学認参加IdPがクラウドゲートウェイを利用するために必要な情報をまとめます。
2017年2月22日にクラウドゲートウェイ(https//cgp.gakunin.nii.ac.jp/)は新URL「クラウドゲートウェイ (https://cg.gakunin.jp/) 」に移行しました。
|
まず、クラウドゲートウェイ (entityID: https://cg.gakunin.jp/shibboleth-sp
) に対して以下の属性を送信するようにしてください。
ePPN (eduPersonPrincipalName) | 必須 |
eduPersonTargetedID | 任意 |
jao | 任意 |
o | 任意 |
|
|
|
|
jaDisplayName | 任意 |
displayName | 任意 |
任意 | |
eduPersonAffiliation | 任意 |
ou/jaou/eduPersonTargetedID/eduPersonAffiliationを除いた任意の各属性は、クラウドゲートウェイ上でのアカウント登録時にユーザ情報を初期入力するために使用されます。ユーザ情報の「所属」は日本語および英語がそれぞれjaoおよびoに対応します。ユーザ情報の「氏名」は日本語および英語がjaDisplayNameおよびdisplayNameに対応します。
また、o/jaoおよびou/jaouについては、機関グループもしくは部局グループを作成するのに利用可能です。詳しくは左記お問い合わせ先までお問い合わせください。(機能削除のためご利用いただけません)
eduPersonAffiliationは、faculty/staffであれば当該利用者が管理者となっているグループのメンバーに対する強制入会/属性送信同意強制のオプションが加わります。詳しくはお問い合わせください。
クラウドゲートウェイへの属性送信の設定例は以下を参照してください。設定例となっていますので、所属機関IdPで送信可能な属性への変更してご利用ください。
<!-- Policy for Cloud Gateway --> <AttributeFilterPolicy id="PolicyforCloudGateway"> <PolicyRequirementRule xsi:type="Requester" value="https://cg.gakunin.jp/shibboleth-sp" /> <AttributeRule attributeID="eduPersonPrincipalName"> <PermitValueRule xsi:type="ANY" /> </AttributeRule> <AttributeRule attributeID="jaOrganizationName"> <PermitValueRule xsi:type="ANY" /> </AttributeRule> <AttributeRule attributeID="organizationName"> <PermitValueRule xsi:type="ANY" /> </AttributeRule> <AttributeRule attributeID="jaDisplayName"> <PermitValueRule xsi:type="ANY" /> </AttributeRule> <AttributeRule attributeID="displayName"> <PermitValueRule xsi:type="ANY" /> </AttributeRule> <AttributeRule attributeID="mail"> <PermitValueRule xsi:type="ANY" /> </AttributeRule> </AttributeFilterPolicy> |
そして、クラウドゲートウェイと連携しているサービス(SP)に対しても、必要な属性を送信していないとIdPの利用者は当該サービスが利用できませんのでご注意ください。
連携するIdPが利用できる、クラウドゲートウェイ画面で表示される利用可能サービスの情報を取得するためのAPIを以下に示します。
⇒API(IdP)
SP管理者が提供しているサービスをクラウドゲートウェイと連携させるためには以下の手順に従って設定を行ってください。
以下の手順でisMemberOf属性を取得するためにはあらかじめIdPからeduPersonPrincipalName(ePPN)を取得していなければなりません。 |
クラウドゲートウェイ (IdP)のメタデータを次のリンクから取得して /etc/shibboleth/metadata/ に保存してください。
cgidp-metadata.xml
2017年2月22日以前に設定されたかたは、アクセス先が変わっておりますので、最新のメタデータを用いてください。 以前、Gakunin mAP連携のためにshibboleth2.xmlに以下の1行を追加している場合は 削除 してください。
なお、メタデータ取得時のサーバ証明書検証(初期値ではいずれにしろ不完全です)については以下でご案内しておりますので、もし設定がまだのようであれば別途ご検討いただければと思います。 |
クラウドゲートウェイ (IdP)メタデータの読み込み
a.でダウンロードしたメタデータを読み込むように設定します。他の<MetadataProvider>の後に下記を追加してください。
<MetadataProvider type="XML" file="/etc/shibboleth/metadata/cgidp-metadata.xml"/> |
SimpleAggregationの追加
通常の認証フローの後にeppnを手がかりとしてクラウドゲートウェイ (IdP)からisMemberOf属性を取得するよう、SimpleAggregation設定を行います。
既存の<AttributeResolver>の後に以下の記述を追加します。
<AttributeResolver type="SimpleAggregation" attributeId="eppn" format="urn:oid:1.3.6.1.4.1.5923.1.1.1.6"> <Entity> https://cg.gakunin.jp/idp/shibboleth </Entity> <saml2:Attribute xmlns:saml2="urn:oasis:names:tc:SAML:2.0:assertion" Name="urn:oid:1.3.6.1.4.1.5923.1.5.1.1" NameFormat="urn:oasis:names:tc:SAML:2.0:attrname-format:uri" FriendlyName="isMemberOf"/> </AttributeResolver> |
attribute-map.xmlの編集
/etc/shibboleth/attribute-map.xmlにてisMemberOf属性の設定を確認します。
以下の記述がない場合、最終行の</Attributes>の直前に追加してください。
<Attribute name="urn:oid:1.3.6.1.4.1.5923.1.5.1.1" id="isMemberOf"/> |
<!-- Catch-all that pases everything else through unmolested. -->
の直前に以下の記述を追加してください。
<afp:AttributeRule attributeID="isMemberOf"> <afp:PermitValueRule xsi:type="AttributeIssuerString" value="https://cg.gakunin.jp/idp/shibboleth"/> </afp:AttributeRule> |
.
https://cg.gakunin.jp/sp/SPCID ← SPコネクタ名
https://cg.gakunin.jp/gr/GROUPID ← ユーザが参加しているグループ名
https://cg.gakunin.jp/gr/GROUPID/admin ← ユーザが当該グループの管理者の場合
後者2つは、SPコネクタの設定で「グループ情報も取得する」を選択した場合のみ取得できます。
取得したisMemberOf属性のホスト部をチェックしているプラグインを使用している等で属性値が
|
SPに対応するSPコネクタを作成する
以下の機能はまだ実装されておりませんので、権限が必要な方はお手数ですが下記メールアドレスまでご一報ください。 |
あなたが学認申請システムでSP管理者として申請し、かつePPNを登録している場合はSPコネクタを作成する権限を与えられているはずです。そうでない場合は までお問い合わせください。
SPコネクタ作成の詳細は、mAP利用マニュアルの「SPコネクタを作成する」の章をご参照ください。
.
連携するSPが利用できる、利用者のグループ情報等を取得するためのAPIを以下に示します。
⇒API
1. isMemberOf属性が取得できない
以下2つの条件を満たす場合にはisMemberOf属性が取得できません。
上記でisMemberOf属性が取得できない原因はAttributeQueryのNameIDが暗号化されているためによるものですが、NameIDを暗号化したままisMemberOf属性を取得するためには、最新のメタデータcgidp-metadata.xmlをダウンロードし直すか(最新のメタデータでは use="signing" を削除済み)、以前ダウンロードしたメタデータの use="signing"
(2か所)を削除してください。