Proveedor de Identidad

1

h1. Instalación Shibboleth SP

2

1

3

1

4

1

En esta guia se describe la instalación de Shibboleth SP en un equipo con Debian8 y Apache 2.4. La instalación se realizó en el host sp1.seciu.edu.uy, se debe ajustar el nombre al que corresponda.

5

1

6

1

7

1

h3. 1. Agregar repositorio

8

1

9

1

La version de Shibboleth SP disponible en los repositorios de debian es bastante obsoleta. El repositorio de SWITCH tiene una version mas actualizada.

10

1

11

1

<pre>

12

1

apt-get install curl

13

1

curl -k -O http://pkg.switch.ch/switchaai/SWITCHaai-swdistrib.asc

14

1

apt-key add SWITCHaai-swdistrib.asc

15

1

apt-get install shibboleth

16

1

</pre>

17

1

18

1

19

1

h3. 2. Habilitar un Virtual Host con HTTPS

20

1

21

1

En forma obligatoria un SP debe ejecutar con HTTPS. Si no se tiene hablitado se puede crear un Virtual Host de la siguiente manera:

22

1

23

1

<pre>

24

1

a2enmod ssl

25

1

cp default-ssl shibsp1

26

1

a2ensite shibsp1

27

1

</pre>

28

1

29

1

30

1

h3. 3. Verificacion de estado

31

1

32

1

El SP tiene una pagina de estado

33

1

34

1

Para verificar el estado se puede correr el siguiente comando:

35

1

36

1

<pre>

37

1

curl -k https://127.0.0.1/Shibboleth.sso/Status

38

1

</pre>

39

1

40

1

41

1

Por defecto solo permite el acceso a la pagina de estado desde localhost. Para habilitar el acceso desde otro equipo, se puede agregar la IP desde la que se quiere acceder. Para esto, editar /etc/shibboleth/shibboleth2.xml, y agregar la ip en el elemento Handler. Ejemplo:

42

1

43

1

<pre>

44

1

<code class="xml">

45

1

<Handler type="Status" Location="/Status" acl="127.0.0.1 ::1 164.73.129.60"/>

46

1

</code>

47

1

</pre>

48

1

49

1

50

1

Ante cualquier cambio en la configuración de Shibboleth se debe reiniciar el proceso con los siguientes comando:

51

1

52

1

<pre>

53

1

service shibd stop

54

1

service shibd start

55

1

</pre>

56

1

57

1

Luego accediendo a la dirección https://sp1.seciu.edu.uy/Shibboleth.sso/Status se puede ver una página xml con información del SP.

58

1

59

1

60

1

h3. 4. Genero claves

61

1

62

1

<pre>

63

1

shib-keygen -f -u _shibd -h sp1.seciu.edu.uy -y 3 -e https://sp1.seciu.edu.uy/shibboleth -o /etc/shibboleth/

64

1

</pre>

65

1

66

1

h3. 5. Configuracion de entityID

67

1

68

1

en shibboleth2.xml

69

1

70

1

Setear identificador de la entidad: entityID. Ejemplo:

71

1

72

1

<pre><code class="xml">

73

1

    <ApplicationDefaults entityID="https://sp1.seciu.edu.uy/shibboleth"

74

1

                       REMOTE_USER="eppn persistent-id targeted-id">

75

1

</code></pre>

76

1

77

1

Ajustes en elemento Sessions:

78

1

79

1

Poner handlerSSL="true", y agregar propiedades seguras para cookies en cookieProps. Ejemplo:

80

1

81

1

<pre><code class="xml">

82

1

      <Sessions lifetime="28800" timeout="3600" relayState="ss:mem"

83

1

             checkAddress="false" handlerSSL="true" cookieProps="; path=/; secure; HttpOnly">

84

1

</code></pre>

85

1

86

1

Luego se debe reiniciar el proceso de Shibboleth.

87

1

88

1

Para verificar la configuración se puede ejecutar el siguiente comando:

89

1

90

1

<pre>

91

1

shibd -t.

