Pro-M - Oktatási Üzletág - Wiki - Szerkesztő közreműködései [hu]

Shibboleth Service Provider (SP)

2017-06-25T12:21:57Z

Gyufi(AT)niif.hu: /* SP adatainak közzététele */

Az alábbi lapon megkíséreljük összefoglalni a legfontosabb lépéseket, melyek általános esetben elegendőek ahhoz, hogy működő Shibboleth SP-t állítsunk üzembe. Fontos, hogy rengeteg olyan igény lehet, amely további speciális beállítások meglétét teszik szükségessé, ezeket ezen a lapon nem részletezzük, ilyen irányú tájékozódáshoz legbiztosabb forrás a [http://wiki.shibboleth.net http://wiki.shibboleth.net] lap.

==Telepítés==
===Előkészületek===
A Shibboleth SP egy webszerver modul, így szükséges előfeltétel, hogy a gépünkön legyen egy webszerver telepítve, jelenleg Apache és IIS a biztosan támogatott webszerverek. Emellett szükséges, hogy a 443-as port a tűzfalon mindkét irányban engedélyezett legyen, ill. a hosztnév, amelyen a webszerver üzemel, be legyen jegyezve a DNS-be.

===Letöltés és telepítés===
A legfrissebb változat letölthető [https://wiki.shibboleth.net/confluence/display/SHIB2/Installation https://wiki.shibboleth.net/confluence/display/SHIB2/Installation] címről. Célszerű valamilyen előre csomagolt változattal dolgozni, melyet az adott rendszer csomagkezelőjén keresztül egy mozdulattal feltelepíthetünk minden függőségével együtt.

====Debian Squeeze====
A [http://wiki.debian.org/Teams/DebianShibboleth Debian Shibboleth] csapat által készített új verziók időről időre bekerülnek [http://backports.org backports.org] tárolóiba is, ezért stable Debiant futtató rendszereken javasolt ezt használni.

A backports.org tárolójának beállításához adjuk hozzá a <code>/etc/apt/sources.list</code> fájlhoz a következő sort:
deb http://backports.debian.org/debian-backports squeeze-backports main

A csomagokat így telepíthetjük:
sudo aptitude update
sudo aptitude install -t squeeze-backports libapache2-mod-shib2

Ez a Shibboleth webszerver modul függőségeit is telepíti. A Shibboleth használatba vételéhez engedélyezni kell a modult és újra kell indítani az Apache webszervert.

====RPM alapú disztribúciók====
Shibboleth SP-ből RHEL/CENTOS rendszerekre egyből rendelkezésünkre áll bináris csomag, a fejlesztők ezen platformokon dolgoznak első körben. A telepítés előtt a teendőnk mindössze annyi, hogy a YUM forrásokhoz hozzá kell adni a Shibboleth SP repóját. Ehhez látogassunk el a [http://download.opensuse.org/repositories/security://shibboleth/ http://download.opensuse.org/repositories/security://shibboleth/] oldalra, majd a pontos verzió kiválasztása után a security:shibboleth.repo fájl tartalmát másoljuk be a /etc/yum/ <code>/etc/yum.repos.d/CentOS-Base.repo</code> fájl aljára, majd
yum install shibboleth

'''Hibaelhárítás: Can't connect to listener process'''

Ha a fenti hibába futunk bele, az azt jelenti, hogy a SE linux nem engedi kommunikálni a shibd és a httpd folyamatokat, ezért ezt külön engedélyezni kell. Ehhez készítsünk egy fájlt <code>shibd.te</code> néven, melynek tartalma az alábbi legyen:
module shibd 1.0;
require {
type var_run_t;
type httpd_t;
type initrc_t;
class sock_file write;
class unix_stream_socket connectto;
}
#============= httpd_t ==============
allow httpd_t initrc_t:unix_stream_socket connectto;
allow httpd_t var_run_t:sock_file write;

Ezek után futtassuk le az alábbi parancsokat, melyek a fenti fájlt megfelelően lefordítják, és be is illesztik a létrehozott szabályunkat.
# checkmodule -M -m -o shibd.mod shibd.te
checkmodule: loading policy configuration from shibd.te
checkmodule: policy configuration loaded
checkmodule: writing binary representation (version 6) to shibd.mod
# semodule_package -o shibd.pp -m shibd.mod
# semodule -i ./shibd.pp

==Alapbeállítások==
A telepített Shibboleth SP konfigurációs állományait Linux alatt a /etc/shibboleth könyvtárban találjuk. Itt a <code>shibboleth2.xml</code> és az <code>attribute-map.xml</code> fájlokkal lesz dolgunk.

=== <code>shibboleth2.xml </code>===
A telepítéskor alapértelmezetten érkező fájl nagyrészt megfelelő számunkra, az induláshoz csak az alább részletezett módosításokat kell megejtenünk. A változtatandó kódrészletek mind szerepelnek már az eredeti xml-ben is, így a feladat többnyire csak változtatásról, átírásról, bizonyos részek kommentjelek közül történő kiszabadításáról szól.

* Választanunk kell egy entityID-t. Ez általában a védendő szolgáltatást futtató hosztnévből származik: <code>https://hosztnev/shibboleth</code>, ezt az azonosítót beírni az <code >ApplicationDefaults</code> részbe az alábbi módon (az entityID és a homeURL értékein kívül, ahová a hosztnév írandó be, alapértelmezés szerint mást nem szükséges változtatni):
<code lang="xml">
<ApplicationDefaults entityID="https://hosztnév/shibboleth"
homeURL="https://hosztnév/shib-error.html"
signing="false" encryption="false"
id="default" policyId="default"
REMOTE_USER="eppn persistent-id targeted-id">
</code>

* Meg kell adni, hogy egy Discovery Service-n keresztül kérjük meg a felhasználót, hogy adja meg, mely IdP-től érkezik, avagy csak IdP-t engedélyezünk számukra. Az első eset nyilvános szolgáltatások esetében indokolt, a második belső, pl. csak intézményi oldalak védésénél szükséges.

** Discovery Service beállítása

<SSO discoveryProtocol="SAMLDS" discoveryURL="https://discovery.eduid.hu">
SAML2 SAML1
</SSO>

** Fix IdP beállítása

<SSO entityID="https://idp.example.org/idp/shibboleth">
SAML2 SAML1
</SSO>

* Meg kell adnunk, hogy milyen metadata forrásból dolgozzon az SP, az alábbi példában az eduID-ban használatos beállítás látható (a hivatkozott href-metadata-signer-2011.crt fájl a [http://metadata.eduid.hu http://metadata.eduid.hu] címről töltendő le a shibboleth konfigurációs könyvtárába) :

<MetadataProvider type="XML" uri="http://metadata.eduid.hu/current/href.xml"
backingFilePath="href.xml" reloadInterval="7200">
<MetadataFilter type="Signature" certificate="href-metadata-signer-2011.crt"/>
</MetadataProvider>

* Meg kell adni, hogy az SP mely kulcsot és tanúsítványt használja. Ehhez egy self-signed tanúsítványra lesz szükség, amely pl. az alábbi paranccsal generálható:

openssl req -new -newkey rsa:2048 -x509 -days 3652 -nodes -out sp.example.org.crt -keyout sp.example.org.key

Az xml-ben módosítandó részlet pedig:

<CredentialResolver type="File" key="sp.example.org.key" certificate="sp.example.org.crt"/>

* Végül ugorjunk vissza a fájl első felére, szedjük ki a kommentjeleket a <code>RequestMapper</code> rész körül, adjuk meg a kezelendő hosztokat és path-okat. Egy Shibboleth SP példány több, az adott webszerver által kezelt hosztot is kezelni tud, és egy-egy hoszton belül több útvonalat is, ezeket itt meg kell adni. Alább egy példa:

<RequestMapper type="Native">
<RequestMap applicationId="default">
<Host name="hosztnév" authType="shibboleth" requireSession="false">
<Path name="secure" authType="shibboleth" requireSession="true" />
</Host>
</RequestMap>
</RequestMapper>

A péda szerint a hosztnév alatti tartalom nem kíván meg shibbolethes azonosítást, kivéve a <code>/secure</code> location. Ha valahol shibbolethes azonosítást kívánunk használni, azt ezen kívül az adott hoszt webszerver konfigjában is jeleznünk kell. Apache-nál az alábbi módon.

<Location /secure>
AuthType shibboleth
require valid-user
ShibUseHeaders On
ShibRequireSession On
</Location>

== SP adatainak közzététele ==
A fenti beállítások után egy működő Shibboleth SP-t kapunk eredményül, ugyanakkor ténylegesen csak akkor fog tudni együttműködni a föderációban résztvevő IdP-kkel, ha az SP metaadatait közzétesszük, így azt az IdPk megismerhetik. Ehhez az eduID föderációban a frissen beállított SP adatait a [[Resource_Registry|Resource Registry]] nevű webes adminisztrációs oldalon kell felvinni egy varázsló segítségével, majd a jóváhagyás után várni pár órát, amíg a változások érvénybe lépnek. Ha nincs az intézményi entitások menedzseléséhez jogod ('Access denied'), akkor konzultálj az intézményed eduID kapcsolattartójával, hogy az SP-det szeretnéd a föderációba regisztrálni. Segítséget nyújt az alábbi lista: https://rr.eduid.hu/list

== HEXAA integráció ==

Ha az eduID-ban használatos külső attribútum forrást is szeretnénk az SP-nkhez illeszteni, akkor a shibboleth2.xml fileban a következő példán keresztül lehet megtenni.

<AttributeResolver type="Chaining">
<AttributeResolver type="Query"/>
<AttributeResolver type="SimpleAggregation" attributeId="eppn" format="urn:oid:1.3.6.1.4.1.5923.1.1.1.6">
<Entity>https://hexaa.eduid.hu/hexaa</Entity>
<Attribute Name="urn:oid:1.3.6.1.4.1.5923.1.1.1.7" NameFormat="urn:oasis:names:tc:SAML:2.0:attrname-format:uri" FriendlyName="eduPersonEntitlement"/>
</AttributeResolver>
</AttributeResolver>

== Kapcsolódó lapok ==
* [[FastCGI | Shibboleth 2 SP telepítése FastCGI alapú webszerver környezetben]]

[[Category: AAI]] [[Category: Shibboleth SP]] [[Category: HOWTO]]

Cloud for Education

2016-04-13T09:21:51Z

Gyufi(AT)niif.hu:

Cloud 4 Education - FAQ

==Nem tudom, hogy mi az azonosító és jelszó a példányosított image-emhez.==
Mert nem kötötted hozzá a publikus kulcsodat, amit előzőleg feltöltöttél az access & security key pairs fül alatt. Az SSH kulcsos azonosítással történik.

Cloud for Education

2016-04-13T08:42:59Z

Gyufi(AT)niif.hu:

Cloud 4 Education - FAQ

Image-ek default kredenciálisai:

'''CentOS_7'''
* username: toltse_ki_aki_ismeri
* password: toltse_ki_aki_ismeri

'''debian_8.3'''
* username: toltse_ki_aki_ismeri
* password: toltse_ki_aki_ismeri

'''CirrOS'''
* username: toltse_ki_aki_ismeri
* password: toltse_ki_aki_ismeri

Shibboleth Service Provider (SP)

2016-01-28T13:11:51Z

Gyufi(AT)niif.hu:

Az alábbi lapon megkíséreljük összefoglalni a legfontosabb lépéseket, melyek általános esetben elegendőek ahhoz, hogy működő Shibboleth SP-t állítsunk üzembe. Fontos, hogy rengeteg olyan igény lehet, amely további speciális beállítások meglétét teszik szükségessé, ezeket ezen a lapon nem részletezzük, ilyen irányú tájékozódáshoz legbiztosabb forrás a [http://wiki.shibboleth.net http://wiki.shibboleth.net] lap.

==Telepítés==
===Előkészületek===
A Shibboleth SP egy webszerver modul, így szükséges előfeltétel, hogy a gépünkön legyen egy webszerver telepítve, jelenleg Apache és IIS a biztosan támogatott webszerverek. Emellett szükséges, hogy a 443-as port a tűzfalon mindkét irányban engedélyezett legyen, ill. a hosztnév, amelyen a webszerver üzemel, be legyen jegyezve a DNS-be.

===Letöltés és telepítés===
A legfrissebb változat letölthető [https://wiki.shibboleth.net/confluence/display/SHIB2/Installation https://wiki.shibboleth.net/confluence/display/SHIB2/Installation] címről. Célszerű valamilyen előre csomagolt változattal dolgozni, melyet az adott rendszer csomagkezelőjén keresztül egy mozdulattal feltelepíthetünk minden függőségével együtt.

====Debian Squeeze====
A [http://wiki.debian.org/Teams/DebianShibboleth Debian Shibboleth] csapat által készített új verziók időről időre bekerülnek [http://backports.org backports.org] tárolóiba is, ezért stable Debiant futtató rendszereken javasolt ezt használni.

A backports.org tárolójának beállításához adjuk hozzá a <code>/etc/apt/sources.list</code> fájlhoz a következő sort:
deb http://backports.debian.org/debian-backports squeeze-backports main

A csomagokat így telepíthetjük:
sudo aptitude update
sudo aptitude install -t squeeze-backports libapache2-mod-shib2

Ez a Shibboleth webszerver modul függőségeit is telepíti. A Shibboleth használatba vételéhez engedélyezni kell a modult és újra kell indítani az Apache webszervert.

====RPM alapú disztribúciók====
Shibboleth SP-ből RHEL/CENTOS rendszerekre egyből rendelkezésünkre áll bináris csomag, a fejlesztők ezen platformokon dolgoznak első körben. A telepítés előtt a teendőnk mindössze annyi, hogy a YUM forrásokhoz hozzá kell adni a Shibboleth SP repóját. Ehhez látogassunk el a [http://download.opensuse.org/repositories/security://shibboleth/ http://download.opensuse.org/repositories/security://shibboleth/] oldalra, majd a pontos verzió kiválasztása után a security:shibboleth.repo fájl tartalmát másoljuk be a /etc/yum/ <code>/etc/yum.repos.d/CentOS-Base.repo</code> fájl aljára, majd
yum install shibboleth

'''Hibaelhárítás: Can't connect to listener process'''

Ha a fenti hibába futunk bele, az azt jelenti, hogy a SE linux nem engedi kommunikálni a shibd és a httpd folyamatokat, ezért ezt külön engedélyezni kell. Ehhez készítsünk egy fájlt <code>shibd.te</code> néven, melynek tartalma az alábbi legyen:
module shibd 1.0;
require {
type var_run_t;
type httpd_t;
type initrc_t;
class sock_file write;
class unix_stream_socket connectto;
}
#============= httpd_t ==============
allow httpd_t initrc_t:unix_stream_socket connectto;
allow httpd_t var_run_t:sock_file write;

Ezek után futtassuk le az alábbi parancsokat, melyek a fenti fájlt megfelelően lefordítják, és be is illesztik a létrehozott szabályunkat.
# checkmodule -M -m -o shibd.mod shibd.te
checkmodule: loading policy configuration from shibd.te
checkmodule: policy configuration loaded
checkmodule: writing binary representation (version 6) to shibd.mod
# semodule_package -o shibd.pp -m shibd.mod
# semodule -i ./shibd.pp

==Alapbeállítások==
A telepített Shibboleth SP konfigurációs állományait Linux alatt a /etc/shibboleth könyvtárban találjuk. Itt a <code>shibboleth2.xml</code> és az <code>attribute-map.xml</code> fájlokkal lesz dolgunk.

=== <code>shibboleth2.xml </code>===
A telepítéskor alapértelmezetten érkező fájl nagyrészt megfelelő számunkra, az induláshoz csak az alább részletezett módosításokat kell megejtenünk. A változtatandó kódrészletek mind szerepelnek már az eredeti xml-ben is, így a feladat többnyire csak változtatásról, átírásról, bizonyos részek kommentjelek közül történő kiszabadításáról szól.

* Választanunk kell egy entityID-t. Ez általában a védendő szolgáltatást futtató hosztnévből származik: <code>https://hosztnev/shibboleth</code>, ezt az azonosítót beírni az <code >ApplicationDefaults</code> részbe az alábbi módon (az entityID és a homeURL értékein kívül, ahová a hosztnév írandó be, alapértelmezés szerint mást nem szükséges változtatni):
<code lang="xml">
<ApplicationDefaults entityID="https://hosztnév/shibboleth"
homeURL="https://hosztnév/shib-error.html"
signing="false" encryption="false"
id="default" policyId="default"
REMOTE_USER="eppn persistent-id targeted-id">
</code>

* Meg kell adni, hogy egy Discovery Service-n keresztül kérjük meg a felhasználót, hogy adja meg, mely IdP-től érkezik, avagy csak IdP-t engedélyezünk számukra. Az első eset nyilvános szolgáltatások esetében indokolt, a második belső, pl. csak intézményi oldalak védésénél szükséges.

** Discovery Service beállítása

<SSO discoveryProtocol="SAMLDS" discoveryURL="https://discovery.eduid.hu">
SAML2 SAML1
</SSO>

** Fix IdP beállítása

<SSO entityID="https://idp.example.org/idp/shibboleth">
SAML2 SAML1
</SSO>

* Meg kell adnunk, hogy milyen metadata forrásból dolgozzon az SP, az alábbi példában az eduID-ban használatos beállítás látható (a hivatkozott href-metadata-signer-2011.crt fájl a [http://metadata.eduid.hu http://metadata.eduid.hu] címről töltendő le a shibboleth konfigurációs könyvtárába) :

<MetadataProvider type="XML" uri="http://metadata.eduid.hu/current/href.xml"
backingFilePath="href.xml" reloadInterval="7200">
<MetadataFilter type="Signature" certificate="href-metadata-signer-2011.crt"/>
</MetadataProvider>

* Meg kell adni, hogy az SP mely kulcsot és tanúsítványt használja. Ehhez egy self-signed tanúsítványra lesz szükség, amely pl. az alábbi paranccsal generálható:

openssl req -new -x509 -days 3652 -nodes -out sp.example.org.crt -keyout sp.example.org.key

Az xml-ben módosítandó részlet pedig:

<CredentialResolver type="File" key="sp.example.org.key" certificate="sp.example.org.crt"/>

* Végül ugorjunk vissza a fájl első felére, szedjük ki a kommentjeleket a <code>RequestMapper</code> rész körül, adjuk meg a kezelendő hosztokat és path-okat. Egy Shibboleth SP példány több, az adott webszerver által kezelt hosztot is kezelni tud, és egy-egy hoszton belül több útvonalat is, ezeket itt meg kell adni. Alább egy példa:

<RequestMapper type="Native">
<RequestMap applicationId="default">
<Host name="hosztnév" authType="shibboleth" requireSession="false">
<Path name="secure" authType="shibboleth" requireSession="true" />
</Host>
</RequestMap>
</RequestMapper>

A péda szerint a hosztnév alatti tartalom nem kíván meg shibbolethes azonosítást, kivéve a <code>/secure</code> location. Ha valahol shibbolethes azonosítást kívánunk használni, azt ezen kívül az adott hoszt webszerver konfigjában is jeleznünk kell. Apache-nál az alábbi módon.

<Location /secure>
AuthType shibboleth
require valid-user
ShibUseHeaders On
ShibRequireSession On
</Location>

== SP adatainak közzététele ==
A fenti beállítások után egy működő Shibboleth SP-t kapunk eredményül, ugyanakkor ténylegesen csak akkor fog tudni együttműködni a föderációban résztvevő IdP-kkel, ha az SP metaadatait közzétesszük, így azt az IdPk megismerhetik. Ehhez az eduID föderációban a frissen beállított SP adatait a [[Resource_Registry|Resource Registry]] nevű webes adminisztrációs oldalon kell felvinni egy varázsló segítségével, majd a jóváhagyás után várni pár órát, amíg a változások érvénybe lépnek.

== HEXAA integráció ==

Ha az eduID-ban használatos külső attribútum forrást is szeretnénk az SP-nkhez illeszteni, akkor a shibboleth2.xml fileban a következő példán keresztül lehet megtenni.

<AttributeResolver type="Chaining">
<AttributeResolver type="Query"/>
<AttributeResolver type="SimpleAggregation" attributeId="eppn" format="urn:oid:1.3.6.1.4.1.5923.1.1.1.6">
<Entity>https://hexaa.eduid.hu/hexaa</Entity>
<Attribute Name="urn:oid:1.3.6.1.4.1.5923.1.1.1.7" NameFormat="urn:oasis:names:tc:SAML:2.0:attrname-format:uri" FriendlyName="eduPersonEntitlement"/>
</AttributeResolver>
</AttributeResolver>

== Kapcsolódó lapok ==
* [[FastCGI | Shibboleth 2 SP telepítése FastCGI alapú webszerver környezetben]]

[[Category: AAI]] [[Category: Shibboleth SP]] [[Category: HOWTO]]

SimpleSAMLphp

2015-12-02T14:15:20Z

Gyufi(AT)niif.hu: /* Attribútum scopeok használata */

Az alábbi lapon megkíséreljük összefoglalni a legfontosabb lépéseket, melyek általános esetben elegendőek ahhoz, hogy működő SimpleSAMLphp(SSP) alkalmazást állítsunk üzembe.

==Telepítés==
===Előkészületek===
Ahhoz, hogy problémamentesen telepíthessük SSP alkalmazásunkat, az alábbi szoftverkomponenseknek kell működniük szerverünkön.
* PHP futtatására alkalmas webszerver
* PHP környezet (legalább 5.2.0 verzió)
* A következő PHP kiterjesztéseket engedélyezni kell
** <code>date</code>, <code>dom</code>, <code>hash</code>, <code>libxml</code>, <code>openssl</code>, <code>pcre</code>, <code>SPL</code>, <code>zlib</code>
** LDAP-ból történő autentikáció esetén: <code>ldap</code>
** Adatbázisból történő autentikáció esetén a megfelelő adatbázis-csatolót <code>mysql</code>, <code>pgsql</code>
** RADIUS szerveren keresztül történő autentikáció esetén: <code>radius</code>
** Assertion-ök titkosítása esetén: <code>mcrypt</code>
** Memcache használata esetén: <code>memcache</code>

===Letöltés===
A legfrissebb változat letölthető [http://code.google.com/p/simplesamlphp/ http://code.google.com/p/simplesamlphp/] címről

cd /var
tar xzf simplesamlphp-1.x.y.tar.gz
mv simplesamlphp-1.x.y simplesamlphp

Alapértelmezés szerint a <code>/var/simplesamlphp</code> alatt szeretne majd működni, ez természetesen változtatható, de most maradunk az eredeti beállításoknál.

===Apache konfigurálás===

A webről csak a <code>/var/simplesamlphp/www</code> könyvtárat kell elérni.

Alias /simplesaml /var/simplesamlphp/www

===Alapbeállítások===
Mielőtt aktiváljuk valamelyik főszolgáltatását (IdP,SP...) a telepített alkalmazásnak, néhány beállítást meg kell adnunk a konfigurációs fájlban <code>config/config.php</code>.
* '''Az "admin" felhasználó jelszavát, mellyel webes felületen keresztül be tud lépni a települő SSP-be.'''
'auth.adminpassword' => 'ujjelszotirdide',
* '''Titkosítási feladatokhoz szükséges "salt", azaz véletlenszerűen összeálló karaktersorozat'''
'secretsalt' => 'randombytesinsertedhere',
A karaktersorozat előállításában segíthet az alábbi parancs:
tr -c -d '0123456789abcdefghijklmnopqrstuvwxyz' </dev/urandom | dd bs=32 count=1 2>/dev/null;echo
* '''Elérhetőségeket, amely adatok bekerülnek majd a generált metaadatba'''
'technicalcontact_name' => 'Gipsz Jakab',
'technicalcontact_email' => 'jakab.gipsz@example.org',
* '''Nyelv és időzóna adatok'''
'language.default' => 'hu',
'timezone' => 'Europe/Budapest',

===Telepítés kész===
Amennyiben elkészültünk a fenti lépésekkel, úgy a [https://service.example.org/simplesaml/ https://service.example.org/simplesaml/] címen elérjük a telepített SSP-nk webes adminfelületét, ahol megejthetjük a további beállítások nagy részét.

==IdP beállítás==
===IdP funkció engedélyezése===
A <code>config/config.php</code> fájlt kell szerkesztenünk, s engedélyezni a saml20 idp lehetőséget.
'enable.saml20-idp' => true,
===Autentikáció LDAP alapon===
Meg kell adni, hogy az IdP milyen módon azonosítsa a felhasználót, amennyiben alapértelmezés szerint nem engedélyezett modult szeretnénk használni, úgy a megfelelő modult a <code>modules</code> könyvtár alatt engedélyezni kell. Az alábbi példában az LDAP alapú azonosítást mutatjuk be, amely külön modult nem igényel, alapértelmezés szerint része a telepített alkalmazásnak.

Ahhoz, hogy megadhassuk az LDAP-hoz tartozó beállításokat, a <code>config/authsources.php</code> fájlt kell szerkesztenünk. Az alábbi kódrészletet elegendő beszúrni, és az egyes változóknak a helyi LDAP-nak megfelelő adatokat értékül adni.
'example-ldap' => array(
'ldap:LDAP',

/* The hostname of the LDAP server. */
'hostname' => 'ldap.example.org',

/* Whether SSL/TLS should be used when contacting the LDAP server. */
'enable_tls' => FALSE,

/*
* Which attributes should be retrieved from the LDAP server.
* This can be an array of attribute names, or NULL, in which case
* all attributes are fetched.
*/
'attributes' => NULL,

/*
* The pattern which should be used to create the users DN given the username.
* %username% in this pattern will be replaced with the users username.
*
* This option is not used if the search.enable option is set to TRUE.
*/
'dnpattern' => 'uid=%username%,ou=people,dc=example,dc=org',

/*
* As an alternative to specifying a pattern for the users DN, it is possible to
* search for the username in a set of attributes. This is enabled by this option.
*/
'search.enable' => FALSE,

/*
* The DN which will be used as a base for the search.
* This can be a single string, in which case only that DN is searched, or an
* array of strings, in which case they will be searched in the order given.
*/
'search.base' => 'ou=people,dc=example,dc=org',

/*
* The attribute(s) the username should match against.
*
* This is an array with one or more attribute names. Any of the attributes in
* the array may match the value the username.
*/
'search.attributes' => array('uid', 'mail'),

/*
* The username & password the simpleSAMLphp should bind to before searching. If
* this is left as NULL, no bind will be performed before searching.
*/
'search.username' => NULL,
'search.password' => NULL,
),

===Metaadat alapok===
A beállítandó IdP alapvető paraméterei a <code>metadata/saml20-idp-hosted.php</code> fájlban állíthatók. Az alábbi kódrészlet egy minimális, de már működő példát mutat.

$metadata['__DYNAMIC:1__'] = array(
/*
* The hostname for this IdP. This makes it possible to run multiple
* IdPs from the same configuration. '__DEFAULT__' means that this one
* should be used by default.
*/
'host' => '__DEFAULT__',

/*
* The private key and certificate to use when signing responses.
* These are stored in the cert-directory.
*/
'privatekey' => 'idp.example.org.key',
'certificate' => 'idp.example.org.crt',

/*
* The authentication source which should be used to authenticate the
* user. This must match one of the entries in config/authsources.php.
*/
'auth' => 'example-ldap',
);

Teszteléshez is érdemes, éles használathoz pedig elengedhetetlen, hogy a csomagban érkezett tanúsítványt felülírjuk, ezt célszerű mihamarabb megtenni. Ehhez az alábbi parancs lehet segítségünkre.
openssl req -new -x509 -days 3652 -nodes -out idp.example.org.crt -keyout idp.example.org.key
A fingerprint az alábbi módon kérdezhető le a legegyszerűbben
openssl x509 -fingerprint -noout -in idp.example.org.crt

Megfelelő beállítások után a dinamikusan generált metadata a <code>/saml2/idp/metadata.php</code> útvonalon érhető el.

