https://wiki.niif.hu/api.php?action=feedcontributions&feedformat=atom&user=Matteo%28AT%29niif.huPro-M - Oktatási Üzletág - Wiki - Szerkesztő közreműködései [hu]2026-11-07T22:09:46ZSzerkesztő közreműködéseiMediaWiki 1.30.0https://wiki.niif.hu/index.php?title=NIIFSchema&diff=5058NIIFSchema2025-01-29T11:03:19Z<p>Matteo(AT)niif.hu: /* Attributes of niifAuthenticatedObject */</p>
<hr />
<div>= NIIF LDAP Schema =<br />
<br />
== Versioning ==<br />
Current version: '''2.3'''<br />
<br />
=== Change log ===<br />
* changes in 2.3<br />
** extend [[#niifAuthenticatedObject]] with [[#niifValidityStart]] and [[#niifExpireTime]] attributes<br />
<br />
* changes since 2.1b2<br />
** add [[#niifAuthenticatedObject]] and its [[#niifEduroamPassword]]<br />
<br />
* changes since 2.1b1<br />
** updated schema files<br />
<br />
* changes since 2.0b5<br />
** add [[#niifCertificateSHA1Fingerprint]]<br />
** add [[#niifEduPersonArchiveCourse]]<br />
** add [[#niifEduPersonHeldCourse]]<br />
** mark [[#niifCertificateSubjectDN]] as obsolete<br />
<br />
= Schema files =<br />
* Sun DS format: [[Kép:99-niifschema.ldif|NIIF-SunDS.schema]]<br />
* OpenLDAP format: [[Kép:NIIF-OpenLDAP.schema|NIIF-OpenLDAP.schema]]<br />
* [[Kép:niifAuthentication.ldif]]<br />
<br />
= ObjectClasses =<br />
== niifPerson ==<br />
{{LDAPObjectClassDef|name=niifPerson<br />
|parent=inetOrgPerson<br />
|OID=1.3.6.1.4.1.11914.0.0.0<br />
|optional=<br />
* [[#niifPersonPrefix]]<br />
* [[#niifPersonDegree]]<br />
* [[#niifPersonPosition]]<br />
* <strike>[[#niifPrefix]]</strike><br />
* <strike>[[#niifStatus]]</strike><br />
* <strike>[[#niifTitle]]</strike><br />
* <strike>[[#niifCertificateSubjectDN]]</strike><br />
* [[#niifPersonDateOfBirth]]<br />
* [[#niifPersonActivityStatus]]<br />
* [[#niifActiveMemberOf]]<br />
* [[#niifPersonJoinDate]]<br />
* [[#niifPersonQuitDate]]<br />
* [[#niifPersonOrgID]]<br />
* [[#niifPersonCityOfBirth]]<br />
* [[#niifPersonCountryOfBirth]]<br />
* [[#niifPersonMothersName]]<br />
* [[#niifPersonIdentityNumber]]<br />
* [[#niifPersonResidentalAddress]]<br />
* [[#niifUniqueId]]<br />
}}<br />
<br />
== niifEduPerson ==<br />
{{LDAPObjectClassDef|name=niifEduPerson<br />
|parent=eduPerson<br />
|OID=1.3.6.1.4.1.11914.0.0.9<br />
|optional=<br />
* [[#niifEduPersonFaculty]]<br />
* [[#niifEduPersonFacultyDN]]<br />
* [[#niifEduPersonMajor]]<br />
* [[#niifEduPersonAcademicYear]]<br />
* [[#niifEduPersonAttendedCourse]]<br />
* [[#niifEduPersonArchiveCourse]]<br />
* [[#niifEduPersonHeldCourse]]<br />
}}<br />
<br />
== niifAuthenticatedObject ==<br />
{{LDAPObjectClassDef<br />
|name=niifAuthenticatedObject<br />
|OID=1.3.6.1.4.1.11914.0.0.10<br />
|description=An object having extra passwords or time-limited validity<br />
|optional=<br />
* [[#niifEduroamPassword]]<br />
* [[#niifValidityStart]]<br />
* [[#niifExpireTime]]<br />
}}<br />
<br />
= Defined attributes =<br />
<br />
== Attributes of niifPerson ==<br />
<br />
=== niifUniqueID ===<br />
{{LDAPAttributeDef<br />
|name= niifUniqueID<br />
|OID= 1.3.6.1.4.1.11914.0.1.3<br />
|numofvalues= single<br />
|availability= organizational<br />
|description= Unique ID of a person.<br />
<br />
|semantics=<unique-local-ID>@<organization-domain><br />
The <organization-domain> part equals to the main internet domain of the organization (i.e.: 'sztaki.hu').<br />
The <unique-local-ID> part is a sequence of letters (case insensitive) and numbers. It can be freely chosen by the home organization provided that the ID is unique within the scope of the organization and one and only one ID is assigned to every single person.<br />
<br />
|notes=It is up to the local policy to define how the <unique-local-ID> is generated and how long does it represent a user. However, assigning the same ID to another person (after the first person entry has been removed from the directory) is deprecated.<br />
It is recommended to import the user ID into <unique-local-ID> from a comprehensive user database (like Neptun and ETR at Hungarian Universities) if such a database exists.<br />
<br />
|example=gmx3f0@bme.hu<br />
}}<br />
<br />
=== niifPrefix ===<br />
{{LDAPAttributeDef<br />
|name= niifPrefix<br />
|OID= 1.3.6.1.4.1.11914.0.1.0<br />
|description= '''OBSOLETED''', use [[#niifPersonPrefix]]<br />
}}<br />
<br />
=== niifPersonPrefix ===<br />
{{LDAPAttributeDef<br />
|name= niifPersonPrefix<br />
|OID= 1.3.6.1.4.1.11914.0.1.165<br />
|description= Prefix of the person's name<br />
|semantics= A name should have only one prefix, multiple entitlements may be listed one after the other in the same value<br />
|numofvalues=single<br />
|availability=public<br />
|example=Prof. Dr.<br />
|useinfederation=[[HREFAttributeSpec#schacPersonalTitle]]<br />
}}<br />
<br />
=== niifStatus ===<br />
{{LDAPAttributeDef<br />
|name= niifStatus<br />
|OID= 1.3.6.1.4.1.11914.0.1.1<br />
|description= '''OBSOLETED''', use [[#niifPersonDegree]]<br />
}}<br />
<br />
=== niifPersonDegree ===<br />
{{LDAPAttributeDef<br />
|name= niifPersonDegree<br />
|OID= 1.3.6.1.4.1.11914.0.1.166<br />
|description= Scientific degree of the person<br />
|semantics= Only the highest degree should be stored. <br />
|notes= May be specified in multiple languages by the use of language tags<br />
|availability= public<br />
|example= kandidátus<br />
}}<br />
<br />
=== niifTitle===<br />
{{LDAPAttributeDef<br />
|name= niifTitle<br />
|OID= 1.3.6.1.4.1.11914.0.1.2<br />
|description= '''OBSOLETED''', use [[#niifPersonPosition]]<br />
}}<br />
<br />
=== niifPersonPosition ===<br />
{{LDAPAttributeDef<br />
|name= niifPersonPosition<br />
|OID= 1.3.6.1.4.1.11914.0.1.167<br />
|description= Position of the person within a department or organization<br />
|example= dékán<br />
|notes= May be specified in multiple languages by the use of language tags. <br />
When a person is in relationship with multiple departments or organizations, no exact match between a status and a particular organization can be defined within an entry. To solve this situation, some relation-representing entry may be used, eg. use of the schacPersonalPosition attribute, which defines an URN format for this purpose.<br />
}}<br />
<br />
=== niifCertificateSubjectDN ===<br />
{{LDAPAttributeDef<br />
|name= niifCertificateSubjectDN<br />
|OID= 1.3.6.1.4.1.11914.0.1.151<br />
|description= Subject DN of the certificate of the entity. This attribute is '''OBSOLETED''', use [[#niifCertificateSHA1Fingerprint]] instead.<br />
|semantics= The value must describe a DN which identifies the certificate subject of the entity. <br />
|values= Unlike standard LDAP DN, this value must contain the same number of spaces between DN elements as it is tied in the certificate.<br />
|example= cn=Bajnok Kristóf, ou=ITAK, o=Sztaki, c=HU<br />
|notes= Although it is possible for an entity to have more than one certificates at the same time, this kind of usage is deprecated.<br />
When used, this attribute must be indexed.<br />
This attribute may be applied to any kind of entities that can be certified with an X.509 certificate, including persons, servers, network nodes, etc.<br />
}}<br />
<br />
=== niifCertificateSHA1Fingerprint ===<br />
{{LDAPAttributeDef<br />
|name= niifCertificateSHA1Fingerprint<br />
|OID= 1.3.6.1.4.1.11914.0.1.173<br />
|description= Fingerprint of a certificate which belongs to the subject.<br />
|semantics= Multiple fingerprints may be stored in this attribute, if a subject has multiple valid certificates. This attribute uses case insensitive matching rule.<br />
|values= SHA-1 hash in hexadecimal string format without any separator characters.<br />
|example= fe6d5980e2c02912024054cec114ee53ebeb2e6c<br />
|numofvalues= multi<br />
|syntax= IA5String<br />
}}<br />
<br />
=== niifPersonDateOfBirth ===<br />
{{LDAPAttributeDef<br />
|name= niifPersonDateOfBirth<br />
|OID= 1.3.6.1.4.1.11914.0.1.152<br />
|values= YYYYMMDD date format according to RFC 3339 'full-date' format<br />
|numofvalues= single<br />
|description= Date of birth of the person<br />
|availability= confidential<br />
|useinfederation=[[HREFAttributeSpec#schacDateOfBirth]],[[HREFAttributeSpec#schacYearOfBirth]]<br />
|notes= It's recommended to use the schacDateOfBirth attribute instead, as it has the same syntax and semantics.<br />
|example= 19800316<br />
}}<br />
<br />
=== niifPersonActivityStatus ===<br />
{{LDAPAttributeDef<br />
|name= niifPersonActivityStatus<br />
|OID= 1.3.6.1.4.1.11914.0.1.153<br />
|description= Activity status<br />
|semantics= Describes whether the person is an active employee/student of the home organization<br />
|numofvalues= single<br />
|values= One of the term 'active' or 'inactive'<br />
|availability= organizational<br />
}}<br />
<br />
=== niifActiveMemberOf ===<br />
{{LDAPAttributeDef<br />
|name= niifActiveMemberOf<br />
|OID= 1.3.6.1.4.1.11914.0.1.168<br />
|description= DN of a group entry to which the entity currently belongs.<br />
|notes= As a special case, this attribute may be used to keep a record of a student's active major(s), but it's recommended to use [[#niifEduPersonMajor]] instead.<br />
}}<br />
<br />
=== niifPersonJoinDate ===<br />
{{LDAPAttributeDef<br />
|name= niifPersonJoinDate<br />
|OID= 1.3.6.1.4.1.11914.0.1.169<br />
|description= Date of joining to the organization<br />
|semantics= Date of joining to the organization. For students it may represent the first date of enrollment.<br />
|syntax= Integer<br />
|values= YYYYMMDD date format according to RFC 3339 'full-date' format<br />
|numofvalues= single<br />
|availability= organizational<br />
|example= 19980901<br />
}}<br />
<br />
=== niifPersonQuitDate ===<br />
{{LDAPAttributeDef<br />
|name= niifPersonQuitDate<br />
|OID= 1.3.6.1.4.1.11914.0.1.170<br />
|syntax= Integer<br />
|description= Date of leaving the organization<br />
|values= YYYYMMDD date format according to RFC 3339 'full-date' format.<br />
|numofvalues= single<br />
|notes= If this date is in the past, niifPersonActivityStatus must be 'inactive', and the user should be locked out.<br />
|availability= organizational<br />
|example= 20030627<br />
}}<br />
<br />
=== niifPersonOrgID ===<br />
{{LDAPAttributeDef<br />
|name= niifPersonOrgID<br />
|OID= 1.3.6.1.4.1.11914.0.1.154<br />
|description= Organizational ID of a person<br />
|semantics= ID of a person in a comprehensive organizational user database if such a database exists. This ID shall be unique within the organization.<br />
It is strongly recommended to use the <unique-local-ID> part of the niifUniqueID as a value for niifPersonOrgID.<br />
|numofvalues= single<br />
|values= For integration with niifUniqueID, value must not contain the '@' mark.<br />
|notes= It is recommended to import the user ID into <unique-local-ID> from a comprehensive user database (like Neptun and ETR at Hungarian Universities) if such a database exists.<br />
This attribute is for facilitating the use of user ID's in intra-organizational applications in cases when standard uid attribute can not be applied for some reason.<br />
}}<br />
<br />
=== niifPersonCityOfBirth ===<br />
{{LDAPAttributeDef<br />
|name= niifPersonCityOfBirth<br />
|OID= 1.3.6.1.4.1.11914.0.1.155<br />
|description= The city or settlement where the person was born<br />
|semantics= Name of the city or settlement where the person was born. If the place of birth is outside the borders of Hungary, the name may be given in Hungarian.<br />
|numofvalues= single<br />
|availability= confidential<br />
|example= Kolozsvár<br />
|notes= It's recommended to use the schacPlaceOfBirth attribute instead.<br />
}}<br />
<br />
=== niifPersonCountryOfBirth ===<br />
{{LDAPAttributeDef<br />
|name= niifPersonCountryOfBirth<br />
|OID= 1.3.6.1.4.1.11914.0.1.156<br />
|description= The country where the person was born<br />
|semantics= Name of the country where the person was born. If the place of birth is outside the borders of Hungary, the name must be given in Hungarian.<br />
|numofvalues= single<br />
|availability= confidential<br />
|example= Románia<br />
|notes= It's recommended to use the schacPlaceOfBirth attribute instead.<br />
}}<br />
<br />
=== niifPersonMothersName ===<br />
{{LDAPAttributeDef<br />
|name= niifPersonMothersName<br />
|OID= 1.3.6.1.4.1.11914.0.1.157<br />
|description= Name of the mother of the person<br />
|semantics= Maiden name of the mother of the person.<br />
|numofvalues= single<br />
|availability= confidential<br />
}}<br />
<br />
=== niifPersonIdentityNumber ===<br />
{{LDAPAttributeDef<br />
|name= niifPersonIdentityNumber<br />
|OID= 1.3.6.1.4.1.11914.0.1.158<br />
|description= Number of the Identity Card<br />
|semantics= Number of the Identity Card of the person or Passport Number for those who are non-Hungarian citizens<br />
|numofvalues= single<br />
|availability= confidential<br />
|example= 329906AA<br />
|notes= Every Hungarian citizen by the age of 14 receives an Identity Card. For foreigners, Passport Number should be used. This number should never be made public.<br />
Format of the code may vary as numbering scheme has been changed in the recent years.<br />
It's recommended to use the URN-formatted schacPersonalUniqueID attribute instead.<br />
}}<br />
<br />
=== niifPersonResidentialAddress ===<br />
{{LDAPAttributeDef<br />
|name= niifPersonResidentialAddress<br />
|OID= 1.3.6.1.4.1.11914.0.1.159<br />
|description= Home address of the person<br />
|semantics= Permanent home address of the person. The postal code, the name of the city, street and apartment number shall be included.<br />
|numofvalues= single<br />
|availability= confidential<br />
|example= 1234 Budapest, Harap u. 3.<br />
}}<br />
<br />
== Attributes of niifEduPerson ==<br />
<br />
=== niifEduPersonFaculty ===<br />
{{LDAPAttributeDef<br />
|name= niifEduPersonFaculty<br />
|OID= 1.3.6.1.4.1.11914.0.1.160<br />
|description= Faculty of the person<br />
|semantics= Full name of the faculty the person belongs to. List of accredited faculties can be found here (in institutional order): http://www.mab.hu/doc/akkrint040106.doc (in Hungarian)<br />
|availability= organizational<br />
|example= Villamosmérnöki és Informatikai Kar<br />
|notes= Local directory policy may mark this attribute as mandatory.<br />
It is recommended if an LDAP entry has niifEduPersonFaculty attribute set, it should also have an eduPersonFacultyDN attribute pointing to the entry of the faculty.<br />
}}<br />
<br />
=== niifEduPersonFacultyDN ===<br />
{{LDAPAttributeDef|name=niifEduPersonFacultyDN<br />
|OID=1.3.6.1.4.1.11914.0.1.161<br />
|description= Pointer to the faculty of the person<br />
|semantics= DN of the faculty the person belongs to. It is recommended that faculties are placed under the ou=Units branch under the root suffix of the organization.<br />
|syntax= DN<br />
|availability= organizational<br />
|example= ou=VIK,ou=Units,o=BME,c=HU<br />
|notes= This attribute has a meaning only if the person participates in education (eduPersonAffiliation=student or faculty)<br />
Local directory policy may mark this attribute as mandatory.<br />
}}<br />
<br />
=== niifEduPersonMajor ===<br />
{{LDAPAttributeDef<br />
|name= niifEduPersonMajor<br />
|OID= 1.3.6.1.4.1.11914.0.1.162<br />
|description= Major(s) of the student<br />
|semantics= Majors are defined at http://www.mab.hu/listak2.html (in Hungarian)<br />
|availability= organizational<br />
|example= műszaki informatikai<br />
|notes= This attribute has a meaning only if the person is a student (eduPersonAffiliation=student)<br />
Local directory policy may mark this attribute as mandatory for students.<br />
}}<br />
<br />
=== niifEduPersonAcademicYear ===<br />
{{LDAPAttributeDef<br />
|name= niifEduPersonAcademicYear<br />
|OID= 1.3.6.1.4.1.11914.0.1.163<br />
|description= Current academic year of the student. This attribute is '''DEPRECATED'''.<br />
|values= Integer numbers from 1 to the number of years required for graduation<br />
|availability= confidential<br />
|notes= This attribute has a meaning only if the person is a student (eduPersonAffiliation = student)<br />
It is unclear that if a student has more than one majors, the number of which should be stored in this attribute and how a connection between major and year can be set up. As the concept of academic year gets lesser important (and not well-defined), depending on the value of this attribute is deprecated.<br />
}}<br />
<br />
=== niifEduPersonAttendedCourse ===<br />
{{LDAPAttributeDef|name=niifEduPersonAttendedCourse<br />
|OID=1.3.6.1.4.1.11914.0.1.164<br />
|description= Code of the courses the student attends to in the current semester<br />
|values= Course codes defined in the student calendar.<br />
|example=<br />
* BMEVIMM1234<br />
* BMEVIMA3214<br />
|notes= This attribute has a meaning only if the person is a student (eduPersonAffiliation = student), and the values should be taken from the student calendar.<br />
}}<br />
<br />
=== niifEduPersonArchiveCourse ===<br />
{{LDAPAttributeDef<br />
|name= niifEduPersonArchiveCourse<br />
|OID= 1.3.6.1.4.1.11914.0.1.171<br />
|description= Code of the courses the student have ever attended<br />
|values= Course codes defined in the student calendar.<br />
|notes= This attribute has a meaning only if the person is a student (eduPersonAffiliation = student), and the values should be taken from the student calendar.<br />
}}<br />
<br />
=== niifEduPersonHeldCourse ===<br />
{{LDAPAttributeDef<br />
|name= niifEduPersonHeldCourse<br />
|OID= 1.3.6.1.4.1.11914.0.1.172<br />
|description= Code of the courses which are associated with the faculty member or professor in the current semester.<br />
|values= Course codes defined in the student calendar.<br />
|notes= This attribute has a meaning only if the person is a faculty (eduPersonAffiliation = faculty), the values should be taken from the student calendar.<br />
For authorization decision reasons, courses from previous semester(s) might appear in this attribute if the local policy needs these additional values.<br />
}}<br />
<br />
== Attributes of niifAuthenticatedObject ==<br />
<br />
=== niifEduroamPassword ===<br />
{{LDAPAttributeDef<br />
|name=niifEduroamPassword<br />
|OID=1.3.6.1.4.1.11914.0.1.4<br />
|description=Clear text password for eduroam authentication<br />
|notes=SUP userPassword<br />
|syntax=Octet String<br />
}}<br />
<br />
=== niifValidityStart ===<br />
{{LDAPAttributeDef<br />
|name=niifValidityStart<br />
|OID=1.3.6.1.4.1.11914.0.1.5<br />
|numofvalues= single<br />
|description=When to enable this account<br />
|syntax=Generalized Time<br />
}}<br />
<br />
=== niifExpireTime ===<br />
{{LDAPAttributeDef<br />
|name=niifExpireTime<br />
|OID=1.3.6.1.4.1.11914.0.1.6<br />
|numofvalues= single<br />
|description=When to disable this account<br />
|syntax=Generalized Time<br />
}}<br />
<br />
=== niifEduroamVLANID ===<br />
{{LDAPAttributeDef<br />
|name=niifEduroamVLANID<br />
|OID=1.3.6.1.4.1.11914.0.1.7<br />
|numofvalues= single<br />
|description=VLAN ID for eduroam<br />
|syntax=Numeric String<br />
}}</div>Matteo(AT)niif.huhttps://wiki.niif.hu/index.php?title=Harica&diff=5054Harica2025-01-22T15:28:02Z<p>Matteo(AT)niif.hu: /* Magyarázat */</p>
<hr />
<div>= Harica =<br />
= Egy gyakori probléma =<br />
<br />
A HARICA rendszerében a felhasználói fiók létrehozása nem sikerül, mert az Identity Provider (IdP) nem biztosítja a szükséges attribútumokat a Service Provider (SP) részére. A hibaüzenet a következő:<br />
<br />
"Your Identity Provider (IdP) does not provide HARICA with the appropriate info (attributes) for your account. Please contact your IdP to fix this issue."<br />
<br />
A megoldáshoz szükséges attribútumok listája a következő:<br />
<br />
<br />
{| class="wikitable"<br />
! Attribútum || OID || Kötelező<br />
|-<br />
| eduPersonTargetedID || urn:oid:1.3.6.1.4.1.5923.1.1.1.10 || Igen<br />
|-<br />
| givenName || urn:oid:2.5.4.42 || Igen<br />
|-<br />
| mail || urn:oid:0.9.2342.19200300.100.1.3 || Igen<br />
|-<br />
| surname || urn:oid:2.5.4.4 || Igen<br />
|-<br />
| displayName || urn:oid:2.16.840.1.113730.3.1.241 || Nem<br />
|-<br />
| eduPersonEntitlement || urn:oid:1.3.6.1.4.1.5923.1.1.1.7 || Nem<br />
|-<br />
| eduPersonOrgUnitDN || urn:oid:1.3.6.1.4.1.5923.1.1.1.3 || Nem<br />
|-<br />
| eduPersonPrimaryAffiliation || urn:oid:1.3.6.1.4.1.5923.1.1.1.5 || Nem<br />
|}<br />
<br />
<br />
== Megoldás ==<br />
<br />
Az attribútumok kezelésére a [[https://github.com/NIIF/simplesamlphp-module-attributelimit| NIIF SimpleSAMLphp AttributeLimit ]] modul került használatra. Az alábbi konfiguráció az authproc szekcióban biztosítja, hogy a szükséges attribútumok átadásra kerüljenek a HARICA SP-jeinek.<br />
<br />
=== Konfiguráció ===<br />
<br />
Az alábbi beállításokat add hozzá ahhoz a filehoz ahol az authproc történik, pl saml20-idp-hosted.php:<br />
<br />
<br />
10 => [<br />
'class' => 'attributelimit:AttributeLimit',<br />
'https://www.harica.gr/simplesamlphp/module.php/saml/sp/metadata.php/pki-grnet-sp' => [<br />
'urn:oid:0.9.2342.19200300.100.1.3', // mail<br />
'urn:oid:1.3.6.1.4.1.5923.1.1.1.6', // eduPersonPrincipalName<br />
'urn:oid:2.5.4.42', // givenName<br />
'urn:oid:2.5.4.4', // surname (sn)<br />
'urn:oid:2.16.840.1.113730.3.1.241', // displayName<br />
'urn:oid:1.3.6.1.4.1.25178.1.2.9', // schacHomeOrganization<br />
'urn:oid:1.3.6.1.4.1.5923.1.1.1.10', // eduPersonTargetedId<br />
],<br />
'https://cm-stg.harica.gr/simplesamlphp/module.php/saml/sp/metadata.php/harica-cm-stg-sp' => [<br />
'urn:oid:0.9.2342.19200300.100.1.3', // mail<br />
'urn:oid:1.3.6.1.4.1.5923.1.1.1.6', // eduPersonPrincipalName<br />
'urn:oid:2.5.4.42', // givenName<br />
'urn:oid:2.5.4.4', // surname (sn)<br />
'urn:oid:2.16.840.1.113730.3.1.241', // displayName<br />
'urn:oid:1.3.6.1.4.1.25178.1.2.9', // schacHomeOrganization<br />
'urn:oid:1.3.6.1.4.1.5923.1.1.1.10', // eduPersonTargetedId<br />
],<br />
],<br />
<br />
<br />
=== Magyarázat ===<br />
1. Az `authproc` szekcióban a `attributelimit` modul segítségével szabályozzuk, hogy mely attribútumok kerüljenek továbbításra az SP részére.<br />
<br />
2. Az egyes SP-khez tartozó attribútumokat külön definiáljuk az SP metaadat URL alapján.<br />
<br />
3. Az attribútumokat az OID alapján adjuk meg, például: <br />
- `urn:oid:0.9.2342.19200300.100.1.3` a **mail** attribútumot jelenti.<br />
<br />
== Ellenőrzés ==<br />
<br />
Jelentkezz be az IdP-n keresztül, és ellenőrizd, például saml tracer segítségével hogy átadásra kerülnek e a kötelező attribútumok.<br />
<br />
== Egyéb megoldás ==<br />
<br />
Amennyiben az idp-nk nem simplesamlphp vagy nem szeretnénk az attributelimit modult használni, más módon kell rábírni az IdP-t a kötelező attribútumok kiadására.</div>Matteo(AT)niif.huhttps://wiki.niif.hu/index.php?title=Harica&diff=5053Harica2025-01-22T15:27:08Z<p>Matteo(AT)niif.hu: Új oldal, tartalma: „= Harica = = Egy gyakori probléma = A HARICA rendszerében a felhasználói fiók létrehozása nem sikerül, mert az Identity Provider (IdP) nem biztosítja a szüks…”</p>
<hr />
<div>= Harica =<br />
= Egy gyakori probléma =<br />
<br />
A HARICA rendszerében a felhasználói fiók létrehozása nem sikerül, mert az Identity Provider (IdP) nem biztosítja a szükséges attribútumokat a Service Provider (SP) részére. A hibaüzenet a következő:<br />
<br />
"Your Identity Provider (IdP) does not provide HARICA with the appropriate info (attributes) for your account. Please contact your IdP to fix this issue."<br />
<br />
A megoldáshoz szükséges attribútumok listája a következő:<br />
<br />
<br />
{| class="wikitable"<br />
! Attribútum || OID || Kötelező<br />
|-<br />
| eduPersonTargetedID || urn:oid:1.3.6.1.4.1.5923.1.1.1.10 || Igen<br />
|-<br />
| givenName || urn:oid:2.5.4.42 || Igen<br />
|-<br />
| mail || urn:oid:0.9.2342.19200300.100.1.3 || Igen<br />
|-<br />
| surname || urn:oid:2.5.4.4 || Igen<br />
|-<br />
| displayName || urn:oid:2.16.840.1.113730.3.1.241 || Nem<br />
|-<br />
| eduPersonEntitlement || urn:oid:1.3.6.1.4.1.5923.1.1.1.7 || Nem<br />
|-<br />
| eduPersonOrgUnitDN || urn:oid:1.3.6.1.4.1.5923.1.1.1.3 || Nem<br />
|-<br />
| eduPersonPrimaryAffiliation || urn:oid:1.3.6.1.4.1.5923.1.1.1.5 || Nem<br />
|}<br />
<br />
<br />
== Megoldás ==<br />
<br />
Az attribútumok kezelésére a [[https://github.com/NIIF/simplesamlphp-module-attributelimit| NIIF SimpleSAMLphp AttributeLimit ]] modul került használatra. Az alábbi konfiguráció az authproc szekcióban biztosítja, hogy a szükséges attribútumok átadásra kerüljenek a HARICA SP-jeinek.<br />
<br />
=== Konfiguráció ===<br />
<br />
Az alábbi beállításokat add hozzá ahhoz a filehoz ahol az authproc történik, pl saml20-idp-hosted.php:<br />
<br />
<br />
10 => [<br />
'class' => 'attributelimit:AttributeLimit',<br />
'https://www.harica.gr/simplesamlphp/module.php/saml/sp/metadata.php/pki-grnet-sp' => [<br />
'urn:oid:0.9.2342.19200300.100.1.3', // mail<br />
'urn:oid:1.3.6.1.4.1.5923.1.1.1.6', // eduPersonPrincipalName<br />
'urn:oid:2.5.4.42', // givenName<br />
'urn:oid:2.5.4.4', // surname (sn)<br />
'urn:oid:2.16.840.1.113730.3.1.241', // displayName<br />
'urn:oid:1.3.6.1.4.1.25178.1.2.9', // schacHomeOrganization<br />
'urn:oid:1.3.6.1.4.1.5923.1.1.1.10', // eduPersonTargetedId<br />
],<br />
'https://cm-stg.harica.gr/simplesamlphp/module.php/saml/sp/metadata.php/harica-cm-stg-sp' => [<br />
'urn:oid:0.9.2342.19200300.100.1.3', // mail<br />
'urn:oid:1.3.6.1.4.1.5923.1.1.1.6', // eduPersonPrincipalName<br />
'urn:oid:2.5.4.42', // givenName<br />
'urn:oid:2.5.4.4', // surname (sn)<br />
'urn:oid:2.16.840.1.113730.3.1.241', // displayName<br />
'urn:oid:1.3.6.1.4.1.25178.1.2.9', // schacHomeOrganization<br />
'urn:oid:1.3.6.1.4.1.5923.1.1.1.10', // eduPersonTargetedId<br />
],<br />
],<br />
<br />
<br />
=== Magyarázat ===<br />
1. Az `authproc` szekcióban a `attributelimit` modul segítségével szabályozzuk, hogy mely attribútumok kerüljenek továbbításra az SP részére.<br />
2. Az egyes SP-khez tartozó attribútumokat külön definiáljuk az SP metaadat URL alapján.<br />
3. Az attribútumokat az OID alapján adjuk meg, például:<br />
- `urn:oid:0.9.2342.19200300.100.1.3` a **mail** attribútumot jelenti.<br />
<br />
== Ellenőrzés ==<br />
<br />
Jelentkezz be az IdP-n keresztül, és ellenőrizd, például saml tracer segítségével hogy átadásra kerülnek e a kötelező attribútumok.<br />
<br />
== Egyéb megoldás ==<br />
<br />
Amennyiben az idp-nk nem simplesamlphp vagy nem szeretnénk az attributelimit modult használni, más módon kell rábírni az IdP-t a kötelező attribútumok kiadására.</div>Matteo(AT)niif.huhttps://wiki.niif.hu/index.php?title=SSP2&diff=5041SSP22024-08-13T09:49:53Z<p>Matteo(AT)niif.hu: </p>
<hr />
<div>Az alábbi lapon megkíséreljük összefoglalni a legfontosabb lépéseket, melyek általános esetben elegendőek ahhoz, hogy működő SimpleSAMLphp (SSP) alkalmazást állítsunk üzembe.<br />
<br />
==Telepítés==<br />
Először is nagyvonalakban leírásra kerülnek az előkészületek ezt követően pedig maga a szoftver telepítése és beállítása.<br />
===Előkészületek===<br />
Ahhoz, hogy problémamentesen telepíthessük SSP alkalmazásunkat, az alábbi szoftverkomponenseknek kell működniük szerverünkön.<br />
* A következő könyvtárakat kiegészítőket telepíteni kell: <code>wget openssl unzip build-essential libldap2-dev libldap-common</code><br />
* PHP futtatására alkalmas webszerver<br />
* PHP környezet (>=8.0)<br />
* A következő PHP kiterjesztéseket engedélyezni kell<br />
** <code>posix, date , dom , fileinfo , filter , hash , json , libxml , mbstring , openssl , pcre , session , simplexml , sodium , SPL, zlib, ldap</code><br />
** Adatbázisból történő autentikáció esetén a megfelelő adatbázis-csatolót <code>mysqli, pdo, pdo_mysql</code><br />
** RADIUS szerveren keresztül történő autentikáció esetén: <code>radius</code><br />
* Információk, certek:<br />
** Bár a szoftver képes futni mariadb, és redis nélkül, ezek vagy hasonló megoldások használata éles környezetben ajánlott.<br />
*** Amennyiben ezeket szándékozunk használni database connection stringgel kell rendelkezni, redis elérhetőséggel és jelszóval rendelkezni.<br />
*** Az adatbázis szerkezetének kialakítása a használt moduloktól függ, a leggyakoribb a consent modul, ott van is dokumentáció az adatbázis inicializálásáról.<br />
<br />