92

1

</pre>

93

1

94

1

La salida esperada es la siguiente:

95

1

96

1

<pre>

97

1

overall configuration is loadable, check console for non-fatal problems

98

1

</pre>

99

1

100

1

101

1

h3. 6. Definir y cargar una fuente de metadata

102

1

103

1

Obtener metadata del IdP, ej:

104

1

105

1

https://login.udelar.edu.uy/idp/shibboleth

106

1

107

1

Se adjunta al final la metadata del IdP de Udelar.

108

1

109

1

Guardarla en el directorio metadata, si no exsite crearlo.

110

1

111

1

/etc/shibboleth/metadata/metadata-idp1.xml

112

1

113

1

Registrarla en el SP, para esto referenciar en shibboleth2.xml

114

1

115

1

<pre> <code class="xml">

116

1

<MetadataProvider type="XML" path="/etc/shibboleth/metadata/metadata.xml" ></MetadataProvider>

117

1

</code> </pre>

118

1

119

1

120

1

h3. 7. Configurar Inicio de Sesión

121

1

122

1

Se debe configurar elemento SSO dentro del archivo shibboleth2.xml para que use el provedor de identidad:

123

1

124

1

<pre> <code class="xml">

125

1

<SSO entityID="https://cas2.seciu.edu.uy/idp/shibboleth"

126

1

</code></pre>

127

1

128

1

h3. 8. Configuración del archivo attribute-map.xml

129

1

130

1

Shibboleth SP extrae los atributos del Assertion SAML que le envia el IdP, y almacena los valores en variables del servidor web. El mapeo entre los atributos recibidos y las variables se define en el archivo attribute-map.xml.

131

1

132

1

Se puede utilizar el que viene por defecto, luego se van descomentando o agregando los atributos que se utilicen.

133

1

Al final se adjunta un ejemplo de archivo attribute-map.xml

134

1

135

1

136

1

h3. 9. Enviar Metadata de su SP para registro

137

1

138

1

Debe obtener su metadata y contactarse con Seciu para su registro.

139

1

140

1

La metadata del SP se puede obtener de: https://sp1.seciu.edu.uy/Shibboleth.sso/Metadata

141

1

142

1

143

1

h3. 10. Configuracion de Apache para proteger un recurso

144

1

145

1

En Apache, se recomienda setear correctamente el ServerName y también setear "UseCanonicalName On".

146

1

Tambien se recomienda fuertemente utilizar el "worker" MPM.

147

1

148

1

Referencia: https://wiki.shibboleth.net/confluence/display/SHIB2/NativeSPApacheConfig

149

1

150

1

Al instalar el modulo, se agrega mods-available/shib2.load, donde se carga el modulo.

151

1

152

1

Luego se debe crear el archivo conf-enabled/shib.conf con las directivas apropiadas:

153

1

154

1

<pre> <code class="xml">

155

1

156

1

# Ensures handler will be accessible.

157

1

158

1

<Location /Shibboleth.sso>

159

1

  Satisfy Any

160

1

  Allow from all

161

1

</Location>

162

1

163

1

164

1

# Used for example style sheet in error templates.

165

1

166

1

<IfModule mod_alias.c>

167

1

  <Location /shibboleth-sp>

168

1

    Satisfy Any

169

1

    Allow from all

170

1

  </Location>

171

1

  Alias /shibboleth-sp/main.css /usr/share/shibboleth/main.css

172

1

</IfModule>

173

1

174

1

</code> </pre>

175

1

176

1

Para agregar un recurso (Location) protegido, agregar en shib.conf o en el virtual host:

177

1

178

1

<pre> <code class="xml">

179

1

180

1

# You MUST enable AuthType shibboleth for the module to process

181

1

# any requests, and there MUST be a require command as well.

182

1

183

1

<Location /secure>

184

1

  AuthType shibboleth

185

1

  ShibRequestSetting requireSession 1

186

1

  require shib-session

187

1

</Location>

188

1

</code> </pre>

189

1

190

1

191

1

Ejemplos de reglas para control de acceso:

192

1

https://www.switch.ch/aai/guides/sp/access-rules/

193

1

194

1

Por ultimo se debe habilitar la configuracion con el siguiente comando:

195

1

196

1

<pre>

197

1

a2enconf shib

198

1

</pre>

SPInstall