===Tesztelés===
Legegyszerűbben a telepített SSP felületén tudjuk ellenőrizni, hogy a beállított autentikációs forrás működik-e. A felületen az Authentication fül alatt található egy 'Test authentication sources' link, amelyre kattintva látható minden beállított autentikációs forrás is, így a két alapértelmezett, teszt célokat szolgáló alatt a most beállított example-ldap névre hallgatónak is meg kell jelenni. (A közvetlen url erre az oldalra: simplesaml/module.php/core/authenticate.php) Ez utóbbira kattintva a beállított LDAP-ból autentikálva be kell tudnunk jelentkeznünk; siker esetén az LDAP-ból kinyerhető attribútumokat láthatjuk.

==SP beállítás==
===Alapadatok===
A telepített alkalmazásunk által kezelt SP-ket a <code>config/authsources.php</code> fájlban tudjuk beállítani.

'default-sp' => array(
'saml:SP',

// The entity ID of this SP.
// Can be NULL/unset, in which case an entity ID is generated based on the metadata URL.
'entityID' => NULL,

// The entity ID of the IdP this should SP should contact.
// Can be NULL/unset, in which case the user will be shown a list of available IdPs.
'idp' => NULL,

// The URL to the discovery service.
// Can be NULL/unset, in which case a builtin discovery service will be used.
'discoURL' => NULL,

'privatekey' => 'saml.pem',
'certificate' => 'saml.crt',

),

A fenti beállítások alapján az SP entityID-ja megegyezik a metadata elérési útvonalával (szokásos megoldás SSP-nél), nem adunk meg alapértelmezett idp-t, ezáltal az SSP választási lehetőséget kínál fel számunkra, mikor az SP-re szeretnénk bejelentkezni, ill. most még Discovery Service URL-t sem adunk meg, hanem a beépítettet használjuk. Ez utóbbit majd a HREF-be történő integrációkor meg kell változtatni - lásd lejjebb.

Az IdP beállításához hasonlóan itt is szükség lesz egy tanúsítvány generálására a <code>cert</code> könyvtárba. Ehhez segítség lehet az alábbi parancs.

openssl req -new -x509 -days 3652 -nodes -out saml.crt -keyout saml.pem

===Tesztelés===
Amennyiben IdP is beállításra került, úgy a legcélszerűbb ezt összehangolni az SP-vel. Ehhez egyfelől a <code>metadata/saml20-idp-remote.php</code> fájlban meg kell adni az IdP adatait, amely esetünkben az alábbiak szerint fest.

$metadata['https://example.org/simplesaml/saml2/idp/metadata.php'] = array(
'name' => array(
'en' => 'TestSP'
),
'SingleSignOnService' => 'https://example.org/simplesaml/saml2/idp/SSOService.php',
'SingleLogoutService' => 'https://example.org/simplesaml/saml2/idp/SingleLogoutService.php',
'certFingerprint' => 'afe71c28ef740bc87425be13a2263d37971da1f9'
);

Ehhez hasonlóan a <code>metadata/saml20-sp-remote.php</code> fájlban meg kell adnunk az SP adatait. Teszteléshez az alábbiak elegendők:

$metadata['https://example.org/simplesaml/module.php/saml/sp/metadata.php/default-sp'] = array (
'AssertionConsumerService' => 'https://example.org/simplesaml/module.php/saml/sp/saml2-acs.php/default-sp',
'SingleLogoutService' => 'https://example.org/simplesaml/module.php/saml/sp/saml2-logout.php/default-sp',
);

Ezek után az IdP tesztelésénél már említett oldalon a default-sp opciót kiválasztva, majd a legördülő menüben a TestSP-re kattintva be kell tudnunk jelentkezni az IdP-n keresztül. Ha működik, akkor az alapvető lépsekkel kész vagyunk, van egy működő SP-nk és egy működő IdP-nk.

==HREF-integráció==

===Metadata beállítása (IdP és SP is)===
* Az SSP-nél be kell állítani metaadat forrásként a központi metaadatot
:*Első lépésként engedélyezzük, hogy az SSP automatikusan frissíthesse a metaadatot, ill. az ezt elvégző két modult
touch modules/metarefresh/enable
cp modules/metarefresh/config-templates/*.php config/
touch modules/cron/enable
cp modules/cron/config-templates/*.php config/

:*Létrehozunk egy könyvtárat, ahová letöltésre kerül az központi metaadat XML fájlja
mkdir metadata/metarefresh-href
chmod g+rw metadata/metarefresh-href

{{ATTENTION|Ahhoz, hogy az automatikus metadata frissítés gond nélkül működjön, legalább '''1.13.2'''-es verziójú simpleSAMLphp kell, vagy korábbi változatokon frissíteni kell a <code>/path/to/simplesamlphp/lib/xmlseclibs.php</code> fájlt [http://goo.gl/ilRHkV erre a fájlra]! Bővebb információ ehhez kapcsolódóan [http://simplesamlphp.org/metaprocessing erre.]

Ha az eduGAIN metaadatait is feldolgozzuk, akkor fontos, hogy néhány paramétert emeljük legalább az alábbi értékekre:
* maximum memória foglalás (<code>memory_limit</code>): '''512MB'''
* maximum végrehajtási idő (<code>max_execution_time</code>): '''120 sec'''}}

:*Ezek után be kell állítani a metaadat kokrét adatait a <code>config/config-metarefresh.php</code> fájlban
$config = array(
'sets' => array(
'hu' => array(
'cron' => array('hourly'),
'sources' => array(
array(
'src' => 'http://metadata.eduid.hu/2011/href.xml',
'validateFingerprint' => 'FE:AE:0B:E8:FB:59:ED:F7:CB:7F:69:DF:19:4F:8B:6D:C7:F6:96:66',
),
),
'expireAfter' => 60*60*24*4, // Maximum 4 days cache time.
'outputDir' => 'metadata/metarefresh-href/',
'outputFormat' => 'flatfile',
),
),
);
:*Be kell állítani, hogy az SSP az automata által generált fájlokból dolgozzon. Ehhez a <code>config/config.php</code> fájlban keressük ki a <code>metadata.source</code> szakaszt, és az alábbiak szerint szerkesszük át. Amennyiben nem csak a központi metaadatból szeretnénk dolgozni, úgy további sorokat is megadhatunk itt bemutatott mintájára.
'metadata.sources' => array(
array('type' => 'flatfile'), // IdP esetén kell, itt van az önmagát leíró metadata
array('type' => 'flatfile', 'directory' => 'metadata/metarefresh-href'),
),

:*Végül le kell futtatni kézzel a cronjobot, amelyet az SSP webes felületén tudunk megtenni a Configuration fül alatt, a Cron module information page menüpontban. Ekkor létrejönnek a fájlok (majd óránként frissülnek is, ha beállítjuk cronjobként).

===IdP===
Amennyiben van SSP alapú IdP-nk, melyet szeretnénk a föderáció részévé tenni, úgy a teendők a következők.
* (A jelenleg is formálódó adminisztratív teendőktől itt most eltekintünk)
* Kell küldeni egy levelet a [mailto:aai@niif.hu aai@niif.hu] címre, benne néhány mondat mellett az IdP metaadatának URL-jével (https://example.org/simplesamlphp/saml2/idp/metadata.php)
* Ha minden rendben megy, akkor az IdP bekerül a [[Resource_Registry]]-be, ezáltal a föderációs metaadatba is.
* Az előző pontban leírt módon be kell állítani a központi metadata feldolgozását.
* Amennyiben a föderációs metaadatban már szerepel a mi IdP-nk is, úgy a föderáció valamelyik, tesztelési célokat szolgáló SP-jénél ki is próbálhatjuk a bejelentkezést.

:'''Fontos''', hogy a föderációs Discovery Service óránként generálja újra az IdP-k listáját, így ennyi idő mindenképp szükséges, hogy az új IdP megjelenjen itt, az egyes SP-k pedig két óránként töltik újra a metaadatot, így előfordulhat, hogy azonnal nem fog minden működni, de egy-két óra alatt várhatóan beindul. :)

:Tesztelésre használható oldal: [https://wiki.aai.niif.hu/shibtest.php https://wiki.aai.niif.hu/shibtest.php]

* Ahhoz, hogy a Resource Registry-be is be tudjunk lépni és az IdP további, a föderációra vonatkozó beállításait meg tudjuk ejteni, ehhez az IdP-nek ki kell adnia az alábbi attribútumokat:
** [[HREFAttributeSpec#mail|mail]] - ez belépés után, manuálisan is beállítható
** [[HREFAttributeSpec#eduPersonPrincipalName|eduPersonPrincipalName]]
** [[HREFAttributeSpec#schacHomeOrganizationType|schacHomeOrganizationType]]
** [[HREFAttributeSpec#eduScopedAffiliation|eduPersonScopedAffiliation]]

====Attribútumok kezelése====
Beállított IdP-nk alapértelmezés szerint azokat az attribútumokat adja ki, melyeket a metaadat alapján az SP kért (Lásd a metadatában a RequestedAttribute elemeket), és egyúttal alapból meg tudta szerezni a felhasználói adatbázisból, esetünkben az LDAP-ból. Mivel néhány attribútum nem szerepel az LDAP-ban, hanem az IdP-ben kell előállítani, így pár helyen módosítanunk kell az alapértelmezett konfiguráción.

:1. Az <code>attributemap/name2oid.php</code> fájlba az 's'-betűhöz szúrjuk be az alábbi sort:
'schacHomeOrganizationType' => 'urn:oid:1.3.6.1.4.1.25178.1.2.10',
:2. A <code>metadata/saml20-idp-hosted.php</code> fájlba szerkesszük be az alábbi kódrészlet értelemszerűen módosított változatát. Az <code>'auth' => 'example-ldap',</code> sor alatt kezdjük. Fontos, hogy egyúttal a config.php <code>authproc.idp</code> részét kikommentezzük, nehogy az ottani sorszámokkal megadott default feladatok bekavarjanak.

'AttributeNameFormat' => 'urn:oasis:names:tc:SAML:2.0:attrname-format:uri',
'userid.attribute' => 'uid', // Itt adjuk meg, hogy mely, az LDAPból származó attribútum alapján fogja az IdP kiszámítani az eduPersonTargetedID-t
'authproc' => array(
10 => array(
'class' => 'core:AttributeMap',
'uid' => 'eduPersonPrincipalName'
//Itt az 'uid' az az attribútum az LDAP-ban, amely a felhasználó azonosítóját tartalmazza, mert ebből képezzük az eduPersonPrincipalName-t.
),
20 => array(
'class' => 'core:AttributeAdd',
'schacHomeOrganizationType' => array('urn:schac:homeOrganizationType:hu:university')
//Kötelező statikus attribútum az [[HREFAttributeSpec#schacHomeOrganizationType|intézmény jellegének]] megfelelően
),
30 => array(
'class' => 'core:AttributeAlter',
'subject' => 'eduPersonPrincipalName',
'pattern' => '/^.*$/',
'replacement' => '${0}@intezmenydomain.hu',
// Itt adjuk hozzá az intézményi scope-ot az eduPersonPrincipalName már meglévő értékéhez
),
40 => array(
'class' => 'core:AttributeAlter',
'subject' => 'eduPersonAffiliation',
'pattern' => '/^.*$/',
'replacement' => '${0}@intezmenydomain.hu',
// Itt adjuk hozzá az intézményi scope-ot az eduPersonAffiliation már meglévő értékéhez
),
50 => array(
'class' => 'core:AttributeMap',
'eduPersonAffiliation' => 'eduPersonScopedAffiliation'
// Az LDAP-ból eduPersonAffiliation-ként érkező attribútumból föderációs elvárásoknak megfelelően eduPersonScopedAffiliationt készítünk
),
60 => array(
'class' => 'core:AttributeAdd',
'eduPersonScopedAffiliation' => array('member@intezmenydomain.hu')
// Az eduPersonScopedAffiliation-ben tesztelés céljából kiadhatjuk member értéket, így ha LDAP-ból nem jön érték, akkor is láthatjuk, hogy működik az attribútum kiadás
),
61 => array(
'class' => 'core:TargetedID',
'nameId' => TRUE,
),
// Itt állítjuk be, hogy az IdP előállítson és kiadhasson állandóazonosítóként eduPersonTargetedID-t, ha kérik
70 => array('class' => 'core:AttributeMap',
'name2oid'
// Az LDAP-os attribútum nevekből itt kreálunk szabványos urn:oid formátumúakat
),
80 => 'core:AttributeLimit',
), // .authproc
'simplesaml.nameidattribute' => 'eduPersonPrincipalName',
'attributeencodings' => array(
'urn:oid:1.3.6.1.4.1.5923.1.1.1.10' => 'raw',
),
'sign.logout' => true

: További tudnivalók a [[Resource_Registry|Resource Registry-ről]], ill. a [[HREFAttributeSpec|Föderációs attribútum specifikációról]].

* Ha minden rendben ment, akkor a Resource Registry-ben regisztrált IdP-hez tartozó adminisztrációs jogok átkerülnek az IdP technikai gazdájához, s ezzel a folyamat kész is.

===SP===
Amennyiben IdP-t is beállítottunk, és be is tudunk lépni a Resource Registry-be, úgy nincs más dolgunk, mint az RR-ben új SP-t hozzáadni a föderációhoz, amely a megfelelő átfutási idő után a föderáció minden tagjánál látható is lesz.

Ellenkező esetben (nincs IdP, és nem is tervezünk beállítani), akkor az IdP hozzáadásánál részletezett pontokon kell végig menni a metaadat betöltéséig, s a továbbiakat az említett e-mail címen megbeszélni.

====Attribútum scopeok használata====
A HREF föderáció IdP-i ún. scopeolt attribútumokat is használnak. Ez a scopeolás azt jelenti, hogy minden egyes IdP csak a saját scopejában ad ki attribútumokat, és a Shibboleth SP-k ezt ellenőrzik is. A scope és az attribútum valódi értéke egy '@' karakterrel kerül elválasztásra (ilyen attribútumok jelenleg: [[HREFAttributeSpec#eduPersonAffiliation|eduPersonScopedAffiliation]] illetve [[HREFAttributeSpec#eduPersonPrincipalName|eduPersonPrincipalName]]).

A SimpleSAMLphp alapértelmezett telepítése nem szűri a hibásan scopeolt értékeket. Kiegészítő modulként szűrésre használható az NIIF által fejlesztett [https://github.com/NIIF/simplesamlphp-module-attributescope attributescope modul], ami reményeink szerint rövid távon a hivatalos SimpleSAMLphp kiadás része lehet.

A telepítésről és konfigurációról bővebben itt lehet olvasni:

https://github.com/NIIF/simplesamlphp-module-attributescope

: Az <code>attributescope</code> modul használata esetén a következőképp kell módosítani a <code>config/config.php</code> fájlt:

Figyeljünk arra, hogy mire a modulhoz ér a vezérlés, az attribútumok nevei _friendlyName_ alakúak legyenek (ne pedig _oid_-ok). A példában erre utal a 49-es sor.

authproc.sp = array(
...
// 49 => array('class' => 'core:AttributeMap', 'oid2name'),
50 => array( 'class' => 'attributescope:FilterAttributes'
),
...
),

[[Category: AAI]] [[Category: simpleSAMLphp]] [[Category: HOWTO]]

SimpleSAMLphp proxy vidyo portálhoz

2015-11-03T10:18:07Z

Gyufi(AT)niif.hu: /* SSP SP oldalának konfigurálása, illesztés a föderációba */

= Vidyo Portal Authentication Proxy =

A vidyo portál utolsó fejlesztései lehetővé tették a SAML alapú authentikációt, és authorizációt.

Az implementáció nem teljesen fedi le a SAML feature-öket, az SP implementáció csak egy IdP-vel képes kapcsolatot létesíteni.

A portált a simpleSAMLphp proxy-ként való telepítésével tehetjük egy föderáció tagjává.

== simpleSAMLphp telepítése ==

A simplesamlphp telepítését elvégezzük a [https://simplesamlphp.org/docs/stable/simplesamlphp-install dokumentáció] szerint.

== SSP IdP oldalának konfigurálása, illesztés a Vidyo portál felé ==

Legelőször is engedélyezni kell az IdP funkciót

''config/config.php''

'enable.saml20-idp' => true,

Gyártsuk le az IdP certificate-jét, és rakjuk a ''cert'' könyvtárba ''idp.pem'', illetve ''idp.crt'' néven.

cd cert
openssl req -newkey rsa:2048 -new -x509 -days 3652 -nodes -out idp.crt -keyout idp.pem

''metadata/saml20-idp-hosted.php''

'auth' => 'default-sp',
'privatekey' => 'idp.pem',
'certificate' => 'idp.crt',
),

A vidyo portál admin felületéről le kell tölteni a portál metaadatát, és el kell menteni a metadata könyvtárba.

metadata/vidyo-sp.xml

Erre hivatkozni kell a ''config/config.php''-ben is:

'metadata.sources' => array(
...
array('type' => 'xml', 'file' => 'metadata/vidyo-sp.xml'), // vidyo sp
... ),

=== Vidyo admin portál ===

A portálon be kell állítani,
* hogy az azonosítás SAML alapú legyen, ''Authentication Type''
* fel kell tölteni az IdP metaadatát, ezt az ssp telepítés ''saml2/idp/metadata.php'' oldaláról tölthetjük le. ''Identity Provider (IdP) Metadata XML''
* be kell állítani az auto provisioninget, ''SAML provision type''

Az előző fejezetben említett portál metaadatát ezen az oldalon érjük el. ''View Service Provider (SP) metadata XML''
Össze kell illeszteni a SAML rétegből jövő attribútumokat a Vidyo portál által használt adatmodellel. ''Edit IdP Attribute Mapping...''

[[Fájl:VidyoAdmin1.png]]

A _SAML IdP Attribute Name_ oszlopokba az SSP-től kapott attribútum neveket kell írni. Ha a proxy IdP oldalán a példa szerint állítottuk be az ''AttributeMap'' szűrőt, akkor itt az attribútumok friendly nevét kell beírnunk. Tipp: https://github.com/simplesamlphp/simplesamlphp/blob/master/attributemap/name2oid.php

[[Fájl:VidyoAdmin2.png]]

Bizonyos attribútumoknál lehetőség van érték mapping-re is, tipikusan csoport, vagy típus jellegű attribútumoknál, ahol a kapott attirbútumok értéke alapján
történik a megfeleltetés.

[[Fájl:VidyoAdmin3.png]]

== SSP SP oldalának konfigurálása, illesztés a föderációba ==

A proxy egyik oldala a föderáció felé, mint SP viselkedik. Az authsource-ot 'default-sp'-nek nevezzük el, erre kell hivatkozni a későbbiekben az IdP konfigurációban.

A *config/config.php* file-ba

Hogy a vidyo portál, és egyé authentikációs szűrők futtatásakor az attribútum megfeleltetéseknél ne okozzanak gondot az oid formátumú attribútum nevek, mielőtt kiadjuk őket, az ''AttributeMap'' szűrő segítségével alakítsuk át az attribútum neveket.

''config/config.php''

'authproc.sp' => array(
...
200 => array('class' => 'core:AttributeMap', 'oid2name'),
...
),

Ha még nem tettük meg, rakjunk ide is certificate-et.

cd cert
openssl req -newkey rsa:2048 -new -x509 -days 3652 -nodes -out sp.crt -keyout sp.pem

és könyveljük be a ''config/authsrouces.php'' -ba

'default-sp' => array(
'saml:SP',
...
'privatekey' => 'sp.pem',
'certificate' => 'sp.crt',
...

=== metadata ===
Az SP-t regisztráljuk be a kívánt föderációba a föderáció által megadott szabályok alapján.

=== metarefresh ===

Hogy a metadadatok mindig napra készek legyenek, gondoskodjunk a metarefresh és cron modul beállításáról.

A konfigurációs file-okat a config könyvtárba kell elhelyezni a sablonokat a modulok config-templates alkönyvtáraiban találjuk meg.

A modulok bekapcsolásáról a rendszer konfigurációban rendelkezhetünk a legegyszerűbben.

''config/config.php''

'module.enable' => array(
'cron' => TRUE,
'metarefresh' => TRUE,
),

SimpleSAMLphp proxy vidyo portálhoz

2015-11-03T09:34:45Z

Gyufi(AT)niif.hu: /* SSP SP oldalának konfigurálása, illesztés a föderációba */

= Vidyo Portal Authentication Proxy =

A vidyo portál utolsó fejlesztései lehetővé tették a SAML alapú authentikációt, és authorizációt.

Az implementáció nem teljesen fedi le a SAML feature-öket, az SP implementáció csak egy IdP-vel képes kapcsolatot létesíteni.

A portált a simpleSAMLphp proxy-ként való telepítésével tehetjük egy föderáció tagjává.

== simpleSAMLphp telepítése ==

A simplesamlphp telepítését elvégezzük a [https://simplesamlphp.org/docs/stable/simplesamlphp-install dokumentáció] szerint.

== SSP IdP oldalának konfigurálása, illesztés a Vidyo portál felé ==

Legelőször is engedélyezni kell az IdP funkciót

''config/config.php''

'enable.saml20-idp' => true,

Gyártsuk le az IdP certificate-jét, és rakjuk a ''cert'' könyvtárba ''idp.pem'', illetve ''idp.crt'' néven.

cd cert
openssl req -newkey rsa:2048 -new -x509 -days 3652 -nodes -out idp.crt -keyout idp.pem

''metadata/saml20-idp-hosted.php''

'auth' => 'default-sp',
'privatekey' => 'idp.pem',
'certificate' => 'idp.crt',
),

A vidyo portál admin felületéről le kell tölteni a portál metaadatát, és el kell menteni a metadata könyvtárba.

metadata/vidyo-sp.xml

Erre hivatkozni kell a ''config/config.php''-ben is:

'metadata.sources' => array(
...
array('type' => 'xml', 'file' => 'metadata/vidyo-sp.xml'), // vidyo sp
... ),

=== Vidyo admin portál ===

A portálon be kell állítani,
* hogy az azonosítás SAML alapú legyen, ''Authentication Type''
* fel kell tölteni az IdP metaadatát, ezt az ssp telepítés ''saml2/idp/metadata.php'' oldaláról tölthetjük le. ''Identity Provider (IdP) Metadata XML''
* be kell állítani az auto provisioninget, ''SAML provision type''

Az előző fejezetben említett portál metaadatát ezen az oldalon érjük el. ''View Service Provider (SP) metadata XML''
Össze kell illeszteni a SAML rétegből jövő attribútumokat a Vidyo portál által használt adatmodellel. ''Edit IdP Attribute Mapping...''

[[Fájl:VidyoAdmin1.png]]

A _SAML IdP Attribute Name_ oszlopokba az SSP-től kapott attribútum neveket kell írni. Ha a proxy IdP oldalán a példa szerint állítottuk be az ''AttributeMap'' szűrőt, akkor itt az attribútumok friendly nevét kell beírnunk. Tipp: https://github.com/simplesamlphp/simplesamlphp/blob/master/attributemap/name2oid.php

[[Fájl:VidyoAdmin2.png]]

Bizonyos attribútumoknál lehetőség van érték mapping-re is, tipikusan csoport, vagy típus jellegű attribútumoknál, ahol a kapott attirbútumok értéke alapján
történik a megfeleltetés.

[[Fájl:VidyoAdmin3.png]]

== SSP SP oldalának konfigurálása, illesztés a föderációba ==

A proxy egyik oldala a föderáció felé, mint SP viselkedik. Az authsource-ot 'default-sp'-nek nevezzük el, erre kell hivatkozni a későbbiekben az IdP konfigurációban.

A *config/config.php* file-ba

Hogy a vidyo portál, és egyé authentikációs szűrők futtatásakor az attribútum megfeleltetéseknél ne okozzanak gondot az oid formátumú attribútum nevek, mielőtt kiadjuk őket, az ''AttributeMap'' szűrő segítségével alakítsuk át az attribútum neveket.

''config/config.php''

'authproc.sp' => array(
...
200 => array('class' => 'core:AttributeMap', 'oid2name'),
...
),

Ha még nem tettük meg, rakjunk ide is certificate-et.

cd cert
openssl req -newkey rsa:2048 -new -x509 -days 3652 -nodes -out sp.crt -keyout sp.pem

=== metadata ===
Az SP-t regisztráljuk be a kívánt föderációba a föderáció által megadott szabályok alapján.

=== metarefresh ===

Hogy a metadadatok mindig napra készek legyenek, gondoskodjunk a metarefresh és cron modul beállításáról.

A konfigurációs file-okat a config könyvtárba kell elhelyezni a sablonokat a modulok config-templates alkönyvtáraiban találjuk meg.

A modulok bekapcsolásáról a rendszer konfigurációban rendelkezhetünk a legegyszerűbben.

''config/config.php''

'module.enable' => array(
'cron' => TRUE,
'metarefresh' => TRUE,
),

SimpleSAMLphp proxy vidyo portálhoz

2015-11-03T09:33:59Z

Gyufi(AT)niif.hu: /* SSP SP oldalának konfigurálása, illesztés a föderációba */

= Vidyo Portal Authentication Proxy =

A vidyo portál utolsó fejlesztései lehetővé tették a SAML alapú authentikációt, és authorizációt.

Az implementáció nem teljesen fedi le a SAML feature-öket, az SP implementáció csak egy IdP-vel képes kapcsolatot létesíteni.

A portált a simpleSAMLphp proxy-ként való telepítésével tehetjük egy föderáció tagjává.

== simpleSAMLphp telepítése ==

A simplesamlphp telepítését elvégezzük a [https://simplesamlphp.org/docs/stable/simplesamlphp-install dokumentáció] szerint.

== SSP IdP oldalának konfigurálása, illesztés a Vidyo portál felé ==

Legelőször is engedélyezni kell az IdP funkciót

''config/config.php''

'enable.saml20-idp' => true,

Gyártsuk le az IdP certificate-jét, és rakjuk a ''cert'' könyvtárba ''idp.pem'', illetve ''idp.crt'' néven.

cd cert
openssl req -newkey rsa:2048 -new -x509 -days 3652 -nodes -out idp.crt -keyout idp.pem

''metadata/saml20-idp-hosted.php''

'auth' => 'default-sp',
'privatekey' => 'idp.pem',
'certificate' => 'idp.crt',
),

A vidyo portál admin felületéről le kell tölteni a portál metaadatát, és el kell menteni a metadata könyvtárba.

metadata/vidyo-sp.xml

Erre hivatkozni kell a ''config/config.php''-ben is:

'metadata.sources' => array(
...
array('type' => 'xml', 'file' => 'metadata/vidyo-sp.xml'), // vidyo sp
... ),

=== Vidyo admin portál ===

A portálon be kell állítani,
* hogy az azonosítás SAML alapú legyen, ''Authentication Type''
* fel kell tölteni az IdP metaadatát, ezt az ssp telepítés ''saml2/idp/metadata.php'' oldaláról tölthetjük le. ''Identity Provider (IdP) Metadata XML''
* be kell állítani az auto provisioninget, ''SAML provision type''

Az előző fejezetben említett portál metaadatát ezen az oldalon érjük el. ''View Service Provider (SP) metadata XML''
Össze kell illeszteni a SAML rétegből jövő attribútumokat a Vidyo portál által használt adatmodellel. ''Edit IdP Attribute Mapping...''