** Szükséges 2 certpár, az egyik az apachenak a másik az SSP-nek ezutóbbi lehet önalárírt, és nem ajánlott ugyan azt használni.<br />
<br />
====Composer====<br />
<br />
A '''[https://getcomposer.org composer]''' PHP csomagkezelőt is telepíteni kell (akár forrásból, akár csomagból), hogy telepíteni lehessen a SimpleSAMLphp futásához szükséges PHP library-ket.<br />
<br />
===Telepítés===<br />
Elvégezhető composerrel például a <code>/var/</code> mappában:<br />
<br />
<code>composer create-project simplesamlphp/simplesamlphp:2.1.3</code><br />
<br />
Mappaszerkezet módosítása:<br />
<br />
mv simplesamlphp simplesamlphp-prod #Tetszőleges átnevezés<br />
mkdir -p simplesamlphp-prod/cert<br />
mkdir -p /var/simplesamlphp-prod/log/stats/<br />
mkdir -p /var/simplesamlphp-prod/mdx-cache/<br />
chown -R www-data:www-data /var/simplesamlphp-prod/mdx-cache/<br />
chown -R www-data:www-data /var/simplesamlphp-prod/log/<br />
chown -R www-data:www-data /var/simplesamlphp-prod/metadata/<br />
<br />
<br />
Composerrel a szükséges modulok telepítése (például LDAP, REDIS, vagy consent):<br />
<br />
composer require simplesamlphp/simplesamlphp-module-ldap:v2.3.2<br />
composer require predis/predis:2.2.2<br />
composer require simplesamlphp/simplesamlphp-module-consent:1.3.2<br />
<br />
Ezzel a telepítés, és a szükséges kiegészítők telepítése megtörtént.<br />
<br />
<br />
===Apache konfigurálás===<br />
<br />
A webről csak a <code>/var/simplesamlphp-prod/public</code> könyvtárat kell elérni. '''Tilos''' a teljes simplesamlphp könyvtárat a DocumentRoot alá tenni!<br />
<br />
Alias /simplesaml /var/simplesamlphp-prod/public<br />
<Directory /var/simplesamlphp-prod/public><br />
Require all granted<br />
</Directory><br />
===Simplesamlphp Alapbeállítások===<br />
====Konfigurációs fájlok====<br />
Amennyiben korábbi verziókat használtunk,<br />
<br />
jó megközelítés lehet diff segítségével ellenőrizni a különbségeket a korábbi <code>config.php</code> fileunk és a <code>config.php.dist</code> között.<br />
<br />
Ha ilyennel nem rendelkezünk akkor lehet rögtön alapul venni a <code>config.php.dist</code>-et és hasonlóképp a metadata-templates mappát.<br />
<br />
====Konfigurációs fájlok szerkesztése====<br />
<br />
=====Baseurlpath beállítása=====<br />
<br />
- Állítsuk be a baseurlpath opciót. Mutasson a telepítés URL-jére, ahol a SimpleSAMLphp elérhető:<br />
<br />
<code>'baseurlpath' => 'https://your.canonical.host.name/simplesaml/',</code><br />
<br />
=====Adminisztrációs adatok beállítása=====<br />
<br />
* '''Az "admin" felhasználó jelszavát, mellyel webes felületen keresztül be tud lépni a települő SSP-be.'''<br />
'auth.adminpassword' => 'ujjelszotirdide',<br />
* '''Titkosítási feladatokhoz szükséges "salt", azaz véletlenszerűen összeálló karaktersorozat'''<br />
'secretsalt' => 'randombytesinsertedhere',<br />
A karaktersorozat előállításában segíthet az alábbi parancs: <br />
tr -c -d '0123456789abcdefghijklmnopqrstuvwxyz' </dev/urandom | dd bs=32 count=1 2>/dev/null;echo<br />
* '''Elérhetőségeket, amely adatok bekerülnek majd a generált metaadatba'''<br />
'technicalcontact_name' => 'Gipsz Jakab',<br />
'technicalcontact_email' => 'jakab.gipsz@example.org',<br />
* '''Nyelv és időzóna adatok'''<br />
'language.default' => 'hu',<br />
'timezone' => 'Europe/Budapest',<br />
<br />
Az alapadatok megadása után mentsük és zárjuk be a '''config.php'''-t.<br />
<br />
=====Naplózás beállítása=====<br />
<br />
Alapértelmezetten a SimpleSAMLphp a '''syslog'''-ba irányítja a naplózást.<br />
<br />
Ha fájlba akarunk naplózni, akkor a megfelelő könyvtárhoz biztosítsunk írás jogot a webszerver felhasználónak, és ne felejtsünk el gondoskodni a naplófájlok rotálásáról!<br />
<br />
* Naplózási szint beállítása a '''config/config.php'''-ban<br />
'debug' => array(<br />
'saml' => true,<br />
'backtraces' => true,<br />
'validatexml' => false,<br />
),<br />
'logging.level' => SimpleSAML\Logger::DEBUG,<br />
'logging.handler' => 'file',<br />
<br />
<span style="color:red">A "SimpleSAML\Logger::DEBUG" a legrészletesebb naplózási beállítás, éles rendszernél nem ajánlott csak hiba keresés esetén.</span><br />
<br />
<br />
=====Modulok engedélyezése=====<br />
'module.enable' => [<br />
'exampleauth' => true,<br />
'saml' => false, //<br />
'core' => null, // Alapértelmezett érték<br />
'ldap' => true, // 2.x verzióban külön telepíteni és engedélyezni kell az ldap modult.<br />
'admin' => true, // Ezt szükséges engedélyezni hogy elérhessük az adminisztrációs felületet<br />
],<br />
<br />
=====Tanúsítvány készítése=====<br />
<br />
<span style="color:red">Nem ajánlott a SimpleSAMLphp-hoz és webszerverhez ugyanazt a tanúsítvány használni!</span><br />
<br />
* A SimpleSAMLphp alapértelmezetten a tanúsítványt a '''cert''' mappában keresi.<br />
<br />
* Az alábbi paranccsal egy 10 éves [[FedCerts | self-signed tanúsítvány]] generálunk a SimpleSMALphp számára.<br />
openssl req -new -newkey rsa:3072 -x509 -days 3652 -nodes -out cert/saml-example-org.crt -keyout cert/saml-example-org.key<br />
<br />
A fingerprint az alábbi módon kérdezhető le a legegyszerűbben<br />
openssl x509 -fingerprint -noout -in cert/saml-example-org.crt<br />
<br />
===Telepítés kész===<br />
Amennyiben elkészültünk a fenti lépésekkel, úgy a [https://service.example.org/simplesaml/admin https://service.example.org/simplesaml/admin] címen elérjük a telepített SSP-nk webes adminfelületét.<br />
<br />
==Identity Provider (IdP) beállítás==<br />
===Alapbeállítások===<br />
'''IdP''' engedélyezése: a '''config/config.php''' fájlban kell a saml20 idp-t "true"-re állítani.<br />
'enable.saml20-idp' => true,<br />
<br />
===Metaadat alapok===<br />
A beállítandó IdP alapvető paraméterei a <code>metadata/saml20-idp-hosted.php</code> fájlban állíthatók. Az alábbi kódrészlet egy minimális, de már működő példát mutat.<br />
<source lang="php"><br />
<?php<br />
$metadata['https://example.org/saml-idp'] = [<br />
/*<br />
* The hostname for this IdP. This makes it possible to run multiple<br />
* IdPs from the same configuration. '__DEFAULT__' means that this one<br />
* should be used by default.<br />
*/<br />
'host' => '__DEFAULT__',<br />
/*<br />
* The private key and certificate to use when signing responses.<br />
* These can be stored as files in the cert-directory or retrieved<br />
* from a database.<br />
*/<br />
'privatekey' => 'example.org.pem',<br />
'certificate' => 'example.org.crt',<br />
/*<br />
* The authentication source which should be used to authenticate the<br />
* user. This must match one of the entries in config/authsources.php.<br />
*/<br />
'auth' => 'example-ldap',<br />
];<br />
</source><br />
<br />
A fentebb hivatkozott certeket korábban létrehoztuk, de az example-ldap auth forrást még nem:<br />
<br />
===LDAP autentikáció===<br />
<br />
Javasolt az LDAP-ban egy olyan bejegyzést létrehozni az IdP számára, amely olvasni tudja a felhasználóknak a föderációban használt attribútumait. Az azonosítás alapértelmezett módon a felhasználó nevében történő újra bind-olással történik, így a jelszóhoz nem kell hozzáférést adni.<br />
<br />
Ahhoz, hogy megadhassuk az LDAP-hoz tartozó beállításokat, a <code>config/authsources.php</code> fájlt kell szerkesztenünk. Az alábbi kódrészletet elegendő beszúrni, és az egyes változóknak a helyi LDAP-nak megfelelő adatokat értékül adni.<br />
<source lang="php"><br />
'example-ldap' => [<br />
'ldap:Ldap',<br />
<br />
/**<br />
* The connection string for the LDAP-server.<br />
* You can add multiple by separating them with a space.<br />
*/<br />
'connection_string' => 'ldap.example.org',<br />
<br />
/**<br />
* Whether SSL/TLS should be used when contacting the LDAP server.<br />
* Possible values are 'ssl', 'tls' or 'none'<br />
*/<br />
'encryption' => 'ssl',<br />
<br />
/**<br />
* The LDAP version to use when interfacing the LDAP-server.<br />
* Defaults to 3<br />
*/<br />
'version' => 3,<br />
<br />
/**<br />
* Set to TRUE to enable LDAP debug level. Passed to the LDAP connector class.<br />
*<br />
* Default: FALSE<br />
* Required: No<br />
*/<br />
'debug' => false,<br />
<br />
/**<br />
* The LDAP-options to pass when setting up a connection<br />
* See [Symfony documentation]<br />
*/<br />
'options' => [<br />
/**<br />
* Set whether to follow referrals.<br />
* AD Controllers may require 0x00 to function.<br />
* Possible values are 0x00 (NEVER), 0x01 (SEARCHING),<br />
* 0x02 (FINDING) or 0x03 (ALWAYS).<br />
*/<br />
'referrals' => 0x00,<br />
<br />
'network_timeout' => 3,<br />
],<br />
<br />
/**<br />
* The connector to use.<br />
* Defaults to '\SimpleSAML\Module\ldap\Connector\Ldap', but can be set<br />
* to '\SimpleSAML\Module\ldap\Connector\ActiveDirectory' when<br />
* authenticating against Microsoft Active Directory. This will<br />
* provide you with more specific error messages.<br />
*/<br />
'connector' => '\SimpleSAML\Module\ldap\Connector\Ldap',<br />
<br />
/**<br />
* Which attributes should be retrieved from the LDAP server.<br />
* This can be an array of attribute names, or NULL, in which case<br />
* all attributes are fetched.<br />
*/<br />
'attributes' => null,<br />
<br />
/**<br />
* Which attributes should be base64 encoded after retrieval from<br />
* the LDAP server.<br />
*/<br />
'attributes.binary' => [<br />
'jpegPhoto',<br />
'objectGUID',<br />
'objectSid',<br />
'mS-DS-ConsistencyGuid'<br />
],<br />
<br />
/**<br />
* The pattern which should be used to create the user's DN given<br />
* the username. %username% in this pattern will be replaced with<br />
* the user's username.<br />
*<br />
* This option is not used if the search.enable option is set to TRUE.<br />
*/<br />
'dnpattern' => 'uid=%username%,ou=people,dc=example,dc=org',<br />
<br />
/**<br />
* As an alternative to specifying a pattern for the users DN, it is<br />
* possible to search for the username in a set of attributes. This is<br />
* enabled by this option.<br />
*/<br />
'search.enable' => false,<br />
<br />
/**<br />
* An array on DNs which will be used as a base for the search. In<br />
* case of multiple strings, they will be searched in the order given.<br />
*/<br />
'search.base' => [<br />
'ou=people,dc=example,dc=org',<br />
],<br />
<br />
/**<br />
* The scope of the search. Valid values are 'sub' and 'one' and<br />
* 'base', first one being the default if no value is set.<br />
*/<br />
'search.scope' => 'sub',<br />
<br />
/**<br />
* The attribute(s) the username should match against.<br />
*<br />
* This is an array with one or more attribute names. Any of the<br />
* attributes in the array may match the value the username.<br />
*/<br />
'search.attributes' => ['uid', 'mail'],<br />
<br />
/**<br />
* Additional filters that must match for the entire LDAP search to<br />
* be true.<br />
*<br />
* This should be a single string conforming to [RFC 1960]<br />
* and [RFC 2544]. The string is appended to the search attributes<br />
*/<br />
'search.filter' => '(&(objectClass=Person)(|(sn=Doe)(cn=John *)))',<br />
<br />
/**<br />
* The username & password where SimpleSAMLphp should bind to before<br />
* searching. If this is left NULL, no bind will be performed before<br />
* searching.<br />
*/<br />
'search.username' => null,<br />
'search.password' => null,<br />
],<br />
</source><br />
<br />
Megfelelő beállítások után a dinamikusan generált metadata a <code>/saml2/idp/metadata.php</code> útvonalon érhető el.<br />
<br />
===Tesztelés===<br />
A usereknek már nincs adminisztrációs felület azonban adminként még be lehet lépni amennyiben a core modulok között engedélyeztük az admin felületet: `https://service.example.org/simplesaml/admin/`<br />
<br />
A belépést követően a teszt fülre kattintva tesztelhetjük az authentikációs forrásokat:<br />
<br />
https://idp.niif.hu/simplesaml/module.php/admin/test<br />
<br />
===Kézi metadata csere, élesített SP-vel===<br />
<br />
Az IdP metadata valamint metadata eszközök megtalálhatók a következő oldalon (admin fiók szükséges): [https://idp.example/simplesaml/module.php/admin/federation](https://idp.example/simplesaml/module.php/admin/federation)<br />
<br />
Amennyiben az SP is simplesamlphp használhatjuk a fentihez hasonló elérési úton található SimplesSAMLphp SP Metadatát, ez php formátumban van, ellenkező esetben pl shibboleth sp meg kell keresnünk a metaadat XML-t majd a fentebb említett federation oldalon található XML →simplesamlphp metadata konvertert használni.<br />
<br />
Az így kapott php formátumú metaadatokat pedig be kell illeszteni az IdP-n a <code>metadata/saml20-sp-remote.php</code> fileba a következő példához hasonlóképp:<br />
<br />
<source lang="php"><br />
<?php<br />
<br />
$metadata['https://sp.example.org/simplesaml/module.php/saml/sp/metadata.php/default-sp'] = [<br />
'AssertionConsumerService' => 'https://sp.example.org/simplesaml/module.php/saml/sp/saml2-acs.php/default-sp',<br />
'SingleLogoutService' => 'https://sp.example.org/simplesaml/module.php/saml/sp/saml2-logout.php/default-sp',<br />
];<br />
</source><br />
<br />
A másik (SP) oldalon amennyiben szintén simplesamlphp van, az idp metaadatokat hasonlóképp hasonlóképp érjük el majd illesszük be a metadata/saml20-idp-remote.php<br />
fileba. <br />
<br />
<br />
<source lang="php"><br />
<?php<br />
$metadata['https://example.org/saml-idp'] = [<br />
'SingleSignOnService' => 'https://example.org/simplesaml/saml2/idp/SSOService.php',<br />
'SingleLogoutService' => 'https://example.org/simplesaml/saml2/idp/SingleLogoutService.php',<br />
'certificate' => 'example.pem',<br />
];<br />
<br />
</source><br />
<br />
A certet a config php-ban beállított certdir-ben keresi (alapértelmezetten /cert)<br />
Amennyiben más SP-t használunk az idp XML metadatájára lesz szükség amely szintén föderáció fül alatt érhető el ([https://idp.example/simplesaml/module.php/admin/federation](https://idp.niif.hu/simplesaml/module.php/admin/federation)), és az SPn-nek releváns dokumentációt kell követni.<br />
<br />
==Service Provider (SP) beállítás==<br />
===Alapbeállítások===<br />
<br />
A telepített alkalmazásunk által kezelt SP-ket a '''config/authsources.php''' fájlban tudjuk beállítani. <br />
A SimpleSAMLphp a tanúsítvány fájlokat a korábban létrehozott '''cert''' mappában fogja keresni, a fájlokat elég relatív elérési úttal megadni.<br />
<br />
<source lang="php"><br />
<?php<br />
$config = [<br />
<br />
/* This is the name of this authentication source, and will be used to access it later. */<br />
'default-sp' => [<br />
'saml:SP',<br />
'entityID' => 'https://myapp.example.org/',<br />
'privatekey' => 'saml.pem',<br />
'certificate' => 'saml.crt',<br />
'idp' => 'https://example.org/saml-idp', //Alapértelmezett IdP beállítása<br />
],<br />
<br />
];<br />
<br />
</source><br />
<br />
<br />
===Tesztelés===<br />
<br />
A fent elvégzett alapbeállítások után már tudjuk tesztelni a, hogy a felépített IdP - SP kapcsolat működik-e.<br />
<br />
SP oldalon nyissuk meg a '''admin''' teszt felületet:<br />
<br />
https://idp.niif.hu/simplesaml/module.php/admin/test<br />
<br />
Itt kattintsunk a default SP-re<br />
<br />
==HREF-integráció==<br />
<br />
===Metadata beállítása (IdP és SP is)===<br />
Javasolt [[MDX | dinamikus metaadatforrást (MDX)]] használni, opcionálisan kiegészítve statikus állományokkal. Részletes leírás itt: [[SimpleSAMLMixedMetadata]]<br />
<br />
===IdP===<br />
Amennyiben van SSP alapú IdP-nk, melyet szeretnénk a föderáció részévé tenni, úgy a teendők a következők.<br />
* (Az adminisztratív teendőktől itt most eltekintünk, a csatlakozás folyamata [[HREFJoin|itt van leírva]])<br />
* Kell küldeni egy levelet a [mailto:info@eduid.hu info@eduid.hu] címre, benne néhány mondat mellett az IdP metaadatának URL-jével (https://example/org/simplesaml/module.php/saml/idp/metadata)<br />
* Ha minden rendben megy, akkor az IdP bekerül a [[Resource_Registry]]-be, ezáltal a föderációs metaadatba is.<br />
* Az előző pontban leírt módon be kell állítani a központi metadata feldolgozását.<br />
* Amennyiben a föderációs metaadatban már szerepel a mi IdP-nk is, úgy a föderáció valamelyik, tesztelési célokat szolgáló SP-jénél ki is próbálhatjuk a bejelentkezést. <br />
<br />
:'''Fontos''', hogy a föderációs Discovery Service óránként generálja újra az IdP-k listáját, így ennyi idő mindenképp szükséges, hogy az új IdP megjelenjen itt, az egyes SP-k pedig két óránként töltik újra a metaadatot, így előfordulhat, hogy azonnal nem fog minden működni, de néhány óra alatt várhatóan beindul. :)<br />
<br />
:Tesztelésre használható oldal: https://attributes.eduid.hu<br />
<br />
* Ahhoz, hogy a Resource Registry-be is be tudjunk lépni és az IdP további, a föderációra vonatkozó beállításait meg tudjuk ejteni, ehhez az IdP-nek ki kell adnia az alábbi attribútumokat:<br />
** [[HREFAttributeSpec#mail|mail]] - ez belépés után, manuálisan is beállítható<br />
** [[HREFAttributeSpec#eduPersonPrincipalName|eduPersonPrincipalName]]<br />
** <del>[[HREFAttributeSpec#schacHomeOrganizationType|schacHomeOrganizationType]]</del> (az attribútumot hamarosan kivezetjük a kötelező attribútumok közül)<br />
** [[HREFAttributeSpec#eduScopedAffiliation|eduPersonScopedAffiliation]]<br />
<br />
<br />
====Attribútumok kezelése====<br />
Beállított IdP-nk alapértelmezés szerint azokat az attribútumokat adja ki, melyeket a metaadat alapján az SP kért (Lásd a metadatában a RequestedAttribute elemeket), és egyúttal alapból meg tudta szerezni a felhasználói adatbázisból, esetünkben az LDAP-ból. Mivel néhány attribútum nem szerepel az LDAP-ban, hanem az IdP-ben kell előállítani, így pár helyen módosítanunk kell az alapértelmezett konfiguráción.<br />
<br />
A <code>metadata/saml20-idp-hosted.php</code> fájlba szerkesszük be az alábbi kódrészlet értelemszerűen módosított változatát. Az <code>'auth' => 'example-ldap',</code> sor alatt kezdjük. Fontos, hogy egyúttal a config.php <code>authproc.idp</code> részét kikommentezzük, nehogy az ottani sorszámokkal megadott default feladatok bekavarjanak.<br />
<br />
<source lang="php"><br />
'AttributeNameFormat' => 'urn:oasis:names:tc:SAML:2.0:attrname-format:uri',<br />
'userid.attribute' => 'uid', // Itt adjuk meg, hogy mely, az LDAPból származó attribútum alapján fogja az IdP kiszámítani az eduPersonTargetedID-t<br />
'authproc' => array(<br />
10 => array(<br />
'class' => 'core:AttributeMap',<br />
'uid' => 'eduPersonPrincipalName'<br />
//Itt az 'uid' az az attribútum az LDAP-ban, amely a felhasználó azonosítóját tartalmazza, mert ebből képezzük az eduPersonPrincipalName-t.<br />
),<br />
# 20 => array(<br />
# 'class' => 'core:AttributeAdd',<br />
# 'schacHomeOrganizationType' => array('urn:schac:homeOrganizationType:hu:university')<br />
# //Kötelező statikus attribútum az [[HREFAttributeSpec#schacHomeOrganizationType|intézmény jellegének]] megfelelően<br />
# ),<br />
30 => array(<br />
'class' => 'core:AttributeAlter',<br />
'subject' => 'eduPersonPrincipalName',<br />
'pattern' => '/^.*$/',<br />
'replacement' => '${0}@intezmenydomain.hu',<br />
// Itt adjuk hozzá az intézményi scope-ot az eduPersonPrincipalName már meglévő értékéhez<br />
),<br />
40 => array(<br />
'class' => 'core:AttributeAlter',<br />
'subject' => 'eduPersonAffiliation',<br />
'pattern' => '/^.*$/',<br />
'replacement' => '${0}@intezmenydomain.hu',<br />
// Itt adjuk hozzá az intézményi scope-ot az eduPersonAffiliation már meglévő értékéhez<br />
),<br />
50 => array(<br />
'class' => 'core:AttributeMap',<br />
'eduPersonAffiliation' => 'eduPersonScopedAffiliation'<br />
// Az LDAP-ból eduPersonAffiliation-ként érkező attribútumból föderációs elvárásoknak megfelelően eduPersonScopedAffiliationt készítünk<br />
),<br />
60 => array(<br />
'class' => 'core:AttributeAdd',<br />
'eduPersonScopedAffiliation' => array('member@intezmenydomain.hu')<br />
// Az eduPersonScopedAffiliation-ben tesztelés céljából kiadhatjuk member értéket, <br />
// így ha LDAP-ból nem jön érték, akkor is láthatjuk, hogy működik az attribútum kiadás <br />
),<br />
61 => array(<br />
'class' => 'core:TargetedID',<br />
'nameId' => TRUE,<br />
),<br />
// Itt állítjuk be, hogy az IdP előállítson és kiadhasson állandóazonosítóként eduPersonTargetedID-t, ha kérik<br />
70 => array('class' => 'core:AttributeMap',<br />
'name2oid'<br />
// Az LDAP-os attribútum nevekből itt kreálunk szabványos urn:oid formátumúakat<br />
),<br />
80 => 'core:AttributeLimit',<br />
), // .authproc<br />
'simplesaml.nameidattribute' => 'eduPersonPrincipalName',<br />
'attributeencodings' => array(<br />
'urn:oid:1.3.6.1.4.1.5923.1.1.1.10' => 'raw',<br />
),<br />
'sign.logout' => true<br />
</source><br />
<br />
<br />
: További tudnivalók a [[Resource_Registry|Resource Registry-ről]], ill. a [[HREFAttributeSpec|Föderációs attribútum specifikációról]].<br />
<br />
* Ha minden rendben ment, akkor a Resource Registry-ben regisztrált IdP-hez tartozó adminisztrációs jogok átkerülnek az IdP technikai gazdájához, s ezzel a folyamat kész is.<br />
<br />
===SP===<br />
Amennyiben IdP-t is beállítottunk, és be is tudunk lépni a Resource Registry-be, úgy nincs más dolgunk, mint az RR-ben új SP-t hozzáadni a föderációhoz, amely a megfelelő átfutási idő után a föderáció minden tagjánál látható is lesz.<br />
<br />
Ellenkező esetben (nincs IdP, és nem is tervezünk beállítani), akkor az IdP hozzáadásánál részletezett pontokon kell végig menni a metaadat betöltéséig, s a továbbiakat az említett e-mail címen megbeszélni.<br />
<br />
<br />
<br />
====Attribútum scopeok használata====<br />
A HREF föderáció IdP-i ún. scopeolt attribútumokat is használnak. Ez a scopeolás azt jelenti, hogy minden egyes IdP csak a saját scopejában ad ki attribútumokat, és a Shibboleth SP-k ezt ellenőrzik is. A scope és az attribútum valódi értéke egy '@' karakterrel kerül elválasztásra (ilyen attribútumok jelenleg: [[HREFAttributeSpec#eduPersonAffiliation|eduPersonScopedAffiliation]] illetve [[HREFAttributeSpec#eduPersonPrincipalName|eduPersonPrincipalName]]).<br />
<br />
A SimpleSAMLphp alapértelmezett telepítése nem szűri a hibásan scopeolt értékeket. Kiegészítő modulként szűrésre használható az NIIF által fejlesztett [https://github.com/NIIF/simplesamlphp-module-attributescope attributescope modul], ami reményeink szerint rövid távon a hivatalos SimpleSAMLphp kiadás része lehet.<br />
<br />
A telepítésről és konfigurációról bővebben itt lehet olvasni: https://github.com/NIIF/simplesamlphp-module-attributescope<br />
<br />
: Az <code>attributescope</code> modul használata esetén a következőképp kell módosítani a <code>config/config.php</code> fájlt:<br />
<source lang="php"><br />
authproc.sp = array(<br />
...<br />
// 49 => array('class' => 'core:AttributeMap', 'oid2name'),<br />
50 => array( 'class' => 'attributescope:FilterAttributes'<br />
),<br />
...<br />
),<br />
</source><br />
Figyeljünk arra, hogy mire a modulhoz ér a vezérlés, az attribútumok nevei ''friendlyName'' alakúak legyenek (ne pedig ''oid''-ok). A példában erre utal a 49-es sor.<br />
<br />
[[Category: AAI]] [[Category: simpleSAMLphp]] [[Category: HOWTO]]</div>Matteo(AT)niif.huhttps://wiki.niif.hu/index.php?title=SSP2&diff=5040SSP22024-08-13T09:27:24Z<p>Matteo(AT)niif.hu: </p>
<hr />
<div>Az alábbi lapon megkíséreljük összefoglalni a legfontosabb lépéseket, melyek általános esetben elegendőek ahhoz, hogy működő SimpleSAMLphp (SSP) alkalmazást állítsunk üzembe.<br />
<br />
==Telepítés==<br />
Először is nagyvonalakban leírásra kerülnek az előkészületek ezt követően pedig maga a szoftver telepítése és beállítása.<br />
===Előkészületek===<br />
Ahhoz, hogy problémamentesen telepíthessük SSP alkalmazásunkat, az alábbi szoftverkomponenseknek kell működniük szerverünkön.<br />
* A következő könyvtárakat kiegészítőket telepíteni kell: <code>wget openssl unzip build-essential libldap2-dev libldap-common</code><br />
* PHP futtatására alkalmas webszerver<br />
* PHP környezet (>=8.0)<br />
* A következő PHP kiterjesztéseket engedélyezni kell<br />
** <code>posix, date , dom , fileinfo , filter , hash , json , libxml , mbstring , openssl , pcre , session , simplexml , sodium , SPL, zlib, ldap</code><br />
** Adatbázisból történő autentikáció esetén a megfelelő adatbázis-csatolót <code>mysqli, pdo, pdo_mysql</code><br />
** RADIUS szerveren keresztül történő autentikáció esetén: <code>radius</code><br />
* Információk, certek:<br />
** Bár a szoftver képes futni mariadb, és redis nélkül, ezek vagy hasonló megoldások használata éles környezetben ajánlott.<br />
*** Amennyiben ezeket szándékozunk használni database connection stringgel kell rendelkezni, redis elérhetőséggel és jelszóval rendelkezni.<br />
*** Az adatbázis szerkezetének kialakítása a használt moduloktól függ, a leggyakoribb a consent modul, ott van is dokumentáció az adatbázis inicializálásáról.<br />
<br />
** Szükséges 2 certpár, az egyik az apachenak a másik az SSP-nek ezutóbbi lehet önalárírt, és nem ajánlott ugyan azt használni.<br />
<br />
====Composer====<br />
<br />
A '''[https://getcomposer.org composer]''' PHP csomagkezelőt is telepíteni kell (akár forrásból, akár csomagból), hogy telepíteni lehessen a SimpleSAMLphp futásához szükséges PHP library-ket.<br />
<br />
===Telepítés===<br />
Elvégezhető composerrel például a <code>/var/</code> mappában:<br />
<br />
<code>composer create-project simplesamlphp/simplesamlphp:2.1.3</code><br />
<br />
Mappaszerkezet módosítása:<br />
<br />
mv simplesamlphp simplesamlphp-prod #Tetszőleges átnevezés<br />
mkdir -p simplesamlphp-prod/cert<br />
mkdir -p /var/simplesamlphp-prod/log/stats/<br />
mkdir -p /var/simplesamlphp-prod/mdx-cache/<br />
chown -R www-data:www-data /var/simplesamlphp-prod/mdx-cache/<br />
chown -R www-data:www-data /var/simplesamlphp-prod/log/<br />
chown -R www-data:www-data /var/simplesamlphp-prod/metadata/<br />
<br />
<br />
Composerrel a szükséges modulok telepítése (például LDAP, REDIS, vagy consent):<br />
<br />
composer require simplesamlphp/simplesamlphp-module-ldap:v2.3.2<br />
composer require predis/predis:2.2.2<br />
composer require simplesamlphp/simplesamlphp-module-consent:1.3.2<br />
<br />
Ezzel a telepítés, és a szükséges kiegészítők telepítése megtörtént.<br />
<br />
<br />
===Apache konfigurálás===<br />
<br />
A webről csak a <code>/var/simplesamlphp-prod/public</code> könyvtárat kell elérni. '''Tilos''' a teljes simplesamlphp könyvtárat a DocumentRoot alá tenni!<br />
<br />
Alias /simplesaml /var/simplesamlphp-prod/public<br />
<Directory /var/simplesamlphp-prod/public><br />
Require all granted<br />
</Directory><br />
===Simplesamlphp Alapbeállítások===<br />
====Konfigurációs fájlok====<br />
Amennyiben korábbi verziókat használtunk,<br />
<br />
jó megközelítés lehet diff segítségével ellenőrizni a különbségeket a korábbi <code>config.php</code> fileunk és a <code>config.php.dist</code> között.<br />
<br />
Ha ilyennel nem rendelkezünk akkor lehet rögtön alapul venni a <code>config.php.dist</code>-et és hasonlóképp a metadata-templates mappát.<br />
<br />
====Konfigurációs fájlok szerkesztése====<br />
<br />
=====Baseurlpath beállítása=====<br />
<br />
- Állítsuk be a baseurlpath opciót. Mutasson a telepítés URL-jére, ahol a SimpleSAMLphp elérhető:<br />
<br />
<code>'baseurlpath' => 'https://your.canonical.host.name/simplesaml/',</code><br />
<br />
=====Adminisztrációs adatok beállítása=====<br />
<br />
* '''Az "admin" felhasználó jelszavát, mellyel webes felületen keresztül be tud lépni a települő SSP-be.'''<br />
'auth.adminpassword' => 'ujjelszotirdide',<br />
* '''Titkosítási feladatokhoz szükséges "salt", azaz véletlenszerűen összeálló karaktersorozat'''<br />
'secretsalt' => 'randombytesinsertedhere',<br />
A karaktersorozat előállításában segíthet az alábbi parancs: <br />
tr -c -d '0123456789abcdefghijklmnopqrstuvwxyz' </dev/urandom | dd bs=32 count=1 2>/dev/null;echo<br />
* '''Elérhetőségeket, amely adatok bekerülnek majd a generált metaadatba'''<br />
'technicalcontact_name' => 'Gipsz Jakab',<br />
'technicalcontact_email' => 'jakab.gipsz@example.org',<br />
* '''Nyelv és időzóna adatok'''<br />
'language.default' => 'hu',<br />
'timezone' => 'Europe/Budapest',<br />
<br />
Az alapadatok megadása után mentsük és zárjuk be a '''config.php'''-t.<br />
<br />
=====Naplózás beállítása=====<br />
