Nullaegy(AT)niif.hu: shib + apache példa

2025-06-04T09:04:15Z

shib + apache példa

Cziernorbert(AT)niif.hu, 2025. május 30., 12:40-n

2025-05-30T12:40:35Z

Cziernorbert(AT)niif.hu, 2025. május 15., 07:37-n

2025-05-15T07:37:49Z

Molnarp(AT)niif.hu, 2025. május 9., 07:45-n

2025-05-09T07:45:46Z

Cziernorbert(AT)niif.hu: Új oldal, tartalma: „== Bevezetés == A HREF új metaadat aláírókulcsra áll át a SAML 2.0 metaadataiban (HREF-2025). A HREF szövetségi tagoknak és partnernek az új aláírókulcsho…”

2025-01-23T08:43:12Z

Új oldal, tartalma: „== Bevezetés == A HREF új metaadat aláírókulcsra áll át a SAML 2.0 metaadataiban (HREF-2025). A HREF szövetségi tagoknak és partnernek az új aláírókulcsho…”

Új lap

== Bevezetés ==
A HREF új metaadat aláírókulcsra áll át a SAML 2.0 metaadataiban (HREF-2025). A HREF szövetségi tagoknak és partnernek az új aláírókulcshoz tartozó konfigurációkat 2025. juniús 14.-ig frissíteniük kell az összes eduID.hu-t támogató rendszerükben. Ezt követően a régi - több, mint 4 éves aláírókulcs (HREF-2020) - leállításra kerül, és az utolsó aláírástól számított 10. napon a régi metaadat érvénytelen lesz.

Az alábbi táblázatok az átálláshoz szükséges összes adatot tartalmazzák. A konfigurációs példák, olyan megoldásokat kínálnak (ahol ez lehetséges), amelyekkel egyszerre lehet használni a régi és az új metaadatot.

== Key Rollover ==

=== Elnevezések ===

{| class="wikitable"
! Elnevezés || Metaadat aláíró tanúsítvány || Kivezetés tervezett időpontja
|-
|-
| HREF-2011 || style="text-align:center;" | [https://metadata.eduid.hu/certs/href-metadata-signer-2011.crt href-metadata-signer-2011.crt] || style="text-align:center;" | 2022.01.01.
|-
| HREF-2015 || style="text-align:center;" | [https://metadata.eduid.hu/certs/mdx-test-signer-2020.crt mdx-test-signer-2015.crt] || style="text-align:center;" | 2022.01.01.
|-
| HREF-2020 || style="text-align:center;" | [https://metadata.eduid.hu/certs/href-metadata-signer-2020.crt href-metadata-signer-2020.crt] || style="text-align:center;" | 2025.06.14.
|-
| HREF-2020 || style="text-align:center;" | [https://metadata.eduid.hu/certs/href-metadata-signer-2025.crt href-metadata-signer-2025.crt] || style="text-align:center;" | 2030.06.14.
|}

=== SHA1 fingerprints ===

{| class="wikitable"
! Elnevezés || SHA1 fingerprint
|-
|-
| HREF-2011 || style="text-align:center;" | <code>FE:AE:0B:E8:FB:59:ED:F7:CB:7F:69:DF:19:4F:8B:6D:C7:F6:96:66</code>
|-
| HREF-2015 || style="text-align:center;" | <code>91:81:AD:2B:F1:C1:4E:47:93:A2:9D:49:34:B7:77:62:4F:2F:98:43</code>
|-
| HREF-2020 || style="text-align:center;" | <code>C3:72:DC:75:4C:FA:BA:65:63:52:D9:6B:47:5B:44:7E:AA:F6:45:61</code>
|-
| HREF-2025 || style="text-align:center;" | <code>F3:53:3E:1E:FF:A3:65:69:C4:5E:CB:17:55:89:51:1D:76:9F:91:A9</code>
|}