[[Fájl:VidyoAdmin1.png]]

A _SAML IdP Attribute Name_ oszlopokba az SSP-től kapott attribútum neveket kell írni. Ha a proxy IdP oldalán a példa szerint állítottuk be az ''AttributeMap'' szűrőt, akkor itt az attribútumok friendly nevét kell beírnunk. Tipp: https://github.com/simplesamlphp/simplesamlphp/blob/master/attributemap/name2oid.php

[[Fájl:VidyoAdmin2.png]]

Bizonyos attribútumoknál lehetőség van érték mapping-re is, tipikusan csoport, vagy típus jellegű attribútumoknál, ahol a kapott attirbútumok értéke alapján
történik a megfeleltetés.

[[Fájl:VidyoAdmin3.png]]

== SSP SP oldalának konfigurálása, illesztés a föderációba ==

A proxy egyik oldala a föderáció felé, mint SP viselkedik. Az authsource-ot 'default-sp'-nek nevezzük el, erre kell hivatkozni a későbbiekben az IdP konfigurációban.

A *config/config.php* file-ba

Hogy a vidyo portál, és egyé authentikációs szűrők futtatásakor az attribútum megfeleltetéseknél ne okozzanak gondot az oid formátumú attribútum nevek, mielőtt kiadjuk őket, az ''AttributeMap'' szűrő segítségével alakítsuk át az attribútum neveket.

''config/config.php''

'authproc.sp' => array(
...
200 => array('class' => 'core:AttributeMap', 'oid2name'),
...
),

Ha még nem tettük meg, rakjunk ide is certificate-et.

cd cert

=== metadata ===
Az SP-t regisztráljuk be a kívánt föderációba a föderáció által megadott szabályok alapján.

=== metarefresh ===

Hogy a metadadatok mindig napra készek legyenek, gondoskodjunk a metarefresh és cron modul beállításáról.

A konfigurációs file-okat a config könyvtárba kell elhelyezni a sablonokat a modulok config-templates alkönyvtáraiban találjuk meg.

A modulok bekapcsolásáról a rendszer konfigurációban rendelkezhetünk a legegyszerűbben.

''config/config.php''

'module.enable' => array(
'cron' => TRUE,
'metarefresh' => TRUE,
),

SimpleSAMLphp proxy vidyo portálhoz

2015-10-30T12:00:08Z

Gyufi(AT)niif.hu:

= Vidyo Portal Authentication Proxy =

A vidyo portál utolsó fejlesztései lehetővé tették a SAML alapú authentikációt, és authorizációt.

Az implementáció nem teljesen fedi le a SAML feature-öket, az SP implementáció csak egy IdP-vel képes kapcsolatot létesíteni.

A portált a simpleSAMLphp proxy-ként való telepítésével tehetjük egy föderáció tagjává.

== simpleSAMLphp telepítése ==

A simplesamlphp telepítését elvégezzük a [https://simplesamlphp.org/docs/stable/simplesamlphp-install dokumentáció] szerint.

== SSP IdP oldalának konfigurálása, illesztés a Vidyo portál felé ==

Legelőször is engedélyezni kell az IdP funkciót

''config/config.php''

'enable.saml20-idp' => true,

Gyártsuk le az IdP certificate-jét, és rakjuk a ''cert'' könyvtárba ''idp.pem'', illetve ''idp.crt'' néven.

cd cert
openssl req -newkey rsa:2048 -new -x509 -days 3652 -nodes -out idp.crt -keyout idp.pem

''metadata/saml20-idp-hosted.php''

'auth' => 'default-sp',
'privatekey' => 'idp.pem',
'certificate' => 'idp.crt',
),

A vidyo portál admin felületéről le kell tölteni a portál metaadatát, és el kell menteni a metadata könyvtárba.

metadata/vidyo-sp.xml

Erre hivatkozni kell a ''config/config.php''-ben is:

'metadata.sources' => array(
...
array('type' => 'xml', 'file' => 'metadata/vidyo-sp.xml'), // vidyo sp
... ),

=== Vidyo admin portál ===

A portálon be kell állítani,
* hogy az azonosítás SAML alapú legyen, ''Authentication Type''
* fel kell tölteni az IdP metaadatát, ezt az ssp telepítés ''saml2/idp/metadata.php'' oldaláról tölthetjük le. ''Identity Provider (IdP) Metadata XML''
* be kell állítani az auto provisioninget, ''SAML provision type''

Az előző fejezetben említett portál metaadatát ezen az oldalon érjük el. ''View Service Provider (SP) metadata XML''
Össze kell illeszteni a SAML rétegből jövő attribútumokat a Vidyo portál által használt adatmodellel. ''Edit IdP Attribute Mapping...''

[[Fájl:VidyoAdmin1.png]]

A _SAML IdP Attribute Name_ oszlopokba az SSP-től kapott attribútum neveket kell írni. Ha a proxy IdP oldalán a példa szerint állítottuk be az ''AttributeMap'' szűrőt, akkor itt az attribútumok friendly nevét kell beírnunk. Tipp: https://github.com/simplesamlphp/simplesamlphp/blob/master/attributemap/name2oid.php

[[Fájl:VidyoAdmin2.png]]

Bizonyos attribútumoknál lehetőség van érték mapping-re is, tipikusan csoport, vagy típus jellegű attribútumoknál, ahol a kapott attirbútumok értéke alapján
történik a megfeleltetés.

[[Fájl:VidyoAdmin3.png]]

== SSP SP oldalának konfigurálása, illesztés a föderációba ==

A proxy egyik oldala a föderáció felé, mint SP viselkedik. Az authsource-ot 'default-sp'-nek nevezzük el, erre kell hivatkozni a későbbiekben az IdP konfigurációban.

A *config/config.php* file-ba

Hogy a vidyo portál, és egyé authentikációs szűrők futtatásakor az attribútum megfeleltetéseknél ne okozzanak gondot az oid formátumú attribútum nevek, mielőtt kiadjuk őket, az ''AttributeMap'' szűrő segítségével alakítsuk át az attribútum neveket.

''config/config.php''

'authproc.sp' => array(
...
200 => array('class' => 'core:AttributeMap', 'oid2name'),
...
),

=== metadata ===
Az SP-t regisztráljuk be a kívánt föderációba a föderáció által megadott szabályok alapján.

=== metarefresh ===

Hogy a metadadatok mindig napra készek legyenek, gondoskodjunk a metarefresh és cron modul beállításáról.

A konfigurációs file-okat a config könyvtárba kell elhelyezni a sablonokat a modulok config-templates alkönyvtáraiban találjuk meg.

A modulok bekapcsolásáról a rendszer konfigurációban rendelkezhetünk a legegyszerűbben.

''config/config.php''

'module.enable' => array(
'cron' => TRUE,
'metarefresh' => TRUE,
),

SimpleSAMLphp proxy vidyo portálhoz

2015-09-09T16:07:29Z

Gyufi(AT)niif.hu: /* SSP IdP oldalának konfigurálása, illesztés a Vidyo portál felé */

= Vidyo Portal Authentication Proxy =

A vidyo portál utolsó fejlesztései lehetővé tették a SAML alapú authentikációt, és authorizációt.

Az implementáció nem teljesen fedi le a SAML feature-öket, az SP implementáció csak egy IdP-vel képes kapcsolatot létesíteni.

A portált a simpleSAMLphp proxy-ként való telepítésével tehetjük egy föderáció tagjává.

== simpleSAMLphp telepítése ==

A simplesamlphp telepítését elvégezzük a [https://simplesamlphp.org/docs/stable/simplesamlphp-install dokumentáció] szerint.

== SSP IdP oldalának konfigurálása, illesztés a Vidyo portál felé ==

Legelőször is engedélyezni kell az IdP funkciót

''config/config.php''

'enable.saml20-idp' => true,

Gyártsuk le az IdP certificate-jét, és rakjuk a ''cert'' könyvtárba ''idp.pem'', illetve ''idp.crt'' néven.

cd cert
openssl req -newkey rsa:2048 -new -x509 -days 3652 -nodes -out idp.crt -keyout idp.pem

Hogy a vidyo portál oldalon az attribútum megfeleltetéseknél ne okozzanak gondot az oid formátumú attribútum nevek, mielőtt kiadjuk őket, az ''AttributeMap'' szűrő segítségével alakítsuk át az attribútum neveket. Mindezt vezessük be a hosztolt IdP konfigurációs részébe:

''metadata/saml20-idp-hosted.php''

'auth' => 'default-sp',
'privatekey' => 'idp.pem',
'certificate' => 'idp.crt',
'authproc' => array(
200 => array('class' => 'core:AttributeMap', 'oid2name'),
),

A vidyo portál admin felületéről le kell tölteni a portál metaadatát, és el kell menteni a metadata könyvtárba.

metadata/vidyo-sp.xml

Erre hivatkozni kell a ''config/config.php''-ben is:

'metadata.sources' => array(
...
array('type' => 'xml', 'file' => 'metadata/vidyo-sp.xml'), // vidyo sp
... ),

=== Vidyo admin portál ===

A portálon be kell állítani,
* hogy az azonosítás SAML alapú legyen, ''Authentication Type''
* fel kell tölteni az IdP metaadatát, ezt az ssp telepítés ''saml2/idp/metadata.php'' oldaláról tölthetjük le. ''Identity Provider (IdP) Metadata XML''
* be kell állítani az auto provisioninget, ''SAML provision type''

Az előző fejezetben említett portál metaadatát ezen az oldalon érjük el. ''View Service Provider (SP) metadata XML''
Össze kell illeszteni a SAML rétegből jövő attribútumokat a Vidyo portál által használt adatmodellel. ''Edit IdP Attribute Mapping...''

[[Fájl:VidyoAdmin1.png]]

A _SAML IdP Attribute Name_ oszlopokba az SSP-től kapott attribútum neveket kell írni. Ha a proxy IdP oldalán a példa szerint állítottuk be az ''AttributeMap'' szűrőt, akkor itt az attribútumok friendly nevét kell beírnunk. Tipp: https://github.com/simplesamlphp/simplesamlphp/blob/master/attributemap/name2oid.php

[[Fájl:VidyoAdmin2.png]]

Bizonyos attribútumoknál lehetőség van érték mapping-re is, tipikusan csoport, vagy típus jellegű attribútumoknál, ahol a kapott attirbútumok értéke alapján
történik a megfeleltetés.

[[Fájl:VidyoAdmin3.png]]

== SSP SP oldalának konfigurálása, illesztés a föderációba ==

A proxy egyik oldala a föderáció felé, mint SP viselkedik. Az authsource-ot 'default-sp'-nek nevezzük el, erre kell hivatkozni a későbbiekben az IdP konfigurációban.

=== metadata ===
Az SP-t regisztráljuk be a kívánt föderációba a föderáció által megadott szabályok alapján.

=== metarefresh ===

Hogy a metadadatok mindig napra készek legyenek, gondoskodjunk a metarefresh és cron modul beállításáról.

A konfigurációs file-okat a config könyvtárba kell elhelyezni a sablonokat a modulok config-templates alkönyvtáraiban találjuk meg.

A modulok bekapcsolásáról a rendszer konfigurációban rendelkezhetünk a legegyszerűbben.

''config/config.php''

'module.enable' => array(
'cron' => TRUE,
'metarefresh' => TRUE,
),

SimpleSAMLphp proxy vidyo portálhoz

2015-09-09T16:07:00Z

Gyufi(AT)niif.hu: /* SSP IdP oldalának konfigurálása, illesztés a Vidyo portál felé */

= Vidyo Portal Authentication Proxy =

A vidyo portál utolsó fejlesztései lehetővé tették a SAML alapú authentikációt, és authorizációt.

Az implementáció nem teljesen fedi le a SAML feature-öket, az SP implementáció csak egy IdP-vel képes kapcsolatot létesíteni.

A portált a simpleSAMLphp proxy-ként való telepítésével tehetjük egy föderáció tagjává.

== simpleSAMLphp telepítése ==

A simplesamlphp telepítését elvégezzük a [https://simplesamlphp.org/docs/stable/simplesamlphp-install dokumentáció] szerint.

== SSP IdP oldalának konfigurálása, illesztés a Vidyo portál felé ==

Legelőször is engedélyezni kell az IdP funkciót

''config/config.php''

'enable.saml20-idp' => true,

Gyártsuk le az IdP certifikate-jét, és rakjuk a ''cert'' könyvtárba ''idp.pem'', ''idp.crt'' néven.

cd cert
openssl req -newkey rsa:2048 -new -x509 -days 3652 -nodes -out idp.crt -keyout idp.pem

Hogy a vidyo portál oldalon az attribútum megfeleltetéseknél ne okozzanak gondot az oid formátumú attribútum nevek, mielőtt kiadjuk őket, az ''AttributeMap'' szűrő segítségével alakítsuk át az attribútum neveket. Mindezt vezessük be a hosztolt IdP konfigurációs részébe:

''metadata/saml20-idp-hosted.php''

'auth' => 'default-sp',
'privatekey' => 'idp.pem',
'certificate' => 'idp.crt',
'authproc' => array(
200 => array('class' => 'core:AttributeMap', 'oid2name'),
),

A vidyo portál admin felületéről le kell tölteni a portál metaadatát, és el kell menteni a metadata könyvtárba.

metadata/vidyo-sp.xml

Erre hivatkozni kell a ''config/config.php''-ben is:

'metadata.sources' => array(
...
array('type' => 'xml', 'file' => 'metadata/vidyo-sp.xml'), // vidyo sp
... ),

=== Vidyo admin portál ===

A portálon be kell állítani,
* hogy az azonosítás SAML alapú legyen, ''Authentication Type''
* fel kell tölteni az IdP metaadatát, ezt az ssp telepítés ''saml2/idp/metadata.php'' oldaláról tölthetjük le. ''Identity Provider (IdP) Metadata XML''
* be kell állítani az auto provisioninget, ''SAML provision type''

Az előző fejezetben említett portál metaadatát ezen az oldalon érjük el. ''View Service Provider (SP) metadata XML''
Össze kell illeszteni a SAML rétegből jövő attribútumokat a Vidyo portál által használt adatmodellel. ''Edit IdP Attribute Mapping...''

[[Fájl:VidyoAdmin1.png]]

A _SAML IdP Attribute Name_ oszlopokba az SSP-től kapott attribútum neveket kell írni. Ha a proxy IdP oldalán a példa szerint állítottuk be az ''AttributeMap'' szűrőt, akkor itt az attribútumok friendly nevét kell beírnunk. Tipp: https://github.com/simplesamlphp/simplesamlphp/blob/master/attributemap/name2oid.php

[[Fájl:VidyoAdmin2.png]]

Bizonyos attribútumoknál lehetőség van érték mapping-re is, tipikusan csoport, vagy típus jellegű attribútumoknál, ahol a kapott attirbútumok értéke alapján
történik a megfeleltetés.

[[Fájl:VidyoAdmin3.png]]

== SSP SP oldalának konfigurálása, illesztés a föderációba ==

A proxy egyik oldala a föderáció felé, mint SP viselkedik. Az authsource-ot 'default-sp'-nek nevezzük el, erre kell hivatkozni a későbbiekben az IdP konfigurációban.

=== metadata ===
Az SP-t regisztráljuk be a kívánt föderációba a föderáció által megadott szabályok alapján.

=== metarefresh ===

Hogy a metadadatok mindig napra készek legyenek, gondoskodjunk a metarefresh és cron modul beállításáról.

A konfigurációs file-okat a config könyvtárba kell elhelyezni a sablonokat a modulok config-templates alkönyvtáraiban találjuk meg.

A modulok bekapcsolásáról a rendszer konfigurációban rendelkezhetünk a legegyszerűbben.

''config/config.php''

'module.enable' => array(
'cron' => TRUE,
'metarefresh' => TRUE,
),

SimpleSAMLphp proxy vidyo portálhoz

2015-09-09T12:25:07Z

Gyufi(AT)niif.hu: /* metarefresh */

= Vidyo Portal Authentication Proxy =

A vidyo portál utolsó fejlesztései lehetővé tették a SAML alapú authentikációt, és authorizációt.

Az implementáció nem teljesen fedi le a SAML feature-öket, az SP implementáció csak egy IdP-vel képes kapcsolatot létesíteni.

A portált a simpleSAMLphp proxy-ként való telepítésével tehetjük egy föderáció tagjává.

== simpleSAMLphp telepítése ==

A simplesamlphp telepítését elvégezzük a [https://simplesamlphp.org/docs/stable/simplesamlphp-install dokumentáció] szerint.

== SSP IdP oldalának konfigurálása, illesztés a Vidyo portál felé ==

Legelőször is engedélyezni kell az IdP funkciót

''config/config.php''

'enable.saml20-idp' => true,

Gyártsuk le az IdP certifikate-jét, és rakjuk a ''cert'' könyvtárba ''idp.pem'', ''idp.crt'' néven.

cd cert openssl req -newkey rsa:2048 -new -x509 -days 3652 -nodes -out idp.crt -keyout idp.pem

Hogy a vidyo portál oldalon az attribútum megfeleltetéseknél ne okozzanak gondot az oid formátumú attribútum nevek, mielőtt kiadjuk őket, az ''AttributeMap'' szűrő segítségével alakítsuk át az attribútum neveket. Mindezt vezessük be a hosztolt IdP konfigurációs részébe:

''metadata/saml20-idp-hosted.php''

'auth' => 'default-sp',
'privatekey' => 'idp.pem',
'certificate' => 'idp.crt',
'authproc' => array(
200 => array('class' => 'core:AttributeMap', 'oid2name'),
),

A vidyo portál admin felületéről le kell tölteni a portál metaadatát, és el kell menteni a metadata könyvtárba.

metadata/vidyo-sp.xml

Erre hivatkozni kell a ''config/config.php''-ben is:

'metadata.sources' => array(
...
array('type' => 'xml', 'file' => 'metadata/vidyo-sp.xml'), // vidyo sp
... ),

=== Vidyo admin portál ===

A portálon be kell állítani,
* hogy az azonosítás SAML alapú legyen, ''Authentication Type''
* fel kell tölteni az IdP metaadatát, ezt az ssp telepítés ''saml2/idp/metadata.php'' oldaláról tölthetjük le. ''Identity Provider (IdP) Metadata XML''
* be kell állítani az auto provisioninget, ''SAML provision type''

Az előző fejezetben említett portál metaadatát ezen az oldalon érjük el. ''View Service Provider (SP) metadata XML''
Össze kell illeszteni a SAML rétegből jövő attribútumokat a Vidyo portál által használt adatmodellel. ''Edit IdP Attribute Mapping...''

[[Fájl:VidyoAdmin1.png]]

A _SAML IdP Attribute Name_ oszlopokba az SSP-től kapott attribútum neveket kell írni. Ha a proxy IdP oldalán a példa szerint állítottuk be az ''AttributeMap'' szűrőt, akkor itt az attribútumok friendly nevét kell beírnunk. Tipp: https://github.com/simplesamlphp/simplesamlphp/blob/master/attributemap/name2oid.php

[[Fájl:VidyoAdmin2.png]]

Bizonyos attribútumoknál lehetőség van érték mapping-re is, tipikusan csoport, vagy típus jellegű attribútumoknál, ahol a kapott attirbútumok értéke alapján
történik a megfeleltetés.

[[Fájl:VidyoAdmin3.png]]

== SSP SP oldalának konfigurálása, illesztés a föderációba ==

A proxy egyik oldala a föderáció felé, mint SP viselkedik. Az authsource-ot 'default-sp'-nek nevezzük el, erre kell hivatkozni a későbbiekben az IdP konfigurációban.

=== metadata ===
Az SP-t regisztráljuk be a kívánt föderációba a föderáció által megadott szabályok alapján.

=== metarefresh ===

Hogy a metadadatok mindig napra készek legyenek, gondoskodjunk a metarefresh és cron modul beállításáról.

A konfigurációs file-okat a config könyvtárba kell elhelyezni a sablonokat a modulok config-templates alkönyvtáraiban találjuk meg.

A modulok bekapcsolásáról a rendszer konfigurációban rendelkezhetünk a legegyszerűbben.

''config/config.php''

'module.enable' => array(
'cron' => TRUE,
'metarefresh' => TRUE,
),

Fájl:VidyoAdmin3.png

2015-09-09T12:23:41Z

Gyufi(AT)niif.hu:

Fájl:VidyoAdmin1.png

2015-09-09T12:23:24Z

Gyufi(AT)niif.hu:

SimpleSAMLphp proxy vidyo portálhoz

2015-09-09T12:23:13Z

Gyufi(AT)niif.hu: /* Vidyo admin portál */

= Vidyo Portal Authentication Proxy =

A vidyo portál utolsó fejlesztései lehetővé tették a SAML alapú authentikációt, és authorizációt.

Az implementáció nem teljesen fedi le a SAML feature-öket, az SP implementáció csak egy IdP-vel képes kapcsolatot létesíteni.

A portált a simpleSAMLphp proxy-ként való telepítésével tehetjük egy föderáció tagjává.

== simpleSAMLphp telepítése ==

A simplesamlphp telepítését elvégezzük a [https://simplesamlphp.org/docs/stable/simplesamlphp-install dokumentáció] szerint.

== SSP IdP oldalának konfigurálása, illesztés a Vidyo portál felé ==

Legelőször is engedélyezni kell az IdP funkciót

''config/config.php''

'enable.saml20-idp' => true,

Gyártsuk le az IdP certifikate-jét, és rakjuk a ''cert'' könyvtárba ''idp.pem'', ''idp.crt'' néven.

cd cert openssl req -newkey rsa:2048 -new -x509 -days 3652 -nodes -out idp.crt -keyout idp.pem

Hogy a vidyo portál oldalon az attribútum megfeleltetéseknél ne okozzanak gondot az oid formátumú attribútum nevek, mielőtt kiadjuk őket, az ''AttributeMap'' szűrő segítségével alakítsuk át az attribútum neveket. Mindezt vezessük be a hosztolt IdP konfigurációs részébe:

''metadata/saml20-idp-hosted.php''

'auth' => 'default-sp',
'privatekey' => 'idp.pem',
'certificate' => 'idp.crt',
'authproc' => array(
200 => array('class' => 'core:AttributeMap', 'oid2name'),
),

A vidyo portál admin felületéről le kell tölteni a portál metaadatát, és el kell menteni a metadata könyvtárba.

metadata/vidyo-sp.xml

Erre hivatkozni kell a ''config/config.php''-ben is:

'metadata.sources' => array(
...
array('type' => 'xml', 'file' => 'metadata/vidyo-sp.xml'), // vidyo sp
... ),

=== Vidyo admin portál ===

A portálon be kell állítani,
* hogy az azonosítás SAML alapú legyen, ''Authentication Type''
* fel kell tölteni az IdP metaadatát, ezt az ssp telepítés ''saml2/idp/metadata.php'' oldaláról tölthetjük le. ''Identity Provider (IdP) Metadata XML''
* be kell állítani az auto provisioninget, ''SAML provision type''

Az előző fejezetben említett portál metaadatát ezen az oldalon érjük el. ''View Service Provider (SP) metadata XML''
Össze kell illeszteni a SAML rétegből jövő attribútumokat a Vidyo portál által használt adatmodellel. ''Edit IdP Attribute Mapping...''

[[Fájl:VidyoAdmin1.png]]

A _SAML IdP Attribute Name_ oszlopokba az SSP-től kapott attribútum neveket kell írni. Ha a proxy IdP oldalán a példa szerint állítottuk be az ''AttributeMap'' szűrőt, akkor itt az attribútumok friendly nevét kell beírnunk. Tipp: https://github.com/simplesamlphp/simplesamlphp/blob/master/attributemap/name2oid.php

[[Fájl:VidyoAdmin2.png]]

Bizonyos attribútumoknál lehetőség van érték mapping-re is, tipikusan csoport, vagy típus jellegű attribútumoknál, ahol a kapott attirbútumok értéke alapján
történik a megfeleltetés.

[[Fájl:VidyoAdmin3.png]]

== SSP SP oldalának konfigurálása, illesztés a föderációba ==

A proxy egyik oldala a föderáció felé, mint SP viselkedik. Az authsource-ot 'default-sp'-nek nevezzük el, erre kell hivatkozni a későbbiekben az IdP konfigurációban.

=== metadata ===
Az SP-t regisztráljuk be a kívánt föderációba a föderáció által megadott szabályok alapján.

=== metarefresh ===

Hogy a metadadatok mindig napra készek legyenek, gondoskodjunk a metarefresh és cron modul beállításáról.

A konfigurációs file-okat a config könyvtárba kell elhelyezni a sablonokat a modulok config-templates alkönyvtáraiban találjuk meg.

A modulok bekapcsolásáról a rendszer konfigurációban rendelkezhetünk a legegyszerűbben.

config/config.php

....
'module.enable' => array( 'cron' => TRUE, 'metarefresh' => TRUE, ),
....

Fájl:VidyoAdmin2.png

2015-09-09T12:22:30Z

Gyufi(AT)niif.hu:

SimpleSAMLphp proxy vidyo portálhoz

2015-09-09T12:21:39Z

Gyufi(AT)niif.hu: /* Vidyo admin portál */

= Vidyo Portal Authentication Proxy =

A vidyo portál utolsó fejlesztései lehetővé tették a SAML alapú authentikációt, és authorizációt.

Az implementáció nem teljesen fedi le a SAML feature-öket, az SP implementáció csak egy IdP-vel képes kapcsolatot létesíteni.

A portált a simpleSAMLphp proxy-ként való telepítésével tehetjük egy föderáció tagjává.

== simpleSAMLphp telepítése ==

A simplesamlphp telepítését elvégezzük a [https://simplesamlphp.org/docs/stable/simplesamlphp-install dokumentáció] szerint.

== SSP IdP oldalának konfigurálása, illesztés a Vidyo portál felé ==

Legelőször is engedélyezni kell az IdP funkciót

''config/config.php''

'enable.saml20-idp' => true,

Gyártsuk le az IdP certifikate-jét, és rakjuk a ''cert'' könyvtárba ''idp.pem'', ''idp.crt'' néven.

cd cert openssl req -newkey rsa:2048 -new -x509 -days 3652 -nodes -out idp.crt -keyout idp.pem

Hogy a vidyo portál oldalon az attribútum megfeleltetéseknél ne okozzanak gondot az oid formátumú attribútum nevek, mielőtt kiadjuk őket, az ''AttributeMap'' szűrő segítségével alakítsuk át az attribútum neveket. Mindezt vezessük be a hosztolt IdP konfigurációs részébe:

''metadata/saml20-idp-hosted.php''

'auth' => 'default-sp',
'privatekey' => 'idp.pem',
'certificate' => 'idp.crt',
'authproc' => array(
200 => array('class' => 'core:AttributeMap', 'oid2name'),
),

A vidyo portál admin felületéről le kell tölteni a portál metaadatát, és el kell menteni a metadata könyvtárba.

metadata/vidyo-sp.xml

Erre hivatkozni kell a ''config/config.php''-ben is:

'metadata.sources' => array(
...
array('type' => 'xml', 'file' => 'metadata/vidyo-sp.xml'), // vidyo sp
... ),

=== Vidyo admin portál ===

A portálon be kell állítani,
* hogy az azonosítás SAML alapú legyen, ''Authentication Type''
* fel kell tölteni az IdP metaadatát, ezt az ssp telepítés ''saml2/idp/metadata.php'' oldaláról tölthetjük le. ''Identity Provider (IdP) Metadata XML''
* be kell állítani az auto provisioninget, ''SAML provision type''

Az előző fejezetben említett portál metaadatát ezen az oldalon érjük el. ''View Service Provider (SP) metadata XML''
Össze kell illeszteni a SAML rétegből jövő attribútumokat a Vidyo portál által használt adatmodellel. ''Edit IdP Attribute Mapping...''

