Pro-M - Oktatási Üzletág - Wiki - Szerkesztő közreműködései [hu]

NeptunLdapSync

2010-08-11T19:56:38Z

Cstamas(AT)digitus.itk.ppke.hu: /* Implementációk */

Az NIIF Intézet által fejlesztett szinkronizációs folyamat alkalmas arra, hogy Neptunban tárolt felhasználók (hallgatók, oktatók, dolgozók) adatait egy névtárba szinkronizálja. Természetesen lehetséges a névtárat más forrásokból is módosítani (pl. a dolgozói adatok sokhelyütt nem a Neptunban tárolódnak), ezzel a szinkronizációs program nem foglalkozik.

Az NIIF Intézet referencia implementációjának leírása [[NeptunLdapSyncImpl|itt található]]

== Feltételezések ==
* A Neptun tartalmazza az SDA által kifejlesztett szinkronizációs webservice-t (ezt jelen pillanatban az SDA-tól kérni kell)
* A Neptun ezen kívül biztosít egy olyan webservice-t is, amely ellenőrizni tud egy neptunkódhoz tartozó jelszót (információink szerint ilyet néhány helyen biztosít az SDA)
* Létezik egy vagy több - az intézmény által fejlesztett vagy üzembe állított - webes adminisztrációs alkalmazás, ahol a felhasználók a Neptun jelszavuk birtokában tudnak maguk számára
** LDAP jelszót generálni (a neptunos jelszó '''nem''' szinkronizálódik az LDAP-ba)
** LDAP jelszót megváltoztatni
** LDAP azonosítót generálni (opcionális, az intézmény algoritmikusan generált azonosítókat is alkalmazhat)
** további LDAP attribútumokat generáltatni (pl. levelezéshez, Unix bejelentkezéshez stb.)

== Felhasználó életciklusa ==
# Neptun felhasználói bejegyzés létrehozása (részletek nélkül)
# Felhasználói adatok szinkronizálása az LDAP-ba
# LDAP jelszó aktiválása
# Neptun adatok változásának szinkronizációja
#* személyi adatok
#* státusz adatok
#* szervezeti kapcsolódás adatai
#* oktatási adatok
# ''(opcionális)'' POSIX attribútumok generálása
# ''(opcionális)'' Elfelejtett LDAP jelszó újragenerálása Neptun autentikáció után
# Neptun státusz adatok alapján passzív / kilépett státuszba helyezés
# LDAP bejegyzés törlése
== Részletek ==
=== Attribútum mapping ===

==== Azonosító adatok ====
{| class="wikitable" cellpadding="5" width="90%"
! Attribútum !! LDAP Attribútum !! Megjegyzés
|-
| Neptun kód || niifPersonOrgID ||
|}

==== Személyi adatok ====
{| class="wikitable" cellpadding="5" width="90%"
! Attribútum !! LDAP Attribútum !! Megjegyzés
|-
| Vezetéknév || sn ||
|-
| Keresztnév || givenName ||
|-
| Teljes név || cn ||
|-
| Titulus || title || pl. Dr.
|-
| Telefonszám || telephoneNumber, mobile, fax || A mobiltelefonszámot érdemes külön LDAP attribútumban tárolni a többi telefonszámtól. Speciális konverziós logika szükséges lehet (például az elválasztó karakterek törlése).
|-
| E-mail cím || mail ||
|}

==== Státusz adatok ====
{| class="wikitable" cellpadding="5" width="90%"
! Attribútum !! LDAP Attribútum !! Megjegyzés
|-
| Hallgatói státusz || eduPersonAffiliation={'student', 'member'} || Ha van hozzá olyan képzés, aminek hallgatója
|-
| Oktatói státusz || eduPersonAffiliation={'faculty', 'member'} || Ha az elmúlt N évben volt kurzushoz kapcsolódása
|-
| Alkalmazotti státusz || eduPersonAffiliation={'employee', 'staff', 'member'} || Ha alkalmazott
|}

==== Metaadatok ====
{| class="wikitable" cellpadding="5" width="90%"
! Attribútum !! LDAP Attribútum !! Megjegyzés
|-
| Bejegyzés archiválásának időpontja || schacExpiryDate || Azon időpont, amikor a bejegyzést az aktív felhasználók közül el kell távolítani, ezután semmilyen szolgáltatáshoz nem férhet hozzá
|-
| Egyéb státuszok || schacUserStatus || Pl. az intézményhez fűződő viszonya (meddig tart), bizonyos szolgáltatásokat meddig érhet el, stb
|}

==== Szervezeti kapcsolódások ====
{| class="wikitable" cellpadding="5" width="90%"
! Attribútum !! LDAP Attribútum !! Megjegyzés
|-
| Kar || niifEduPersonFaculty(DN) || Képzés kar szabadszöveges megnevezése (kódja) - csak hallgatóknál
|-
| Szak || niifEduPersonMajor || Képzés szak szabadszöveges megnevezése - csak hallgatóknál
|-
| Egyéb szervezeti egység || eduPersonOrgUnitDN || Pl tanszék, intézet, kollégium
|}

==== Oktatási adatok ====
{| class="wikitable" cellpadding="5" width="90%"
! Attribútum !! LDAP Attribútum !! Megjegyzés
|-
| Aktívan oktatott tárgyak listája || niifEduPersonHeldCourse || Azon tárgykódok listája, melynek az elmúlt 1 évben indult olyan kurzusa, amit az adott oktató tartott
|-
| Tárgyfelelős || eduPersonEntitlement? || Azon tárgykódok listája, melynek az oktató jelenleg tárgyfelelőse
|-
| Aktuális félévben hallgatott tárgyak listája || niifEduPersonAttendedCourse ||
|-
| Valaha hallgatott tárgyak listája || niifEduPersonArchiveCourse || Aktuális félév tárgyai is
|}

=== Jelszó beállító felület ===
=== Törlési folyamat ===
=== Státusz ===

== Szinkronizáció ==
A Neptun és az LDAP közötti szinkronizációt az LDAP oldali szinkronizáló szkript indítja.

