[upki-fed:305] Re: Shibboleth SP 2.4.0の注意点

[Takeshi NISHIMURA <xxxxxxx@xxxxxxxxx>]

西村です。

> 例1(DSを使用する場合)：
> <Sessions ...>
>    <SSO discoveryProtocol="SAMLDS" discoveryURL="https://ds.example.ac.jp/WAYF";>
>      SAML2 SAML1
>    </SSO>
>    ...
> </Sessions>

と書きましたが、学認のメタデータテンプレートを使用してメタデータを作成した場合、
このままではDSで
Couldn't find endpoint https://sp.example.ac.jp/Shibboleth.sso/Login in metadata
のようなエラーが出てうまくいきません。
（DSからの戻り値を受けるエンドポイントURLが"/Shibboleth.sso/Login"ではなく
　"/Shibboleth.sso/DS"としてメタデータに記載されているため）

このような場合、メタデータの変更をせずに対処するには、<SSO>...</SSO>の記載は残し
たまま、*</Sessions>の手前*に"/DS"のための記述を追加します。
以下のような感じです。

<Sessions ... >
   <SSO discoveryProtocol="SAMLDS" discoveryURL="https://ds.gakunin.nii.ac.jp/WAYF";>
     SAML2 SAML1
   </SSO>

   ...

   <SessionInitiator type="Chaining" Location="/DS" isDefault="true" id="DS">
      <SessionInitiator type="SAML2" template="bindingTemplate.html"/>
      <SessionInitiator type="Shib1"/>
      <SessionInitiator type="SAMLDS" URL="https://ds.gakunin.nii.ac.jp/WAYF"/>
   </SessionInitiator>
</Sessions>


(2010/12/13 20:04), Takeshi NISHIMURA wrote:
> SP管理者のみなさま
> 西村です。
>
> 12月13日にShibboleth SP 2.4.0が公開され、CentOS用などのリポジトリも更新されている
> ようですが、そのままyum updateするとshibdが起動しなくなりますのでご注意ください！
> ※以下の注意点はyumのリポジトリを使用している場合のみで、ソースからコンパイルされている
> 　方は影響ないと思われます。
> ※また、2.3.1→2.4.0のバージョンアップでセキュリティホールが修正されたという情報もあり
> 　ませんので、yumリポジトリを使用している方はバージョンアップを見合わせた方が無難です。
>
> すでにバージョンアップしてしまい起動しなくなった方は以下を実行した上で起動すれば起動
> するようになると思います。
> $ sudo ln -s shibboleth /etc/XML-Security-C
> $ sudo ln -s shibboleth /var/run/XML-Security-C
> ※これを見てお気付きの方もいらっしゃるかもしれませんが単純なバグなので、早晩修正される
> 　と思います。
>
> # これ以降の記述は2.3.1→2.4へバージョンアップした際の一般的な注意点です。バグが
> # 解消された後にバージョンアップする際にも参照してください。
>
> なお、SPからのリダイレクトがおかしい、という方は、以下を参照して<SSO/>要素を
> <Sessions/>要素の中に追加してください。
> https://spaces.internet2.edu/display/SHIB2/NativeSPServiceSSO
> 例1(DSを使用する場合)：
> <Sessions ...>
>    <SSO discoveryProtocol="SAMLDS" discoveryURL="https://ds.example.ac.jp/WAYF";>
>      SAML2 SAML1
>    </SSO>
>    ...
> </Sessions>
> 例1(DSを介さず直接IdPにリダイレクトしたい場合)
> <Sessions ...>
>    <SSO entityID="https://idp.example.ac.jp/idp/shibboleth";>
>      SAML2 SAML1
>    </SSO>
>    ...
> </Sessions>
> ※2.4の設定ファイルはかなり簡略化されていますが、ひとまず上記の修正のみで動いているようです。
>
> また、/etc/httpd/conf.d/shib.confを修正して使っていた方は、修正が元に戻っていると思います
> ので、/etc/httpd/conf.d/shib.conf.rpmsaveから
> >    Alias /shibboleth-sp/main.css /usr/share/doc/shibboleth-2.3.1/main.css
> >    Alias /shibboleth-sp/logo.jpg /usr/share/doc/shibboleth-2.3.1/logo.jpg
> の行の2.3.1→2.4に変更して戻してあげるとよいと思います。
>
> もう一つ、shibdをrootでなく他のユーザ権限で実行している方へ：
> # CentOSのディレクトリ構成で説明しています。
> /var/log/shibbolethおよび/var/run/shibbolethのパーミッションを変更している
> かと思いますが、初期インストール時の状態に戻りますので再度変更してください。
> また、/etc/init.d/shibdの"SHIBD_USR=root"の行を修正していると思いますが、
> 2.4からは/etc/sysconfig/shibdにファイルを作成して
> SHIBD_USER=shibboleth (例)
> と書いておくとそれが読み込まれます。
>
>
> ちなみに、このバージョンアップで以下のファイルが更新されているようです。
> /etc/httpd/conf.d/shib.conf（前述）
> /etc/rc.d/init.d/shibd（前述）
> /etc/shibboleth/
>      attribute-map.xml
>      attribute-policy.xml
>      native.logger
>      shibd.logger
>      shibboleth2.xml
>      protocols.xml（新設）
>      security-policy.xml（新設）
>      example-shibboleth2.xml（新設、特殊なことをやる場合の参照用）
> これに伴い以下のログファイルが新たに出力されるようになっています。
> /var/log/httpd/native_warn.log
> /var/log/shibboleth/shibd_warn.log
> /var/log/shibboleth/signature.log
> ついでに、本設定(shibboleth2.xml.rpmnew)では以下のハンドラURLが追加されています。
> https://sp.example.ac.jp/Shibboleth.sso/DiscoFeed
>
> また、依存しているパッケージ構成も大幅に更新されています。
> Installed: xmltooling-schemas.i386 1.4-2.1
> Installed: opensaml-schemas.i386 2.4-2.1
> Installed: liblog4shib1.i386 1.0.4-2.1
> Installed: libxerces-c-3_1.i386 3.1.1-2.1
> Installed: libxml-security-c16.i386 1.6.0-2.1
> Installed: libxmltooling5.i386 1.4-2.1
> Installed: libsaml7.i386 2.4-2.1
> Erased: opensaml
> Erased: xmltooling
> Erased: log4shib
> Erased: xerces-c
> Erased: xml-security-c
> Updated: shibboleth.i386 2.4-2.1

--
西村健
国立情報学研究所 TEL:03-4212-2720