![Alt text](docs/images/Vidyo Admin1.png "Optional title")

A _SAML IdP Attribute Name_ oszlopokba az SSP-től kapott attribútum neveket kell írni. Ha a proxy IdP oldalán a példa szerint állítottuk be az ''AttributeMap'' szűrőt, akkor itt az attribútumok friendly nevét kell beírnunk. Tipp: https://github.com/simplesamlphp/simplesamlphp/blob/master/attributemap/name2oid.php

![Alt text](docs/images/Vidyo Admin2.png "Optional title")
[[Fájl:VidyoAdmin2.png]]

Bizonyos attribútumoknál lehetőség van érték mapping-re is, tipikusan csoport, vagy típus jellegű attribútumoknál, ahol a kapott attirbútumok értéke alapján
történik a megfeleltetés.

![Alt text](docs/images/Vidyo Admin3.png "Optional title")

== SSP SP oldalának konfigurálása, illesztés a föderációba ==

A proxy egyik oldala a föderáció felé, mint SP viselkedik. Az authsource-ot 'default-sp'-nek nevezzük el, erre kell hivatkozni a későbbiekben az IdP konfigurációban.

=== metadata ===
Az SP-t regisztráljuk be a kívánt föderációba a föderáció által megadott szabályok alapján.

=== metarefresh ===

Hogy a metadadatok mindig napra készek legyenek, gondoskodjunk a metarefresh és cron modul beállításáról.

A konfigurációs file-okat a config könyvtárba kell elhelyezni a sablonokat a modulok config-templates alkönyvtáraiban találjuk meg.

A modulok bekapcsolásáról a rendszer konfigurációban rendelkezhetünk a legegyszerűbben.

config/config.php

....
'module.enable' => array( 'cron' => TRUE, 'metarefresh' => TRUE, ),
....

SimpleSAMLphp proxy vidyo portálhoz

2015-09-09T12:16:40Z

Gyufi(AT)niif.hu: /* SSP IdP oldalának konfigurálása, illesztés a Vidyo portál felé */

= Vidyo Portal Authentication Proxy =

A vidyo portál utolsó fejlesztései lehetővé tették a SAML alapú authentikációt, és authorizációt.

Az implementáció nem teljesen fedi le a SAML feature-öket, az SP implementáció csak egy IdP-vel képes kapcsolatot létesíteni.

A portált a simpleSAMLphp proxy-ként való telepítésével tehetjük egy föderáció tagjává.

== simpleSAMLphp telepítése ==

A simplesamlphp telepítését elvégezzük a [https://simplesamlphp.org/docs/stable/simplesamlphp-install dokumentáció] szerint.

== SSP IdP oldalának konfigurálása, illesztés a Vidyo portál felé ==

Legelőször is engedélyezni kell az IdP funkciót

''config/config.php''

'enable.saml20-idp' => true,

Gyártsuk le az IdP certifikate-jét, és rakjuk a ''cert'' könyvtárba ''idp.pem'', ''idp.crt'' néven.

cd cert openssl req -newkey rsa:2048 -new -x509 -days 3652 -nodes -out idp.crt -keyout idp.pem

Hogy a vidyo portál oldalon az attribútum megfeleltetéseknél ne okozzanak gondot az oid formátumú attribútum nevek, mielőtt kiadjuk őket, az ''AttributeMap'' szűrő segítségével alakítsuk át az attribútum neveket. Mindezt vezessük be a hosztolt IdP konfigurációs részébe:

''metadata/saml20-idp-hosted.php''

'auth' => 'default-sp',
'privatekey' => 'idp.pem',
'certificate' => 'idp.crt',
'authproc' => array(
200 => array('class' => 'core:AttributeMap', 'oid2name'),
),

A vidyo portál admin felületéről le kell tölteni a portál metaadatát, és el kell menteni a metadata könyvtárba.

metadata/vidyo-sp.xml

Erre hivatkozni kell a ''config/config.php''-ben is:

'metadata.sources' => array(
...
array('type' => 'xml', 'file' => 'metadata/vidyo-sp.xml'), // vidyo sp
... ),

=== Vidyo admin portál ===

A portálon be kell állítani,
* hogy az azonosítás SAML alapú legyen, ''Authentication Type''
* fel kell tölteni az IdP metaadatát, ezt az ssp telepítés ''saml2/idp/metadata.php'' oldaláról tölthetjük le. ''Identity Provider (IdP) Metadata XML''
* be kell állítani az auto provisioninget, ''SAML provision type''

Az előző fejezetben említett portál metaadatát ezen az oldalon érjük el. ''View Service Provider (SP) metadata XML''
Össze kell illeszteni a SAML rétegből jövő attribútumokat a Vidyo portál által használt adatmodellel. ''Edit IdP Attribute Mapping...''

![Alt text](docs/images/Vidyo Admin1.png "Optional title")

A _SAML IdP Attribute Name_ oszlopokba az SSP-től kapott attribútum neveket kell írni. Ha a proxy IdP oldalán a példa szerint állítottuk be az ''AttributeMap'' szűrőt, akkor itt az attribútumok friendly nevét kell beírnunk. Tipp: https://github.com/simplesamlphp/simplesamlphp/blob/master/attributemap/name2oid.php

![Alt text](docs/images/Vidyo Admin2.png "Optional title")

Bizonyos attribútumoknál lehetőség van érték mapping-re is, tipikusan csoport, vagy típus jellegű attribútumoknál, ahol a kapott attirbútumok értéke alapján
történik a megfeleltetés.

![Alt text](docs/images/Vidyo Admin3.png "Optional title")

== SSP SP oldalának konfigurálása, illesztés a föderációba ==

A proxy egyik oldala a föderáció felé, mint SP viselkedik. Az authsource-ot 'default-sp'-nek nevezzük el, erre kell hivatkozni a későbbiekben az IdP konfigurációban.

=== metadata ===
Az SP-t regisztráljuk be a kívánt föderációba a föderáció által megadott szabályok alapján.

=== metarefresh ===

Hogy a metadadatok mindig napra készek legyenek, gondoskodjunk a metarefresh és cron modul beállításáról.

A konfigurációs file-okat a config könyvtárba kell elhelyezni a sablonokat a modulok config-templates alkönyvtáraiban találjuk meg.

A modulok bekapcsolásáról a rendszer konfigurációban rendelkezhetünk a legegyszerűbben.

config/config.php

....
'module.enable' => array( 'cron' => TRUE, 'metarefresh' => TRUE, ),
....

SimpleSAMLphp proxy vidyo portálhoz

2015-09-09T11:05:39Z

Gyufi(AT)niif.hu: /* simpleSAMLphp telepítése */

= Vidyo Portal Authentication Proxy =

A vidyo portál utolsó fejlesztései lehetővé tették a SAML alapú authentikációt, és authorizációt.

Az implementáció nem teljesen fedi le a SAML feature-öket, az SP implementáció csak egy IdP-vel képes kapcsolatot létesíteni.

A portált a simpleSAMLphp proxy-ként való telepítésével tehetjük egy föderáció tagjává.

== simpleSAMLphp telepítése ==

A simplesamlphp telepítését elvégezzük a [https://simplesamlphp.org/docs/stable/simplesamlphp-install dokumentáció] szerint.

== SSP IdP oldalának konfigurálása, illesztés a Vidyo portál felé ==

Legelőször is engedélyezni kell az IdP funkciót

config/config.php

```
'enable.saml20-idp' => true,
```

Gyártsuk le az IdP certifikate-jét, és rakjuk a _cert_ könyvtárba _idp.pem_, _idp.crt_ néven.

```
cd cert openssl req -newkey rsa:2048 -new -x509 -days 3652 -nodes -out idp.crt -keyout idp.pem
```

Hogy a vidyo portál oldalon az attribútum megfeleltetéseknél ne okozzanak gondot az oid formátumú attribútum nevek, mielőtt kiadjuk őket, az _AttributeMap_ szűrő segítségével alakítsuk át az attribútum neveket. Mindezt vezessük be a hosztolt IdP konfigurációs részébe:

metadata/saml20-idp-hosted.php
```
'auth' => 'default-sp',
'privatekey' => 'idp.pem',
'certificate' => 'idp.crt',
'authproc' => array(
200 => array('class' => 'core:AttributeMap', 'oid2name'),
),
```

A vidyo portál admin felületéről le kell tölteni a portál metaadatát, és el kell menteni a metadata könyvtárba.

``` metadata/vidyo-sp.xml ```

Erre hivatkozni kell a _config/config.php_-ben is:
```
'metadata.sources' => array(
...
array('type' => 'xml', 'file' => 'metadata/vidyo-sp.xml'), // vidyo sp
... ),
```
=== Vidyo admin portál ===
A portálon be kell állítani,
* hogy az azonosítás SAML alapú legyen, _Authentication Type_
* fel kell tölteni az IdP metaadatát, ezt az ssp telepítés _saml2/idp/metadata.php_ oldaláról tölthetjük le. _Identity Provider (IdP) Metadata XML_
* be kell állítani az auto provisioninget, _SAML provision type_

Az előző fejezetben említett portál metaadatát ezen az oldalon érjük el. _View Service Provider (SP) metadata XML_
Össze kell illeszteni a SAML rétegből jövő attribútumokat a Vidyo portál által használt adatmodellel. _Edit IdP Attribute Mapping..._

![Alt text](docs/images/Vidyo Admin1.png "Optional title")

A _SAML IdP Attribute Name_ oszlopokba az SSP-től kapott attribútum neveket kell írni. Ha a proxy IdP oldalán a példa szerint állítottuk be az _AttributeMap_ szűrőt, akkor itt az attribútumok friendly nevét kell beírnunk. Tipp: [https://github.com/simplesamlphp/simplesamlphp/blob/master/attributemap/name2oid.php](https://github.com/simplesamlphp/simplesamlphp/blob/master/attributemap/name2oid.php)

![Alt text](docs/images/Vidyo Admin2.png "Optional title")

Bizonyos attribútumoknál lehetőség van érték mapping-re is, tipikusan csoport, vagy típus jellegű attribútumoknál, ahol a kapott attirbútumok értéke alapján
történik a megfeleltetés.

![Alt text](docs/images/Vidyo Admin3.png "Optional title")

== SSP SP oldalának konfigurálása, illesztés a föderációba ==

A proxy egyik oldala a föderáció felé, mint SP viselkedik. Az authsource-ot 'default-sp'-nek nevezzük el, erre kell hivatkozni a későbbiekben az IdP konfigurációban.

=== metadata ===
Az SP-t regisztráljuk be a kívánt föderációba a föderáció által megadott szabályok alapján.

=== metarefresh ===

Hogy a metadadatok mindig napra készek legyenek, gondoskodjunk a metarefresh és cron modul beállításáról.

A konfigurációs file-okat a config könyvtárba kell elhelyezni a sablonokat a modulok config-templates alkönyvtáraiban találjuk meg.

A modulok bekapcsolásáról a rendszer konfigurációban rendelkezhetünk a legegyszerűbben.

config/config.php

....
'module.enable' => array( 'cron' => TRUE, 'metarefresh' => TRUE, ),
....

SimpleSAMLphp proxy vidyo portálhoz

2015-09-09T11:03:10Z

Gyufi(AT)niif.hu: /* Vidyo Portal Authentication Proxy */

= Vidyo Portal Authentication Proxy =

A vidyo portál utolsó fejlesztései lehetővé tették a SAML alapú authentikációt, és authorizációt.

Az implementáció nem teljesen fedi le a SAML feature-öket, az SP implementáció csak egy IdP-vel képes kapcsolatot létesíteni.

A portált a simpleSAMLphp proxy-ként való telepítésével tehetjük egy föderáció tagjává.

== simpleSAMLphp telepítése ==

A simplesamlphp telepítését elvégezzük a [dokumentáció](https://simplesamlphp.org/docs/stable/simplesamlphp-install) szerint.

== SSP IdP oldalának konfigurálása, illesztés a Vidyo portál felé ==

Legelőször is engedélyezni kell az IdP funkciót

config/config.php

```
'enable.saml20-idp' => true,
```

Gyártsuk le az IdP certifikate-jét, és rakjuk a _cert_ könyvtárba _idp.pem_, _idp.crt_ néven.

```
cd cert openssl req -newkey rsa:2048 -new -x509 -days 3652 -nodes -out idp.crt -keyout idp.pem
```

Hogy a vidyo portál oldalon az attribútum megfeleltetéseknél ne okozzanak gondot az oid formátumú attribútum nevek, mielőtt kiadjuk őket, az _AttributeMap_ szűrő segítségével alakítsuk át az attribútum neveket. Mindezt vezessük be a hosztolt IdP konfigurációs részébe:

metadata/saml20-idp-hosted.php
```
'auth' => 'default-sp',
'privatekey' => 'idp.pem',
'certificate' => 'idp.crt',
'authproc' => array(
200 => array('class' => 'core:AttributeMap', 'oid2name'),
),
```

A vidyo portál admin felületéről le kell tölteni a portál metaadatát, és el kell menteni a metadata könyvtárba.

``` metadata/vidyo-sp.xml ```

Erre hivatkozni kell a _config/config.php_-ben is:
```
'metadata.sources' => array(
...
array('type' => 'xml', 'file' => 'metadata/vidyo-sp.xml'), // vidyo sp
... ),
```
=== Vidyo admin portál ===
A portálon be kell állítani,
* hogy az azonosítás SAML alapú legyen, _Authentication Type_
* fel kell tölteni az IdP metaadatát, ezt az ssp telepítés _saml2/idp/metadata.php_ oldaláról tölthetjük le. _Identity Provider (IdP) Metadata XML_
* be kell állítani az auto provisioninget, _SAML provision type_

Az előző fejezetben említett portál metaadatát ezen az oldalon érjük el. _View Service Provider (SP) metadata XML_
Össze kell illeszteni a SAML rétegből jövő attribútumokat a Vidyo portál által használt adatmodellel. _Edit IdP Attribute Mapping..._

![Alt text](docs/images/Vidyo Admin1.png "Optional title")

A _SAML IdP Attribute Name_ oszlopokba az SSP-től kapott attribútum neveket kell írni. Ha a proxy IdP oldalán a példa szerint állítottuk be az _AttributeMap_ szűrőt, akkor itt az attribútumok friendly nevét kell beírnunk. Tipp: [https://github.com/simplesamlphp/simplesamlphp/blob/master/attributemap/name2oid.php](https://github.com/simplesamlphp/simplesamlphp/blob/master/attributemap/name2oid.php)

![Alt text](docs/images/Vidyo Admin2.png "Optional title")

Bizonyos attribútumoknál lehetőség van érték mapping-re is, tipikusan csoport, vagy típus jellegű attribútumoknál, ahol a kapott attirbútumok értéke alapján
történik a megfeleltetés.

![Alt text](docs/images/Vidyo Admin3.png "Optional title")

== SSP SP oldalának konfigurálása, illesztés a föderációba ==

A proxy egyik oldala a föderáció felé, mint SP viselkedik. Az authsource-ot 'default-sp'-nek nevezzük el, erre kell hivatkozni a későbbiekben az IdP konfigurációban.

=== metadata ===
Az SP-t regisztráljuk be a kívánt föderációba a föderáció által megadott szabályok alapján.

=== metarefresh ===

Hogy a metadadatok mindig napra készek legyenek, gondoskodjunk a metarefresh és cron modul beállításáról.

A konfigurációs file-okat a config könyvtárba kell elhelyezni a sablonokat a modulok config-templates alkönyvtáraiban találjuk meg.

A modulok bekapcsolásáról a rendszer konfigurációban rendelkezhetünk a legegyszerűbben.

config/config.php

....
'module.enable' => array( 'cron' => TRUE, 'metarefresh' => TRUE, ),
....

SimpleSAMLphp proxy vidyo portálhoz

2015-09-09T11:01:34Z

Gyufi(AT)niif.hu: /* SSP IdP oldalának konfigurálása, illesztés a Vidyo portál felé */

= Vidyo Portal Authentication Proxy =

A vidyo portál utolsó fejlesztései lehetővé tették a SAML alapú authentikációt, és authorizációt.

Az implementáció nem teljesen fedi le a SAML feature-öket, az SP implementáció csak egy IdP-vel képes kapcsolatot létesíteni.

A portált a simpleSAMLphp proxy-ként való telepítésével tehetjük egy föderáció tagjává.

== simpleSAMLphp telepítése ==

A simplesamlphp telepítését elvégezzük a [dokumentáció](https://simplesamlphp.org/docs/stable/simplesamlphp-install) szerint.

== SSP IdP oldalának konfigurálása, illesztés a Vidyo portál felé ==

Legelőször is engedélyezni kell az IdP funkciót

config/config.php

```
'enable.saml20-idp' => true,
```

Gyártsuk le az IdP certifikate-jét, és rakjuk a _cert_ könyvtárba _idp.pem_, _idp.crt_ néven.

```
cd cert openssl req -newkey rsa:2048 -new -x509 -days 3652 -nodes -out idp.crt -keyout idp.pem
```

Hogy a vidyo portál oldalon az attribútum megfeleltetéseknél ne okozzanak gondot az oid formátumú attribútum nevek, mielőtt kiadjuk őket, az _AttributeMap_ szűrő segítségével alakítsuk át az attribútum neveket. Mindezt vezessük be a hosztolt IdP konfigurációs részébe:

metadata/saml20-idp-hosted.php
```
'auth' => 'default-sp',
'privatekey' => 'idp.pem',
'certificate' => 'idp.crt',
'authproc' => array(
200 => array('class' => 'core:AttributeMap', 'oid2name'),
),
```

A vidyo portál admin felületéről le kell tölteni a portál metaadatát, és el kell menteni a metadata könyvtárba.

``` metadata/vidyo-sp.xml ```

Erre hivatkozni kell a _config/config.php_-ben is:
```
'metadata.sources' => array(
...
array('type' => 'xml', 'file' => 'metadata/vidyo-sp.xml'), // vidyo sp
... ),
```
=== Vidyo admin portál ===
A portálon be kell állítani,
* hogy az azonosítás SAML alapú legyen, _Authentication Type_
* fel kell tölteni az IdP metaadatát, ezt az ssp telepítés _saml2/idp/metadata.php_ oldaláról tölthetjük le. _Identity Provider (IdP) Metadata XML_
* be kell állítani az auto provisioninget, _SAML provision type_

Az előző fejezetben említett portál metaadatát ezen az oldalon érjük el. _View Service Provider (SP) metadata XML_
Össze kell illeszteni a SAML rétegből jövő attribútumokat a Vidyo portál által használt adatmodellel. _Edit IdP Attribute Mapping..._

![Alt text](docs/images/Vidyo Admin1.png "Optional title")

A _SAML IdP Attribute Name_ oszlopokba az SSP-től kapott attribútum neveket kell írni. Ha a proxy IdP oldalán a példa szerint állítottuk be az _AttributeMap_ szűrőt, akkor itt az attribútumok friendly nevét kell beírnunk. Tipp: [https://github.com/simplesamlphp/simplesamlphp/blob/master/attributemap/name2oid.php](https://github.com/simplesamlphp/simplesamlphp/blob/master/attributemap/name2oid.php)

![Alt text](docs/images/Vidyo Admin2.png "Optional title")

Bizonyos attribútumoknál lehetőség van érték mapping-re is, tipikusan csoport, vagy típus jellegű attribútumoknál, ahol a kapott attirbútumok értéke alapján
történik a megfeleltetés.

![Alt text](docs/images/Vidyo Admin3.png "Optional title")

== SSP SP oldalának konfigurálása, illesztés a föderációba ==

A proxy egyik oldala a föderáció felé, mint SP viselkedik. Az authsource-ot 'default-sp'-nek nevezzük el, erre kell hivatkozni a későbbiekben az IdP konfigurációban.

=== metadata ===
Az SP-t regisztráljuk be a kívánt föderációba a föderáció által megadott szabályok alapján.

=== metarefresh ===

Hogy a metadadatok mindig napra készek legyenek, gondoskodjunk a metarefresh és cron modul beállításáról.

A konfigurációs file-okat a config könyvtárba kell elhelyezni a sablonokat a modulok config-templates alkönyvtáraiban találjuk meg.

A modulok bekapcsolásáról a rendszer konfigurációban rendelkezhetünk a legegyszerűbben.

config/config.php

....
'module.enable' => array( 'cron' => TRUE, 'metarefresh' => TRUE, ),
....

SimpleSAMLphp proxy vidyo portálhoz

2015-09-09T11:01:04Z

Gyufi(AT)niif.hu: Új oldal, tartalma: „= Vidyo Portal Authentication Proxy = A vidyo portál utolsó fejlesztései lehetővé tették a SAML alapú authentikációt, és authorizációt. Az implementáci…”

= Vidyo Portal Authentication Proxy =

A vidyo portál utolsó fejlesztései lehetővé tették a SAML alapú authentikációt, és authorizációt.

Az implementáció nem teljesen fedi le a SAML feature-öket, az SP implementáció csak egy IdP-vel képes kapcsolatot létesíteni.

A portált a simpleSAMLphp proxy-ként való telepítésével tehetjük egy föderáció tagjává.

== simpleSAMLphp telepítése ==

A simplesamlphp telepítését elvégezzük a [dokumentáció](https://simplesamlphp.org/docs/stable/simplesamlphp-install) szerint.

== SSP IdP oldalának konfigurálása, illesztés a Vidyo portál felé ==

Legelőször is engedélyezni kell az IdP funkciót

config/config.php
```
'enable.saml20-idp' => true,
```

Gyártsuk le az IdP certifikate-jét, és rakjuk a _cert_ könyvtárba _idp.pem_, _idp.crt_ néven.

```
cd cert openssl req -newkey rsa:2048 -new -x509 -days 3652 -nodes -out idp.crt -keyout idp.pem
```

Hogy a vidyo portál oldalon az attribútum megfeleltetéseknél ne okozzanak gondot az oid formátumú attribútum nevek, mielőtt kiadjuk őket, az _AttributeMap_ szűrő segítségével alakítsuk át az attribútum neveket. Mindezt vezessük be a hosztolt IdP konfigurációs részébe:

metadata/saml20-idp-hosted.php
```
'auth' => 'default-sp',
'privatekey' => 'idp.pem',
'certificate' => 'idp.crt',
'authproc' => array(
200 => array('class' => 'core:AttributeMap', 'oid2name'),
),
```

A vidyo portál admin felületéről le kell tölteni a portál metaadatát, és el kell menteni a metadata könyvtárba.

``` metadata/vidyo-sp.xml ```

Erre hivatkozni kell a _config/config.php_-ben is:
```
'metadata.sources' => array(
...
array('type' => 'xml', 'file' => 'metadata/vidyo-sp.xml'), // vidyo sp
... ),
```
=== Vidyo admin portál ===
A portálon be kell állítani,
* hogy az azonosítás SAML alapú legyen, _Authentication Type_
* fel kell tölteni az IdP metaadatát, ezt az ssp telepítés _saml2/idp/metadata.php_ oldaláról tölthetjük le. _Identity Provider (IdP) Metadata XML_
* be kell állítani az auto provisioninget, _SAML provision type_

Az előző fejezetben említett portál metaadatát ezen az oldalon érjük el. _View Service Provider (SP) metadata XML_
Össze kell illeszteni a SAML rétegből jövő attribútumokat a Vidyo portál által használt adatmodellel. _Edit IdP Attribute Mapping..._

![Alt text](docs/images/Vidyo Admin1.png "Optional title")

A _SAML IdP Attribute Name_ oszlopokba az SSP-től kapott attribútum neveket kell írni. Ha a proxy IdP oldalán a példa szerint állítottuk be az _AttributeMap_ szűrőt, akkor itt az attribútumok friendly nevét kell beírnunk. Tipp: [https://github.com/simplesamlphp/simplesamlphp/blob/master/attributemap/name2oid.php](https://github.com/simplesamlphp/simplesamlphp/blob/master/attributemap/name2oid.php)

![Alt text](docs/images/Vidyo Admin2.png "Optional title")

Bizonyos attribútumoknál lehetőség van érték mapping-re is, tipikusan csoport, vagy típus jellegű attribútumoknál, ahol a kapott attirbútumok értéke alapján
történik a megfeleltetés.

![Alt text](docs/images/Vidyo Admin3.png "Optional title")

== SSP SP oldalának konfigurálása, illesztés a föderációba ==

A proxy egyik oldala a föderáció felé, mint SP viselkedik. Az authsource-ot 'default-sp'-nek nevezzük el, erre kell hivatkozni a későbbiekben az IdP konfigurációban.

=== metadata ===
Az SP-t regisztráljuk be a kívánt föderációba a föderáció által megadott szabályok alapján.

=== metarefresh ===

Hogy a metadadatok mindig napra készek legyenek, gondoskodjunk a metarefresh és cron modul beállításáról.

A konfigurációs file-okat a config könyvtárba kell elhelyezni a sablonokat a modulok config-templates alkönyvtáraiban találjuk meg.

A modulok bekapcsolásáról a rendszer konfigurációban rendelkezhetünk a legegyszerűbben.

config/config.php

....
'module.enable' => array( 'cron' => TRUE, 'metarefresh' => TRUE, ),
....

Szerkesztő:Gyufi(AT)niif.hu

2015-09-09T10:44:52Z

Gyufi(AT)niif.hu:

[[simpleSAMLphp proxy vidyo portálhoz]]

Szerkesztő:Gyufi(AT)niif.hu

2015-09-09T10:44:38Z

Gyufi(AT)niif.hu: Új oldal, tartalma: „[simpleSAMLphp proxy vidyo portálhoz]”

[simpleSAMLphp proxy vidyo portálhoz]

SimpleSAMLphp

2014-11-20T10:44:36Z

Gyufi(AT)niif.hu: /* Attribútumok kezelése */ mégsem kell kétszer az orgtype...

Az alábbi lapon megkíséreljük összefoglalni a legfontosabb lépéseket, melyek általános esetben elegendőek ahhoz, hogy működő SimpleSAMLphp(SSP) alkalmazást állítsunk üzembe.

==Telepítés==
===Előkészületek===
Ahhoz, hogy problémamentesen telepíthessük SSP alkalmazásunkat, az alábbi szoftverkomponenseknek kell működniük szerverünkön.
* PHP futtatására alkalmas webszerver
* PHP környezet (legalább 5.2.0 verzió)
* A következő PHP kiterjesztéseket engedélyezni kell
** <code>date</code>, <code>dom</code>, <code>hash</code>, <code>libxml</code>, <code>openssl</code>, <code>pcre</code>, <code>SPL</code>, <code>zlib</code>
** LDAP-ból történő autentikáció esetén: <code>ldap</code>
** Adatbázisból történő autentikáció esetén a megfelelő adatbázis-csatolót <code>mysql</code>, <code>pgsql</code>
** RADIUS szerveren keresztül történő autentikáció esetén: <code>radius</code>
** Assertion-ök titkosítása esetén: <code>mcrypt</code>
** Memcache használata esetén: <code>memcache</code>

===Letöltés===
A legfrissebb változat letölthető [http://code.google.com/p/simplesamlphp/ http://code.google.com/p/simplesamlphp/] címről

cd /var
tar xzf simplesamlphp-1.x.y.tar.gz
mv simplesamlphp-1.x.y simplesamlphp

Alapértelmezés szerint a <code>/var/simplesamlphp</code> alatt szeretne majd működni, ez természetesen változtatható, de most maradunk az eredeti beállításoknál.

===Apache konfigurálás===

A webről csak a <code>/var/simplesamlphp/www</code> könyvtárat kell elérni.