=== Neptun interfészek ===
A szinkronizálás a Neptun által biztosított XML Webszolgáltatáson keresztül valósul meg. A legtöbb művelet két paramétert fogad: időbélyeg illetve Neptun lista - mindkettő opcionális. Amennyiben az időbélyeg szerepel, csak a megadott időpont óta módosult rekordok kerülnek át. A Neptun lista megadása az adott bejegyzésekre szűkíti az eredményt.

Fontos, hogy pl. a személyi adatoknál az időbélyeg a Neptun-ban a teljes rekordra értelmezett, tehát nem csak a szinkronizálni kívánt adatok triggerelik a változását.

* Szervezeti struktúra
** paraméterek: nincs
** visszatérés: szervezeti egységek fastruktúrája (egységenként: kód, szerv. egység neve, típusa)
** ritka szinkronizálás (félévente)
* Neptun kódok és státuszok
** paraméterek: opc. időbélyeg, opc. Neptun lista
** visszatérés: Neptun kód, hallgatói státusz, oktatói státusz, alkalmazotti státusz
** gyakori szinkronizálás (legalább naponta)
* Személyi adatok
** paraméterek: opc. időbélyeg, opc. Neptun lista
** visszatérés: Neptun kódhoz tartozó személyi adatok
** gyakori szinkronizálás (naponta)
* Szervezeti kapcsolódás
** paraméterek: opc. időbélyeg, opc. Neptun lista
** visszatérés: Neptun kódhoz tartozó szervezeti egységek kódja
** ritka szinkronizálás (félévente)
* Oktatási adatok
** paraméterek: Neptun lista
** visszatérés: minden megadott neptun kódhoz az összes oktatási adat (nem csak a változások)
** ritka szinkronizálás (szorgalmi időszakban hetente, tárgyjelentkezési időszak kezdetétől regisztrációs hét végéig nincs szinkronizálás)

= Implementációk =
* [[NeptunLdapSyncImpl|NIIF szinkronizáció implementáció (PHP)]]
* [[NeptunWebservicePPKE|Neptun webservice szinkronizációs próbálkozások a PPKE-n]]

NeptunLdapSync

2010-08-11T19:55:24Z

Cstamas(AT)digitus.itk.ppke.hu: /* Implementációk */

Az NIIF Intézet által fejlesztett szinkronizációs folyamat alkalmas arra, hogy Neptunban tárolt felhasználók (hallgatók, oktatók, dolgozók) adatait egy névtárba szinkronizálja. Természetesen lehetséges a névtárat más forrásokból is módosítani (pl. a dolgozói adatok sokhelyütt nem a Neptunban tárolódnak), ezzel a szinkronizációs program nem foglalkozik.

Az NIIF Intézet referencia implementációjának leírása [[NeptunLdapSyncImpl|itt található]]

== Feltételezések ==
* A Neptun tartalmazza az SDA által kifejlesztett szinkronizációs webservice-t (ezt jelen pillanatban az SDA-tól kérni kell)
* A Neptun ezen kívül biztosít egy olyan webservice-t is, amely ellenőrizni tud egy neptunkódhoz tartozó jelszót (információink szerint ilyet néhány helyen biztosít az SDA)
* Létezik egy vagy több - az intézmény által fejlesztett vagy üzembe állított - webes adminisztrációs alkalmazás, ahol a felhasználók a Neptun jelszavuk birtokában tudnak maguk számára
** LDAP jelszót generálni (a neptunos jelszó '''nem''' szinkronizálódik az LDAP-ba)
** LDAP jelszót megváltoztatni
** LDAP azonosítót generálni (opcionális, az intézmény algoritmikusan generált azonosítókat is alkalmazhat)
** további LDAP attribútumokat generáltatni (pl. levelezéshez, Unix bejelentkezéshez stb.)

== Felhasználó életciklusa ==
# Neptun felhasználói bejegyzés létrehozása (részletek nélkül)
# Felhasználói adatok szinkronizálása az LDAP-ba
# LDAP jelszó aktiválása
# Neptun adatok változásának szinkronizációja
#* személyi adatok
#* státusz adatok
#* szervezeti kapcsolódás adatai
#* oktatási adatok
# ''(opcionális)'' POSIX attribútumok generálása
# ''(opcionális)'' Elfelejtett LDAP jelszó újragenerálása Neptun autentikáció után
# Neptun státusz adatok alapján passzív / kilépett státuszba helyezés
# LDAP bejegyzés törlése
== Részletek ==
=== Attribútum mapping ===

==== Azonosító adatok ====
{| class="wikitable" cellpadding="5" width="90%"
! Attribútum !! LDAP Attribútum !! Megjegyzés
|-
| Neptun kód || niifPersonOrgID ||
|}

==== Személyi adatok ====
{| class="wikitable" cellpadding="5" width="90%"
! Attribútum !! LDAP Attribútum !! Megjegyzés
|-
| Vezetéknév || sn ||
|-
| Keresztnév || givenName ||
|-
| Teljes név || cn ||
|-
| Titulus || title || pl. Dr.
|-
| Telefonszám || telephoneNumber, mobile, fax || A mobiltelefonszámot érdemes külön LDAP attribútumban tárolni a többi telefonszámtól. Speciális konverziós logika szükséges lehet (például az elválasztó karakterek törlése).
|-
| E-mail cím || mail ||
|}

