Shibboleth SPを使ってSAMLに対応したサイトを作ろう

作成者: 株式会社セシオス｜Jun 1, 2018 7:20:07 AM

Shibboleth SPを使ってSAMLサービスプロバイダー(SAML SP)を構築し、SeciossLinkからシングルサインオンを行います。「SimpleSAMLphpを使ってSAMLに対応したサイトを作ろう」のShibboleth SP版となり、同様な流れで進めていきます。

・今回は、CentOS 7.5の環境で行います。
・使用するSeciossLinkの環境は、“slinkdev.secioss.net”です。
※本番を使う場合、”slink.secioss.com”に読み替えてください。
・使用するSeciossLinkのテナントIDは、“example.com”です。
※SeciossLinkのテナントIDも、適宜読み替えてください。
・使用するShibboleth SPのサーバホスト名を、“shibsp.example.com”とします。
※Shibboleth SPのサーバホスト名も、適宜読み替えてください。

1. 環境設定

Shibboleth SPに必要なパッケージをインストールします。
※PHPは、SAML SP化した独自Webサイトのページ作成に使用するのでインストールしておきます。

# yum install httpd
# yum install mod_ssl
# yum install php

面倒なのでSELinuxも無効化しておきましょう。

# setenforce 0

(再起動後も無効にする場合は、/etc/selinux/configも書き換えてください。)

2. Shibboleth SPのインストール

Shibboleth用のrepositoryファイルをダウンロードし、Shibboleth SPはyumでインストールします。
本稿執筆時点(2018/05/29)では shibboleth-sp 2.6.1 が最新でした。

# wget　http://download.opensuse.org/repositories/security:/shibboleth/CentOS_7/security:shibboleth.repo
# cp security\:shibboleth.repo /etc/yum.repos.d/shibboleth.repo
# yum install shibboleth

3. Shibboleth SPの設定

設定の前に、まず連携するSeciossLinkのメタデータを取得するところから進めていきましょう。

・SeciossLinkのメタデータ取得

ブラウザでアクセスしてメタデータファイルをダウンロードできますが、サーバに配置するのでShibboleth SP上で取得します。

取得したメタデータは、/etc/shibboleth配下に置いておきます。

# wget https://slinkdev.secioss.net/saml/metadata.php?tenant=example.com
# mv metadata.php\?tenant\=example.com /etc/shibboleth/slink-metadata.xml

※取得元URLの最後のexample.comはテナントIDです。
※wgetで取得すると「metadata.php?tenant=example.com」といったファイル名になるので、リネームします。

ここからShibboleth SPの設定ファイルを編集していきます。
※行番号も付けているので、編集個所を探すときの目安にしてください。

・SPのentityID設定

/etc/shibboleth/shibboleth2.xmlを編集します。
任意の文字列で良いのですが、Shibboleth SPの標準的な設定値としてURL形式とします。
また、最後に「-sp」を付けます。

22    
23    <ApplicationDefaults entityID="https://shibsp.example.com/shibboleth-sp"
24                                REMOTE_USER="eppn persistent-id targeted-id">

・SeciossLinkのentityID設定

/etc/shibboleth/shibboleth2.xmlを編集します。
SeciossLinkから取得したメタデータのentityIDの値をここに設定します。

44 <SSO entityID="https://slinkdev.secioss.net/example.com"
45 discoveryProtocol="SAMLDS" discoveryURL="https://ds.example.org/DS/WAYF">
46 SAML2 SAML1
47 </SSO>

・SeciossLinkのメタデータ設定

/etc/shibboleth/shibboleth2.xmlを編集します。
/etc/shibboleth配下に配置した「slink-metadata.xml」を参照するように設定します。

メタデータファイルを参照する設定がコメントアウトされているので、コメントを解除して配置したファイル名に修正します。

87 
88 
89 <MetadataProvider type="XML" validate="true" file="slink-metadata.xml"/>
90 

・NameIDのフォーマットを変更

/etc/shibboleth/attribute-map.xmlを編集します。
Shibboleth SPのデフォルト設定をそのまま使用するとShibboleth独自のフォーマットとなってしまいSeciossLinkで設定したユーザIDだけの値でなくなってしまいます。そこで、フォーマットを変更します。

57 <Attribute name="urn:oasis:names:tc:SAML:2.0:nameid-format:persistent" id="persistent-id">
58 <AttributeDecoder xsi:type="NameIDAttributeDecoder" formatter="$Name" defaultQualifiers="true"/>
59 </Attribute>

