Módosítások

Shib2IdpInstall

7 036 bájt hozzáadva, 2013. március 14., 11:09
maxrefreshdelay →‎HREF föderációs metadata beállítása az IdP-ben
== Előkészületek ==
=== entityID ===
=== Tanúsítvány ===Fontos, hogy az entityID '''egyedi''' és '''állandó''' legyen. Javasolt forma: '''<code>https://idp.intezmenyneve.hu/idp/shibboleth</code>'''. 
=== Tűzfal ===
Be kell engedni a 443-as és a 8443-as portokat. Ha nagyon szigorúan vesszük, akkor a 8443-as portot elegendő csak a szóbajöhető SP-kről beengedni, de ezzel általában nem vagyunk tisztában, ezért célszerű a "nagyvilágból" beengedni. Biztonsági szempontból nem sok különbség van a 443-as és a 8443-as porton elérhető alkalmazások között.
 
== JDK ==
Sajnos Etch Debian Lenny alatt a <code>sun-java5java6-jdk</code> csomag függ egy csomó X-es csomagtól, melyeket nem biztos, hogy szeretnénk telepíteni egy szerveren, csomagot kell feltelepíteni. Telepítés előtt érdemes lehet * feltenni a <code>sun-java5-jre</code> csomagot ÉS* kézzel telepíteni egy JDKaz aptitude-t, mondjuk a http://java.sunban kikapcsolni az opcionális függőségek telepítését.com oldalról letöltve
Ez igazából egy nagy ''hack'', ugyanis ahhoz, hogy a tomcat aptitude install sun-et csomagból telepíteni tudjuk, kell a <code>java2java6-runtime</code> csomag, amelyet biztosít a JRE is, '''viszont''' a Tomcat-nek JDK kell, hogy JSP-t tudjon futtatni.:: <small>'''Megj.:''' Minden JSP-t első futtatáskor a konténer (Tomcat) lefordít Java kóddá, aztán byte-kóddá, ezért tart jó sokáig az - újraindítás utáni - első request. Ezután az eredményt elcache-eli, így csak akkor kell újrafordítania, ha a JSP megváltozik.</small>jdk
A JDK telepítés elég egyszerűÁllítsuk be, letöltjük a java.sun.com oldalról a nekünk tetsző verziót, aztán kicsomagoljuk, mondjuk a <code>/usr/libJAVA_HOME</code> alá, aztán csinálunk egy szimbolikus linket, hogy a <code>környezeti változót! export JAVA_HOME=/usr/jdk<lib/jvm/code> mindig a "jó" JDKjava-6-ra mutasson.sun
Állítsuk be, {{ATTENTION|Az <code>openjdk-6-jdk</code> csomag használata esetén ne felejtsük feltenni a <code>JAVA_HOMEca-certificates-java</code> környezeti változótcsomagot, anélkül ugyanis hibát fogunk kapni az IdP indításakor! export JAVA_HOME=/usr/jdk}}
=== Shibboleth security provider ===
{{INFO|A Shibboleth Security Provider csak akkor szükséges, ha a Java alkalmazásszerver (Tomcat) önállóan fog kéréseket feldolgozni és nem kerül elé proxy (Apache)}}
 
Be kell másolni a <code>lib/shib-jce-1.0.jar</code> állományt a <code>$JAVA_HOME/jre/lib/ext</code> könyvtárba. Ha az <code>ext/</code> könyvtár nem létezik, akkor hozzuk létre.
cp lib/shib-jce-1.0.jar $JAVA_HOME/jre/lib/ext
security.provider.<b>7</b>=edu.internet2.middleware.shibboleth.DelegateToApplicationProvider
: '''Megj.:''' a "security.provider." után következő szám mindig a megelőzőnél legyen eggyel nagyobb!
 
=== Bouncy Castle JCE ===
{{UNCERTAIN|Az alábbi leírás az 5-ös JVM-hez készült, 6-os JVM esetén erre nem biztos hogy szükség van.}}
 
A JVM-mel jövő Java Cryptography Engine (JCE) nem támogatja az összes kriptográfiai algoritmust, amelyre az Identity Providernek szüksége lehet (pl. XML Digital Signature, XML Encryption). A Bouncy Castle JCE ezek mellett még olyan algoritmusokat is tartalmaz (általában hatékonyabb és szabványosabb formában), amelyek benne vannak a Java JCE-ben.
