ページ履歴

...

警告
本ページで紹介したプラグインのより新しいバージョン(fork)が以下で公開されております。v3.4に対応しMFAログインフローと組み合わせられますので、こちらの利用もご検討ください。 https://github.com/joeFischetti/Shibboleth-IdP3-TOTP-Auth

注意

本IdPプラグインの添付されたバージョンでは登録できるデバイスの数を1個のみに制限し二要素認証としての効力を確保するものとなります。登録手続きにはIPアドレス等による制限はかかりません。

このままでの運用に不都合がある場合は、登録手続きにアクセス制限をかけた上で個数制限を緩和することをご検討ください。

警告

本IdPプラグインのバージョン0.5.1をそのまま用いるとID/パスワード入力後に常に何個でもデバイスを登録可能であるため二要素認証もしくは二段階認証としての効力に問題があります。パッチの適用を検討するか、登録手続きにアクセス制限をかけることをご検討ください。

注意
本TotpフローをExtendedフローの中で使用しようとしてもうまくいきません（Totpを選択してもID・パスワード欄が表示されません）。認証フローを組み合わせたい場合はMFAフローをご検討ください。

...

以下の手順で作業を進めてください。

添付の totpauth-impl-0.5.11oncepatch-bin.zip をマシンにダウンロード、展開。をマシンにダウンロード、展開。（参考まで、添付のパッケージとオリジナルの差分はこちら）

conf/, edit-webapp/, flows/, views/ の内容をディレクトリ構造を保持したまま/opt/shibboleth-idp/以下に配置。

...

コードブロック

@@ -23,6 +23,8 @@
     <bean id="shibboleth.authn.Password.PasswordFieldName" class="java.lang.String" c:_0="j_password" />
     <bean id="shibboleth.authn.Password.SSOBypassFieldName" class="java.lang.String" c:_0="donotcache" />
 
+    <util:constant id="shibboleth.authn.Password.RemoveAfterValidation" static-field="java.lang.Boolean.FALSE"/>
+
     <!-- Simple transforms to apply to username before validation. -->
     <util:constant id="shibboleth.authn.Password.Lowercase" static-field="java.lang.Boolean.FALSE"/>
     <util:constant id="shibboleth.authn.Password.Uppercase" static-field="java.lang.Boolean.FALSE"/>

最後に、Tomcatを起動したまま/opt/shibboleth-idp/bin/build.shを実行し、WARファイル再作成およびデプロイします。
最後にJettyの再起動を行います。

パネル

borderColor	#cccccc
bgColor	#eeeeee
borderStyle	solid

# /opt/shibboleth-idp/bin/build.sh
Buildfile: /opt/shibboleth-idp/bin/build.xml
build-war:
Installation Directory: [/opt/shibboleth-idp] ? [Enter]　←入力なし

# systemctl restart jetty

...

3. 手順書

以下は、利用するTOTPプラグインの開発元のURLです。詳細にご興味がある方はご参照ください。以下は、利用するTOTPプラグインの開発元のURLです。手順の詳細にご興味がある方はご参照ください。
Shibboleth IdPバージョン3.2対応のものであるため、3.3以降に対応するためには上記の追加手順が必要となります。2対応のものであるため、4以降で実行するためには上記のパッケージおよび手順が必要となります。

参考: https://github.com/korteke/Shibboleth-IdP3-TOTP-Auth

...

接続確認用SPから各自が使用するIdPを選択します。（どのSPからの認証要求でもTOTP認証フローが実行されます）
第一画面は通常と変わりませんので、通常のUsername/Passwordを入力して次に進みます。
"Token code"というワンタイムパスワードを入力する画面になりますが、まだ登録していませんので、画面に指示のある通り任意の6桁の数字を入力し「Login」ボタンを押してください。
同じ画面の下にというワンタイムパスワードを入力する画面になりますが、まだ登録していませんので下の"Register a new Token"ボタンをクリックします。ボタンが現れますのでクリックします。そうすると登録のためのQRコードが表示されます。
TOTP対応アプリ（例: Google Authenticator）を起動します。
「設定を開始」をタップします。
「バーコードをスキャン」をタップします。
登録画面に表示されているQRコードを読み取ります。
登録後に数字6桁のワンタイムパスワードが表示されますので、IdPのQRコードの下にある"Token code"欄に入力し"Register"ボタンをクリックします。