shibboleth SP

SP(service provider)加入IDP步驟如下
1SP設定部份:安裝和設定SP,iis和apache有不同方法
2IDP設定部份:設定IDP加入SP

 

##########################################################################
 
SP設定部份

......................................................................................................

SP on IIS 

IIS6前置作業
1
網頁標頭值與IP位置需先設定
ex: 內容>網站>IP位置,及進階>編輯主機標頭值
2
啟用ssl


.......
安裝

1
根據安裝檔來源選擇適合的安裝
https://wiki.shibboleth.net/confluence/display/SHIB2/NativeSPWindowsInstall
ps:
預設安裝路徑 C:optshibboleth-sp
安裝完後會重開機

2
測試
在IIS的ISAPI Filters會多shibboleth 
啟動shibboleth
檢查sp metedata,位置在http:///Shibboleth.sso/Metadata

..................

組態
編輯shibboleth2.xml

part1
1
設定site id
< Site id="< site id>" name="< 主機標頭值>" port="443">
說明如下
< site id> iis各site的識別元
< 主機標頭值> iis各site的主機標頭值
ex:
< Site id="5" name="spiis.systw.net" port="443">

PS:
site id可參考https://wiki.shibboleth.net/confluence/display/SHIB2/NativeSPISAPI

2
設定要驗證的目錄
< Host name="<主機標頭值>">
     < Path name="< 要驗證的目錄>" authType="shibboleth" requireSession="true"/>
< /Host>
ex:
< Host name="spiis.systw.net">
 < Path name="secure" authType="shibboleth" requireSession="true"/>
< /Host>

part2
調整ApplicationDefaults區段
1
設定entity id,
An "https://hostname/shibboleth" is recommended
< ApplicationDefaults entityID="https://hostname/shibboleth"
REMOTE_USER="eppn persistent-id targeted-id">
ex:
< ApplicationDefaults entityID="https://spiis.systw.net/shibboleth"
REMOTE_USER="eppn persistent-id targeted-id">

2
(optional)設定session
< Sessions lifetime="28800" timeout="3600" checkAddress="false"
handlerURL="/Shibboleth.sso" handlerSSL="true" cookieProps="; path=/; secure"
exportLocation="http://localhost/Shibboleth.sso/GetAssertion" exportACL="127.0.0.1"
idpHistory="false" idpHistoryDays="7">

3
定義讀取metadata來源
假如metadata放在本地時設定如下
< MetadataProvider type="XML" file="/opt/installfest/idps/idp#/idp#-metadata.xml" />
ps:
假如metadata放在遠端時設定如下
< MetadataProvider type="XML" uri="http://admin.example.org/downloads/ShibTrain1-metadata.xml"
backingFilePath="ShibTrain1-metadata.xml" reloadInterval="7200">
< /MetadataProvider>

4
定義sessioninitiator
< SSO entityID="https://testidp.example.org/idp/shibboleth">
SAML2 SAML1
< /SSO>

ps:
需注意以下兩點,否則IIS會出現錯誤
1
檢查shibboleth.xml正確性
可使用指令 %SHIBSP_PREFIX%/sbin/shibd.exe -check
2
需注意到iis要有可讀取%SHIBSP_PREFIX%/lib/的權限

ps:
設定方法概要
https://wiki.shibboleth.net/confluence/display/SHIB2/NativeSPIISConfig

 

.......................................................................................................... 

SP on Apache 

apache前置作業 
1
#vi httpd.conf以下資料
UseCanonicalName On
ServerName < YourAssignedHostname>:80
ps:
2
啟用ssl

...

安裝
安裝shib module
https://wiki.shibboleth.net/confluence/display/SHIB2/NativeSPLinuxRPMInstall

1
設定yum
在目錄/etc/yum.repos.d.內新增shib.repo檔案,並包含以下shibboleth的yum組態設定
[security_shibboleth]
name=Shibboleth (CentOS_5)
type=rpm-md
baseurl=http://download.opensuse.org/repositories/security:/shibboleth/CentOS_5/
gpgcheck=1
gpgkey=http://download.opensuse.org/repositories/security:/shibboleth/CentOS_5/repodata/repomd.xml.key
enabled=1
ps:
以上組態設定來自
http://download.opensuse.org/repositories/security://shibboleth/CentOS_5/security:shibboleth.repo

2
以yum安裝
#yum install shibboleth
安裝完後有以下資料
/usr/sbin/shibd #啟動檔
/usr/lib/shibboleth/mod_shib #模組存放處
/etc/shibboleth/ #組態檔放置處
/etc/httpd/conf.d/shib.conf #apache組態
/etc/shibboleth/native.logger #設定log運作
/var/log/shibboleth #主要要的log目錄
/var/log/shibboleth/shibd.log #啟動後會自己產生,找問題先看該檔/var/log/httpd/native.log #log檔,因權限問題預設沒檔案

3
restart service
重開apache(務必確認apache有ssl)
#service httpd restart
啟動shib
#/sbin/service shibd start

4
測試
於sp本機上開啟以下網址
https://localhost/Shibboleth.sso/Status
ps:
開啟位置被限制在/etc/shibboleth/shibboleth2.xml內的
< Handler type="Status" Location="/Status" acl="127.0.0.1"/>


...