Ehhez először le kell tölteni a [http://polydistortionwww.net/bcbouncycastle.org/indexlatest_releases.html|Bouncy Castle JCE-t]. A JCE állományok a Provider oszlopban, a "Signed Jar Files" részben találhatók. (A nevük <code>bcprov-jdk-VERZIO.jar</code>.) Letöltés után a .jar fájlokat a <code>$JAVA_HOME/jre/lib/ext</code> könyvtárba kell tenni.
wget http://polydistortionwww.net/bcbouncycastle.org/download/bcprov-jdk15-138141.jar cp bcprov-jdk15-138141.jar $JAVA_HOME/jre/lib/ext
Ezek után be kell állítani, hogy a JRE használni is tudja ezt a providert. Ehhez a <code>$JAVA_HOME/jre/lib/security/java.security</code> fájlban keressük meg az ún. "security provider"-eket, és írjuk hozzá a következő sort:
: '''Megj.:''' a "security.provider." után következő szám mindig a megelőzőnél legyen eggyel nagyobb!
== Tomcat 6 ==A 2.1.3 és újabb IdP megköveteli a Tomcat6 használatát (Tomcat5.5-tel bizonyos böngészők esetén nem működik rendesen). A Debian Lenny nem tartalmazza a Tomcat6-ot, ezért a testing ágból kell feltelepíteni. A Tomcat6-ra való frissítésről további - vázlatos - információkkal ez az [[Tomcat55_to_Tomcat6|oldal szolgál]].5 ==
=== Telepítés ===
Ha minden rendben meg, és a squeeze source beállításra került, akkor elegendő egy apt-get aptitude install tomcat5tomcat6parancs kiadása.5Ez felpakolja a tomcat különböző függőségeit is- az ajánlott függőségek (tomcat6-admin, -docs, stb.) feltelepítése nem szükséges.
AhhozNe felejtsük el, hogy a Tomcat rendben elinduljonszerver "tomcat6" user nevében fog futni! Mivel a Shibboleth servletnek szüksége van arra, szükséges neki megmondanihogy hozzáférjen a filerendszerhez, hogy hol találja a JDKJava Security Manager-t. Ezért tegyük ki kell kapcsolni a <code>/etc/default/tomcat5.5tomcat6</code> fájlba a következőtfájlban: JAVA_HOMETOMCAT6_SECURITY=/usr/jdkno
Ne felejtsük elAhhoz, hogy a Tomcat szerver "tomcat55" user nevében fog futni! Mivel a Shibboleth servletnek szüksége van arraszámára üzembiztosan elegendő memóriát biztosítsunk, hogy hozzáférjen a filerendszerhez, a Java Security Manager-t ki kell kapcsolni ugyanebbe a fájlba ( <code>/etc/default/tomcat5.5tomcat6</code> fájlban) adjuk meg: TOMCAT5_SECURITYJAVA_OPTS=no"-Xms256M -Xmx512M -XX:-DisableExplicitGC "
Ahhoz, hogy a Tomcat számára üzembiztosan elegendő memóriát biztosítsunk, ugyanebbe a fájlba ( <code>/etc/default/tomcat5.5</code> ) adjuk meg:
CATALINA_OPTS="-Xms256M -Xmx512M -XX:MaxPermSize=512M -XX:-DisableExplicitGC -server"
=== Beállítás ===
 A <code>/etc/tomcat6/server.xml</code> fájlt kell szerkesztenünk ==== Ha a Tomcat Apache mögött fut ====A 8009-es porton figyelő Connector elem konfigurációjához hozzá kell adni, hogy a <code>tomcatAuthentication</code> értéke "false" legyen, ezen kívül a hozzáférést korlátozhatjuk a localhost-ra is (hiszen a Connector-t csak a helyben futó Apache mod_jk mod_proxy_ajp konnektora érheti el).