=== Domain név változások ===

{| class="wikitable"
|-
! Domain || Technikai domain || Kulcs || Állapot
|-
| rowspan="3" | metadata.eduid.hu || <code>metadata.eduid.hu/2011/href.xml</code> || HREF-2011 || style="text-align:center;" | Prod
|-
| <code>metadata.eduid.hu/2020/href.xml</code> || HREF-2020 || style="text-align:center;" | Prod
|-
| <code>metadata.eduid.hu/2025/href.xml</code> || HREF-2025 || style="text-align:center;" | Prod
|-
| rowspan="3" | mdx.eduid.hu || <code>mdx-2015.eduid.hu</code> || HREF-2015 || style="text-align:center;" | Prod
|-
| <code>mdx-2020.eduid.hu</code> || HREF-2020 || style="text-align:center;" | Prod
|-
| <code>mdx-2025.eduid.hu</code> || HREF-2025 || style="text-align:center;" | Prod
|}

== Shibboleth Service Provider beállítások ==

https://wiki.shibboleth.net/confluence/display/SP3/MetadataProvider

=== XML ===

https://wiki.shibboleth.net/confluence/display/SP3/XMLMetadataProvider

<syntaxhighlight lang="xml">
<MetadataProvider type="Chaining">
<MetadataProvider type="XML" id="href-2020" url="https://mdx-2020.eduid.hu" backingFilePath="href-2020.xml">
<MetadataFilter type="Signature" certificate="href-metadata-signer-2020.crt"/>
<MetadataFilter type="RequireValidUntil" maxValidityInterval="864000"/>
</MetadataProvider>
<MetadataProvider type="XML" id="href-2025" url="https://mdx-2025.eduid.hu" backingFilePath="href-2025.xml">
<MetadataFilter type="Signature" certificate="href-metadata-signer-2025.crt"/>
<MetadataFilter type="RequireValidUntil" maxValidityInterval="864000"/>
</MetadataProvider>
</MetadataProvider>
</syntaxhighlight>

=== MDX ===

==== Shibboleth 3.X ====

https://wiki.shibboleth.net/confluence/display/SP3/MDQMetadataProvider

<syntaxhighlight lang="xml">
<MetadataProvider type="MDQ" id="href-2020" ignoreTransport="true" baseUrl="https://mdx-2020.eduid.hu/">
<MetadataFilter type="Signature" certificate="href-metadata-signer-2020.crt"/>
<MetadataFilter type="RequireValidUntil" maxValidityInterval="864000"/>
</MetadataProvider>
<MetadataProvider type="MDQ" id="href-2025" ignoreTransport="true" baseUrl="https://mdx-2025.eduid.hu/">
<MetadataFilter type="Signature" certificate="href-metadata-signer-2025.crt"/>
<MetadataFilter type="RequireValidUntil" maxValidityInterval="864000"/>
</MetadataProvider>
</syntaxhighlight>

==== Shibboleth 2.X ====

<syntaxhighlight lang="xml">
<MetadataProvider type="Dynamic" id="href-2020" ignoreTransport="true">
<Subst>https://mdx-2020.eduid.hu/entities/$entityID</Subst>
<MetadataFilter type="Signature" certificate="href-metadata-signer-2020.crt"/>
</MetadataProvider>
<MetadataProvider type="Dynamic" id="href-2025" ignoreTransport="true">
<Subst>https://mdx-2025.eduid.hu/entities/$entityID</Subst>
<MetadataFilter type="Signature" certificate="href-metadata-signer-2025.crt"/>
</MetadataProvider>
</syntaxhighlight>

== Shibboleth Identity Provider beállítások ==

=== XML ===

==== Shibboleth 4.X ====

https://wiki.shibboleth.net/confluence/display/IDP4/FileBackedHTTPMetadataProvider

<syntaxhighlight lang="xml">
<MetadataProvider id="RemoteMetadataAggregate" xsi:type="FileBackedHTTPMetadataProvider"
backingFile="%{idp.home}/metadata/href-2025.xml"
metadataURL="https://metadata.eduid.hu/2025/href.xml">

<MetadataFilter xsi:type="SignatureValidation" requireSignedRoot="true"
certificateFile="%{idp.home}/conf/metadata/href-metadata-signer-2025.crt"/>

<MetadataFilter xsi:type="RequiredValidUntil" maxValidityInterval="P9D"/>

<MetadataFilter xsi:type="EntityRoleWhiteList">
<RetainedRole>md:SPSSODescriptor</RetainedRole>
</MetadataFilter>

</MetadataProvider>
</syntaxhighlight>

==== Shibboleth 3.X ====

https://wiki.shibboleth.net/confluence/display/IDP30/FileBackedHTTPMetadataProvider