<br />
Alapértelmezetten a SimpleSAMLphp a '''syslog'''-ba irányítja a naplózást.<br />
<br />
Ha fájlba akarunk naplózni, akkor a megfelelő könyvtárhoz biztosítsunk írás jogot a webszerver felhasználónak, és ne felejtsünk el gondoskodni a naplófájlok rotálásáról!<br />
<br />
* Naplózási szint beállítása a '''config/config.php'''-ban<br />
'debug' => array(<br />
'saml' => true,<br />
'backtraces' => true,<br />
'validatexml' => false,<br />
),<br />
'logging.level' => SimpleSAML\Logger::DEBUG,<br />
'logging.handler' => 'file',<br />
<br />
<span style="color:red">A "SimpleSAML\Logger::DEBUG" a legrészletesebb naplózási beállítás, éles rendszernél nem ajánlott csak hiba keresés esetén.</span><br />
<br />
<br />
=====Modulok engedélyezése=====<br />
'module.enable' => [<br />
'exampleauth' => true,<br />
'saml' => false, //<br />
'core' => null, // Alapértelmezett érték<br />
'ldap' => true, // 2.x verzióban külön telepíteni és engedélyezni kell az ldap modult.<br />
'admin' => true, // Ezt szükséges engedélyezni hogy elérhessük az adminisztrációs felületet<br />
],<br />
<br />
=====Tanúsítvány készítése=====<br />
<br />
<span style="color:red">Nem ajánlott a SimpleSAMLphp-hoz és webszerverhez ugyanazt a tanúsítvány használni!</span><br />
<br />
* A SimpleSAMLphp alapértelmezetten a tanúsítványt a '''cert''' mappában keresi.<br />
<br />
* Az alábbi paranccsal egy 10 éves [[FedCerts | self-signed tanúsítvány]] generálunk a SimpleSMALphp számára.<br />
openssl req -new -newkey rsa:3072 -x509 -days 3652 -nodes -out cert/saml-example-org.crt -keyout cert/saml-example-org.key<br />
<br />
A fingerprint az alábbi módon kérdezhető le a legegyszerűbben<br />
openssl x509 -fingerprint -noout -in cert/saml-example-org.crt<br />
<br />
===Telepítés kész===<br />
Amennyiben elkészültünk a fenti lépésekkel, úgy a [https://service.example.org/simplesaml/admin https://service.example.org/simplesaml/admin] címen elérjük a telepített SSP-nk webes adminfelületét.<br />
<br />
==Identity Provider (IdP) beállítás==<br />
===Alapbeállítások===<br />
'''IdP''' engedélyezése: a '''config/config.php''' fájlban kell a saml20 idp-t "true"-re állítani.<br />
'enable.saml20-idp' => true,<br />
<br />
===Metaadat alapok===<br />
A beállítandó IdP alapvető paraméterei a <code>metadata/saml20-idp-hosted.php</code> fájlban állíthatók. Az alábbi kódrészlet egy minimális, de már működő példát mutat.<br />
<source lang="php"><br />
<?php<br />
$metadata['https://example.org/saml-idp'] = [<br />
/*<br />
* The hostname for this IdP. This makes it possible to run multiple<br />
* IdPs from the same configuration. '__DEFAULT__' means that this one<br />
* should be used by default.<br />
*/<br />
'host' => '__DEFAULT__',<br />
/*<br />
* The private key and certificate to use when signing responses.<br />
* These can be stored as files in the cert-directory or retrieved<br />
* from a database.<br />
*/<br />
'privatekey' => 'example.org.pem',<br />
'certificate' => 'example.org.crt',<br />
/*<br />
* The authentication source which should be used to authenticate the<br />
* user. This must match one of the entries in config/authsources.php.<br />
*/<br />
'auth' => 'example-ldap',<br />
];<br />
</source><br />
<br />
A fentebb hivatkozott certeket korábban létrehoztuk, de az example-ldap auth forrást még nem:<br />
<br />
===LDAP autentikáció===<br />
<br />
Javasolt az LDAP-ban egy olyan bejegyzést létrehozni az IdP számára, amely olvasni tudja a felhasználóknak a föderációban használt attribútumait. Az azonosítás alapértelmezett módon a felhasználó nevében történő újra bind-olással történik, így a jelszóhoz nem kell hozzáférést adni.<br />
<br />
Ahhoz, hogy megadhassuk az LDAP-hoz tartozó beállításokat, a <code>config/authsources.php</code> fájlt kell szerkesztenünk. Az alábbi kódrészletet elegendő beszúrni, és az egyes változóknak a helyi LDAP-nak megfelelő adatokat értékül adni.<br />
<source lang="php"><br />
'example-ldap' => [<br />
'ldap:Ldap',<br />
<br />
/**<br />
* The connection string for the LDAP-server.<br />
* You can add multiple by separating them with a space.<br />
*/<br />
'connection_string' => 'ldap.example.org',<br />
<br />
/**<br />
* Whether SSL/TLS should be used when contacting the LDAP server.<br />
* Possible values are 'ssl', 'tls' or 'none'<br />
*/<br />
'encryption' => 'ssl',<br />
<br />
/**<br />
* The LDAP version to use when interfacing the LDAP-server.<br />
* Defaults to 3<br />
*/<br />
'version' => 3,<br />
<br />
/**<br />
* Set to TRUE to enable LDAP debug level. Passed to the LDAP connector class.<br />
*<br />
* Default: FALSE<br />
* Required: No<br />
*/<br />
'debug' => false,<br />
<br />
/**<br />
* The LDAP-options to pass when setting up a connection<br />
* See [Symfony documentation]<br />
*/<br />
'options' => [<br />
/**<br />
* Set whether to follow referrals.<br />
* AD Controllers may require 0x00 to function.<br />
* Possible values are 0x00 (NEVER), 0x01 (SEARCHING),<br />
* 0x02 (FINDING) or 0x03 (ALWAYS).<br />
*/<br />
'referrals' => 0x00,<br />
<br />
'network_timeout' => 3,<br />
],<br />
<br />
/**<br />
* The connector to use.<br />
* Defaults to '\SimpleSAML\Module\ldap\Connector\Ldap', but can be set<br />
* to '\SimpleSAML\Module\ldap\Connector\ActiveDirectory' when<br />
* authenticating against Microsoft Active Directory. This will<br />
* provide you with more specific error messages.<br />
*/<br />
'connector' => '\SimpleSAML\Module\ldap\Connector\Ldap',<br />
<br />
/**<br />
* Which attributes should be retrieved from the LDAP server.<br />
* This can be an array of attribute names, or NULL, in which case<br />
* all attributes are fetched.<br />
*/<br />
'attributes' => null,<br />
<br />
/**<br />
* Which attributes should be base64 encoded after retrieval from<br />
* the LDAP server.<br />
*/<br />
'attributes.binary' => [<br />
'jpegPhoto',<br />
'objectGUID',<br />
'objectSid',<br />
'mS-DS-ConsistencyGuid'<br />
],<br />
<br />
/**<br />
* The pattern which should be used to create the user's DN given<br />
* the username. %username% in this pattern will be replaced with<br />
* the user's username.<br />
*<br />
* This option is not used if the search.enable option is set to TRUE.<br />
*/<br />
'dnpattern' => 'uid=%username%,ou=people,dc=example,dc=org',<br />
<br />
/**<br />
* As an alternative to specifying a pattern for the users DN, it is<br />
* possible to search for the username in a set of attributes. This is<br />
* enabled by this option.<br />
*/<br />
'search.enable' => false,<br />
<br />
/**<br />
* An array on DNs which will be used as a base for the search. In<br />
* case of multiple strings, they will be searched in the order given.<br />
*/<br />
'search.base' => [<br />
'ou=people,dc=example,dc=org',<br />
],<br />
<br />
/**<br />
* The scope of the search. Valid values are 'sub' and 'one' and<br />
* 'base', first one being the default if no value is set.<br />
*/<br />
'search.scope' => 'sub',<br />
<br />
/**<br />
* The attribute(s) the username should match against.<br />
*<br />
* This is an array with one or more attribute names. Any of the<br />
* attributes in the array may match the value the username.<br />
*/<br />
'search.attributes' => ['uid', 'mail'],<br />
<br />
/**<br />
* Additional filters that must match for the entire LDAP search to<br />
* be true.<br />
*<br />
* This should be a single string conforming to [RFC 1960]<br />
* and [RFC 2544]. The string is appended to the search attributes<br />
*/<br />
'search.filter' => '(&(objectClass=Person)(|(sn=Doe)(cn=John *)))',<br />
<br />
/**<br />
* The username & password where SimpleSAMLphp should bind to before<br />
* searching. If this is left NULL, no bind will be performed before<br />
* searching.<br />
*/<br />
'search.username' => null,<br />
'search.password' => null,<br />
],<br />
</source><br />
<br />
Megfelelő beállítások után a dinamikusan generált metadata a <code>/saml2/idp/metadata.php</code> útvonalon érhető el.<br />
<br />
===Tesztelés===<br />
A usereknek már nincs adminisztrációs felület azonban adminként még be lehet lépni amennyiben a core modulok között engedélyeztük az admin felületet: `https://service.example.org/simplesaml/admin/`<br />
<br />
A belépést követően a teszt fülre kattintva tesztelhetjük az authentikációs forrásokat:<br />
<br />
https://idp.niif.hu/simplesaml/module.php/admin/test<br />
<br />
===Kézi metadata csere, élesített SP-vel===<br />
<br />
Az IdP metadata valamint metadata eszközök megtalálhatók a következő oldalon (admin fiók szükséges): [https://idp.example/simplesaml/module.php/admin/federation](https://idp.niif.hu/simplesaml/module.php/admin/federation)<br />
<br />
Amennyiben az SP is simplesamlphp használhatjuk a fentihez hasonló elérési úton található SimplesSAMLphp SP Metadatát, ez php formátumban van, ellenkező esetben pl shibboleth sp meg kell keresnünk a metaadat XML-t majd a fentebb említett federation oldalon található XML →simplesamlphp metadata konvertert használni.<br />
<br />
Az így kapott php formátumú metaadatokat pedig be kell illeszteni az IdP-n a <br />
`metadata/saml20-sp-remote.php` fileba a következő példához hasonlóképp<br />
<br />
<source lang="php"><br />
<?php<br />
<br />
$metadata['https://sp.example.org/simplesaml/module.php/saml/sp/metadata.php/default-sp'] = [<br />
'AssertionConsumerService' => 'https://sp.example.org/simplesaml/module.php/saml/sp/saml2-acs.php/default-sp',<br />
'SingleLogoutService' => 'https://sp.example.org/simplesaml/module.php/saml/sp/saml2-logout.php/default-sp',<br />
];<br />
</source><br />
<br />
A másik (SP) oldalon amennyiben szintén simplesamlphp van, az idp metaadatokat hasonlóképp hasonlóképp érjük el majd illesszük be a metadata/saml20-idp-remote.php<br />
fileba. <br />
<br />
<br />
<source lang="php"><br />
<?php<br />
<br />
<?php<br />
$metadata['https://example.org/saml-idp'] = [<br />
'SingleSignOnService' => 'https://example.org/simplesaml/saml2/idp/SSOService.php',<br />
'SingleLogoutService' => 'https://example.org/simplesaml/saml2/idp/SingleLogoutService.php',<br />
'certificate' => 'example.pem',<br />
];<br />
<br />
</source><br />
<br />
A certet a config php-ban beállított certdir-ben keresi (alapértelmezetten /cert)<br />
Amennyiben más SP-t használunk az idp XML metadatájára lesz szükség amely szintén föderáció fül alatt érhető el ([https://idp.example/simplesaml/module.php/admin/federation](https://idp.niif.hu/simplesaml/module.php/admin/federation)), és az SPn-nek releváns dokumentációt kell követni.<br />
<br />
==Service Provider (SP) beállítás==<br />
===Alapbeállítások===<br />
<br />
A telepített alkalmazásunk által kezelt SP-ket a '''config/authsources.php''' fájlban tudjuk beállítani. Az ''entityID, idp, discoURL'' értékeket most hagyjuk ''NULL'' értéken és adjuk hozzá a '''privatekey''' / '''certificate''' részt.<br />
<br />
A SimpleSAMLphp a tanúsítvány fájlokat a korábban létrehozott '''cert''' mappában fogja keresni, a fájlokat elég relatív elérési úttal megadni.<br />
<br />
<source lang="php"><br />
'default-sp' => array(<br />
'saml:SP',<br />
<br />
// The entity ID of this SP.<br />
// Can be NULL/unset, in which case an entity ID is generated based on the metadata URL.<br />
'entityID' => NULL,<br />
<br />
// The entity ID of the IdP this should SP should contact.<br />
// Can be NULL/unset, in which case the user will be shown a list of available IdPs.<br />
'idp' => NULL,<br />
<br />
// The URL to the discovery service.<br />
// Can be NULL/unset, in which case a builtin discovery service will be used.<br />
'discoURL' => NULL,<br />
<br />
'privatekey' => 'saml-example-org.key',<br />
'certificate' => 'saml-example-org.crt',<br />
<br />
),<br />
</source><br />
<br />
A fenti beállítások alapján az SP entityID-ja megegyezik a metadata elérési útvonalával (szokásos megoldás SSP-nél), nem adunk meg alapértelmezett idp-t, ezáltal az SSP választási lehetőséget kínál fel számunkra, mikor az SP-re szeretnénk bejelentkezni, ill. most még Discovery Service URL-t sem adunk meg, hanem a beépítettet használjuk. Ez utóbbit majd a HREF-be történő integrációkor meg kell változtatni - lásd lejjebb.<br />
<br />
<br />
Az SP készen áll arra, hogy összekössük egy IdP-vel (ez jellemzően szintén egy SimpleSAMLphp alkalmazás). Ehhez szükséges, hogy SP oldalon beállítsuk az IdP metadata-t és IdP oldalon is beállítsuk az SP metadata-t.<br />
<br />
====Metadata====<br />
====Metadata fájlok====<br />
A különböző metadata template fájlok a '''metadata-templates''' mappában találhatóak. A nekünk szükséges template fájlt másoljuk át a metadata mappába.<br />
<br />
* '''SP''' oldalon lennie kell egy''' metadata/saml20-idp-remote.php''' fájlnak. Ez a fájl tartalmazza az IdP eléréséhez szükséges adatokat.<br />
cp metadata-templates/saml20-idp-remote.php metadata<br />
<br />
* '''IdP''' oldalon lennie kell egy '''metadata/saml20-sp-remote.php''' fájlnak. Ez a fájl tartalmazza az SP eléréséhez szükséges adatokat.<br />
cp metadata-templates/saml20-sp-remote.php metadata<br />
<br />
====Metadata letöltés====<br />
<br />
Ezen az oldalon megtaláljuk az SP vagy IdP-re vonatkozó '''metadata'''-t, '''XML''' és '''PHP''' formátumban: https://example.org/simplesaml/module.php/saml/sp/metadata.php/default-sp?output=xhtml<br />
<br />
====SP metadata beállítás IdP oldalon====<br />
<br />
A metadata '''simplesaml''' kezdőlapon, az alábbi helyen érhető el:<br />
* Magyar nyelv esetén: "Föderáció" fül / "SAML 2.0 SP Metaadatok" pont alatt a "Mutasd a metaadatokat" linkre kattintva juthatunk el a fenti menüponthoz.<br />
* Angol nyelv esetén: "Federation" fül / "SAML 2.0 SP Metadata" pont alatt a "Show metadata" linkre kattintva juthatunk el a fenti menüponthoz.<br />
<br />
<br />
A "''SimpleSAMLphp fájl formátumban - akkor használható, ha a másik oldalon SimpleSAMLphp van''" mezőből tegyük a vágólapra az alábbi PHP kódot:<br />
<br />
<source lang="php"><br />
$metadata['https://example.org/simplesaml/module.php/saml/sp/metadata.php/default-sp'] = array (<br />
'SingleLogoutService' => <br />
array (<br />
0 => <br />
array (<br />
'Binding' => 'urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Redirect',<br />
'Location' => 'https://example.org/simplesaml/module.php/saml/sp/saml2-logout.php/default-sp',<br />
),<br />
),<br />
'AssertionConsumerService' => <br />
array (<br />
0 => <br />
array (<br />
'index' => 0,<br />
'Binding' => 'urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST',<br />
'Location' => 'https://example.org/simplesaml/module.php/saml/sp/saml2-acs.php/default-sp',<br />
),<br />
1 => <br />
array (<br />
'index' => 1,<br />
'Binding' => 'urn:oasis:names:tc:SAML:1.0:profiles:browser-post',<br />
'Location' => 'https://example.org/simplesaml/module.php/saml/sp/saml1-acs.php/default-sp',<br />
),<br />
2 => <br />
array (<br />
'index' => 2,<br />
'Binding' => 'urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Artifact',<br />
'Location' => 'https://example.org/simplesaml/module.php/saml/sp/saml2-acs.php/default-sp',<br />
),<br />
3 => <br />
array (<br />
'index' => 3,<br />
'Binding' => 'urn:oasis:names:tc:SAML:1.0:profiles:artifact-01',<br />
'Location' => 'https://example.org/simplesaml/module.php/saml/sp/saml1-acs.php/default-sp/artifact',<br />
),<br />
),<br />
'contacts' => <br />
array (<br />
0 => <br />
array (<br />
'emailAddress' => 'admin@example.org',<br />
'contactType' => 'technical',<br />
'givenName' => 'Example Corp. IT Dept.',<br />
),<br />
),<br />
'certData' => 'AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA==',<br />
);<br />
</source><br />
<br />
A vágólapra másolt kódot IdP oldalon, a '''metadata/saml20-sp-remote.php''' fájl végére illesszük be.<br />
<br />
====IdP metadata beállítás SP oldalon====<br />
<br />
A metadata '''simplesaml''' kezdőlapon, az alábbi helyen érhető el:<br />
* Magyar nyelv esetén: "Föderáció" fül / "SAML 2.0 IdP Metaadatok" pont alatt a "Mutasd a metaadatokat" linkre kattintva juthatunk el a fenti menüponthoz.<br />
* Angol nyelv esetén: "Federation" fül / "SAML 2.0 IdP Metadata" pont alatt a "Show metadata" linkre kattintva juthatunk el a fenti menüponthoz.<br />
<br />
<br />
A "''SimpleSAMLphp fájl formátumban - akkor használható, ha a másik oldalon SimpleSAMLphp van''" mezőből tegyük a vágólapra az alábbi PHP kódot:<br />
<br />
<source lang="php"><br />
$metadata['https://idp.example.org/simplesaml/saml2/idp/metadata.php'] = array (<br />
'metadata-set' => 'saml20-idp-remote',<br />
'entityid' => 'https://idp.example.org/simplesaml/saml2/idp/metadata.php',<br />
'SingleSignOnService' => <br />
array (<br />
0 => <br />
array (<br />
'Binding' => 'urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Redirect',<br />
'Location' => 'https://idp.example.org/simplesaml/saml2/idp/SSOService.php',<br />
),<br />
),<br />
'SingleLogoutService' => <br />
array (<br />
0 => <br />
array (<br />
'Binding' => 'urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Redirect',<br />
'Location' => 'https://idp.example.org/simplesaml/saml2/idp/SingleLogoutService.php',<br />
),<br />
),<br />
'certData' => 'AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA==',<br />
'NameIDFormat' => 'urn:oasis:names:tc:SAML:2.0:nameid-format:transient',<br />
);<br />
</source><br />
<br />
A vágólapra másolt kódot SP oldalon, a '''metadata/saml20-idp-remote.php''' fájl végére illesszük be. <br />
<br />
===Tesztelés===<br />
<br />
A fent elvégzett alapbeállítások után már tudjuk tesztelni a, hogy a felépített IdP - SP kapcsolat működik-e.<br />
<br />
SP oldalon nyissuk meg a '''simplesaml''' kezdőlapot:<br />
<br />
* Magyar nyelv esetén: "Azonosítás (autentikáció)" fül / "Azonosítási (autentikációs) beállítások tesztelése" link / "default-sp" link-re kattintva tudjuk tesztelni az IdP - SP kapcsolatot.<br />
* Angol nyelv esetén: "Authentication" fül / "Test configured authentication sources" link / "default-sp" link-re kattintva tudjuk tesztelni az IdP - SP kapcsolatot.<br />
<br />
A legördülő menüben az IdP-nk "nevére" kattintva, be kell tudnunk jelentkezni (az IdP-n keresztül). Ha működik, akkor az IdP visszairányít az SP-re, kiírja az azonosított felhasználó attribútumait. <br />
<br />
Az alapvető lépsekkel kész vagyunk, van egy működő SP-nk és egy működő IdP-nk.<br />
<br />
==HREF-integráció==<br />
<br />
===Metadata beállítása (IdP és SP is)===<br />
Javasolt [[MDX | dinamikus metaadatforrást (MDX)]] használni, opcionálisan kiegészítve statikus állományokkal. Részletes leírás itt: [[SimpleSAMLMixedMetadata]]<br />
<br />
===IdP===<br />
Amennyiben van SSP alapú IdP-nk, melyet szeretnénk a föderáció részévé tenni, úgy a teendők a következők.<br />
* (Az adminisztratív teendőktől itt most eltekintünk, a csatlakozás folyamata [[HREFJoin|itt van leírva]])<br />
* Kell küldeni egy levelet a [mailto:info@eduid.hu info@eduid.hu] címre, benne néhány mondat mellett az IdP metaadatának URL-jével (https://example.org/simplesamlphp/saml2/idp/metadata.php)<br />
* Ha minden rendben megy, akkor az IdP bekerül a [[Resource_Registry]]-be, ezáltal a föderációs metaadatba is.<br />
* Az előző pontban leírt módon be kell állítani a központi metadata feldolgozását.<br />
* Amennyiben a föderációs metaadatban már szerepel a mi IdP-nk is, úgy a föderáció valamelyik, tesztelési célokat szolgáló SP-jénél ki is próbálhatjuk a bejelentkezést. <br />
<br />
:'''Fontos''', hogy a föderációs Discovery Service óránként generálja újra az IdP-k listáját, így ennyi idő mindenképp szükséges, hogy az új IdP megjelenjen itt, az egyes SP-k pedig két óránként töltik újra a metaadatot, így előfordulhat, hogy azonnal nem fog minden működni, de néhány óra alatt várhatóan beindul. :)<br />
<br />
:Tesztelésre használható oldal: https://attributes.eduid.hu<br />
<br />
* Ahhoz, hogy a Resource Registry-be is be tudjunk lépni és az IdP további, a föderációra vonatkozó beállításait meg tudjuk ejteni, ehhez az IdP-nek ki kell adnia az alábbi attribútumokat:<br />
** [[HREFAttributeSpec#mail|mail]] - ez belépés után, manuálisan is beállítható<br />
** [[HREFAttributeSpec#eduPersonPrincipalName|eduPersonPrincipalName]]<br />
** <del>[[HREFAttributeSpec#schacHomeOrganizationType|schacHomeOrganizationType]]</del> (az attribútumot hamarosan kivezetjük a kötelező attribútumok közül)<br />
** [[HREFAttributeSpec#eduScopedAffiliation|eduPersonScopedAffiliation]]<br />
<br />
<br />
====Attribútumok kezelése====<br />
Beállított IdP-nk alapértelmezés szerint azokat az attribútumokat adja ki, melyeket a metaadat alapján az SP kért (Lásd a metadatában a RequestedAttribute elemeket), és egyúttal alapból meg tudta szerezni a felhasználói adatbázisból, esetünkben az LDAP-ból. Mivel néhány attribútum nem szerepel az LDAP-ban, hanem az IdP-ben kell előállítani, így pár helyen módosítanunk kell az alapértelmezett konfiguráción.<br />
<br />
A <code>metadata/saml20-idp-hosted.php</code> fájlba szerkesszük be az alábbi kódrészlet értelemszerűen módosított változatát. Az <code>'auth' => 'example-ldap',</code> sor alatt kezdjük. Fontos, hogy egyúttal a config.php <code>authproc.idp</code> részét kikommentezzük, nehogy az ottani sorszámokkal megadott default feladatok bekavarjanak.<br />
<br />
<source lang="php"><br />
'AttributeNameFormat' => 'urn:oasis:names:tc:SAML:2.0:attrname-format:uri',<br />
'userid.attribute' => 'uid', // Itt adjuk meg, hogy mely, az LDAPból származó attribútum alapján fogja az IdP kiszámítani az eduPersonTargetedID-t<br />
'authproc' => array(<br />
10 => array(<br />
'class' => 'core:AttributeMap',<br />
'uid' => 'eduPersonPrincipalName'<br />
//Itt az 'uid' az az attribútum az LDAP-ban, amely a felhasználó azonosítóját tartalmazza, mert ebből képezzük az eduPersonPrincipalName-t.<br />
),<br />
# 20 => array(<br />
# 'class' => 'core:AttributeAdd',<br />
# 'schacHomeOrganizationType' => array('urn:schac:homeOrganizationType:hu:university')<br />
# //Kötelező statikus attribútum az [[HREFAttributeSpec#schacHomeOrganizationType|intézmény jellegének]] megfelelően<br />
# ),<br />
30 => array(<br />
'class' => 'core:AttributeAlter',<br />
'subject' => 'eduPersonPrincipalName',<br />
'pattern' => '/^.*$/',<br />
'replacement' => '${0}@intezmenydomain.hu',<br />
// Itt adjuk hozzá az intézményi scope-ot az eduPersonPrincipalName már meglévő értékéhez<br />
),<br />
40 => array(<br />
'class' => 'core:AttributeAlter',<br />
'subject' => 'eduPersonAffiliation',<br />
'pattern' => '/^.*$/',<br />
'replacement' => '${0}@intezmenydomain.hu',<br />
// Itt adjuk hozzá az intézményi scope-ot az eduPersonAffiliation már meglévő értékéhez<br />
),<br />
50 => array(<br />
'class' => 'core:AttributeMap',<br />
'eduPersonAffiliation' => 'eduPersonScopedAffiliation'<br />
// Az LDAP-ból eduPersonAffiliation-ként érkező attribútumból föderációs elvárásoknak megfelelően eduPersonScopedAffiliationt készítünk<br />
),<br />
60 => array(<br />
'class' => 'core:AttributeAdd',<br />
'eduPersonScopedAffiliation' => array('member@intezmenydomain.hu')<br />
// Az eduPersonScopedAffiliation-ben tesztelés céljából kiadhatjuk member értéket, <br />
// így ha LDAP-ból nem jön érték, akkor is láthatjuk, hogy működik az attribútum kiadás <br />
),<br />
61 => array(<br />
'class' => 'core:TargetedID',<br />
'nameId' => TRUE,<br />
),<br />
// Itt állítjuk be, hogy az IdP előállítson és kiadhasson állandóazonosítóként eduPersonTargetedID-t, ha kérik<br />
70 => array('class' => 'core:AttributeMap',<br />
'name2oid'<br />
// Az LDAP-os attribútum nevekből itt kreálunk szabványos urn:oid formátumúakat<br />
),<br />
80 => 'core:AttributeLimit',<br />
), // .authproc<br />
'simplesaml.nameidattribute' => 'eduPersonPrincipalName',<br />
'attributeencodings' => array(<br />
'urn:oid:1.3.6.1.4.1.5923.1.1.1.10' => 'raw',<br />
),<br />
'sign.logout' => true<br />
</source><br />
<br />
<br />
: További tudnivalók a [[Resource_Registry|Resource Registry-ről]], ill. a [[HREFAttributeSpec|Föderációs attribútum specifikációról]].<br />
<br />
* Ha minden rendben ment, akkor a Resource Registry-ben regisztrált IdP-hez tartozó adminisztrációs jogok átkerülnek az IdP technikai gazdájához, s ezzel a folyamat kész is.<br />
<br />
===SP===<br />
Amennyiben IdP-t is beállítottunk, és be is tudunk lépni a Resource Registry-be, úgy nincs más dolgunk, mint az RR-ben új SP-t hozzáadni a föderációhoz, amely a megfelelő átfutási idő után a föderáció minden tagjánál látható is lesz.<br />
<br />
Ellenkező esetben (nincs IdP, és nem is tervezünk beállítani), akkor az IdP hozzáadásánál részletezett pontokon kell végig menni a metaadat betöltéséig, s a továbbiakat az említett e-mail címen megbeszélni.<br />
<br />
<br />
<br />
====Attribútum scopeok használata====<br />
A HREF föderáció IdP-i ún. scopeolt attribútumokat is használnak. Ez a scopeolás azt jelenti, hogy minden egyes IdP csak a saját scopejában ad ki attribútumokat, és a Shibboleth SP-k ezt ellenőrzik is. A scope és az attribútum valódi értéke egy '@' karakterrel kerül elválasztásra (ilyen attribútumok jelenleg: [[HREFAttributeSpec#eduPersonAffiliation|eduPersonScopedAffiliation]] illetve [[HREFAttributeSpec#eduPersonPrincipalName|eduPersonPrincipalName]]).<br />
<br />
A SimpleSAMLphp alapértelmezett telepítése nem szűri a hibásan scopeolt értékeket. Kiegészítő modulként szűrésre használható az NIIF által fejlesztett [https://github.com/NIIF/simplesamlphp-module-attributescope attributescope modul], ami reményeink szerint rövid távon a hivatalos SimpleSAMLphp kiadás része lehet.<br />
<br />
A telepítésről és konfigurációról bővebben itt lehet olvasni: https://github.com/NIIF/simplesamlphp-module-attributescope<br />
<br />
: Az <code>attributescope</code> modul használata esetén a következőképp kell módosítani a <code>config/config.php</code> fájlt:<br />
<source lang="php"><br />
authproc.sp = array(<br />
...<br />
// 49 => array('class' => 'core:AttributeMap', 'oid2name'),<br />
50 => array( 'class' => 'attributescope:FilterAttributes'<br />
),<br />
...<br />
),<br />
</source><br />
Figyeljünk arra, hogy mire a modulhoz ér a vezérlés, az attribútumok nevei ''friendlyName'' alakúak legyenek (ne pedig ''oid''-ok). A példában erre utal a 49-es sor.<br />
<br />
[[Category: AAI]] [[Category: simpleSAMLphp]] [[Category: HOWTO]]</div>Matteo(AT)niif.huhttps://wiki.niif.hu/index.php?title=SSP2&diff=5039SSP22024-08-13T09:15:13Z<p>Matteo(AT)niif.hu: </p>
<hr />
<div>Az alábbi lapon megkíséreljük összefoglalni a legfontosabb lépéseket, melyek általános esetben elegendőek ahhoz, hogy működő SimpleSAMLphp (SSP) alkalmazást állítsunk üzembe.<br />
<br />
==Telepítés==<br />
Először is nagyvonalakban leírásra kerülnek az előkészületek ezt követően pedig maga a szoftver telepítése és beállítása.<br />
===Előkészületek===<br />
Ahhoz, hogy problémamentesen telepíthessük SSP alkalmazásunkat, az alábbi szoftverkomponenseknek kell működniük szerverünkön.<br />
* A következő könyvtárakat kiegészítőket telepíteni kell: <code>wget openssl unzip build-essential libldap2-dev libldap-common</code><br />
* PHP futtatására alkalmas webszerver<br />
* PHP környezet (>=8.0)<br />
* A következő PHP kiterjesztéseket engedélyezni kell<br />
** <code>posix, date , dom , fileinfo , filter , hash , json , libxml , mbstring , openssl , pcre , session , simplexml , sodium , SPL, zlib, ldap</code><br />
** Adatbázisból történő autentikáció esetén a megfelelő adatbázis-csatolót <code>mysqli, pdo, pdo_mysql</code><br />
** RADIUS szerveren keresztül történő autentikáció esetén: <code>radius</code><br />
* Információk, certek:<br />
** Bár a szoftver képes futni mariadb, és redis nélkül, ezek vagy hasonló megoldások használata éles környezetben ajánlott.<br />
*** Amennyiben ezeket szándékozunk használni database connection stringgel kell rendelkezni, redis elérhetőséggel és jelszóval rendelkezni.<br />
*** Az adatbázis szerkezetének kialakítása a használt moduloktól függ, a leggyakoribb a consent modul, ott van is dokumentáció az adatbázis inicializálásáról.<br />
<br />
** Szükséges 2 certpár, az egyik az apachenak a másik az SSP-nek ezutóbbi lehet önalárírt, és nem ajánlott ugyan azt használni.<br />
<br />
====Composer====<br />
<br />
A '''[https://getcomposer.org composer]''' PHP csomagkezelőt is telepíteni kell (akár forrásból, akár csomagból), hogy telepíteni lehessen a SimpleSAMLphp futásához szükséges PHP library-ket.<br />
