接続用IdP設定マニュアル

利用申請機関が管理するShibboleth IdP(以下IdP)を利用してGakuNin RDM(以下GRDM)にログインをおこなう際に必要な設定について記述しています。

IdPは学認技術ガイド(https://www.gakunin.jp/technical/)に記載の手順で構築されていることを想定しています。固有の方法でインストールされている場合はファイルのパス等を適宜読み替えてください。に記載の手順で構築されていることを想定しています。

固有の方法でインストールされている場合はファイルのパス等を適宜読み替えてください。

設定に必要な情報のまとめ

GRDMのshibboleth SPのentityID

• https://accounts.rdm.nii.ac.jp/shibboleth-sp 
  • 通常のサービスの利用
• https://admin.rdm.nii.ac.jp/shibboleth-sp 
  • 管理画面(後述)の利用

GRDMのSPに対してIdPから送出していただく属性値

• eduPersonPrincpalName(ePPN)

...

• • （必須）ユーザーの識別子として利用します。
• eduPersonEntitlement

...

• 任意 
  • （任意）管理画面を利用する際には必須

以下の属性値は今後のGRDMの機能拡張において参照する可能性があります。

• displayName

...

• • （任意）
• mail

...

•  
  • （任意）
• organizationName

...

•  
  • （任意）
• organizationalUnitName

...

• ...

  • • （任意）

  ...

  
  

  ★上記について確認し、設定に問題なければご連絡ください。

  弊所側で必要な設定を行ない、疎通が可能になり次第ご連絡を差し上げます。

  ...

  
  

  GRDMのサービスを利用する際のIdPへの設定内容

  ...

  自動更新が有効になっていない場合はローカルのキャッシュファイルの確認が必要です。

  ローカルのキャッシュファイルは通常

  /opt/shibboleth-idp/metadata/gakuni-metadata.xml

  として保存されています。

  このファイルの中にhttps://accounts.rdm.nii.ac.jp/shibboleth-sp の文字列が含まれているかを確認してください。

  ...

  最新の学認運用フェデレーションのメタデータは上記URLから取得可能です。

   

  属性送出の設定

  
  

  GRDMのサービスを利用するためにはhttps://accounts.rdm.nii.ac.jp/shibboleth-sp のentityIDに対してeduPersonPrincipalName (ePPN)が送出されている必要があります。 

  
  

  /opt/shibboleth-idp/conf/attribute-resolver.xml の設定

  ...

  (参考) 学認技術ガイド「attribute-resolver.xml ファイルの変更（IdPv3）」

  https://meatwiki.nii.ac.jp/confluence/pages/viewpage.action?pageId=20021642

   

  
  

  /opt/shibboleth-idp/conf/attribute-filter.xmlの設定

  ...

      <PolicyRequirementRule xsi:type="Requester" value="https://accounts.rdm.nii.ac.jp/shibboleth-sp" />

   

  
  

      <AttributeRule attributeID="eduPersonPrincipalName">

  ...

      </AttributeRule>

  </AttributeFilterPolicy>

   

  
  

  設定を反映するためにIdPのサービスを再起動してください。

   

  
  

  弊所での処理が完了しましたら、GRDMトップページhttps://rdm.nii.ac.jp/ 画面右肩のEmbedded DSのプルダウンメニューに機関名が表示されるようになります。

  こちらからログインが可能であるかの確認をいただけるようお願いします。

   

   

  管理画面のサービスを利用する際のIdPへの設定内容

  ...

  こちらを利用になるためには通常のサービスとは別に設定をいただく必要があります。 

  
  

  GRDMのメタデータ取り込み

  2019/02/22 現在公開されている学認運用フェデレーションのメタデータはGRDMのメタデータを含んでいます。

  ...

  自動更新が有効になっていない場合はローカルのキャッシュファイルの確認が必要です。

  ローカルのキャッシュファイルは通常

  /opt/shibboleth-idp/metadata/gakuni-metadata.xml

  として保存されています。

  このファイルの中にhttps://accounts.rdm.nii.ac.jp/shibboleth-sp の文字列が含まれているかを確認してください。

  ...

  から取得できる最新の学認運用フェデレーションのメタデータを利用してください。

   

  
  

  属性送出の設定

  管理画面のサービスを利用するためにはhttps://admin.rdm.nii.ac.jp/shibboleth-sp のentityIDに対してeduPersonPrincipalName (ePPN)とeduPersonEntitlementが送出されている必要があります。

  ...

  eduPersonEntitlementの算出に別の方法を用いられる場合はattribute-resolver.xmlの設定を適切に変更してください。 

  
  

  /opt/shibboleth-idp/conf/attribute-resolver.xml の設定

  ...

  resolver:AttributeDefinitionのタグがコメント解除されていれば問題ありません。 

  
  

  eduPersonEntitlementの設定を追加します。

  ...

  </resolver:AttributeDefinition>

   

  
  

  (参考) 学認技術ガイド「attribute-resolver.xml ファイルの変更（IdPv3）」https://meatwiki.nii.ac.jp/confluence/pages/viewpage.action?pageId=20021642

   

  
  

  /opt/shibboleth-idp/conf/attribute-filter.xmlの設定

  ...

      <PolicyRequirementRule xsi:type="Requester" value="https://admin.rdm.nii.ac.jp/shibboleth-sp" />

   

  
  

      <AttributeRule attributeID="eduPersonPrincipalName">

  ...

      </AttributeRule>

  </AttributeFilterPolicy>

   

  
  

  設定を反映するためにIdPのサービスを再起動してください。

   

  ...

  
  

  ★再起動が完了しましたらご連絡ください。

  弊所での処理が完了しましたら、GRDM管理画面ページhttps://admin.rdm.nii.ac.jp 画面中央のembeddedDSのプルダウンメニューに機関名が表示されるようになります。

  こちらからログインが可能であるかの確認をいただけるようお願いします。ログインが確認できましたらその旨をメールにてお知らせください。

  ...