<source lang="xml">
<Connector port="8009" address="127.0.0.1" tomcatAuthentication="false"
enableLookups="false" redirectPort="8443" protocol="AJP/1.3" />
</source>
 ==== Ha a Tomcat önállóan, Apache nélkül fut ====
Ha a Tomcat Apache nélkül fut, akkor be kell állítani, hogy az SP-vel való kommunikációra fenntartott 8443-as porton egyből a Tomcat figyeljen.
<source lang="xml">
Ahol az <code>IDP_HOME</code> az IdP alapkönyvtára, a <code>PASSWORD</code> pedig az [[#Shibboleth 2.0 IdP telepítés|IdP telepítésekor]] megadandó jelszó lesz.
{{INFO|Amennyiben a Tomcat önállóan fut, szükség van a Shibboleth Security Provider telepítésére!}} [https://spaceswiki.internet2shibboleth.edunet/confluence/display/SHIB2/IdPApacheTomcatPrepare További információ angolul] == Apache beállítás == Tanúsítványok beszerzése és bemásolása <code>/etc/ssl</code> vonatkozó alkönyvtárai alá. Meg kell adni, hogy az Apache figylejen a 443-as és 8443-as portokon. Az alábbiak kerüljenek a <code>/etc/apache2/ports.conf</code> fájlba Listen 443 Listen 8443 === SSO URL (443-as port) ===Be kell állítani a virtuális hosztot, amelyhez az IdP-t rendeltük. Először a 443-as portot konfiguráljuk.<source lang="apache"> <VirtualHost _default_:443> ServerName aai.example.org:443 SSLEngine On SSLCertificateFile /etc/ssl/certs/aai.example.org.crt SSLCertificateKeyFile /etc/ssl/private/aai.example.org.key SSLCertificateChainFile /etc/ssl/certs/aai.example.org.crt ProxyRequests Off <Proxy ajp://localhost:8009> Allow from all </Proxy> ProxyPass /idp ajp://localhost:8009/idp retry=5 </VirtualHost> </source>Ezen a porton valamilyen széles körben ismert tanúsítványt kell használni, mivel a felhasználók böngészőjének ismerniük kell(ene) a kibocsátót. === AA ill. Artifact (8443-as port) ===Ezen keresztül az SP és az IdP közvetlenül kommunikálnak egymással. Ide arra a tanúsítványra van szükség, amely a föderációs metadatában szerepel - az aláírója nem érdekes.
A csatorna felépítésekor az IdP és az SP is autentikálja magát. Az SP autentikációját az Apache végzi, ami nem végez kibocsátó-ellenőrzést (<code>optional_no_ca</code>). Ez utóbbit az IdP alkalmazás végzi el, ezért nagyon fontos, hogy a kliens tanúsítványát az Apache továbbadja az alkalmazásnak (<code>ExportCertData</code>).{{ATTENTION_EN|Az Apache a tanúsítvány-ellenőrzésnél ellenőrzi a tanúsítvány típusát. Ezért az SP tanúsítványának vagy kliens tanúsítványnak kell lennie, vagy nem lehet benne típus információ.}}<source lang="apache"> <VirtualHost _default_:8443> ServerName aai.example.org:8443 SSLEngine On SSLCipherSuite ALL:!ADH:!EXPORT56:!EXPORT40:RC4+RSA:!SSLv2:+HIGH:+MEDIUM:+LOW:+EXP SSLCertificateFile /etc/ssl/certs/aai-aa.example.org.crt SSLCertificateKeyFile /etc/ssl/private/aai-aa.example.org.key SSLVerifyDepth 10 SSLVerifyClient optional_no_ca SSLOptions -StdEnvVars +ExportCertData ProxyRequests Off <Proxy ajp://localhost:8009> Allow from all </Proxy> ProxyPass /idp ajp://localhost:8009/idp retry=5 </VirtualHost> </source> A virtuális hoszt engedélyezése után be kell tölteni az <code>ssl</code> és <code>proxy_ajp</code> modulokat, majd újra kell indítani az apache-ot. == Shibboleth 2.0 x IdP servlet telepítés ==
====Letöltés====
Az A hivatalos IdP kiadás innen tölthető le: [http://shibboleth.internet2.edu/downloads/shibboleth/idp/latest/ innen tölthető le] Alternatívaként az NIIF által patchelt, ezáltal SLO képes IdP kiadást ajánljuk, ami a [http://shibbolethsoftware.niif.internet2hu NIIF AAI oldalról] érhető el.edu/downloads/shibboleth/idp/latest/A Single Logout-képes IdP-ről további [[Single_Logout_in_Shibboleth_IdP|információ itt]].