Alias /simplesaml /var/simplesamlphp/www

===Alapbeállítások===
Mielőtt aktiváljuk valamelyik főszolgáltatását (IdP,SP...) a telepített alkalmazásnak, néhány beállítást meg kell adnunk a konfigurációs fájlban <code>config/config.php</code>.
* '''Az "admin" felhasználó jelszavát, mellyel webes felületen keresztül be tud lépni a települő SSP-be.'''
'auth.adminpassword' => 'ujjelszotirdide',
* '''Titkosítási feladatokhoz szükséges "salt", azaz véletlenszerűen összeálló karaktersorozat'''
'secretsalt' => 'randombytesinsertedhere',
A karaktersorozat előállításában segíthet az alábbi parancs:
tr -c -d '0123456789abcdefghijklmnopqrstuvwxyz' </dev/urandom | dd bs=32 count=1 2>/dev/null;echo
* '''Elérhetőségeket, amely adatok bekerülnek majd a generált metaadatba'''
'technicalcontact_name' => 'Gipsz Jakab',
'technicalcontact_email' => 'jakab.gipsz@example.org',
* '''Nyelv és időzóna adatok'''
'language.default' => 'hu',
'timezone' => 'Europe/Budapest',

===Telepítés kész===
Amennyiben elkészültünk a fenti lépésekkel, úgy a [https://service.example.org/simplesaml/ https://service.example.org/simplesaml/] címen elérjük a telepített SSP-nk webes adminfelületét, ahol megejthetjük a további beállítások nagy részét.

==IdP beállítás==
===IdP funkció engedélyezése===
A <code>config/config.php</code> fájlt kell szerkesztenünk, s engedélyezni a saml20 idp lehetőséget.
'enable.saml20-idp' => true,
===Autentikáció LDAP alapon===
Meg kell adni, hogy az IdP milyen módon azonosítsa a felhasználót, amennyiben alapértelmezés szerint nem engedélyezett modult szeretnénk használni, úgy a megfelelő modult a <code>modules</code> könyvtár alatt engedélyezni kell. Az alábbi példában az LDAP alapú azonosítást mutatjuk be, amely külön modult nem igényel, alapértelmezés szerint része a telepített alkalmazásnak.

Ahhoz, hogy megadhassuk az LDAP-hoz tartozó beállításokat, a <code>config/authsources.php</code> fájlt kell szerkesztenünk. Az alábbi kódrészletet elegendő beszúrni, és az egyes változóknak a helyi LDAP-nak megfelelő adatokat értékül adni.
'example-ldap' => array(
'ldap:LDAP',

/* The hostname of the LDAP server. */
'hostname' => 'ldap.example.org',

/* Whether SSL/TLS should be used when contacting the LDAP server. */
'enable_tls' => FALSE,

/*
* Which attributes should be retrieved from the LDAP server.
* This can be an array of attribute names, or NULL, in which case
* all attributes are fetched.
*/
'attributes' => NULL,

/*
* The pattern which should be used to create the users DN given the username.
* %username% in this pattern will be replaced with the users username.
*
* This option is not used if the search.enable option is set to TRUE.
*/
'dnpattern' => 'uid=%username%,ou=people,dc=example,dc=org',

/*
* As an alternative to specifying a pattern for the users DN, it is possible to
* search for the username in a set of attributes. This is enabled by this option.
*/
'search.enable' => FALSE,

/*
* The DN which will be used as a base for the search.
* This can be a single string, in which case only that DN is searched, or an
* array of strings, in which case they will be searched in the order given.
*/
'search.base' => 'ou=people,dc=example,dc=org',

/*
* The attribute(s) the username should match against.
*
* This is an array with one or more attribute names. Any of the attributes in
* the array may match the value the username.
*/
'search.attributes' => array('uid', 'mail'),

/*
* The username & password the simpleSAMLphp should bind to before searching. If
* this is left as NULL, no bind will be performed before searching.
*/
'search.username' => NULL,
'search.password' => NULL,
),

===Metaadat alapok===
A beállítandó IdP alapvető paraméterei a <code>metadata/saml20-idp-hosted.php</code> fájlban állíthatók. Az alábbi kódrészlet egy minimális, de már működő példát mutat.

$metadata['__DYNAMIC:1__'] = array(
/*
* The hostname for this IdP. This makes it possible to run multiple
* IdPs from the same configuration. '__DEFAULT__' means that this one
* should be used by default.
*/
'host' => '__DEFAULT__',

/*
* The private key and certificate to use when signing responses.
* These are stored in the cert-directory.
*/
'privatekey' => 'idp.example.org.key',
'certificate' => 'idp.example.org.crt',

/*
* The authentication source which should be used to authenticate the
* user. This must match one of the entries in config/authsources.php.
*/
'auth' => 'example-ldap',
);

Teszteléshez is érdemes, éles használathoz pedig elengedhetetlen, hogy a csomagban érkezett tanúsítványt felülírjuk, ezt célszerű mihamarabb megtenni. Ehhez az alábbi parancs lehet segítségünkre.
openssl req -new -x509 -days 3652 -nodes -out idp.example.org.crt -keyout idp.example.org.key
A fingerprint az alábbi módon kérdezhető le a legegyszerűbben
openssl x509 -fingerprint -noout -in idp.example.org.crt

Megfelelő beállítások után a dinamikusan generált metadata a <code>/saml2/idp/metadata.php</code> útvonalon érhető el.

===Tesztelés===
Legegyszerűbben a telepített SSP felületén tudjuk ellenőrizni, hogy a beállított autentikációs forrás működik-e. A felületen az Authentication fül alatt található egy 'Test authentication sources' link, amelyre kattintva látható minden beállított autentikációs forrás is, így a két alapértelmezett, teszt célokat szolgáló alatt a most beállított example-ldap névre hallgatónak is meg kell jelenni. (A közvetlen url erre az oldalra: simplesaml/module.php/core/authenticate.php) Ez utóbbira kattintva a beállított LDAP-ból autentikálva be kell tudnunk jelentkeznünk; siker esetén az LDAP-ból kinyerhető attribútumokat láthatjuk.

==SP beállítás==
===Alapadatok===
A telepített alkalmazásunk által kezelt SP-ket a <code>config/authsources.php</code> fájlban tudjuk beállítani.

'default-sp' => array(
'saml:SP',

// The entity ID of this SP.
// Can be NULL/unset, in which case an entity ID is generated based on the metadata URL.
'entityID' => NULL,

// The entity ID of the IdP this should SP should contact.
// Can be NULL/unset, in which case the user will be shown a list of available IdPs.
'idp' => NULL,

// The URL to the discovery service.
// Can be NULL/unset, in which case a builtin discovery service will be used.
'discoURL' => NULL,

'privatekey' => 'saml.pem',
'certificate' => 'saml.crt',

),

A fenti beállítások alapján az SP entityID-ja megegyezik a metadata elérési útvonalával (szokásos megoldás SSP-nél), nem adunk meg alapértelmezett idp-t, ezáltal az SSP választási lehetőséget kínál fel számunkra, mikor az SP-re szeretnénk bejelentkezni, ill. most még Discovery Service URL-t sem adunk meg, hanem a beépítettet használjuk. Ez utóbbit majd a HREF-be történő integrációkor meg kell változtatni - lásd lejjebb.

Az IdP beállításához hasonlóan itt is szükség lesz egy tanúsítvány generálására a <code>cert</code> könyvtárba. Ehhez segítség lehet az alábbi parancs.

openssl req -new -x509 -days 3652 -nodes -out saml.crt -keyout saml.pem

===Tesztelés===
Amennyiben IdP is beállításra került, úgy a legcélszerűbb ezt összehangolni az SP-vel. Ehhez egyfelől a <code>metadata/saml20-idp-remote.php</code> fájlban meg kell adni az IdP adatait, amely esetünkben az alábbiak szerint fest.

$metadata['https://example.org/simplesaml/saml2/idp/metadata.php'] = array(
'name' => array(
'en' => 'TestSP'
),
'SingleSignOnService' => 'https://example.org/simplesaml/saml2/idp/SSOService.php',
'SingleLogoutService' => 'https://example.org/simplesaml/saml2/idp/SingleLogoutService.php',
'certFingerprint' => 'afe71c28ef740bc87425be13a2263d37971da1f9'
);

Ehhez hasonlóan a <code>metadata/saml20-sp-remote.php</code> fájlban meg kell adnunk az SP adatait. Teszteléshez az alábbiak elegendők:

$metadata['https://example.org/simplesaml/module.php/saml/sp/metadata.php/default-sp'] = array (
'AssertionConsumerService' => 'https://example.org/simplesaml/module.php/saml/sp/saml2-acs.php/default-sp',
'SingleLogoutService' => 'https://example.org/simplesaml/module.php/saml/sp/saml2-logout.php/default-sp',
);

Ezek után az IdP tesztelésénél már említett oldalon a default-sp opciót kiválasztva, majd a legördülő menüben a TestSP-re kattintva be kell tudnunk jelentkezni az IdP-n keresztül. Ha működik, akkor az alapvető lépsekkel kész vagyunk, van egy működő SP-nk és egy működő IdP-nk.

==HREF-integráció==

===Metadata beállítása (IdP és SP is)===
* Az SSP-nél be kell állítani metaadat forrásként a központi metaadatot
:*Első lépésként engedélyezzük, hogy az SSP automatikusan frissíthesse a metaadatot, ill. az ezt elvégző két modult
touch modules/metarefresh/enable
cp modules/metarefresh/config-templates/*.php config/
touch modules/cron/enable
cp modules/cron/config-templates/*.php config/

:*Létrehozunk egy könyvtárat, ahová letöltésre kerül az központi metaadat XML fájlja
mkdir metadata/metarefresh-href
chmod g+rw metadata/metarefresh-href
:*Ezek után be kell állítani a metaadat kokrét adatait a <code>config/config-metarefresh.php</code> fájlban
$config = array(
'sets' => array(
'hu' => array(
'cron' => array('hourly'),
'sources' => array(
array(
'src' => 'http://metadata.eduid.hu/2011/href.xml',
'validateFingerprint' => 'FE:AE:0B:E8:FB:59:ED:F7:CB:7F:69:DF:19:4F:8B:6D:C7:F6:96:66',
'template' => array(
'authproc' => array(
51 => array('class' => 'core:AttributeMap', 'oid2name'),
),
),
),
),
'expireAfter' => 60*60*24*4, // Maximum 4 days cache time.
'outputDir' => 'metadata/metarefresh-href/',
'outputFormat' => 'flatfile',
),
),
);
:*Be kell állítani, hogy az SSP az automata által generált fájlokból dolgozzon. Ehhez a <code>config/config.php</code> fájlban keressük ki a <code>metadata.source</code> szakaszt, és az alábbiak szerint szerkesszük át. Amennyiben nem csak a központi metaadatból szeretnénk dolgozni, úgy további sorokat is megadhatunk itt bemutatott mintájára.
'metadata.sources' => array(
array('type' => 'flatfile'), // IdP esetén kell, itt van az önmagát leíró metadata
array('type' => 'flatfile', 'directory' => 'metadata/metarefresh-href'),
),

:*Végül le kell futtatni kézzel a cronjobot, amelyet az SSP webes felületén tudunk megtenni a Configuration fül alatt, a Cron module information page menüpontban. Ekkor létrejönnek a fájlok (majd óránként frissülnek is, ha beállítjuk cronjobként).

==== Metarefresh webszerver nélkül ====
Sajnos a simpleSAMLphp a nagyon nagy metadata állományok webszerveren keresztüli hívással indított feldolgozásában nem jeleskedik, márpedig az eduGAIN nemzetközi konföderáció metaadata óriási, így érdemes a config-metarefresht parancssoros php-ként meghívni, így a webszerveren keresztül történő futtatás várható időtullépését kiegyszerűsíthetjük a képletből. Ehhez vegyünk fel két külön cronjobot. Az egyik letölti a metadata állományt. A másik pedig helyben elvégzi a feldolgozást.

5 * * * * www-data wget -nv -q http://metadata.eduid.hu/current/edugain.xml -O /tmp/hrefsigned_edugain.xml
10 * * * * www-data /var/simplesamlphp/modules/metarefresh/bin/metarefresh.php -o=metadata/metarefresh-edugain /tmp/hrefsigned_edugain.xml

A második parancs feltételezi hogy a simplesamlphp/metadata/metarefresh-edugain könyvtár létezik és a www-data által írható.

===IdP===
Amennyiben van SSP alapú IdP-nk, melyet szeretnénk a föderáció részévé tenni, úgy a teendők a következők.
* (A jelenleg is formálódó adminisztratív teendőktől itt most eltekintünk)
* Kell küldeni egy levelet a [mailto:aai@niif.hu aai@niif.hu] címre, benne néhány mondat mellett az IdP metaadatának URL-jével (https://example.org/simplesamlphp/saml2/idp/metadata.php)
* Ha minden rendben megy, akkor az IdP bekerül a [[Resource_Registry]]-be, ezáltal a föderációs metaadatba is.
* Az előző pontban leírt módon be kell állítani a központi metadata feldolgozását.
* Amennyiben a föderációs metaadatban már szerepel a mi IdP-nk is, úgy a föderáció valamelyik, tesztelési célokat szolgáló SP-jénél ki is próbálhatjuk a bejelentkezést.

:'''Fontos''', hogy a föderációs Discovery Service óránként generálja újra az IdP-k listáját, így ennyi idő mindenképp szükséges, hogy az új IdP megjelenjen itt, az egyes SP-k pedig két óránként töltik újra a metaadatot, így előfordulhat, hogy azonnal nem fog minden működni, de egy-két óra alatt várhatóan beindul. :)

:Tesztelésre használható oldal: [https://wiki.aai.niif.hu/shibtest.php https://wiki.aai.niif.hu/shibtest.php]

* Ahhoz, hogy a Resource Registry-be is be tudjunk lépni és az IdP további, a föderációra vonatkozó beállításait meg tudjuk ejteni, ehhez az IdP-nek ki kell adnia az alábbi attribútumokat:
** [[HREFAttributeSpec#mail|mail]] - ez belépés után, manuálisan is beállítható
** [[HREFAttributeSpec#eduPersonPrincipalName|eduPersonPrincipalName]]
** [[HREFAttributeSpec#schacHomeOrganizationType|schacHomeOrganizationType]]
** [[HREFAttributeSpec#eduScopedAffiliation|eduPersonScopedAffiliation]]

====Attribútumok kezelése====
Beállított IdP-nk alapértelmezés szerint azokat az attribútumokat adja ki, melyeket a metaadat alapján az SP kért (Lásd a metadatában a RequestedAttribute elemeket), és egyúttal alapból meg tudta szerezni a felhasználói adatbázisból, esetünkben az LDAP-ból. Mivel néhány attribútum nem szerepel az LDAP-ban, hanem az IdP-ben kell előállítani, így pár helyen módosítanunk kell az alapértelmezett konfiguráción.

:1. Az <code>attributemap/name2oid.php</code> fájlba az 's'-betűhöz szúrjuk be az alábbi sort:
'schacHomeOrganizationType' => 'urn:oid:1.3.6.1.4.1.25178.1.2.10',
:2. A <code>metadata/saml20-idp-hosted.php</code> fájlba szerkesszük be az alábbi kódrészlet értelemszerűen módosított változatát. Az <code>'auth' => 'example-ldap',</code> sor alatt kezdjük. Fontos, hogy egyúttal a config.php <code>authproc.idp</code> részét kikommentezzük, nehogy az ottani sorszámokkal megadott default feladatok bekavarjanak.

'AttributeNameFormat' => 'urn:oasis:names:tc:SAML:2.0:attrname-format:uri',
'userid.attribute' => 'uid', // Itt adjuk meg, hogy mely, az LDAPból származó attribútum alapján fogja az IdP kiszámítani az eduPersonTargetedID-t
'authproc' => array(
10 => array(
'class' => 'core:AttributeMap',
'uid' => 'eduPersonPrincipalName'
//Itt az 'uid' az az attribútum az LDAP-ban, amely a felhasználó azonosítóját tartalmazza, mert ebből képezzük az eduPersonPrincipalName-t.
),
20 => array(
'class' => 'core:AttributeAdd',
'schacHomeOrganizationType' => array('urn:schac:homeOrganizationType:hu:university')
//Kötelező statikus attribútum az [[HREFAttributeSpec#schacHomeOrganizationType|intézmény jellegének]] megfelelően
),
30 => array(
'class' => 'core:AttributeAlter',
'subject' => 'eduPersonPrincipalName',
'pattern' => '/^.*$/',
'replacement' => '${0}@intezmenydomain.hu',
// Itt adjuk hozzá az intézményi scope-ot az eduPersonPrincipalName már meglévő értékéhez
),
40 => array(
'class' => 'core:AttributeAlter',
'subject' => 'eduPersonAffiliation',
'pattern' => '/^.*$/',
'replacement' => '${0}@intezmenydomain.hu',
// Itt adjuk hozzá az intézményi scope-ot az eduPersonAffiliation már meglévő értékéhez
),
50 => array(
'class' => 'core:AttributeMap',
'eduPersonAffiliation' => 'eduPersonScopedAffiliation'
// Az LDAP-ból eduPersonAffiliation-ként érkező attribútumból föderációs elvárásoknak megfelelően eduPersonScopedAffiliationt készítünk
),
60 => array(
'class' => 'core:AttributeAdd',
'eduPersonScopedAffiliation' => array('member@intezmenydomain.hu')
// Az eduPersonScopedAffiliation-ben tesztelés céljából kiadhatjuk member értéket, így ha LDAP-ból nem jön érték, akkor is láthatjuk, hogy működik az attribútum kiadás
),
61 => array(
'class' => 'core:TargetedID',
'nameId' => TRUE,
),
// Itt állítjuk be, hogy az IdP előállítson és kiadhasson állandóazonosítóként eduPersonTargetedID-t, ha kérik
70 => array('class' => 'core:AttributeMap',
'name2oid'
// Az LDAP-os attribútum nevekből itt kreálunk szabványos urn:oid formátumúakat
),
80 => 'core:AttributeLimit',
), // .authproc
'simplesaml.nameidattribute' => 'eduPersonPrincipalName',
'attributeencodings' => array(
'urn:oid:1.3.6.1.4.1.5923.1.1.1.10' => 'raw',
),
'sign.logout' => true

: További tudnivalók a [[Resource_Registry|Resource Registry-ről]], ill. a [[HREFAttributeSpec|Föderációs attribútum specifikációról]].

* Ha minden rendben ment, akkor a Resource Registry-ben regisztrált IdP-hez tartozó adminisztrációs jogok átkerülnek az IdP technikai gazdájához, s ezzel a folyamat kész is.

===SP===
Amennyiben IdP-t is beállítottunk, és be is tudunk lépni a Resource Registry-be, úgy nincs más dolgunk, mint az RR-ben új SP-t hozzáadni a föderációhoz, amely a megfelelő átfutási idő után a föderáció minden tagjánál látható is lesz.

Ellenkező esetben (nincs IdP, és nem is tervezünk beállítani), akkor az IdP hozzáadásánál részletezett pontokon kell végig menni a metaadat betöltéséig, s a továbbiakat az említett e-mail címen megbeszélni.

====Attribútum scopeok használata====
A HREF föderáció IdP-i ún. scopeolt attribútumokat is használnak. Ez a scopeolás azt jelenti, hogy minden egyes IdP csak a saját scopejában ad ki attribútumokat, és a Shibboleth SP-k ezt ellenőrzik is. A scope és az attribútum valódi értéke egy '@' karakterrel kerül elválasztásra (ilyen attribútumok jelenleg: [[HREFAttributeSpec#eduPersonAffiliation|eduPersonScopedAffiliation]] illetve [[HREFAttributeSpec#eduPersonPrincipalName|eduPersonPrincipalName]]).

A SimpleSAMLphp alapértelmezett telepítése nem szűri a hibásan scopeolt értékeket. Kiegészítő modulként szűrésre használható az NIIF által fejlesztett [https://repo.niif.hu/gitweb/gitweb.cgi?p=simplesamlphp-attributescope.git;a=summary attributescope modul], ami reményeink szerint rövid távon a hivatalos SimpleSAMLphp kiadás része lehet.

: Az <code>attributescope</code> modul használata esetén a következőképp kell módosítani a <code>config/config-metarefresh.php</code> fájlt:

'template' => array(
'authproc' => array(
51 => array('class' => 'core:AttributeMap', 'oid2name'),
55 => array('class' => 'attributescope:FilterAttributes'),
),
'scopedattributes' => array('eduPersonScopedAffiliation', 'eduPersonPrincipalName'),
),

[[Category: AAI]] [[Category: simpleSAMLphp]] [[Category: HOWTO]]

SimpleSAMLphp

2014-11-20T10:34:18Z

Gyufi(AT)niif.hu: /* Attribútumok kezelése */ ...

Az alábbi lapon megkíséreljük összefoglalni a legfontosabb lépéseket, melyek általános esetben elegendőek ahhoz, hogy működő SimpleSAMLphp(SSP) alkalmazást állítsunk üzembe.

==Telepítés==
===Előkészületek===
Ahhoz, hogy problémamentesen telepíthessük SSP alkalmazásunkat, az alábbi szoftverkomponenseknek kell működniük szerverünkön.
* PHP futtatására alkalmas webszerver
* PHP környezet (legalább 5.2.0 verzió)
* A következő PHP kiterjesztéseket engedélyezni kell
** <code>date</code>, <code>dom</code>, <code>hash</code>, <code>libxml</code>, <code>openssl</code>, <code>pcre</code>, <code>SPL</code>, <code>zlib</code>
** LDAP-ból történő autentikáció esetén: <code>ldap</code>
** Adatbázisból történő autentikáció esetén a megfelelő adatbázis-csatolót <code>mysql</code>, <code>pgsql</code>
** RADIUS szerveren keresztül történő autentikáció esetén: <code>radius</code>
** Assertion-ök titkosítása esetén: <code>mcrypt</code>
** Memcache használata esetén: <code>memcache</code>

===Letöltés===
A legfrissebb változat letölthető [http://code.google.com/p/simplesamlphp/ http://code.google.com/p/simplesamlphp/] címről

cd /var
tar xzf simplesamlphp-1.x.y.tar.gz
mv simplesamlphp-1.x.y simplesamlphp

Alapértelmezés szerint a <code>/var/simplesamlphp</code> alatt szeretne majd működni, ez természetesen változtatható, de most maradunk az eredeti beállításoknál.

===Apache konfigurálás===

A webről csak a <code>/var/simplesamlphp/www</code> könyvtárat kell elérni.

Alias /simplesaml /var/simplesamlphp/www

===Alapbeállítások===
Mielőtt aktiváljuk valamelyik főszolgáltatását (IdP,SP...) a telepített alkalmazásnak, néhány beállítást meg kell adnunk a konfigurációs fájlban <code>config/config.php</code>.
* '''Az "admin" felhasználó jelszavát, mellyel webes felületen keresztül be tud lépni a települő SSP-be.'''
'auth.adminpassword' => 'ujjelszotirdide',
* '''Titkosítási feladatokhoz szükséges "salt", azaz véletlenszerűen összeálló karaktersorozat'''
'secretsalt' => 'randombytesinsertedhere',
A karaktersorozat előállításában segíthet az alábbi parancs:
tr -c -d '0123456789abcdefghijklmnopqrstuvwxyz' </dev/urandom | dd bs=32 count=1 2>/dev/null;echo
* '''Elérhetőségeket, amely adatok bekerülnek majd a generált metaadatba'''
'technicalcontact_name' => 'Gipsz Jakab',
'technicalcontact_email' => 'jakab.gipsz@example.org',
* '''Nyelv és időzóna adatok'''
'language.default' => 'hu',
'timezone' => 'Europe/Budapest',

===Telepítés kész===
Amennyiben elkészültünk a fenti lépésekkel, úgy a [https://service.example.org/simplesaml/ https://service.example.org/simplesaml/] címen elérjük a telepített SSP-nk webes adminfelületét, ahol megejthetjük a további beállítások nagy részét.

==IdP beállítás==
===IdP funkció engedélyezése===
A <code>config/config.php</code> fájlt kell szerkesztenünk, s engedélyezni a saml20 idp lehetőséget.
'enable.saml20-idp' => true,
===Autentikáció LDAP alapon===
Meg kell adni, hogy az IdP milyen módon azonosítsa a felhasználót, amennyiben alapértelmezés szerint nem engedélyezett modult szeretnénk használni, úgy a megfelelő modult a <code>modules</code> könyvtár alatt engedélyezni kell. Az alábbi példában az LDAP alapú azonosítást mutatjuk be, amely külön modult nem igényel, alapértelmezés szerint része a telepített alkalmazásnak.

Ahhoz, hogy megadhassuk az LDAP-hoz tartozó beállításokat, a <code>config/authsources.php</code> fájlt kell szerkesztenünk. Az alábbi kódrészletet elegendő beszúrni, és az egyes változóknak a helyi LDAP-nak megfelelő adatokat értékül adni.
'example-ldap' => array(
'ldap:LDAP',

/* The hostname of the LDAP server. */
'hostname' => 'ldap.example.org',

/* Whether SSL/TLS should be used when contacting the LDAP server. */
'enable_tls' => FALSE,

/*
* Which attributes should be retrieved from the LDAP server.
* This can be an array of attribute names, or NULL, in which case
* all attributes are fetched.
*/
'attributes' => NULL,

/*
* The pattern which should be used to create the users DN given the username.
* %username% in this pattern will be replaced with the users username.
*
* This option is not used if the search.enable option is set to TRUE.
*/
'dnpattern' => 'uid=%username%,ou=people,dc=example,dc=org',

/*
* As an alternative to specifying a pattern for the users DN, it is possible to
* search for the username in a set of attributes. This is enabled by this option.
*/
'search.enable' => FALSE,

/*
* The DN which will be used as a base for the search.
* This can be a single string, in which case only that DN is searched, or an
* array of strings, in which case they will be searched in the order given.
*/
'search.base' => 'ou=people,dc=example,dc=org',

/*
* The attribute(s) the username should match against.
*
* This is an array with one or more attribute names. Any of the attributes in
* the array may match the value the username.
*/
'search.attributes' => array('uid', 'mail'),

/*
* The username & password the simpleSAMLphp should bind to before searching. If
* this is left as NULL, no bind will be performed before searching.
*/
'search.username' => NULL,
'search.password' => NULL,
),

===Metaadat alapok===
A beállítandó IdP alapvető paraméterei a <code>metadata/saml20-idp-hosted.php</code> fájlban állíthatók. Az alábbi kódrészlet egy minimális, de már működő példát mutat.

$metadata['__DYNAMIC:1__'] = array(
/*
* The hostname for this IdP. This makes it possible to run multiple
* IdPs from the same configuration. '__DEFAULT__' means that this one
* should be used by default.
*/
'host' => '__DEFAULT__',

/*
* The private key and certificate to use when signing responses.
* These are stored in the cert-directory.
*/
'privatekey' => 'idp.example.org.key',
'certificate' => 'idp.example.org.crt',

/*
* The authentication source which should be used to authenticate the
* user. This must match one of the entries in config/authsources.php.
*/
'auth' => 'example-ldap',
);

Teszteléshez is érdemes, éles használathoz pedig elengedhetetlen, hogy a csomagban érkezett tanúsítványt felülírjuk, ezt célszerű mihamarabb megtenni. Ehhez az alábbi parancs lehet segítségünkre.
openssl req -new -x509 -days 3652 -nodes -out idp.example.org.crt -keyout idp.example.org.key
A fingerprint az alábbi módon kérdezhető le a legegyszerűbben
openssl x509 -fingerprint -noout -in idp.example.org.crt

Megfelelő beállítások után a dinamikusan generált metadata a <code>/saml2/idp/metadata.php</code> útvonalon érhető el.

===Tesztelés===
Legegyszerűbben a telepített SSP felületén tudjuk ellenőrizni, hogy a beállított autentikációs forrás működik-e. A felületen az Authentication fül alatt található egy 'Test authentication sources' link, amelyre kattintva látható minden beállított autentikációs forrás is, így a két alapértelmezett, teszt célokat szolgáló alatt a most beállított example-ldap névre hallgatónak is meg kell jelenni. (A közvetlen url erre az oldalra: simplesaml/module.php/core/authenticate.php) Ez utóbbira kattintva a beállított LDAP-ból autentikálva be kell tudnunk jelentkeznünk; siker esetén az LDAP-ból kinyerhető attribútumokat láthatjuk.

