Shibboleth IdP 3の高度な認証設定についてのドキュメントです。

本ドキュメントで使用する認証コンテクストと認証フローの関係を下記に示します。

挙動の説明で使用するSPについて下記に示します。

認証フローの階層化

設定

1. conf/idp.propertiesのidp.authn.flowsに有効にする認証フローを設定します。

   idp.properties ソースを展開

    # Regular expression matching login flows to enable, e.g. IPAddress|Password
   -idp.authn.flows= Password
   +idp.authn.flows= Password|RemoteUser|X509

2. 認証結果を保持している認証フローを優先するために、conf/idp.propertiesのidp.authn.favorSSOをアンコメントします。

   conf/idp.properties ソースを展開

    # Whether to prioritize "active" results when an SP requests more than
    # one possible matching login method (V2 behavior was to favor them)
   -#idp.authn.favorSSO = true
   +idp.authn.favorSSO = true

   


3. conf/authn/general-authn.xmlのshibboleth.AvailableAuthenticationFlows内の認証フローを弱い認証フローから強い認証フローの順に並べます。各認証フローのsupportedPrincipalsプロパティに下記を追加します。

   認証フロー	supportedPrincipalsプロパティ
   Password	継承元のshibboleth.AuthenticationFlowで定義されているsupportedPrincipals, Level1
   RemoteUser	Level2, Level1
   X509	Level3, Level2, Level1

   conf/authn/general-authn.xml ソースを展開

        <util:list id="shibboleth.AvailableAuthenticationFlows">
    
            <bean id="authn/IPAddress" parent="shibboleth.AuthenticationFlow"
                    p:passiveAuthenticationSupported="true"
                    p:lifetime="PT60S" p:inactivityTimeout="PT60S">
                <property name="supportedPrincipals">
                    <list>
                        <bean parent="shibboleth.SAML2AuthnContextClassRef"
                            c:classRef="urn:oasis:names:tc:SAML:2.0:ac:classes:InternetProtocol" />
                    </list>
                </property>
            </bean>
    
            <bean id="authn/SPNEGO" parent="shibboleth.AuthenticationFlow"
                    p:nonBrowserSupported="false">
                <property name="supportedPrincipals">
                    <list>
                        <bean parent="shibboleth.SAML2AuthnContextClassRef"
                            c:classRef="urn:oasis:names:tc:SAML:2.0:ac:classes:Kerberos" />
                        <bean parent="shibboleth.SAML1AuthenticationMethod"
                            c:method="urn:ietf:rfc:1510" />
                    </list>
                </property>
            </bean>
    
            <bean id="authn/External" parent="shibboleth.AuthenticationFlow"
                p:nonBrowserSupported="false" />
    
   +        <bean id="authn/Password" parent="shibboleth.AuthenticationFlow"
   +                p:passiveAuthenticationSupported="true"
   +                p:forcedAuthenticationSupported="true">
   +            <property name="supportedPrincipals">
   +                <util:list>
   +                    <bean parent="shibboleth.SAML2AuthnContextClassRef"
   +                        c:classRef="urn:oasis:names:tc:SAML:2.0:ac:classes:PasswordProtectedTransport" />
   +                    <bean parent="shibboleth.SAML2AuthnContextClassRef"
   +                        c:classRef="urn:oasis:names:tc:SAML:2.0:ac:classes:Password" />
   +                    <bean parent="shibboleth.SAML1AuthenticationMethod"
   +                        c:method="urn:oasis:names:tc:SAML:1.0:am:password" />
   +                    <!-- -->
   +                    <bean parent="shibboleth.SAML2AuthnContextClassRef"
   +                        c:classRef="urn:mace:gakunin.jp:idprivacy:ac:classes:Level1" />
   +                </util:list>
   +            </property>
   +        </bean>
   +
            <bean id="authn/RemoteUser" parent="shibboleth.AuthenticationFlow"
   -            p:nonBrowserSupported="false" />
   +            p:nonBrowserSupported="false">
   +            <property name="supportedPrincipals">
   +                <util:list>
   +                    <!-- -->
   +                    <bean parent="shibboleth.SAML2AuthnContextClassRef"
   +                        c:classRef="urn:mace:gakunin.jp:idprivacy:ac:classes:Level2" />
   +                    <bean parent="shibboleth.SAML2AuthnContextClassRef"
   +                        c:classRef="urn:mace:gakunin.jp:idprivacy:ac:classes:Level1" />
   +                </util:list>
   +            </property>
   +        </bean>
    