==== Státusz adatok ====
{| class="wikitable" cellpadding="5" width="90%"
! Attribútum !! LDAP Attribútum !! Megjegyzés
|-
| Hallgatói státusz || eduPersonAffiliation={'student', 'member'} || Ha van hozzá olyan képzés, aminek hallgatója
|-
| Oktatói státusz || eduPersonAffiliation={'faculty', 'member'} || Ha az elmúlt N évben volt kurzushoz kapcsolódása
|-
| Alkalmazotti státusz || eduPersonAffiliation={'employee', 'staff', 'member'} || Ha alkalmazott
|}

==== Metaadatok ====
{| class="wikitable" cellpadding="5" width="90%"
! Attribútum !! LDAP Attribútum !! Megjegyzés
|-
| Bejegyzés archiválásának időpontja || schacExpiryDate || Azon időpont, amikor a bejegyzést az aktív felhasználók közül el kell távolítani, ezután semmilyen szolgáltatáshoz nem férhet hozzá
|-
| Egyéb státuszok || schacUserStatus || Pl. az intézményhez fűződő viszonya (meddig tart), bizonyos szolgáltatásokat meddig érhet el, stb
|}

==== Szervezeti kapcsolódások ====
{| class="wikitable" cellpadding="5" width="90%"
! Attribútum !! LDAP Attribútum !! Megjegyzés
|-
| Kar || niifEduPersonFaculty(DN) || Képzés kar szabadszöveges megnevezése (kódja) - csak hallgatóknál
|-
| Szak || niifEduPersonMajor || Képzés szak szabadszöveges megnevezése - csak hallgatóknál
|-
| Egyéb szervezeti egység || eduPersonOrgUnitDN || Pl tanszék, intézet, kollégium
|}

==== Oktatási adatok ====
{| class="wikitable" cellpadding="5" width="90%"
! Attribútum !! LDAP Attribútum !! Megjegyzés
|-
| Aktívan oktatott tárgyak listája || niifEduPersonHeldCourse || Azon tárgykódok listája, melynek az elmúlt 1 évben indult olyan kurzusa, amit az adott oktató tartott
|-
| Tárgyfelelős || eduPersonEntitlement? || Azon tárgykódok listája, melynek az oktató jelenleg tárgyfelelőse
|-
| Aktuális félévben hallgatott tárgyak listája || niifEduPersonAttendedCourse ||
|-
| Valaha hallgatott tárgyak listája || niifEduPersonArchiveCourse || Aktuális félév tárgyai is
|}

=== Jelszó beállító felület ===
=== Törlési folyamat ===
=== Státusz ===

== Szinkronizáció ==
A Neptun és az LDAP közötti szinkronizációt az LDAP oldali szinkronizáló szkript indítja.

=== Neptun interfészek ===
A szinkronizálás a Neptun által biztosított XML Webszolgáltatáson keresztül valósul meg. A legtöbb művelet két paramétert fogad: időbélyeg illetve Neptun lista - mindkettő opcionális. Amennyiben az időbélyeg szerepel, csak a megadott időpont óta módosult rekordok kerülnek át. A Neptun lista megadása az adott bejegyzésekre szűkíti az eredményt.

Fontos, hogy pl. a személyi adatoknál az időbélyeg a Neptun-ban a teljes rekordra értelmezett, tehát nem csak a szinkronizálni kívánt adatok triggerelik a változását.

* Szervezeti struktúra
** paraméterek: nincs
** visszatérés: szervezeti egységek fastruktúrája (egységenként: kód, szerv. egység neve, típusa)
** ritka szinkronizálás (félévente)
* Neptun kódok és státuszok
** paraméterek: opc. időbélyeg, opc. Neptun lista
** visszatérés: Neptun kód, hallgatói státusz, oktatói státusz, alkalmazotti státusz
** gyakori szinkronizálás (legalább naponta)
* Személyi adatok
** paraméterek: opc. időbélyeg, opc. Neptun lista
** visszatérés: Neptun kódhoz tartozó személyi adatok
** gyakori szinkronizálás (naponta)
* Szervezeti kapcsolódás
** paraméterek: opc. időbélyeg, opc. Neptun lista
** visszatérés: Neptun kódhoz tartozó szervezeti egységek kódja
** ritka szinkronizálás (félévente)
* Oktatási adatok
** paraméterek: Neptun lista
** visszatérés: minden megadott neptun kódhoz az összes oktatási adat (nem csak a változások)
** ritka szinkronizálás (szorgalmi időszakban hetente, tárgyjelentkezési időszak kezdetétől regisztrációs hét végéig nincs szinkronizálás)

= Implementációk =
* [[NeptunLdapSyncImpl|NIIF szinkronizáció implementáció (PHP)]]
* [[NeptunLdapSyncWSatPPKE|Neptun webservice szinkronizációs próbálkozások a PPKE-n]]

NeptunLdapSync

2010-08-11T19:54:05Z

Cstamas(AT)digitus.itk.ppke.hu: /* Implementációk */ PPKE link

Az NIIF Intézet által fejlesztett szinkronizációs folyamat alkalmas arra, hogy Neptunban tárolt felhasználók (hallgatók, oktatók, dolgozók) adatait egy névtárba szinkronizálja. Természetesen lehetséges a névtárat más forrásokból is módosítani (pl. a dolgozói adatok sokhelyütt nem a Neptunban tárolódnak), ezzel a szinkronizációs program nem foglalkozik.