・SAMLを使った認証を行うWebサイト登録

/etc/httpd/conf.d/shib.confを編集します。
本稿では、デフォルトで設定されている“/secure”を独自Webサイトとして使用します。
そのまま使用するので特に編集はしませんが、以下のような設定となります。
“/secure”のパスを変更、または別のパスで同様な設定を追加することで、そのパスに対してもShibboleth SPによるSAMLの認証が有効になります。

49 <Location /secure>
50 AuthType shibboleth
51 ShibRequestSetting requireSession 1
52 require shib-session
53 </Location>

・設定の反映

既にhttpdを起動している場合は再起動を行って内容を反映させます。
（起動していない場合は、起動させます。）

また、shibdも同様に再起動、または起動を行ってください。

# systemctl restart httpd
# systemctl restart shibd

ファイアーウォールを設定している場合は、通信を許可しておきましょう。

# firewall-cmd --permanent --zone=public --add-service=https
# firewall-cmd --reload

4. SeciossLinkの設定

管理画面からの設定となりますが、まずShibboleth SPのメタデータの取得から進めていきましょう。

・Shibboleth SPのメタデータ取得

SeciossLinkのメタデータをShibboleth SPに設定したのとは違い、SeciossLinkには管理画面（ブラウザ）を使うので、wgetではなくブラウザでダウンロードします。
それでは下記URLにアクセスし、メタデータファイルをダウンロードしましょう。
https://shibsp.example.com/Shibboleth.sso/Metadata

・SAML SP登録

SeciossLinkの管理画面にログインし、SAML SPの新規登録を行います。
サービスプロバイダ登録画面を開き、取得したShibboleth SPのメタデータから自動設定します。
以下の図にある①参照…ボタンよりメタデータを選択し、②読み込むボタンで自動設定します。

自動設定後、まだサービスIDとサービス名が未設定なので、任意のIDと名前を設定してください。
本稿では、サービスIDの入力欄に“shibsp”、サービス名の入力欄に“ShibbolethSP”を設定しています。
また、SeciossLinkのポータルからアクセスできるようにアクセス先URLにサンプルページのURLを設定します。
設定したURLは、“https://shibsp.example.com/secure/index.php”となってます。

登録したSAML SP（Shibboleth SP）をユーザーに割り当てます。

5. 独自WebサイトでSAML認証してみよう

独自Webサイトのページを作成して、アクセスしてみましょう。

・認証を行う独自サイトのページ追加

/var/www/html配下にsecureディレクトリを作成します。
（Shibboleth SPを使ったSAMLの認証が“/secure”に対して有効となる設定をしているので）

# mkdir /var/www/html/secure

/var/www/html/secure配下にindex.phpファイルを作成します。

# vi /var/www/html/secure/index.php

サンプルとしては、phpinfo()を出力するページでも良いですが、過去の投稿にある「SimpleSAMLphpを使ってSAMLに対応したサイトを作ろう」の手順にある、ユーザID のみが表示される独自Webサイト用のページを作成します。

以下の内容で作成します。

01 <html>
02 <body>
03 <h1>こんにちは <?php echo $_SERVER['REMOTE_USER']; ?> さん</h1>
04 </body>
05 </html>

※参考までに、以下のようにphpinfo出力のページを作成すると環境変数の一覧が参照できます。

01 <?php
02 phpinfo();
05 ?>

・アクセスして確認

ブラウザで下記のURLにアクセスしてください。

https://shibsp.example.com/secure/index.php

SeciossLinkのログイン画面にリダイレクトされます。

認証が正しく行われると、以下のようにユーザIDが表示されたページにアクセスできます。

長々とお疲れ様でした。如何でしたでしょうか？

最小限での設定だったと思いますが、SimpleSAMLphpと同様にShibboleth SPを使っても
簡単にSAML対応のWebサイトが構築できたかと思います。

以下は、参考までにShibbolethの情報があるサイトとなっています。
基本的な設定であれば、日本語で説明がある学認の技術サイトが分かりやすくお勧めです。

Shibboleth SP WIKI：
https://wiki.shibboleth.net/confluence/display/SP3/Home

学認技術サイト：
https://www.gakunin.jp/technical/

SeciossLinkは、Shibboleth SPを使って構築したSAMLサービスプロバイダー（SAML SP）とシングルサインオン連携が可能です。

ユーザーが安全にサービスプロバイダーへアクセスできるため、ぜひ一度お試しください。

完全な記事を表示