„Shibboleth IdP konfigurációja” változatai közötti eltérés

Innen: KIFÜ Wiki
(IdPConfig)
70. sor: 70. sor:
 
=== IdPConfig ===
 
=== IdPConfig ===
 
Az IdPConfig elem attribútumai közül az xmlns: és xsi: attribútumokat nem szabad megváltoztatni, de van néhány, amit kötelező:
 
Az IdPConfig elem attribútumai közül az xmlns: és xsi: attribútumokat nem szabad megváltoztatni, de van néhány, amit kötelező:
* '''defaultRelyingParty''': ez adja meg, hogy melyik [[RelyingParty]]-t kell használni, ha a request alapján nem állapítható meg. Ha nincs ehhez tartozó RelyingParty elem, akkor az IdP nem indul el.
+
* ''defaultRelyingParty'': ez adja meg, hogy melyik [[RelyingParty]]-t kell használni, ha a request alapján nem állapítható meg. Ha nincs ehhez tartozó RelyingParty elem, akkor az IdP nem indul el.
* '''providerID''': ez adja meg az IdP egyedi azonosítóját a [[Föderáció | föderációban]]. Általában URN vagy URL formában adjuk meg.
+
* ''providerID'': ez adja meg az IdP egyedi azonosítóját a [[Föderáció | föderációban]]. Általában URN vagy URL formában adjuk meg.
* '''resolverConfig''': az [[ShibIdPAttrib | attribútum feloldás] konfigurációs állományát adja meg.
+
* ''resolverConfig'': az [[ShibIdPAttrib | attribútum feloldás]] konfigurációs állományát adja meg.
* '''AAUrl''': az [[Attribute Authority]] elérhetősége. <small>(Erre csak a Shibboleth 1.1-el való kompatibilitás megőrzése érdekében van szükség. Nem biztos, hogy kötelező megadni...)</small>
+
* ''AAUrl'': az [[Attribute Authority]] elérhetősége. <small>(Erre csak a Shibboleth 1.1-el való kompatibilitás megőrzése érdekében van szükség. Nem biztos, hogy kötelező megadni...)</small>
  
 
Általában nem szükséges megadni:
 
Általában nem szükséges megadni:
* '''authHeaderName''':
+
* ''authHeaderName'': itt kell megadni, ha az [[SSO Handler]] más változóban adja át a felhasználó azonosítóját (principal), mint a REMOTE_USER szerver változó
* '''defaultAuthMethod''':
+
* <strike>''defaultAuthMethod'': megadható, hogy az elkészített SAML [[Assertion]] milyen autentikációs metódust tartalmazzon. A lehetséges értékek a [http://www.oasis-open.org/committees/download.php/3406/oasis-sstc-saml-core-1.1.pdf SAML 1.1 specifikáció] 7.1-es szakaszában találhatók. Ha nincs megadva, akkor az értéke <code>urn:oasis:names:tc:SAML:1.0:am:unspecified</code>. A <code>defaultAuthMethod</code> értéke RelyingParty szintjén felülbírálható </strike>
* '''maxSigningThreads''':
+
* ''maxSigningThreads'': az üzenet aláírására és egyéb műveletekre indított thread-ek maximális száma. Az IdP teljesítménye hangolható ezzel.
* '''passThruErrors''':
+
* ''passThruErrors'': boolean változó, amely azt szabályozza, hogy a hibákat az IdP továbbadja-e az SP felé
 +
 
 
=== RelyingParty ===
 
=== RelyingParty ===
  

A lap 2007. augusztus 1., 12:06-kori változata

Az IdP alkalmazást az idp.xml állományon keresztül konfigurálhatjuk. Ebben a leírásban feltételezzük, hogy az IdP alkalmazás konfigurációs állományai a /etc/shibboleth-idp könyvtárban vannak.

Működő példa konfiguráció

<?xml version="1.0" encoding="ISO-8859-1"?>
<IdPConfig
        xmlns="urn:mace:shibboleth:idp:config:1.0"
        xmlns:cred="urn:mace:shibboleth:credentials:1.0"
        xmlns:name="urn:mace:shibboleth:namemapper:1.0"
        xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
        xsi:schemaLocation="urn:mace:shibboleth:idp:config:1.0 ../schemas/shibboleth-idpconfig-1.0.xsd"
        AAUrl="https://idp.niif.hu:8443/shibboleth-idp/AA"
        resolverConfig="file:/etc/shibboleth-idp/resolver.ldap.xml"
        defaultRelyingParty="urn:niif.hu:aai:HREF"
        providerId="https://idp.niif.hu/shibboleth">