==SP beállítás==
===Alapadatok===
A telepített alkalmazásunk által kezelt SP-ket a <code>config/authsources.php</code> fájlban tudjuk beállítani.

'default-sp' => array(
'saml:SP',

// The entity ID of this SP.
// Can be NULL/unset, in which case an entity ID is generated based on the metadata URL.
'entityID' => NULL,

// The entity ID of the IdP this should SP should contact.
// Can be NULL/unset, in which case the user will be shown a list of available IdPs.
'idp' => NULL,

// The URL to the discovery service.
// Can be NULL/unset, in which case a builtin discovery service will be used.
'discoURL' => NULL,

'privatekey' => 'saml.pem',
'certificate' => 'saml.crt',

),

A fenti beállítások alapján az SP entityID-ja megegyezik a metadata elérési útvonalával (szokásos megoldás SSP-nél), nem adunk meg alapértelmezett idp-t, ezáltal az SSP választási lehetőséget kínál fel számunkra, mikor az SP-re szeretnénk bejelentkezni, ill. most még Discovery Service URL-t sem adunk meg, hanem a beépítettet használjuk. Ez utóbbit majd a HREF-be történő integrációkor meg kell változtatni - lásd lejjebb.

Az IdP beállításához hasonlóan itt is szükség lesz egy tanúsítvány generálására a <code>cert</code> könyvtárba. Ehhez segítség lehet az alábbi parancs.

openssl req -new -x509 -days 3652 -nodes -out saml.crt -keyout saml.pem

===Tesztelés===
Amennyiben IdP is beállításra került, úgy a legcélszerűbb ezt összehangolni az SP-vel. Ehhez egyfelől a <code>metadata/saml20-idp-remote.php</code> fájlban meg kell adni az IdP adatait, amely esetünkben az alábbiak szerint fest.

$metadata['https://example.org/simplesaml/saml2/idp/metadata.php'] = array(
'name' => array(
'en' => 'TestSP'
),
'SingleSignOnService' => 'https://example.org/simplesaml/saml2/idp/SSOService.php',
'SingleLogoutService' => 'https://example.org/simplesaml/saml2/idp/SingleLogoutService.php',
'certFingerprint' => 'afe71c28ef740bc87425be13a2263d37971da1f9'
);

Ehhez hasonlóan a <code>metadata/saml20-sp-remote.php</code> fájlban meg kell adnunk az SP adatait. Teszteléshez az alábbiak elegendők:

$metadata['https://example.org/simplesaml/module.php/saml/sp/metadata.php/default-sp'] = array (
'AssertionConsumerService' => 'https://example.org/simplesaml/module.php/saml/sp/saml2-acs.php/default-sp',
'SingleLogoutService' => 'https://example.org/simplesaml/module.php/saml/sp/saml2-logout.php/default-sp',
);

Ezek után az IdP tesztelésénél már említett oldalon a default-sp opciót kiválasztva, majd a legördülő menüben a TestSP-re kattintva be kell tudnunk jelentkezni az IdP-n keresztül. Ha működik, akkor az alapvető lépsekkel kész vagyunk, van egy működő SP-nk és egy működő IdP-nk.

==HREF-integráció==

===Metadata beállítása (IdP és SP is)===
* Az SSP-nél be kell állítani metaadat forrásként a központi metaadatot
:*Első lépésként engedélyezzük, hogy az SSP automatikusan frissíthesse a metaadatot, ill. az ezt elvégző két modult
touch modules/metarefresh/enable
cp modules/metarefresh/config-templates/*.php config/
touch modules/cron/enable
cp modules/cron/config-templates/*.php config/

:*Létrehozunk egy könyvtárat, ahová letöltésre kerül az központi metaadat XML fájlja
mkdir metadata/metarefresh-href
chmod g+rw metadata/metarefresh-href
:*Ezek után be kell állítani a metaadat kokrét adatait a <code>config/config-metarefresh.php</code> fájlban
$config = array(
'sets' => array(
'hu' => array(
'cron' => array('hourly'),
'sources' => array(
array(
'src' => 'http://metadata.eduid.hu/2011/href.xml',
'validateFingerprint' => 'FE:AE:0B:E8:FB:59:ED:F7:CB:7F:69:DF:19:4F:8B:6D:C7:F6:96:66',
'template' => array(
'authproc' => array(
51 => array('class' => 'core:AttributeMap', 'oid2name'),
),
),
),
),
'expireAfter' => 60*60*24*4, // Maximum 4 days cache time.
'outputDir' => 'metadata/metarefresh-href/',
'outputFormat' => 'flatfile',
),
),
);
:*Be kell állítani, hogy az SSP az automata által generált fájlokból dolgozzon. Ehhez a <code>config/config.php</code> fájlban keressük ki a <code>metadata.source</code> szakaszt, és az alábbiak szerint szerkesszük át. Amennyiben nem csak a központi metaadatból szeretnénk dolgozni, úgy további sorokat is megadhatunk itt bemutatott mintájára.
'metadata.sources' => array(
array('type' => 'flatfile'), // IdP esetén kell, itt van az önmagát leíró metadata
array('type' => 'flatfile', 'directory' => 'metadata/metarefresh-href'),
),

:*Végül le kell futtatni kézzel a cronjobot, amelyet az SSP webes felületén tudunk megtenni a Configuration fül alatt, a Cron module information page menüpontban. Ekkor létrejönnek a fájlok (majd óránként frissülnek is, ha beállítjuk cronjobként).

==== Metarefresh webszerver nélkül ====
Sajnos a simpleSAMLphp a nagyon nagy metadata állományok webszerveren keresztüli hívással indított feldolgozásában nem jeleskedik, márpedig az eduGAIN nemzetközi konföderáció metaadata óriási, így érdemes a config-metarefresht parancssoros php-ként meghívni, így a webszerveren keresztül történő futtatás várható időtullépését kiegyszerűsíthetjük a képletből. Ehhez vegyünk fel két külön cronjobot. Az egyik letölti a metadata állományt. A másik pedig helyben elvégzi a feldolgozást.

5 * * * * www-data wget -nv -q http://metadata.eduid.hu/current/edugain.xml -O /tmp/hrefsigned_edugain.xml
10 * * * * www-data /var/simplesamlphp/modules/metarefresh/bin/metarefresh.php -o=metadata/metarefresh-edugain /tmp/hrefsigned_edugain.xml

A második parancs feltételezi hogy a simplesamlphp/metadata/metarefresh-edugain könyvtár létezik és a www-data által írható.

===IdP===
Amennyiben van SSP alapú IdP-nk, melyet szeretnénk a föderáció részévé tenni, úgy a teendők a következők.
* (A jelenleg is formálódó adminisztratív teendőktől itt most eltekintünk)
* Kell küldeni egy levelet a [mailto:aai@niif.hu aai@niif.hu] címre, benne néhány mondat mellett az IdP metaadatának URL-jével (https://example.org/simplesamlphp/saml2/idp/metadata.php)
* Ha minden rendben megy, akkor az IdP bekerül a [[Resource_Registry]]-be, ezáltal a föderációs metaadatba is.
* Az előző pontban leírt módon be kell állítani a központi metadata feldolgozását.
* Amennyiben a föderációs metaadatban már szerepel a mi IdP-nk is, úgy a föderáció valamelyik, tesztelési célokat szolgáló SP-jénél ki is próbálhatjuk a bejelentkezést.

:'''Fontos''', hogy a föderációs Discovery Service óránként generálja újra az IdP-k listáját, így ennyi idő mindenképp szükséges, hogy az új IdP megjelenjen itt, az egyes SP-k pedig két óránként töltik újra a metaadatot, így előfordulhat, hogy azonnal nem fog minden működni, de egy-két óra alatt várhatóan beindul. :)

:Tesztelésre használható oldal: [https://wiki.aai.niif.hu/shibtest.php https://wiki.aai.niif.hu/shibtest.php]

* Ahhoz, hogy a Resource Registry-be is be tudjunk lépni és az IdP további, a föderációra vonatkozó beállításait meg tudjuk ejteni, ehhez az IdP-nek ki kell adnia az alábbi attribútumokat:
** [[HREFAttributeSpec#mail|mail]] - ez belépés után, manuálisan is beállítható
** [[HREFAttributeSpec#eduPersonPrincipalName|eduPersonPrincipalName]]
** [[HREFAttributeSpec#schacHomeOrganizationType|schacHomeOrganizationType]]
** [[HREFAttributeSpec#eduScopedAffiliation|eduPersonScopedAffiliation]]

====Attribútumok kezelése====
Beállított IdP-nk alapértelmezés szerint azokat az attribútumokat adja ki, melyeket a metaadat alapján az SP kért (Lásd a metadatában a RequestedAttribute elemeket), és egyúttal alapból meg tudta szerezni a felhasználói adatbázisból, esetünkben az LDAP-ból. Mivel néhány attribútum nem szerepel az LDAP-ban, hanem az IdP-ben kell előállítani, így pár helyen módosítanunk kell az alapértelmezett konfiguráción.

:1. Az <code>attributemap/name2oid.php</code> fájlba az 's'-betűhöz szúrjuk be az alábbi sort:
'schacHomeOrganizationType' => 'urn:oid:1.3.6.1.4.1.25178.1.2.10',
:2. A <code>metadata/saml20-idp-hosted.php</code> fájlba szerkesszük be az alábbi kódrészlet értelemszerűen módosított változatát. Az <code>'auth' => 'example-ldap',</code> sor alatt kezdjük. Fontos, hogy egyúttal a config.php <code>authproc.idp</code> részét kikommentezzük, nehogy az ottani sorszámokkal megadott default feladatok bekavarjanak.

'AttributeNameFormat' => 'urn:oasis:names:tc:SAML:2.0:attrname-format:uri',
'userid.attribute' => 'uid', // Itt adjuk meg, hogy mely, az LDAPból származó attribútum alapján fogja az IdP kiszámítani az eduPersonTargetedID-t
'authproc' => array(
10 => array(
'class' => 'core:AttributeMap',
'uid' => 'eduPersonPrincipalName'
//Itt az 'uid' az az attribútum az LDAP-ban, amely a felhasználó azonosítóját tartalmazza, mert ebből képezzük az eduPersonPrincipalName-t.
),
20 => array(
'class' => 'core:AttributeAdd',
'schacHomeOrganizationType' => array('urn:schac:homeOrganizationType:hu:university')
//Kötelező statikus attribútum az [[HREFAttributeSpec#schacHomeOrganizationType|intézmény jellegének]] megfelelően
),
30 => array(
'class' => 'core:AttributeAlter',
'subject' => 'eduPersonPrincipalName',
'pattern' => '/^.*$/',
'replacement' => '${0}@intezmenydomain.hu',
// Itt adjuk hozzá az intézményi scope-ot az eduPersonPrincipalName már meglévő értékéhez
),
40 => array(
'class' => 'core:AttributeAlter',
'subject' => 'eduPersonAffiliation',
'pattern' => '/^.*$/',
'replacement' => '${0}@intezmenydomain.hu',
// Itt adjuk hozzá az intézményi scope-ot az eduPersonAffiliation már meglévő értékéhez
),
50 => array(
'class' => 'core:AttributeMap',
'eduPersonAffiliation' => 'eduPersonScopedAffiliation'
// Az LDAP-ból eduPersonAffiliation-ként érkező attribútumból föderációs elvárásoknak megfelelően eduPersonScopedAffiliationt készítünk
),
60 => array(
'class' => 'core:AttributeAdd',
'eduPersonScopedAffiliation' => array('member@intezmenydomain.hu')
// Az eduPersonScopedAffiliation-ben tesztelés céljából kiadhatjuk member értéket, így ha LDAP-ból nem jön érték, akkor is láthatjuk, hogy működik az attribútum kiadás
),
61 => array(
'class' => 'core:TargetedID',
'nameId' => TRUE,
),
62 => array(
'class' => 'core:AttributeAdd',
'schacHomeOrganizationType' => array('urn:schac:homeOrganizationType:hu:university')
// intézmény típus, https://wiki.niif.hu/index.php?title=HREF_attrib%C3%BAtum_specifik%C3%A1ci%C3%B3#schacHomeOrganizationType
),
// Itt állítjuk be, hogy az IdP előállítson és kiadhasson állandóazonosítóként eduPersonTargetedID-t, ha kérik
70 => array('class' => 'core:AttributeMap',
'name2oid'
// Az LDAP-os attribútum nevekből itt kreálunk szabványos urn:oid formátumúakat
),
80 => 'core:AttributeLimit',
), // .authproc
'simplesaml.nameidattribute' => 'eduPersonPrincipalName',
'attributeencodings' => array(
'urn:oid:1.3.6.1.4.1.5923.1.1.1.10' => 'raw',
),
'sign.logout' => true

: További tudnivalók a [[Resource_Registry|Resource Registry-ről]], ill. a [[HREFAttributeSpec|Föderációs attribútum specifikációról]].

* Ha minden rendben ment, akkor a Resource Registry-ben regisztrált IdP-hez tartozó adminisztrációs jogok átkerülnek az IdP technikai gazdájához, s ezzel a folyamat kész is.

===SP===
Amennyiben IdP-t is beállítottunk, és be is tudunk lépni a Resource Registry-be, úgy nincs más dolgunk, mint az RR-ben új SP-t hozzáadni a föderációhoz, amely a megfelelő átfutási idő után a föderáció minden tagjánál látható is lesz.

Ellenkező esetben (nincs IdP, és nem is tervezünk beállítani), akkor az IdP hozzáadásánál részletezett pontokon kell végig menni a metaadat betöltéséig, s a továbbiakat az említett e-mail címen megbeszélni.

====Attribútum scopeok használata====
A HREF föderáció IdP-i ún. scopeolt attribútumokat is használnak. Ez a scopeolás azt jelenti, hogy minden egyes IdP csak a saját scopejában ad ki attribútumokat, és a Shibboleth SP-k ezt ellenőrzik is. A scope és az attribútum valódi értéke egy '@' karakterrel kerül elválasztásra (ilyen attribútumok jelenleg: [[HREFAttributeSpec#eduPersonAffiliation|eduPersonScopedAffiliation]] illetve [[HREFAttributeSpec#eduPersonPrincipalName|eduPersonPrincipalName]]).

A SimpleSAMLphp alapértelmezett telepítése nem szűri a hibásan scopeolt értékeket. Kiegészítő modulként szűrésre használható az NIIF által fejlesztett [https://repo.niif.hu/gitweb/gitweb.cgi?p=simplesamlphp-attributescope.git;a=summary attributescope modul], ami reményeink szerint rövid távon a hivatalos SimpleSAMLphp kiadás része lehet.

: Az <code>attributescope</code> modul használata esetén a következőképp kell módosítani a <code>config/config-metarefresh.php</code> fájlt:

'template' => array(
'authproc' => array(
51 => array('class' => 'core:AttributeMap', 'oid2name'),
55 => array('class' => 'attributescope:FilterAttributes'),
),
'scopedattributes' => array('eduPersonScopedAffiliation', 'eduPersonPrincipalName'),
),

[[Category: AAI]] [[Category: simpleSAMLphp]] [[Category: HOWTO]]

SimpleSAMLphp

2014-11-20T10:33:25Z

Gyufi(AT)niif.hu: /* Attribútumok kezelése */ + schacHomeOrganizationType

Az alábbi lapon megkíséreljük összefoglalni a legfontosabb lépéseket, melyek általános esetben elegendőek ahhoz, hogy működő SimpleSAMLphp(SSP) alkalmazást állítsunk üzembe.

==Telepítés==
===Előkészületek===
Ahhoz, hogy problémamentesen telepíthessük SSP alkalmazásunkat, az alábbi szoftverkomponenseknek kell működniük szerverünkön.
* PHP futtatására alkalmas webszerver
* PHP környezet (legalább 5.2.0 verzió)
* A következő PHP kiterjesztéseket engedélyezni kell
** <code>date</code>, <code>dom</code>, <code>hash</code>, <code>libxml</code>, <code>openssl</code>, <code>pcre</code>, <code>SPL</code>, <code>zlib</code>
** LDAP-ból történő autentikáció esetén: <code>ldap</code>
** Adatbázisból történő autentikáció esetén a megfelelő adatbázis-csatolót <code>mysql</code>, <code>pgsql</code>
** RADIUS szerveren keresztül történő autentikáció esetén: <code>radius</code>
** Assertion-ök titkosítása esetén: <code>mcrypt</code>
** Memcache használata esetén: <code>memcache</code>

===Letöltés===
A legfrissebb változat letölthető [http://code.google.com/p/simplesamlphp/ http://code.google.com/p/simplesamlphp/] címről

cd /var
tar xzf simplesamlphp-1.x.y.tar.gz
mv simplesamlphp-1.x.y simplesamlphp

Alapértelmezés szerint a <code>/var/simplesamlphp</code> alatt szeretne majd működni, ez természetesen változtatható, de most maradunk az eredeti beállításoknál.

===Apache konfigurálás===

A webről csak a <code>/var/simplesamlphp/www</code> könyvtárat kell elérni.

Alias /simplesaml /var/simplesamlphp/www

===Alapbeállítások===
Mielőtt aktiváljuk valamelyik főszolgáltatását (IdP,SP...) a telepített alkalmazásnak, néhány beállítást meg kell adnunk a konfigurációs fájlban <code>config/config.php</code>.
* '''Az "admin" felhasználó jelszavát, mellyel webes felületen keresztül be tud lépni a települő SSP-be.'''
'auth.adminpassword' => 'ujjelszotirdide',
* '''Titkosítási feladatokhoz szükséges "salt", azaz véletlenszerűen összeálló karaktersorozat'''
'secretsalt' => 'randombytesinsertedhere',
A karaktersorozat előállításában segíthet az alábbi parancs:
tr -c -d '0123456789abcdefghijklmnopqrstuvwxyz' </dev/urandom | dd bs=32 count=1 2>/dev/null;echo
* '''Elérhetőségeket, amely adatok bekerülnek majd a generált metaadatba'''
'technicalcontact_name' => 'Gipsz Jakab',
'technicalcontact_email' => 'jakab.gipsz@example.org',
* '''Nyelv és időzóna adatok'''
'language.default' => 'hu',
'timezone' => 'Europe/Budapest',

===Telepítés kész===
Amennyiben elkészültünk a fenti lépésekkel, úgy a [https://service.example.org/simplesaml/ https://service.example.org/simplesaml/] címen elérjük a telepített SSP-nk webes adminfelületét, ahol megejthetjük a további beállítások nagy részét.

==IdP beállítás==
===IdP funkció engedélyezése===
A <code>config/config.php</code> fájlt kell szerkesztenünk, s engedélyezni a saml20 idp lehetőséget.
'enable.saml20-idp' => true,
===Autentikáció LDAP alapon===
Meg kell adni, hogy az IdP milyen módon azonosítsa a felhasználót, amennyiben alapértelmezés szerint nem engedélyezett modult szeretnénk használni, úgy a megfelelő modult a <code>modules</code> könyvtár alatt engedélyezni kell. Az alábbi példában az LDAP alapú azonosítást mutatjuk be, amely külön modult nem igényel, alapértelmezés szerint része a telepített alkalmazásnak.

Ahhoz, hogy megadhassuk az LDAP-hoz tartozó beállításokat, a <code>config/authsources.php</code> fájlt kell szerkesztenünk. Az alábbi kódrészletet elegendő beszúrni, és az egyes változóknak a helyi LDAP-nak megfelelő adatokat értékül adni.
'example-ldap' => array(
'ldap:LDAP',

/* The hostname of the LDAP server. */
'hostname' => 'ldap.example.org',

/* Whether SSL/TLS should be used when contacting the LDAP server. */
'enable_tls' => FALSE,

/*
* Which attributes should be retrieved from the LDAP server.
* This can be an array of attribute names, or NULL, in which case
* all attributes are fetched.
*/
'attributes' => NULL,

/*
* The pattern which should be used to create the users DN given the username.
* %username% in this pattern will be replaced with the users username.
*
* This option is not used if the search.enable option is set to TRUE.
*/
'dnpattern' => 'uid=%username%,ou=people,dc=example,dc=org',

/*
* As an alternative to specifying a pattern for the users DN, it is possible to
* search for the username in a set of attributes. This is enabled by this option.
*/
'search.enable' => FALSE,

/*
* The DN which will be used as a base for the search.
* This can be a single string, in which case only that DN is searched, or an
* array of strings, in which case they will be searched in the order given.
*/
'search.base' => 'ou=people,dc=example,dc=org',

/*
* The attribute(s) the username should match against.
*
* This is an array with one or more attribute names. Any of the attributes in
* the array may match the value the username.
*/
'search.attributes' => array('uid', 'mail'),

/*
* The username & password the simpleSAMLphp should bind to before searching. If
* this is left as NULL, no bind will be performed before searching.
*/
'search.username' => NULL,
'search.password' => NULL,
),

===Metaadat alapok===
A beállítandó IdP alapvető paraméterei a <code>metadata/saml20-idp-hosted.php</code> fájlban állíthatók. Az alábbi kódrészlet egy minimális, de már működő példát mutat.

$metadata['__DYNAMIC:1__'] = array(
/*
* The hostname for this IdP. This makes it possible to run multiple
* IdPs from the same configuration. '__DEFAULT__' means that this one
* should be used by default.
*/
'host' => '__DEFAULT__',

/*
* The private key and certificate to use when signing responses.
* These are stored in the cert-directory.
*/
'privatekey' => 'idp.example.org.key',
'certificate' => 'idp.example.org.crt',

/*
* The authentication source which should be used to authenticate the
* user. This must match one of the entries in config/authsources.php.
*/
'auth' => 'example-ldap',
);

Teszteléshez is érdemes, éles használathoz pedig elengedhetetlen, hogy a csomagban érkezett tanúsítványt felülírjuk, ezt célszerű mihamarabb megtenni. Ehhez az alábbi parancs lehet segítségünkre.
openssl req -new -x509 -days 3652 -nodes -out idp.example.org.crt -keyout idp.example.org.key
A fingerprint az alábbi módon kérdezhető le a legegyszerűbben
openssl x509 -fingerprint -noout -in idp.example.org.crt

Megfelelő beállítások után a dinamikusan generált metadata a <code>/saml2/idp/metadata.php</code> útvonalon érhető el.

===Tesztelés===
Legegyszerűbben a telepített SSP felületén tudjuk ellenőrizni, hogy a beállított autentikációs forrás működik-e. A felületen az Authentication fül alatt található egy 'Test authentication sources' link, amelyre kattintva látható minden beállított autentikációs forrás is, így a két alapértelmezett, teszt célokat szolgáló alatt a most beállított example-ldap névre hallgatónak is meg kell jelenni. (A közvetlen url erre az oldalra: simplesaml/module.php/core/authenticate.php) Ez utóbbira kattintva a beállított LDAP-ból autentikálva be kell tudnunk jelentkeznünk; siker esetén az LDAP-ból kinyerhető attribútumokat láthatjuk.

==SP beállítás==
===Alapadatok===
A telepített alkalmazásunk által kezelt SP-ket a <code>config/authsources.php</code> fájlban tudjuk beállítani.

'default-sp' => array(
'saml:SP',

// The entity ID of this SP.
// Can be NULL/unset, in which case an entity ID is generated based on the metadata URL.
'entityID' => NULL,

// The entity ID of the IdP this should SP should contact.
// Can be NULL/unset, in which case the user will be shown a list of available IdPs.
'idp' => NULL,

// The URL to the discovery service.
// Can be NULL/unset, in which case a builtin discovery service will be used.
'discoURL' => NULL,

'privatekey' => 'saml.pem',
'certificate' => 'saml.crt',

),

A fenti beállítások alapján az SP entityID-ja megegyezik a metadata elérési útvonalával (szokásos megoldás SSP-nél), nem adunk meg alapértelmezett idp-t, ezáltal az SSP választási lehetőséget kínál fel számunkra, mikor az SP-re szeretnénk bejelentkezni, ill. most még Discovery Service URL-t sem adunk meg, hanem a beépítettet használjuk. Ez utóbbit majd a HREF-be történő integrációkor meg kell változtatni - lásd lejjebb.

Az IdP beállításához hasonlóan itt is szükség lesz egy tanúsítvány generálására a <code>cert</code> könyvtárba. Ehhez segítség lehet az alábbi parancs.

openssl req -new -x509 -days 3652 -nodes -out saml.crt -keyout saml.pem

===Tesztelés===
Amennyiben IdP is beállításra került, úgy a legcélszerűbb ezt összehangolni az SP-vel. Ehhez egyfelől a <code>metadata/saml20-idp-remote.php</code> fájlban meg kell adni az IdP adatait, amely esetünkben az alábbiak szerint fest.

$metadata['https://example.org/simplesaml/saml2/idp/metadata.php'] = array(
'name' => array(
'en' => 'TestSP'
),
'SingleSignOnService' => 'https://example.org/simplesaml/saml2/idp/SSOService.php',
'SingleLogoutService' => 'https://example.org/simplesaml/saml2/idp/SingleLogoutService.php',
'certFingerprint' => 'afe71c28ef740bc87425be13a2263d37971da1f9'
);

Ehhez hasonlóan a <code>metadata/saml20-sp-remote.php</code> fájlban meg kell adnunk az SP adatait. Teszteléshez az alábbiak elegendők:

$metadata['https://example.org/simplesaml/module.php/saml/sp/metadata.php/default-sp'] = array (
'AssertionConsumerService' => 'https://example.org/simplesaml/module.php/saml/sp/saml2-acs.php/default-sp',
'SingleLogoutService' => 'https://example.org/simplesaml/module.php/saml/sp/saml2-logout.php/default-sp',
);

Ezek után az IdP tesztelésénél már említett oldalon a default-sp opciót kiválasztva, majd a legördülő menüben a TestSP-re kattintva be kell tudnunk jelentkezni az IdP-n keresztül. Ha működik, akkor az alapvető lépsekkel kész vagyunk, van egy működő SP-nk és egy működő IdP-nk.

==HREF-integráció==

===Metadata beállítása (IdP és SP is)===
* Az SSP-nél be kell állítani metaadat forrásként a központi metaadatot
:*Első lépésként engedélyezzük, hogy az SSP automatikusan frissíthesse a metaadatot, ill. az ezt elvégző két modult
touch modules/metarefresh/enable
cp modules/metarefresh/config-templates/*.php config/
touch modules/cron/enable
cp modules/cron/config-templates/*.php config/

:*Létrehozunk egy könyvtárat, ahová letöltésre kerül az központi metaadat XML fájlja
mkdir metadata/metarefresh-href
chmod g+rw metadata/metarefresh-href
:*Ezek után be kell állítani a metaadat kokrét adatait a <code>config/config-metarefresh.php</code> fájlban
$config = array(
'sets' => array(
'hu' => array(
'cron' => array('hourly'),
'sources' => array(
array(
'src' => 'http://metadata.eduid.hu/2011/href.xml',
'validateFingerprint' => 'FE:AE:0B:E8:FB:59:ED:F7:CB:7F:69:DF:19:4F:8B:6D:C7:F6:96:66',
'template' => array(
'authproc' => array(
51 => array('class' => 'core:AttributeMap', 'oid2name'),
),
),
),
),
'expireAfter' => 60*60*24*4, // Maximum 4 days cache time.
'outputDir' => 'metadata/metarefresh-href/',
'outputFormat' => 'flatfile',
),
),
);
:*Be kell állítani, hogy az SSP az automata által generált fájlokból dolgozzon. Ehhez a <code>config/config.php</code> fájlban keressük ki a <code>metadata.source</code> szakaszt, és az alábbiak szerint szerkesszük át. Amennyiben nem csak a központi metaadatból szeretnénk dolgozni, úgy további sorokat is megadhatunk itt bemutatott mintájára.
'metadata.sources' => array(
array('type' => 'flatfile'), // IdP esetén kell, itt van az önmagát leíró metadata
array('type' => 'flatfile', 'directory' => 'metadata/metarefresh-href'),
),

:*Végül le kell futtatni kézzel a cronjobot, amelyet az SSP webes felületén tudunk megtenni a Configuration fül alatt, a Cron module information page menüpontban. Ekkor létrejönnek a fájlok (majd óránként frissülnek is, ha beállítjuk cronjobként).

