Authentication Failed
%>/images/logo.jpg){kind=logo}
This login page is an example and should be customized. Refer to the documentation.
The web site described to the right has asked you to log in and you have chosen <FILL IN YOUR SITE> as your home institution.
<% if ("true".equals(request.getAttribute("loginFailed"))) { %>Credentials not recognized.
<% } %> <% if(request.getAttribute("actionUrl") != null){ %>**A szócikk vagy fejezet még megírásra vár** Ha ki tudod egészíteni, megköszönjük!
### SQL (JDBC) alapon A Shibboleth 2 IdP képes az autentikálást szabványos JAAS (Java Authentication and Authorization Service) modulokkal elvégezni, ezért lehetőség van relációs adatbázist használó autentikációs modul használatára is. Számos JAAS modul létezik adatbázisos autentikációra is, azonban ezek vagy túl bonyolultak, vagy nem kellően rugalmasak. Az alábbiakban az NIIF által fejlesztett (a [Tagish/JDBC](http://free.tagish.net/jaas/doc-1.0.3/index.htmlJAAS/JDBC) kódbázisán alapuló) modul beállítását mutatjuk be: - JAAS/JDBC modul megfelelő verziójának [letöltése](http://software.niif.hu/maven2/hu/niif/jaas-jdbc/) - jaas-jdbc-VERSION.jar és adatbázis driver jar bemásolása az idp webalkalmazás (idp.war) WEB-INF/lib könyvtárába - a MySQL Connector/J letölthető a [MySQL oldalról](http://dev.mysql.com/downloads/connector/j/) - MySQL esetén a mysql-connector-java-{verzio}-bin.jar fájlra van szükségünk - handler.xml -ben UsernamePassword login handler engedélyezése és RemoteUser login handler tiltása - login.config ShibUserPassAuth-ban a JDBCLoginModul engedélyezése (a többi JAAS modul legyen kikommentezve!) - adatbázis kapcsolattal összefüggő beállítások: - "hagyományos" megoldás - **dbDriver**: JDBC Driver osztály neve - **dbURL, dbUser, dbPassword**: adatbázis elérési paraméterek - JNDI használata esetén - **jndiResourceName**: DataSource API-t támogató JNDI név (bővebben lásd: [Connection pool leírás](https://help.edu.hu/books/aai/page/shib2idpconnectionpool)) - egyéb beállítások - **usersPreparedStatement**: egy olyan lekérdezés, ami a tárolt elhashelt jelszót kérdezi le egy felhasználónévhez (a felhasználónév helyén a ? karakter kell álljon, a lekérdezés egy vagy nulla sort kell visszaadjon!) - **passwordHashMethod**: a hasheléshez alkalmazott metódus (a használható metódusakat a [Java Cryptography Architecture dokumentáció](http://java.sun.com/j2se/1.5.0/docs/guide/security/CryptoSpec.html#AppA) írja le). A JAAS modul konfigurációja a login.config fájlban: ``` hu.niif.middleware.jaas.JDBCLoginModule required dbDriver="com.mysql.jdbc.Driver" dbURL="jdbc:mysql://databaseHost:3306/databaseName" dbUser="dbuser" dbPassword="randomsecret" usersPreparedStatement="SELECT password FROM users where username=?" passwordHashMethod="MD5"; ``` ### LDAP-ból ellenőrzött X.509 tanúsítvánnyal Ezen autentikációs mód a konténer (pl. Apache) által a klienstől elkért klienstanúsítványt veti össze a felhasználó LDAP bejegyzésében tárolt tanúsítványokkal (`userCertificate`). A modul használatának előfeltételei: - a konténernek támogatnia kell a kliens-tanúsítványokat, azonban a CA ellenőrzés nem követelmény, a felhasználók self-signed tanúsítvánnyal is igénybe vehetik az autentikációs szolgáltatást - az IdP-nek a kérésből el kell érnie a klienstanúsítványt - a tanúsítványban szerepelnie kell a felhasználónévnek (mégpedig az `UID` mezőben) A modul dokumentációja a [ezen az oldalon](https://help.edu.hu/books/aai/page/shibidpx509ldapauthentication) érhető el. ## Autentikáció konténer által ### MySQL Autentikáció Apache-on keresztül Az alábbiakban leírt Apache beállítások elsőre nyakatekertnek tűnhetnek, de az Apache 2.2-es sorozatában előforduló - ez idáig érdemben nem javított - bug miatt ez a megoldás működik csak. Telepíteni kell a MySQL autentikációs Apache modult: ``` apt-get install libapache2-mod-auth-mysql ``` Engedélyezni kell a modul használatát ``` a2enmod auth_mysql ``` Az Apache adott hosthoz tartozó configjában meg kell adni: ``` Auth_MySQL_Info**A szócikk vagy fejezet még megírásra vár** Ha ki tudod egészíteni, megköszönjük!
