[upki-fed:01144] Re: 学認フェデレーションメタデータ 更新状況確認のお願い

[Takeshi NISHIMURA <xxxxxxx@xxxxxxxxx>]

西村です。

補足が遅くなりましてすみません。

まず、今回の問題はOpenJDKに限ったものではなく、Oracle JDKも
対象となると思われます。ただし、Oracleのほうの6, 7は公開が
終わっておりますので、現在使用中のOracle JDKが古くて問題が
ある場合、同メジャーバージョンのOpenJDKに移行することも選択
肢の一つかと思われます。（RHEL/CentOSのようにディストリビュー
ションがOpenJDKのアップデートを継続していることが前提です）

また、元メールではDHの問題に触れておりますが、他の要因でメタ
データダウンロードに失敗していると推測される事例もございます。
いずれもサポートしている暗号アルゴリズムが古くて最近施された
制約に対応しきれていないと思われますが、他の原因と思われる
ものがございましたら、情報をお寄せいただけましたら幸いです。

また元メールに、ダウンロードしたメタデータ（バッキングファイル）
のタイムスタンプへの言及がありますが、昔ご案内したダウンロードの
試行が行われない場合と異なり、今回のようにダウンロードが試行
される（が失敗する）場合、タイムスタンプが試行された時刻に
更新されることを確認しております。これはShibboleth IdPバージョン3
でも同様のようです。

> 2017/02/02 18:02、国立情報学研究所　学認事務局　野田 <xxxxxxxxxxxxxx@xxxxxxxxx>のメール:
> 
> 学認参加IdP　運用ご担当者　各位
> （情報共有のため，学認公開メーリングリストにも配信しております）
> 
> 　国立情報学研究所　学認事務局の野田です。
> 日頃より学認の運営にご協力を賜り，ありがとうございます。
> 
> 
> 2017年1月19日に学認フェデレーションメタデータを公開しているサーバーのアップデートを実施いたしました。この影響で，一部の機関のIdPにてメタデータの更新に失敗するという事象が報告されています。
> IdPを運用されている機関におかれましては，以下の点についてご確認ください。
> 
> -----------------------------------------------------------------------
>  IdPがダウンロードしたフェデレーションメタデータに記載のvalidUntilの日
>  付けが，「2017年2月1日」以降の日時に更新されていない場合は，メタデー
>  タの更新に失敗している可能性があります。
>  (注意: ファイルのタイムスタンプではなく，メタデータ内に記載されている
>  「validUntil="2017〜"」の日時をご確認ください)
> 
>  また，1月19日以降，idp-process.logに以下のメッセージ出力がある場合は，
>  メタデータの更新に失敗している可能性があります。
> 
>  (メッセージ)
>  Entire metadata document from 'https://metadata.gakunin.nii.ac.jp/gakunin-metadata.xml' was expired at time of loading
> 
> -----------------------------------------------------------------------
> 
> 上記をご確認いただき，該当する場合は以下のご対応をお願いいたします。
> 
> 
> * 古いバージョンのJava(OpenJDK)を利用されている場合は，bit長の大きなDH
>  鍵を扱えない不具合[1]が影響している可能性があります。最新版のOpenJDK
>  にアップデートをお願いいたします。
> 
>  [1] https://rhn.redhat.com/errata/RHSA-2014-1620.html
> 
> * 1月19日以降，メタデータ公開サーバのIPアドレスが変更となっています。
>  ファイアウォールにメタデータ公開サーバのIPアクセスを登録してアクセス
>  制御を行っている場合は，フィルタリングルールをご確認いただき，現在の
>  IPアドレスへの変更をお願いいたします。
> 
>  旧IPアドレス (廃止)
>    136.187.100.241
>    157.1.72.50
>    210.151.94.180
> 
>  現在のIPアドレス
>    150.100.208.15
>    150.100.208.79
>    150.100.209.79
> 
> 
> 
> ご不明の点がございましたら，学認事務局までお問合せください。
> お手数をおかけ致しますが，以上，どうぞ宜しくお願い申し上げます。

-- 
西村健
国立情報学研究所 TEL:03-4212-2890
⌘