[upki-fed:00880] Re: Shibboleth IdP 3.0 リリース

[Takeshi NISHIMURA <xxxxxxx@xxxxxxxxx>]

NIIの西村です。

ご存知の方もいらっしゃるかもしれませんが、ディレクトリ構成ががらりと
変わっています。
IdP 2.4.3で動いている環境で3.0.0の install.sh を実行すれば設定ファイ
ルの変換を自動でやってくれるという噂もありますが、動作確認のために
1から構築する場合も多いでしょうし、中身を知っておかないといざという
ときに困りますので、2.x（のうち学認技術ガイドで扱っている範囲）から
の変更点でこれまで判明しているものを書きます。

※beta1時点での情報ですので、その後変更があったらすみません。
※他にも注意すべき点があればお教えください。

- JDK 1.7.0以上が必要
- ./install.sh でなく bin/install.sh でインストール
- conf/以下が非rootで不可視
- conf/attribute-filter.xml
    学認提供のテンプレートを利用でOK
- conf/attribute-resolver.xml
    学認提供のテンプレートを利用でOK
- conf/idp.properties
    idp.signing.key, idp.signing.cert, idp.encryption.key, idp.encryption.cert で指定する証明書・鍵のパスを変更
- conf/metadata-providers.xml
    フェデレーションメタデータのダウンロード設定を追加
- ldap.properties
    $ sudo diff -u conf/ldap.properties.dist conf/ldap.properties
    --- conf/ldap.properties.dist       2014-12-11 15:16:30.843777659 +0900
    +++ conf/ldap.properties        2014-12-11 16:05:40.518199658 +0900
    @@ -4,8 +4,8 @@
     idp.authn.LDAP.authenticator                                   = anonSearchAuthenticator

     ## Connection properties ##
    -idp.authn.LDAP.ldapURL                                                 = ldap://localhost:10389
    -idp.authn.LDAP.useStartTLS                                             = true
    +idp.authn.LDAP.ldapURL                                                 = ldap://localhost:389
    +idp.authn.LDAP.useStartTLS                                             = false
     idp.authn.LDAP.useSSL                                                  = false
     idp.authn.LDAP.connectTimeout                                  = 3000

    @@ -21,13 +21,13 @@

     # Search DN resolution, used by anonSearchAuthenticator, bindSearchAuthenticator
     # for AD: CN=Users,DC=example,DC=org
    -idp.authn.LDAP.baseDN                                          = ou=people,dc=example,dc=org
    -idp.authn.LDAP.subtreeSearch                                   = false
    +idp.authn.LDAP.baseDN                                          = o=example,dc=ac,c=jp
    +idp.authn.LDAP.subtreeSearch                                   = true
     idp.authn.LDAP.userFilter                                              = (uid={user})
     # bind search configuration
     # for AD: idp.authn.LDAP.bindDN=xxxxxxxxx@xxxxxxxxxx
    -idp.authn.LDAP.bindDN                                          = uid=myservice,ou=system
    -idp.authn.LDAP.bindDNCredential                                = myServicePassword
    +idp.authn.LDAP.bindDN                                          =
    +idp.authn.LDAP.bindDNCredential                                =

     # Format DN resolution, used by directAuthenticator, adAuthenticator
     # for AD use idp.authn.LDAP.dnFormat=%x@xxxxxxxxxx

なお、OpenJDK 1.6.0を使った場合は install.sh 実行時に以下のエラーが出ます。
BUILD FAILED
/xxx/shibboleth-identity-provider-3.0.0/bin/build.xml:6: java.lang.UnsupportedClassVersionError: net/shibboleth/idp/installer/ant/SelfSignedCertificateGeneratorTask : Unsupported major.minor version 51.0
	at java.lang.ClassLoader.defineClass1(Native Method)
	at java.lang.ClassLoader.defineClass(ClassLoader.java:643)
	at java.security.SecureClassLoader.defineClass(SecureClassLoader.java:142)
...
参考: https://wiki.shibboleth.net/confluence/display/IDP30/SystemRequirements


On 2014/12/24 18:44, MIZUMOTO, Akinori wrote:
> 学認情報交換ML各位
>
> 学認事務局です。
>
> 日本時間の2014/12/23、Shibboleth IdP 3.0の正式版がリリースされました。
>
> Shibboleth Identity Provider V3.0.0 Released
> http://shibboleth.net/pipermail/announce/2014-December/000092.html
>
> Home - Identity Provider 3.0 - Confluence
> https://wiki.shibboleth.net/confluence/display/IDP30/Home
>
> 今後、動作確認をすすめ、技術ガイドの更新を行っていく予定です。
>
> 取り急ぎ、皆様にお知らせさせていただきます。

--
西村健
国立情報学研究所 TEL:03-4212-2890