### LDAP Autentikáció Apache-on keresztül**A szócikk vagy fejezet még megírásra vár** Ha ki tudod egészíteni, megköszönjük!
## Single Sign-on ### IdP Session Az IdP-ben a session-nek nincs rögzített lifetime-ja, hanem aktivitásfüggő timeout értéket lehet beállítani. A jelenlegi IdP-ben az IdP session timeout független a fent megadott `authenticationDuration` értéktől, ezt az `internal.xml` állományban állíthatjuk be: ```xml**Warning** Az entityID a szolgáltatás neve, nem a kiszolgáló számítógépé. Érdemes a neveket úgy megválasztani, hogy egy későbbi gépcsere esetén is független legyen a gépnév a szolgáltatás nevétől.
- `Tűzfal` - Szükséges nyitott portok a *TCP/443* és *TCP/8443*. - `Operációs rendszer és Java futtató-környezet` - A jelen telepítési leírás Debian 8 (Jessie) rendszerhez készült. - Java telepítése - `apt-get install default-jdk` ## Jetty 9.2 telepítés és előkészítés Letöltés: [http://download.eclipse.org/jetty/](http://download.eclipse.org/jetty/) Telepítés menete. ```bash cd /opt tar -xf jetty-distribution-9.2.**Figyelem** Lásd: [log4cpp kontra log4shib](https://help.edu.hu/books/aai/page/log4whatever)
### XML-Security C Ez a csomag igazából része általában a disztribúcióknak, de a Shibboleth 2-nek (és az OpenSAML-nak) >=1.4.0 verzió kell, **ami jelenleg még nincs is kiadva** (2008.04.24.). Hurrá :( Örüljünk, a download könyvtárban meg lehet találni az 1.4.0 verziójú .tar.gz-t. ```bash wget http://xml.apache.org/security/dist/c-library/xml-security-c-1.4.0.tar.gz tar xzf xml-security-c-1.4.0.tar.gz cd xml-security-c-1.4.0 ./configure --prefix=/opt make sudo make install ``` ### xmltooling Az xmltooling log4cpp-vel történő lefordításához szükség van [erre a patch-re](https://help.edu.hu/books/egyeb/page/xmltooling-log4cpp-patch). ``` patch -p0 <../xmltooling_log4cpp5.patch ./configure --prefix=/opt --with-xmlsec=/opt make sudo make install ``` ### opensaml ``` ./configure --prefix=/opt --with-xmlsec=/opt --with-xmltooling=/opt make sudo make install ``` ### Shibboleth SP ``` ./configure --prefix=/opt --with-xmltooling=/opt --with-saml=/opt make sudo make install ``` # Shib2PersistentId # Perzisztens azonosító használata Shibboleth2 IdP esetén Ez az oldal a Shibboleth `storedId` plugin telepítését írja le MySQL adatbázis motorral. ## Adatbázis driver telepítése A MySQL JDBC driver a következő URL-ről érhető el: [http://dev.mysql.com/downloads/#connector-j](http://dev.mysql.com/downloads/#connector-j). Letöltés után a kitömörített drivercsomagból a .jar végű fájlt kell bemásolni a `/usr/share/tomcat6/lib` könyvtár alá. ## Táblaszerkezet ```sql CREATE TABLE `shibpid` ( `localEntity` varchar(200) NOT NULL, `peerEntity` varchar(200) NOT NULL, `principalName` varchar(200) NOT NULL, `localId` varchar(200) NOT NULL, `persistentId` varchar(200) NOT NULL, `peerProvidedId` varchar(200) default NULL, `creationDate` timestamp NOT NULL default CURRENT_TIMESTAMP on update CURRENT_TIMESTAMP, `deactivationDate` timestamp NULL default NULL, KEY `i_shibpid_pid` (`persistentId`), KEY `i_shibpid_pid_date` (`persistentId`,`deactivationDate`), KEY `i_shibpid_lid` (`localEntity`,`peerEntity`,`localId`), KEY `i_shibpid_lid_date` (`localEntity`,`peerEntity`,`localId`,`deactivationDate`) ) ENGINE=InnoDB DEFAULT CHARSET=utf8 ``` ## Perzisztens attribútum feloldása Az attribute-resolver.xml konfigurációs fájlban vegyük fel a következő DataConnectort illetve PrincipalConnectort: ```xml**Figyelem** Az `openjdk-6-jdk` csomag használata esetén ne felejtsük feltenni a `ca-certificates-java` csomagot, anélkül ugyanis hibát fogunk kapni az IdP indításakor!