Az NIIF Intézet referencia implementációjának leírása [[NeptunLdapSyncImpl|itt található]]

== Feltételezések ==
* A Neptun tartalmazza az SDA által kifejlesztett szinkronizációs webservice-t (ezt jelen pillanatban az SDA-tól kérni kell)
* A Neptun ezen kívül biztosít egy olyan webservice-t is, amely ellenőrizni tud egy neptunkódhoz tartozó jelszót (információink szerint ilyet néhány helyen biztosít az SDA)
* Létezik egy vagy több - az intézmény által fejlesztett vagy üzembe állított - webes adminisztrációs alkalmazás, ahol a felhasználók a Neptun jelszavuk birtokában tudnak maguk számára
** LDAP jelszót generálni (a neptunos jelszó '''nem''' szinkronizálódik az LDAP-ba)
** LDAP jelszót megváltoztatni
** LDAP azonosítót generálni (opcionális, az intézmény algoritmikusan generált azonosítókat is alkalmazhat)
** további LDAP attribútumokat generáltatni (pl. levelezéshez, Unix bejelentkezéshez stb.)

== Felhasználó életciklusa ==
# Neptun felhasználói bejegyzés létrehozása (részletek nélkül)
# Felhasználói adatok szinkronizálása az LDAP-ba
# LDAP jelszó aktiválása
# Neptun adatok változásának szinkronizációja
#* személyi adatok
#* státusz adatok
#* szervezeti kapcsolódás adatai
#* oktatási adatok
# ''(opcionális)'' POSIX attribútumok generálása
# ''(opcionális)'' Elfelejtett LDAP jelszó újragenerálása Neptun autentikáció után
# Neptun státusz adatok alapján passzív / kilépett státuszba helyezés
# LDAP bejegyzés törlése
== Részletek ==
=== Attribútum mapping ===

==== Azonosító adatok ====
{| class="wikitable" cellpadding="5" width="90%"
! Attribútum !! LDAP Attribútum !! Megjegyzés
|-
| Neptun kód || niifPersonOrgID ||
|}

==== Személyi adatok ====
{| class="wikitable" cellpadding="5" width="90%"
! Attribútum !! LDAP Attribútum !! Megjegyzés
|-
| Vezetéknév || sn ||
|-
| Keresztnév || givenName ||
|-
| Teljes név || cn ||
|-
| Titulus || title || pl. Dr.
|-
| Telefonszám || telephoneNumber, mobile, fax || A mobiltelefonszámot érdemes külön LDAP attribútumban tárolni a többi telefonszámtól. Speciális konverziós logika szükséges lehet (például az elválasztó karakterek törlése).
|-
| E-mail cím || mail ||
|}

==== Státusz adatok ====
{| class="wikitable" cellpadding="5" width="90%"
! Attribútum !! LDAP Attribútum !! Megjegyzés
|-
| Hallgatói státusz || eduPersonAffiliation={'student', 'member'} || Ha van hozzá olyan képzés, aminek hallgatója
|-
| Oktatói státusz || eduPersonAffiliation={'faculty', 'member'} || Ha az elmúlt N évben volt kurzushoz kapcsolódása
|-
| Alkalmazotti státusz || eduPersonAffiliation={'employee', 'staff', 'member'} || Ha alkalmazott
|}

==== Metaadatok ====
{| class="wikitable" cellpadding="5" width="90%"
! Attribútum !! LDAP Attribútum !! Megjegyzés
|-
| Bejegyzés archiválásának időpontja || schacExpiryDate || Azon időpont, amikor a bejegyzést az aktív felhasználók közül el kell távolítani, ezután semmilyen szolgáltatáshoz nem férhet hozzá
|-
| Egyéb státuszok || schacUserStatus || Pl. az intézményhez fűződő viszonya (meddig tart), bizonyos szolgáltatásokat meddig érhet el, stb
|}

==== Szervezeti kapcsolódások ====
{| class="wikitable" cellpadding="5" width="90%"
! Attribútum !! LDAP Attribútum !! Megjegyzés
|-
| Kar || niifEduPersonFaculty(DN) || Képzés kar szabadszöveges megnevezése (kódja) - csak hallgatóknál
|-
| Szak || niifEduPersonMajor || Képzés szak szabadszöveges megnevezése - csak hallgatóknál
|-
| Egyéb szervezeti egység || eduPersonOrgUnitDN || Pl tanszék, intézet, kollégium
|}

==== Oktatási adatok ====
{| class="wikitable" cellpadding="5" width="90%"
! Attribútum !! LDAP Attribútum !! Megjegyzés
|-
| Aktívan oktatott tárgyak listája || niifEduPersonHeldCourse || Azon tárgykódok listája, melynek az elmúlt 1 évben indult olyan kurzusa, amit az adott oktató tartott
|-
| Tárgyfelelős || eduPersonEntitlement? || Azon tárgykódok listája, melynek az oktató jelenleg tárgyfelelőse
|-
| Aktuális félévben hallgatott tárgyak listája || niifEduPersonAttendedCourse ||
|-
| Valaha hallgatott tárgyak listája || niifEduPersonArchiveCourse || Aktuális félév tárgyai is
|}

=== Jelszó beállító felület ===
=== Törlési folyamat ===
=== Státusz ===

== Szinkronizáció ==
A Neptun és az LDAP közötti szinkronizációt az LDAP oldali szinkronizáló szkript indítja.

=== Neptun interfészek ===
A szinkronizálás a Neptun által biztosított XML Webszolgáltatáson keresztül valósul meg. A legtöbb művelet két paramétert fogad: időbélyeg illetve Neptun lista - mindkettő opcionális. Amennyiben az időbélyeg szerepel, csak a megadott időpont óta módosult rekordok kerülnek át. A Neptun lista megadása az adott bejegyzésekre szűkíti az eredményt.

Fontos, hogy pl. a személyi adatoknál az időbélyeg a Neptun-ban a teljes rekordra értelmezett, tehát nem csak a szinkronizálni kívánt adatok triggerelik a változását.

