IdPv3のインストール

実習セミナー内に準備されたLinuxサーバにJDK、Tomcat、Shibboleth IdPをインストールする手順となっています。

1. 実習に使用する仮想サーバについて

以下は本技術ガイドで構築する前提となる環境です。

OS、DNS、ネットワーク、時刻同期などは設定済みとなっています。（Apache HTTP Server、mod_sslもインストール済み）
CentOS7
メモリ2GB以上
Apache HTTP Server 2.4 と mod_ssl
Java 8（OpenJDK）
Apache Tomcat 7
Shibboleth IdP v3

また、実習環境ではSELinuxは無効化されているものとして手順を記載しています。下記コマンドでSELinux設定が確認できます。

$ /usr/sbin/getenforce

2. jdk 7をインストールする

インストール

CentOS 7にはOpenJDKのパッケージが用意されていますので、これをyumにてインストールします。

# yum install java

3. tomcat 7をインストールする

インストール

CentOS 7にはTomcatのパッケージが用意されていますので、これをyumにてインストールします。

※自動起動スクリプトは、インストールすると自動的に作成されます。

# yum install tomcat

自動起動の設定

以下のコマンドで自動起動設定を有効にします。

# systemctl enable tomcat

補足：

以下のコマンドで自動起動設定を無効にすることができます。

# systemctl disable tomcat

profileの追加

/etc/profile.d/java-tomcat.sh という新規ファイルを以下の内容で作成します。

# /etc/profile.d/java-tomcat.sh - set Java and Tomcat stuff
JAVA_HOME=/usr/lib/jvm/jre
#export MANPATH=$MANPATH:/usr/java/default/man
CATALINA_HOME=/usr/share/tomcat
CATALINA_BASE=$CATALINA_HOME
PATH=$JAVA_HOME/bin:$CATALINA_BASE/bin:$CATALINA_HOME/bin:$PATH
export PATH JAVA_HOME CATALINA_HOME CATALINA_BASE

追加した環境変数を読み込みます。

# source /etc/profile

5. httpd の設定（★）

実習セミナー

・ここで設定するホスト名は、各自IdPサーバのホスト名を設定してください。
　例）1番を割り振られた場合
　　　ex-idp-test01.gakunin.nii.ac.jp

/etc/httpd/conf/httpd.conf の修正

（省略）
ServerName example-idp.nii.ac.jp:80　←ホスト名
（省略）

/etc/httpd/conf.d/ssl.conf の修正

（省略） 
<VirtualHost _default_:443>
（省略）
ServerName example-idp.nii.ac.jp:443　←ホスト名
ProxyPass /idp/ ajp://localhost:8009/idp/    ←追加
（省略）

加えて、SSL 3.0プロトコルに対する攻撃が発見されておりますので、当該プロトコルを無効化することをお勧めします。⇒SSLバージョン3の脆弱性について (CVE-2014-3566)

SSLProtocol all -SSLv2 -SSLv3

/etc/httpd/conf.d/virtualhost-localhost80.conf を以下の内容で作成してください。これはShibboleth IdPが提供するreload-metadata.sh等のコマンドを使った操作を可能にするためのものです。

すでに同一のvirtual hostを別のところで定義している場合は、そちらに含めてください。また、すでに _default_:80 のVirtualHostが定義されている場合はその中の宣言が localhost:80 に適用されなくなりますので、必要であればその宣言をこのファイルにも含めてください。

_default_:80 が定義されているファイルに下記ProxyPassを含める方法もありますが、外部からの通常のアクセスがセキュアでない80番ポートに対しても行えることになりますので推奨しません。（もちろん、ファイアウォール等で適切に対処されていれば問題ありません）

<VirtualHost localhost:80>
ProxyPass /idp/ ajp://localhost:8009/idp/
</VirtualHost>

6. server.xmlの修正（★）

$CATALINA_BASE/conf/server.xmlを下記のように修正します。
他の用途で使用する予定がなければConnector port="8080"をコメントアウトしてください。

<!--
    <Connector port="8080" protocol="HTTP/1.1"
               connectionTimeout="20000"
               redirectPort="8443" />
-->

Connector port="8009"に以下のように追加してください。

<Connector port="8009" protocol="AJP/1.3" redirectPort="8443" enableLookups="false" tomcatAuthentication="false" address="127.0.0.1" maxPostSize="100000" />

7. "tomcat"ユーザで起動（★）

ここでは、Tomcatの起動は"tomcat"ユーザで行う事とします。
以下のように"tomcat"ユーザを作成します。

# useradd -r -d /usr/java/tomcat -s /sbin/nologin -c "Tomcat daemon" tomcat

また、起動スクリプトを修正し、"tomcat"ユーザで起動するようにします。
ダウンロードした起動スクリプトを使用する場合は以下のように修正します。（/etc/rc.d/init.d/tomcat7）