            <bean id="authn/RemoteUserInternal" parent="shibboleth.AuthenticationFlow" />
    
            <bean id="authn/X509" parent="shibboleth.AuthenticationFlow"
                    p:nonBrowserSupported="false">
                <property name="supportedPrincipals">
                    <list>
                        <bean parent="shibboleth.SAML2AuthnContextClassRef"
                            c:classRef="urn:oasis:names:tc:SAML:2.0:ac:classes:X509" />
                        <bean parent="shibboleth.SAML2AuthnContextClassRef"
                            c:classRef="urn:oasis:names:tc:SAML:2.0:ac:classes:TLSClient" />
                        <bean parent="shibboleth.SAML1AuthenticationMethod"
                            c:method="urn:ietf:rfc:2246" />
   +                    <!-- -->
   +                    <bean parent="shibboleth.SAML2AuthnContextClassRef"
   +                        c:classRef="urn:mace:gakunin.jp:idprivacy:ac:classes:Level3" />
   +                    <bean parent="shibboleth.SAML2AuthnContextClassRef"
   +                        c:classRef="urn:mace:gakunin.jp:idprivacy:ac:classes:Level2" />
   +                    <bean parent="shibboleth.SAML2AuthnContextClassRef"
   +                        c:classRef="urn:mace:gakunin.jp:idprivacy:ac:classes:Level1" />
                    </list>
                </property>
            </bean>
    
            <bean id="authn/X509Internal" parent="shibboleth.AuthenticationFlow">
                <property name="supportedPrincipals">
                    <list>
                        <bean parent="shibboleth.SAML2AuthnContextClassRef"
                            c:classRef="urn:oasis:names:tc:SAML:2.0:ac:classes:X509" />
                        <bean parent="shibboleth.SAML2AuthnContextClassRef"
                            c:classRef="urn:oasis:names:tc:SAML:2.0:ac:classes:TLSClient" />
                        <bean parent="shibboleth.SAML1AuthenticationMethod"
                            c:method="urn:ietf:rfc:2246" />
                    </list>
                </property>
            </bean>
    
   -        <bean id="authn/Password" parent="shibboleth.AuthenticationFlow"
   -                p:passiveAuthenticationSupported="true"
   -                p:forcedAuthenticationSupported="true" />
   -
        </util:list>

4. conf/relying-party.xmlのshibboleth.DefaultRelyingParty内のShibboleth.SSOとSAML2.SSOにdefaultAuthenticationMethodsプロパティを設定します。

   conf/relying-party.xml ソースを展開

        <bean id="shibboleth.DefaultRelyingParty" parent="RelyingParty">
            <property name="profileConfigurations">
                <list>
   -                <bean parent="Shibboleth.SSO" p:postAuthenticationFlows="attribute-release" />
   +                <bean parent="Shibboleth.SSO" p:postAuthenticationFlows="attribute-release"
   +                                         p:defaultAuthenticationMethods="urn:oasis:names:tc:SAML:1.0:am:password" />
                    <ref bean="SAML1.AttributeQuery" />
                    <ref bean="SAML1.ArtifactResolution" />
   -                <bean parent="SAML2.SSO" p:postAuthenticationFlows="attribute-release" />
   +                <bean parent="SAML2.SSO" p:postAuthenticationFlows="attribute-release"
   +                                         p:defaultAuthenticationMethods="urn:mace:gakunin.jp:idprivacy:ac:classes:Level1" />
                    <ref bean="SAML2.ECP" />
                    <ref bean="SAML2.Logout" />
                    <ref bean="SAML2.AttributeQuery" />
                    <ref bean="SAML2.ArtifactResolution" />
                    <ref bean="Liberty.SSOS" />
                </list>
            </property>
        </bean>

挙動

未認証の場合

1. SPaもしくはSPbからIdPにリダイレクトされると、Level1のPassword認証フローのログインページが表示されます。
2. SPcからIdPにリダイレクトされると、Level2のRemoteUser認証フローのためのログインページやダイアログが表示されます。
3. SPdからIdPにリダイレクトされると、Level3のX509認証フローのログインページが表示されます。

Level1が認証済みの場合

1. SPaもしくはSPbからIdPにリダイレクトされると、Level1のPassword認証フローが認証済みのためユーザ同意画面もしくはSPの画面が表示されます。
2. SPcからIdPにリダイレクトされると、Level2のRemoteUser認証フローのためのログインページやダイアログが表示されます。
3. SPdからIdPにリダイレクトされると、Level3のX509認証フローのログインページが表示されます。

Level2が認証済みの場合

1. SPaもしくはSPbからIdPにリダイレクトされると、Level2のRemoteUser認証フローが認証済みのためユーザ同意画面もしくはSPの画面が表示されます。
2. SPcからIdPにリダイレクトされると、Level2のRemoteUser認証フローが認証済みのためユーザ同意画面もしくはSPの画面が表示されます。
3. SPdからIdPにリダイレクトされると、Level3のX509認証フローのログインページが表示されます。

Level3が認証済みの場合

1. SPaもしくはSPbからIdPにリダイレクトされると、Level3のX509認証フローが認証済みのためユーザ同意画面もしくはSPの画面が表示されます。
2. SPcからIdPにリダイレクトされると、Level3のX509認証フローが認証済みのためユーザ同意画面もしくはSPの画面が表示されます。
3. SPdからIdPにリダイレクトされると、Level3のX509認証フローが認証済みのためユーザ同意画面もしくはSPの画面が表示されます。