<br />
===Telepítés===<br />
Elvégezhető composerrel például a <code>/var/</code> mappában:<br />
<br />
<code>composer create-project simplesamlphp/simplesamlphp:2.1.3</code><br />
<br />
Mappaszerkezet módosítása:<br />
<br />
mv simplesamlphp simplesamlphp-prod #Tetszőleges átnevezés<br />
mkdir -p simplesamlphp-prod/cert<br />
mkdir -p /var/simplesamlphp-prod/log/stats/<br />
mkdir -p /var/simplesamlphp-prod/mdx-cache/<br />
chown -R www-data:www-data /var/simplesamlphp-prod/mdx-cache/<br />
chown -R www-data:www-data /var/simplesamlphp-prod/log/<br />
chown -R www-data:www-data /var/simplesamlphp-prod/metadata/<br />
<br />
<br />
Composerrel a szükséges modulok telepítése (például LDAP, REDIS, vagy consent):<br />
<br />
composer require simplesamlphp/simplesamlphp-module-ldap:v2.3.2<br />
composer require predis/predis:2.2.2<br />
composer require simplesamlphp/simplesamlphp-module-consent:1.3.2<br />
<br />
Ezzel a telepítés, és a szükséges kiegészítők telepítése megtörtént.<br />
<br />
<br />
===Apache konfigurálás===<br />
<br />
A webről csak a <code>/var/simplesamlphp-prod/public</code> könyvtárat kell elérni. '''Tilos''' a teljes simplesamlphp könyvtárat a DocumentRoot alá tenni!<br />
<br />
Alias /simplesaml /var/simplesamlphp-prod/public<br />
<Directory /var/simplesamlphp-prod/public><br />
Require all granted<br />
</Directory><br />
===Simplesamlphp Alapbeállítások===<br />
====Konfigurációs fájlok====<br />
Amennyiben korábbi verziókat használtunk,<br />
<br />
jó megközelítés lehet diff segítségével ellenőrizni a különbségeket a korábbi <code>config.php</code> fileunk és a <code>config.php.dist</code> között.<br />
<br />
Ha ilyennel nem rendelkezünk akkor lehet rögtön alapul venni a <code>config.php.dist</code>-et és hasonlóképp a metadata-templates mappát.<br />
<br />
====Konfigurációs fájlok szerkesztése====<br />
<br />
=====Baseurlpath beállítása=====<br />
<br />
- Állítsuk be a baseurlpath opciót. Mutasson a telepítés URL-jére, ahol a SimpleSAMLphp elérhető:<br />
<br />
<code>'baseurlpath' => 'https://your.canonical.host.name/simplesaml/',</code><br />
<br />
=====Adminisztrációs adatok beállítása=====<br />
<br />
* '''Az "admin" felhasználó jelszavát, mellyel webes felületen keresztül be tud lépni a települő SSP-be.'''<br />
'auth.adminpassword' => 'ujjelszotirdide',<br />
* '''Titkosítási feladatokhoz szükséges "salt", azaz véletlenszerűen összeálló karaktersorozat'''<br />
'secretsalt' => 'randombytesinsertedhere',<br />
A karaktersorozat előállításában segíthet az alábbi parancs: <br />
tr -c -d '0123456789abcdefghijklmnopqrstuvwxyz' </dev/urandom | dd bs=32 count=1 2>/dev/null;echo<br />
* '''Elérhetőségeket, amely adatok bekerülnek majd a generált metaadatba'''<br />
'technicalcontact_name' => 'Gipsz Jakab',<br />
'technicalcontact_email' => 'jakab.gipsz@example.org',<br />
* '''Nyelv és időzóna adatok'''<br />
'language.default' => 'hu',<br />
'timezone' => 'Europe/Budapest',<br />
<br />
Az alapadatok megadása után mentsük és zárjuk be a '''config.php'''-t.<br />
<br />
=====Naplózás beállítása=====<br />
<br />
Alapértelmezetten a SimpleSAMLphp a '''syslog'''-ba irányítja a naplózást.<br />
<br />
Ha fájlba akarunk naplózni, akkor a megfelelő könyvtárhoz biztosítsunk írás jogot a webszerver felhasználónak, és ne felejtsünk el gondoskodni a naplófájlok rotálásáról!<br />
<br />
* Naplózási szint beállítása a '''config/config.php'''-ban<br />
'debug' => array(<br />
'saml' => true,<br />
'backtraces' => true,<br />
'validatexml' => false,<br />
),<br />
'logging.level' => SimpleSAML\Logger::DEBUG,<br />
'logging.handler' => 'file',<br />
<br />
<span style="color:red">A "SimpleSAML\Logger::DEBUG" a legrészletesebb naplózási beállítás, éles rendszernél nem ajánlott csak hiba keresés esetén.</span><br />
<br />
<br />
=====Modulok engedélyezése=====<br />
'module.enable' => [<br />
'exampleauth' => true,<br />
'saml' => false, //<br />
'core' => null, // Alapértelmezett érték<br />
'ldap' => true, // 2.x verzióban külön telepíteni és engedélyezni kell az ldap modult.<br />
'admin' => true, // Ezt szükséges engedélyezni hogy elérhessük az adminisztrációs felületet<br />
],<br />
<br />
=====Tanúsítvány készítése=====<br />
<br />
<span style="color:red">Nem ajánlott a SimpleSAMLphp-hoz és webszerverhez ugyanazt a tanúsítvány használni!</span><br />
<br />
* A SimpleSAMLphp alapértelmezetten a tanúsítványt a '''cert''' mappában keresi.<br />
<br />
* Az alábbi paranccsal egy 10 éves [[FedCerts | self-signed tanúsítvány]] generálunk a SimpleSMALphp számára.<br />
openssl req -new -newkey rsa:3072 -x509 -days 3652 -nodes -out cert/saml-example-org.crt -keyout cert/saml-example-org.key<br />
<br />
A fingerprint az alábbi módon kérdezhető le a legegyszerűbben<br />
openssl x509 -fingerprint -noout -in cert/saml-example-org.crt<br />
<br />
===Telepítés kész===<br />
Amennyiben elkészültünk a fenti lépésekkel, úgy a [https://service.example.org/simplesaml/admin https://service.example.org/simplesaml/admin] címen elérjük a telepített SSP-nk webes adminfelületét.<br />
<br />
==Identity Provider (IdP) beállítás==<br />
===Alapbeállítások===<br />
'''IdP''' engedélyezése: a '''config/config.php''' fájlban kell a saml20 idp-t "true"-re állítani.<br />
'enable.saml20-idp' => true,<br />
<br />
===metadata/saml20-idp-hosted.php===<br />
<br />
<?php<br />
<br />
$metadata['https://example.org/saml-idp'] = [<br />
/*<br />
* The hostname for this IdP. This makes it possible to run multiple<br />
* IdPs from the same configuration. '__DEFAULT__' means that this one<br />
* should be used by default.<br />
*/<br />
'host' => '__DEFAULT__',<br />
<br />
/*<br />
* The private key and certificate to use when signing responses.<br />
* These can be stored as files in the cert-directory or retrieved<br />
* from a database.<br />
*/<br />
'privatekey' => 'example.org.pem',<br />
'certificate' => 'example.org.crt',<br />
<br />
/*<br />
* The authentication source which should be used to authenticate the<br />
* user. This must match one of the entries in config/authsources.php.<br />
*/<br />
'auth' => 'example-ldap',<br />
];<br />
<br />
A fentebb hivatkozott certeket korábban létrehoztuk, de az example-ldap auth forrást még nem:<br />
<br />
===LDAP autentikáció===<br />
<br />
Javasolt az LDAP-ban egy olyan bejegyzést létrehozni az IdP számára, amely olvasni tudja a felhasználóknak a föderációban használt attribútumait. Az azonosítás alapértelmezett módon a felhasználó nevében történő újra bind-olással történik, így a jelszóhoz nem kell hozzáférést adni.<br />
<br />
Ahhoz, hogy megadhassuk az LDAP-hoz tartozó beállításokat, a <code>config/authsources.php</code> fájlt kell szerkesztenünk. Az alábbi kódrészletet elegendő beszúrni, és az egyes változóknak a helyi LDAP-nak megfelelő adatokat értékül adni.<br />
<source lang="php"><br />
'example-ldap' => [<br />
'ldap:Ldap',<br />
<br />
/**<br />
* The connection string for the LDAP-server.<br />
* You can add multiple by separating them with a space.<br />
*/<br />
'connection_string' => 'ldap.example.org',<br />
<br />
/**<br />
* Whether SSL/TLS should be used when contacting the LDAP server.<br />
* Possible values are 'ssl', 'tls' or 'none'<br />
*/<br />
'encryption' => 'ssl',<br />
<br />
/**<br />
* The LDAP version to use when interfacing the LDAP-server.<br />
* Defaults to 3<br />
*/<br />
'version' => 3,<br />
<br />
/**<br />
* Set to TRUE to enable LDAP debug level. Passed to the LDAP connector class.<br />
*<br />
* Default: FALSE<br />
* Required: No<br />
*/<br />
'debug' => false,<br />
<br />
/**<br />
* The LDAP-options to pass when setting up a connection<br />
* See [Symfony documentation]<br />
*/<br />
'options' => [<br />
/**<br />
* Set whether to follow referrals.<br />
* AD Controllers may require 0x00 to function.<br />
* Possible values are 0x00 (NEVER), 0x01 (SEARCHING),<br />
* 0x02 (FINDING) or 0x03 (ALWAYS).<br />
*/<br />
'referrals' => 0x00,<br />
<br />
'network_timeout' => 3,<br />
],<br />
<br />
/**<br />
* The connector to use.<br />
* Defaults to '\SimpleSAML\Module\ldap\Connector\Ldap', but can be set<br />
* to '\SimpleSAML\Module\ldap\Connector\ActiveDirectory' when<br />
* authenticating against Microsoft Active Directory. This will<br />
* provide you with more specific error messages.<br />
*/<br />
'connector' => '\SimpleSAML\Module\ldap\Connector\Ldap',<br />
<br />
/**<br />
* Which attributes should be retrieved from the LDAP server.<br />
* This can be an array of attribute names, or NULL, in which case<br />
* all attributes are fetched.<br />
*/<br />
'attributes' => null,<br />
<br />
/**<br />
* Which attributes should be base64 encoded after retrieval from<br />
* the LDAP server.<br />
*/<br />
'attributes.binary' => [<br />
'jpegPhoto',<br />
'objectGUID',<br />
'objectSid',<br />
'mS-DS-ConsistencyGuid'<br />
],<br />
<br />
/**<br />
* The pattern which should be used to create the user's DN given<br />
* the username. %username% in this pattern will be replaced with<br />
* the user's username.<br />
*<br />
* This option is not used if the search.enable option is set to TRUE.<br />
*/<br />
'dnpattern' => 'uid=%username%,ou=people,dc=example,dc=org',<br />
<br />
/**<br />
* As an alternative to specifying a pattern for the users DN, it is<br />
* possible to search for the username in a set of attributes. This is<br />
* enabled by this option.<br />
*/<br />
'search.enable' => false,<br />
<br />
/**<br />
* An array on DNs which will be used as a base for the search. In<br />
* case of multiple strings, they will be searched in the order given.<br />
*/<br />
'search.base' => [<br />
'ou=people,dc=example,dc=org',<br />
],<br />
<br />
/**<br />
* The scope of the search. Valid values are 'sub' and 'one' and<br />
* 'base', first one being the default if no value is set.<br />
*/<br />
'search.scope' => 'sub',<br />
<br />
/**<br />
* The attribute(s) the username should match against.<br />
*<br />
* This is an array with one or more attribute names. Any of the<br />
* attributes in the array may match the value the username.<br />
*/<br />
'search.attributes' => ['uid', 'mail'],<br />
<br />
/**<br />
* Additional filters that must match for the entire LDAP search to<br />
* be true.<br />
*<br />
* This should be a single string conforming to [RFC 1960]<br />
* and [RFC 2544]. The string is appended to the search attributes<br />
*/<br />
'search.filter' => '(&(objectClass=Person)(|(sn=Doe)(cn=John *)))',<br />
<br />
/**<br />
* The username & password where SimpleSAMLphp should bind to before<br />
* searching. If this is left NULL, no bind will be performed before<br />
* searching.<br />
*/<br />
'search.username' => null,<br />
'search.password' => null,<br />
],<br />
</source><br />
<br />
===Metaadat alapok===<br />
A beállítandó IdP alapvető paraméterei a <code>metadata/saml20-idp-hosted.php</code> fájlban állíthatók. Az alábbi kódrészlet egy minimális, de már működő példát mutat.<br />
<source lang="php"><br />
$metadata['__DYNAMIC:1__'] = array(<br />
/*<br />
* The hostname for this IdP. This makes it possible to run multiple<br />
* IdPs from the same configuration. '__DEFAULT__' means that this one<br />
* should be used by default.<br />
*/<br />
'host' => '__DEFAULT__',<br />
<br />
/*<br />
* The private key and certificate to use when signing responses.<br />
* These are stored in the cert-directory.<br />
*/<br />
'privatekey' => 'saml-example-org.key',<br />
'certificate' => 'saml-example-org.crt',<br />
<br />
/*<br />
* The authentication source which should be used to authenticate the<br />
* user. This must match one of the entries in config/authsources.php.<br />
*/<br />
'auth' => 'example-ldap',<br />
);<br />
</source><br />
<br />
Megfelelő beállítások után a dinamikusan generált metadata a <code>/saml2/idp/metadata.php</code> útvonalon érhető el.<br />
<br />
===Tesztelés===<br />
Legegyszerűbben a telepített SSP felületén tudjuk ellenőrizni, hogy a beállított autentikációs forrás működik-e. A felületen az Authentication fül alatt található egy 'Test authentication sources' link, amelyre kattintva látható minden beállított autentikációs forrás is, így a két alapértelmezett, teszt célokat szolgáló alatt a most beállított example-ldap névre hallgatónak is meg kell jelenni. (A közvetlen url erre az oldalra: simplesaml/module.php/core/authenticate.php) Ez utóbbira kattintva a beállított LDAP-ból autentikálva be kell tudnunk jelentkeznünk; siker esetén az LDAP-ból kinyerhető attribútumokat láthatjuk.<br />
<br />
==Service Provider (SP) beállítás==<br />
===Alapbeállítások===<br />
<br />
A telepített alkalmazásunk által kezelt SP-ket a '''config/authsources.php''' fájlban tudjuk beállítani. Az ''entityID, idp, discoURL'' értékeket most hagyjuk ''NULL'' értéken és adjuk hozzá a '''privatekey''' / '''certificate''' részt.<br />
<br />
A SimpleSAMLphp a tanúsítvány fájlokat a korábban létrehozott '''cert''' mappában fogja keresni, a fájlokat elég relatív elérési úttal megadni.<br />
<br />
<source lang="php"><br />
'default-sp' => array(<br />
'saml:SP',<br />
<br />
// The entity ID of this SP.<br />
// Can be NULL/unset, in which case an entity ID is generated based on the metadata URL.<br />
'entityID' => NULL,<br />
<br />
// The entity ID of the IdP this should SP should contact.<br />
// Can be NULL/unset, in which case the user will be shown a list of available IdPs.<br />
'idp' => NULL,<br />
<br />
// The URL to the discovery service.<br />
// Can be NULL/unset, in which case a builtin discovery service will be used.<br />
'discoURL' => NULL,<br />
<br />
'privatekey' => 'saml-example-org.key',<br />
'certificate' => 'saml-example-org.crt',<br />
<br />
),<br />
</source><br />
<br />
A fenti beállítások alapján az SP entityID-ja megegyezik a metadata elérési útvonalával (szokásos megoldás SSP-nél), nem adunk meg alapértelmezett idp-t, ezáltal az SSP választási lehetőséget kínál fel számunkra, mikor az SP-re szeretnénk bejelentkezni, ill. most még Discovery Service URL-t sem adunk meg, hanem a beépítettet használjuk. Ez utóbbit majd a HREF-be történő integrációkor meg kell változtatni - lásd lejjebb.<br />
<br />
<br />
Az SP készen áll arra, hogy összekössük egy IdP-vel (ez jellemzően szintén egy SimpleSAMLphp alkalmazás). Ehhez szükséges, hogy SP oldalon beállítsuk az IdP metadata-t és IdP oldalon is beállítsuk az SP metadata-t.<br />
<br />
====Metadata====<br />
====Metadata fájlok====<br />
A különböző metadata template fájlok a '''metadata-templates''' mappában találhatóak. A nekünk szükséges template fájlt másoljuk át a metadata mappába.<br />
<br />
* '''SP''' oldalon lennie kell egy''' metadata/saml20-idp-remote.php''' fájlnak. Ez a fájl tartalmazza az IdP eléréséhez szükséges adatokat.<br />
cp metadata-templates/saml20-idp-remote.php metadata<br />
<br />
* '''IdP''' oldalon lennie kell egy '''metadata/saml20-sp-remote.php''' fájlnak. Ez a fájl tartalmazza az SP eléréséhez szükséges adatokat.<br />
cp metadata-templates/saml20-sp-remote.php metadata<br />
<br />
====Metadata letöltés====<br />
<br />
Ezen az oldalon megtaláljuk az SP vagy IdP-re vonatkozó '''metadata'''-t, '''XML''' és '''PHP''' formátumban: https://example.org/simplesaml/module.php/saml/sp/metadata.php/default-sp?output=xhtml<br />
<br />
====SP metadata beállítás IdP oldalon====<br />
<br />
A metadata '''simplesaml''' kezdőlapon, az alábbi helyen érhető el:<br />
* Magyar nyelv esetén: "Föderáció" fül / "SAML 2.0 SP Metaadatok" pont alatt a "Mutasd a metaadatokat" linkre kattintva juthatunk el a fenti menüponthoz.<br />
* Angol nyelv esetén: "Federation" fül / "SAML 2.0 SP Metadata" pont alatt a "Show metadata" linkre kattintva juthatunk el a fenti menüponthoz.<br />
<br />
<br />
A "''SimpleSAMLphp fájl formátumban - akkor használható, ha a másik oldalon SimpleSAMLphp van''" mezőből tegyük a vágólapra az alábbi PHP kódot:<br />
<br />
<source lang="php"><br />
$metadata['https://example.org/simplesaml/module.php/saml/sp/metadata.php/default-sp'] = array (<br />
'SingleLogoutService' => <br />
array (<br />
0 => <br />
array (<br />
'Binding' => 'urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Redirect',<br />
'Location' => 'https://example.org/simplesaml/module.php/saml/sp/saml2-logout.php/default-sp',<br />
),<br />
),<br />
'AssertionConsumerService' => <br />
array (<br />
0 => <br />
array (<br />
'index' => 0,<br />
'Binding' => 'urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST',<br />
'Location' => 'https://example.org/simplesaml/module.php/saml/sp/saml2-acs.php/default-sp',<br />
),<br />
1 => <br />
array (<br />
'index' => 1,<br />
'Binding' => 'urn:oasis:names:tc:SAML:1.0:profiles:browser-post',<br />
'Location' => 'https://example.org/simplesaml/module.php/saml/sp/saml1-acs.php/default-sp',<br />
),<br />
2 => <br />
array (<br />
'index' => 2,<br />
'Binding' => 'urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Artifact',<br />
'Location' => 'https://example.org/simplesaml/module.php/saml/sp/saml2-acs.php/default-sp',<br />
),<br />
3 => <br />
array (<br />
'index' => 3,<br />
'Binding' => 'urn:oasis:names:tc:SAML:1.0:profiles:artifact-01',<br />
'Location' => 'https://example.org/simplesaml/module.php/saml/sp/saml1-acs.php/default-sp/artifact',<br />
),<br />
),<br />
'contacts' => <br />
array (<br />
0 => <br />
array (<br />
'emailAddress' => 'admin@example.org',<br />
'contactType' => 'technical',<br />
'givenName' => 'Example Corp. IT Dept.',<br />
),<br />
),<br />
'certData' => 'AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA==',<br />
);<br />
</source><br />
<br />
A vágólapra másolt kódot IdP oldalon, a '''metadata/saml20-sp-remote.php''' fájl végére illesszük be.<br />
<br />
====IdP metadata beállítás SP oldalon====<br />
<br />
A metadata '''simplesaml''' kezdőlapon, az alábbi helyen érhető el:<br />
* Magyar nyelv esetén: "Föderáció" fül / "SAML 2.0 IdP Metaadatok" pont alatt a "Mutasd a metaadatokat" linkre kattintva juthatunk el a fenti menüponthoz.<br />
* Angol nyelv esetén: "Federation" fül / "SAML 2.0 IdP Metadata" pont alatt a "Show metadata" linkre kattintva juthatunk el a fenti menüponthoz.<br />
<br />
<br />
A "''SimpleSAMLphp fájl formátumban - akkor használható, ha a másik oldalon SimpleSAMLphp van''" mezőből tegyük a vágólapra az alábbi PHP kódot:<br />
<br />
<source lang="php"><br />
$metadata['https://idp.example.org/simplesaml/saml2/idp/metadata.php'] = array (<br />
'metadata-set' => 'saml20-idp-remote',<br />
'entityid' => 'https://idp.example.org/simplesaml/saml2/idp/metadata.php',<br />
'SingleSignOnService' => <br />
array (<br />
0 => <br />
array (<br />
'Binding' => 'urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Redirect',<br />
'Location' => 'https://idp.example.org/simplesaml/saml2/idp/SSOService.php',<br />
),<br />
),<br />
'SingleLogoutService' => <br />
array (<br />
0 => <br />
array (<br />
'Binding' => 'urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Redirect',<br />
'Location' => 'https://idp.example.org/simplesaml/saml2/idp/SingleLogoutService.php',<br />
),<br />
),<br />
'certData' => 'AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA==',<br />
'NameIDFormat' => 'urn:oasis:names:tc:SAML:2.0:nameid-format:transient',<br />
);<br />
</source><br />
<br />
A vágólapra másolt kódot SP oldalon, a '''metadata/saml20-idp-remote.php''' fájl végére illesszük be. <br />
<br />
===Tesztelés===<br />
<br />
A fent elvégzett alapbeállítások után már tudjuk tesztelni a, hogy a felépített IdP - SP kapcsolat működik-e.<br />
<br />
SP oldalon nyissuk meg a '''simplesaml''' kezdőlapot:<br />
<br />
* Magyar nyelv esetén: "Azonosítás (autentikáció)" fül / "Azonosítási (autentikációs) beállítások tesztelése" link / "default-sp" link-re kattintva tudjuk tesztelni az IdP - SP kapcsolatot.<br />
* Angol nyelv esetén: "Authentication" fül / "Test configured authentication sources" link / "default-sp" link-re kattintva tudjuk tesztelni az IdP - SP kapcsolatot.<br />
<br />
A legördülő menüben az IdP-nk "nevére" kattintva, be kell tudnunk jelentkezni (az IdP-n keresztül). Ha működik, akkor az IdP visszairányít az SP-re, kiírja az azonosított felhasználó attribútumait. <br />
<br />
Az alapvető lépsekkel kész vagyunk, van egy működő SP-nk és egy működő IdP-nk.<br />
<br />
==HREF-integráció==<br />
<br />
===Metadata beállítása (IdP és SP is)===<br />
Javasolt [[MDX | dinamikus metaadatforrást (MDX)]] használni, opcionálisan kiegészítve statikus állományokkal. Részletes leírás itt: [[SimpleSAMLMixedMetadata]]<br />
<br />
===IdP===<br />
Amennyiben van SSP alapú IdP-nk, melyet szeretnénk a föderáció részévé tenni, úgy a teendők a következők.<br />
* (Az adminisztratív teendőktől itt most eltekintünk, a csatlakozás folyamata [[HREFJoin|itt van leírva]])<br />
* Kell küldeni egy levelet a [mailto:info@eduid.hu info@eduid.hu] címre, benne néhány mondat mellett az IdP metaadatának URL-jével (https://example.org/simplesamlphp/saml2/idp/metadata.php)<br />
* Ha minden rendben megy, akkor az IdP bekerül a [[Resource_Registry]]-be, ezáltal a föderációs metaadatba is.<br />
* Az előző pontban leírt módon be kell állítani a központi metadata feldolgozását.<br />
* Amennyiben a föderációs metaadatban már szerepel a mi IdP-nk is, úgy a föderáció valamelyik, tesztelési célokat szolgáló SP-jénél ki is próbálhatjuk a bejelentkezést. <br />
<br />
:'''Fontos''', hogy a föderációs Discovery Service óránként generálja újra az IdP-k listáját, így ennyi idő mindenképp szükséges, hogy az új IdP megjelenjen itt, az egyes SP-k pedig két óránként töltik újra a metaadatot, így előfordulhat, hogy azonnal nem fog minden működni, de néhány óra alatt várhatóan beindul. :)<br />
<br />
:Tesztelésre használható oldal: https://attributes.eduid.hu<br />
<br />
* Ahhoz, hogy a Resource Registry-be is be tudjunk lépni és az IdP további, a föderációra vonatkozó beállításait meg tudjuk ejteni, ehhez az IdP-nek ki kell adnia az alábbi attribútumokat:<br />
** [[HREFAttributeSpec#mail|mail]] - ez belépés után, manuálisan is beállítható<br />
** [[HREFAttributeSpec#eduPersonPrincipalName|eduPersonPrincipalName]]<br />
** <del>[[HREFAttributeSpec#schacHomeOrganizationType|schacHomeOrganizationType]]</del> (az attribútumot hamarosan kivezetjük a kötelező attribútumok közül)<br />
** [[HREFAttributeSpec#eduScopedAffiliation|eduPersonScopedAffiliation]]<br />
<br />
<br />
====Attribútumok kezelése====<br />
Beállított IdP-nk alapértelmezés szerint azokat az attribútumokat adja ki, melyeket a metaadat alapján az SP kért (Lásd a metadatában a RequestedAttribute elemeket), és egyúttal alapból meg tudta szerezni a felhasználói adatbázisból, esetünkben az LDAP-ból. Mivel néhány attribútum nem szerepel az LDAP-ban, hanem az IdP-ben kell előállítani, így pár helyen módosítanunk kell az alapértelmezett konfiguráción.<br />
<br />
A <code>metadata/saml20-idp-hosted.php</code> fájlba szerkesszük be az alábbi kódrészlet értelemszerűen módosított változatát. Az <code>'auth' => 'example-ldap',</code> sor alatt kezdjük. Fontos, hogy egyúttal a config.php <code>authproc.idp</code> részét kikommentezzük, nehogy az ottani sorszámokkal megadott default feladatok bekavarjanak.<br />
<br />
<source lang="php"><br />
'AttributeNameFormat' => 'urn:oasis:names:tc:SAML:2.0:attrname-format:uri',<br />
'userid.attribute' => 'uid', // Itt adjuk meg, hogy mely, az LDAPból származó attribútum alapján fogja az IdP kiszámítani az eduPersonTargetedID-t<br />
'authproc' => array(<br />
10 => array(<br />
'class' => 'core:AttributeMap',<br />
'uid' => 'eduPersonPrincipalName'<br />
//Itt az 'uid' az az attribútum az LDAP-ban, amely a felhasználó azonosítóját tartalmazza, mert ebből képezzük az eduPersonPrincipalName-t.<br />
),<br />
# 20 => array(<br />
# 'class' => 'core:AttributeAdd',<br />
# 'schacHomeOrganizationType' => array('urn:schac:homeOrganizationType:hu:university')<br />
# //Kötelező statikus attribútum az [[HREFAttributeSpec#schacHomeOrganizationType|intézmény jellegének]] megfelelően<br />
# ),<br />
30 => array(<br />
'class' => 'core:AttributeAlter',<br />
'subject' => 'eduPersonPrincipalName',<br />
'pattern' => '/^.*$/',<br />
'replacement' => '${0}@intezmenydomain.hu',<br />
// Itt adjuk hozzá az intézményi scope-ot az eduPersonPrincipalName már meglévő értékéhez<br />
),<br />
40 => array(<br />
'class' => 'core:AttributeAlter',<br />
'subject' => 'eduPersonAffiliation',<br />
'pattern' => '/^.*$/',<br />
'replacement' => '${0}@intezmenydomain.hu',<br />
// Itt adjuk hozzá az intézményi scope-ot az eduPersonAffiliation már meglévő értékéhez<br />
),<br />
50 => array(<br />
'class' => 'core:AttributeMap',<br />
'eduPersonAffiliation' => 'eduPersonScopedAffiliation'<br />
// Az LDAP-ból eduPersonAffiliation-ként érkező attribútumból föderációs elvárásoknak megfelelően eduPersonScopedAffiliationt készítünk<br />
),<br />
60 => array(<br />
'class' => 'core:AttributeAdd',<br />
'eduPersonScopedAffiliation' => array('member@intezmenydomain.hu')<br />
// Az eduPersonScopedAffiliation-ben tesztelés céljából kiadhatjuk member értéket, <br />
// így ha LDAP-ból nem jön érték, akkor is láthatjuk, hogy működik az attribútum kiadás <br />
),<br />
61 => array(<br />
'class' => 'core:TargetedID',<br />
'nameId' => TRUE,<br />
),<br />
// Itt állítjuk be, hogy az IdP előállítson és kiadhasson állandóazonosítóként eduPersonTargetedID-t, ha kérik<br />
70 => array('class' => 'core:AttributeMap',<br />
'name2oid'<br />
// Az LDAP-os attribútum nevekből itt kreálunk szabványos urn:oid formátumúakat<br />
),<br />
80 => 'core:AttributeLimit',<br />
), // .authproc<br />
'simplesaml.nameidattribute' => 'eduPersonPrincipalName',<br />
'attributeencodings' => array(<br />
'urn:oid:1.3.6.1.4.1.5923.1.1.1.10' => 'raw',<br />
),<br />
'sign.logout' => true<br />
</source><br />
<br />
<br />
: További tudnivalók a [[Resource_Registry|Resource Registry-ről]], ill. a [[HREFAttributeSpec|Föderációs attribútum specifikációról]].<br />
<br />
* Ha minden rendben ment, akkor a Resource Registry-ben regisztrált IdP-hez tartozó adminisztrációs jogok átkerülnek az IdP technikai gazdájához, s ezzel a folyamat kész is.<br />
<br />
===SP===<br />
Amennyiben IdP-t is beállítottunk, és be is tudunk lépni a Resource Registry-be, úgy nincs más dolgunk, mint az RR-ben új SP-t hozzáadni a föderációhoz, amely a megfelelő átfutási idő után a föderáció minden tagjánál látható is lesz.<br />
<br />
Ellenkező esetben (nincs IdP, és nem is tervezünk beállítani), akkor az IdP hozzáadásánál részletezett pontokon kell végig menni a metaadat betöltéséig, s a továbbiakat az említett e-mail címen megbeszélni.<br />
<br />
<br />
<br />
====Attribútum scopeok használata====<br />
A HREF föderáció IdP-i ún. scopeolt attribútumokat is használnak. Ez a scopeolás azt jelenti, hogy minden egyes IdP csak a saját scopejában ad ki attribútumokat, és a Shibboleth SP-k ezt ellenőrzik is. A scope és az attribútum valódi értéke egy '@' karakterrel kerül elválasztásra (ilyen attribútumok jelenleg: [[HREFAttributeSpec#eduPersonAffiliation|eduPersonScopedAffiliation]] illetve [[HREFAttributeSpec#eduPersonPrincipalName|eduPersonPrincipalName]]).<br />
<br />
A SimpleSAMLphp alapértelmezett telepítése nem szűri a hibásan scopeolt értékeket. Kiegészítő modulként szűrésre használható az NIIF által fejlesztett [https://github.com/NIIF/simplesamlphp-module-attributescope attributescope modul], ami reményeink szerint rövid távon a hivatalos SimpleSAMLphp kiadás része lehet.<br />
<br />
A telepítésről és konfigurációról bővebben itt lehet olvasni: https://github.com/NIIF/simplesamlphp-module-attributescope<br />
<br />
: Az <code>attributescope</code> modul használata esetén a következőképp kell módosítani a <code>config/config.php</code> fájlt:<br />
<source lang="php"><br />
authproc.sp = array(<br />
...<br />
// 49 => array('class' => 'core:AttributeMap', 'oid2name'),<br />
50 => array( 'class' => 'attributescope:FilterAttributes'<br />
),<br />
...<br />
),<br />
</source><br />
Figyeljünk arra, hogy mire a modulhoz ér a vezérlés, az attribútumok nevei ''friendlyName'' alakúak legyenek (ne pedig ''oid''-ok). A példában erre utal a 49-es sor.<br />
<br />
