[upki-fed:00963] Re: Tomcat 6.0.43でのBack-Channel接続の不具合について

[Takeshi NISHIMURA <xxxxxxx@xxxxxxxxx>]

西村です。

> もしIdPバージョン2を運用していてTomcatのアップデートをお考えの方は、
> 最新のモジュール(tomcat6-dta-ssl-1.1.0.jar)に入れ替えた上でアップ
> デートしてください。

この件ですが、Java 6の環境で1.1.0にするとTomcatが起動しなくなるとい
う問題が見つかり、2.0.0がリリースされています。動かない場合はこちら
をお使いください。

GakuNinShareおよび技術ガイドの該当箇所は更新済みです。

On 2015/08/21 20:05, Takeshi NISHIMURA wrote:
> IdP管理者のみなさま
> 西村です。
> 
> 表題の件について情報共有できておらず申し訳ございません。
> こちらもShibboleth IdPバージョン2に限った問題です（そもそもIdPv3は
> Tomcat 6上で動きません）が、この問題を修正しました。
> 
> もしIdPバージョン2を運用していてTomcatのアップデートをお考えの方は、
> 最新のモジュール(tomcat6-dta-ssl-1.1.0.jar)に入れ替えた上でアップ
> デートしてください。
> 
> GakuNinShare:トラブルシューティング > Tomcat 6.0.43およびそれ以降でのBack-Channel接続のエラー
> https://meatwiki.nii.ac.jp/confluence/pages/viewpage.action?pageId=10227010#id-%E3%83%88%E3%83%A9%E3%83%96%E3%83%AB%E3%82%B7%E3%83%A5%E3%83%BC%E3%83%86%E3%82%A3%E3%83%B3%E3%82%B0-Tomcat6.0.43%E3%81%8A%E3%82%88%E3%81%B3%E3%81%9D%E3%82%8C%E4%BB%A5%E9%99%8D%E3%81%A7%E3%81%AEBack-Channel%E6%8E%A5%E7%B6%9A%E3%81%AE%E3%82%A8%E3%83%A9%E3%83%BC
> 
> On 2015/04/06 12:03, 国立情報学研究所　学認事務局　野田 wrote:
>> 学認公開ML利用者　各位
>> IdP運用ご担当者　各位
>>
>> 　国立情報学研究所　学認事務局です。
>> 日頃より学認の運営にご協力を賜り，ありがとうございます。
>>
>> 　Shibboleth IdPをTomcat 6.0.43で動作させたときに
>> Back-Channelの接続が失敗するという事例が報告されています。
>>
>> エラーの原因については調査中となっていますが，Shibboleth 1.3系
>> （SAML1系）のSPと接続する必要があるIdPでは十分に動作確認を行った上で
>> Tomcatのバージョン変更を行っていただくことをおすすめします。
>>
>> 動作確認には学認で提供しております属性表示サービスがご利用いただけます。
>>
>> 	・運用フェデレーション
>> 	  https://attrviewer13.gakunin.nii.ac.jp
>> 	
>> 	・テストフェデレーション
>> 	  https://test-sp3.gakunin.nii.ac.jp
>> 	
>> 	  ※ test-sp3のみshibd.logがWeb上から閲覧できます
>>
>> 学認事務局で確認しているエラーメッセージの具体例は次の通りです。
>> Back-Channelポートに接続するときに，SPのログにエラーが記録されます。
>>
>> 	（ログファイル /var/log/shibboleth/shibd.log）
>> 	ERROR Shibboleth.AttributeResolver.Query [3]: exception during SAML
>> query to https://IdPのホスト名:8443/idp/profile/SAML1/SOAP
>> /AttributeQuery: CURLSOAPTransport failed while contacting SOAP endpoint
>> (https://IdPのホスト名:8443/idp/profile/SAML1/SOAP/AttributeQuery):
>> error:14094416:SSL routines:SSL3_READ_BYTES:sslv3 alert certificate unknown
>> 	ERROR Shibboleth.AttributeResolver.Query [3]: unable to obtain a SAML
>> response from attribute authority
>>
>> 現時点ではSAML2系での不具合報告はありませんので，Shibboleth 1.3系
>> （SAML1系）のSPと接続しない場合には本問題の影響を受けないと考えられます。
>>
>> 動作事例・対処方法などございましたら，学認事務局まで情報提供いただけれ
>> ば幸いです。

-- 
西村健
国立情報学研究所 TEL:03-4212-2890