貴学にてIdPをインストールする場合の構築手順
貴学にて、貴学のサーバにOSからShibboleth(IdP)までインストール・設定を行い、構築する方式です。(IdPv2の旧構築手順)
1. Shibboleth IdP (version 3.1以降) の動作要件
以下は本技術ガイドで構築する前提となる環境です。
- Apache HTTP Server 2.2 以上 と mod_ssl
以下のパッケージはインストール方法も含めて以降の手順で説明します。
- Apache Tomcat 7 or 8
- Tomcat 7およびそれ以降でSOAP接続を行う場合は、
tomcat6-dta-ssl-x.x.x.jar
を使うのではなく
https://wiki.shibboleth.net/confluence/display/IDP30/ApacheTomcat8#ApacheTomcat8-SupportingSOAPEndpoints
でIdPv3向けに用意されておりますtrustany-ssl-x.x.x.jar
をお使いください。
- Tomcat 7およびそれ以降でSOAP接続を行う場合は、
- Java 7 or 8
- CentOSに付属する GNU Javaは利用できません。 OracleのJavaもしくはOpenJDKを利用してください。
他の環境および最新の情報はShibbolethのサイトでご確認ください:
全体, Jetty 9.2, Jetty 9.3, Apache Tomcat 8
2. OSをインストールする
1. OSでの設定
・OS(CentOS 6)インストール
インストーラでインストールするもの。
Webサーバー (HTTPのみ)
OpenLDAP
その他のパッケージは必要に応じてインストールしてください。
ただし、Java開発とTomcat は後の手順で別にインストールします。
運用フェデレーション参加後に、ホスト名を変更する場合はいくつか考慮・解決すべき点があります。ホスト名は十分ご検討いただいた上で設定してください。詳しくは IdPのホスト名変更に関する注意点 をご参照ください。
※このテキストはSELinuxは無効化されているものとして書かれております。下記コマンドでSELinux設定を確認してください。
$ /usr/sbin/getenforce
・ネットワーク設定
環境に合わせ、ホスト名・ネットワーク・セキュリティを設定して下さい。
2. DNSへ登録する
新しいホスト名とIPアドレスをDNSに登録してください。
3. 時刻同期を設定する
ntpサービスを用い、貴学環境のntpサーバと時刻同期をしてください。
※Shibbolethでは、通信するサーバ間の時刻のずれが約5分を越えるとエラーになります。
3. jdk 7、tomcat 7をインストールする(★)
1. 古いtomcatの削除
tomcat 6以前のバージョンが入っている場合は、削除してください。
2. jdk のインストール(★)
CentOS 6にはOpenJDKのパッケージが用意されていますので、これをyumにてインストールします。
# yum install java-1.7.0-openjdk
3. tomcat 7のインストール(★)
CentOS 6の場合、標準パッケージにはTomcat 7がないため、Apache Software Foundationが配布するTomcatパッケージをダウンロードしてインストールします。
/usr/javaを作成します。http://tomcat.apache.org/download-60.cgi よりダウンロードした apache-tomcat-6.?.??.tar.gz を/usr/javaに置いて、
以下のコマンドを実行してください(?は用意されているtomcatのリビジョン番号にあわせて記述して下さい)。
# tar zxv -C /usr/java -f apache-tomcat-7.?.??.tar.gz # ln -s /usr/java/apache-tomcat-7.?.?? /usr/java/tomcat
自動起動スクリプトを利用すると便利です。ZIPを解凍後にtomcat 7起動スクリプトファイルをコピーします。
# unzip tomcat7.zip # chmod a+x tomcat7 # cp tomcat7 /etc/rc.d/init.d/
自動起動の設定 (このオプション指定では マイナス ‘-’ が2つ必要です)
# chkconfig --add tomcat7 # chkconfig --level 345 tomcat7 on # service tomcat7 start
4. profileの修正(★)
/etc/profileを下記のように修正します。
どこでもよいのですが、下記の例では「# /etc/profile」の下(ファイルの2行目)に挿入しています。
下記のJAVA_HOMEは、OpenJDKを使ったパスとなります。
またCATALINA_HOMEおよびCATALINA_BASEは、Apache Software Foundationが配布するTomcatパッケージをインストールした場合のパスとなります。
環境に合わせて変更してください。
# /etc/profile
JAVA_HOME=/usr/lib/jvm/jreMANPATH=$MANPATH:$JAVA_HOME/man
CATALINA_HOME=/usr/java/tomcat
CATALINA_BASE=$CATALINA_HOME
PATH=$JAVA_HOME/bin:$CATALINA_BASE/bin:
$CATALINA_HOME/bin:
$PATHexport PATH JAVA_HOME CATALINA_HOME CATALINA_BASE
# System wide environment and startup programs, for login setup
追加した環境変数を読み込みます。
# source /etc/profile
5. httpd の設定(★)
実習セミナー
・ここで設定するホスト名は、各自IdPサーバのホスト名を設定してください。
例)1番を割り振られた場合
ex-idp-test01.gakunin.nii.ac.jp
/etc/httpd/conf/httpd.conf の修正
(省略) ServerName example-idp.nii.ac.jp:80 ←ホスト名 (省略)
/etc/httpd/conf.d/ssl.conf の修正
(省略) <VirtualHost _default_:443> (省略) ServerName example-idp.nii.ac.jp:443 ←ホスト名 ProxyPass /idp/ ajp://localhost:8009/idp/ ←追加 (省略)
加えて、SSL 3.0プロトコルに対する攻撃が発見されておりますので、当該プロトコルを無効化することをお勧めします。⇒SSLバージョン3の脆弱性について (CVE-2014-3566)
SSLProtocol all -SSLv2 -SSLv3
6. server.xmlの修正(★)
$CATALINA_BASE/conf/server.xmlを下記のように修正します。
他の用途で使用する予定がなければConnector port="8080"をコメントアウトしてください。
<!-- <Connector port="8080" protocol="HTTP/1.1" connectionTimeout="20000" redirectPort="8443" /> -->
Connector port="8009"に以下のように追加してください。