[[Category: AAI]] [[Category: simpleSAMLphp]] [[Category: HOWTO]]</div>Matteo(AT)niif.huhttps://wiki.niif.hu/index.php?title=SSP2&diff=5038SSP22024-08-13T08:44:52Z<p>Matteo(AT)niif.hu: </p>
<hr />
<div>Az alábbi lapon megkíséreljük összefoglalni a legfontosabb lépéseket, melyek általános esetben elegendőek ahhoz, hogy működő SimpleSAMLphp (SSP) alkalmazást állítsunk üzembe.<br />
<br />
==Telepítés==<br />
Először is nagyvonalakban leírásra kerülnek az előkészületek ezt követően pedig maga a szoftver telepítése és beállítása.<br />
===Előkészületek===<br />
Ahhoz, hogy problémamentesen telepíthessük SSP alkalmazásunkat, az alábbi szoftverkomponenseknek kell működniük szerverünkön.<br />
* A következő könyvtárakat kiegészítőket telepíteni kell: <code>wget openssl unzip build-essential libldap2-dev libldap-common</code><br />
* PHP futtatására alkalmas webszerver<br />
* PHP környezet (>=8.0)<br />
* A következő PHP kiterjesztéseket engedélyezni kell<br />
** <code>posix, date , dom , fileinfo , filter , hash , json , libxml , mbstring , openssl , pcre , session , simplexml , sodium , SPL, zlib, ldap</code><br />
** Adatbázisból történő autentikáció esetén a megfelelő adatbázis-csatolót <code>mysqli, pdo, pdo_mysql</code><br />
** RADIUS szerveren keresztül történő autentikáció esetén: <code>radius</code><br />
* Információk, certek:<br />
** Bár a szoftver képes futni mariadb, és redis nélkül, ezek vagy hasonló megoldások használata éles környezetben ajánlott.<br />
*** Amennyiben ezeket szándékozunk használni database connection stringgel kell rendelkezni, redis elérhetőséggel és jelszóval rendelkezni.<br />
*** Az adatbázis szerkezetének kialakítása a használt moduloktól függ, a leggyakoribb a consent modul, ott van is dokumentáció az adatbázis inicializálásáról.<br />
<br />
** Szükséges 2 certpár, az egyik az apachenak a másik az SSP-nek ezutóbbi lehet önalárírt, és nem ajánlott ugyan azt használni.<br />
<br />
====Composer====<br />
<br />
A '''[https://getcomposer.org composer]''' PHP csomagkezelőt is telepíteni kell (akár forrásból, akár csomagból), hogy telepíteni lehessen a SimpleSAMLphp futásához szükséges PHP library-ket.<br />
<br />
===Telepítés===<br />
Elvégezhető composerrel például a <code>/var/</code> mappában:<br />
<br />
<code>composer create-project simplesamlphp/simplesamlphp:2.1.3</code><br />
Mappaszerkezet módosítása:<br />
<br />
mv simplesamlphp simplesamlphp-prod #Tetszőleges átnevezés<br />
mkdir -p simplesamlphp-prod/cert<br />
mkdir -p /var/simplesamlphp-prod/log/stats/<br />
mkdir -p /var/simplesamlphp-prod/mdx-cache/<br />
chown -R www-data:www-data /var/simplesamlphp-prod/mdx-cache/<br />
chown -R www-data:www-data /var/simplesamlphp-prod/log/<br />
chown -R www-data:www-data /var/simplesamlphp-prod/metadata/<br />
<br />
<br />
Composerrel a szükséges modulok telepítése (például LDAP, REDIS, vagy consent):<br />
<br />
composer require simplesamlphp/simplesamlphp-module-ldap:v2.3.2<br />
composer require predis/predis:2.2.2<br />
composer require simplesamlphp/simplesamlphp-module-consent:1.3.2<br />
<br />
Ezzel a telepítés, és a szükséges kiegészítők telepítése megtörtént.<br />
<br />
<br />
===Apache konfigurálás===<br />
<br />
A webről csak a <code>/var/simplesamlphp-prod/public</code> könyvtárat kell elérni. '''Tilos''' a teljes simplesamlphp könyvtárat a DocumentRoot alá tenni!<br />
<br />
Alias /simplesaml /var/simplesamlphp-prod/public<br />
<Directory /var/simplesamlphp-prod/public><br />
Options Indexes FollowSymLinks MultiViews<br />
Require all granted<br />
</Directory><br />
===Alapbeállítások===<br />
====Konfigurációs fájlok másolása====<br />
Mielőtt aktiváljuk valamelyik főszolgáltatását (IdP,SP...) a telepített alkalmazásnak, néhány beállítást meg kell adnunk a <code>config/config.php</code> és <code>config/authsources.php</code> konfigurációs fájlokban.<br />
<br />
* '''config.php''' másolása a '''config-templates''' mappából<br />
cp config-templates/config.php config/<br />
<br />
* '''authsources.php''' másolása a '''config-templates''' mappából<br />
cp config-templates/authsources.php config/<br />
<br />
<span style="color:green">A '''config.php''' és '''authsources.php''' fájlok másolása utána ellenőrizzük, hogy a SimpleSAMLphp működik-e, a https://example.org/simplesaml oldalon.</span><br />
<br />
====Konfigurációs fájlok szerkesztése====<br />
=====Adminisztrációs adatok beállítása=====<br />
<br />
Amennyiben az SimpleSAMLphp kezdőlapja hiba nélkül megjelent, akkor nyissuk meg a '''config/config.php''' fájl szerkesztésre és végezzük el az alábbi beállításokat.<br />
<br />
* '''Az "admin" felhasználó jelszavát, mellyel webes felületen keresztül be tud lépni a települő SSP-be.'''<br />
'auth.adminpassword' => 'ujjelszotirdide',<br />
* '''Titkosítási feladatokhoz szükséges "salt", azaz véletlenszerűen összeálló karaktersorozat'''<br />
'secretsalt' => 'randombytesinsertedhere',<br />
A karaktersorozat előállításában segíthet az alábbi parancs: <br />
tr -c -d '0123456789abcdefghijklmnopqrstuvwxyz' </dev/urandom | dd bs=32 count=1 2>/dev/null;echo<br />
* '''Elérhetőségeket, amely adatok bekerülnek majd a generált metaadatba'''<br />
'technicalcontact_name' => 'Gipsz Jakab',<br />
'technicalcontact_email' => 'jakab.gipsz@example.org',<br />
* '''Nyelv és időzóna adatok'''<br />
'language.default' => 'hu',<br />
'timezone' => 'Europe/Budapest',<br />
<br />
Az alapadatok megadása után mentsük és zárjuk be a '''config.php'''-t.<br />
<br />
=====Naplózás beállítása=====<br />
<br />
Alapértelmezetten a SimpleSAMLphp a '''syslog'''-ba irányítja a naplózást.<br />
<br />
Ha fájlba akarunk naplózni, akkor a megfelelő könyvtárhoz biztosítsunk írás jogot a webszerver felhasználónak, és ne felejtsünk el gondoskodni a naplófájlok rotálásáról!<br />
<br />
* '''log''' mappa létrehozása és jogosultság beállítása<br />
sudo mkdir log; sudo chown www-data:adm log; sudo chmod 755 log<br />
<br />
* Naplózási szint beállítása a '''config/config.php'''-ban<br />
'debug' => array(<br />
'saml' => true,<br />
'backtraces' => true,<br />
'validatexml' => false,<br />
),<br />
'logging.level' => SimpleSAML\Logger::DEBUG,<br />
'logging.handler' => 'file',<br />
<br />
<span style="color:red">A "SimpleSAML\Logger::DEBUG" a legrészletesebb naplózási beállítás, éles rendszernél nem ajánlott csak hiba keresés esetén.</span><br />
<br />
=====Tanúsítvány készítése=====<br />
<br />
<span style="color:red">Nem ajánlott a SimpleSAMLphp-hoz és webszerverhez ugyanazt a tanúsítvány használni!</span><br />
<br />
* A SimpleSAMLphp alapértelmezetten a tanúsítványt a '''cert''' mappában keresi.<br />
mkdir cert<br />
<br />
* Az alábbi paranccsal egy 10 éves [[FedCerts | self-signed tanúsítvány]] generálunk a SimpleSMALphp számára.<br />
openssl req -new -newkey rsa:2048 -x509 -days 3652 -nodes -out cert/saml-example-org.crt -keyout cert/saml-example-org.key<br />
<br />
A fingerprint az alábbi módon kérdezhető le a legegyszerűbben<br />
openssl x509 -fingerprint -noout -in cert/saml-example-org.crt<br />
<br />
===Telepítés kész===<br />
Amennyiben elkészültünk a fenti lépésekkel, úgy a [https://service.example.org/simplesaml/ https://service.example.org/simplesaml/] címen elérjük a telepített SSP-nk webes adminfelületét, ahol megejthetjük a további beállítások nagy részét.<br />
<br />
==Identity Provider (IdP) beállítás==<br />
===Alapbeállítások===<br />
'''IdP''' engedélyezése: a '''config/config.php''' fájlban kell a saml20 idp-t "true"-re állítani.<br />
'enable.saml20-idp' => true,<br />
<br />
===LDAP autentikáció===<br />
Meg kell adni, hogy az IdP milyen módon azonosítsa a felhasználót, amennyiben alapértelmezés szerint nem engedélyezett modult szeretnénk használni, úgy a megfelelő modult a <code>modules</code> könyvtár alatt engedélyezni kell. Az alábbi példában az LDAP alapú azonosítást mutatjuk be, amely külön modult nem igényel, alapértelmezés szerint része a telepített alkalmazásnak.<br />
<br />
Javasolt az LDAP-ban egy olyan bejegyzést létrehozni az IdP számára, amely olvasni tudja a felhasználóknak a föderációban használt attribútumait. Az azonosítás alapértelmezett módon a felhasználó nevében történő újra bind-olással történik, így a jelszóhoz nem kell hozzáférést adni.<br />
<br />
Ahhoz, hogy megadhassuk az LDAP-hoz tartozó beállításokat, a <code>config/authsources.php</code> fájlt kell szerkesztenünk. Az alábbi kódrészletet elegendő beszúrni, és az egyes változóknak a helyi LDAP-nak megfelelő adatokat értékül adni.<br />
<source lang="php"><br />
'example-ldap' => array(<br />
'ldap:LDAP',<br />
<br />
/* The hostname of the LDAP server. */<br />
'hostname' => 'ldap.example.org',<br />
<br />
/* Whether SSL/TLS should be used when contacting the LDAP server. */<br />
'enable_tls' => FALSE,<br />
<br />
/*<br />
* Which attributes should be retrieved from the LDAP server.<br />
* This can be an array of attribute names, or NULL, in which case<br />
* all attributes are fetched.<br />
*/<br />
'attributes' => NULL,<br />
<br />
/*<br />
* The pattern which should be used to create the users DN given the username.<br />
* %username% in this pattern will be replaced with the users username.<br />
*<br />
* This option is not used if the search.enable option is set to TRUE.<br />
'dnpattern' => 'uid=%username%,ou=people,dc=example,dc=org',<br />
*/<br />
<br />
/*<br />
* As an alternative to specifying a pattern for the users DN, it is possible to<br />
* search for the username in a set of attributes. This is enabled by this option.<br />
*/<br />
'search.enable' => TRUE,<br />
<br />
/*<br />
* The DN which will be used as a base for the search.<br />
* This can be a single string, in which case only that DN is searched, or an<br />
* array of strings, in which case they will be searched in the order given.<br />
*/<br />
'search.base' => 'ou=people,dc=example,dc=org',<br />
<br />
/*<br />
* The attribute(s) the username should match against.<br />
*<br />
* This is an array with one or more attribute names. Any of the attributes in<br />
* the array may match the value the username.<br />
*/<br />
'search.attributes' => array('uid', 'mail'),<br />
<br />
/*<br />
* The username & password the simpleSAMLphp should bind to before searching. If<br />
* this is left as NULL, no bind will be performed before searching.<br />
*/<br />
'search.username' => 'cn=simplesamlphp,dc=example,dc=org',<br />
'search.password' => 'servicepassword',<br />
<br />
'priv.read' => TRUE,<br />
// The DN & password the SimpleSAMLphp should bind to before<br />
// retrieving attributes. These options are required if<br />
// 'priv.read' is set to TRUE.<br />
'priv.username' => 'cn=simplesamlphp,dc=example,dc=org',<br />
'priv.password' => 'servicepassword;,<br />
),<br />
</source><br />
<br />
===Metaadat alapok===<br />
A beállítandó IdP alapvető paraméterei a <code>metadata/saml20-idp-hosted.php</code> fájlban állíthatók. Az alábbi kódrészlet egy minimális, de már működő példát mutat.<br />
<source lang="php"><br />
$metadata['__DYNAMIC:1__'] = array(<br />
/*<br />
* The hostname for this IdP. This makes it possible to run multiple<br />
* IdPs from the same configuration. '__DEFAULT__' means that this one<br />
* should be used by default.<br />
*/<br />
'host' => '__DEFAULT__',<br />
<br />
/*<br />
* The private key and certificate to use when signing responses.<br />
* These are stored in the cert-directory.<br />
*/<br />
'privatekey' => 'saml-example-org.key',<br />
'certificate' => 'saml-example-org.crt',<br />
<br />
/*<br />
* The authentication source which should be used to authenticate the<br />
* user. This must match one of the entries in config/authsources.php.<br />
*/<br />
'auth' => 'example-ldap',<br />
);<br />
</source><br />
<br />
Megfelelő beállítások után a dinamikusan generált metadata a <code>/saml2/idp/metadata.php</code> útvonalon érhető el.<br />
<br />
===Tesztelés===<br />
Legegyszerűbben a telepített SSP felületén tudjuk ellenőrizni, hogy a beállított autentikációs forrás működik-e. A felületen az Authentication fül alatt található egy 'Test authentication sources' link, amelyre kattintva látható minden beállított autentikációs forrás is, így a két alapértelmezett, teszt célokat szolgáló alatt a most beállított example-ldap névre hallgatónak is meg kell jelenni. (A közvetlen url erre az oldalra: simplesaml/module.php/core/authenticate.php) Ez utóbbira kattintva a beállított LDAP-ból autentikálva be kell tudnunk jelentkeznünk; siker esetén az LDAP-ból kinyerhető attribútumokat láthatjuk.<br />
<br />
==Service Provider (SP) beállítás==<br />
===Alapbeállítások===<br />
<br />
A telepített alkalmazásunk által kezelt SP-ket a '''config/authsources.php''' fájlban tudjuk beállítani. Az ''entityID, idp, discoURL'' értékeket most hagyjuk ''NULL'' értéken és adjuk hozzá a '''privatekey''' / '''certificate''' részt.<br />
<br />
A SimpleSAMLphp a tanúsítvány fájlokat a korábban létrehozott '''cert''' mappában fogja keresni, a fájlokat elég relatív elérési úttal megadni.<br />
<br />
<source lang="php"><br />
'default-sp' => array(<br />
'saml:SP',<br />
<br />
// The entity ID of this SP.<br />
// Can be NULL/unset, in which case an entity ID is generated based on the metadata URL.<br />
'entityID' => NULL,<br />
<br />
// The entity ID of the IdP this should SP should contact.<br />
// Can be NULL/unset, in which case the user will be shown a list of available IdPs.<br />
'idp' => NULL,<br />
<br />
// The URL to the discovery service.<br />
// Can be NULL/unset, in which case a builtin discovery service will be used.<br />
'discoURL' => NULL,<br />
<br />
'privatekey' => 'saml-example-org.key',<br />
'certificate' => 'saml-example-org.crt',<br />
<br />
),<br />
</source><br />
<br />
A fenti beállítások alapján az SP entityID-ja megegyezik a metadata elérési útvonalával (szokásos megoldás SSP-nél), nem adunk meg alapértelmezett idp-t, ezáltal az SSP választási lehetőséget kínál fel számunkra, mikor az SP-re szeretnénk bejelentkezni, ill. most még Discovery Service URL-t sem adunk meg, hanem a beépítettet használjuk. Ez utóbbit majd a HREF-be történő integrációkor meg kell változtatni - lásd lejjebb.<br />
<br />
<br />
Az SP készen áll arra, hogy összekössük egy IdP-vel (ez jellemzően szintén egy SimpleSAMLphp alkalmazás). Ehhez szükséges, hogy SP oldalon beállítsuk az IdP metadata-t és IdP oldalon is beállítsuk az SP metadata-t.<br />
<br />
====Metadata====<br />
====Metadata fájlok====<br />
A különböző metadata template fájlok a '''metadata-templates''' mappában találhatóak. A nekünk szükséges template fájlt másoljuk át a metadata mappába.<br />
<br />
* '''SP''' oldalon lennie kell egy''' metadata/saml20-idp-remote.php''' fájlnak. Ez a fájl tartalmazza az IdP eléréséhez szükséges adatokat.<br />
cp metadata-templates/saml20-idp-remote.php metadata<br />
<br />
* '''IdP''' oldalon lennie kell egy '''metadata/saml20-sp-remote.php''' fájlnak. Ez a fájl tartalmazza az SP eléréséhez szükséges adatokat.<br />
cp metadata-templates/saml20-sp-remote.php metadata<br />
<br />
====Metadata letöltés====<br />
<br />
Ezen az oldalon megtaláljuk az SP vagy IdP-re vonatkozó '''metadata'''-t, '''XML''' és '''PHP''' formátumban: https://example.org/simplesaml/module.php/saml/sp/metadata.php/default-sp?output=xhtml<br />
<br />
====SP metadata beállítás IdP oldalon====<br />
<br />
A metadata '''simplesaml''' kezdőlapon, az alábbi helyen érhető el:<br />
* Magyar nyelv esetén: "Föderáció" fül / "SAML 2.0 SP Metaadatok" pont alatt a "Mutasd a metaadatokat" linkre kattintva juthatunk el a fenti menüponthoz.<br />
* Angol nyelv esetén: "Federation" fül / "SAML 2.0 SP Metadata" pont alatt a "Show metadata" linkre kattintva juthatunk el a fenti menüponthoz.<br />
<br />
<br />
A "''SimpleSAMLphp fájl formátumban - akkor használható, ha a másik oldalon SimpleSAMLphp van''" mezőből tegyük a vágólapra az alábbi PHP kódot:<br />
<br />
<source lang="php"><br />
$metadata['https://example.org/simplesaml/module.php/saml/sp/metadata.php/default-sp'] = array (<br />
'SingleLogoutService' => <br />
array (<br />
0 => <br />
array (<br />
'Binding' => 'urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Redirect',<br />
'Location' => 'https://example.org/simplesaml/module.php/saml/sp/saml2-logout.php/default-sp',<br />
),<br />
),<br />
'AssertionConsumerService' => <br />
array (<br />
0 => <br />
array (<br />
'index' => 0,<br />
'Binding' => 'urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST',<br />
'Location' => 'https://example.org/simplesaml/module.php/saml/sp/saml2-acs.php/default-sp',<br />
),<br />
1 => <br />
array (<br />
'index' => 1,<br />
'Binding' => 'urn:oasis:names:tc:SAML:1.0:profiles:browser-post',<br />
'Location' => 'https://example.org/simplesaml/module.php/saml/sp/saml1-acs.php/default-sp',<br />
),<br />
2 => <br />
array (<br />
'index' => 2,<br />
'Binding' => 'urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Artifact',<br />
'Location' => 'https://example.org/simplesaml/module.php/saml/sp/saml2-acs.php/default-sp',<br />
),<br />
3 => <br />
array (<br />
'index' => 3,<br />
'Binding' => 'urn:oasis:names:tc:SAML:1.0:profiles:artifact-01',<br />
'Location' => 'https://example.org/simplesaml/module.php/saml/sp/saml1-acs.php/default-sp/artifact',<br />
),<br />
),<br />
'contacts' => <br />
array (<br />
0 => <br />
array (<br />
'emailAddress' => 'admin@example.org',<br />
'contactType' => 'technical',<br />
'givenName' => 'Example Corp. IT Dept.',<br />
),<br />
),<br />
'certData' => 'AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA==',<br />
);<br />
</source><br />
<br />
A vágólapra másolt kódot IdP oldalon, a '''metadata/saml20-sp-remote.php''' fájl végére illesszük be.<br />
<br />
====IdP metadata beállítás SP oldalon====<br />
<br />
A metadata '''simplesaml''' kezdőlapon, az alábbi helyen érhető el:<br />
* Magyar nyelv esetén: "Föderáció" fül / "SAML 2.0 IdP Metaadatok" pont alatt a "Mutasd a metaadatokat" linkre kattintva juthatunk el a fenti menüponthoz.<br />
* Angol nyelv esetén: "Federation" fül / "SAML 2.0 IdP Metadata" pont alatt a "Show metadata" linkre kattintva juthatunk el a fenti menüponthoz.<br />
<br />
<br />
A "''SimpleSAMLphp fájl formátumban - akkor használható, ha a másik oldalon SimpleSAMLphp van''" mezőből tegyük a vágólapra az alábbi PHP kódot:<br />
<br />
<source lang="php"><br />
$metadata['https://idp.example.org/simplesaml/saml2/idp/metadata.php'] = array (<br />
'metadata-set' => 'saml20-idp-remote',<br />
'entityid' => 'https://idp.example.org/simplesaml/saml2/idp/metadata.php',<br />
'SingleSignOnService' => <br />
array (<br />
0 => <br />
array (<br />
'Binding' => 'urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Redirect',<br />
'Location' => 'https://idp.example.org/simplesaml/saml2/idp/SSOService.php',<br />
),<br />
),<br />
'SingleLogoutService' => <br />
array (<br />
0 => <br />
array (<br />
'Binding' => 'urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Redirect',<br />
'Location' => 'https://idp.example.org/simplesaml/saml2/idp/SingleLogoutService.php',<br />
),<br />
),<br />
'certData' => 'AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA==',<br />
'NameIDFormat' => 'urn:oasis:names:tc:SAML:2.0:nameid-format:transient',<br />
);<br />
</source><br />
<br />
A vágólapra másolt kódot SP oldalon, a '''metadata/saml20-idp-remote.php''' fájl végére illesszük be. <br />
<br />
===Tesztelés===<br />
<br />
A fent elvégzett alapbeállítások után már tudjuk tesztelni a, hogy a felépített IdP - SP kapcsolat működik-e.<br />
<br />
SP oldalon nyissuk meg a '''simplesaml''' kezdőlapot:<br />
<br />
* Magyar nyelv esetén: "Azonosítás (autentikáció)" fül / "Azonosítási (autentikációs) beállítások tesztelése" link / "default-sp" link-re kattintva tudjuk tesztelni az IdP - SP kapcsolatot.<br />
* Angol nyelv esetén: "Authentication" fül / "Test configured authentication sources" link / "default-sp" link-re kattintva tudjuk tesztelni az IdP - SP kapcsolatot.<br />
<br />
A legördülő menüben az IdP-nk "nevére" kattintva, be kell tudnunk jelentkezni (az IdP-n keresztül). Ha működik, akkor az IdP visszairányít az SP-re, kiírja az azonosított felhasználó attribútumait. <br />
<br />
Az alapvető lépsekkel kész vagyunk, van egy működő SP-nk és egy működő IdP-nk.<br />
<br />
==HREF-integráció==<br />
<br />
===Metadata beállítása (IdP és SP is)===<br />
Javasolt [[MDX | dinamikus metaadatforrást (MDX)]] használni, opcionálisan kiegészítve statikus állományokkal. Részletes leírás itt: [[SimpleSAMLMixedMetadata]]<br />
<br />
===IdP===<br />
Amennyiben van SSP alapú IdP-nk, melyet szeretnénk a föderáció részévé tenni, úgy a teendők a következők.<br />
* (Az adminisztratív teendőktől itt most eltekintünk, a csatlakozás folyamata [[HREFJoin|itt van leírva]])<br />
* Kell küldeni egy levelet a [mailto:info@eduid.hu info@eduid.hu] címre, benne néhány mondat mellett az IdP metaadatának URL-jével (https://example.org/simplesamlphp/saml2/idp/metadata.php)<br />
* Ha minden rendben megy, akkor az IdP bekerül a [[Resource_Registry]]-be, ezáltal a föderációs metaadatba is.<br />
* Az előző pontban leírt módon be kell állítani a központi metadata feldolgozását.<br />
* Amennyiben a föderációs metaadatban már szerepel a mi IdP-nk is, úgy a föderáció valamelyik, tesztelési célokat szolgáló SP-jénél ki is próbálhatjuk a bejelentkezést. <br />
<br />
:'''Fontos''', hogy a föderációs Discovery Service óránként generálja újra az IdP-k listáját, így ennyi idő mindenképp szükséges, hogy az új IdP megjelenjen itt, az egyes SP-k pedig két óránként töltik újra a metaadatot, így előfordulhat, hogy azonnal nem fog minden működni, de néhány óra alatt várhatóan beindul. :)<br />
<br />
:Tesztelésre használható oldal: https://attributes.eduid.hu<br />
<br />
* Ahhoz, hogy a Resource Registry-be is be tudjunk lépni és az IdP további, a föderációra vonatkozó beállításait meg tudjuk ejteni, ehhez az IdP-nek ki kell adnia az alábbi attribútumokat:<br />
** [[HREFAttributeSpec#mail|mail]] - ez belépés után, manuálisan is beállítható<br />
** [[HREFAttributeSpec#eduPersonPrincipalName|eduPersonPrincipalName]]<br />
** <del>[[HREFAttributeSpec#schacHomeOrganizationType|schacHomeOrganizationType]]</del> (az attribútumot hamarosan kivezetjük a kötelező attribútumok közül)<br />
** [[HREFAttributeSpec#eduScopedAffiliation|eduPersonScopedAffiliation]]<br />
<br />
<br />
====Attribútumok kezelése====<br />
Beállított IdP-nk alapértelmezés szerint azokat az attribútumokat adja ki, melyeket a metaadat alapján az SP kért (Lásd a metadatában a RequestedAttribute elemeket), és egyúttal alapból meg tudta szerezni a felhasználói adatbázisból, esetünkben az LDAP-ból. Mivel néhány attribútum nem szerepel az LDAP-ban, hanem az IdP-ben kell előállítani, így pár helyen módosítanunk kell az alapértelmezett konfiguráción.<br />
<br />
A <code>metadata/saml20-idp-hosted.php</code> fájlba szerkesszük be az alábbi kódrészlet értelemszerűen módosított változatát. Az <code>'auth' => 'example-ldap',</code> sor alatt kezdjük. Fontos, hogy egyúttal a config.php <code>authproc.idp</code> részét kikommentezzük, nehogy az ottani sorszámokkal megadott default feladatok bekavarjanak.<br />
<br />
<source lang="php"><br />
'AttributeNameFormat' => 'urn:oasis:names:tc:SAML:2.0:attrname-format:uri',<br />
'userid.attribute' => 'uid', // Itt adjuk meg, hogy mely, az LDAPból származó attribútum alapján fogja az IdP kiszámítani az eduPersonTargetedID-t<br />
'authproc' => array(<br />
10 => array(<br />
'class' => 'core:AttributeMap',<br />
'uid' => 'eduPersonPrincipalName'<br />
//Itt az 'uid' az az attribútum az LDAP-ban, amely a felhasználó azonosítóját tartalmazza, mert ebből képezzük az eduPersonPrincipalName-t.<br />
),<br />
# 20 => array(<br />
# 'class' => 'core:AttributeAdd',<br />
# 'schacHomeOrganizationType' => array('urn:schac:homeOrganizationType:hu:university')<br />
# //Kötelező statikus attribútum az [[HREFAttributeSpec#schacHomeOrganizationType|intézmény jellegének]] megfelelően<br />
# ),<br />
30 => array(<br />
'class' => 'core:AttributeAlter',<br />
'subject' => 'eduPersonPrincipalName',<br />
'pattern' => '/^.*$/',<br />
'replacement' => '${0}@intezmenydomain.hu',<br />
// Itt adjuk hozzá az intézményi scope-ot az eduPersonPrincipalName már meglévő értékéhez<br />
),<br />
40 => array(<br />
'class' => 'core:AttributeAlter',<br />
'subject' => 'eduPersonAffiliation',<br />
'pattern' => '/^.*$/',<br />
'replacement' => '${0}@intezmenydomain.hu',<br />
// Itt adjuk hozzá az intézményi scope-ot az eduPersonAffiliation már meglévő értékéhez<br />
),<br />
50 => array(<br />
'class' => 'core:AttributeMap',<br />
'eduPersonAffiliation' => 'eduPersonScopedAffiliation'<br />
// Az LDAP-ból eduPersonAffiliation-ként érkező attribútumból föderációs elvárásoknak megfelelően eduPersonScopedAffiliationt készítünk<br />
),<br />
60 => array(<br />
'class' => 'core:AttributeAdd',<br />
'eduPersonScopedAffiliation' => array('member@intezmenydomain.hu')<br />
// Az eduPersonScopedAffiliation-ben tesztelés céljából kiadhatjuk member értéket, <br />
// így ha LDAP-ból nem jön érték, akkor is láthatjuk, hogy működik az attribútum kiadás <br />
),<br />
61 => array(<br />
'class' => 'core:TargetedID',<br />
'nameId' => TRUE,<br />
),<br />
// Itt állítjuk be, hogy az IdP előállítson és kiadhasson állandóazonosítóként eduPersonTargetedID-t, ha kérik<br />
70 => array('class' => 'core:AttributeMap',<br />
'name2oid'<br />
// Az LDAP-os attribútum nevekből itt kreálunk szabványos urn:oid formátumúakat<br />
),<br />
80 => 'core:AttributeLimit',<br />
), // .authproc<br />
'simplesaml.nameidattribute' => 'eduPersonPrincipalName',<br />
'attributeencodings' => array(<br />
'urn:oid:1.3.6.1.4.1.5923.1.1.1.10' => 'raw',<br />
),<br />
'sign.logout' => true<br />
</source><br />
<br />
<br />
: További tudnivalók a [[Resource_Registry|Resource Registry-ről]], ill. a [[HREFAttributeSpec|Föderációs attribútum specifikációról]].<br />
<br />
* Ha minden rendben ment, akkor a Resource Registry-ben regisztrált IdP-hez tartozó adminisztrációs jogok átkerülnek az IdP technikai gazdájához, s ezzel a folyamat kész is.<br />
<br />
===SP===<br />
Amennyiben IdP-t is beállítottunk, és be is tudunk lépni a Resource Registry-be, úgy nincs más dolgunk, mint az RR-ben új SP-t hozzáadni a föderációhoz, amely a megfelelő átfutási idő után a föderáció minden tagjánál látható is lesz.<br />
<br />
Ellenkező esetben (nincs IdP, és nem is tervezünk beállítani), akkor az IdP hozzáadásánál részletezett pontokon kell végig menni a metaadat betöltéséig, s a továbbiakat az említett e-mail címen megbeszélni.<br />
<br />
<br />
<br />
====Attribútum scopeok használata====<br />
A HREF föderáció IdP-i ún. scopeolt attribútumokat is használnak. Ez a scopeolás azt jelenti, hogy minden egyes IdP csak a saját scopejában ad ki attribútumokat, és a Shibboleth SP-k ezt ellenőrzik is. A scope és az attribútum valódi értéke egy '@' karakterrel kerül elválasztásra (ilyen attribútumok jelenleg: [[HREFAttributeSpec#eduPersonAffiliation|eduPersonScopedAffiliation]] illetve [[HREFAttributeSpec#eduPersonPrincipalName|eduPersonPrincipalName]]).<br />
<br />
A SimpleSAMLphp alapértelmezett telepítése nem szűri a hibásan scopeolt értékeket. Kiegészítő modulként szűrésre használható az NIIF által fejlesztett [https://github.com/NIIF/simplesamlphp-module-attributescope attributescope modul], ami reményeink szerint rövid távon a hivatalos SimpleSAMLphp kiadás része lehet.<br />
<br />
A telepítésről és konfigurációról bővebben itt lehet olvasni: https://github.com/NIIF/simplesamlphp-module-attributescope<br />
<br />
: Az <code>attributescope</code> modul használata esetén a következőképp kell módosítani a <code>config/config.php</code> fájlt:<br />
<source lang="php"><br />
authproc.sp = array(<br />
...<br />
// 49 => array('class' => 'core:AttributeMap', 'oid2name'),<br />
50 => array( 'class' => 'attributescope:FilterAttributes'<br />
),<br />
...<br />
),<br />
</source><br />
Figyeljünk arra, hogy mire a modulhoz ér a vezérlés, az attribútumok nevei ''friendlyName'' alakúak legyenek (ne pedig ''oid''-ok). A példában erre utal a 49-es sor.<br />
<br />
[[Category: AAI]] [[Category: simpleSAMLphp]] [[Category: HOWTO]]</div>Matteo(AT)niif.huhttps://wiki.niif.hu/index.php?title=SSP2&diff=5037SSP22024-08-13T08:44:00Z<p>Matteo(AT)niif.hu: </p>