==== Metarefresh webszerver nélkül ====
Sajnos a simpleSAMLphp a nagyon nagy metadata állományok webszerveren keresztüli hívással indított feldolgozásában nem jeleskedik, márpedig az eduGAIN nemzetközi konföderáció metaadata óriási, így érdemes a config-metarefresht parancssoros php-ként meghívni, így a webszerveren keresztül történő futtatás várható időtullépését kiegyszerűsíthetjük a képletből. Ehhez vegyünk fel két külön cronjobot. Az egyik letölti a metadata állományt. A másik pedig helyben elvégzi a feldolgozást.

5 * * * * www-data wget -nv -q http://metadata.eduid.hu/current/edugain.xml -O /tmp/hrefsigned_edugain.xml
10 * * * * www-data /var/simplesamlphp/modules/metarefresh/bin/metarefresh.php -o=metadata/metarefresh-edugain /tmp/hrefsigned_edugain.xml

A második parancs feltételezi hogy a simplesamlphp/metadata/metarefresh-edugain könyvtár létezik és a www-data által írható.

===IdP===
Amennyiben van SSP alapú IdP-nk, melyet szeretnénk a föderáció részévé tenni, úgy a teendők a következők.
* (A jelenleg is formálódó adminisztratív teendőktől itt most eltekintünk)
* Kell küldeni egy levelet a [mailto:aai@niif.hu aai@niif.hu] címre, benne néhány mondat mellett az IdP metaadatának URL-jével (https://example.org/simplesamlphp/saml2/idp/metadata.php)
* Ha minden rendben megy, akkor az IdP bekerül a [[Resource_Registry]]-be, ezáltal a föderációs metaadatba is.
* Az előző pontban leírt módon be kell állítani a központi metadata feldolgozását.
* Amennyiben a föderációs metaadatban már szerepel a mi IdP-nk is, úgy a föderáció valamelyik, tesztelési célokat szolgáló SP-jénél ki is próbálhatjuk a bejelentkezést.

:'''Fontos''', hogy a föderációs Discovery Service óránként generálja újra az IdP-k listáját, így ennyi idő mindenképp szükséges, hogy az új IdP megjelenjen itt, az egyes SP-k pedig két óránként töltik újra a metaadatot, így előfordulhat, hogy azonnal nem fog minden működni, de egy-két óra alatt várhatóan beindul. :)

:Tesztelésre használható oldal: [https://wiki.aai.niif.hu/shibtest.php https://wiki.aai.niif.hu/shibtest.php]

* Ahhoz, hogy a Resource Registry-be is be tudjunk lépni és az IdP további, a föderációra vonatkozó beállításait meg tudjuk ejteni, ehhez az IdP-nek ki kell adnia az alábbi attribútumokat:
** [[HREFAttributeSpec#mail|mail]] - ez belépés után, manuálisan is beállítható
** [[HREFAttributeSpec#eduPersonPrincipalName|eduPersonPrincipalName]]
** [[HREFAttributeSpec#schacHomeOrganizationType|schacHomeOrganizationType]]
** [[HREFAttributeSpec#eduScopedAffiliation|eduPersonScopedAffiliation]]

====Attribútumok kezelése====
Beállított IdP-nk alapértelmezés szerint azokat az attribútumokat adja ki, melyeket a metaadat alapján az SP kért (Lásd a metadatában a RequestedAttribute elemeket), és egyúttal alapból meg tudta szerezni a felhasználói adatbázisból, esetünkben az LDAP-ból. Mivel néhány attribútum nem szerepel az LDAP-ban, hanem az IdP-ben kell előállítani, így pár helyen módosítanunk kell az alapértelmezett konfiguráción.

:1. Az <code>attributemap/name2oid.php</code> fájlba az 's'-betűhöz szúrjuk be az alábbi sort:
'schacHomeOrganizationType' => 'urn:oid:1.3.6.1.4.1.25178.1.2.10',
:2. A <code>metadata/saml20-idp-hosted.php</code> fájlba szerkesszük be az alábbi kódrészlet értelemszerűen módosított változatát. Az <code>'auth' => 'example-ldap',</code> sor alatt kezdjük. Fontos, hogy egyúttal a config.php <code>authproc.idp</code> részét kikommentezzük, nehogy az ottani sorszámokkal megadott default feladatok bekavarjanak.

'AttributeNameFormat' => 'urn:oasis:names:tc:SAML:2.0:attrname-format:uri',
'userid.attribute' => 'uid', // Itt adjuk meg, hogy mely, az LDAPból származó attribútum alapján fogja az IdP kiszámítani az eduPersonTargetedID-t
'authproc' => array(
10 => array(
'class' => 'core:AttributeMap',
'uid' => 'eduPersonPrincipalName'
//Itt az 'uid' az az attribútum az LDAP-ban, amely a felhasználó azonosítóját tartalmazza, mert ebből képezzük az eduPersonPrincipalName-t.
),
20 => array(
'class' => 'core:AttributeAdd',
'schacHomeOrganizationType' => array('urn:schac:homeOrganizationType:hu:university')
//Kötelező statikus attribútum az [[HREFAttributeSpec#schacHomeOrganizationType|intézmény jellegének]] megfelelően
),
30 => array(
'class' => 'core:AttributeAlter',
'subject' => 'eduPersonPrincipalName',
'pattern' => '/^.*$/',
'replacement' => '${0}@intezmenydomain.hu',
// Itt adjuk hozzá az intézményi scope-ot az eduPersonPrincipalName már meglévő értékéhez
),
40 => array(
'class' => 'core:AttributeAlter',
'subject' => 'eduPersonAffiliation',
'pattern' => '/^.*$/',
'replacement' => '${0}@intezmenydomain.hu',
// Itt adjuk hozzá az intézményi scope-ot az eduPersonAffiliation már meglévő értékéhez
),
50 => array(
'class' => 'core:AttributeMap',
'eduPersonAffiliation' => 'eduPersonScopedAffiliation'
// Az LDAP-ból eduPersonAffiliation-ként érkező attribútumból föderációs elvárásoknak megfelelően eduPersonScopedAffiliationt készítünk
),
60 => array(
'class' => 'core:AttributeAdd',
'eduPersonScopedAffiliation' => array('member@intezmenydomain.hu')
// Az eduPersonScopedAffiliation-ben tesztelés céljából kiadhatjuk member értéket, így ha LDAP-ból nem jön érték, akkor is láthatjuk, hogy működik az attribútum kiadás
),
61 => array(
'class' => 'core:TargetedID',
'nameId' => TRUE,
),
62 => array(
'class' => 'core:AttributeAdd',
'schacHomeOrganizationType' => array('urn:schac:homeOrganizationType:hu:university')
// intézmény típus, https://wiki.niif.hu/index.php?title=HREF_attrib%C3%BAtum_specifik%C3%A1ci%C3%B3#schacHomeOrganizationType
),

// Itt állítjuk be, hogy az IdP előállítson és kiadhasson állandóazonosítóként eduPersonTargetedID-t, ha kérik
70 => array('class' => 'core:AttributeMap',
'name2oid'
// Az LDAP-os attribútum nevekből itt kreálunk szabványos urn:oid formátumúakat
),
80 => 'core:AttributeLimit',
), // .authproc
'simplesaml.nameidattribute' => 'eduPersonPrincipalName',
'attributeencodings' => array(
'urn:oid:1.3.6.1.4.1.5923.1.1.1.10' => 'raw',
),
'sign.logout' => true

: További tudnivalók a [[Resource_Registry|Resource Registry-ről]], ill. a [[HREFAttributeSpec|Föderációs attribútum specifikációról]].

* Ha minden rendben ment, akkor a Resource Registry-ben regisztrált IdP-hez tartozó adminisztrációs jogok átkerülnek az IdP technikai gazdájához, s ezzel a folyamat kész is.

===SP===
Amennyiben IdP-t is beállítottunk, és be is tudunk lépni a Resource Registry-be, úgy nincs más dolgunk, mint az RR-ben új SP-t hozzáadni a föderációhoz, amely a megfelelő átfutási idő után a föderáció minden tagjánál látható is lesz.

Ellenkező esetben (nincs IdP, és nem is tervezünk beállítani), akkor az IdP hozzáadásánál részletezett pontokon kell végig menni a metaadat betöltéséig, s a továbbiakat az említett e-mail címen megbeszélni.

====Attribútum scopeok használata====
A HREF föderáció IdP-i ún. scopeolt attribútumokat is használnak. Ez a scopeolás azt jelenti, hogy minden egyes IdP csak a saját scopejában ad ki attribútumokat, és a Shibboleth SP-k ezt ellenőrzik is. A scope és az attribútum valódi értéke egy '@' karakterrel kerül elválasztásra (ilyen attribútumok jelenleg: [[HREFAttributeSpec#eduPersonAffiliation|eduPersonScopedAffiliation]] illetve [[HREFAttributeSpec#eduPersonPrincipalName|eduPersonPrincipalName]]).

A SimpleSAMLphp alapértelmezett telepítése nem szűri a hibásan scopeolt értékeket. Kiegészítő modulként szűrésre használható az NIIF által fejlesztett [https://repo.niif.hu/gitweb/gitweb.cgi?p=simplesamlphp-attributescope.git;a=summary attributescope modul], ami reményeink szerint rövid távon a hivatalos SimpleSAMLphp kiadás része lehet.

: Az <code>attributescope</code> modul használata esetén a következőképp kell módosítani a <code>config/config-metarefresh.php</code> fájlt:

'template' => array(
'authproc' => array(
51 => array('class' => 'core:AttributeMap', 'oid2name'),
55 => array('class' => 'attributescope:FilterAttributes'),
),
'scopedattributes' => array('eduPersonScopedAffiliation', 'eduPersonPrincipalName'),
),

[[Category: AAI]] [[Category: simpleSAMLphp]] [[Category: HOWTO]]

SimpleSAMLphp

2014-11-20T10:28:09Z

Gyufi(AT)niif.hu: /* Attribútumok kezelése */ + attributeLimit

Az alábbi lapon megkíséreljük összefoglalni a legfontosabb lépéseket, melyek általános esetben elegendőek ahhoz, hogy működő SimpleSAMLphp(SSP) alkalmazást állítsunk üzembe.

==Telepítés==
===Előkészületek===
Ahhoz, hogy problémamentesen telepíthessük SSP alkalmazásunkat, az alábbi szoftverkomponenseknek kell működniük szerverünkön.
* PHP futtatására alkalmas webszerver
* PHP környezet (legalább 5.2.0 verzió)
* A következő PHP kiterjesztéseket engedélyezni kell
** <code>date</code>, <code>dom</code>, <code>hash</code>, <code>libxml</code>, <code>openssl</code>, <code>pcre</code>, <code>SPL</code>, <code>zlib</code>
** LDAP-ból történő autentikáció esetén: <code>ldap</code>
** Adatbázisból történő autentikáció esetén a megfelelő adatbázis-csatolót <code>mysql</code>, <code>pgsql</code>
** RADIUS szerveren keresztül történő autentikáció esetén: <code>radius</code>
** Assertion-ök titkosítása esetén: <code>mcrypt</code>
** Memcache használata esetén: <code>memcache</code>

===Letöltés===
A legfrissebb változat letölthető [http://code.google.com/p/simplesamlphp/ http://code.google.com/p/simplesamlphp/] címről

cd /var
tar xzf simplesamlphp-1.x.y.tar.gz
mv simplesamlphp-1.x.y simplesamlphp

Alapértelmezés szerint a <code>/var/simplesamlphp</code> alatt szeretne majd működni, ez természetesen változtatható, de most maradunk az eredeti beállításoknál.

===Apache konfigurálás===

A webről csak a <code>/var/simplesamlphp/www</code> könyvtárat kell elérni.

Alias /simplesaml /var/simplesamlphp/www

===Alapbeállítások===
Mielőtt aktiváljuk valamelyik főszolgáltatását (IdP,SP...) a telepített alkalmazásnak, néhány beállítást meg kell adnunk a konfigurációs fájlban <code>config/config.php</code>.
* '''Az "admin" felhasználó jelszavát, mellyel webes felületen keresztül be tud lépni a települő SSP-be.'''
'auth.adminpassword' => 'ujjelszotirdide',
* '''Titkosítási feladatokhoz szükséges "salt", azaz véletlenszerűen összeálló karaktersorozat'''
'secretsalt' => 'randombytesinsertedhere',
A karaktersorozat előállításában segíthet az alábbi parancs:
tr -c -d '0123456789abcdefghijklmnopqrstuvwxyz' </dev/urandom | dd bs=32 count=1 2>/dev/null;echo
* '''Elérhetőségeket, amely adatok bekerülnek majd a generált metaadatba'''
'technicalcontact_name' => 'Gipsz Jakab',
'technicalcontact_email' => 'jakab.gipsz@example.org',
* '''Nyelv és időzóna adatok'''
'language.default' => 'hu',
'timezone' => 'Europe/Budapest',

===Telepítés kész===
Amennyiben elkészültünk a fenti lépésekkel, úgy a [https://service.example.org/simplesaml/ https://service.example.org/simplesaml/] címen elérjük a telepített SSP-nk webes adminfelületét, ahol megejthetjük a további beállítások nagy részét.

==IdP beállítás==
===IdP funkció engedélyezése===
A <code>config/config.php</code> fájlt kell szerkesztenünk, s engedélyezni a saml20 idp lehetőséget.
'enable.saml20-idp' => true,
===Autentikáció LDAP alapon===
Meg kell adni, hogy az IdP milyen módon azonosítsa a felhasználót, amennyiben alapértelmezés szerint nem engedélyezett modult szeretnénk használni, úgy a megfelelő modult a <code>modules</code> könyvtár alatt engedélyezni kell. Az alábbi példában az LDAP alapú azonosítást mutatjuk be, amely külön modult nem igényel, alapértelmezés szerint része a telepített alkalmazásnak.

Ahhoz, hogy megadhassuk az LDAP-hoz tartozó beállításokat, a <code>config/authsources.php</code> fájlt kell szerkesztenünk. Az alábbi kódrészletet elegendő beszúrni, és az egyes változóknak a helyi LDAP-nak megfelelő adatokat értékül adni.
'example-ldap' => array(
'ldap:LDAP',

/* The hostname of the LDAP server. */
'hostname' => 'ldap.example.org',

/* Whether SSL/TLS should be used when contacting the LDAP server. */
'enable_tls' => FALSE,

/*
* Which attributes should be retrieved from the LDAP server.
* This can be an array of attribute names, or NULL, in which case
* all attributes are fetched.
*/
'attributes' => NULL,

/*
* The pattern which should be used to create the users DN given the username.
* %username% in this pattern will be replaced with the users username.
*
* This option is not used if the search.enable option is set to TRUE.
*/
'dnpattern' => 'uid=%username%,ou=people,dc=example,dc=org',

/*
* As an alternative to specifying a pattern for the users DN, it is possible to
* search for the username in a set of attributes. This is enabled by this option.
*/
'search.enable' => FALSE,

/*
* The DN which will be used as a base for the search.
* This can be a single string, in which case only that DN is searched, or an
* array of strings, in which case they will be searched in the order given.
*/
'search.base' => 'ou=people,dc=example,dc=org',

/*
* The attribute(s) the username should match against.
*
* This is an array with one or more attribute names. Any of the attributes in
* the array may match the value the username.
*/
'search.attributes' => array('uid', 'mail'),

/*
* The username & password the simpleSAMLphp should bind to before searching. If
* this is left as NULL, no bind will be performed before searching.
*/
'search.username' => NULL,
'search.password' => NULL,
),

===Metaadat alapok===
A beállítandó IdP alapvető paraméterei a <code>metadata/saml20-idp-hosted.php</code> fájlban állíthatók. Az alábbi kódrészlet egy minimális, de már működő példát mutat.

$metadata['__DYNAMIC:1__'] = array(
/*
* The hostname for this IdP. This makes it possible to run multiple
* IdPs from the same configuration. '__DEFAULT__' means that this one
* should be used by default.
*/
'host' => '__DEFAULT__',

/*
* The private key and certificate to use when signing responses.
* These are stored in the cert-directory.
*/
'privatekey' => 'idp.example.org.key',
'certificate' => 'idp.example.org.crt',

/*
* The authentication source which should be used to authenticate the
* user. This must match one of the entries in config/authsources.php.
*/
'auth' => 'example-ldap',
);

Teszteléshez is érdemes, éles használathoz pedig elengedhetetlen, hogy a csomagban érkezett tanúsítványt felülírjuk, ezt célszerű mihamarabb megtenni. Ehhez az alábbi parancs lehet segítségünkre.
openssl req -new -x509 -days 3652 -nodes -out idp.example.org.crt -keyout idp.example.org.key
A fingerprint az alábbi módon kérdezhető le a legegyszerűbben
openssl x509 -fingerprint -noout -in idp.example.org.crt

Megfelelő beállítások után a dinamikusan generált metadata a <code>/saml2/idp/metadata.php</code> útvonalon érhető el.

===Tesztelés===
Legegyszerűbben a telepített SSP felületén tudjuk ellenőrizni, hogy a beállított autentikációs forrás működik-e. A felületen az Authentication fül alatt található egy 'Test authentication sources' link, amelyre kattintva látható minden beállított autentikációs forrás is, így a két alapértelmezett, teszt célokat szolgáló alatt a most beállított example-ldap névre hallgatónak is meg kell jelenni. (A közvetlen url erre az oldalra: simplesaml/module.php/core/authenticate.php) Ez utóbbira kattintva a beállított LDAP-ból autentikálva be kell tudnunk jelentkeznünk; siker esetén az LDAP-ból kinyerhető attribútumokat láthatjuk.

==SP beállítás==
===Alapadatok===
A telepített alkalmazásunk által kezelt SP-ket a <code>config/authsources.php</code> fájlban tudjuk beállítani.

'default-sp' => array(
'saml:SP',

// The entity ID of this SP.
// Can be NULL/unset, in which case an entity ID is generated based on the metadata URL.
'entityID' => NULL,

// The entity ID of the IdP this should SP should contact.
// Can be NULL/unset, in which case the user will be shown a list of available IdPs.
'idp' => NULL,

// The URL to the discovery service.
// Can be NULL/unset, in which case a builtin discovery service will be used.
'discoURL' => NULL,

'privatekey' => 'saml.pem',
'certificate' => 'saml.crt',

),

A fenti beállítások alapján az SP entityID-ja megegyezik a metadata elérési útvonalával (szokásos megoldás SSP-nél), nem adunk meg alapértelmezett idp-t, ezáltal az SSP választási lehetőséget kínál fel számunkra, mikor az SP-re szeretnénk bejelentkezni, ill. most még Discovery Service URL-t sem adunk meg, hanem a beépítettet használjuk. Ez utóbbit majd a HREF-be történő integrációkor meg kell változtatni - lásd lejjebb.

Az IdP beállításához hasonlóan itt is szükség lesz egy tanúsítvány generálására a <code>cert</code> könyvtárba. Ehhez segítség lehet az alábbi parancs.

openssl req -new -x509 -days 3652 -nodes -out saml.crt -keyout saml.pem

===Tesztelés===
Amennyiben IdP is beállításra került, úgy a legcélszerűbb ezt összehangolni az SP-vel. Ehhez egyfelől a <code>metadata/saml20-idp-remote.php</code> fájlban meg kell adni az IdP adatait, amely esetünkben az alábbiak szerint fest.

$metadata['https://example.org/simplesaml/saml2/idp/metadata.php'] = array(
'name' => array(
'en' => 'TestSP'
),
'SingleSignOnService' => 'https://example.org/simplesaml/saml2/idp/SSOService.php',
'SingleLogoutService' => 'https://example.org/simplesaml/saml2/idp/SingleLogoutService.php',
'certFingerprint' => 'afe71c28ef740bc87425be13a2263d37971da1f9'
);

Ehhez hasonlóan a <code>metadata/saml20-sp-remote.php</code> fájlban meg kell adnunk az SP adatait. Teszteléshez az alábbiak elegendők:

$metadata['https://example.org/simplesaml/module.php/saml/sp/metadata.php/default-sp'] = array (
'AssertionConsumerService' => 'https://example.org/simplesaml/module.php/saml/sp/saml2-acs.php/default-sp',
'SingleLogoutService' => 'https://example.org/simplesaml/module.php/saml/sp/saml2-logout.php/default-sp',
);

Ezek után az IdP tesztelésénél már említett oldalon a default-sp opciót kiválasztva, majd a legördülő menüben a TestSP-re kattintva be kell tudnunk jelentkezni az IdP-n keresztül. Ha működik, akkor az alapvető lépsekkel kész vagyunk, van egy működő SP-nk és egy működő IdP-nk.

==HREF-integráció==

===Metadata beállítása (IdP és SP is)===
* Az SSP-nél be kell állítani metaadat forrásként a központi metaadatot
:*Első lépésként engedélyezzük, hogy az SSP automatikusan frissíthesse a metaadatot, ill. az ezt elvégző két modult
touch modules/metarefresh/enable
cp modules/metarefresh/config-templates/*.php config/
touch modules/cron/enable
cp modules/cron/config-templates/*.php config/

:*Létrehozunk egy könyvtárat, ahová letöltésre kerül az központi metaadat XML fájlja
mkdir metadata/metarefresh-href
chmod g+rw metadata/metarefresh-href
:*Ezek után be kell állítani a metaadat kokrét adatait a <code>config/config-metarefresh.php</code> fájlban
$config = array(
'sets' => array(
'hu' => array(
'cron' => array('hourly'),
'sources' => array(
array(
'src' => 'http://metadata.eduid.hu/2011/href.xml',
'validateFingerprint' => 'FE:AE:0B:E8:FB:59:ED:F7:CB:7F:69:DF:19:4F:8B:6D:C7:F6:96:66',
'template' => array(
'authproc' => array(
51 => array('class' => 'core:AttributeMap', 'oid2name'),
),
),
),
),
'expireAfter' => 60*60*24*4, // Maximum 4 days cache time.
'outputDir' => 'metadata/metarefresh-href/',
'outputFormat' => 'flatfile',
),
),
);
:*Be kell állítani, hogy az SSP az automata által generált fájlokból dolgozzon. Ehhez a <code>config/config.php</code> fájlban keressük ki a <code>metadata.source</code> szakaszt, és az alábbiak szerint szerkesszük át. Amennyiben nem csak a központi metaadatból szeretnénk dolgozni, úgy további sorokat is megadhatunk itt bemutatott mintájára.
'metadata.sources' => array(
array('type' => 'flatfile'), // IdP esetén kell, itt van az önmagát leíró metadata
array('type' => 'flatfile', 'directory' => 'metadata/metarefresh-href'),
),

:*Végül le kell futtatni kézzel a cronjobot, amelyet az SSP webes felületén tudunk megtenni a Configuration fül alatt, a Cron module information page menüpontban. Ekkor létrejönnek a fájlok (majd óránként frissülnek is, ha beállítjuk cronjobként).

==== Metarefresh webszerver nélkül ====
Sajnos a simpleSAMLphp a nagyon nagy metadata állományok webszerveren keresztüli hívással indított feldolgozásában nem jeleskedik, márpedig az eduGAIN nemzetközi konföderáció metaadata óriási, így érdemes a config-metarefresht parancssoros php-ként meghívni, így a webszerveren keresztül történő futtatás várható időtullépését kiegyszerűsíthetjük a képletből. Ehhez vegyünk fel két külön cronjobot. Az egyik letölti a metadata állományt. A másik pedig helyben elvégzi a feldolgozást.

5 * * * * www-data wget -nv -q http://metadata.eduid.hu/current/edugain.xml -O /tmp/hrefsigned_edugain.xml
10 * * * * www-data /var/simplesamlphp/modules/metarefresh/bin/metarefresh.php -o=metadata/metarefresh-edugain /tmp/hrefsigned_edugain.xml

A második parancs feltételezi hogy a simplesamlphp/metadata/metarefresh-edugain könyvtár létezik és a www-data által írható.

===IdP===
Amennyiben van SSP alapú IdP-nk, melyet szeretnénk a föderáció részévé tenni, úgy a teendők a következők.
* (A jelenleg is formálódó adminisztratív teendőktől itt most eltekintünk)
* Kell küldeni egy levelet a [mailto:aai@niif.hu aai@niif.hu] címre, benne néhány mondat mellett az IdP metaadatának URL-jével (https://example.org/simplesamlphp/saml2/idp/metadata.php)
* Ha minden rendben megy, akkor az IdP bekerül a [[Resource_Registry]]-be, ezáltal a föderációs metaadatba is.
* Az előző pontban leírt módon be kell állítani a központi metadata feldolgozását.
* Amennyiben a föderációs metaadatban már szerepel a mi IdP-nk is, úgy a föderáció valamelyik, tesztelési célokat szolgáló SP-jénél ki is próbálhatjuk a bejelentkezést.

:'''Fontos''', hogy a föderációs Discovery Service óránként generálja újra az IdP-k listáját, így ennyi idő mindenképp szükséges, hogy az új IdP megjelenjen itt, az egyes SP-k pedig két óránként töltik újra a metaadatot, így előfordulhat, hogy azonnal nem fog minden működni, de egy-két óra alatt várhatóan beindul. :)

:Tesztelésre használható oldal: [https://wiki.aai.niif.hu/shibtest.php https://wiki.aai.niif.hu/shibtest.php]

* Ahhoz, hogy a Resource Registry-be is be tudjunk lépni és az IdP további, a föderációra vonatkozó beállításait meg tudjuk ejteni, ehhez az IdP-nek ki kell adnia az alábbi attribútumokat:
** [[HREFAttributeSpec#mail|mail]] - ez belépés után, manuálisan is beállítható
** [[HREFAttributeSpec#eduPersonPrincipalName|eduPersonPrincipalName]]
** [[HREFAttributeSpec#schacHomeOrganizationType|schacHomeOrganizationType]]
** [[HREFAttributeSpec#eduScopedAffiliation|eduPersonScopedAffiliation]]

====Attribútumok kezelése====
Beállított IdP-nk alapértelmezés szerint azokat az attribútumokat adja ki, melyeket a metaadat alapján az SP kért (Lásd a metadatában a RequestedAttribute elemeket), és egyúttal alapból meg tudta szerezni a felhasználói adatbázisból, esetünkben az LDAP-ból. Mivel néhány attribútum nem szerepel az LDAP-ban, hanem az IdP-ben kell előállítani, így pár helyen módosítanunk kell az alapértelmezett konfiguráción.

:1. Az <code>attributemap/name2oid.php</code> fájlba az 's'-betűhöz szúrjuk be az alábbi sort:
'schacHomeOrganizationType' => 'urn:oid:1.3.6.1.4.1.25178.1.2.10',
:2. A <code>metadata/saml20-idp-hosted.php</code> fájlba szerkesszük be az alábbi kódrészlet értelemszerűen módosított változatát. Az <code>'auth' => 'example-ldap',</code> sor alatt kezdjük. Fontos, hogy egyúttal a config.php <code>authproc.idp</code> részét kikommentezzük, nehogy az ottani sorszámokkal megadott default feladatok bekavarjanak.

