1. はじめに
※前提として、「セキュリティレベルを設定したSPに対する認証」が実施済みであるとします。
本メニューでは、IdPをカスタマイズします。
ログイン時に対象SPが使用できる認証方式をユーザが選択してログインできるようになります。
セキュアなクライアント証明書認証などが行えるユーザは、ID/パスワードの入力が必要なく、SPにアクセスできます。
2. 実習セミナーでは
以下のような設定で行います。
手順書と照らし合わせながら、作業を進めてください。
・Password認証フローの設定
/opt/shibboleth-idp/conf/authn//password-authn-config.xmlの設定内容について実習セミナーではLevel3は追加せず、Level2のみ設定を追加してください。
<bean id="authn/Password" parent="shibboleth.AuthenticationFlow" p:passiveAuthenticationSupported="true" p:forcedAuthenticationSupported="true">
（省略）
<!-- --> <bean parent="shibboleth.SAML2AuthnContextClassRef" c:classRef="urn:mace:gakunin.jp:idprivacy:ac:classes:Level1" /> <!-- Extended Flows --> <bean parent="shibboleth.SAML2AuthnContextClassRef" c:classRef="urn:mace:gakunin.jp:idprivacy:ac:classes:Level2" />
（省略）
・Extendedフローの設定
/opt/shibboleth-idp/conf/authn/general-authn.xmlの設定内容について
実習セミナーではRemoteUserは設定せず、X509のみ設定してください。
Extendedフローのbeanをアンコメントし、設定します。
<!-- -->
<bean id="shibboleth.authn.Password.ExtendedFlows" class="java.lang.String" c:_0="X509" />
<util:list id="shibboleth.authn.Password.ExtendedFlowParameters"> </util:list> <util:list id="shibboleth.authn.Password.PrincipalOverride"> <bean parent="shibboleth.SAML2AuthnContextClassRef" c:classRef="urn:oasis:names:tc:SAML:2.0:ac:classes:PasswordProtectedTransport" /> <bean parent="shibboleth.SAML2AuthnContextClassRef" c:classRef="urn:oasis:names:tc:SAML:2.0:ac:classes:Password" /> <bean parent="shibboleth.SAML1AuthenticationMethod" c:method="urn:oasis:names:tc:SAML:1.0:am:password" /> <!-- --> <bean parent="shibboleth.SAML2AuthnContextClassRef" c:classRef="urn:mace:gakunin.jp:idprivacy:ac:classes:Level1" /> </util:list>
<!-- -->
3. 手順書
下記の設定手順書を参照し、作業を行います。※実習時の設定値に置き換える事を忘れないようにしてください。※手順書内の「Password認証フローのExtendedフロー」を実施し、確認します。
4. 動作確認
① 設定後、Tomcatの再起動を行ってない場合は行ってください。
systemctl restart tomcat② 各自が使用するSPの接続確認用ページにアクセスします。
例）1番を割り振られた場合 https://ex-sp-test01.gakunin.nii.ac.jp/③ ログインボタンをクリックします。
④ DSの設定を行っている場合、所属機関の選択画面が表示されるので、各自が使用するIdPを選択します。
⑤ 証明書認証用のログイン画面が表示されるので、Certificate Loginボタンをクリックします。
⑥ 個人証明書の要求というダイアログが表示されるので、対象となるクライアント証明書を選択して、OKボタンをクリックします。 ※送信属性同意画面が表示される場合は、そのまま設定値を送信しします。
⑦ 正しく属性受信の確認ページが表示される事を確認してください。
※ID/パスワードを入力するログイン画面は表示されず、クライアント証明書で認証が行われ、 ログインする事ができます。
⑧ 次に動作確認用のSPにアクセスし、認証要求がなくシングルサインオンにてログインできることを確認します。
⑨ 一度ブラウザを閉じて、②でアクセスしたSPを動作確認用のSPに置き換えてアクセスします。
⑩ 進めていくとID/パスワードの認証要求が行われるので、入力してログインしてください。
⑪ 次に各自が作成したSPにアクセスします。今回は、認証済みですがアクセスレベルが高いため証明書認証が要求されることを確認します。
⑫ 認証後、正しく属性受信の確認ページが表示される事を確認してください。