<hr />
<div>Az alábbi lapon megkíséreljük összefoglalni a legfontosabb lépéseket, melyek általános esetben elegendőek ahhoz, hogy működő SimpleSAMLphp (SSP) alkalmazást állítsunk üzembe.<br />
<br />
==Telepítés==<br />
Először is nagyvonalakban leírásra kerülnek az előkészületek ezt követően pedig maga a szoftver telepítése és beállítása.<br />
===Előkészületek===<br />
Ahhoz, hogy problémamentesen telepíthessük SSP alkalmazásunkat, az alábbi szoftverkomponenseknek kell működniük szerverünkön.<br />
* A következő könyvtárakat kiegészítőket telepíteni kell: <code>wget openssl unzip build-essential libldap2-dev libldap-common</code><br />
* PHP futtatására alkalmas webszerver<br />
* PHP környezet (>=8.0)<br />
* A következő PHP kiterjesztéseket engedélyezni kell<br />
** <code>posix, date , dom , fileinfo , filter , hash , json , libxml , mbstring , openssl , pcre , session , simplexml , sodium , SPL, zlib, ldap</code><br />
** Adatbázisból történő autentikáció esetén a megfelelő adatbázis-csatolót <code>mysqli, pdo, pdo_mysql</code><br />
** RADIUS szerveren keresztül történő autentikáció esetén: <code>radius</code><br />
* Információk, certek:<br />
** Bár a szoftver képes futni mariadb, és redis nélkül, ezek vagy hasonló megoldások használata éles környezetben ajánlott.<br />
*** Amennyiben ezeket szándékozunk használni database connection stringgel kell rendelkezni, redis elérhetőséggel és jelszóval rendelkezni.<br />
*** Az adatbázis szerkezetének kialakítása a használt moduloktól függ, a leggyakoribb a consent modul, ott van is dokumentáció az adatbázis inicializálásáról.<br />
<br />
** Szükséges 2 certpár, az egyik az apachenak a másik az SSP-nek ezutóbbi lehet önalárírt, és nem ajánlott ugyan azt használni.<br />
<br />
====Composer====<br />
<br />
A '''[https://getcomposer.org composer]''' PHP csomagkezelőt is telepíteni kell (akár forrásból, akár csomagból), hogy telepíteni lehessen a SimpleSAMLphp futásához szükséges PHP library-ket.<br />
<br />
===Telepítés===<br />
Elvégezhető composerrel például a <code>/var/</code> mappában:<br />
<br />
<code>composer create-project simplesamlphp/simplesamlphp:2.1.3</code><br />
Mappaszerkezet módosítása:<br />
<code><br />
mv simplesamlphp simplesamlphp-prod #Tetszőleges átnevezés<br />
mkdir -p simplesamlphp-prod/cert<br />
mkdir -p /var/simplesamlphp-prod/log/stats/<br />
mkdir -p /var/simplesamlphp-prod/mdx-cache/<br />
chown -R www-data:www-data /var/simplesamlphp-prod/mdx-cache/<br />
chown -R www-data:www-data /var/simplesamlphp-prod/log/<br />
chown -R www-data:www-data /var/simplesamlphp-prod/metadata/<br />
</code><br />
<br />
Composerrel a szükséges modulok telepítése (például LDAP, REDIS, vagy consent):<br />
<code><br />
composer require simplesamlphp/simplesamlphp-module-ldap:v2.3.2<br />
composer require predis/predis:2.2.2<br />
composer require simplesamlphp/simplesamlphp-module-consent:1.3.2<br />
</code><br />
Ezzel a telepítés, és a szükséges kiegészítők telepítése megtörtént.<br />
<br />
<br />
===Apache konfigurálás===<br />
<br />
A webről csak a <code>/var/simplesamlphp-prod/public</code> könyvtárat kell elérni. '''Tilos''' a teljes simplesamlphp könyvtárat a DocumentRoot alá tenni!<br />
<br />
Alias /simplesaml /var/simplesamlphp-prod/public<br />
<Directory /var/simplesamlphp-prod/public><br />
Options Indexes FollowSymLinks MultiViews<br />
Require all granted<br />
</Directory><br />
===Alapbeállítások===<br />
====Konfigurációs fájlok másolása====<br />
Mielőtt aktiváljuk valamelyik főszolgáltatását (IdP,SP...) a telepített alkalmazásnak, néhány beállítást meg kell adnunk a <code>config/config.php</code> és <code>config/authsources.php</code> konfigurációs fájlokban.<br />
<br />
* '''config.php''' másolása a '''config-templates''' mappából<br />
cp config-templates/config.php config/<br />
<br />
* '''authsources.php''' másolása a '''config-templates''' mappából<br />
cp config-templates/authsources.php config/<br />
<br />
<span style="color:green">A '''config.php''' és '''authsources.php''' fájlok másolása utána ellenőrizzük, hogy a SimpleSAMLphp működik-e, a https://example.org/simplesaml oldalon.</span><br />
<br />
====Konfigurációs fájlok szerkesztése====<br />
=====Adminisztrációs adatok beállítása=====<br />
<br />
Amennyiben az SimpleSAMLphp kezdőlapja hiba nélkül megjelent, akkor nyissuk meg a '''config/config.php''' fájl szerkesztésre és végezzük el az alábbi beállításokat.<br />
<br />
* '''Az "admin" felhasználó jelszavát, mellyel webes felületen keresztül be tud lépni a települő SSP-be.'''<br />
'auth.adminpassword' => 'ujjelszotirdide',<br />
* '''Titkosítási feladatokhoz szükséges "salt", azaz véletlenszerűen összeálló karaktersorozat'''<br />
'secretsalt' => 'randombytesinsertedhere',<br />
A karaktersorozat előállításában segíthet az alábbi parancs: <br />
tr -c -d '0123456789abcdefghijklmnopqrstuvwxyz' </dev/urandom | dd bs=32 count=1 2>/dev/null;echo<br />
* '''Elérhetőségeket, amely adatok bekerülnek majd a generált metaadatba'''<br />
'technicalcontact_name' => 'Gipsz Jakab',<br />
'technicalcontact_email' => 'jakab.gipsz@example.org',<br />
* '''Nyelv és időzóna adatok'''<br />
'language.default' => 'hu',<br />
'timezone' => 'Europe/Budapest',<br />
<br />
Az alapadatok megadása után mentsük és zárjuk be a '''config.php'''-t.<br />
<br />
=====Naplózás beállítása=====<br />
<br />
Alapértelmezetten a SimpleSAMLphp a '''syslog'''-ba irányítja a naplózást.<br />
<br />
Ha fájlba akarunk naplózni, akkor a megfelelő könyvtárhoz biztosítsunk írás jogot a webszerver felhasználónak, és ne felejtsünk el gondoskodni a naplófájlok rotálásáról!<br />
<br />
* '''log''' mappa létrehozása és jogosultság beállítása<br />
sudo mkdir log; sudo chown www-data:adm log; sudo chmod 755 log<br />
<br />
* Naplózási szint beállítása a '''config/config.php'''-ban<br />
'debug' => array(<br />
'saml' => true,<br />
'backtraces' => true,<br />
'validatexml' => false,<br />
),<br />
'logging.level' => SimpleSAML\Logger::DEBUG,<br />
'logging.handler' => 'file',<br />
<br />
<span style="color:red">A "SimpleSAML\Logger::DEBUG" a legrészletesebb naplózási beállítás, éles rendszernél nem ajánlott csak hiba keresés esetén.</span><br />
<br />
=====Tanúsítvány készítése=====<br />
<br />
<span style="color:red">Nem ajánlott a SimpleSAMLphp-hoz és webszerverhez ugyanazt a tanúsítvány használni!</span><br />
<br />
* A SimpleSAMLphp alapértelmezetten a tanúsítványt a '''cert''' mappában keresi.<br />
mkdir cert<br />
<br />
* Az alábbi paranccsal egy 10 éves [[FedCerts | self-signed tanúsítvány]] generálunk a SimpleSMALphp számára.<br />
openssl req -new -newkey rsa:2048 -x509 -days 3652 -nodes -out cert/saml-example-org.crt -keyout cert/saml-example-org.key<br />
<br />
A fingerprint az alábbi módon kérdezhető le a legegyszerűbben<br />
openssl x509 -fingerprint -noout -in cert/saml-example-org.crt<br />
<br />
===Telepítés kész===<br />
Amennyiben elkészültünk a fenti lépésekkel, úgy a [https://service.example.org/simplesaml/ https://service.example.org/simplesaml/] címen elérjük a telepített SSP-nk webes adminfelületét, ahol megejthetjük a további beállítások nagy részét.<br />
<br />
==Identity Provider (IdP) beállítás==<br />
===Alapbeállítások===<br />
'''IdP''' engedélyezése: a '''config/config.php''' fájlban kell a saml20 idp-t "true"-re állítani.<br />
'enable.saml20-idp' => true,<br />
<br />
===LDAP autentikáció===<br />
Meg kell adni, hogy az IdP milyen módon azonosítsa a felhasználót, amennyiben alapértelmezés szerint nem engedélyezett modult szeretnénk használni, úgy a megfelelő modult a <code>modules</code> könyvtár alatt engedélyezni kell. Az alábbi példában az LDAP alapú azonosítást mutatjuk be, amely külön modult nem igényel, alapértelmezés szerint része a telepített alkalmazásnak.<br />
<br />
Javasolt az LDAP-ban egy olyan bejegyzést létrehozni az IdP számára, amely olvasni tudja a felhasználóknak a föderációban használt attribútumait. Az azonosítás alapértelmezett módon a felhasználó nevében történő újra bind-olással történik, így a jelszóhoz nem kell hozzáférést adni.<br />
<br />
Ahhoz, hogy megadhassuk az LDAP-hoz tartozó beállításokat, a <code>config/authsources.php</code> fájlt kell szerkesztenünk. Az alábbi kódrészletet elegendő beszúrni, és az egyes változóknak a helyi LDAP-nak megfelelő adatokat értékül adni.<br />
<source lang="php"><br />
'example-ldap' => array(<br />
'ldap:LDAP',<br />
<br />
/* The hostname of the LDAP server. */<br />
'hostname' => 'ldap.example.org',<br />
<br />
/* Whether SSL/TLS should be used when contacting the LDAP server. */<br />
'enable_tls' => FALSE,<br />
<br />
/*<br />
* Which attributes should be retrieved from the LDAP server.<br />
* This can be an array of attribute names, or NULL, in which case<br />
* all attributes are fetched.<br />
*/<br />
'attributes' => NULL,<br />
<br />
/*<br />
* The pattern which should be used to create the users DN given the username.<br />
* %username% in this pattern will be replaced with the users username.<br />
*<br />
* This option is not used if the search.enable option is set to TRUE.<br />
'dnpattern' => 'uid=%username%,ou=people,dc=example,dc=org',<br />
*/<br />
<br />
/*<br />
* As an alternative to specifying a pattern for the users DN, it is possible to<br />
* search for the username in a set of attributes. This is enabled by this option.<br />
*/<br />
'search.enable' => TRUE,<br />
<br />
/*<br />
* The DN which will be used as a base for the search.<br />
* This can be a single string, in which case only that DN is searched, or an<br />
* array of strings, in which case they will be searched in the order given.<br />
*/<br />
'search.base' => 'ou=people,dc=example,dc=org',<br />
<br />
/*<br />
* The attribute(s) the username should match against.<br />
*<br />
* This is an array with one or more attribute names. Any of the attributes in<br />
* the array may match the value the username.<br />
*/<br />
'search.attributes' => array('uid', 'mail'),<br />
<br />
/*<br />
* The username & password the simpleSAMLphp should bind to before searching. If<br />
* this is left as NULL, no bind will be performed before searching.<br />
*/<br />
'search.username' => 'cn=simplesamlphp,dc=example,dc=org',<br />
'search.password' => 'servicepassword',<br />
<br />
'priv.read' => TRUE,<br />
// The DN & password the SimpleSAMLphp should bind to before<br />
// retrieving attributes. These options are required if<br />
// 'priv.read' is set to TRUE.<br />
'priv.username' => 'cn=simplesamlphp,dc=example,dc=org',<br />
'priv.password' => 'servicepassword;,<br />
),<br />
</source><br />
<br />
===Metaadat alapok===<br />
A beállítandó IdP alapvető paraméterei a <code>metadata/saml20-idp-hosted.php</code> fájlban állíthatók. Az alábbi kódrészlet egy minimális, de már működő példát mutat.<br />
<source lang="php"><br />
$metadata['__DYNAMIC:1__'] = array(<br />
/*<br />
* The hostname for this IdP. This makes it possible to run multiple<br />
* IdPs from the same configuration. '__DEFAULT__' means that this one<br />
* should be used by default.<br />
*/<br />
'host' => '__DEFAULT__',<br />
<br />
/*<br />
* The private key and certificate to use when signing responses.<br />
* These are stored in the cert-directory.<br />
*/<br />
'privatekey' => 'saml-example-org.key',<br />
'certificate' => 'saml-example-org.crt',<br />
<br />
/*<br />
* The authentication source which should be used to authenticate the<br />
* user. This must match one of the entries in config/authsources.php.<br />
*/<br />
'auth' => 'example-ldap',<br />
);<br />
</source><br />
<br />
Megfelelő beállítások után a dinamikusan generált metadata a <code>/saml2/idp/metadata.php</code> útvonalon érhető el.<br />
<br />
===Tesztelés===<br />
Legegyszerűbben a telepített SSP felületén tudjuk ellenőrizni, hogy a beállított autentikációs forrás működik-e. A felületen az Authentication fül alatt található egy 'Test authentication sources' link, amelyre kattintva látható minden beállított autentikációs forrás is, így a két alapértelmezett, teszt célokat szolgáló alatt a most beállított example-ldap névre hallgatónak is meg kell jelenni. (A közvetlen url erre az oldalra: simplesaml/module.php/core/authenticate.php) Ez utóbbira kattintva a beállított LDAP-ból autentikálva be kell tudnunk jelentkeznünk; siker esetén az LDAP-ból kinyerhető attribútumokat láthatjuk.<br />
<br />
==Service Provider (SP) beállítás==<br />
===Alapbeállítások===<br />
<br />
A telepített alkalmazásunk által kezelt SP-ket a '''config/authsources.php''' fájlban tudjuk beállítani. Az ''entityID, idp, discoURL'' értékeket most hagyjuk ''NULL'' értéken és adjuk hozzá a '''privatekey''' / '''certificate''' részt.<br />
<br />
A SimpleSAMLphp a tanúsítvány fájlokat a korábban létrehozott '''cert''' mappában fogja keresni, a fájlokat elég relatív elérési úttal megadni.<br />
<br />
<source lang="php"><br />
'default-sp' => array(<br />
'saml:SP',<br />
<br />
// The entity ID of this SP.<br />
// Can be NULL/unset, in which case an entity ID is generated based on the metadata URL.<br />
'entityID' => NULL,<br />
<br />
// The entity ID of the IdP this should SP should contact.<br />
// Can be NULL/unset, in which case the user will be shown a list of available IdPs.<br />
'idp' => NULL,<br />
<br />
// The URL to the discovery service.<br />
// Can be NULL/unset, in which case a builtin discovery service will be used.<br />
'discoURL' => NULL,<br />
<br />
'privatekey' => 'saml-example-org.key',<br />
'certificate' => 'saml-example-org.crt',<br />
<br />
),<br />
</source><br />
<br />
A fenti beállítások alapján az SP entityID-ja megegyezik a metadata elérési útvonalával (szokásos megoldás SSP-nél), nem adunk meg alapértelmezett idp-t, ezáltal az SSP választási lehetőséget kínál fel számunkra, mikor az SP-re szeretnénk bejelentkezni, ill. most még Discovery Service URL-t sem adunk meg, hanem a beépítettet használjuk. Ez utóbbit majd a HREF-be történő integrációkor meg kell változtatni - lásd lejjebb.<br />
<br />
<br />
Az SP készen áll arra, hogy összekössük egy IdP-vel (ez jellemzően szintén egy SimpleSAMLphp alkalmazás). Ehhez szükséges, hogy SP oldalon beállítsuk az IdP metadata-t és IdP oldalon is beállítsuk az SP metadata-t.<br />
<br />
====Metadata====<br />
====Metadata fájlok====<br />
A különböző metadata template fájlok a '''metadata-templates''' mappában találhatóak. A nekünk szükséges template fájlt másoljuk át a metadata mappába.<br />
<br />
* '''SP''' oldalon lennie kell egy''' metadata/saml20-idp-remote.php''' fájlnak. Ez a fájl tartalmazza az IdP eléréséhez szükséges adatokat.<br />
cp metadata-templates/saml20-idp-remote.php metadata<br />
<br />
* '''IdP''' oldalon lennie kell egy '''metadata/saml20-sp-remote.php''' fájlnak. Ez a fájl tartalmazza az SP eléréséhez szükséges adatokat.<br />
cp metadata-templates/saml20-sp-remote.php metadata<br />
<br />
====Metadata letöltés====<br />
<br />
Ezen az oldalon megtaláljuk az SP vagy IdP-re vonatkozó '''metadata'''-t, '''XML''' és '''PHP''' formátumban: https://example.org/simplesaml/module.php/saml/sp/metadata.php/default-sp?output=xhtml<br />
<br />
====SP metadata beállítás IdP oldalon====<br />
<br />
A metadata '''simplesaml''' kezdőlapon, az alábbi helyen érhető el:<br />
* Magyar nyelv esetén: "Föderáció" fül / "SAML 2.0 SP Metaadatok" pont alatt a "Mutasd a metaadatokat" linkre kattintva juthatunk el a fenti menüponthoz.<br />
* Angol nyelv esetén: "Federation" fül / "SAML 2.0 SP Metadata" pont alatt a "Show metadata" linkre kattintva juthatunk el a fenti menüponthoz.<br />
<br />
<br />
A "''SimpleSAMLphp fájl formátumban - akkor használható, ha a másik oldalon SimpleSAMLphp van''" mezőből tegyük a vágólapra az alábbi PHP kódot:<br />
<br />
<source lang="php"><br />
$metadata['https://example.org/simplesaml/module.php/saml/sp/metadata.php/default-sp'] = array (<br />
'SingleLogoutService' => <br />
array (<br />
0 => <br />
array (<br />
'Binding' => 'urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Redirect',<br />
'Location' => 'https://example.org/simplesaml/module.php/saml/sp/saml2-logout.php/default-sp',<br />
),<br />
),<br />
'AssertionConsumerService' => <br />
array (<br />
0 => <br />
array (<br />
'index' => 0,<br />
'Binding' => 'urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST',<br />
'Location' => 'https://example.org/simplesaml/module.php/saml/sp/saml2-acs.php/default-sp',<br />
),<br />
1 => <br />
array (<br />
'index' => 1,<br />
'Binding' => 'urn:oasis:names:tc:SAML:1.0:profiles:browser-post',<br />
'Location' => 'https://example.org/simplesaml/module.php/saml/sp/saml1-acs.php/default-sp',<br />
),<br />
2 => <br />
array (<br />
'index' => 2,<br />
'Binding' => 'urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Artifact',<br />
'Location' => 'https://example.org/simplesaml/module.php/saml/sp/saml2-acs.php/default-sp',<br />
),<br />
3 => <br />
array (<br />
'index' => 3,<br />
'Binding' => 'urn:oasis:names:tc:SAML:1.0:profiles:artifact-01',<br />
'Location' => 'https://example.org/simplesaml/module.php/saml/sp/saml1-acs.php/default-sp/artifact',<br />
),<br />
),<br />
'contacts' => <br />
array (<br />
0 => <br />
array (<br />
'emailAddress' => 'admin@example.org',<br />
'contactType' => 'technical',<br />
'givenName' => 'Example Corp. IT Dept.',<br />
),<br />
),<br />
'certData' => 'AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA==',<br />
);<br />
</source><br />
<br />
A vágólapra másolt kódot IdP oldalon, a '''metadata/saml20-sp-remote.php''' fájl végére illesszük be.<br />
<br />
====IdP metadata beállítás SP oldalon====<br />
<br />
A metadata '''simplesaml''' kezdőlapon, az alábbi helyen érhető el:<br />
* Magyar nyelv esetén: "Föderáció" fül / "SAML 2.0 IdP Metaadatok" pont alatt a "Mutasd a metaadatokat" linkre kattintva juthatunk el a fenti menüponthoz.<br />
* Angol nyelv esetén: "Federation" fül / "SAML 2.0 IdP Metadata" pont alatt a "Show metadata" linkre kattintva juthatunk el a fenti menüponthoz.<br />
<br />
<br />
A "''SimpleSAMLphp fájl formátumban - akkor használható, ha a másik oldalon SimpleSAMLphp van''" mezőből tegyük a vágólapra az alábbi PHP kódot:<br />
<br />
<source lang="php"><br />
$metadata['https://idp.example.org/simplesaml/saml2/idp/metadata.php'] = array (<br />
'metadata-set' => 'saml20-idp-remote',<br />
'entityid' => 'https://idp.example.org/simplesaml/saml2/idp/metadata.php',<br />
'SingleSignOnService' => <br />
array (<br />
0 => <br />
array (<br />
'Binding' => 'urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Redirect',<br />
'Location' => 'https://idp.example.org/simplesaml/saml2/idp/SSOService.php',<br />
),<br />
),<br />
'SingleLogoutService' => <br />
array (<br />
0 => <br />
array (<br />
'Binding' => 'urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Redirect',<br />
'Location' => 'https://idp.example.org/simplesaml/saml2/idp/SingleLogoutService.php',<br />
),<br />
),<br />
'certData' => 'AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA==',<br />
'NameIDFormat' => 'urn:oasis:names:tc:SAML:2.0:nameid-format:transient',<br />
);<br />
</source><br />
<br />
A vágólapra másolt kódot SP oldalon, a '''metadata/saml20-idp-remote.php''' fájl végére illesszük be. <br />
<br />
===Tesztelés===<br />
<br />
A fent elvégzett alapbeállítások után már tudjuk tesztelni a, hogy a felépített IdP - SP kapcsolat működik-e.<br />
<br />
SP oldalon nyissuk meg a '''simplesaml''' kezdőlapot:<br />
<br />
* Magyar nyelv esetén: "Azonosítás (autentikáció)" fül / "Azonosítási (autentikációs) beállítások tesztelése" link / "default-sp" link-re kattintva tudjuk tesztelni az IdP - SP kapcsolatot.<br />
* Angol nyelv esetén: "Authentication" fül / "Test configured authentication sources" link / "default-sp" link-re kattintva tudjuk tesztelni az IdP - SP kapcsolatot.<br />
<br />
A legördülő menüben az IdP-nk "nevére" kattintva, be kell tudnunk jelentkezni (az IdP-n keresztül). Ha működik, akkor az IdP visszairányít az SP-re, kiírja az azonosított felhasználó attribútumait. <br />
<br />
Az alapvető lépsekkel kész vagyunk, van egy működő SP-nk és egy működő IdP-nk.<br />
<br />
==HREF-integráció==<br />
<br />
===Metadata beállítása (IdP és SP is)===<br />
Javasolt [[MDX | dinamikus metaadatforrást (MDX)]] használni, opcionálisan kiegészítve statikus állományokkal. Részletes leírás itt: [[SimpleSAMLMixedMetadata]]<br />
<br />
===IdP===<br />
Amennyiben van SSP alapú IdP-nk, melyet szeretnénk a föderáció részévé tenni, úgy a teendők a következők.<br />
* (Az adminisztratív teendőktől itt most eltekintünk, a csatlakozás folyamata [[HREFJoin|itt van leírva]])<br />
* Kell küldeni egy levelet a [mailto:info@eduid.hu info@eduid.hu] címre, benne néhány mondat mellett az IdP metaadatának URL-jével (https://example.org/simplesamlphp/saml2/idp/metadata.php)<br />
* Ha minden rendben megy, akkor az IdP bekerül a [[Resource_Registry]]-be, ezáltal a föderációs metaadatba is.<br />
* Az előző pontban leírt módon be kell állítani a központi metadata feldolgozását.<br />
* Amennyiben a föderációs metaadatban már szerepel a mi IdP-nk is, úgy a föderáció valamelyik, tesztelési célokat szolgáló SP-jénél ki is próbálhatjuk a bejelentkezést. <br />
<br />
:'''Fontos''', hogy a föderációs Discovery Service óránként generálja újra az IdP-k listáját, így ennyi idő mindenképp szükséges, hogy az új IdP megjelenjen itt, az egyes SP-k pedig két óránként töltik újra a metaadatot, így előfordulhat, hogy azonnal nem fog minden működni, de néhány óra alatt várhatóan beindul. :)<br />
<br />
:Tesztelésre használható oldal: https://attributes.eduid.hu<br />
<br />
* Ahhoz, hogy a Resource Registry-be is be tudjunk lépni és az IdP további, a föderációra vonatkozó beállításait meg tudjuk ejteni, ehhez az IdP-nek ki kell adnia az alábbi attribútumokat:<br />
** [[HREFAttributeSpec#mail|mail]] - ez belépés után, manuálisan is beállítható<br />
** [[HREFAttributeSpec#eduPersonPrincipalName|eduPersonPrincipalName]]<br />
** <del>[[HREFAttributeSpec#schacHomeOrganizationType|schacHomeOrganizationType]]</del> (az attribútumot hamarosan kivezetjük a kötelező attribútumok közül)<br />
** [[HREFAttributeSpec#eduScopedAffiliation|eduPersonScopedAffiliation]]<br />
<br />
<br />
====Attribútumok kezelése====<br />
Beállított IdP-nk alapértelmezés szerint azokat az attribútumokat adja ki, melyeket a metaadat alapján az SP kért (Lásd a metadatában a RequestedAttribute elemeket), és egyúttal alapból meg tudta szerezni a felhasználói adatbázisból, esetünkben az LDAP-ból. Mivel néhány attribútum nem szerepel az LDAP-ban, hanem az IdP-ben kell előállítani, így pár helyen módosítanunk kell az alapértelmezett konfiguráción.<br />
<br />
A <code>metadata/saml20-idp-hosted.php</code> fájlba szerkesszük be az alábbi kódrészlet értelemszerűen módosított változatát. Az <code>'auth' => 'example-ldap',</code> sor alatt kezdjük. Fontos, hogy egyúttal a config.php <code>authproc.idp</code> részét kikommentezzük, nehogy az ottani sorszámokkal megadott default feladatok bekavarjanak.<br />
<br />
<source lang="php"><br />
'AttributeNameFormat' => 'urn:oasis:names:tc:SAML:2.0:attrname-format:uri',<br />
'userid.attribute' => 'uid', // Itt adjuk meg, hogy mely, az LDAPból származó attribútum alapján fogja az IdP kiszámítani az eduPersonTargetedID-t<br />
'authproc' => array(<br />
10 => array(<br />
'class' => 'core:AttributeMap',<br />
'uid' => 'eduPersonPrincipalName'<br />
//Itt az 'uid' az az attribútum az LDAP-ban, amely a felhasználó azonosítóját tartalmazza, mert ebből képezzük az eduPersonPrincipalName-t.<br />
),<br />
# 20 => array(<br />
# 'class' => 'core:AttributeAdd',<br />
# 'schacHomeOrganizationType' => array('urn:schac:homeOrganizationType:hu:university')<br />
# //Kötelező statikus attribútum az [[HREFAttributeSpec#schacHomeOrganizationType|intézmény jellegének]] megfelelően<br />
# ),<br />
30 => array(<br />
'class' => 'core:AttributeAlter',<br />
'subject' => 'eduPersonPrincipalName',<br />
'pattern' => '/^.*$/',<br />
'replacement' => '${0}@intezmenydomain.hu',<br />
// Itt adjuk hozzá az intézményi scope-ot az eduPersonPrincipalName már meglévő értékéhez<br />
),<br />
40 => array(<br />
'class' => 'core:AttributeAlter',<br />
'subject' => 'eduPersonAffiliation',<br />
'pattern' => '/^.*$/',<br />
'replacement' => '${0}@intezmenydomain.hu',<br />
// Itt adjuk hozzá az intézményi scope-ot az eduPersonAffiliation már meglévő értékéhez<br />
),<br />
50 => array(<br />
'class' => 'core:AttributeMap',<br />
'eduPersonAffiliation' => 'eduPersonScopedAffiliation'<br />
// Az LDAP-ból eduPersonAffiliation-ként érkező attribútumból föderációs elvárásoknak megfelelően eduPersonScopedAffiliationt készítünk<br />
),<br />
60 => array(<br />
'class' => 'core:AttributeAdd',<br />
'eduPersonScopedAffiliation' => array('member@intezmenydomain.hu')<br />
// Az eduPersonScopedAffiliation-ben tesztelés céljából kiadhatjuk member értéket, <br />
// így ha LDAP-ból nem jön érték, akkor is láthatjuk, hogy működik az attribútum kiadás <br />
),<br />
61 => array(<br />
'class' => 'core:TargetedID',<br />
'nameId' => TRUE,<br />
),<br />
// Itt állítjuk be, hogy az IdP előállítson és kiadhasson állandóazonosítóként eduPersonTargetedID-t, ha kérik<br />
70 => array('class' => 'core:AttributeMap',<br />
'name2oid'<br />
// Az LDAP-os attribútum nevekből itt kreálunk szabványos urn:oid formátumúakat<br />
),<br />
80 => 'core:AttributeLimit',<br />
), // .authproc<br />
'simplesaml.nameidattribute' => 'eduPersonPrincipalName',<br />
'attributeencodings' => array(<br />
'urn:oid:1.3.6.1.4.1.5923.1.1.1.10' => 'raw',<br />
),<br />
'sign.logout' => true<br />
</source><br />
<br />
<br />
: További tudnivalók a [[Resource_Registry|Resource Registry-ről]], ill. a [[HREFAttributeSpec|Föderációs attribútum specifikációról]].<br />
<br />
* Ha minden rendben ment, akkor a Resource Registry-ben regisztrált IdP-hez tartozó adminisztrációs jogok átkerülnek az IdP technikai gazdájához, s ezzel a folyamat kész is.<br />
<br />
===SP===<br />
Amennyiben IdP-t is beállítottunk, és be is tudunk lépni a Resource Registry-be, úgy nincs más dolgunk, mint az RR-ben új SP-t hozzáadni a föderációhoz, amely a megfelelő átfutási idő után a föderáció minden tagjánál látható is lesz.<br />
<br />
Ellenkező esetben (nincs IdP, és nem is tervezünk beállítani), akkor az IdP hozzáadásánál részletezett pontokon kell végig menni a metaadat betöltéséig, s a továbbiakat az említett e-mail címen megbeszélni.<br />
<br />
<br />
<br />
====Attribútum scopeok használata====<br />
A HREF föderáció IdP-i ún. scopeolt attribútumokat is használnak. Ez a scopeolás azt jelenti, hogy minden egyes IdP csak a saját scopejában ad ki attribútumokat, és a Shibboleth SP-k ezt ellenőrzik is. A scope és az attribútum valódi értéke egy '@' karakterrel kerül elválasztásra (ilyen attribútumok jelenleg: [[HREFAttributeSpec#eduPersonAffiliation|eduPersonScopedAffiliation]] illetve [[HREFAttributeSpec#eduPersonPrincipalName|eduPersonPrincipalName]]).<br />
<br />
A SimpleSAMLphp alapértelmezett telepítése nem szűri a hibásan scopeolt értékeket. Kiegészítő modulként szűrésre használható az NIIF által fejlesztett [https://github.com/NIIF/simplesamlphp-module-attributescope attributescope modul], ami reményeink szerint rövid távon a hivatalos SimpleSAMLphp kiadás része lehet.<br />
<br />
A telepítésről és konfigurációról bővebben itt lehet olvasni: https://github.com/NIIF/simplesamlphp-module-attributescope<br />
<br />
: Az <code>attributescope</code> modul használata esetén a következőképp kell módosítani a <code>config/config.php</code> fájlt:<br />
<source lang="php"><br />
authproc.sp = array(<br />
...<br />
// 49 => array('class' => 'core:AttributeMap', 'oid2name'),<br />
50 => array( 'class' => 'attributescope:FilterAttributes'<br />
),<br />
...<br />
),<br />
</source><br />
Figyeljünk arra, hogy mire a modulhoz ér a vezérlés, az attribútumok nevei ''friendlyName'' alakúak legyenek (ne pedig ''oid''-ok). A példában erre utal a 49-es sor.<br />
<br />
[[Category: AAI]] [[Category: simpleSAMLphp]] [[Category: HOWTO]]</div>Matteo(AT)niif.huhttps://wiki.niif.hu/index.php?title=SSP2&diff=5036SSP22024-08-13T08:36:27Z<p>Matteo(AT)niif.hu: </p>