        <RelyingParty name="urn:niif.hu:aai:HREF" signingCredential="href_cred">
                <NameID nameMapping="hashib_mapping"/>
        </RelyingParty>

        <ReleasePolicyEngine>
                <ArpRepository implementation="edu.internet2.middleware.shibboleth.aa.arp.provider.FileSystemArpRepository">
                        <Path>file:/etc/shibboleth-idp/arps/</Path>
                </ArpRepository>
        </ReleasePolicyEngine>

        <Logging>
                <ErrorLog level="DEBUG" location="file:/var/log/shibboleth-idp/shib-error.log" />
                <TransactionLog level="INFO" location="file:/var/log/shibboleth-idp/shib-access.log" />
        </Logging>

        <NameMapping
                xmlns="urn:mace:shibboleth:namemapper:1.0"
                id="shm"
                format="urn:mace:shibboleth:1.0:nameIdentifier"
                type="SharedMemoryShibHandle"
                handleTTL="28800"/>

        <ArtifactMapper implementation="edu.internet2.middleware.shibboleth.artifact.provider.MemoryArtifactMapper" />

        <Credentials xmlns="urn:mace:shibboleth:credentials:1.0">
                <FileResolver Id="href_cred">
                        <Key>
                                <Path>file:/etc/httpd/conf/ssl.key/idp.niif.hu.key</Path>
                        </Key>
                        <Certificate>
                                <Path>file:/etc/httpd/conf/ssl.crt/idp.niif.hu.crt</Path>
                        </Certificate>
                </FileResolver>
        </Credentials>

        <ProtocolHandler implementation="edu.internet2.middleware.shibboleth.idp.provider.ShibbolethV1SSOHandler">
                <Location>https?://[^:/]+(:(443|80))?/shibboleth-idp/SSO</Location> <!-- regex works when using default protocol ports -->
        </ProtocolHandler>
        <ProtocolHandler implementation="edu.internet2.middleware.shibboleth.idp.provider.SAMLv1_AttributeQueryHandler">
                <Location>.+:8443/shibboleth-idp/AA</Location>
        </ProtocolHandler>
        <ProtocolHandler implementation="edu.internet2.middleware.shibboleth.idp.provider.SAMLv1_1ArtifactQueryHandler">
                <Location>.+:8443/shibboleth-idp/Artifact</Location>
        </ProtocolHandler>
        <ProtocolHandler implementation="edu.internet2.middleware.shibboleth.idp.provider.Shibboleth_StatusHandler">
                <Location>https://[^:/]+(:443)?/shibboleth-idp/Status</Location>
        </ProtocolHandler>

        <MetadataProvider type="edu.internet2.middleware.shibboleth.metadata.provider.XMLMetadata"
                uri="file:/etc/shibboleth-idp/href-metadata.xml"/>
</IdPConfig>

XML elemek magyarázata

IdPConfig

Az IdPConfig elem attribútumai közül az xmlns: és xsi: attribútumokat nem szabad megváltoztatni, de van néhány, amit kötelező:

  • defaultRelyingParty: ez adja meg, hogy melyik RelyingParty-t kell használni, ha a request alapján nem állapítható meg. Ha nincs ehhez tartozó RelyingParty elem, akkor az IdP nem indul el.
  • providerID: ez adja meg az IdP egyedi azonosítóját a föderációban. Általában URN vagy URL formában adjuk meg.
  • resolverConfig: az attribútum feloldás konfigurációs állományát adja meg.
  • AAUrl: az Attribute Authority elérhetősége. (Erre csak a Shibboleth 1.1-el való kompatibilitás megőrzése érdekében van szükség. Nem biztos, hogy kötelező megadni...)

Általában nem szükséges megadni:

  • authHeaderName: itt kell megadni, ha az SSO Handler más változóban adja át a felhasználó azonosítóját (principal), mint a REMOTE_USER szerver változó
  • defaultAuthMethod: megadható, hogy az elkészített SAML Assertion milyen autentikációs metódust tartalmazzon. A lehetséges értékek a SAML 1.1 specifikáció 7.1-es szakaszában találhatók. Ha nincs megadva, akkor az értéke urn:oasis:names:tc:SAML:1.0:am:unspecified. A defaultAuthMethod értéke RelyingParty szintjén felülbírálható
  • maxSigningThreads: az üzenet aláírására és egyéb műveletekre indított thread-ek maximális száma. Az IdP teljesítménye hangolható ezzel.
  • passThruErrors: boolean változó, amely azt szabályozza, hogy a hibákat az IdP továbbadja-e az SP felé

RelyingParty

ReleasePolicyEngine

Logging

NameMapping

ArtifactMapper

Credentials

ProtocolHandler