目次

このページに書いてある手順に従うことにより、学認に参加しているSPについて、attribute-filter.xml を手で修正することなく、IdPから属性送信を行うかどうかを選択できるようになります。

0. 機能および前提条件

属性送信対象SPの追加・削除のみが操作可能で、個々の属性を送信するか否かをIdP管理者が操作することはできません。SPが学認に申請した通りに属性を送ります。

各SPが要求する属性はこちら⇒SP接続情報

• uApprove.jpがインストールされていることが必須です。（インストールされていない場合はuApprove.jpのスキーマを読み込む処理でエラーとなります）

• 学認申請システムが生成したattribute-filterのattributeIDに記載されている値と、IdPの /opt/shibboleth-idp/conf/attribute-resolver.xml に記載されているidの値が一致していること
  最新のattribute-resolver.xmlテンプレートの利用を推奨します。⇒テンプレート

  attribute-resolver.xmlテンプレートを更新する際には、idの変更を含む場合がありますのであわせてattribute-filter.xmlの確認および修正も行ってください。

  また、uApprove.jpの設定ファイル attribute-list にも影響を受ける箇所がありますので適宜修正してください。（確認されているのはemail→mailのみです。また、attribute-list が未修正でも機能に問題はありません。）

• 学認申請システムが提供するattribute-filterの提供元を指定するために、IdPの申請書ベースIDが必要です。申請書ベースIDは、学認申請システムの承認済みIdPの詳細画面から確認することができます。
• 例として示す設定ファイルの書き方は既存のattribute-filter.xmlと、学認申請システムが提供するattribute-filterの両方を読むことを想定した内容となっています。

1. IdPにattribute-filterの自動読み込み設定を行う

IdPに対して以下のどちらかの手順を行ってください。全てが自動化されることに不安がある場合は、後者の方法を選択して間に検証手順を挟んでください。

a) 学認申請システムが生成したattribute-filterを直接読み込む方法

1. service.xml に学認申請システムからattribute-filter.xmlをダウンロードするための設定を追加します。 configurationResourcePollingFrequency には再読み込みする間隔、 url には https://office.gakunin.nii.ac.jp/ProdFed/export/attribute_filter/申請書ベースID 、 file にはダウンロードしたファイルを保存するためのパスを指定してください。例として、学認IdP（申請書ベースID:PI0025JP）のattributer-filterをIdPのconfディレクトリ配下に60分おきにダウンロードするための設定を以下に 示します。

       ...
   <srv:Service id="shibboleth.AttributeFilterEngine" xsi:type="attribute-afp:ShibbolethAttributeFilteringEngine" configurationResourcePollingFrequency="PT60M">
        <srv:ConfigurationResource file="/opt/shibboleth-idp/conf/attribute-filter.xml" xsi:type="resource:FilesystemResource"/>
        <srv:ConfigurationResource xsi:type="resource:FileBackedHttpResource"
            url="https://office.gakunin.nii.ac.jp/ProdFed/export/attribute_filter/PI0025JP?target=uapprovejp"
            file="/opt/shibboleth-idp/conf/attribute-filter-fromoffice-backing.xml" />
    </srv:Service>
    ...

2. Tomcatを再起動して、設定を反映します。

   $ sudo service tomcat6 restart

b) 学認申請システムが生成したattribute-filterをローカルにダウンロードした上で読み込む方法

1. 学認申請システムから自身のIdP向けのattribute-filter.xmlをダウンロードします。wgetコマンドの引数には https://office.gakunin.nii.ac.jp/ProdFed/export/attribute_filter/申請ベースID を指定します。例として、学認IdP(申請ベースID PI0025JP)のattributer-filter.xmlをダウンロードするときのコマンドを以下に示します。

   $ wget https://office.gakunin.nii.ac.jp/ProdFed/export/attribute_filter/PI0025JP

2. ダウンロードしたattribute-filter.xmlを任意のディレクトリに移動します。例として、IdPのconfディレクトリに移動し、ファイル名を attribute-filter-PI0025JP.xml に変更しています。

   $ sudo mv PI0025JP /opt/shibboleth-idp/conf/attribute-filter-PI0025JP.xml

3. service.xml にダウンロードしたattribute-filter.xmlを読み込む設定を追加します。configurationResourcePollingFrequency には再読み込みする間隔、 file にはダウンロードしたファイルのパスを指定してください。例として、学認IdP（申請ベースID PI0025JP）のattributer-filter.xmlを60分おきに読み込むための設定を以下に示します。

    

4. Tomcatを再起動して、設定を反映します。

   $ sudo service tomcat6 restart

$ ls -ld /opt/shibboleth-idp/conf
drwxr-xr-x 2 root root 4096 10月  8 17:50 /opt/shibboleth-idp/conf

$ sudo touch /opt/shibboleth-idp/conf/attribute-filter-fromoffice-backing.xml
$ sudo chown tomcat:tomcat /opt/shibboleth-idp/conf/attribute-filter-fromoffice-backing.xml

また、いずれの場合も、以下の手順により動作確認が完了したら、既存の attribute-filter.xml に設定されている重複した学認参加SPに対するフィルタ設定を削除しておくほうが混乱がないでしょう。

2. 属性送信するSPを追加・変更する

1. IdP運用担当者の方が学認申請システムにログインし、承認済みIdPの詳細画面を表示してください。
   
   ページ最下部に「利用可能なSPを選択する」リンクがありますのでクリックしてください。
   .

2. SP選択画面が表示されます。
   まず、「特に指定しない（全てのSPで表示されます）」にチェックが入っていないことを確認してください。

   ページ先頭にある説明書きと注意書きは、別の機能についてのものですので、無視してください。

   

   このページでチェックを入れたSPに属性が送信されるようになりますので、慎重に行ってください。

   .

3. 最後にページ最下部の「登録」ボタンをクリックしてください。
   
   .
4. 上述の直接読み込むIdP設定の通りに行っていれば、最大でも1時間後には選択したSPに属性を送信するようになります。

以上