* Szervezeti struktúra
** paraméterek: nincs
** visszatérés: szervezeti egységek fastruktúrája (egységenként: kód, szerv. egység neve, típusa)
** ritka szinkronizálás (félévente)
* Neptun kódok és státuszok
** paraméterek: opc. időbélyeg, opc. Neptun lista
** visszatérés: Neptun kód, hallgatói státusz, oktatói státusz, alkalmazotti státusz
** gyakori szinkronizálás (legalább naponta)
* Személyi adatok
** paraméterek: opc. időbélyeg, opc. Neptun lista
** visszatérés: Neptun kódhoz tartozó személyi adatok
** gyakori szinkronizálás (naponta)
* Szervezeti kapcsolódás
** paraméterek: opc. időbélyeg, opc. Neptun lista
** visszatérés: Neptun kódhoz tartozó szervezeti egységek kódja
** ritka szinkronizálás (félévente)
* Oktatási adatok
** paraméterek: Neptun lista
** visszatérés: minden megadott neptun kódhoz az összes oktatási adat (nem csak a változások)
** ritka szinkronizálás (szorgalmi időszakban hetente, tárgyjelentkezési időszak kezdetétől regisztrációs hét végéig nincs szinkronizálás)

= Implementációk =
* [[NeptunLdapSyncImpl|NIIF szinkronizáció implementáció (PHP)]]
* [[NeptunLdapSyncImplPPKE|Neptun webservice szinkronizációs próbálkozások a PPKE-n]]

Shib2IdpInstall

2010-04-20T09:44:56Z

Cstamas(AT)digitus.itk.ppke.hu: újrapróbálkozások számát növeltem a svájci példa alapján

== Előkészületek ==
=== entityID ===
Fontos, hogy az entityID '''egyedi''' és '''állandó''' legyen. Javasolt forma: '''<code>https://idp.intezmenyneve.hu/idp/shibboleth</code>'''.

=== Tűzfal ===
Be kell engedni a 443-as és a 8443-as portokat. Ha nagyon szigorúan vesszük, akkor a 8443-as portot elegendő csak a szóbajöhető SP-kről beengedni, de ezzel általában nem vagyunk tisztában, ezért célszerű a "nagyvilágból" beengedni. Biztonsági szempontból nem sok különbség van a 443-as és a 8443-as porton elérhető alkalmazások között.

== JDK ==
Debian Lenny alatt a <code>sun-java6-jdk</code> csomagot kell feltelepíteni. Telepítés előtt érdemes az aptitude-ban kikapcsolni az opcionális függőségek telepítését.

aptitude install sun-java6-jdk

Állítsuk be, a <code>JAVA_HOME</code> környezeti változót!
export JAVA_HOME=/usr/lib/jvm/java-6-sun

{{ATTENTION|Az <code>openjdk-6-jdk</code> csomag használata esetén ne felejtsük feltenni a <code>ca-certificates-java</code> csomagot, anélkül ugyanis hibát fogunk kapni az IdP indításakor!}}

=== Shibboleth security provider ===
{{INFO|A Shibboleth Security Provider csak akkor szükséges, ha a Java alkalmazásszerver (Tomcat) önállóan fog kéréseket feldolgozni és nem kerül elé proxy (Apache)}}

Be kell másolni a <code>lib/shib-jce-1.0.jar</code> állományt a <code>$JAVA_HOME/jre/lib/ext</code> könyvtárba. Ha az <code>ext/</code> könyvtár nem létezik, akkor hozzuk létre.
cp lib/shib-jce-1.0.jar $JAVA_HOME/jre/lib/ext

Ezek után be kell állítani, hogy a JRE használni is tudja ezt a providert. Ehhez a <code>$JAVA_HOME/jre/lib/security/java.security</code> fájlban keressük meg az ún. "security provider"-eket, és írjuk hozzá a következő sort:
security.provider.7=edu.internet2.middleware.shibboleth.DelegateToApplicationProvider
: '''Megj.:''' a "security.provider." után következő szám mindig a megelőzőnél legyen eggyel nagyobb!

=== Bouncy Castle JCE ===
{{UNCERTAIN|Az alábbi leírás az 5-ös JVM-hez készült, 6-os JVM esetén erre nem biztos hogy szükség van.}}

A JVM-mel jövő Java Cryptography Engine (JCE) nem támogatja az összes kriptográfiai algoritmust, amelyre az Identity Providernek szüksége lehet (pl. XML Digital Signature, XML Encryption). A Bouncy Castle JCE ezek mellett még olyan algoritmusokat is tartalmaz (általában hatékonyabb és szabványosabb formában), amelyek benne vannak a Java JCE-ben.

Ehhez először le kell tölteni a [http://www.bouncycastle.org/latest_releases.html Bouncy Castle JCE-t]. A JCE állományok a Provider oszlopban, a "Signed Jar Files" részben találhatók. (A nevük <code>bcprov-jdk-VERZIO.jar</code>.) Letöltés után a .jar fájlokat a <code>$JAVA_HOME/jre/lib/ext</code> könyvtárba kell tenni.

wget http://www.bouncycastle.org/download/bcprov-jdk15-141.jar
cp bcprov-jdk15-141.jar $JAVA_HOME/jre/lib/ext

Ezek után be kell állítani, hogy a JRE használni is tudja ezt a providert. Ehhez a <code>$JAVA_HOME/jre/lib/security/java.security</code> fájlban keressük meg az ún. "security provider"-eket, és írjuk hozzá a következő sort:
security.provider.8=org.bouncycastle.jce.provider.BouncyCastleProvider
: '''Megj.:''' a "security.provider." után következő szám mindig a megelőzőnél legyen eggyel nagyobb!

== Tomcat 6 ==
A 2.1.3 és újabb IdP megköveteli a Tomcat6 használatát (Tomcat5.5 -tel bizonyos böngészők esetén nem működik rendesen). A Debian Lenny nem tartalmazza a Tomcat6-ot, ezért a testing ágból kell feltelepíteni.

