貴学にてIdPをインストールする場合の構築手順
貴学にて、貴学のサーバにOSからShibboleth(IdP)までインストール・設定を行い、構築する方式です。
1. Shibboleth IdP (version 2.3以降) の動作要件
以下は本技術ガイドで構築する前提となる環境です。
- Apache HTTP Server 2.2 以上 と mod_ssl
以下のパッケージはインストール方法も含めて以降の手順で説明します。
- Apache Tomcat 6.0.17以上 (かつ7未満。Tomcat 7ではSOAP接続がサポートされません)
- Java 6 以上
- Java 7を使用する場合は、IdPバージョン2.4.0以降を使用してください。2.3.xにはJava 7上でのみ特定条件で発生するバグがあります。
- CentOSに付属する GNU Javaは利用できません。 OracleのJavaもしくはOpenJDKを利用してください。
他の環境および最新の情報はShibbolethのサイトでご確認ください:
全体, Jetty 7, Apache Tomcat, JBoss Tomcat
2. OSをインストールする
1. OSでの設定
・OS(CentOS 6)インストール
インストーラでインストールするもの。
Webサーバー (HTTPのみ)
OpenLDAP
その他のパッケージは必要に応じてインストールしてください。
ただし、Java開発とTomcat は後の手順で別にインストールします。
※このテキストはSELinuxは無効化されているものとして書かれております。下記コマンドでSELinux設定を確認してください。
$ /usr/sbin/getenforce
・ネットワーク設定
環境に合わせ、ホスト名・ネットワーク・セキュリティを設定して下さい。
2. DNSへ登録する
新しいホスト名とIPアドレスをDNSに登録してください。
3. 時刻同期を設定する
ntpサービスを用い、貴学環境のntpサーバと時刻同期をしてください。
※Shibbolethでは、通信するサーバ間の時刻のずれが約5分を越えるとエラーになります。
3. jdk6、tomcat6をインストールする(★)
1. 古いtomcatの削除
tomcat5-5.5.25以前のバージョンが入っている場合は、削除してください。
2. jdk のインストール(★)
OpenJDKをyumにてインストールします。
# yum install java-1.7.0-openjdk
3. tomcat 6のインストール(★)
CentOS6の場合、標準パッケージでTomcat6が準備されているのでyumにてインストールします。
# yum install tomcat6
自動起動の設定 (このオプション指定では マイナス ‘-’ が2つ必要です)
# chkconfig --add tomcat6 # chkconfig --level 345 tomcat6 on # service tomcat6 start
4. tomcat6.confの修正(★)
$CATALINA_BASE/conf/tomcat6.confを下記のように修正します。
またapache-tomcatのパッケージよりインストールした場合は、本手順が必要ありません。
# Where your java installation lives
#JAVA_HOME="/usr/lib/jvm/java-1.5.0"
JAVA_HOME="/usr/lib/jvm/jre"
# Where your tomcat installation lives
CATALINA_BASE="/usr/share/tomcat6"
CATALINA_HOME="/usr/share/tomcat6"
JASPER_HOME="/usr/share/tomcat6"
CATALINA_TMPDIR="/var/cache/tomcat6/temp"
JAVA_ENDORSED_DIRS="${CATALINA_HOME}/endorsed"
5. profileの修正(★)
/etc/profileを下記のように修正します。
どこでもよいのですが、下記の例では「# /etc/profile」の下(ファイルの2行目)に挿入しています。
下記のJAVA_HOMEは、OpneJDKを使ったパスとなります。
また、CATALINA_HOMEは、yumでTomcat6をインストールした場合のパスとなります。
環境に合わせて変更してください。
# /etc/profile
JAVA_HOME=/usr/lib/jvm/jreMANPATH=$MANPATH:$JAVA_HOME/man
CATALINA_HOME=/usr/share/tomcat6
CATALINA_BASE=$CATALINA_HOME
PATH=$JAVA_HOME/bin:$CATALINA_HOME/bin:
$CATALINA_HOME/bin:
$PATHexport PATH JAVA_HOME CATALINA_HOME
# System wide environment and startup programs, for login setup
追加した環境変数を読み込みます。
# source /etc/profile
※この時点で、tomcatが正常に起動しているか確認します。
以下のアドレスにアクセスし、正常にtomcatのデフォルト画面が表示されるか確認します。
アクセス先のホスト名は、構築中IdPサーバのホスト名に変更してください。
http://example-idp.nii.ac.jp:8080
5. httpd の設定(★)
実習セミナー
・ここで設定するホスト名は、各自IdPサーバのホスト名を設定してください。
例)1番を割り振られた場合
ex-idp-test01.ecloud.nii.ac.jp
/etc/httpd/conf/httpd.conf の修正
(省略) ServerName example-idp.nii.ac.jp:80 ←ホスト名 (省略)
/etc/httpd/conf.d/ssl.conf の修正
(省略) <VirtualHost _default_:443> (省略) ServerName example-idp.nii.ac.jp:443 ←ホスト名 ProxyPass /idp/ ajp://localhost:8009/idp/ ←追加 (省略)
6. server.xmlの修正(★)
$CATALINA_BASE/conf/server.xmlを下記のように修正します。
他の用途で使用する予定がなければConnector port="8080"をコメントアウトしてください。
<!-- <Connector port="8080" protocol="HTTP/1.1" connectionTimeout="20000" redirectPort="8443" /> -->
Connector port="8009"に以下のように追加してください。
<Connector port="8009" protocol="AJP/1.3" redirectPort="8443"
enableLookups="false" tomcatAuthentication="false" address="127.0.0.1" />
4. Shibbolethのインストール(★)
各ファイル名等の指定は,Version 2.4.0に準拠しています。
1. shibboleth-IdP のダウンロード
http://www.shibboleth.net/downloads/identity-provider/latest/から最新版のIdP
(shibboleth-identityprovider-2.?.?-bin.zip )をダウンロードします。
2. インストール(★)
実習セミナー
・shibboleth-IdPのパッケージは、「/root/PKG」配下にあります。
以下のコマンドで移動して、以降の手順を実施してください。
# cd /root/PKG
shibboleth-idp-2.?.?-bin.zip を適当なディレクトリに置いて、以下のコマンドを実行してください。
# unzip shibboleth-identityprovider-2.?.?-bin.zip # cd shibboleth-identityprovider-2.?.? # ./install.sh
install.shシェルスクリプトを実行すると、以下のような問い合わせがあります。
手順に従って、進めてください。
実習セミナー
・インストール時に設定するホスト名は、各自IdPサーバのホスト名を設定してください。
例)1番を割り振られた場合
ex-idp-test01.ecloud.nii.ac.jp
Buildfile: src/installer/resources/build.xml
install:
!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!