### Shibboleth security provider**Info** A Shibboleth Security Provider csak akkor szükséges, ha a Java alkalmazásszerver (Tomcat) önállóan fog kéréseket feldolgozni és nem kerül elé proxy (Apache)
Be kell másolni a `lib/shib-jce-1.0.jar` állományt a `$JAVA_HOME/jre/lib/ext` könyvtárba. Ha az `ext/` könyvtár nem létezik, akkor hozzuk létre. ``` cp lib/shib-jce-1.0.jar $JAVA_HOME/jre/lib/ext ``` Ezek után be kell állítani, hogy a JRE használni is tudja ezt a providert. Ehhez a `$JAVA_HOME/jre/lib/security/java.security` fájlban keressük meg az ún. "security provider"-eket, és írjuk hozzá a következő sort: > security.provider.**7**=edu.internet2.middleware.shibboleth.DelegateToApplicationProvider - **Megj.:** a "security.provider." után következő szám mindig a megelőzőnél legyen eggyel nagyobb! ### Bouncy Castle JCE**Bizonytalan információ!** Az alábbi leírás az 5-ös JVM-hez készült, 6-os JVM esetén erre nem biztos hogy szükség van.
A JVM-mel jövő Java Cryptography Engine (JCE) nem támogatja az összes kriptográfiai algoritmust, amelyre az Identity Providernek szüksége lehet (pl. XML Digital Signature, XML Encryption). A Bouncy Castle JCE ezek mellett még olyan algoritmusokat is tartalmaz (általában hatékonyabb és szabványosabb formában), amelyek benne vannak a Java JCE-ben. Ehhez először le kell tölteni a [Bouncy Castle JCE-t](http://www.bouncycastle.org/latest_releases.html). A JCE állományok a Provider oszlopban, a "Signed Jar Files" részben találhatók. (A nevük `bcprov-jdk-VERZIO.jar`.) Letöltés után a .jar fájlokat a `$JAVA_HOME/jre/lib/ext` könyvtárba kell tenni. ``` wget http://www.bouncycastle.org/download/bcprov-jdk15-141.jar cp bcprov-jdk15-141.jar $JAVA_HOME/jre/lib/ext ``` Ezek után be kell állítani, hogy a JRE használni is tudja ezt a providert. Ehhez a `$JAVA_HOME/jre/lib/security/java.security` fájlban keressük meg az ún. "security provider"-eket, és írjuk hozzá a következő sort: > security.provider.**8**=org.bouncycastle.jce.provider.BouncyCastleProvider - **Megj.:** a "security.provider." után következő szám mindig a megelőzőnél legyen eggyel nagyobb! ## Tomcat 6 A 2.1.3 és újabb IdP megköveteli a Tomcat6 használatát (Tomcat5.5 -tel bizonyos böngészők esetén nem működik rendesen). A Debian Lenny nem tartalmazza a Tomcat6-ot, ezért a testing ágból kell feltelepíteni. A Tomcat6-ra való frissítésről további - vázlatos - információkkal ez az [oldal szolgál](https://help.edu.hu/books/aai/page/tomcat55-to-tomcat6). ### Telepítés Ha minden rendben meg, és a squeeze source beállításra került, akkor elegendő egy ``` aptitude install tomcat6 ``` parancs kiadása. Ez felpakolja a tomcat különböző függőségeit is - az ajánlott függőségek (tomcat6-admin, -docs, stb.) feltelepítése nem szükséges. Ne felejtsük el, hogy a Tomcat szerver "tomcat6" user nevében fog futni! Mivel a Shibboleth servletnek szüksége van arra, hogy hozzáférjen a filerendszerhez, a Java Security Manager-t ki kell kapcsolni a `/etc/default/tomcat6` fájlban: ``` TOMCAT6_SECURITY=no ``` Ahhoz, hogy a Tomcat számára üzembiztosan elegendő memóriát biztosítsunk, ugyanebbe a fájlba ( `/etc/default/tomcat6` ) adjuk meg: ``` JAVA_OPTS="-Xms256M -Xmx512M -XX:-DisableExplicitGC " ``` ### Beállítás A `/etc/tomcat6/server.xml` fájlt kell szerkesztenünk #### Ha a Tomcat Apache mögött fut A 8009-es porton figyelő Connector elem konfigurációjához hozzá kell adni, hogy a `tomcatAuthentication` értéke "false" legyen, ezen kívül a hozzáférést korlátozhatjuk a localhost-ra is (hiszen a Connector-t csak a helyben futó Apache mod\_proxy\_ajp konnektora érheti el). ```xml**Info** Amennyiben a Tomcat önállóan fut, szükség van a Shibboleth Security Provider telepítésére!
