SPConfig
Versión 8 (Emilio Penna, Martes, 18 de Febrero de 2025 14:50:09 -0300)
| 1 | 1 | h1. SPConfig |
|
|---|---|---|---|
| 2 | 1 | ||
| 3 | 1 | ||
| 4 | 1 | ||
| 5 | 8 | Emilio Penna | h3. 1. Configuracion de entityID en shibboleth2.xml |
| 6 | 1 | ||
| 7 | 1 | Setear identificador de la entidad: entityID. Ejemplo: |
|
| 8 | 1 | ||
| 9 | 1 | <pre><code class="xml"> |
|
| 10 | 1 | <ApplicationDefaults entityID="https://<mihost-ejemplo.edu.uy>/shibboleth" |
|
| 11 | 1 | REMOTE_USER="eppn persistent-id targeted-id"> |
|
| 12 | 1 | </code></pre> |
|
| 13 | 1 | ||
| 14 | 1 | Ajustes en elemento Sessions: |
|
| 15 | 1 | ||
| 16 | 1 | Poner handlerSSL="true", y agregar propiedades seguras para cookies en cookieProps. Ejemplo: |
|
| 17 | 1 | ||
| 18 | 1 | <pre><code class="xml"> |
|
| 19 | 1 | <Sessions lifetime="28800" timeout="3600" relayState="ss:mem" |
|
| 20 | 1 | checkAddress="false" handlerSSL="true" cookieProps="; path=/; secure; HttpOnly"> |
|
| 21 | 1 | </code></pre> |
|
| 22 | 1 | ||
| 23 | 1 | *CAMBIAR:* cookieProps="https" hace el mismo efecto |
|
| 24 | 1 | ||
| 25 | 5 | Emilio Penna | Luego se debe reiniciar el proceso de Shibboleth (service shibd stop/service shibd start). |
| 26 | 1 | ||
| 27 | 1 | Para verificar la configuración se puede ejecutar el siguiente comando: |
|
| 28 | 1 | ||
| 29 | 1 | <pre> |
|
| 30 | 1 | shibd -t. |
|
| 31 | 1 | </pre> |
|
| 32 | 1 | ||
| 33 | 1 | La salida esperada es la siguiente: |
|
| 34 | 1 | ||
| 35 | 1 | <pre> |
|
| 36 | 1 | overall configuration is loadable, check console for non-fatal problems |
|
| 37 | 1 | </pre> |
|
| 38 | 1 | Es posible que de un warning porque todavia no hay ninguna metadata de IdP configuradas (no MetadataProvider). |
|
| 39 | 5 | Emilio Penna | |
| 40 | 1 | ||
| 41 | 1 | ||
| 42 | 1 | h3. 4. Definir y cargar una fuente de metadata |
|
| 43 | 1 | ||
| 44 | 8 | Emilio Penna | Obtener metadata del IdP, se adjunta al final la metadata del IdP de test de seciu, si se va a integrar con el IdP de producción debe solicitarla por correo a idp@seciu.edu.uy |
| 45 | 1 | ||
| 46 | 1 | Guardarla en el directorio metadata de su SP (si no existe crearlo). |
|
| 47 | 1 | ||
| 48 | 1 | /etc/shibboleth/metadata/metadata-idp-test-udelar.xml |
|
| 49 | 1 | ||
| 50 | 1 | Registrarla en el SP, para esto, en el archivo shibboleth2.xml, ajustar el path en el elemento <MetadataProvider>: |
|
| 51 | 1 | ||
| 52 | 1 | <pre> <code class="xml"> |
|
| 53 | 1 | <MetadataProvider type="XML" path="/etc/shibboleth/metadata/metadata-idp-test-udelar.xml" ></MetadataProvider> |
|
| 54 | 1 | </code> </pre> |
|
| 55 | 1 | ||
| 56 | 1 | ||
| 57 | 3 | Emilio Penna | h3. 5. Configurar Inicio de Sesión |
| 58 | 1 | ||
| 59 | 1 | Se debe configurar elemento SSO dentro del archivo shibboleth2.xml para que use el provedor de identidad de test de Seciu: |
|
| 60 | 1 | ||
| 61 | 1 | <pre> <code class="xml"> |
|
| 62 | 1 | <SSO entityID="https://pirapire.seciu.edu.uy/idp/shibboleth" |
|
| 63 | 1 | </code></pre> |
|
| 64 | 1 | ||
| 65 | 3 | Emilio Penna | h3. 6. Configuración del archivo attribute-map.xml |
| 66 | 1 | ||
| 67 | 1 | Shibboleth SP extrae los atributos del Assertion SAML que le envia el IdP, y almacena los valores en variables del servidor web. El mapeo entre los atributos recibidos y las variables se define en el archivo attribute-map.xml. |
|
| 68 | 1 | ||
| 69 | 1 | Se puede utilizar el que viene por defecto, luego se van descomentando o agregando los atributos que se utilicen. |
|
| 70 | 1 | Al final se adjunta un ejemplo de archivo attribute-map.xml |
|
| 71 | 1 | ||
| 72 | 1 | ||
| 73 | 3 | Emilio Penna | h3. 7. Enviar Metadata de su SP para registro |
| 74 | 1 | ||
| 75 | 1 | Debe obtener la metadata de su SP y contactarse con Seciu para su registro. |
|
| 76 | 1 | ||
| 77 | 1 | La información sobre como obtener y ajustar la metadata puede verla en esta pagina: [[SP-Metadata]] |
|
| 78 | 1 | ||
| 79 | 1 | ||
| 80 | 3 | Emilio Penna | h3. 8. Configuracion de Apache para proteger un recurso |
| 81 | 1 | ||
| 82 | 1 | En Apache, se recomienda setear correctamente el ServerName y también setear "UseCanonicalName On". |
|
| 83 | 6 | Emilio Penna | También se recomienda utilizar el "worker" MPM. |
| 84 | 1 | ||
| 85 | 1 | Referencia: https://wiki.shibboleth.net/confluence/display/SHIB2/NativeSPApacheConfig |
|
| 86 | 1 | ||
| 87 | 1 | Al instalar el modulo, se agrega mods-available/shib2.load, donde se carga el módulo. |
|
| 88 | 1 | ||
| 89 | 1 | ||
| 90 | 1 | Para agregar un recurso (Location) protegido, agregar en shib.conf o en el virtual host: |
|
| 91 | 1 | ||
| 92 | 1 | <pre> <code class="xml"> |
|
| 93 | 1 | ||
| 94 | 1 | # You MUST enable AuthType shibboleth for the module to process |
|
| 95 | 1 | # any requests, and there MUST be a require command as well. |
|
| 96 | 1 | ||
| 97 | 1 | <Location /secure> |
|
| 98 | 1 | AuthType shibboleth |
|
| 99 | 1 | ShibRequestSetting requireSession 1 |
|
| 100 | 1 | require shib-session |
|
| 101 | 1 | </Location> |
|
| 102 | 1 | </code> </pre> |
|
| 103 | 1 | ||
| 104 | 7 | Emilio Penna | Se pueden definir reglas mas complejas para control de acceso, incluso utilizando los aributos emitidos por el IdP. |
| 105 | 1 | Ejemplos de reglas para control de acceso: |
|
| 106 | 1 | https://www.switch.ch/aai/guides/sp/access-rules/ |