1. はじめに
本メニューでは、学術認証フェデレーション内のSPであるGakuNin mAPを使ったグループ属性値を送信する設定を行います。
内容としては、IdPにGakuNin mAPを使用できるようにし、GakuNin mAPにグループなどを作成します。
またSPに対しては、GakuNin mAPに作成するSPコネクタと連携できるように設定します。
※前提条件として、活用編メニューにある「学認申請システムを使ってテストフェデレーションに参加する」を実施しておく必要があります。
※現在は「クラウドゲートウェイ」と呼ばれており、GakuNin mAPはクラウドゲートウェイのグループ機能として統合されておりますが、本ページでは旧称のGakuNin mAPで説明しています。
2. 実習セミナーでは
以下のような設定で行います。
手順書と照らし合わせながら、作業を進めてください。
・前提条件
「学認申請システムを使ってテストフェデレーションに参加する」を実施し、IdPとSPをテストフェデレーションに登録しておく必要があります。
また、テストフェデレーションに存在するクラウドゲートウェイのSP検証環境を使用するので、ホスト名を「sptest.cg.gakunin.jp」に置き換えて設定します。
・スコープの変更
活用編メニューでは各受講生が作成したIdPのスコープを「nii.ac.jp」と統一していましたが、ここでは個別に判断できるように以下のように変更します。
学認申請システムに登録したスコープとIdPの設定を変更します。
スコープは、「nii.ac.jp」から「ex-idp-test**.gakunin.nii.ac.jp」と変更します。
IdPについては、/opt/shibboleth-idp/conf/attribute-resolver.xmlを編集します。
scopeで検索し、設定値を「nii.ac.jp」から「ex-idp-test**.gakunin.nii.ac.jp」に変更してください。
※コメントアウトされている設定を除き3つほどあるかと思います。
また、/opt/shibboleth-idp/conf/idp.propertiesについてもスコープの設定があるので変更します。
idp.scope= ex-idp-test**.gakunin.nii.ac.jp
申請システムとIdPのスコープ変更後、以下のURLにてテストフェデレーション内に変更したスコープが反映されているか確認してください。
https://metadata.gakunin.nii.ac.jp/gakunin-test-metadata.xml
メタデータ内をIdPのentityIDで検索します。スコープは以下の箇所で確認できます。
<shibmd:Scope regexp="false" xmlns:shibmd="urn:mace:shibboleth:metadata:1.0">ex-idp-test**.gakunin.nii.ac.jp</shibmd:Scope>
※**は、各自の番号に置き換えてください。
テストフェデレーションに反映されていることが確認できたら、IdPはTomcat、SPはShibbolethを再起動してサーバ内のメタデータを更新します。
・IdP管理者に必要な情報
手順書の「クラウドゲートウェイ連携のための情報」内にある「IdP管理者に必要な情報」を参照し、IdPに必須属性である「ePPN (eduPersonPrincipalName)」を
送信できるよう/opt/shibboleth-idp/conf/attribute-filter.xmlに設定を追加します。
<!-- Release attributes to mAP --><AttributeFilterPolicy id="PolicyforCloudGateway"><PolicyRequirementRule xsi:type="Requester" value="https://sptest.cg.gakunin.jp/shibboleth-sp" />
<AttributeRule attributeID="eduPersonPrincipalName">
<PermitValueRule xsi:type="ANY" /> </AttributeRule>
</AttributeFilterPolicy>
・SP管理者に必要な情報
手順書の「クラウドゲートウェイ連携のための情報」内にある「SP管理者に必要な情報」を参照し、手順にそって進めていきます。「attribute-policy.xmlの編集」まで行います。
以下のように置き換えることを忘れないように設定してください。
クラウドゲートウェイ（IdP）のメタデータは、以下のように実習セミナー用DSサーバよりダウンロードして、/etc/shibboleth/metadata配下に配置します。# wget https://ex-ds.gakunin.nii.ac.jp/sptestcgidp-metadata.xml# mkdir -p /etc/shibboleth/metadata
# mv sptestcgidp-metadata.xml /etc/shibboleth/metadata
手順書の「shibboleth2.xmlの編集」にあるメタデータのファイル名「cgidp-metadata.xml」を「sptestcgidp-metadata.xml」に置き換えて設定します。
また、「SimpleAggregationの追加」、「attribute-policy.xmlの編集」では、設定値にホスト名があるので、「sptest.cg.gakunin.jp 」に置き換えることを忘れないでください。
・GakuNin mAPの設定： GakuNin mAPにログイン
各自のIdPを使ってGakuNin mAPにログインします。
テストフェデレーションのGakuNin mAPにアクセスします。
「test001」ユーザに管理権限を割り当てているので「test001」でログインします。
https://sptest.cg.gakunin.jp/map/
アカウント作成画面が表示されるので、以下のように設定してください。
氏名： 日本語、英語ともに「ex-idp-test**」とします。
メールアドレス： 任意
※**は、各自の番号に置き換えてください。
・GakuNin mAPの設定： SPコネクタの作成
各自のSPを設定し、GakuNin mAPから属性値を取得できるようにします。
手順書の[SP管理者]-[SPコネクタを作成する]を行ってください。
SPコネクタ名、SPコネクタID、紹介文には、「ex-sp-test**」を入力してください。
その他の項目は、デフォルト値で問題ありません。また対象SPには、各自のSPを指定してください。
※**は、各自の番号に置き換えてください。
・GakuNin mAPの設定： グループの作成
使用するグループを作成します。
手順書の[グループ管理者]-[グループを作成する]を行ってください。
グループ名、グループIDには、「ex-test**」を入力してください。
その他の項目は、デフォルト値で問題ありません。
※**は、各自の番号に置き換えてください。
・GakuNin mAPの設定： グループをSPコネクタに紐づける
グループ情報をSPコネクタで使用できるように設定します。
手順書の[グループ管理者]-[サービスを利用する]を行ってください。
「利用するWebサービスを追加」ボタンをクリックして、作成したSPコネクタを選択します。
ex-sp-test**
※**は、各自の番号に置き換えてください。
3. 手順書
下記の設定手順書を参照し、作業を行います。
※実習時の設定値に置き換える事を忘れないようにしてください。
4. 動作確認
① 各自が使用するSPの接続確認用ページにアクセスします。
例）1番を割り振られた場合 https://ex-sp-test01.gakunin.nii.ac.jp/
② ログインボタンをクリックします。
③ テストフェデレーションの所属機関の選択画面が表示されるので、各自が使用するIdPを選択します。
④ IdPのログイン画面が表示されるので、Username/Passwordを入力して認証を行います。
⑤ 正しく属性受信の確認ページが表示され、isMemberOf属性にSPコネクタ名やグループ名が送信できていることを確認します。