====Kicsomagolás====
A <code>shibboleth-idp-2.0x.0x-bin.zip</code> fájl tartalma kicsomagolás után a <code>/usr/local/shibboleth-idp</code> könyvtár alákerül
cd /usr/local
jar -xf shibboleth-idp-2.0x.0x-bin.zip
==== Endorsed jar állományok ====
Sajnos - legalábbis a cikk írásakor - a "kincstári" Sun-os Tomcat (Java?) JAXP parser egy ismert memóriaszivárgást tartalmaz, ezért a disztribúcióban az <code>endorsed/</code> könyvtárban található .jar file-okat kézzel be kell másolni a Tomcat <code>endorsed/</code> könyvtárába.
: <small>A Debian alatti tomcat5.5 tomcat6 csomag használatakor a <code>/usr/share/tomcat5.5tomcat6/common/endorsed </code> könyvtárba kell tenni a jar file-okat(ezt a könyvtárt létre is kell hozni).</small> rm /usr/share/tomcat5.5/common/endorsed/xercesImpl.jar rm /usr/share/tomcat5.5/common/endorsed/xml-apis
mkdir /usr/share/tomcat6/endorsed cp endorsed/*.jar /usr/share/tomcat5.5/commontomcat6/endorsed/
==== Installer ====
export JAVA_HOME=/usr/jdk
cd /usr/local/shibboleth-idp
chmod 755 antinstall.sh ./antinstall.sh
A telepítés során az alábbi kérdésekre kell választ adnunk:
A keystore is about to be generated for you. Please enter a password that will be used to protect it.
<font color="#DF0000">secretchangeme</font>
Feljegyzendő jelszó :)
==== Befejezés ====
'''Szimbolikus linkek megadása''' - az egyértelműség és konvenció kedvéért...
 
ln -s /usr/local/shibboleth-idp/conf /etc/shibboleth
ln -s /usr/local/shibboleth-idp/logs /var/log/shibboleth
 
'''Környezeti változó beállítása'''
IDP_HOME=/usr/local/shibboleth-idp
export IDP_HOME
'''Szimbolikus linkek megadása''' - az egyértelműség és konvenció kedvéért... mv $IDP_HOME/conf /etc/`basename $IDP_HOME` ln -s /etc/`basename $IDP_HOME` $IDP_HOME/conf mv $IDP_HOME/logs /var/log/`basename $IDP_HOME` ln -s /var/log/`basename $IDP_HOME` $IDP_HOME/logs mkdir /var/lib/`basename $IDP_HOME` mv $IDP_HOME/metadata /var/lib/`basename $IDP_HOME`/metadata ln -s /var/lib/`basename $IDP_HOME`/metadata $IDP_HOME/metadata '''Jogosultságok beállítása''' - hogy a <code>tomcat55tomcat6</code> felhasználü írhassa felhasználó hozzáférhessen az alábbi könyvtárakatkönyvtárakhoz cd chown -R tomcat6 /var/log/usr`basename $IDP_HOME` /localvar/shibboleth-idp chown -R tomcat55 logs metadata credentials chmod 755 logs metadata lib/`basename $IDP_HOME`
'''Create a context descriptorTovábbi, már telepített IdP-től függő tomcat beállítás''' (mi ez magyarul???) cd /var/lib/tomcat5.5tomcat6/
mkdir -p conf/Catalina/localhost
<source lang="xml">
<Context
docBase="/optusr/local/shibboleth-idp/war/idp.war"
privileged="true"
antiResourceLocking="false"
</source>
==== Naplófájlok rotálása ====
Az alapértelmezett logging.xml nem törli a régi állományokat, ezért ezek egy idő után megtöltik a diszket.