<hr />
<div>Az alábbi lapon megkíséreljük összefoglalni a legfontosabb lépéseket, melyek általános esetben elegendőek ahhoz, hogy működő SimpleSAMLphp (SSP) alkalmazást állítsunk üzembe.<br />
<br />
==Telepítés==<br />
Először is nagyvonalakban leírásra kerülnek az előkészületek ezt követően pedig maga a szoftver telepítése és beállítása.<br />
===Előkészületek===<br />
Ahhoz, hogy problémamentesen telepíthessük SSP alkalmazásunkat, az alábbi szoftverkomponenseknek kell működniük szerverünkön.<br />
* A következő könyvtárakat kiegészítőket telepíteni kell: <code>wget openssl unzip build-essential libldap2-dev libldap-common</code><br />
* PHP futtatására alkalmas webszerver<br />
* PHP környezet (>=8.0)<br />
* A következő PHP kiterjesztéseket engedélyezni kell<br />
** <code>posix, date , dom , fileinfo , filter , hash , json , libxml , mbstring , openssl , pcre , session , simplexml , sodium , SPL, zlib, ldap, </code><br />
** Adatbázisból történő autentikáció esetén a megfelelő adatbázis-csatolót <code>mysqli, pdo, pdo_mysql</code><br />
** RADIUS szerveren keresztül történő autentikáció esetén: <code>radius</code><br />
* Információk, certek:<br />
** Bár a szoftver képes futni mariadb, és redis nélkül, ezek vagy hasonló megoldások használata éles környezetben ajánlott.<br />
*** Amennyiben ezeket szándékozunk használni database connection stringgel kell rendelkezni, redis elérhetőséggel és jelszóval rendelkezni.<br />
*** Az adatbázis szerkezetének kialakítása a használt moduloktól függ, a leggyakoribb a consent modul, ott van is dokumentáció az adatbázis inicializálásáról.<br />
<br />
** Kell 2 certpár, az egyik az apachenak a másik az SSP-nek ezutóbbi lehet önalárírt, és nem ajánlott ugyan azt használni.<br />
<br />
====Composer====<br />
<br />
A '''[https://getcomposer.org composer]''' PHP csomagkezelőt is telepíteni kell (akár forrásból, akár csomagból), hogy telepíteni lehessen a SimpleSAMLphp futásához szükséges PHP library-ket.<br />
<br />
===Letöltés===<br />
A GitHubról történő telepítés előnye, hogy a simplesamlphp könnyen frissíthető marad, csak a third party modulokat kell újratelepíteni. Az utolsó stabil verzió számát a https://simplesamlphp.org/download oldalról tudhatjuk meg.<br />
<br />
cd /var<br />
git clone https://github.com/simplesamlphp/simplesamlphp.git<br />
cd simplesamlphp<br />
git checkout tags/v1.16.2 -b v1.16.2<br />
composer install --no-dev<br />
<br />
===Apache konfigurálás===<br />
<br />
A webről csak a <code>/var/simplesamlphp/www</code> könyvtárat kell elérni. '''Tilos''' a teljes simplesamlphp könyvtárat a DocumentRoot alá tenni!<br />
<br />
Alias /simplesaml /var/simplesamlphp/www<br />
<Directory /var/simplesamlphp/www><br />
Require all granted<br />
</Directory><br />
===Alapbeállítások===<br />
====Konfigurációs fájlok másolása====<br />
Mielőtt aktiváljuk valamelyik főszolgáltatását (IdP,SP...) a telepített alkalmazásnak, néhány beállítást meg kell adnunk a <code>config/config.php</code> és <code>config/authsources.php</code> konfigurációs fájlokban.<br />
<br />
* '''config.php''' másolása a '''config-templates''' mappából<br />
cp config-templates/config.php config/<br />
<br />
* '''authsources.php''' másolása a '''config-templates''' mappából<br />
cp config-templates/authsources.php config/<br />
<br />
<span style="color:green">A '''config.php''' és '''authsources.php''' fájlok másolása utána ellenőrizzük, hogy a SimpleSAMLphp működik-e, a https://example.org/simplesaml oldalon.</span><br />
<br />
====Konfigurációs fájlok szerkesztése====<br />
=====Adminisztrációs adatok beállítása=====<br />
<br />
Amennyiben az SimpleSAMLphp kezdőlapja hiba nélkül megjelent, akkor nyissuk meg a '''config/config.php''' fájl szerkesztésre és végezzük el az alábbi beállításokat.<br />
<br />
* '''Az "admin" felhasználó jelszavát, mellyel webes felületen keresztül be tud lépni a települő SSP-be.'''<br />
'auth.adminpassword' => 'ujjelszotirdide',<br />
* '''Titkosítási feladatokhoz szükséges "salt", azaz véletlenszerűen összeálló karaktersorozat'''<br />
'secretsalt' => 'randombytesinsertedhere',<br />
A karaktersorozat előállításában segíthet az alábbi parancs: <br />
tr -c -d '0123456789abcdefghijklmnopqrstuvwxyz' </dev/urandom | dd bs=32 count=1 2>/dev/null;echo<br />
* '''Elérhetőségeket, amely adatok bekerülnek majd a generált metaadatba'''<br />
'technicalcontact_name' => 'Gipsz Jakab',<br />
'technicalcontact_email' => 'jakab.gipsz@example.org',<br />
* '''Nyelv és időzóna adatok'''<br />
'language.default' => 'hu',<br />
'timezone' => 'Europe/Budapest',<br />
<br />
Az alapadatok megadása után mentsük és zárjuk be a '''config.php'''-t.<br />
<br />
=====Naplózás beállítása=====<br />
<br />
Alapértelmezetten a SimpleSAMLphp a '''syslog'''-ba irányítja a naplózást.<br />
<br />
Ha fájlba akarunk naplózni, akkor a megfelelő könyvtárhoz biztosítsunk írás jogot a webszerver felhasználónak, és ne felejtsünk el gondoskodni a naplófájlok rotálásáról!<br />
<br />
* '''log''' mappa létrehozása és jogosultság beállítása<br />
sudo mkdir log; sudo chown www-data:adm log; sudo chmod 755 log<br />
<br />
* Naplózási szint beállítása a '''config/config.php'''-ban<br />
'debug' => array(<br />
'saml' => true,<br />
'backtraces' => true,<br />
'validatexml' => false,<br />
),<br />
'logging.level' => SimpleSAML\Logger::DEBUG,<br />
'logging.handler' => 'file',<br />
<br />
<span style="color:red">A "SimpleSAML\Logger::DEBUG" a legrészletesebb naplózási beállítás, éles rendszernél nem ajánlott csak hiba keresés esetén.</span><br />
<br />
=====Tanúsítvány készítése=====<br />
<br />
<span style="color:red">Nem ajánlott a SimpleSAMLphp-hoz és webszerverhez ugyanazt a tanúsítvány használni!</span><br />
<br />
* A SimpleSAMLphp alapértelmezetten a tanúsítványt a '''cert''' mappában keresi.<br />
mkdir cert<br />
<br />
* Az alábbi paranccsal egy 10 éves [[FedCerts | self-signed tanúsítvány]] generálunk a SimpleSMALphp számára.<br />
openssl req -new -newkey rsa:2048 -x509 -days 3652 -nodes -out cert/saml-example-org.crt -keyout cert/saml-example-org.key<br />
<br />
A fingerprint az alábbi módon kérdezhető le a legegyszerűbben<br />
openssl x509 -fingerprint -noout -in cert/saml-example-org.crt<br />
<br />
===Telepítés kész===<br />
Amennyiben elkészültünk a fenti lépésekkel, úgy a [https://service.example.org/simplesaml/ https://service.example.org/simplesaml/] címen elérjük a telepített SSP-nk webes adminfelületét, ahol megejthetjük a további beállítások nagy részét.<br />
<br />
==Identity Provider (IdP) beállítás==<br />
===Alapbeállítások===<br />
'''IdP''' engedélyezése: a '''config/config.php''' fájlban kell a saml20 idp-t "true"-re állítani.<br />
'enable.saml20-idp' => true,<br />
<br />
===LDAP autentikáció===<br />
Meg kell adni, hogy az IdP milyen módon azonosítsa a felhasználót, amennyiben alapértelmezés szerint nem engedélyezett modult szeretnénk használni, úgy a megfelelő modult a <code>modules</code> könyvtár alatt engedélyezni kell. Az alábbi példában az LDAP alapú azonosítást mutatjuk be, amely külön modult nem igényel, alapértelmezés szerint része a telepített alkalmazásnak.<br />
<br />
Javasolt az LDAP-ban egy olyan bejegyzést létrehozni az IdP számára, amely olvasni tudja a felhasználóknak a föderációban használt attribútumait. Az azonosítás alapértelmezett módon a felhasználó nevében történő újra bind-olással történik, így a jelszóhoz nem kell hozzáférést adni.<br />
<br />
Ahhoz, hogy megadhassuk az LDAP-hoz tartozó beállításokat, a <code>config/authsources.php</code> fájlt kell szerkesztenünk. Az alábbi kódrészletet elegendő beszúrni, és az egyes változóknak a helyi LDAP-nak megfelelő adatokat értékül adni.<br />
<source lang="php"><br />
'example-ldap' => array(<br />
'ldap:LDAP',<br />
<br />
/* The hostname of the LDAP server. */<br />
'hostname' => 'ldap.example.org',<br />
<br />
/* Whether SSL/TLS should be used when contacting the LDAP server. */<br />
'enable_tls' => FALSE,<br />
<br />
/*<br />
* Which attributes should be retrieved from the LDAP server.<br />
* This can be an array of attribute names, or NULL, in which case<br />
* all attributes are fetched.<br />
*/<br />
'attributes' => NULL,<br />
<br />
/*<br />
* The pattern which should be used to create the users DN given the username.<br />
* %username% in this pattern will be replaced with the users username.<br />
*<br />
* This option is not used if the search.enable option is set to TRUE.<br />
'dnpattern' => 'uid=%username%,ou=people,dc=example,dc=org',<br />
*/<br />
<br />
/*<br />
* As an alternative to specifying a pattern for the users DN, it is possible to<br />
* search for the username in a set of attributes. This is enabled by this option.<br />
*/<br />
'search.enable' => TRUE,<br />
<br />
/*<br />
* The DN which will be used as a base for the search.<br />
* This can be a single string, in which case only that DN is searched, or an<br />
* array of strings, in which case they will be searched in the order given.<br />
*/<br />
'search.base' => 'ou=people,dc=example,dc=org',<br />
<br />
/*<br />
* The attribute(s) the username should match against.<br />
*<br />
* This is an array with one or more attribute names. Any of the attributes in<br />
* the array may match the value the username.<br />
*/<br />
'search.attributes' => array('uid', 'mail'),<br />
<br />
/*<br />
* The username & password the simpleSAMLphp should bind to before searching. If<br />
* this is left as NULL, no bind will be performed before searching.<br />
*/<br />
'search.username' => 'cn=simplesamlphp,dc=example,dc=org',<br />
'search.password' => 'servicepassword',<br />
<br />
'priv.read' => TRUE,<br />
// The DN & password the SimpleSAMLphp should bind to before<br />
// retrieving attributes. These options are required if<br />
// 'priv.read' is set to TRUE.<br />
'priv.username' => 'cn=simplesamlphp,dc=example,dc=org',<br />
'priv.password' => 'servicepassword;,<br />
),<br />
</source><br />
<br />
===Metaadat alapok===<br />
A beállítandó IdP alapvető paraméterei a <code>metadata/saml20-idp-hosted.php</code> fájlban állíthatók. Az alábbi kódrészlet egy minimális, de már működő példát mutat.<br />
<source lang="php"><br />
$metadata['__DYNAMIC:1__'] = array(<br />
/*<br />
* The hostname for this IdP. This makes it possible to run multiple<br />
* IdPs from the same configuration. '__DEFAULT__' means that this one<br />
* should be used by default.<br />
*/<br />
'host' => '__DEFAULT__',<br />
<br />
/*<br />
* The private key and certificate to use when signing responses.<br />
* These are stored in the cert-directory.<br />
*/<br />
'privatekey' => 'saml-example-org.key',<br />
'certificate' => 'saml-example-org.crt',<br />
<br />
/*<br />
* The authentication source which should be used to authenticate the<br />
* user. This must match one of the entries in config/authsources.php.<br />
*/<br />
'auth' => 'example-ldap',<br />
);<br />
</source><br />
<br />
Megfelelő beállítások után a dinamikusan generált metadata a <code>/saml2/idp/metadata.php</code> útvonalon érhető el.<br />
<br />
===Tesztelés===<br />
Legegyszerűbben a telepített SSP felületén tudjuk ellenőrizni, hogy a beállított autentikációs forrás működik-e. A felületen az Authentication fül alatt található egy 'Test authentication sources' link, amelyre kattintva látható minden beállított autentikációs forrás is, így a két alapértelmezett, teszt célokat szolgáló alatt a most beállított example-ldap névre hallgatónak is meg kell jelenni. (A közvetlen url erre az oldalra: simplesaml/module.php/core/authenticate.php) Ez utóbbira kattintva a beállított LDAP-ból autentikálva be kell tudnunk jelentkeznünk; siker esetén az LDAP-ból kinyerhető attribútumokat láthatjuk.<br />
<br />
==Service Provider (SP) beállítás==<br />
===Alapbeállítások===<br />
<br />
A telepített alkalmazásunk által kezelt SP-ket a '''config/authsources.php''' fájlban tudjuk beállítani. Az ''entityID, idp, discoURL'' értékeket most hagyjuk ''NULL'' értéken és adjuk hozzá a '''privatekey''' / '''certificate''' részt.<br />
<br />
A SimpleSAMLphp a tanúsítvány fájlokat a korábban létrehozott '''cert''' mappában fogja keresni, a fájlokat elég relatív elérési úttal megadni.<br />
<br />
<source lang="php"><br />
'default-sp' => array(<br />
'saml:SP',<br />
<br />
// The entity ID of this SP.<br />
// Can be NULL/unset, in which case an entity ID is generated based on the metadata URL.<br />
'entityID' => NULL,<br />
<br />
// The entity ID of the IdP this should SP should contact.<br />
// Can be NULL/unset, in which case the user will be shown a list of available IdPs.<br />
'idp' => NULL,<br />
<br />
// The URL to the discovery service.<br />
// Can be NULL/unset, in which case a builtin discovery service will be used.<br />
'discoURL' => NULL,<br />
<br />
'privatekey' => 'saml-example-org.key',<br />
'certificate' => 'saml-example-org.crt',<br />
<br />
),<br />
</source><br />
<br />
A fenti beállítások alapján az SP entityID-ja megegyezik a metadata elérési útvonalával (szokásos megoldás SSP-nél), nem adunk meg alapértelmezett idp-t, ezáltal az SSP választási lehetőséget kínál fel számunkra, mikor az SP-re szeretnénk bejelentkezni, ill. most még Discovery Service URL-t sem adunk meg, hanem a beépítettet használjuk. Ez utóbbit majd a HREF-be történő integrációkor meg kell változtatni - lásd lejjebb.<br />
<br />
<br />
Az SP készen áll arra, hogy összekössük egy IdP-vel (ez jellemzően szintén egy SimpleSAMLphp alkalmazás). Ehhez szükséges, hogy SP oldalon beállítsuk az IdP metadata-t és IdP oldalon is beállítsuk az SP metadata-t.<br />
<br />
====Metadata====<br />
====Metadata fájlok====<br />
A különböző metadata template fájlok a '''metadata-templates''' mappában találhatóak. A nekünk szükséges template fájlt másoljuk át a metadata mappába.<br />
<br />
* '''SP''' oldalon lennie kell egy''' metadata/saml20-idp-remote.php''' fájlnak. Ez a fájl tartalmazza az IdP eléréséhez szükséges adatokat.<br />
cp metadata-templates/saml20-idp-remote.php metadata<br />
<br />
* '''IdP''' oldalon lennie kell egy '''metadata/saml20-sp-remote.php''' fájlnak. Ez a fájl tartalmazza az SP eléréséhez szükséges adatokat.<br />
cp metadata-templates/saml20-sp-remote.php metadata<br />
<br />
====Metadata letöltés====<br />
<br />
Ezen az oldalon megtaláljuk az SP vagy IdP-re vonatkozó '''metadata'''-t, '''XML''' és '''PHP''' formátumban: https://example.org/simplesaml/module.php/saml/sp/metadata.php/default-sp?output=xhtml<br />
<br />
====SP metadata beállítás IdP oldalon====<br />
<br />
A metadata '''simplesaml''' kezdőlapon, az alábbi helyen érhető el:<br />
* Magyar nyelv esetén: "Föderáció" fül / "SAML 2.0 SP Metaadatok" pont alatt a "Mutasd a metaadatokat" linkre kattintva juthatunk el a fenti menüponthoz.<br />
* Angol nyelv esetén: "Federation" fül / "SAML 2.0 SP Metadata" pont alatt a "Show metadata" linkre kattintva juthatunk el a fenti menüponthoz.<br />
<br />
<br />
A "''SimpleSAMLphp fájl formátumban - akkor használható, ha a másik oldalon SimpleSAMLphp van''" mezőből tegyük a vágólapra az alábbi PHP kódot:<br />
<br />
<source lang="php"><br />
$metadata['https://example.org/simplesaml/module.php/saml/sp/metadata.php/default-sp'] = array (<br />
'SingleLogoutService' => <br />
array (<br />
0 => <br />
array (<br />
'Binding' => 'urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Redirect',<br />
'Location' => 'https://example.org/simplesaml/module.php/saml/sp/saml2-logout.php/default-sp',<br />
),<br />
),<br />
'AssertionConsumerService' => <br />
array (<br />
0 => <br />
array (<br />
'index' => 0,<br />
'Binding' => 'urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST',<br />
'Location' => 'https://example.org/simplesaml/module.php/saml/sp/saml2-acs.php/default-sp',<br />
),<br />
1 => <br />
array (<br />
'index' => 1,<br />
'Binding' => 'urn:oasis:names:tc:SAML:1.0:profiles:browser-post',<br />
'Location' => 'https://example.org/simplesaml/module.php/saml/sp/saml1-acs.php/default-sp',<br />
),<br />
2 => <br />
array (<br />
'index' => 2,<br />
'Binding' => 'urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Artifact',<br />
'Location' => 'https://example.org/simplesaml/module.php/saml/sp/saml2-acs.php/default-sp',<br />
),<br />
3 => <br />
array (<br />
'index' => 3,<br />
'Binding' => 'urn:oasis:names:tc:SAML:1.0:profiles:artifact-01',<br />
'Location' => 'https://example.org/simplesaml/module.php/saml/sp/saml1-acs.php/default-sp/artifact',<br />
),<br />
),<br />
'contacts' => <br />
array (<br />
0 => <br />
array (<br />
'emailAddress' => 'admin@example.org',<br />
'contactType' => 'technical',<br />
'givenName' => 'Example Corp. IT Dept.',<br />
),<br />
),<br />
'certData' => 'AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA==',<br />
);<br />
</source><br />
<br />
A vágólapra másolt kódot IdP oldalon, a '''metadata/saml20-sp-remote.php''' fájl végére illesszük be.<br />
<br />
====IdP metadata beállítás SP oldalon====<br />
<br />
A metadata '''simplesaml''' kezdőlapon, az alábbi helyen érhető el:<br />
* Magyar nyelv esetén: "Föderáció" fül / "SAML 2.0 IdP Metaadatok" pont alatt a "Mutasd a metaadatokat" linkre kattintva juthatunk el a fenti menüponthoz.<br />
* Angol nyelv esetén: "Federation" fül / "SAML 2.0 IdP Metadata" pont alatt a "Show metadata" linkre kattintva juthatunk el a fenti menüponthoz.<br />
<br />
<br />
A "''SimpleSAMLphp fájl formátumban - akkor használható, ha a másik oldalon SimpleSAMLphp van''" mezőből tegyük a vágólapra az alábbi PHP kódot:<br />
<br />
<source lang="php"><br />
$metadata['https://idp.example.org/simplesaml/saml2/idp/metadata.php'] = array (<br />
'metadata-set' => 'saml20-idp-remote',<br />
'entityid' => 'https://idp.example.org/simplesaml/saml2/idp/metadata.php',<br />
'SingleSignOnService' => <br />
array (<br />
0 => <br />
array (<br />
'Binding' => 'urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Redirect',<br />
'Location' => 'https://idp.example.org/simplesaml/saml2/idp/SSOService.php',<br />
),<br />
),<br />
'SingleLogoutService' => <br />
array (<br />
0 => <br />
array (<br />
'Binding' => 'urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Redirect',<br />
'Location' => 'https://idp.example.org/simplesaml/saml2/idp/SingleLogoutService.php',<br />
),<br />
),<br />
'certData' => 'AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA==',<br />
'NameIDFormat' => 'urn:oasis:names:tc:SAML:2.0:nameid-format:transient',<br />
);<br />
</source><br />
<br />
A vágólapra másolt kódot SP oldalon, a '''metadata/saml20-idp-remote.php''' fájl végére illesszük be. <br />
<br />
===Tesztelés===<br />
<br />
A fent elvégzett alapbeállítások után már tudjuk tesztelni a, hogy a felépített IdP - SP kapcsolat működik-e.<br />
<br />
SP oldalon nyissuk meg a '''simplesaml''' kezdőlapot:<br />
<br />
* Magyar nyelv esetén: "Azonosítás (autentikáció)" fül / "Azonosítási (autentikációs) beállítások tesztelése" link / "default-sp" link-re kattintva tudjuk tesztelni az IdP - SP kapcsolatot.<br />
* Angol nyelv esetén: "Authentication" fül / "Test configured authentication sources" link / "default-sp" link-re kattintva tudjuk tesztelni az IdP - SP kapcsolatot.<br />
<br />
A legördülő menüben az IdP-nk "nevére" kattintva, be kell tudnunk jelentkezni (az IdP-n keresztül). Ha működik, akkor az IdP visszairányít az SP-re, kiírja az azonosított felhasználó attribútumait. <br />
<br />
Az alapvető lépsekkel kész vagyunk, van egy működő SP-nk és egy működő IdP-nk.<br />
<br />
==HREF-integráció==<br />
<br />
===Metadata beállítása (IdP és SP is)===<br />
Javasolt [[MDX | dinamikus metaadatforrást (MDX)]] használni, opcionálisan kiegészítve statikus állományokkal. Részletes leírás itt: [[SimpleSAMLMixedMetadata]]<br />
<br />
===IdP===<br />
Amennyiben van SSP alapú IdP-nk, melyet szeretnénk a föderáció részévé tenni, úgy a teendők a következők.<br />
* (Az adminisztratív teendőktől itt most eltekintünk, a csatlakozás folyamata [[HREFJoin|itt van leírva]])<br />
* Kell küldeni egy levelet a [mailto:info@eduid.hu info@eduid.hu] címre, benne néhány mondat mellett az IdP metaadatának URL-jével (https://example.org/simplesamlphp/saml2/idp/metadata.php)<br />
* Ha minden rendben megy, akkor az IdP bekerül a [[Resource_Registry]]-be, ezáltal a föderációs metaadatba is.<br />
* Az előző pontban leírt módon be kell állítani a központi metadata feldolgozását.<br />
* Amennyiben a föderációs metaadatban már szerepel a mi IdP-nk is, úgy a föderáció valamelyik, tesztelési célokat szolgáló SP-jénél ki is próbálhatjuk a bejelentkezést. <br />
<br />
:'''Fontos''', hogy a föderációs Discovery Service óránként generálja újra az IdP-k listáját, így ennyi idő mindenképp szükséges, hogy az új IdP megjelenjen itt, az egyes SP-k pedig két óránként töltik újra a metaadatot, így előfordulhat, hogy azonnal nem fog minden működni, de néhány óra alatt várhatóan beindul. :)<br />
<br />
:Tesztelésre használható oldal: https://attributes.eduid.hu<br />
<br />
* Ahhoz, hogy a Resource Registry-be is be tudjunk lépni és az IdP további, a föderációra vonatkozó beállításait meg tudjuk ejteni, ehhez az IdP-nek ki kell adnia az alábbi attribútumokat:<br />
** [[HREFAttributeSpec#mail|mail]] - ez belépés után, manuálisan is beállítható<br />
** [[HREFAttributeSpec#eduPersonPrincipalName|eduPersonPrincipalName]]<br />
** <del>[[HREFAttributeSpec#schacHomeOrganizationType|schacHomeOrganizationType]]</del> (az attribútumot hamarosan kivezetjük a kötelező attribútumok közül)<br />
** [[HREFAttributeSpec#eduScopedAffiliation|eduPersonScopedAffiliation]]<br />
<br />
<br />
====Attribútumok kezelése====<br />
Beállított IdP-nk alapértelmezés szerint azokat az attribútumokat adja ki, melyeket a metaadat alapján az SP kért (Lásd a metadatában a RequestedAttribute elemeket), és egyúttal alapból meg tudta szerezni a felhasználói adatbázisból, esetünkben az LDAP-ból. Mivel néhány attribútum nem szerepel az LDAP-ban, hanem az IdP-ben kell előállítani, így pár helyen módosítanunk kell az alapértelmezett konfiguráción.<br />
<br />
A <code>metadata/saml20-idp-hosted.php</code> fájlba szerkesszük be az alábbi kódrészlet értelemszerűen módosított változatát. Az <code>'auth' => 'example-ldap',</code> sor alatt kezdjük. Fontos, hogy egyúttal a config.php <code>authproc.idp</code> részét kikommentezzük, nehogy az ottani sorszámokkal megadott default feladatok bekavarjanak.<br />
<br />
<source lang="php"><br />
'AttributeNameFormat' => 'urn:oasis:names:tc:SAML:2.0:attrname-format:uri',<br />
'userid.attribute' => 'uid', // Itt adjuk meg, hogy mely, az LDAPból származó attribútum alapján fogja az IdP kiszámítani az eduPersonTargetedID-t<br />
'authproc' => array(<br />
10 => array(<br />
'class' => 'core:AttributeMap',<br />
'uid' => 'eduPersonPrincipalName'<br />
//Itt az 'uid' az az attribútum az LDAP-ban, amely a felhasználó azonosítóját tartalmazza, mert ebből képezzük az eduPersonPrincipalName-t.<br />
),<br />
# 20 => array(<br />
# 'class' => 'core:AttributeAdd',<br />
# 'schacHomeOrganizationType' => array('urn:schac:homeOrganizationType:hu:university')<br />
# //Kötelező statikus attribútum az [[HREFAttributeSpec#schacHomeOrganizationType|intézmény jellegének]] megfelelően<br />
# ),<br />
30 => array(<br />
'class' => 'core:AttributeAlter',<br />
'subject' => 'eduPersonPrincipalName',<br />
'pattern' => '/^.*$/',<br />
'replacement' => '${0}@intezmenydomain.hu',<br />
// Itt adjuk hozzá az intézményi scope-ot az eduPersonPrincipalName már meglévő értékéhez<br />
),<br />
40 => array(<br />
'class' => 'core:AttributeAlter',<br />
'subject' => 'eduPersonAffiliation',<br />
'pattern' => '/^.*$/',<br />
'replacement' => '${0}@intezmenydomain.hu',<br />
// Itt adjuk hozzá az intézményi scope-ot az eduPersonAffiliation már meglévő értékéhez<br />
),<br />
50 => array(<br />
'class' => 'core:AttributeMap',<br />
'eduPersonAffiliation' => 'eduPersonScopedAffiliation'<br />
// Az LDAP-ból eduPersonAffiliation-ként érkező attribútumból föderációs elvárásoknak megfelelően eduPersonScopedAffiliationt készítünk<br />
),<br />
60 => array(<br />
'class' => 'core:AttributeAdd',<br />
'eduPersonScopedAffiliation' => array('member@intezmenydomain.hu')<br />
// Az eduPersonScopedAffiliation-ben tesztelés céljából kiadhatjuk member értéket, <br />
// így ha LDAP-ból nem jön érték, akkor is láthatjuk, hogy működik az attribútum kiadás <br />
),<br />
61 => array(<br />
'class' => 'core:TargetedID',<br />
'nameId' => TRUE,<br />
),<br />
// Itt állítjuk be, hogy az IdP előállítson és kiadhasson állandóazonosítóként eduPersonTargetedID-t, ha kérik<br />
70 => array('class' => 'core:AttributeMap',<br />
'name2oid'<br />
// Az LDAP-os attribútum nevekből itt kreálunk szabványos urn:oid formátumúakat<br />
),<br />
80 => 'core:AttributeLimit',<br />
), // .authproc<br />
'simplesaml.nameidattribute' => 'eduPersonPrincipalName',<br />
'attributeencodings' => array(<br />
'urn:oid:1.3.6.1.4.1.5923.1.1.1.10' => 'raw',<br />
),<br />
'sign.logout' => true<br />
</source><br />
<br />
<br />
: További tudnivalók a [[Resource_Registry|Resource Registry-ről]], ill. a [[HREFAttributeSpec|Föderációs attribútum specifikációról]].<br />
<br />
* Ha minden rendben ment, akkor a Resource Registry-ben regisztrált IdP-hez tartozó adminisztrációs jogok átkerülnek az IdP technikai gazdájához, s ezzel a folyamat kész is.<br />
<br />
===SP===<br />
Amennyiben IdP-t is beállítottunk, és be is tudunk lépni a Resource Registry-be, úgy nincs más dolgunk, mint az RR-ben új SP-t hozzáadni a föderációhoz, amely a megfelelő átfutási idő után a föderáció minden tagjánál látható is lesz.<br />
<br />
Ellenkező esetben (nincs IdP, és nem is tervezünk beállítani), akkor az IdP hozzáadásánál részletezett pontokon kell végig menni a metaadat betöltéséig, s a továbbiakat az említett e-mail címen megbeszélni.<br />
<br />
<br />
<br />
====Attribútum scopeok használata====<br />
A HREF föderáció IdP-i ún. scopeolt attribútumokat is használnak. Ez a scopeolás azt jelenti, hogy minden egyes IdP csak a saját scopejában ad ki attribútumokat, és a Shibboleth SP-k ezt ellenőrzik is. A scope és az attribútum valódi értéke egy '@' karakterrel kerül elválasztásra (ilyen attribútumok jelenleg: [[HREFAttributeSpec#eduPersonAffiliation|eduPersonScopedAffiliation]] illetve [[HREFAttributeSpec#eduPersonPrincipalName|eduPersonPrincipalName]]).<br />
<br />
A SimpleSAMLphp alapértelmezett telepítése nem szűri a hibásan scopeolt értékeket. Kiegészítő modulként szűrésre használható az NIIF által fejlesztett [https://github.com/NIIF/simplesamlphp-module-attributescope attributescope modul], ami reményeink szerint rövid távon a hivatalos SimpleSAMLphp kiadás része lehet.<br />
<br />
A telepítésről és konfigurációról bővebben itt lehet olvasni: https://github.com/NIIF/simplesamlphp-module-attributescope<br />
<br />
: Az <code>attributescope</code> modul használata esetén a következőképp kell módosítani a <code>config/config.php</code> fájlt:<br />
<source lang="php"><br />
authproc.sp = array(<br />
...<br />
// 49 => array('class' => 'core:AttributeMap', 'oid2name'),<br />
50 => array( 'class' => 'attributescope:FilterAttributes'<br />
),<br />
...<br />
),<br />
</source><br />
Figyeljünk arra, hogy mire a modulhoz ér a vezérlés, az attribútumok nevei ''friendlyName'' alakúak legyenek (ne pedig ''oid''-ok). A példában erre utal a 49-es sor.<br />
<br />
[[Category: AAI]] [[Category: simpleSAMLphp]] [[Category: HOWTO]]</div>Matteo(AT)niif.huhttps://wiki.niif.hu/index.php?title=SSP2&diff=5035SSP22024-08-13T08:23:31Z<p>Matteo(AT)niif.hu: </p>
<hr />
<div>Az alábbi lapon megkíséreljük összefoglalni a legfontosabb lépéseket, melyek általános esetben elegendőek ahhoz, hogy működő SimpleSAMLphp (SSP) alkalmazást állítsunk üzembe.<br />
<br />
==Telepítés==<br />
Először is nagyvonalakban leírásra kerülnek az előkészületek ezt követően pedig maga a szoftver telepítése és beállítása.<br />
===Előkészületek===<br />
Ahhoz, hogy problémamentesen telepíthessük SSP alkalmazásunkat, az alábbi szoftverkomponenseknek kell működniük szerverünkön.<br />
* PHP futtatására alkalmas webszerver<br />
* PHP környezet (>=5.4)<br />
* A következő PHP kiterjesztéseket engedélyezni kell<br />