'AttributeNameFormat' => 'urn:oasis:names:tc:SAML:2.0:attrname-format:uri',
'userid.attribute' => 'uid', // Itt adjuk meg, hogy mely, az LDAPból származó attribútum alapján fogja az IdP kiszámítani az eduPersonTargetedID-t
'authproc' => array(
10 => array(
'class' => 'core:AttributeMap',
'uid' => 'eduPersonPrincipalName'
//Itt az 'uid' az az attribútum az LDAP-ban, amely a felhasználó azonosítóját tartalmazza, mert ebből képezzük az eduPersonPrincipalName-t.
),
20 => array(
'class' => 'core:AttributeAdd',
'schacHomeOrganizationType' => array('urn:schac:homeOrganizationType:hu:university')
//Kötelező statikus attribútum az [[HREFAttributeSpec#schacHomeOrganizationType|intézmény jellegének]] megfelelően
),
30 => array(
'class' => 'core:AttributeAlter',
'subject' => 'eduPersonPrincipalName',
'pattern' => '/^.*$/',
'replacement' => '${0}@intezmenydomain.hu',
// Itt adjuk hozzá az intézményi scope-ot az eduPersonPrincipalName már meglévő értékéhez
),
40 => array(
'class' => 'core:AttributeAlter',
'subject' => 'eduPersonAffiliation',
'pattern' => '/^.*$/',
'replacement' => '${0}@intezmenydomain.hu',
// Itt adjuk hozzá az intézményi scope-ot az eduPersonAffiliation már meglévő értékéhez
),
50 => array(
'class' => 'core:AttributeMap',
'eduPersonAffiliation' => 'eduPersonScopedAffiliation'
// Az LDAP-ból eduPersonAffiliation-ként érkező attribútumból föderációs elvárásoknak megfelelően eduPersonScopedAffiliationt készítünk
),
60 => array(
'class' => 'core:AttributeAdd',
'eduPersonScopedAffiliation' => array('member@intezmenydomain.hu')
// Az eduPersonScopedAffiliation-ben tesztelés céljából kiadhatjuk member értéket, így ha LDAP-ból nem jön érték, akkor is láthatjuk, hogy működik az attribútum kiadás
),
61 => array(
'class' => 'core:TargetedID',
'nameId' => TRUE,
),
// Itt állítjuk be, hogy az IdP előállítson és kiadhasson állandóazonosítóként eduPersonTargetedID-t, ha kérik
70 => array('class' => 'core:AttributeMap',
'name2oid'
// Az LDAP-os attribútum nevekből itt kreálunk szabványos urn:oid formátumúakat
),
80 => 'core:AttributeLimit',
), // .authproc
'simplesaml.nameidattribute' => 'eduPersonPrincipalName',
'attributeencodings' => array(
'urn:oid:1.3.6.1.4.1.5923.1.1.1.10' => 'raw',
),
'sign.logout' => true

: További tudnivalók a [[Resource_Registry|Resource Registry-ről]], ill. a [[HREFAttributeSpec|Föderációs attribútum specifikációról]].

* Ha minden rendben ment, akkor a Resource Registry-ben regisztrált IdP-hez tartozó adminisztrációs jogok átkerülnek az IdP technikai gazdájához, s ezzel a folyamat kész is.

===SP===
Amennyiben IdP-t is beállítottunk, és be is tudunk lépni a Resource Registry-be, úgy nincs más dolgunk, mint az RR-ben új SP-t hozzáadni a föderációhoz, amely a megfelelő átfutási idő után a föderáció minden tagjánál látható is lesz.

Ellenkező esetben (nincs IdP, és nem is tervezünk beállítani), akkor az IdP hozzáadásánál részletezett pontokon kell végig menni a metaadat betöltéséig, s a továbbiakat az említett e-mail címen megbeszélni.

====Attribútum scopeok használata====
A HREF föderáció IdP-i ún. scopeolt attribútumokat is használnak. Ez a scopeolás azt jelenti, hogy minden egyes IdP csak a saját scopejában ad ki attribútumokat, és a Shibboleth SP-k ezt ellenőrzik is. A scope és az attribútum valódi értéke egy '@' karakterrel kerül elválasztásra (ilyen attribútumok jelenleg: [[HREFAttributeSpec#eduPersonAffiliation|eduPersonScopedAffiliation]] illetve [[HREFAttributeSpec#eduPersonPrincipalName|eduPersonPrincipalName]]).

A SimpleSAMLphp alapértelmezett telepítése nem szűri a hibásan scopeolt értékeket. Kiegészítő modulként szűrésre használható az NIIF által fejlesztett [https://repo.niif.hu/gitweb/gitweb.cgi?p=simplesamlphp-attributescope.git;a=summary attributescope modul], ami reményeink szerint rövid távon a hivatalos SimpleSAMLphp kiadás része lehet.

: Az <code>attributescope</code> modul használata esetén a következőképp kell módosítani a <code>config/config-metarefresh.php</code> fájlt:

'template' => array(
'authproc' => array(
51 => array('class' => 'core:AttributeMap', 'oid2name'),
55 => array('class' => 'attributescope:FilterAttributes'),
),
'scopedattributes' => array('eduPersonScopedAffiliation', 'eduPersonPrincipalName'),
),

[[Category: AAI]] [[Category: simpleSAMLphp]] [[Category: HOWTO]]

SimpleSAMLphp

2014-11-20T08:31:50Z

Gyufi(AT)niif.hu: /* Metadata beállítása (IdP és SP is) */

Az alábbi lapon megkíséreljük összefoglalni a legfontosabb lépéseket, melyek általános esetben elegendőek ahhoz, hogy működő SimpleSAMLphp(SSP) alkalmazást állítsunk üzembe.

==Telepítés==
===Előkészületek===
Ahhoz, hogy problémamentesen telepíthessük SSP alkalmazásunkat, az alábbi szoftverkomponenseknek kell működniük szerverünkön.
* PHP futtatására alkalmas webszerver
* PHP környezet (legalább 5.2.0 verzió)
* A következő PHP kiterjesztéseket engedélyezni kell
** <code>date</code>, <code>dom</code>, <code>hash</code>, <code>libxml</code>, <code>openssl</code>, <code>pcre</code>, <code>SPL</code>, <code>zlib</code>
** LDAP-ból történő autentikáció esetén: <code>ldap</code>
** Adatbázisból történő autentikáció esetén a megfelelő adatbázis-csatolót <code>mysql</code>, <code>pgsql</code>
** RADIUS szerveren keresztül történő autentikáció esetén: <code>radius</code>
** Assertion-ök titkosítása esetén: <code>mcrypt</code>
** Memcache használata esetén: <code>memcache</code>

===Letöltés===
A legfrissebb változat letölthető [http://code.google.com/p/simplesamlphp/ http://code.google.com/p/simplesamlphp/] címről

cd /var
tar xzf simplesamlphp-1.x.y.tar.gz
mv simplesamlphp-1.x.y simplesamlphp

Alapértelmezés szerint a <code>/var/simplesamlphp</code> alatt szeretne majd működni, ez természetesen változtatható, de most maradunk az eredeti beállításoknál.

===Apache konfigurálás===

A webről csak a <code>/var/simplesamlphp/www</code> könyvtárat kell elérni.

Alias /simplesaml /var/simplesamlphp/www

===Alapbeállítások===
Mielőtt aktiváljuk valamelyik főszolgáltatását (IdP,SP...) a telepített alkalmazásnak, néhány beállítást meg kell adnunk a konfigurációs fájlban <code>config/config.php</code>.
* '''Az "admin" felhasználó jelszavát, mellyel webes felületen keresztül be tud lépni a települő SSP-be.'''
'auth.adminpassword' => 'ujjelszotirdide',
* '''Titkosítási feladatokhoz szükséges "salt", azaz véletlenszerűen összeálló karaktersorozat'''
'secretsalt' => 'randombytesinsertedhere',
A karaktersorozat előállításában segíthet az alábbi parancs:
tr -c -d '0123456789abcdefghijklmnopqrstuvwxyz' </dev/urandom | dd bs=32 count=1 2>/dev/null;echo
* '''Elérhetőségeket, amely adatok bekerülnek majd a generált metaadatba'''
'technicalcontact_name' => 'Gipsz Jakab',
'technicalcontact_email' => 'jakab.gipsz@example.org',
* '''Nyelv és időzóna adatok'''
'language.default' => 'hu',
'timezone' => 'Europe/Budapest',

===Telepítés kész===
Amennyiben elkészültünk a fenti lépésekkel, úgy a [https://service.example.org/simplesaml/ https://service.example.org/simplesaml/] címen elérjük a telepített SSP-nk webes adminfelületét, ahol megejthetjük a további beállítások nagy részét.

==IdP beállítás==
===IdP funkció engedélyezése===
A <code>config/config.php</code> fájlt kell szerkesztenünk, s engedélyezni a saml20 idp lehetőséget.
'enable.saml20-idp' => true,
===Autentikáció LDAP alapon===
Meg kell adni, hogy az IdP milyen módon azonosítsa a felhasználót, amennyiben alapértelmezés szerint nem engedélyezett modult szeretnénk használni, úgy a megfelelő modult a <code>modules</code> könyvtár alatt engedélyezni kell. Az alábbi példában az LDAP alapú azonosítást mutatjuk be, amely külön modult nem igényel, alapértelmezés szerint része a telepített alkalmazásnak.

Ahhoz, hogy megadhassuk az LDAP-hoz tartozó beállításokat, a <code>config/authsources.php</code> fájlt kell szerkesztenünk. Az alábbi kódrészletet elegendő beszúrni, és az egyes változóknak a helyi LDAP-nak megfelelő adatokat értékül adni.
'example-ldap' => array(
'ldap:LDAP',

/* The hostname of the LDAP server. */
'hostname' => 'ldap.example.org',

/* Whether SSL/TLS should be used when contacting the LDAP server. */
'enable_tls' => FALSE,

/*
* Which attributes should be retrieved from the LDAP server.
* This can be an array of attribute names, or NULL, in which case
* all attributes are fetched.
*/
'attributes' => NULL,

/*
* The pattern which should be used to create the users DN given the username.
* %username% in this pattern will be replaced with the users username.
*
* This option is not used if the search.enable option is set to TRUE.
*/
'dnpattern' => 'uid=%username%,ou=people,dc=example,dc=org',

/*
* As an alternative to specifying a pattern for the users DN, it is possible to
* search for the username in a set of attributes. This is enabled by this option.
*/
'search.enable' => FALSE,

/*
* The DN which will be used as a base for the search.
* This can be a single string, in which case only that DN is searched, or an
* array of strings, in which case they will be searched in the order given.
*/
'search.base' => 'ou=people,dc=example,dc=org',

/*
* The attribute(s) the username should match against.
*
* This is an array with one or more attribute names. Any of the attributes in
* the array may match the value the username.
*/
'search.attributes' => array('uid', 'mail'),

/*
* The username & password the simpleSAMLphp should bind to before searching. If
* this is left as NULL, no bind will be performed before searching.
*/
'search.username' => NULL,
'search.password' => NULL,
),

===Metaadat alapok===
A beállítandó IdP alapvető paraméterei a <code>metadata/saml20-idp-hosted.php</code> fájlban állíthatók. Az alábbi kódrészlet egy minimális, de már működő példát mutat.

$metadata['__DYNAMIC:1__'] = array(
/*
* The hostname for this IdP. This makes it possible to run multiple
* IdPs from the same configuration. '__DEFAULT__' means that this one
* should be used by default.
*/
'host' => '__DEFAULT__',

/*
* The private key and certificate to use when signing responses.
* These are stored in the cert-directory.
*/
'privatekey' => 'idp.example.org.key',
'certificate' => 'idp.example.org.crt',

/*
* The authentication source which should be used to authenticate the
* user. This must match one of the entries in config/authsources.php.
*/
'auth' => 'example-ldap',
);

Teszteléshez is érdemes, éles használathoz pedig elengedhetetlen, hogy a csomagban érkezett tanúsítványt felülírjuk, ezt célszerű mihamarabb megtenni. Ehhez az alábbi parancs lehet segítségünkre.
openssl req -new -x509 -days 3652 -nodes -out idp.example.org.crt -keyout idp.example.org.key
A fingerprint az alábbi módon kérdezhető le a legegyszerűbben
openssl x509 -fingerprint -noout -in idp.example.org.crt

Megfelelő beállítások után a dinamikusan generált metadata a <code>/saml2/idp/metadata.php</code> útvonalon érhető el.

===Tesztelés===
Legegyszerűbben a telepített SSP felületén tudjuk ellenőrizni, hogy a beállított autentikációs forrás működik-e. A felületen az Authentication fül alatt található egy 'Test authentication sources' link, amelyre kattintva látható minden beállított autentikációs forrás is, így a két alapértelmezett, teszt célokat szolgáló alatt a most beállított example-ldap névre hallgatónak is meg kell jelenni. (A közvetlen url erre az oldalra: simplesaml/module.php/core/authenticate.php) Ez utóbbira kattintva a beállított LDAP-ból autentikálva be kell tudnunk jelentkeznünk; siker esetén az LDAP-ból kinyerhető attribútumokat láthatjuk.

==SP beállítás==
===Alapadatok===
A telepített alkalmazásunk által kezelt SP-ket a <code>config/authsources.php</code> fájlban tudjuk beállítani.

'default-sp' => array(
'saml:SP',

// The entity ID of this SP.
// Can be NULL/unset, in which case an entity ID is generated based on the metadata URL.
'entityID' => NULL,

// The entity ID of the IdP this should SP should contact.
// Can be NULL/unset, in which case the user will be shown a list of available IdPs.
'idp' => NULL,

// The URL to the discovery service.
// Can be NULL/unset, in which case a builtin discovery service will be used.
'discoURL' => NULL,

'privatekey' => 'saml.pem',
'certificate' => 'saml.crt',

),

A fenti beállítások alapján az SP entityID-ja megegyezik a metadata elérési útvonalával (szokásos megoldás SSP-nél), nem adunk meg alapértelmezett idp-t, ezáltal az SSP választási lehetőséget kínál fel számunkra, mikor az SP-re szeretnénk bejelentkezni, ill. most még Discovery Service URL-t sem adunk meg, hanem a beépítettet használjuk. Ez utóbbit majd a HREF-be történő integrációkor meg kell változtatni - lásd lejjebb.

Az IdP beállításához hasonlóan itt is szükség lesz egy tanúsítvány generálására a <code>cert</code> könyvtárba. Ehhez segítség lehet az alábbi parancs.

openssl req -new -x509 -days 3652 -nodes -out saml.crt -keyout saml.pem

===Tesztelés===
Amennyiben IdP is beállításra került, úgy a legcélszerűbb ezt összehangolni az SP-vel. Ehhez egyfelől a <code>metadata/saml20-idp-remote.php</code> fájlban meg kell adni az IdP adatait, amely esetünkben az alábbiak szerint fest.

$metadata['https://example.org/simplesaml/saml2/idp/metadata.php'] = array(
'name' => array(
'en' => 'TestSP'
),
'SingleSignOnService' => 'https://example.org/simplesaml/saml2/idp/SSOService.php',
'SingleLogoutService' => 'https://example.org/simplesaml/saml2/idp/SingleLogoutService.php',
'certFingerprint' => 'afe71c28ef740bc87425be13a2263d37971da1f9'
);

Ehhez hasonlóan a <code>metadata/saml20-sp-remote.php</code> fájlban meg kell adnunk az SP adatait. Teszteléshez az alábbiak elegendők:

$metadata['https://example.org/simplesaml/module.php/saml/sp/metadata.php/default-sp'] = array (
'AssertionConsumerService' => 'https://example.org/simplesaml/module.php/saml/sp/saml2-acs.php/default-sp',
'SingleLogoutService' => 'https://example.org/simplesaml/module.php/saml/sp/saml2-logout.php/default-sp',
);

Ezek után az IdP tesztelésénél már említett oldalon a default-sp opciót kiválasztva, majd a legördülő menüben a TestSP-re kattintva be kell tudnunk jelentkezni az IdP-n keresztül. Ha működik, akkor az alapvető lépsekkel kész vagyunk, van egy működő SP-nk és egy működő IdP-nk.

==HREF-integráció==

===Metadata beállítása (IdP és SP is)===
* Az SSP-nél be kell állítani metaadat forrásként a központi metaadatot
:*Első lépésként engedélyezzük, hogy az SSP automatikusan frissíthesse a metaadatot, ill. az ezt elvégző két modult
touch modules/metarefresh/enable
cp modules/metarefresh/config-templates/*.php config/
touch modules/cron/enable
cp modules/cron/config-templates/*.php config/

:*Létrehozunk egy könyvtárat, ahová letöltésre kerül az központi metaadat XML fájlja
mkdir metadata/metarefresh-href
chmod g+rw metadata/metarefresh-href
:*Ezek után be kell állítani a metaadat kokrét adatait a <code>config/config-metarefresh.php</code> fájlban
$config = array(
'sets' => array(
'hu' => array(
'cron' => array('hourly'),
'sources' => array(
array(
'src' => 'http://metadata.eduid.hu/2011/href.xml',
'validateFingerprint' => 'FE:AE:0B:E8:FB:59:ED:F7:CB:7F:69:DF:19:4F:8B:6D:C7:F6:96:66',
'template' => array(
'authproc' => array(
51 => array('class' => 'core:AttributeMap', 'oid2name'),
),
),
),
),
'expireAfter' => 60*60*24*4, // Maximum 4 days cache time.
'outputDir' => 'metadata/metarefresh-href/',
'outputFormat' => 'flatfile',
),
),
);
:*Be kell állítani, hogy az SSP az automata által generált fájlokból dolgozzon. Ehhez a <code>config/config.php</code> fájlban keressük ki a <code>metadata.source</code> szakaszt, és az alábbiak szerint szerkesszük át. Amennyiben nem csak a központi metaadatból szeretnénk dolgozni, úgy további sorokat is megadhatunk itt bemutatott mintájára.
'metadata.sources' => array(
array('type' => 'flatfile'), // IdP esetén kell, itt van az önmagát leíró metadata
array('type' => 'flatfile', 'directory' => 'metadata/metarefresh-href'),
),

:*Végül le kell futtatni kézzel a cronjobot, amelyet az SSP webes felületén tudunk megtenni a Configuration fül alatt, a Cron module information page menüpontban. Ekkor létrejönnek a fájlok (majd óránként frissülnek is, ha beállítjuk cronjobként).

==== Metarefresh webszerver nélkül ====
Sajnos a simpleSAMLphp a nagyon nagy metadata állományok webszerveren keresztüli hívással indított feldolgozásában nem jeleskedik, márpedig az eduGAIN nemzetközi konföderáció metaadata óriási, így érdemes a config-metarefresht parancssoros php-ként meghívni, így a webszerveren keresztül történő futtatás várható időtullépését kiegyszerűsíthetjük a képletből. Ehhez vegyünk fel két külön cronjobot. Az egyik letölti a metadata állományt. A másik pedig helyben elvégzi a feldolgozást.

5 * * * * www-data wget -nv -q http://metadata.eduid.hu/current/edugain.xml -O /tmp/hrefsigned_edugain.xml
10 * * * * www-data /var/simplesamlphp/modules/metarefresh/bin/metarefresh.php -o=metadata/metarefresh-edugain /tmp/hrefsigned_edugain.xml

A második parancs feltételezi hogy a simplesamlphp/metadata/metarefresh-edugain könyvtár létezik és a www-data által írható.

===IdP===
Amennyiben van SSP alapú IdP-nk, melyet szeretnénk a föderáció részévé tenni, úgy a teendők a következők.
* (A jelenleg is formálódó adminisztratív teendőktől itt most eltekintünk)
* Kell küldeni egy levelet a [mailto:aai@niif.hu aai@niif.hu] címre, benne néhány mondat mellett az IdP metaadatának URL-jével (https://example.org/simplesamlphp/saml2/idp/metadata.php)
* Ha minden rendben megy, akkor az IdP bekerül a [[Resource_Registry]]-be, ezáltal a föderációs metaadatba is.
* Az előző pontban leírt módon be kell állítani a központi metadata feldolgozását.
* Amennyiben a föderációs metaadatban már szerepel a mi IdP-nk is, úgy a föderáció valamelyik, tesztelési célokat szolgáló SP-jénél ki is próbálhatjuk a bejelentkezést.

:'''Fontos''', hogy a föderációs Discovery Service óránként generálja újra az IdP-k listáját, így ennyi idő mindenképp szükséges, hogy az új IdP megjelenjen itt, az egyes SP-k pedig két óránként töltik újra a metaadatot, így előfordulhat, hogy azonnal nem fog minden működni, de egy-két óra alatt várhatóan beindul. :)

:Tesztelésre használható oldal: [https://wiki.aai.niif.hu/shibtest.php https://wiki.aai.niif.hu/shibtest.php]

* Ahhoz, hogy a Resource Registry-be is be tudjunk lépni és az IdP további, a föderációra vonatkozó beállításait meg tudjuk ejteni, ehhez az IdP-nek ki kell adnia az alábbi attribútumokat:
** [[HREFAttributeSpec#mail|mail]] - ez belépés után, manuálisan is beállítható
** [[HREFAttributeSpec#eduPersonPrincipalName|eduPersonPrincipalName]]
** [[HREFAttributeSpec#schacHomeOrganizationType|schacHomeOrganizationType]]
** [[HREFAttributeSpec#eduScopedAffiliation|eduPersonScopedAffiliation]]

====Attribútumok kezelése====
Beállított IdP-nk alapértelmezés szerint azokat az attribútumokat adja ki, melyeket a metaadat alapján az SP kért (Lásd a metadatában a RequestedAttribute elemeket), és egyúttal alapból meg tudta szerezni a felhasználói adatbázisból, esetünkben az LDAP-ból. Mivel néhány attribútum nem szerepel az LDAP-ban, hanem az IdP-ben kell előállítani, így pár helyen módosítanunk kell az alapértelmezett konfiguráción.

:1. Az <code>attributemap/name2oid.php</code> fájlba az 's'-betűhöz szúrjuk be az alábbi sort:
'schacHomeOrganizationType' => 'urn:oid:1.3.6.1.4.1.25178.1.2.10',
:2. A <code>metadata/saml20-idp-hosted.php</code> fájlba szerkesszük be az alábbi kódrészlet értelemszerűen módosított változatát. Az <code>'auth' => 'example-ldap',</code> sor alatt kezdjük. Fontos, hogy egyúttal a config.php <code>authproc.idp</code> részét kikommentezzük, nehogy az ottani sorszámokkal megadott default feladatok bekavarjanak.

'AttributeNameFormat' => 'urn:oasis:names:tc:SAML:2.0:attrname-format:uri',
'userid.attribute' => 'uid', // Itt adjuk meg, hogy mely, az LDAPból származó attribútum alapján fogja az IdP kiszámítani az eduPersonTargetedID-t
'authproc' => array(
10 => array(
'class' => 'core:AttributeMap',
'uid' => 'eduPersonPrincipalName'
//Itt az 'uid' az az attribútum az LDAP-ban, amely a felhasználó azonosítóját tartalmazza, mert ebből képezzük az eduPersonPrincipalName-t.
),
20 => array(
'class' => 'core:AttributeAdd',
'schacHomeOrganizationType' => array('urn:schac:homeOrganizationType:hu:university')
//Kötelező statikus attribútum az [[HREFAttributeSpec#schacHomeOrganizationType|intézmény jellegének]] megfelelően
),
30 => array(
'class' => 'core:AttributeAlter',
'subject' => 'eduPersonPrincipalName',
'pattern' => '/^.*$/',
'replacement' => '${0}@intezmenydomain.hu',
// Itt adjuk hozzá az intézményi scope-ot az eduPersonPrincipalName már meglévő értékéhez
),
40 => array(
'class' => 'core:AttributeAlter',
'subject' => 'eduPersonAffiliation',
'pattern' => '/^.*$/',
'replacement' => '${0}@intezmenydomain.hu',
// Itt adjuk hozzá az intézményi scope-ot az eduPersonAffiliation már meglévő értékéhez
),
50 => array(
'class' => 'core:AttributeMap',
'eduPersonAffiliation' => 'eduPersonScopedAffiliation'
// Az LDAP-ból eduPersonAffiliation-ként érkező attribútumból föderációs elvárásoknak megfelelően eduPersonScopedAffiliationt készítünk
),
60 => array(
'class' => 'core:AttributeAdd',
'eduPersonScopedAffiliation' => array('member@intezmenydomain.hu')
// Az eduPersonScopedAffiliation-ben tesztelés céljából kiadhatjuk member értéket, így ha LDAP-ból nem jön érték, akkor is láthatjuk, hogy működik az attribútum kiadás
),
61 => array(
'class' => 'core:TargetedID',
'nameId' => TRUE,
),
// Itt állítjuk be, hogy az IdP előállítson és kiadhasson állandóazonosítóként eduPersonTargetedID-t, ha kérik
70 => array('class' => 'core:AttributeMap',
'name2oid'
// Az LDAP-os attribútum nevekből itt kreálunk szabványos urn:oid formátumúakat
),
),
'simplesaml.nameidattribute' => 'eduPersonPrincipalName',
'attributeencodings' => array(
'urn:oid:1.3.6.1.4.1.5923.1.1.1.10' => 'raw',
),
'sign.logout' => true

: További tudnivalók a [[Resource_Registry|Resource Registry-ről]], ill. a [[HREFAttributeSpec|Föderációs attribútum specifikációról]].

* Ha minden rendben ment, akkor a Resource Registry-ben regisztrált IdP-hez tartozó adminisztrációs jogok átkerülnek az IdP technikai gazdájához, s ezzel a folyamat kész is.

===SP===
Amennyiben IdP-t is beállítottunk, és be is tudunk lépni a Resource Registry-be, úgy nincs más dolgunk, mint az RR-ben új SP-t hozzáadni a föderációhoz, amely a megfelelő átfutási idő után a föderáció minden tagjánál látható is lesz.

Ellenkező esetben (nincs IdP, és nem is tervezünk beállítani), akkor az IdP hozzáadásánál részletezett pontokon kell végig menni a metaadat betöltéséig, s a továbbiakat az említett e-mail címen megbeszélni.

====Attribútum scopeok használata====
A HREF föderáció IdP-i ún. scopeolt attribútumokat is használnak. Ez a scopeolás azt jelenti, hogy minden egyes IdP csak a saját scopejában ad ki attribútumokat, és a Shibboleth SP-k ezt ellenőrzik is. A scope és az attribútum valódi értéke egy '@' karakterrel kerül elválasztásra (ilyen attribútumok jelenleg: [[HREFAttributeSpec#eduPersonAffiliation|eduPersonScopedAffiliation]] illetve [[HREFAttributeSpec#eduPersonPrincipalName|eduPersonPrincipalName]]).

A SimpleSAMLphp alapértelmezett telepítése nem szűri a hibásan scopeolt értékeket. Kiegészítő modulként szűrésre használható az NIIF által fejlesztett [https://repo.niif.hu/gitweb/gitweb.cgi?p=simplesamlphp-attributescope.git;a=summary attributescope modul], ami reményeink szerint rövid távon a hivatalos SimpleSAMLphp kiadás része lehet.

: Az <code>attributescope</code> modul használata esetén a következőképp kell módosítani a <code>config/config-metarefresh.php</code> fájlt:

'template' => array(
'authproc' => array(
51 => array('class' => 'core:AttributeMap', 'oid2name'),
55 => array('class' => 'attributescope:FilterAttributes'),
),
'scopedattributes' => array('eduPersonScopedAffiliation', 'eduPersonPrincipalName'),
),

[[Category: AAI]] [[Category: simpleSAMLphp]] [[Category: HOWTO]]