Password認証フローのExtendedフロー

設定

1. 認証フローの階層化の設定を行ってください。

2. conf/authn/general-authn.xmlのauthn/PasswordにExtendedフローで利用するLevel2, Level3を追加します。

   conf/authn/general-authn.xml ソースを展開

            <bean id="authn/Password" parent="shibboleth.AuthenticationFlow"
                    p:passiveAuthenticationSupported="true"
                    p:forcedAuthenticationSupported="true">
                <property name="supportedPrincipals">
                    <util:list>
                        <bean parent="shibboleth.SAML2AuthnContextClassRef"
                            c:classRef="urn:oasis:names:tc:SAML:2.0:ac:classes:PasswordProtectedTransport" />
                        <bean parent="shibboleth.SAML2AuthnContextClassRef"
                            c:classRef="urn:oasis:names:tc:SAML:2.0:ac:classes:Password" />
                        <bean parent="shibboleth.SAML1AuthenticationMethod"
                            c:method="urn:oasis:names:tc:SAML:1.0:am:password" />
                        <!-- -->
                        <bean parent="shibboleth.SAML2AuthnContextClassRef"
                            c:classRef="urn:mace:gakunin.jp:idprivacy:ac:classes:Level1" />
   +                    <!-- Extended Flows -->
   +                    <bean parent="shibboleth.SAML2AuthnContextClassRef"
   +                        c:classRef="urn:mace:gakunin.jp:idprivacy:ac:classes:Level2" />
   +                    <bean parent="shibboleth.SAML2AuthnContextClassRef"
   +                        c:classRef="urn:mace:gakunin.jp:idprivacy:ac:classes:Level3" />
                    </util:list>
                </property>
            </bean>

3. conf/authn/password-authn-config.xmlでExtendedフローのbeanをアンコメントします。

   • shibboleth.authn.Password.ExtendedFlowsのc:_0に、ExtendedフローとするRemoteUserとX509を設定します。

   • shibboleth.authn.Password.PrincipalOverrideに、Password認証フローで認証するLevel1を追加します。
   conf/authn/password-authn-config.xml ソースを展開

        <!--
        Configuration of "extended" login methods to offer in the password login form.
        The String bean is a regular expression identifying the flows to offer. These flows
        must also be enabled at the "top" level to be available for use.
        The ExtendedFlowParameters bean can be used to transfer custom parameters from the
        login form into the context tree for use later by other flows.
        The last bean provides the set of custom Principals to use for results produced by the
        Password flow itself. You would use this if you need the Password flow to run as a shell
        to run the "extended" login methods, but want to limit its own results more narrowly.
        -->
   -    <!--
   -    <bean id="shibboleth.authn.Password.ExtendedFlows" class="java.lang.String" c:_0="" />
   +    <bean id="shibboleth.authn.Password.ExtendedFlows" class="java.lang.String" c:_0="RemoteUser|X509" />
        <util:list id="shibboleth.authn.Password.ExtendedFlowParameters">
        </util:list>
        <util:list id="shibboleth.authn.Password.PrincipalOverride">
            <bean parent="shibboleth.SAML2AuthnContextClassRef"
                c:classRef="urn:oasis:names:tc:SAML:2.0:ac:classes:PasswordProtectedTransport" />
            <bean parent="shibboleth.SAML2AuthnContextClassRef"
                c:classRef="urn:oasis:names:tc:SAML:2.0:ac:classes:Password" />
            <bean parent="shibboleth.SAML1AuthenticationMethod"
                c:method="urn:oasis:names:tc:SAML:1.0:am:password" />
   +        <!-- -->
   +        <bean parent="shibboleth.SAML2AuthnContextClassRef"
   +            c:classRef="urn:mace:gakunin.jp:idprivacy:ac:classes:Level1" />
        </util:list>
   -    -->

挙動

各SPからIdPにリダイレクトされた時に表示されるPassword認証フローのログインページを下記に示します。

1. SPaおよびSPbからの場合
   

   図1. SPaおよびSPbからの場合
   このページには画像が添付されていません。

2.  SPcからの場合
   

   図2. SPcからの場合
   このページには画像が添付されていません。

3. SPdからの場合
   

   図3. SPdからの場合
   このページには画像が添付されていません。

参考

高度な認証フローを設定する上で、参考になるドキュメントを下記に示します。

• [Shibboleth wiki] AuthenticationConfiguration
• [Shibboleth wiki] AuthenticationFlowSelection
• [Shibboleth wiki] PasswordAuthnConfiguration|ExtendedFlows
• [Shibboleth wiki] Orchestrating Multiple Authentication Methods and Contexts - The Multi-Context Broker (MCB)
• [Shibboleth wiki] Configuring the Multi-Context Broker Model in Shibboleth IdPv3
• [Shibboleth wiki] Replicating Multi-Context Broker Functionality (Duo + Username/Password with user-opt-in forcing Duo)