 
Erre a korrekt megoldás az (lenne), ha a Logback alrendszert utasítjuk, hogy az N (a példában 90) napnál régebbi fájlokat rotálja ki. Ehhez a <code>logging.xml</code>-ben adjuk meg a <code>maxHistory</code> paramétert az ''összes'' <code>rollingPolic</code>y-nál, valahogy így:
<source lang="xml">
<rollingPolicy class="ch.qos.logback.core.rolling.TimeBasedRollingPolicy">
<FileNamePattern>/usr/local/shibboleth-idp/logs/idp-access-%d{yyyy-MM-dd}.log</FileNamePattern>
<maxHistory>4</maxHistory>
</rollingPolicy>
</source>
 
 
Sajnos azonban jelenleg a logback [http://jira.qos.ch/browse/LBCORE-147 csak egy állományt töröl], a régi file-okat megtartja (pl. akkor is, ha több, mint egy napig nem futott az IdP. Amíg ez nincs megoldva, addig kerülő megoldás lehet cron-ból törölni a régi file-okat
sudo crontab -u tomcat6 -e
MAILTO=mail@example.com
#m h dom mon dow command
52 18 * * * find /var/log/shibboleth-idp/ -mtime +90 -delete
== [[Shib2IdpAuth | Autentikáció beállítása]] Teszt ==
== Apache beállítás ==Ahhoz, hogy kiderítsük, működik-e (ill. fut-e :) ) az IdP webalkalmazásunk, ahhoz böngészőben hívjuk meg az alábbi urlt: <code>https://idp.example.org/idp/profile/Status</code>, amennyiben az oldalon egy <code>ok</code>-t látunk, akkor az alkalmazásunk fut, és elkezdhetjük beállítani az [[Shib2IdpAttrib | attribútumok feloldását]] és [[Shib2IdpARP | kiadását]].
Tanusítványok beszerzése és bemásolása <code>/etc/ssl</code> vonatkozó alkönyvtárai alá.
{{ambox
| type = todo
| image = [[Image:UnderConstruction.png|40px]]
| text = <big>'''A tanusítványos rész még megírásra vár'''</big>
----
{{#if:{{{1|}}} | {{{1}}} | Ha ki tudod egészíteni, megköszönjük!
}}
}}
Ha nem működik a webalkalmazás, akkor az alábbi naplófájlokban kezdjünk el keresgélni:
* <code>/var/log/shibboleth/idp-error.log </code>
* <code>/var/log/shibboleth/idp-process.log </code>
Meg kell adni, hogy az apache figylejen a 443-as és 8443-as portokon. Az alábbiak kerüljenek A naplózás mélységét a <code>/etc/apache2shibboleth/logging.xml</portscode> fájlban állíthatjuk be.confHibakereséshez érdemes a <code><ErrorLog></code> értékét <code>DEBUG</code> fájlba Listen 443 Listen 8443-ra állítani.
Be kell állítani a virtuális hosztot, amelyhez az == Shibboleth 2.0 IdP-t rendeltük. Először a 443-as portot konfiguráljuk.beállítás ==
<IfModule mod_ssl.c> === Metadata beállítása === <VirtualHost _default_:443> ServerName aai-logon.example.org SSLEngine On SSLCipherSuite ALL:!ADH:RC4+RSA:+HIGH:+MEDIUM:+LOW:+SSLv2:+EXP:+eNULL SSLCertificateFile /etc/ssl/certs/aai-logon.example.org.crt SSLCertificateKeyFile /etc/ssl/private/aai-logon.example.org.key SSLCertificateChainFile /etc/ssl/certs/aai-logon.example.org.crt #SSLCACertificatePath /etc/ssl/certs ==== Metadata aláírás ellenőrzés beállítása ==== #SSLCACertificateFile /etc/ssl/caAz IdP-bundlebe beállított metaadat(ok) valódiságának ellenőrzéséhez szükséges egy ún.crt #SSLCARevocationPath /etc/ssl/certs #SSLCARevocationFile /etc/ssl/ca-bundle.crl #SSLVerifyDepth 10 SSLOptions +StdEnvVars </VirtualHostcode> TrustEngine</IfModulecode> beállítása. Ezt a <IfModule mod_proxy_ajpcode>relying-party.c> ProxyRequests Off xml<Proxy ajp://localhost:8009code> Allow from all -ben kell megtenni a </Proxycode> ProxyPass /idp ajp://localhost:8009/idp retry=5 ProxyPass /cas ajp://localhost:8009/cas retry=5 Security Configurations</IfModulecode>részben:
Majd a 8443 <security:TrustEngine id="shibboleth.MetadataTrustEngine" xsi:type="security:StaticExplicitKeySignature"> <security:Credential id="HREFSigner" xsi:type="security:X509Filesystem"> <security:Certificate>/path/to/idp/credentials/href-as portot is beállítjukmetadata-signer-2011.crt</security:Certificate> </security:Credential> </security:TrustEngine>
A konfigurációban hivatkozott <IfModule mod_sslcode>href-metadata-signer-2011.c> crt<VirtualHost _default_:8443/code> ServerName aai-logon.example.org SSLEngine On SSLCipherSuite ALL:!ADH:RC4+RSA:+HIGH:+MEDIUMelérhető innen:+LOWhttps:+SSLv2:+EXP:+eNULL SSLCertificateFile /etc/ssl/certs/aai-aametadata.exampleeduid.org.crt SSLCertificateKeyFile hu/etc/ssl/private/aaihref-aa.example.org.key SSLCertificateChainFile /etc/ssl/certs/aaimetadata-aa.example.org.crt #SSLCACertificatePath /etc/ssl/certs SSLCACertificateFile /etc/ssl/casigner-bundle.switchaai2011.crt #SSLCARevocationPath /etc/ssl/certs #SSLCARevocationFile /etc/ssl/ca, SHA-bundle.crl SSLVerifyDepth 10 SSLVerifyClient optional_no_ca SSLOptions -StdEnvVars +ExportCertData 1 lenyomata a következő: </VirtualHostcode> </IfModule> <IfModule mod_proxy_ajp.c> ProxyRequests Off <Proxy ajpFE:AE:0B:E8:FB:59:ED:F7:CB:7F:69:DF:19:4F:8B:6D://localhostC7:8009> Allow from all </Proxy> ProxyPass /idp ajpF6://localhost96:8009/idp retry=5 66</IfModulecode>
Ezek után engedélyezni kell a virtuális hosztokat==== HREF föderációs metadata beállítása az IdP-ben ====A HREF metadata állomány elérhetősége:* http://metadata.eduid.hu/current/href.xml
a2ensite aaiA Shibboleth IdP <code>relying-logon a2ensite aai-aa apache2ctl -t party.xml</code> konfigurációban a következőképpen lehet beállítani a HREF metaadatot (fontos hogy az előző pontban leírt <font color="#999999"code>Syntax OKTrustEngine</fontcode>is be legyen állítva):
Majd az ssl modult <MetadataProvider id="HREF-Metadata" xsi:type="FileBackedHTTPMetadataProvider" xmlns="urn:mace:shibboleth:2.0:metadata" metadataURL="http://metadata.eduid.hu/current/href.xml" backingFile="/path/to/idp/metadata/href.xml" maxRefreshDelay="PT1H"> <MetadataFilter xsi:type="SignatureValidation" trustEngineRef="shibboleth.MetadataTrustEngine" /> </MetadataProvider>
a2enmod ssl ====Tovább a föderációba==== Amennyiben a telepítendő IdP-t szeretnénk a HREF-be integrálni, úgy ennél a pontnál küldjünk egy levelet az [mailto:aai@niif.hu aai@niif.hu] címre, amely nyomán, ha minden rendben van, az IdP regisztrálásra kerül a [[Resource_Registry]]-ben, s a válasz e-mail tartalmaz majd két hivatkozást, melyekről letölthetők az <font color="#999999"code>Module ssl installed; run /etc/initattribute-filter.dxml</apache2 forcecode> és <code>attribute-reload to enableresolver.xml</fontcode>fájlok. Ezek már testreszabva tartalmazzák az IdP igényeit, az első fájlt elég csak bemásolni, a másodikban pedig - értelemszerűen - az egyes, a helyi erőforrásokra vonatkozó felhasználóineveket és jelszavakat kell kicserélni a megfelelőre.
