替え

・Jettyの再起動

3. 手順書

SPメタデータ

IdP

設定

4. 動作確認

スペースショートカット

ページツリー

新しいバージョン現在