もしTomcatが起動していれば、修正前にstopしてください。

# Remove -XX:MaxPermSize=256m if you are not using Sun/Oracle JVM nor OpenJDK.
export JAVA_OPTS="-server -Xmx512m -XX:MaxPermSize=256m "
export LANG=en_US.UTF-8
TOMCAT_USER=tomcat

以下のコマンドでその他Tomcat関連の設定ファイルやディレクトリの所有者、パーミッションを設定します。

# chown -R tomcat:tomcat /usr/java/tomcat/{temp,logs,work}
# chown tomcat:tomcat /usr/java/tomcat/webapps
# chmod +t /usr/java/tomcat/webapps
# chgrp tomcat /usr/java/tomcat/conf/*.*
# chmod g+r /usr/java/tomcat/conf/*.*
# mkdir -p /usr/java/tomcat/conf/Catalina/localhost

また、Tomcatのpidファイル及び保存されているディレクトリを ls -dl 等で所有者・パーミッションを確認の上、必要なら変更してください。

# ls -dl /var/run/tomcat
drwxr-xr-x 2 root root 4096 Jun 20 16:21 /var/run/tomcat ↑このディレクトリが存在し、かつ所有者・グループが tomcat tomcat でなければ以下を実行# chown -R tomcat:tomcat /var/run/tomcat

4. Shibbolethのインストール（★）

各ファイル名等の指定は，Version 3.1.2に準拠しています。

1. Shibboleth IdP パッケージのダウンロード

http://www.shibboleth.net/downloads/identity-provider/latest/から最新版のIdP（ shibboleth-identity-provider-3.?.?.zip ）をダウンロードします。

ダウンロードしたファイルの真正性を確かめるにはPGP署名（ダウンロードURLに".asc"を追加したもの）を確認してください。

2. インストール（★）

実習セミナー

・Shibboleth IdPのパッケージは、「/root/PKG」配下にあります。
　以下のコマンドで移動して、以降の手順を実施してください。
　# cd /root/PKG

shibboleth-identity-provider-3.?.?.zip を適当なディレクトリに置いて、以下のコマンドを実行してください。

# unzip shibboleth-identity-provider-3.?.?.zip
# cd shibboleth-identity-provider-3.?.?
# ./bin/install.sh

install.shシェルスクリプトを実行すると、以下のような問い合わせがあります。
手順に従って、進めてください。

実習セミナー

・Hostnameは、設定しなくても設定されているはずです。
　各自IdPサーバのホスト名が設定されていることを確認します。
　例）1番を割り振られた場合
　　　ex-idp-test01.gakunin.nii.ac.jp
・Attribute Scopeは、「gakunin.nii.ac.jp」が設定されているので「nii.ac.jp」を入力して設定してください。

Source (Distribution) Directory: [/root/PKG/shibboleth-identity-provider-3.1.2]
[Enter]　←入力なし
Installation Directory: [/opt/shibboleth-idp]
[Enter]　←入力なし Hostname: [upkishib-idp.nii.ac.jp]
[Enter]　←入力なし ※表示されたホスト名が違う場合、設定してください。
SAML EntityID: [https://upkishib-idp.nii.ac.jp/idp/shibboleth] [Enter]　←入力なし Attribute Scope: [nii.ac.jp] [Enter]　←入力なし ※表示されたスコープが違う場合、設定してください。TLS Private Key Password: tlspass[Enter]　←任意のパスワード
Re-enter password: tlspass[Enter] Cookie Encryption Key Password: cookiepass[Enter]　←任意のパスワード Re-enter password: cookiepass[Enter]

（省略）

BUILD SUCCESSFUL Total time: 2 minutes 9 seconds

上記のような質問に答えながら、インストールを行います。

3. パーミッションの調整（★）

Tomcatを”tomcat”ユーザで実行する場合は、ログファイルを出力できるようディレクトリの所有者を変更します。
同様に、設定ファイルやメタデータの保存ディレクトリなどの所有者・パーミッションも変更します。

# chown -R tomcat:tomcat /opt/shibboleth-idp/logs
# chgrp -R tomcat /opt/shibboleth-idp/conf
# chmod -R g+r /opt/shibboleth-idp/conf
# find /opt/shibboleth-idp/conf -type d -exec chmod -R g+s {} \;
# chgrp tomcat /opt/shibboleth-idp/metadata
# chmod g+w /opt/shibboleth-idp/metadata
# chmod +t /opt/shibboleth-idp/metadata

