Proveedor de Identidad

1

h1. Instalación Shibboleth SP

2

1

3

7

8

9

h3. 1. Agregar repositorio

10

1

11

1

La version de Shibboleth SP disponible en los repositorios de debian es bastante obsoleta. El repositorio de SWITCH tiene una version mas actualizada.

12

1

13

1

<pre>

14

1

apt-get install curl

15

1

curl -k -O http://pkg.switch.ch/switchaai/SWITCHaai-swdistrib.asc

16

1

apt-key add SWITCHaai-swdistrib.asc

17

1

apt-get install shibboleth

18

1

</pre>

19

1

20

1

21

1

h3. 2. Habilitar un Virtual Host con HTTPS

22

1

23

1

En forma obligatoria un SP debe ejecutar con HTTPS. Si no se tiene hablitado se puede crear un Virtual Host de la siguiente manera:

24

1

25

1

<pre>

26

1

a2enmod ssl

27

1

cp default-ssl shibsp1

28

1

a2ensite shibsp1

29

1

</pre>

30

1

31

1

32

1

h3. 3. Verificacion de estado

33

1

34

1

El SP tiene una pagina de estado

35

1

36

1

Para verificar el estado se puede correr el siguiente comando:

37

1

38

1

<pre>

39

1

curl -k https://127.0.0.1/Shibboleth.sso/Status

40

1

</pre>

41

1

42

1

43

1

Por defecto solo permite el acceso a la pagina de estado desde localhost. Para habilitar el acceso desde otro equipo, se puede agregar la IP desde la que se quiere acceder. Para esto, editar /etc/shibboleth/shibboleth2.xml, y agregar la ip en el elemento Handler. Ejemplo:

44

1

45

1

<pre>

46

1

<code class="xml">

47

1

<Handler type="Status" Location="/Status" acl="127.0.0.1 ::1 164.73.129.60"/>

48

1

</code>

49

1

</pre>

50

1

51

1

52

1

Ante cualquier cambio en la configuración de Shibboleth se debe reiniciar el proceso con los siguientes comando:

53

1

54

1

<pre>

55

1

service shibd stop

56

1

service shibd start

57

1

</pre>

58

1

59

1

Luego accediendo a la dirección https://sp1.seciu.edu.uy/Shibboleth.sso/Status se puede ver una página xml con información del SP.

60

1

61

1

62

1

h3. 4. Genero claves

63

1

64

1

<pre>

65

1

shib-keygen -f -u _shibd -h sp1.seciu.edu.uy -y 3 -e https://sp1.seciu.edu.uy/shibboleth -o /etc/shibboleth/

66

1

</pre>

67

1

68

1

h3. 5. Configuracion de entityID

69

1

70

1

en shibboleth2.xml

71

1

72

1

Setear identificador de la entidad: entityID. Ejemplo:

73

1

74

1

<pre><code class="xml">

75

1

    <ApplicationDefaults entityID="https://sp1.seciu.edu.uy/shibboleth"

76

1

                       REMOTE_USER="eppn persistent-id targeted-id">

77

1

</code></pre>

78

1

79

1

Ajustes en elemento Sessions:

80

1

81

1

Poner handlerSSL="true", y agregar propiedades seguras para cookies en cookieProps. Ejemplo:

82

1

83

1

<pre><code class="xml">

84

1

      <Sessions lifetime="28800" timeout="3600" relayState="ss:mem"

85

1

             checkAddress="false" handlerSSL="true" cookieProps="; path=/; secure; HttpOnly">

86

1

</code></pre>

87

1

88

1

Luego se debe reiniciar el proceso de Shibboleth.

89

1

90

1

Para verificar la configuración se puede ejecutar el siguiente comando:

91

1

92

1

<pre>

93

1

shibd -t.

94

1

</pre>

95

1

96

1

La salida esperada es la siguiente:

97

1

98

1

<pre>

99

1

overall configuration is loadable, check console for non-fatal problems

100

1

</pre>

101

1

102

1

103

1

h3. 6. Definir y cargar una fuente de metadata

104

1

105

1

Obtener metadata del IdP, ej:

106

1

107

1

https://login.udelar.edu.uy/idp/shibboleth

108

1

109

1

Se adjunta al final la metadata del IdP de Udelar.