A Tomcat6-ra való frissítésről további - vázlatos - információkkal ez az [[Tomcat55_to_Tomcat6|oldal szolgál]].

=== Telepítés ===
Ha minden rendben meg, és a squeeze source beállításra került, akkor elegendő egy
aptitude install tomcat6
parancs kiadása. Ez felpakolja a tomcat különböző függőségeit is - az ajánlott függőségek (tomcat6-admin, -docs, stb.) feltelepítése nem szükséges.

Ne felejtsük el, hogy a Tomcat szerver "tomcat6" user nevében fog futni! Mivel a Shibboleth servletnek szüksége van arra, hogy hozzáférjen a filerendszerhez, a Java Security Manager-t ki kell kapcsolni a <code>/etc/default/tomcat6</code> fájlban:
TOMCAT6_SECURITY=no

Ahhoz, hogy a Tomcat számára üzembiztosan elegendő memóriát biztosítsunk, ugyanebbe a fájlba ( <code>/etc/default/tomcat6</code> ) adjuk meg:
JAVA_OPTS="-Xms256M -Xmx512M -XX:-DisableExplicitGC "

=== Beállítás ===

A <code>/etc/tomcat6/server.xml</code> fájlt kell szerkesztenünk

==== Ha a Tomcat Apache mögött fut ====
A 8009-es porton figyelő Connector elem konfigurációjához hozzá kell adni, hogy a <code>tomcatAuthentication</code> értéke "false" legyen, ezen kívül a hozzáférést korlátozhatjuk a localhost-ra is (hiszen a Connector-t csak a helyben futó Apache mod_proxy_ajp konnektora érheti el).
<source lang="xml">
<Connector port="8009" address="127.0.0.1" tomcatAuthentication="false"
enableLookups="false" redirectPort="8443" protocol="AJP/1.3" />
</source>

==== Ha a Tomcat önállóan, Apache nélkül fut ====
Ha a Tomcat Apache nélkül fut, akkor be kell állítani, hogy az SP-vel való kommunikációra fenntartott 8443-as porton egyből a Tomcat figyeljen.
<source lang="xml">
<Connector port="8443"
maxHttpHeaderSize="8192"
maxSpareThreads="75"
scheme="https"
secure="true"
clientAuth="want"
SSLEnabled="true"
sslProtocol="TLS"
keystoreFile="IDP_HOME/credentials/idp.jks"
keystorePass="PASSWORD"
truststoreFile="IDP_HOME/credentials/idp.jks"
truststorePass="PASSWORD"
truststoreAlgorithm="DelegateToApplication"/>
</source>
Ahol az <code>IDP_HOME</code> az IdP alapkönyvtára, a <code>PASSWORD</code> pedig az [[#Shibboleth 2.0 IdP telepítés|IdP telepítésekor]] megadandó jelszó lesz.

{{INFO|Amennyiben a Tomcat önállóan fut, szükség van a Shibboleth Security Provider telepítésére!}}

[https://spaces.internet2.edu/display/SHIB2/IdPApacheTomcatPrepare További információ angolul]

== Apache beállítás ==

Tanúsítványok beszerzése és bemásolása <code>/etc/ssl</code> vonatkozó alkönyvtárai alá.

Meg kell adni, hogy az Apache figylejen a 443-as és 8443-as portokon. Az alábbiak kerüljenek a <code>/etc/apache2/ports.conf</code> fájlba

Listen 443
Listen 8443

=== SSO URL (443-as port) ===
Be kell állítani a virtuális hosztot, amelyhez az IdP-t rendeltük. Először a 443-as portot konfiguráljuk.
<source lang="apache">
<VirtualHost _default_:443>
ServerName aai.example.org:443
SSLEngine On
SSLCertificateFile /etc/ssl/certs/aai.example.org.crt
SSLCertificateKeyFile /etc/ssl/private/aai.example.org.key
SSLCertificateChainFile /etc/ssl/certs/aai.example.org.crt
ProxyRequests Off
<Proxy ajp://localhost:8009>
Allow from all
</Proxy>
ProxyPass /idp ajp://localhost:8009/idp retry=5
</VirtualHost>
</source>
Ezen a porton valamilyen széles körben ismert tanúsítványt kell használni, mivel a felhasználók böngészőjének ismerniük kell(ene) a kibocsátót.

=== AA ill. Artifact (8443-as port) ===
Ezen keresztül az SP és az IdP közvetlenül kommunikálnak egymással. Ide arra a tanúsítványra van szükség, amely a föderációs metadatában szerepel - az aláírója nem érdekes.

A csatorna felépítésekor az IdP és az SP is autentikálja magát. Az SP autentikációját az Apache végzi, ami nem végez kibocsátó-ellenőrzést (<code>optional_no_ca</code>). Ez utóbbit az IdP alkalmazás végzi el, ezért nagyon fontos, hogy a kliens tanúsítványát az Apache továbbadja az alkalmazásnak (<code>ExportCertData</code>).
{{ATTENTION_EN|Az Apache a tanúsítvány-ellenőrzésnél ellenőrzi a tanúsítvány típusát. Ezért az SP tanúsítványának vagy kliens tanúsítványnak kell lennie, vagy nem lehet benne típus információ.}}
<source lang="apache">
<VirtualHost _default_:8443>
ServerName aai.example.org:8443
SSLEngine On
SSLCipherSuite ALL:!ADH:!EXPORT56:!EXPORT40:RC4+RSA:!SSLv2:+HIGH:+MEDIUM:+LOW:+EXP
SSLCertificateFile /etc/ssl/certs/aai-aa.example.org.crt
SSLCertificateKeyFile /etc/ssl/private/aai-aa.example.org.key
SSLVerifyDepth 10
SSLVerifyClient optional_no_ca
SSLOptions -StdEnvVars +ExportCertData
ProxyRequests Off
<Proxy ajp://localhost:8009>
Allow from all
</Proxy>
ProxyPass /idp ajp://localhost:8009/idp retry=5
</VirtualHost>
</source>

A virtuális hoszt engedélyezése után be kell tölteni az <code>ssl</code> és <code>proxy_ajp</code> modulokat, majd újra kell indítani az apache-ot.