4. jakarta-taglibs-core.jar と jakarta-taglibs-standard.jar の配置（★）

IdPの動作に必要なjstl.jar（jakarta-taglibs-core.jar と jakarta-taglibs-standard.jar）を配置します。
CentOS6の場合、jakarta-taglibs-standardパッケージに入っているので、 yum でインストールします。

# yum install jakarta-taglibs-standard

/usr/share/java 配下にインストールされているので、edit-webapp/ 配下にシンボリックリンクを作成し、idp.warに含めます。

# ln -s /usr/share/java/jakarta-taglibs-core.jar /opt/shibboleth-idp/edit-webapp/WEB-INF/lib/jakarta-taglibs-core.jar
# ln -s /usr/share/java/jakarta-taglibs-standard.jar /opt/shibboleth-idp/edit-webapp/WEB-INF/lib/jakarta-taglibs-standard.jar
# /opt/shibboleth-idp/bin/build.sh
Installation Directory: [/opt/shibboleth-idp]
[Enter]　←入力なし
Rebuilding /opt/shibboleth-idp/war/idp.war ...
...done

BUILD SUCCESSFUL
Total time: 3 seconds

5. idp.war の登録（★）

${CATALINA_BASE}/conf/Catalina/localhost/idp.xml という新規ファイルを以下の内容で作成し、idp.warをTomcatが認識できるようにします。

<Context docBase="/opt/shibboleth-idp/war/idp.war"
         privileged="true"
         antiResourceLocking="false"
         swallowOutput="true"> <Manager pathname="" /> </Context>

httpdの再起動とTomcatの起動を行います。（すでにTomcatが起動している場合はstopしてから行ってください）

# service httpd restart
# service tomcat7 start

Tomcatの起動後、${CATALINA_BASE}/logs/catalina.out にエラーが出力されていない事を確認してください。

※catalina.outにTomcat終了時（再起動時）のタイミングで以下のようなエラーが表示されることがありますが問題ありませんので無視してください。

致命的: A web application appears to have started a TimerThread named [Timer-0] via the java.util.Timer API but has failed to stop it. To prevent a memory leak, the timer (and hence the associated thread) has been forcibly cancelled.

致命的: A web application created a ThreadLocal with key of type [null] (value [ch.qos.logback.core.UnsynchronizedAppenderBase$1@XXXXXXXX]) and a value of type [java.lang.Boolean] (value [false]) but failed to remove it when the web application was stopped. To prevent a memory leak, the ThreadLocal has been forcibly removed.

(関連するバグレポート)

5. サービスの起動・停止方法

httpd の起動方法

service httpd start

tomcat の起動方法

service tomcat7 start
sh /usr/java/tomcat/bin/startup.sh (起動スクリプトを利用しない場合)

httpd の停止方法

service httpd stop

tomcat の停止方法

service tomcat7 stop
sh /usr/java/tomcat/bin/shutdown.sh (起動スクリプトを利用しない場合)

スペースショートカット

ページツリー

IdPv3のインストール

1. 実習に使用する仮想サーバについて

2. jdk 7をインストールする

インストール

3. tomcat 7をインストールする

インストール

自動起動の設定

profileの追加

5. httpd の設定（★）

6. server.xmlの修正（★）

7. "tomcat"ユーザで起動（★）

4. Shibbolethのインストール（★）

1. Shibboleth IdP パッケージのダウンロード

2. インストール（★）

3. パーミッションの調整（★）

4. jakarta-taglibs-core.jar と jakarta-taglibs-standard.jar の配置（★）

5. idp.war の登録（★）

5. サービスの起動・停止方法

httpd の起動方法

tomcat の起動方法

httpd の停止方法

tomcat の停止方法

インストールが完了したら，サイト情報等の設定を行って下さい．

スペース ショートカット

ページ ツリー

IdPv3のインストール

IdPv3のインストール

1. 実習に使用する仮想サーバについて

2. jdk 7をインストールする

インストール

3. tomcat 7をインストールする

インストール

自動起動の設定

profileの追加

5. httpd の設定（★）

6. server.xmlの修正（★）

7. "tomcat"ユーザで起動（★）

4. Shibbolethのインストール（★）

1. Shibboleth IdP パッケージのダウンロード

2. インストール（★）

3. パーミッションの調整（★）

4. jakarta-taglibs-core.jar と jakarta-taglibs-standard.jar の配置（★）

5. idp.war の登録（★）

5. サービスの起動・停止方法

httpd の起動方法

tomcat の起動方法

httpd の停止方法

tomcat の停止方法

インストールが完了したら，サイト情報等の設定を行って下さい．

スペースショートカット

ページツリー