[További információ angolul](https://wiki.shibboleth.net/confluence/display/SHIB2/IdPApacheTomcatPrepare) ## Apache beállítás Tanúsítványok beszerzése és bemásolása `/etc/ssl` vonatkozó alkönyvtárai alá. Meg kell adni, hogy az Apache figylejen a 443-as és 8443-as portokon. Az alábbiak kerüljenek a `/etc/apache2/ports.conf` fájlba ``` Listen 443 Listen 8443 ``` ### SSO URL (443-as port) Be kell állítani a virtuális hosztot, amelyhez az IdP-t rendeltük. Először a 443-as portot konfiguráljuk. ```apache**Figyelem** Az Apache a tanúsítvány-ellenőrzésnél ellenőrzi a tanúsítvány típusát. Ezért az SP tanúsítványának vagy kliens tanúsítványnak kell lennie, vagy nem lehet benne típus információ.
```apache**Info** A felhasználó tanúsítvány alapú azonosításához (identification) szükséges, hogy a tanúsítvány tartalmazza a felhasználónevet, mégpedig az `UID` (subject) mezőben.
## Telepítés Az autentikációs modul letölthető a [http://software.niif.hu](http://software.niif.hu) oldalról. A Shibboleth2 IdP autentikációs motorjának konfigurációját részetesen a [Shibboleth2 User Authentication](https://wiki.shibboleth.net/confluence/display/SHIB2/IdPUserAuthn) wikioldal írja le. ### Apache beállítása Amennyiben az alapértelmezett szervlet elérési utat választjuk (`/Authn/X509`), a következő opciókat kell megadni az Apache webszerver konfigurációjában: ```**Info** Az IdP webalkalmazás az `${SHIB_HOME}/war/idp.war` fájlban található, ebben kell elvégezni a módosításokat, majd újratelepíteni az alkalmazást a webkonténerbe.
### IdP konfiguráció Az IdP konfigurációjában két dolgot kell módosítani: a JAAS autentikációs modul `login.config` konfigurációját, valamint a `handler.xml`-ben az autentikációs módokat. Az X.509/LDAP JAAS modul beállításához a `${SHIB_HOME}/conf/login.config` fájl tartalmához a következő sorokat adjuk hozzá (az LDAP elérési paramétereket értelem szerint kitöltve; az értékek általában a `ShibUserPassAuth` JAAS konfigurációból átmásolhatóak): ``` X509LdapAuth { hu.niif.middleware.jaas.X509LdapLoginModule required host="" port="" base="" ssl="" userField="" serviceUser="" serviceCredential=""; }; ```**Info** Figyelni kell arra, hogy az itt megadott `serviceUser` olvasási joggal rendelkezzen a `userCertificate` LDAP attribútumra.
A JAAS modul beállítása után a `${SHIB_HOME}/conf/handler.xml` fájlban meg kell adnunk az új autentikációs modulunkat, a következőképpen: ```xml**Info** A klienstanúsítvány segítségével történő autentikáció **nem feltétlenül biztonságosabb** mint a jelszavas bejelentkezés, ezért jól fontoljuk meg, hogy minden felhasználónak felkínáljuk-e ezt a lehetőséget.
### Shibboleth IdP webalkalmazás módosítása Az X.509/LDAP autentikációs modul tartalmaz egy olyan szervletet, ami képes a felhasználónév/jelszó és az X.509 autentikáció együtt történő futtatására. Első lépésként ezt a szervletet kell beállítani a `WEB-INF/web.xml` webalkalmazás konfigurációban: ```xml**Info** Amennyiben a felhasználó egyszer bejelölte a tanúsítványos autentikációt a teljes munkamenetre, azt nem tudja kikapcsolni, csak a böngésző újraindításával.
### Shibboleth IdP konfiguráció Az IdP konfigurációjában meg kell adni ezt a hibrid autentikációs módot, mégpedig a következőképpen (`${SHIB_HOME}/conf/handler.xml`): ```xml