<syntaxhighlight lang="xml">
<MetadataProvider id="RemoteMetadataAggregate" xsi:type="FileBackedHTTPMetadataProvider"
backingFile="%{idp.home}/metadata/href-2025.xml"
metadataURL="https://metadata.eduid.hu/2025/href.xml">

<MetadataFilter xsi:type="SignatureValidation" requireSignedRoot="true"
certificateFile="%{idp.home}/conf/metadata/href-metadata-signer-2025.crt"/>

<MetadataFilter xsi:type="RequiredValidUntil" maxValidityInterval="P9D"/>

<MetadataFilter xsi:type="EntityRoleWhiteList">
<RetainedRole>md:SPSSODescriptor</RetainedRole>
</MetadataFilter>

</MetadataProvider>
</syntaxhighlight>

=== MDX ===

==== Shibboleth 4.X ====

https://wiki.shibboleth.net/confluence/display/IDP4/DynamicHTTPMetadataProvider

<syntaxhighlight lang="xml">
<MetadataProvider id="DynamicEntityMetadata" xsi:type="DynamicHTTPMetadataProvider"
connectionRequestTimeout="PT2S"
connectionTimeout="PT2S"
socketTimeout="PT4S">

<MetadataFilter xsi:type="SignatureValidation" requireSignedRoot="true"
certificateFile="%{idp.home}/credentials/href-metadata-signer-2025.crt"/>

<MetadataFilter xsi:type="RequiredValidUntil" maxValidityInterval="P9D"/>

<MetadataQueryProtocol>https://mdx-2025.eduid.hu/</MetadataQueryProtocol>

</MetadataProvider>
</syntaxhighlight>

==== Shibboleth 3.X ====

https://wiki.shibboleth.net/confluence/display/IDP30/DynamicHTTPMetadataProvider

<syntaxhighlight lang="xml">
<MetadataProvider id="DynamicEntityMetadata" xsi:type="DynamicHTTPMetadataProvider"
connectionRequestTimeout="PT2S"
connectionTimeout="PT2S"
socketTimeout="PT4S">

<MetadataFilter xsi:type="SignatureValidation" requireSignedRoot="true"
certificateFile="%{idp.home}/credentials/href-metadata-signer-2025.crt"/>

<MetadataFilter xsi:type="RequiredValidUntil" maxValidityInterval="P9D"/>

<MetadataQueryProtocol>https://mdx-2025.eduid.hu/</MetadataQueryProtocol>

</MetadataProvider>
</syntaxhighlight>

== SimpleSAMLphp ==

=== MDX ===

<syntaxhighlight lang="php">
//config/config.php
'metadata.sources' => [
['type' => 'flatfile'], // ez a *-hosted metadata konfiguráció betöltése miatt szükséges
[
'type' => 'mdq',
'server' => 'https://mdx-2025.eduid.hu',
/* --- */
'validateFingerprint' => 'F3:53:3E:1E:FF:A3:65:69:C4:5E:CB:17:55:89:51:1D:76:9F:91:A9'
],
],
</syntaxhighlight>

=== metarefresh ===

https://simplesamlphp.org/docs/stable/simplesamlphp-maintenance#section_3

https://github.com/simplesamlphp/simplesamlphp-module-metarefresh/blob/master/docs/simplesamlphp-automated_metadata.md

<syntaxhighlight lang="php">
// config/config-metarefresh.php
$config = [
'sets' => [
'href-2020' => [
'cron' => ['hourly'],
'sources' => [
[
'src' => 'https://metadata.eduid.hu/2020/href.xml',
'validateFingerprint' => 'C3:72:DC:75:4C:FA:BA:65:63:52:D9:6B:47:5B:44:7E:AA:F6:45:61',
],
],
'expireAfter' => 777600, // 9 nap.
'outputDir' => 'metadata/metarefresh-href-2020/',
'outputFormat' => 'flatfile',
],
'href-2025' => [
'cron' => ['hourly'],
'sources' => [
[
'src' => 'https://metadata.eduid.hu/2025/href.xml',
'validateFingerprint' => 'F3:53:3E:1E:FF:A3:65:69:C4:5E:CB:17:55:89:51:1D:76:9F:91:A9',
],
],
'expireAfter' => 777600, // 9 nap.
'outputDir' => 'metadata/metarefresh-href-2025/',
'outputFormat' => 'flatfile',
],
],
];
</syntaxhighlight>

<syntaxhighlight lang="php">
// config/config.php
'metadata.sources' => [
['type' => 'flatfile'],
['type' => 'flatfile', 'directory' => 'metadata/metarefresh-href-2020'],
['type' => 'flatfile', 'directory' => 'metadata/metarefresh-href-2025'],
],
</syntaxhighlight>

== FAQ /GYIK ==

Bővítés alatt!