== Shibboleth 2.x IdP servlet telepítés ==

====Letöltés====

A hivatalos IdP kiadás innen [http://shibboleth.internet2.edu/downloads/shibboleth/idp/latest/ innen tölthető le]

Alternatívaként az NIIF által patchelt, ezáltal SLO képes IdP kiadást ajánljuk, ami a [https://www.aai.niif.hu/software NIIF AAI oldalról] érhető el. A Single Logout-képes IdP-ről további [[Single_Logout_in_Shibboleth_IdP|információ itt]].

====Kicsomagolás====

A <code>shibboleth-idp-2.x.x-bin.zip</code> fájl tartalma kicsomagolás után a <code>/usr/local/shibboleth-idp</code> könyvtár alákerül

cd /usr/local
jar -xf shibboleth-idp-2.x.x-bin.zip

==== Endorsed jar állományok ====
Sajnos - legalábbis a cikk írásakor - a "kincstári" Sun-os Tomcat (Java?) JAXP parser egy ismert memóriaszivárgást tartalmaz, ezért a disztribúcióban az <code>endorsed/</code> könyvtárban található .jar file-okat kézzel be kell másolni a Tomcat <code>endorsed/</code> könyvtárába.
: A Debian alatti tomcat6 csomag használatakor a <code>/usr/share/tomcat6/common/endorsed </code> könyvtárba kell tenni a jar file-okat (ezt a könyvtárt létre is kell hozni).

mkdir /usr/share/tomcat6/endorsed
cp endorsed/*.jar /usr/share/tomcat6/endorsed/

==== Installer ====
export JAVA_HOME=/usr/jdk
cd /usr/local/shibboleth-idp
chmod 755 install.sh
./install.sh
A telepítés során az alábbi kérdésekre kell választ adnunk:

Is this a new installation? Answering yes will overwrite your current configurat ion. [yes|no]
yes

Új telepítés, vagy sem.

Where should the Shibboleth Identity Provider software be installed? [default: / opt/shibboleth-idp-2.0.0]
/usr/local/shobboleth-idp

Itt található a letöltött és kicsomagolt shibboleth programcsomag

What is the hostname of the Shibboleth Identity Provider server? [default: idp.example.org]
idp.example.org

Shibboleth IdP alkalmazás URI alapú azonosítója.

A keystore is about to be generated for you. Please enter a password that will be used to protect it.
changeme

Feljegyzendő jelszó :)

==== Befejezés ====
'''Környezeti változó beállítása'''
IDP_HOME=/usr/local/shibboleth-idp
export IDP_HOME

'''Szimbolikus linkek megadása''' - az egyértelműség és konvenció kedvéért...
mv $IDP_HOME/conf /etc/`basename $IDP_HOME`
ln -s /etc/`basename $IDP_HOME` $IDP_HOME/conf
mv $IDP_HOME/logs /var/log/`basename $IDP_HOME`
ln -s /var/log/`basename $IDP_HOME` $IDP_HOME/logs
mkdir /var/lib/`basename $IDP_HOME`
mv $IDP_HOME/metadata /var/lib/`basename $IDP_HOME`/metadata
ln -s /var/lib/`basename $IDP_HOME`/metadata $IDP_HOME/metadata

'''Jogosultságok beállítása''' - hogy a <code>tomcat6</code> felhasználó hozzáférhessen az alábbi könyvtárakhoz
chown -R tomcat6 /var/log/`basename $IDP_HOME` /var/lib/`basename $IDP_HOME`

'''További, már telepített IdP-től függő tomcat beállítás'''
cd /var/lib/tomcat6/
mkdir -p conf/Catalina/localhost

Az így létrehozott könyvtárban készítsünk egy <code>idp.xml</code> nevű (a név legyen azonos a idp webalkalmazás nevével) fájlt az alábbi tartalommal:

<source lang="xml">
<Context
docBase="/usr/local/shibboleth-idp/war/idp.war"
privileged="true"
antiResourceLocking="false"
antiJARLocking="false"
unpackWAR="false" />
</source>

== Teszt ==

Ahhoz, hogy kiderítsük, működik-e (ill. fut-e :) ) az IdP webalkalmazásunk, ahhoz böngészőben hívjuk meg az alábbi urlt: <code>https://idp.example.org/idp/profile/Status</code>, amennyiben az oldalon egy <code>ok</code>-t látunk, akkor az alkalmazásunk fut, és elkezdhetjük beállítani az [[Shib2IdpAttrib | attribútumok feloldását]] és [[Shib2IdpARP | kiadását]].

Ha nem működik a webalkalmazás, akkor az alábbi naplófájlokban kezdjünk el keresgélni:
* <code>/var/log/shibboleth/idp-error.log </code>
* <code>/var/log/shibboleth/idp-process.log </code>

A naplózás mélységét a <code>/etc/shibboleth/logging.xml</code> fájlban állíthatjuk be. Hibakereséshez érdemes a <code><ErrorLog></code> értékét <code>DEBUG</code>-ra állítani.