[[Resource_Registry#IdP_regisztr.C3.A1ci.C3.B3|További információk a Resource Registry-be történő felvételről]]
Végül ;Attribútum filter automatikus frissítéseA Resource Registry automatikusan generálja minden egyes föderációban szereplő IdP számára a proxy_ajp modultsaját, testre szabott attribútum filterét, így célszerű úgy beállítani az IdP-t, hogy ezt a fájlt automatikusan töltse le. Ehhez hozzunk létre egy <code>confcache</code> nevű könyvtárat, adjunk rá írásjogot a <code>tomcat6</code> felhasználónak, majd szerkesszük a <code>conf/service.xml</code>fájlt. Az XML felső harmadában kerül megadásra az <code>AttributeFilterEngine</code>, melyet az alábbiak alapján kell átírni.
a2enmod proxy_ajp <Service id="shibboleth.AttributeFilterEngine" xsi:type="attribute-afp:ShibbolethAttributeFilteringEngine" <font color configurationResourcePollingFrequency="3600000" configurationResourcePollingRetryAttempts="#999999128">Enabling proxy as a dependency Module proxy installed; run <ConfigurationResource url="https:/etc/initrr.aai.niif.hu/gen_attribute-filter.dphp/href/IDP_NEVE_AZ_RRBEN/apache2 forceattribute-reload to enablefilter. xml" Module proxy_ajp installed; run file="/path/etcto/init.dshibboleth-idp/confcache/apache2 forceattribute-reload to enablefilter. xml" xsi:type="resource:FileBackedHttpResource" /> </fontService>
Végezetül újra ;Több attribútum filter használataHasznos lehet, ha a föderációs szűrőkön kívül további irányokba kívánunk IdP-nkből attribútumokat kiadni. Elterjedt, hogy pl. különböző google szolgáltatásokhoz lehet az intézményen keresztül autentikálni, amely beállítási részleteket értelemszerűen a Resource Registry nem tartalmazza, így a letöltött friss, és a régi, helyi adatokat is tartalmazó fájlok egyesítése bosszantó plusz munka lehet. Ezt elkerülendd dolgozhatunk több attribútum filterfájlból. Ehhez ismét a <code>conf/service.xml</code> fájlt kell indítani az apache-otszerkeszteni. Alább a fenti kódrészlet kiegészítése.
apache2ctl <Service id="shibboleth.AttributeFilterEngine" xsi:type="attribute-k restartafp:ShibbolethAttributeFilteringEngine" configurationResourcePollingFrequency="3600000" configurationResourcePollingRetryAttempts="128"> <ConfigurationResource url="https://rr.aai.niif.hu/gen_attribute-filter.php/href/IDP_NEVE_AZ_RRBEN/attribute-filter.xml" file="/path/to/shibboleth-idp/confcache/attribute-filter.xml" xsi:type="resource:FileBackedHttpResource" /> <ConfigurationResource file="/path/to/shibboleth-idp/conf/attribute-filter-local.xml" xsi:type="resource:FilesystemResource" /> </Service>
== Shibboleth 2Ezek a lépések természetesen kihagyhatók, ha nincs szándékunkban a föderáció tagjaivá válni, ekkor érdemes az alább részletezett attribútumokhoz kapcsolódó tudnivalókkal folytatni.0 IdP beállítás ==
;[[EduidFedStats|Statisztika küldés]]
=== Metadaták beállítása ==={{ambox| type = todo| image = [[Image:UnderConstruction.pngShib2IdpAuth |40pxAutentikáció beállítása]]| text = <big>'''A metadatákkal kapcsolatos rész még hiányzik'''</big>----{{#if:{{{1|}}} | {{{1}}} | Ha ki tudod egészíteni, megköszönjük!}}}}==
=== [[Shib2IdpAttrib | Attribútum feloldás beállítása]] ===
=== [[Shib2IdpARP | Attribútum kiadás beállítása]] ===
== Teszt ==
[[Kategória: Shibboleth2 IdP]]
[[Kategória: HOWTO]]
[[Kategória: Csonkok]]
A lap eredeti címe: „https://wiki.niif.hu/index.php?title=Speciális:MobileDiff/701...2430”

Navigációs menü