* Miért cserél KIFÜ kulcsot?
* IdP-t érinti?
* Mi a helyzet az eduGAIN-t használó IdP-kkel?
* Mi a helyzet az eduGAIN-t használó SP-kkel?
* Hogyan tudom ellenőrízni, hogy jó kulcsot használok?

@@ 102. sor: / 102. sor: @@
 </MetadataProvider>
 </syntaxhighlight>
 ==== Shibboleth 2.X ====

@@ 53. sor: / 53. sor: @@
 |-
 | <code>mdx-2025.eduid.hu</code> || HREF-2025 || style="text-align:center;" | Prod
 |}

@@ 33. sor: / 33. sor: @@
 | HREF-2020 || style="text-align:center;" | <code>C3:72:DC:75:4C:FA:BA:65:63:52:D9:6B:47:5B:44:7E:AA:F6:45:61</code>
 |-
-| HREF-2025 || style="text-align:center;" | <code>F3:53:3E:1E:FF:A3:65:69:C4:5E:CB:17:55:89:51:1D:76:9F:91:A9</code>
+| HREF-2025 || style="text-align:center;" | <code>45:B2:33:96:7C:4F:7E:42:86:8D:CC:CF:CC:0E:3E:1C:2E:24:C2:DE</code>
 |}
@@ 206. sor: / 206. sor: @@
           'server' => 'https://mdx-2025.eduid.hu',
           /* --- */
-          'validateFingerprint' => 'F3:53:3E:1E:FF:A3:65:69:C4:5E:CB:17:55:89:51:1D:76:9F:91:A9'
+          'validateFingerprint' => '45:B2:33:96:7C:4F:7E:42:86:8D:CC:CF:CC:0E:3E:1C:2E:24:C2:DE'
       ],
 ],
@@ 238. sor: / 238. sor: @@
+                [
                     'src' => 'https://metadata.eduid.hu/2025/href.xml',
-                    'validateFingerprint' => 'F3:53:3E:1E:FF:A3:65:69:C4:5E:CB:17:55:89:51:1D:76:9F:91:A9',
+                    'validateFingerprint' => '45:B2:33:96:7C:4F:7E:42:86:8D:CC:CF:CC:0E:3E:1C:2E:24:C2:DE',
                 ],
             ],

@@ 18. sor: / 18. sor: @@
 | HREF-2020 || style="text-align:center;" | [https://metadata.eduid.hu/certs/href-metadata-signer-2020.crt href-metadata-signer-2020.crt] || style="text-align:center;" | 2025.06.14.
 |-
-| HREF-2020 || style="text-align:center;" | [https://metadata.eduid.hu/certs/href-metadata-signer-2025.crt href-metadata-signer-2025.crt] || style="text-align:center;" | 2030.06.14.
+| HREF-2025 || style="text-align:center;" | [https://metadata.eduid.hu/certs/href-metadata-signer-2025.crt href-metadata-signer-2025.crt] || style="text-align:center;" | 2030.06.14.
 |}

HREF Key Rollover 2025 - Laptörténet

Nullaegy(AT)niif.hu: shib + apache példa

Cziernorbert(AT)niif.hu, 2025. május 30., 12:40-n

Cziernorbert(AT)niif.hu, 2025. május 15., 07:37-n

Molnarp(AT)niif.hu, 2025. május 9., 07:45-n

Cziernorbert(AT)niif.hu: Új oldal, tartalma: „== Bevezetés == A HREF új metaadat aláírókulcsra áll át a SAML 2.0 metaadataiban (HREF-2025). A HREF szövetségi tagoknak és partnernek az új aláírókulcsho…”