Be sure you have read the installation/upgrade instructions on the Shibboleth website before proceeding.
!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!
Where should the Shibboleth Identity Provider software be installed? [/opt/shibboleth-idp]
[Enter]
←入力なしWhat is the fully qualified hostname of the Shibboleth Identity Provider server? [idp.example.org]
upkishib-idp.nii.ac.jp[Enter]
←ホスト名A keystore is about to be generated for you. Please enter a password that will be used to protect it.
keystore[Enter]
←任意のパスワードUpdating property file: /root/PKG/shibboleth-identityprovider-2.4.0/src/installer/resources/install.properties
(省略)BUILD SUCCESSFUL
Total time: 54 seconds
上記のような質問に答えながら、インストールを行います。
※途中で入力するパスワードはデフォルトで作成されるキーストアファイル(credentials/idp.jks)のパスワードとなります。このテキストでは使用しません。
3. SOAP通信用モジュール配置(★)
実習セミナー
・「tomcat6-dta-ssl-1.0.0.jar」は、「/root/PKG」配下にありますので、以下の
コマンドでコピーしてください。
# cp /root/PKG/tomcat6-dta-ssl-1.0.0.jar $CATALINA_HOME/lib
https://build.shibboleth.net/nexus/content/repositories/releases/edu/internet2/middleware/security/tomcat6/tomcat6-dta-ssl/1.0.0/tomcat6-dta-ssl-1.0.0.jarよりダウンロードします。
tomcat6-dta-ssl-1.0.0.jarを$CATALINA_HOME/lib配下にコピーします。
# cp tomcat6-dta-ssl-1.0.0.jar $CATALINA_HOME/lib
4. Tomcatの設定(★)
/opt/shibboleth-idp/lib/endorsed/ にある5つの jarファイルを $CATALINA_HOME/endorsed ディレクトリを作成してそこへコピーします。
# mkdir $CATALINA_HOME/endorsed # cp /opt/shibboleth-idp/lib/endorsed/*.jar $CATALINA_HOME/endorsed
以下はIdP 2.4.0の場合のファイル名例
serializer-2.10.0.jar
xalan-2.7.1.jar
xercesImpl-2.10.0.jar
xml-apis-2.10.0.jar
xml-resolver-1.2.jar
Tomcatを”tomcat”ユーザで実行する場合は、ログファイルを出力できるようディレクトリの所有者を変更します。
同様に、メタデータの保存ディレクトリの所有者も変更します。
# chown -R tomcat: /opt/shibboleth-idp/logs
# chown -R tomcat: /opt/shibboleth-idp/metadata
5. idp.war の配置(★)
/opt/shibboleth-idp/war/idp.war ファイルを、
${CATALINA_HOME}/webapps ディレクトリにコピーします。
# cp /opt/shibboleth-idp/war/idp.war ${CATALINA_HOME}/webapps/
httpdとTomcatを再起動します。
# service tomcat6 stop # service httpd restart # service tomcat6 start
Tomcatの起動後、${CATALINA_BASE}/logs/catalina.out にエラーが出力されていない事を確認してください。
※catalina.outにTomcat終了時(再起動時)のタイミングで以下のようなエラーが表示されることがありますが問題ありませんので無視してください。
致命的: A web application appears to have started a TimerThread named [Timer-0] via the java.util.Timer API but has failed to stop it. To prevent a memory leak, the timer (and hence the associated thread) has been forcibly cancelled.
致命的: A web application created a ThreadLocal with key of type [null] (value [ch.qos.logback.core.UnsynchronizedAppenderBase$1@XXXXXXXX]) and a value of type [java.lang.Boolean] (value [false]) but failed to remove it when the web application was stopped. To prevent a memory leak, the ThreadLocal has been forcibly removed.
5. サービスの起動・停止方法
httpd の起動方法
service httpd start
tomcat の起動方法
service tomcat6 start
sh /usr/java/tomcat/bin/startup.sh (起動スクリプトを利用しない場合)
httpd の停止方法
service httpd stop
tomcat の停止方法
service tomcat6 stop
sh /usr/java/tomcat/bin/shutdown.sh (起動スクリプトを利用しない場合)