110

1

111

1

Guardarla en el directorio metadata, si no exsite crearlo.

112

1

113

1

/etc/shibboleth/metadata/metadata-idp1.xml

114

1

115

1

Registrarla en el SP, para esto referenciar en shibboleth2.xml

116

1

117

1

<pre> <code class="xml">

118

1

<MetadataProvider type="XML" path="/etc/shibboleth/metadata/metadata.xml" ></MetadataProvider>

119

1

</code> </pre>

120

1

121

1

122

1

h3. 7. Configurar Inicio de Sesión

123

1

124

1

Se debe configurar elemento SSO dentro del archivo shibboleth2.xml para que use el provedor de identidad:

125

1

126

1

<pre> <code class="xml">

127

1

<SSO entityID="https://cas2.seciu.edu.uy/idp/shibboleth"

128

1

</code></pre>

129

1

130

1

h3. 8. Configuración del archivo attribute-map.xml

131

1

132

1

Shibboleth SP extrae los atributos del Assertion SAML que le envia el IdP, y almacena los valores en variables del servidor web. El mapeo entre los atributos recibidos y las variables se define en el archivo attribute-map.xml.

133

1

134

1

Se puede utilizar el que viene por defecto, luego se van descomentando o agregando los atributos que se utilicen.

135

1

Al final se adjunta un ejemplo de archivo attribute-map.xml

136

1

137

1

138

1

h3. 9. Enviar Metadata de su SP para registro

139

1

140

1

Debe obtener su metadata y contactarse con Seciu para su registro.

141

1

142

1

La metadata del SP se puede obtener de: https://sp1.seciu.edu.uy/Shibboleth.sso/Metadata

143

1

144

1

145

1

h3. 10. Configuracion de Apache para proteger un recurso

146

1

147

1

En Apache, se recomienda setear correctamente el ServerName y también setear "UseCanonicalName On".

148

1

Tambien se recomienda fuertemente utilizar el "worker" MPM.

149

1

150

1

Referencia: https://wiki.shibboleth.net/confluence/display/SHIB2/NativeSPApacheConfig

151

1

152

1

Al instalar el modulo, se agrega mods-available/shib2.load, donde se carga el modulo.

153

1

154

1

Luego se debe crear el archivo conf-enabled/shib.conf con las directivas apropiadas:

155

1

156

1

<pre> <code class="xml">

157

1

158

1

# Ensures handler will be accessible.

159

1

160

1

<Location /Shibboleth.sso>

161

1

  Satisfy Any

162

1

  Allow from all

163

1

</Location>

164

1

165

1

166

1

# Used for example style sheet in error templates.

167

1

168

1

<IfModule mod_alias.c>

169

1

  <Location /shibboleth-sp>

170

1

    Satisfy Any

171

1

    Allow from all

172

1

  </Location>

173

1

  Alias /shibboleth-sp/main.css /usr/share/shibboleth/main.css

174

1

</IfModule>

175

1

176

1

</code> </pre>

177

1

178

1

Para agregar un recurso (Location) protegido, agregar en shib.conf o en el virtual host:

179

1

180

1

<pre> <code class="xml">

181

1

182

1

# You MUST enable AuthType shibboleth for the module to process

183

1

# any requests, and there MUST be a require command as well.

184

1

185

1

<Location /secure>

186

1

  AuthType shibboleth

187

1

  ShibRequestSetting requireSession 1

188

1

  require shib-session

189

1

</Location>

190

1

</code> </pre>

191

1

192

1

193

1

Ejemplos de reglas para control de acceso:

194

1

https://www.switch.ch/aai/guides/sp/access-rules/

195

1

196

1

Por ultimo se debe habilitar la configuracion con el siguiente comando:

197

1

198

1

<pre>

199

1

a2enconf shib

200

1

</pre>

SPInstall