<Connector port="8009" protocol="AJP/1.3" redirectPort="8443"
enableLookups="false" tomcatAuthentication="false" address="127.0.0.1" maxPostSize="100000" />
4. Shibbolethのインストール(★)
各ファイル名等の指定は,Version 3.1.2に準拠しています。
1. shibboleth-IdP のダウンロード
Shibboleth IdPの最新版はバージョン3.0.0ですが、本技術ガイドは2.x.xをベースにしており、一部設定ファイルに互換性がありません。本技術ガイドの手順でIdPを構築する場合は、http://shibboleth.net/downloads/identity-provider/2.4.3/ からバージョン2.4.3(shibboleth-identityprovider-2.4.3-bin.zip)をダウンロードし続きを行ってください。
http://www.shibboleth.net/downloads/identity-provider/latest/から最新版のIdP( shibboleth-identity-provider-3.?.?.zip )をダウンロードします。
ダウンロードしたファイルの真正性を確かめるにはPGP署名(ダウンロードURLに".asc"を追加したもの)を確認してください。
2. インストール(★)
実習セミナー
・shibboleth-IdPのパッケージは、「/root/PKG」配下にあります。
以下のコマンドで移動して、以降の手順を実施してください。
# cd /root/PKG
shibboleth-identity-provider-3.?.?.zip を適当なディレクトリに置いて、以下のコマンドを実行してください。
# unzip shibboleth-identity-provider-3.?.?.zip # cd shibboleth-identity-provider-3.?.? # ./bin/install.sh
install.shシェルスクリプトを実行すると、以下のような問い合わせがあります。
手順に従って、進めてください。
実習セミナー
・Hostnameは、設定しなくても設定されているはずです。
各自IdPサーバのホスト名が設定されていることを確認します。
例)1番を割り振られた場合
ex-idp-test01.gakunin.nii.ac.jp
・Attribute Scopeは、「gakunin.nii.ac.jp」が設定されているので「nii.ac.jp」を入力して設定してください。
Source (Distribution) Directory: [/root/PKG/shibboleth-identity-provider-3.1.2]
[Enter] ←入力なし
Installation Directory: [/opt/shibboleth-idp]
[Enter] ←入力なし
Hostname: [upkishib-idp.nii.ac.jp][Enter] ←入力なし ※表示されたホスト名が違う場合、設定してください。
SAML EntityID: [https://upkishib-idp.nii.ac.jp/idp/shibboleth]
[Enter] ←入力なし
Attribute Scope: [nii.ac.jp]
[Enter] ←入力なし ※表示されたスコープが違う場合、設定してください。
TLS Private Key Password: tlspass[Enter] ←任意のパスワード
Re-enter password: tlspass[Enter]
Cookie Encryption Key Password: cookiepass[Enter] ←任意のパスワード
Re-enter password: cookiepass[Enter]
(省略)
BUILD SUCCESSFUL
Total time: 2 minutes 9 seconds
上記のような質問に答えながら、インストールを行います。
3. SOAP通信用モジュール配置
(以前ここに記述されていた手順は、後の サーバ証明書の設定(IdP) の 2.ライブラリのコピー に移動しました。この段階でやるべきことはありません。)
4. Tomcatの設定
Tomcatを”tomcat”ユーザで実行する場合は、ログファイルを出力できるようディレクトリの所有者を変更します。
同様に、メタデータの保存ディレクトリの所有者も変更します。
# chown -R tomcat: /opt/shibboleth-idp/logs
# chown -R tomcat: /opt/shibboleth-idp/metadata
5. idp.war の配置(★)
/opt/shibboleth-idp/war/idp.war ファイルを、${CATALINA_BASE}/webapps ディレクトリにコピーします。
# cp /opt/shibboleth-idp/war/idp.war ${CATALINA_BASE}/webapps/
httpdとTomcatを再起動します。
# service tomcat7 stop # service httpd restart # service tomcat7 start
Tomcatの起動後、${CATALINA_BASE}/logs/catalina.out にエラーが出力されていない事を確認してください。
※catalina.outにTomcat終了時(再起動時)のタイミングで以下のようなエラーが表示されることがありますが問題ありませんので無視してください。
致命的: A web application appears to have started a TimerThread named [Timer-0] via the java.util.Timer API but has failed to stop it. To prevent a memory leak, the timer (and hence the associated thread) has been forcibly cancelled.
致命的: A web application created a ThreadLocal with key of type [null] (value [ch.qos.logback.core.UnsynchronizedAppenderBase$1@XXXXXXXX]) and a value of type [java.lang.Boolean] (value [false]) but failed to remove it when the web application was stopped. To prevent a memory leak, the ThreadLocal has been forcibly removed.
5. サービスの起動・停止方法
httpd の起動方法
service httpd start
tomcat の起動方法
service tomcat7 start
sh /usr/java/tomcat/bin/startup.sh (起動スクリプトを利用しない場合)
httpd の停止方法
service httpd stop
tomcat の停止方法
service tomcat7 stop
sh /usr/java/tomcat/bin/shutdown.sh (起動スクリプトを利用しない場合)