** <code>date</code>, <code>dom</code>, <code>hash</code>, <code>libxml</code>, <code>openssl</code>, <code>pcre</code>, <code>SPL</code>, <code>zlib</code><br />
** LDAP-ból történő autentikáció esetén: <code>ldap</code><br />
** Adatbázisból történő autentikáció esetén a megfelelő adatbázis-csatolót <code>mysql</code>, <code>pgsql</code><br />
** RADIUS szerveren keresztül történő autentikáció esetén: <code>radius</code><br />
** Assertion-ök titkosítása esetén: <code>mcrypt</code><br />
** Memcache használata esetén: <code>memcache</code><br />
** HEXAA integrációhoz (SP): <code>soap</code><br />
<br />
====Debian 9 / Ubuntu 16.04 LTS csomagok====<br />
<br />
sudo apt install php php-dom mcrypt php-xml php-mbstring<br />
<br />
====RHEL / CentOS 7 csomagok====<br />
A '''php-mcrypt''' csomaghoz engedélyezni kell az "''epel-release''"-t.<br />
<br />
sudo yum install epel-release<br />
sudo yum update<br />
sudo yum install php php-dom php-mcrypt php-xml php-mbstring php-common mod_ssl<br />
<br />
====Composer====<br />
<br />
A '''[https://getcomposer.org composer]''' PHP csomagkezelőt is telepíteni kell (akár forrásból, akár csomagból), hogy telepíteni lehessen a SimpleSAMLphp futásához szükséges PHP library-ket.<br />
<br />
===Letöltés===<br />
A GitHubról történő telepítés előnye, hogy a simplesamlphp könnyen frissíthető marad, csak a third party modulokat kell újratelepíteni. Az utolsó stabil verzió számát a https://simplesamlphp.org/download oldalról tudhatjuk meg.<br />
<br />
cd /var<br />
git clone https://github.com/simplesamlphp/simplesamlphp.git<br />
cd simplesamlphp<br />
git checkout tags/v1.16.2 -b v1.16.2<br />
composer install --no-dev<br />
<br />
===Apache konfigurálás===<br />
<br />
A webről csak a <code>/var/simplesamlphp/www</code> könyvtárat kell elérni. '''Tilos''' a teljes simplesamlphp könyvtárat a DocumentRoot alá tenni!<br />
<br />
Alias /simplesaml /var/simplesamlphp/www<br />
<Directory /var/simplesamlphp/www><br />
Require all granted<br />
</Directory><br />
===Alapbeállítások===<br />
====Konfigurációs fájlok másolása====<br />
Mielőtt aktiváljuk valamelyik főszolgáltatását (IdP,SP...) a telepített alkalmazásnak, néhány beállítást meg kell adnunk a <code>config/config.php</code> és <code>config/authsources.php</code> konfigurációs fájlokban.<br />
<br />
* '''config.php''' másolása a '''config-templates''' mappából<br />
cp config-templates/config.php config/<br />
<br />
* '''authsources.php''' másolása a '''config-templates''' mappából<br />
cp config-templates/authsources.php config/<br />
<br />
<span style="color:green">A '''config.php''' és '''authsources.php''' fájlok másolása utána ellenőrizzük, hogy a SimpleSAMLphp működik-e, a https://example.org/simplesaml oldalon.</span><br />
<br />
====Konfigurációs fájlok szerkesztése====<br />
=====Adminisztrációs adatok beállítása=====<br />
<br />
Amennyiben az SimpleSAMLphp kezdőlapja hiba nélkül megjelent, akkor nyissuk meg a '''config/config.php''' fájl szerkesztésre és végezzük el az alábbi beállításokat.<br />
<br />
* '''Az "admin" felhasználó jelszavát, mellyel webes felületen keresztül be tud lépni a települő SSP-be.'''<br />
'auth.adminpassword' => 'ujjelszotirdide',<br />
* '''Titkosítási feladatokhoz szükséges "salt", azaz véletlenszerűen összeálló karaktersorozat'''<br />
'secretsalt' => 'randombytesinsertedhere',<br />
A karaktersorozat előállításában segíthet az alábbi parancs: <br />
tr -c -d '0123456789abcdefghijklmnopqrstuvwxyz' </dev/urandom | dd bs=32 count=1 2>/dev/null;echo<br />
* '''Elérhetőségeket, amely adatok bekerülnek majd a generált metaadatba'''<br />
'technicalcontact_name' => 'Gipsz Jakab',<br />
'technicalcontact_email' => 'jakab.gipsz@example.org',<br />
* '''Nyelv és időzóna adatok'''<br />
'language.default' => 'hu',<br />
'timezone' => 'Europe/Budapest',<br />
<br />
Az alapadatok megadása után mentsük és zárjuk be a '''config.php'''-t.<br />
<br />
=====Naplózás beállítása=====<br />
<br />
Alapértelmezetten a SimpleSAMLphp a '''syslog'''-ba irányítja a naplózást.<br />
<br />
Ha fájlba akarunk naplózni, akkor a megfelelő könyvtárhoz biztosítsunk írás jogot a webszerver felhasználónak, és ne felejtsünk el gondoskodni a naplófájlok rotálásáról!<br />
<br />
* '''log''' mappa létrehozása és jogosultság beállítása<br />
sudo mkdir log; sudo chown www-data:adm log; sudo chmod 755 log<br />
<br />
* Naplózási szint beállítása a '''config/config.php'''-ban<br />
'debug' => array(<br />
'saml' => true,<br />
'backtraces' => true,<br />
'validatexml' => false,<br />
),<br />
'logging.level' => SimpleSAML\Logger::DEBUG,<br />
'logging.handler' => 'file',<br />
<br />
<span style="color:red">A "SimpleSAML\Logger::DEBUG" a legrészletesebb naplózási beállítás, éles rendszernél nem ajánlott csak hiba keresés esetén.</span><br />
<br />
=====Tanúsítvány készítése=====<br />
<br />
<span style="color:red">Nem ajánlott a SimpleSAMLphp-hoz és webszerverhez ugyanazt a tanúsítvány használni!</span><br />
<br />
* A SimpleSAMLphp alapértelmezetten a tanúsítványt a '''cert''' mappában keresi.<br />
mkdir cert<br />
<br />
* Az alábbi paranccsal egy 10 éves [[FedCerts | self-signed tanúsítvány]] generálunk a SimpleSMALphp számára.<br />
openssl req -new -newkey rsa:2048 -x509 -days 3652 -nodes -out cert/saml-example-org.crt -keyout cert/saml-example-org.key<br />
<br />
A fingerprint az alábbi módon kérdezhető le a legegyszerűbben<br />
openssl x509 -fingerprint -noout -in cert/saml-example-org.crt<br />
<br />
===Telepítés kész===<br />
Amennyiben elkészültünk a fenti lépésekkel, úgy a [https://service.example.org/simplesaml/ https://service.example.org/simplesaml/] címen elérjük a telepített SSP-nk webes adminfelületét, ahol megejthetjük a további beállítások nagy részét.<br />
<br />
==Identity Provider (IdP) beállítás==<br />
===Alapbeállítások===<br />
'''IdP''' engedélyezése: a '''config/config.php''' fájlban kell a saml20 idp-t "true"-re állítani.<br />
'enable.saml20-idp' => true,<br />
<br />
===LDAP autentikáció===<br />
Meg kell adni, hogy az IdP milyen módon azonosítsa a felhasználót, amennyiben alapértelmezés szerint nem engedélyezett modult szeretnénk használni, úgy a megfelelő modult a <code>modules</code> könyvtár alatt engedélyezni kell. Az alábbi példában az LDAP alapú azonosítást mutatjuk be, amely külön modult nem igényel, alapértelmezés szerint része a telepített alkalmazásnak.<br />
<br />
Javasolt az LDAP-ban egy olyan bejegyzést létrehozni az IdP számára, amely olvasni tudja a felhasználóknak a föderációban használt attribútumait. Az azonosítás alapértelmezett módon a felhasználó nevében történő újra bind-olással történik, így a jelszóhoz nem kell hozzáférést adni.<br />
<br />
Ahhoz, hogy megadhassuk az LDAP-hoz tartozó beállításokat, a <code>config/authsources.php</code> fájlt kell szerkesztenünk. Az alábbi kódrészletet elegendő beszúrni, és az egyes változóknak a helyi LDAP-nak megfelelő adatokat értékül adni.<br />
<source lang="php"><br />
'example-ldap' => array(<br />
'ldap:LDAP',<br />
<br />
/* The hostname of the LDAP server. */<br />
'hostname' => 'ldap.example.org',<br />
<br />
/* Whether SSL/TLS should be used when contacting the LDAP server. */<br />
'enable_tls' => FALSE,<br />
<br />
/*<br />
* Which attributes should be retrieved from the LDAP server.<br />
* This can be an array of attribute names, or NULL, in which case<br />
* all attributes are fetched.<br />
*/<br />
'attributes' => NULL,<br />
<br />
/*<br />
* The pattern which should be used to create the users DN given the username.<br />
* %username% in this pattern will be replaced with the users username.<br />
*<br />
* This option is not used if the search.enable option is set to TRUE.<br />
'dnpattern' => 'uid=%username%,ou=people,dc=example,dc=org',<br />
*/<br />
<br />
/*<br />
* As an alternative to specifying a pattern for the users DN, it is possible to<br />
* search for the username in a set of attributes. This is enabled by this option.<br />
*/<br />
'search.enable' => TRUE,<br />
<br />
/*<br />
* The DN which will be used as a base for the search.<br />
* This can be a single string, in which case only that DN is searched, or an<br />
* array of strings, in which case they will be searched in the order given.<br />
*/<br />
'search.base' => 'ou=people,dc=example,dc=org',<br />
<br />
/*<br />
* The attribute(s) the username should match against.<br />
*<br />
* This is an array with one or more attribute names. Any of the attributes in<br />
* the array may match the value the username.<br />
*/<br />
'search.attributes' => array('uid', 'mail'),<br />
<br />
/*<br />
* The username & password the simpleSAMLphp should bind to before searching. If<br />
* this is left as NULL, no bind will be performed before searching.<br />
*/<br />
'search.username' => 'cn=simplesamlphp,dc=example,dc=org',<br />
'search.password' => 'servicepassword',<br />
<br />
'priv.read' => TRUE,<br />
// The DN & password the SimpleSAMLphp should bind to before<br />
// retrieving attributes. These options are required if<br />
// 'priv.read' is set to TRUE.<br />
'priv.username' => 'cn=simplesamlphp,dc=example,dc=org',<br />
'priv.password' => 'servicepassword;,<br />
),<br />
</source><br />
<br />
===Metaadat alapok===<br />
A beállítandó IdP alapvető paraméterei a <code>metadata/saml20-idp-hosted.php</code> fájlban állíthatók. Az alábbi kódrészlet egy minimális, de már működő példát mutat.<br />
<source lang="php"><br />
$metadata['__DYNAMIC:1__'] = array(<br />
/*<br />
* The hostname for this IdP. This makes it possible to run multiple<br />
* IdPs from the same configuration. '__DEFAULT__' means that this one<br />
* should be used by default.<br />
*/<br />
'host' => '__DEFAULT__',<br />
<br />
/*<br />
* The private key and certificate to use when signing responses.<br />
* These are stored in the cert-directory.<br />
*/<br />
'privatekey' => 'saml-example-org.key',<br />
'certificate' => 'saml-example-org.crt',<br />
<br />
/*<br />
* The authentication source which should be used to authenticate the<br />
* user. This must match one of the entries in config/authsources.php.<br />
*/<br />
'auth' => 'example-ldap',<br />
);<br />
</source><br />
<br />
Megfelelő beállítások után a dinamikusan generált metadata a <code>/saml2/idp/metadata.php</code> útvonalon érhető el.<br />
<br />
===Tesztelés===<br />
Legegyszerűbben a telepített SSP felületén tudjuk ellenőrizni, hogy a beállított autentikációs forrás működik-e. A felületen az Authentication fül alatt található egy 'Test authentication sources' link, amelyre kattintva látható minden beállított autentikációs forrás is, így a két alapértelmezett, teszt célokat szolgáló alatt a most beállított example-ldap névre hallgatónak is meg kell jelenni. (A közvetlen url erre az oldalra: simplesaml/module.php/core/authenticate.php) Ez utóbbira kattintva a beállított LDAP-ból autentikálva be kell tudnunk jelentkeznünk; siker esetén az LDAP-ból kinyerhető attribútumokat láthatjuk.<br />
<br />
==Service Provider (SP) beállítás==<br />
===Alapbeállítások===<br />
<br />
A telepített alkalmazásunk által kezelt SP-ket a '''config/authsources.php''' fájlban tudjuk beállítani. Az ''entityID, idp, discoURL'' értékeket most hagyjuk ''NULL'' értéken és adjuk hozzá a '''privatekey''' / '''certificate''' részt.<br />
<br />
A SimpleSAMLphp a tanúsítvány fájlokat a korábban létrehozott '''cert''' mappában fogja keresni, a fájlokat elég relatív elérési úttal megadni.<br />
<br />
<source lang="php"><br />
'default-sp' => array(<br />
'saml:SP',<br />
<br />
// The entity ID of this SP.<br />
// Can be NULL/unset, in which case an entity ID is generated based on the metadata URL.<br />
'entityID' => NULL,<br />
<br />
// The entity ID of the IdP this should SP should contact.<br />
// Can be NULL/unset, in which case the user will be shown a list of available IdPs.<br />
'idp' => NULL,<br />
<br />
// The URL to the discovery service.<br />
// Can be NULL/unset, in which case a builtin discovery service will be used.<br />
'discoURL' => NULL,<br />
<br />
'privatekey' => 'saml-example-org.key',<br />
'certificate' => 'saml-example-org.crt',<br />
<br />
),<br />
</source><br />
<br />
A fenti beállítások alapján az SP entityID-ja megegyezik a metadata elérési útvonalával (szokásos megoldás SSP-nél), nem adunk meg alapértelmezett idp-t, ezáltal az SSP választási lehetőséget kínál fel számunkra, mikor az SP-re szeretnénk bejelentkezni, ill. most még Discovery Service URL-t sem adunk meg, hanem a beépítettet használjuk. Ez utóbbit majd a HREF-be történő integrációkor meg kell változtatni - lásd lejjebb.<br />
<br />
<br />
Az SP készen áll arra, hogy összekössük egy IdP-vel (ez jellemzően szintén egy SimpleSAMLphp alkalmazás). Ehhez szükséges, hogy SP oldalon beállítsuk az IdP metadata-t és IdP oldalon is beállítsuk az SP metadata-t.<br />
<br />
====Metadata====<br />
====Metadata fájlok====<br />
A különböző metadata template fájlok a '''metadata-templates''' mappában találhatóak. A nekünk szükséges template fájlt másoljuk át a metadata mappába.<br />
<br />
* '''SP''' oldalon lennie kell egy''' metadata/saml20-idp-remote.php''' fájlnak. Ez a fájl tartalmazza az IdP eléréséhez szükséges adatokat.<br />
cp metadata-templates/saml20-idp-remote.php metadata<br />
<br />
* '''IdP''' oldalon lennie kell egy '''metadata/saml20-sp-remote.php''' fájlnak. Ez a fájl tartalmazza az SP eléréséhez szükséges adatokat.<br />
cp metadata-templates/saml20-sp-remote.php metadata<br />
<br />
====Metadata letöltés====<br />
<br />
Ezen az oldalon megtaláljuk az SP vagy IdP-re vonatkozó '''metadata'''-t, '''XML''' és '''PHP''' formátumban: https://example.org/simplesaml/module.php/saml/sp/metadata.php/default-sp?output=xhtml<br />
<br />
====SP metadata beállítás IdP oldalon====<br />
<br />
A metadata '''simplesaml''' kezdőlapon, az alábbi helyen érhető el:<br />
* Magyar nyelv esetén: "Föderáció" fül / "SAML 2.0 SP Metaadatok" pont alatt a "Mutasd a metaadatokat" linkre kattintva juthatunk el a fenti menüponthoz.<br />
* Angol nyelv esetén: "Federation" fül / "SAML 2.0 SP Metadata" pont alatt a "Show metadata" linkre kattintva juthatunk el a fenti menüponthoz.<br />
<br />
<br />
A "''SimpleSAMLphp fájl formátumban - akkor használható, ha a másik oldalon SimpleSAMLphp van''" mezőből tegyük a vágólapra az alábbi PHP kódot:<br />
<br />
<source lang="php"><br />
$metadata['https://example.org/simplesaml/module.php/saml/sp/metadata.php/default-sp'] = array (<br />
'SingleLogoutService' => <br />
array (<br />
0 => <br />
array (<br />
'Binding' => 'urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Redirect',<br />
'Location' => 'https://example.org/simplesaml/module.php/saml/sp/saml2-logout.php/default-sp',<br />
),<br />
),<br />
'AssertionConsumerService' => <br />
array (<br />
0 => <br />
array (<br />
'index' => 0,<br />
'Binding' => 'urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST',<br />
'Location' => 'https://example.org/simplesaml/module.php/saml/sp/saml2-acs.php/default-sp',<br />
),<br />
1 => <br />
array (<br />
'index' => 1,<br />
'Binding' => 'urn:oasis:names:tc:SAML:1.0:profiles:browser-post',<br />
'Location' => 'https://example.org/simplesaml/module.php/saml/sp/saml1-acs.php/default-sp',<br />
),<br />
2 => <br />
array (<br />
'index' => 2,<br />
'Binding' => 'urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Artifact',<br />
'Location' => 'https://example.org/simplesaml/module.php/saml/sp/saml2-acs.php/default-sp',<br />
),<br />
3 => <br />
array (<br />
'index' => 3,<br />
'Binding' => 'urn:oasis:names:tc:SAML:1.0:profiles:artifact-01',<br />
'Location' => 'https://example.org/simplesaml/module.php/saml/sp/saml1-acs.php/default-sp/artifact',<br />
),<br />
),<br />
'contacts' => <br />
array (<br />
0 => <br />
array (<br />
'emailAddress' => 'admin@example.org',<br />
'contactType' => 'technical',<br />
'givenName' => 'Example Corp. IT Dept.',<br />
),<br />
),<br />
'certData' => 'AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA==',<br />
);<br />
</source><br />
<br />
A vágólapra másolt kódot IdP oldalon, a '''metadata/saml20-sp-remote.php''' fájl végére illesszük be.<br />
<br />
====IdP metadata beállítás SP oldalon====<br />
<br />
A metadata '''simplesaml''' kezdőlapon, az alábbi helyen érhető el:<br />
* Magyar nyelv esetén: "Föderáció" fül / "SAML 2.0 IdP Metaadatok" pont alatt a "Mutasd a metaadatokat" linkre kattintva juthatunk el a fenti menüponthoz.<br />
* Angol nyelv esetén: "Federation" fül / "SAML 2.0 IdP Metadata" pont alatt a "Show metadata" linkre kattintva juthatunk el a fenti menüponthoz.<br />
<br />
<br />
A "''SimpleSAMLphp fájl formátumban - akkor használható, ha a másik oldalon SimpleSAMLphp van''" mezőből tegyük a vágólapra az alábbi PHP kódot:<br />
<br />
<source lang="php"><br />
$metadata['https://idp.example.org/simplesaml/saml2/idp/metadata.php'] = array (<br />
'metadata-set' => 'saml20-idp-remote',<br />
'entityid' => 'https://idp.example.org/simplesaml/saml2/idp/metadata.php',<br />
'SingleSignOnService' => <br />
array (<br />
0 => <br />
array (<br />
'Binding' => 'urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Redirect',<br />
'Location' => 'https://idp.example.org/simplesaml/saml2/idp/SSOService.php',<br />
),<br />
),<br />
'SingleLogoutService' => <br />
array (<br />
0 => <br />
array (<br />
'Binding' => 'urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Redirect',<br />
'Location' => 'https://idp.example.org/simplesaml/saml2/idp/SingleLogoutService.php',<br />
),<br />
),<br />
'certData' => 'AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA==',<br />
'NameIDFormat' => 'urn:oasis:names:tc:SAML:2.0:nameid-format:transient',<br />
);<br />
</source><br />
<br />
A vágólapra másolt kódot SP oldalon, a '''metadata/saml20-idp-remote.php''' fájl végére illesszük be. <br />
<br />
===Tesztelés===<br />
<br />
A fent elvégzett alapbeállítások után már tudjuk tesztelni a, hogy a felépített IdP - SP kapcsolat működik-e.<br />
<br />
SP oldalon nyissuk meg a '''simplesaml''' kezdőlapot:<br />
<br />
* Magyar nyelv esetén: "Azonosítás (autentikáció)" fül / "Azonosítási (autentikációs) beállítások tesztelése" link / "default-sp" link-re kattintva tudjuk tesztelni az IdP - SP kapcsolatot.<br />
* Angol nyelv esetén: "Authentication" fül / "Test configured authentication sources" link / "default-sp" link-re kattintva tudjuk tesztelni az IdP - SP kapcsolatot.<br />
<br />
A legördülő menüben az IdP-nk "nevére" kattintva, be kell tudnunk jelentkezni (az IdP-n keresztül). Ha működik, akkor az IdP visszairányít az SP-re, kiírja az azonosított felhasználó attribútumait. <br />
<br />
Az alapvető lépsekkel kész vagyunk, van egy működő SP-nk és egy működő IdP-nk.<br />
<br />
==HREF-integráció==<br />
<br />
===Metadata beállítása (IdP és SP is)===<br />
Javasolt [[MDX | dinamikus metaadatforrást (MDX)]] használni, opcionálisan kiegészítve statikus állományokkal. Részletes leírás itt: [[SimpleSAMLMixedMetadata]]<br />
<br />
===IdP===<br />
Amennyiben van SSP alapú IdP-nk, melyet szeretnénk a föderáció részévé tenni, úgy a teendők a következők.<br />
* (Az adminisztratív teendőktől itt most eltekintünk, a csatlakozás folyamata [[HREFJoin|itt van leírva]])<br />
* Kell küldeni egy levelet a [mailto:info@eduid.hu info@eduid.hu] címre, benne néhány mondat mellett az IdP metaadatának URL-jével (https://example.org/simplesamlphp/saml2/idp/metadata.php)<br />
* Ha minden rendben megy, akkor az IdP bekerül a [[Resource_Registry]]-be, ezáltal a föderációs metaadatba is.<br />
* Az előző pontban leírt módon be kell állítani a központi metadata feldolgozását.<br />
* Amennyiben a föderációs metaadatban már szerepel a mi IdP-nk is, úgy a föderáció valamelyik, tesztelési célokat szolgáló SP-jénél ki is próbálhatjuk a bejelentkezést. <br />
<br />
:'''Fontos''', hogy a föderációs Discovery Service óránként generálja újra az IdP-k listáját, így ennyi idő mindenképp szükséges, hogy az új IdP megjelenjen itt, az egyes SP-k pedig két óránként töltik újra a metaadatot, így előfordulhat, hogy azonnal nem fog minden működni, de néhány óra alatt várhatóan beindul. :)<br />
<br />
:Tesztelésre használható oldal: https://attributes.eduid.hu<br />
<br />
* Ahhoz, hogy a Resource Registry-be is be tudjunk lépni és az IdP további, a föderációra vonatkozó beállításait meg tudjuk ejteni, ehhez az IdP-nek ki kell adnia az alábbi attribútumokat:<br />
** [[HREFAttributeSpec#mail|mail]] - ez belépés után, manuálisan is beállítható<br />
** [[HREFAttributeSpec#eduPersonPrincipalName|eduPersonPrincipalName]]<br />
** <del>[[HREFAttributeSpec#schacHomeOrganizationType|schacHomeOrganizationType]]</del> (az attribútumot hamarosan kivezetjük a kötelező attribútumok közül)<br />
** [[HREFAttributeSpec#eduScopedAffiliation|eduPersonScopedAffiliation]]<br />
<br />
<br />
====Attribútumok kezelése====<br />
Beállított IdP-nk alapértelmezés szerint azokat az attribútumokat adja ki, melyeket a metaadat alapján az SP kért (Lásd a metadatában a RequestedAttribute elemeket), és egyúttal alapból meg tudta szerezni a felhasználói adatbázisból, esetünkben az LDAP-ból. Mivel néhány attribútum nem szerepel az LDAP-ban, hanem az IdP-ben kell előállítani, így pár helyen módosítanunk kell az alapértelmezett konfiguráción.<br />
<br />
A <code>metadata/saml20-idp-hosted.php</code> fájlba szerkesszük be az alábbi kódrészlet értelemszerűen módosított változatát. Az <code>'auth' => 'example-ldap',</code> sor alatt kezdjük. Fontos, hogy egyúttal a config.php <code>authproc.idp</code> részét kikommentezzük, nehogy az ottani sorszámokkal megadott default feladatok bekavarjanak.<br />
<br />
<source lang="php"><br />
'AttributeNameFormat' => 'urn:oasis:names:tc:SAML:2.0:attrname-format:uri',<br />
'userid.attribute' => 'uid', // Itt adjuk meg, hogy mely, az LDAPból származó attribútum alapján fogja az IdP kiszámítani az eduPersonTargetedID-t<br />
'authproc' => array(<br />
10 => array(<br />
'class' => 'core:AttributeMap',<br />
'uid' => 'eduPersonPrincipalName'<br />
//Itt az 'uid' az az attribútum az LDAP-ban, amely a felhasználó azonosítóját tartalmazza, mert ebből képezzük az eduPersonPrincipalName-t.<br />
),<br />
# 20 => array(<br />
# 'class' => 'core:AttributeAdd',<br />
# 'schacHomeOrganizationType' => array('urn:schac:homeOrganizationType:hu:university')<br />
# //Kötelező statikus attribútum az [[HREFAttributeSpec#schacHomeOrganizationType|intézmény jellegének]] megfelelően<br />
# ),<br />
30 => array(<br />
'class' => 'core:AttributeAlter',<br />
'subject' => 'eduPersonPrincipalName',<br />
'pattern' => '/^.*$/',<br />
'replacement' => '${0}@intezmenydomain.hu',<br />
// Itt adjuk hozzá az intézményi scope-ot az eduPersonPrincipalName már meglévő értékéhez<br />
),<br />
40 => array(<br />
'class' => 'core:AttributeAlter',<br />
'subject' => 'eduPersonAffiliation',<br />
'pattern' => '/^.*$/',<br />
'replacement' => '${0}@intezmenydomain.hu',<br />
// Itt adjuk hozzá az intézményi scope-ot az eduPersonAffiliation már meglévő értékéhez<br />
),<br />
50 => array(<br />
'class' => 'core:AttributeMap',<br />
'eduPersonAffiliation' => 'eduPersonScopedAffiliation'<br />
// Az LDAP-ból eduPersonAffiliation-ként érkező attribútumból föderációs elvárásoknak megfelelően eduPersonScopedAffiliationt készítünk<br />
),<br />
60 => array(<br />
'class' => 'core:AttributeAdd',<br />
'eduPersonScopedAffiliation' => array('member@intezmenydomain.hu')<br />
// Az eduPersonScopedAffiliation-ben tesztelés céljából kiadhatjuk member értéket, <br />
// így ha LDAP-ból nem jön érték, akkor is láthatjuk, hogy működik az attribútum kiadás <br />
),<br />
61 => array(<br />
'class' => 'core:TargetedID',<br />
'nameId' => TRUE,<br />
),<br />
// Itt állítjuk be, hogy az IdP előállítson és kiadhasson állandóazonosítóként eduPersonTargetedID-t, ha kérik<br />
70 => array('class' => 'core:AttributeMap',<br />
'name2oid'<br />
// Az LDAP-os attribútum nevekből itt kreálunk szabványos urn:oid formátumúakat<br />
),<br />
80 => 'core:AttributeLimit',<br />
), // .authproc<br />
'simplesaml.nameidattribute' => 'eduPersonPrincipalName',<br />
'attributeencodings' => array(<br />
'urn:oid:1.3.6.1.4.1.5923.1.1.1.10' => 'raw',<br />
),<br />
'sign.logout' => true<br />
</source><br />
<br />
<br />
: További tudnivalók a [[Resource_Registry|Resource Registry-ről]], ill. a [[HREFAttributeSpec|Föderációs attribútum specifikációról]].<br />
<br />
* Ha minden rendben ment, akkor a Resource Registry-ben regisztrált IdP-hez tartozó adminisztrációs jogok átkerülnek az IdP technikai gazdájához, s ezzel a folyamat kész is.<br />
<br />
===SP===<br />
Amennyiben IdP-t is beállítottunk, és be is tudunk lépni a Resource Registry-be, úgy nincs más dolgunk, mint az RR-ben új SP-t hozzáadni a föderációhoz, amely a megfelelő átfutási idő után a föderáció minden tagjánál látható is lesz.<br />
<br />
Ellenkező esetben (nincs IdP, és nem is tervezünk beállítani), akkor az IdP hozzáadásánál részletezett pontokon kell végig menni a metaadat betöltéséig, s a továbbiakat az említett e-mail címen megbeszélni.<br />
<br />
<br />
<br />
====Attribútum scopeok használata====<br />
A HREF föderáció IdP-i ún. scopeolt attribútumokat is használnak. Ez a scopeolás azt jelenti, hogy minden egyes IdP csak a saját scopejában ad ki attribútumokat, és a Shibboleth SP-k ezt ellenőrzik is. A scope és az attribútum valódi értéke egy '@' karakterrel kerül elválasztásra (ilyen attribútumok jelenleg: [[HREFAttributeSpec#eduPersonAffiliation|eduPersonScopedAffiliation]] illetve [[HREFAttributeSpec#eduPersonPrincipalName|eduPersonPrincipalName]]).<br />
<br />
A SimpleSAMLphp alapértelmezett telepítése nem szűri a hibásan scopeolt értékeket. Kiegészítő modulként szűrésre használható az NIIF által fejlesztett [https://github.com/NIIF/simplesamlphp-module-attributescope attributescope modul], ami reményeink szerint rövid távon a hivatalos SimpleSAMLphp kiadás része lehet.<br />
<br />
A telepítésről és konfigurációról bővebben itt lehet olvasni: https://github.com/NIIF/simplesamlphp-module-attributescope<br />
<br />
: Az <code>attributescope</code> modul használata esetén a következőképp kell módosítani a <code>config/config.php</code> fájlt:<br />
<source lang="php"><br />
authproc.sp = array(<br />
...<br />
// 49 => array('class' => 'core:AttributeMap', 'oid2name'),<br />
50 => array( 'class' => 'attributescope:FilterAttributes'<br />
),<br />
...<br />
),<br />
</source><br />
Figyeljünk arra, hogy mire a modulhoz ér a vezérlés, az attribútumok nevei ''friendlyName'' alakúak legyenek (ne pedig ''oid''-ok). A példában erre utal a 49-es sor.<br />
<br />
[[Category: AAI]] [[Category: simpleSAMLphp]] [[Category: HOWTO]]</div>Matteo(AT)niif.huhttps://wiki.niif.hu/index.php?title=SSP2&diff=5033SSP22024-08-06T08:59:45Z<p>Matteo(AT)niif.hu: /* SSP2 leírás */</p>
<hr />
<div>== SSP2 leírás ==<br />
<br />
Nagyjából leírni:<br />
<br />
Rendszer Előkészítése<br />
Apache Telepítése<br />
PHP és Composer Telepítése<br />
További szoftverkönyvtárak és kiterjesztések telepítése<br />
<br />
Bővebben / konkrétabban leírni:<br />
SimpleSAMLphp Telepítése<br />
Tanúsítvány Telepítése<br />
Adatbázis Konfiguráció<br />
Redis Konfiguráció<br />
LDAP Integráció<br />
Konfiguráció és modulok Beállítása<br />
<br />
Egyebek?<br />
Naplózás, Monitorozás<br />
<br />
EDDIGI DOKSI<br />
<br />
Ez egy simplesamlphp install útmutató, először is nagyvonalakban leírásra kerülnek az előkészületek ezt követően pedig maga a szoftver telepítése és beállítása.<br />
<br />
<br />
Előkészületek:<br />
Rendszer:<br />
APACHE telepítése<br />
PHP 8 vagy nagyobb telepítése<br />
COMPOSER telepítése<br />
Könyvtárak, kiegészítők amiket telepíteni kell:<br />
wget openssl unzip build-essential libldap2-dev libldap-common <br />
PHP kiegészítők: ldap, mysqli, pdo, pdo_mysql<br />
Információk, certek:<br />
Bár a szoftver képes futni mariadb, és redis nélkül, ezek vagy hasonló megoldások használata ajánlott.<br />
Database connection stringgel rendelkezni, redis elérhetőséggel és jelszóval rendelkezni.<br />
Az adatbázis szerkezetének kialakítása a használt moduloktól függ, a leggyakoribb a consent modul, ott van is dokumentáció az adatbázis inicializálásáról.<br />
Kell 2 certpár, az egyik az apachenak a másik az SSP-nek ezutóbbi lehet önalárírt.<br />
<br />
<br />
<br />
Telepítés:</div>Matteo(AT)niif.hu