組態 
編輯shibboleth2.xml
/etc/shibboleth/shibboleth2.xml

調整ApplicationDefaults區段
1
設定entity id,
An "https://hostname/shibboleth" is recommended
< ApplicationDefaults entityID="https://hostname/shibboleth"
REMOTE_USER="eppn persistent-id targeted-id">
2
(optional)設定session
< Sessions lifetime="28800" timeout="3600" checkAddress="false"
handlerURL="/Shibboleth.sso" handlerSSL="true" cookieProps="; path=/; secure"
exportLocation="http://localhost/Shibboleth.sso/GetAssertion" exportACL="127.0.0.1"
idpHistory="false" idpHistoryDays="7">
3
定義讀取metadata來源
metadata放在本地時
< MetadataProvider type="XML" file="/opt/installfest/idps/idp#/idp#-metadata.xml" />
ps:
metadata放在遠端時
< MetadataProvider type="XML" uri="http://admin.example.org/downloads/ShibTrain1-metadata.xml"
backingFilePath="ShibTrain1-metadata.xml" reloadInterval="7200">
< /MetadataProvider>
4
定義sessioninitiator
< SSO entityID="https://testidp.example.org/idp/shibboleth">
SAML2 SAML1
< /SSO>

(optional)
編輯attribute-map.xml
/etc/shibboleth/attribute-map.xml
調整attribute
可讀取idp得到的使用者資料,預設是不和idp要
ex:
< Attribute name="urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified" id="uid"/>

ps:
可參考
https://wiki.shibboleth.net/confluence/display/SHIB2/NativeSPAttributeExtractor

...

最後檢查
1檢查組態檔是否有錯誤
#/usr/sbin/shibd -t
2重啟web server和shibd
#service httpd restart
#service shibd restart
3確認Status是否正常
https://localhost/Shibboleth.sso/Status

 

#####################################################################

IDP設定部份


讓idp可讀取sp的metadata
sp的metadata在https://< sp url>/Shibboleth.sso/Metadata
ex:
從idp取得sp的metadata
curl -o Metadata.xml -k https://< YourAssignedHostname>/Shibboleth.sso/Metadata

讓idp以讀取本地檔方式指定metadata位置
1
取得metadata
將該metadata放在/opt/shibboleth-idp/metadata並命名為sp.metadata.xml
2
加入relying-party.xml,
設定如下
#vi /opt/shibboleth-idp/conf/relying-party.xml
加入以下區段
< RelyingParty id="https://spurl/shibboleth"
provider="https://idpurl/shibboleth"
defaultSigningCredentialRef="IdPCredential">
< ProfileConfiguration xsi:type="saml:SAML2SSOProfile" encryptAssertions="never" encryptNameIds="never" />
< /RelyingParty>
加入以下區段
< MetadataProvider id="sptest" xsi:type="FilesystemMetadataProvider" xmlns="urn:mace:shibboleth:2.0:metadata"
metadataFile="/opt/shibboleth-idp/metadata/sp.metadata.xml" />
ps:此id不可和其他的重覆,需使用該sp之metadata內的entityID

 

#####################################################################

其他補充 

使用aacli檢查attribute
該工具會檢查resolver,filters,metadata
執行bin/aacli.sh --configDir=conf/ --principal=principal
設定正確會出現
< ?xml version="1.0" encoding="UTF-8"?>< saml2:AttributeStatement xmlns:saml2="urn:oasis:names:tc:SAML:2.0:assertion">
< saml2:Attribute Name="attri1" NameFormat="urn:oasis:names:tc:SAML:2.0:attrname-format:uri">
< saml2:AttributeValue xmlns:xs="http://www.w3.org/2001/XMLSchema" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:type="xs:string">principal
< /saml2:Attribute>
< /saml2:AttributeStatement>
失敗會出現
No attribute statement.
 

2012-11-10 07:58:35發表 2012-11-10 08:48:03修改   

數據分析
程式開發
計算機組織與結構
資料結構與演算法
Database and MySql
manage tool
windows
unix-like
linux service

network
network layer3
network layer2
network WAN
network service
作業系統
數位鑑識
資訊安全解決方案
資訊安全威脅
Cisco security
Cisco network
Cisco layer3
Cisco layer2



  登入      [牛的大腦] | [單字我朋友] Powered by systw.net