[upki-fed:00955] Re: Tomcat 6.0.43でのBack-Channel接続の不具合について

[Takeshi NISHIMURA <xxxxxxx@xxxxxxxxx>]

IdP管理者のみなさま
西村です。

表題の件について情報共有できておらず申し訳ございません。
こちらもShibboleth IdPバージョン2に限った問題です（そもそもIdPv3は
Tomcat 6上で動きません）が、この問題を修正しました。

もしIdPバージョン2を運用していてTomcatのアップデートをお考えの方は、
最新のモジュール(tomcat6-dta-ssl-1.1.0.jar)に入れ替えた上でアップ
デートしてください。

GakuNinShare:トラブルシューティング > Tomcat 6.0.43およびそれ以降でのBack-Channel接続のエラー
https://meatwiki.nii.ac.jp/confluence/pages/viewpage.action?pageId=10227010#id-%E3%83%88%E3%83%A9%E3%83%96%E3%83%AB%E3%82%B7%E3%83%A5%E3%83%BC%E3%83%86%E3%82%A3%E3%83%B3%E3%82%B0-Tomcat6.0.43%E3%81%8A%E3%82%88%E3%81%B3%E3%81%9D%E3%82%8C%E4%BB%A5%E9%99%8D%E3%81%A7%E3%81%AEBack-Channel%E6%8E%A5%E7%B6%9A%E3%81%AE%E3%82%A8%E3%83%A9%E3%83%BC

On 2015/04/06 12:03, 国立情報学研究所　学認事務局　野田 wrote:
> 学認公開ML利用者　各位
> IdP運用ご担当者　各位
> 
> 　国立情報学研究所　学認事務局です。
> 日頃より学認の運営にご協力を賜り，ありがとうございます。
> 
> 　Shibboleth IdPをTomcat 6.0.43で動作させたときに
> Back-Channelの接続が失敗するという事例が報告されています。
> 
> エラーの原因については調査中となっていますが，Shibboleth 1.3系
> （SAML1系）のSPと接続する必要があるIdPでは十分に動作確認を行った上で
> Tomcatのバージョン変更を行っていただくことをおすすめします。
> 
> 動作確認には学認で提供しております属性表示サービスがご利用いただけます。
> 
> 	・運用フェデレーション
> 	  https://attrviewer13.gakunin.nii.ac.jp
> 	
> 	・テストフェデレーション
> 	  https://test-sp3.gakunin.nii.ac.jp
> 	
> 	  ※ test-sp3のみshibd.logがWeb上から閲覧できます
> 
> 学認事務局で確認しているエラーメッセージの具体例は次の通りです。
> Back-Channelポートに接続するときに，SPのログにエラーが記録されます。
> 
> 	（ログファイル /var/log/shibboleth/shibd.log）
> 	ERROR Shibboleth.AttributeResolver.Query [3]: exception during SAML
> query to https://IdPのホスト名:8443/idp/profile/SAML1/SOAP
> /AttributeQuery: CURLSOAPTransport failed while contacting SOAP endpoint
> (https://IdPのホスト名:8443/idp/profile/SAML1/SOAP/AttributeQuery):
> error:14094416:SSL routines:SSL3_READ_BYTES:sslv3 alert certificate unknown
> 	ERROR Shibboleth.AttributeResolver.Query [3]: unable to obtain a SAML
> response from attribute authority
> 
> 現時点ではSAML2系での不具合報告はありませんので，Shibboleth 1.3系
> （SAML1系）のSPと接続しない場合には本問題の影響を受けないと考えられます。
> 
> 動作事例・対処方法などございましたら，学認事務局まで情報提供いただけれ
> ば幸いです。

-- 
西村健
国立情報学研究所 TEL:03-4212-2890