== Shibboleth 2.0 IdP beállítás ==

=== Metadata beállítása ===
==== Metadata aláírás ellenőrzés beállítása ====
Az IdP-be beállított metaadat(ok) valódiságának ellenőrzéséhez szükséges egy ún. <code>TrustEngine</code> beállítása. Ezt a <code>relying-party.xml</code> -ben kell megtenni a <code>Security Configurations</code> részben:

<security:TrustEngine
id="shibboleth.MetadataTrustEngine" xsi:type="security:StaticExplicitKeySignature">
<security:Credential id="HREFSigner" xsi:type="security:X509Filesystem">
<security:Certificate>/path/to/idp/credentials/href_signer.crt</security:Certificate>
</security:Credential>
</security:TrustEngine>

A konfigurációban hivatkozott <code>href_signer.crt</code> elérhető innen: https://idp.niif.hu/href_signer.crt, SHA-1 lenyomata a következő: <code>DF:4F:7F:B2:C8:3E:D9:D8:33:38:79:C7:2B:27:FB:55:42:97:36:74</code>

==== HREF föderációs metadata beállítása az IdP-ben ====
A HREF metadata állomány elérhetősége:
* https://rr.aai.niif.hu/metadata/href-metadata.xml

A Shibboleth IdP <code>relying-party.xml</code> konfigurációban a következőképpen lehet beállítani a HREF metaadatot (fontos hogy az előző pontban leírt <code>TrustEngine</code> is be legyen állítva):

<MetadataProvider id="HREF-Metadata"
xsi:type="FileBackedHTTPMetadataProvider" xmlns="urn:mace:shibboleth:2.0:metadata"
metadataURL="https://rr.aai.niif.hu/metadata/href-metadata.xml"
backingFile="/path/to/idp/metadata/href-metadata.xml" >
<MetadataFilter xsi:type="SignatureValidation" trustEngineRef="shibboleth.MetadataTrustEngine" />
</MetadataProvider>

====Tovább a föderációba====
Amennyiben a telepítendő IdP-t szeretnénk a HREF-be integrálni, úgy ennél a pontnál küldjünk egy levelet az [mailto:aai@niif.hu aai@niif.hu] címre, amely nyomán, ha minden rendben van, az IdP regisztrálásra kerül a [[Resource_Registry]]-ben, s a válasz e-mail tartalmaz majd két hivatkozást, melyekről letölthetők az <code>attribute-filter.xml</code> és <code>attribute-resolver.xml</code> fájlok. Ezek már testreszabva tartalmazzák az IdP igényeit, az első fájlt elég csak bemásolni, a másodikban pedig - értelemszerűen - az egyes, a helyi erőforrásokra vonatkozó felhasználóineveket és jelszavakat kell kicserélni a megfelelőre.

[[Resource_Registry#IdP_regisztr.C3.A1ci.C3.B3|További információk a Resource Registry-be történő felvételről]]

;Attribútum filter automatikus frissítése
A Resource Registry automatikusan generálja minden egyes föderációban szereplő IdP számára a saját, testre szabott attribútum filterét, így célszerű úgy beállítani az IdP-t, hogy ezt a fájlt automatikusan töltse le. Ehhez hozzunk létre egy <code>confcache</code> nevű könyvtárat, adjunk rá írásjogot a <code>tomcat6</code> felhasználónak, majd szerkesszük a <code>conf/service.xml</code>fájlt. Az XML felső harmadában kerül megadásra az <code>AttributeFilterEngine</code>, melyet az alábbiak alapján kell átírni.

<Service id="shibboleth.AttributeFilterEngine"
xsi:type="attribute-afp:ShibbolethAttributeFilteringEngine"
configurationResourcePollingFrequency="3600000"
configurationResourcePollingRetryAttempts="128">
<ConfigurationResource url="https://rr.aai.niif.hu/gen_attribute-filter.php/href/IDP_NEVE_AZ_RRBEN/attribute-filter.xml"
file="/path/to/shibboleth-idp/confcache/attribute-filter.xml" xsi:type="resource:FileBackedHttpResource" />
</Service>

;Több attribútum filter használata
Hasznos lehet, ha a föderációs szűrőkön kívül további irányokba kívánunk IdP-nkből attribútumokat kiadni. Elterjedt, hogy pl. különböző google szolgáltatásokhoz lehet az intézményen keresztül autentikálni, amely beállítási részleteket értelemszerűen a Resource Registry nem tartalmazza, így a letöltött friss, és a régi, helyi adatokat is tartalmazó fájlok egyesítése bosszantó plusz munka lehet. Ezt elkerülendd dolgozhatunk több attribútum filterfájlból. Ehhez ismét a <code>conf/service.xml</code> fájlt kell szerkeszteni. Alább a fenti kódrészlet kiegészítése.

<Service id="shibboleth.AttributeFilterEngine"
xsi:type="attribute-afp:ShibbolethAttributeFilteringEngine"
configurationResourcePollingFrequency="3600000"
configurationResourcePollingRetryAttempts="128">
<ConfigurationResource url="https://rr.aai.niif.hu/gen_attribute-filter.php/href/IDP_NEVE_AZ_RRBEN/attribute-filter.xml"
file="/path/to/shibboleth-idp/confcache/attribute-filter.xml" xsi:type="resource:FileBackedHttpResource" />
<ConfigurationResource file="/path/to/shibboleth-idp/conf/attribute-filter-local.xml" xsi:type="resource:FilesystemResource" />
</Service>

Ezek a lépések természetesen kihagyhatók, ha nincs szándékunkban a föderáció tagjaivá válni, ekkor érdemes az alább részletezett attribútumokhoz kapcsolódó tudnivalókkal folytatni.

=== [[Shib2IdpAuth | Autentikáció beállítása]] ===

=== [[Shib2IdpAttrib | Attribútum feloldás beállítása]] ===

=== [[Shib2IdpARP | Attribútum kiadás beállítása]] ===

[[Kategória: Shibboleth2 IdP]]
[[Kategória: HOWTO]]