SimpleSAMLphp環境構築メモ
19250 ワード
前提条件
- CentOS7 7.4.1708(最小構成インストール)
- HTTP ServerはApache HTTP Serverを利用
- https接続はmod_sslを利用
OS初期設定
1.インターフェース名確認
# ip addr
2.IP設定およびホスト名、DNS設定
# nmcli con mod [i/f名] ipv4.method manual
# nmcli con mod [i/f名] ipv4.addresses "192.168.xx.xx/24"
# nmcli con mod [i/f名] ipv4.gateway "192.168.xx.xx"
# nmcli con mod [i/f名] ipv4.dns "192.168.xx.xx"
# nmcli general hostname
localhost.localdomain
# nmcli general hostname sp.local
# systemctl restart systemd-hostnamed
# hostname
sp.local
3.ネットワーク自動起動設定
# nmcli con mod [i/f名] connection.autoconnect yes
4.監査機能およびファイヤーウォールの停止
# systemctl stop firewalld
# systemctl disable firewalld
# systemctl stop auditd
# systemctl disable auditd
5.SELinuxの無効化
# vi /etc/selinux/config
/etc/selinux/config
#SELINUX=enforcing
SELINUX=disabled
6.ロケール変更
localectl set-locale LANG=ja_JP.utf8
7.時刻同期
ntpdate -b ntp.nict.jp
※定期同期したい場合はcronに登録
8.OS再起動
# reboot
Apache HTTP Server インストール
１．yumで導入
# yum install -y httpd
2.httpdの起動
# systemctl start httpd
3.httpdの自動起動設定
# systemctl enable httpd
4.稼働確認
デフォルトページが表示されればOK
http://sp.local/
PHP インストール
1.php導入
# yum install -y php
2.php拡張機能導入
# yum install -y php-mbstring
# vi /etc/php.ini
php.ini
;;;;;;;;;;;;;;;;;;;;;;
; Dynamic Extensions ;
;;;;;;;;;;;;;;;;;;;;;;
extention=mbstring.so #追記
# yum install -y php-xml
3.httpd再起動
systemctl restart httpd
4.稼働確認用phpファイル作成
cd /var/www/html
vi phpinfo.php
phpinfo.php
<?php
phpinfo();
?>
5.稼働確認
http://sp.local/phpinfo.php
バージョン情報が表示されればOK
テキスト文字がそのまま表示された場合はNG
SimpleSAMLphp導入
1.ダウンロード
curl -OL https://github.com/simplesamlphp/simplesamlphp/releases/download/v1.15.0/simplesamlphp-1.15.0.tar.gz
※バージョン1.15.0をダウンロードする場合
2.展開とファイルの移動
# tar xvf simplesamlphp-1.15.0.tar.gz
# mv simplesamlphp-1.15.0 /var/www/simplesaml
※/var/www/simplesamlをホームとする場合
HTTP over TLS設定
１．mod_sslインストール
# yum install mod_ssl
mod_ssl-2.4.6-67.el7.centos.6.x86_64
2.秘密鍵作成（keyファイル）
# cd /etc/pki/tls/private/
# openssl genrsa -aes128 1024 > server.key
Generating RSA private key, 1024 bit long modulus
..................++++++
..........................................++++++
e is 65537 (0x10001)
Enter pass phrase:（パスフレーズ）
Verifying - Enter pass phrase:（同じパスフレーズ）
3.証明書署名要求ファイル作成（CSRファイル）
# cd /etc/pki/tls/private/
# openssl req -new -key server.key > server.csr
You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Country Name (2 letter code) [AU]:JP
State or Province Name (full name) [Some-State]:Tokyo
Locality Name (eg, city) []:Hoge
Organization Name (eg, company) [Internet Widgits Pty Ltd]:Hoge Ltd
Organizational Unit Name (eg, section) []:Hoge
Common Name (eg, YOUR name) []:sp.local
Email Address []:空白
Please enter the following 'extra' attributes
to be sent with your certificate request
A challenge password []:空白
An optional company name []:空白
4.自己証明書ファイル作成（CRTファイル）
# cd /etc/pki/tls/private/
# openssl x509 -in server.csr -days 36500 -req -signkey server.key > /etc/pki/tls/private/server.crt
Signature ok
subject=/C=JP/ST=Tokyo/L=Hoge/O=Hoge Ltd/OU=Hoge/CN=sp.local
Getting Private key
Enter pass phrase for server.key:（上記で指定したパスフレーズ）
5.起動時パスフレーズ入力解除
# mv server.key server.key.bak
# openssl rsa -in server.key.bak > server.key
Enter pass phrase for server.key.back:（パスフレーズ）
writing RSA key
６．ssl.conf設定
# vi /etc/httpd/conf.d/ssl.conf
ssl.conf
Listen 443 https
SSLPassPhraseDialog exec:/usr/libexec/httpd-ssl-pass-dialog
SSLSessionCache shmcb:/run/httpd/sslcache(512000)
SSLSessionCacheTimeout 300
SSLRandomSeed startup file:/dev/urandom 256
SSLRandomSeed connect builtin
SSLCryptoDevice builtin
<VirtualHost _default_:443>
SetEnv SIMPLESAMLPHP_CONFIG_DIR /var/www/simplesaml/config #編集
DocumentRoot "/var/www/simplesaml/www" #編集
Alias /simplesaml /var/www/simplesaml/www #編集
Alias /sample /var/www/sample/ #編集
ServerName sp.local:443 #編集
ErrorLog logs/ssl_error_log
TransferLog logs/ssl_access_log
LogLevel warn
SSLEngine on
SSLProtocol -all +TLSv1.2 #編集
SSLCipherSuite HIGH:3DES:!aNULL:!MD5:!SEED:!IDEA #編集
SSLCertificateFile /etc/pki/tls/private/server.crt #編集
SSLCertificateKeyFile /etc/pki/tls/private/server.key #編集
<Files ~ "\.(cgi|shtml|phtml|php3?)$">
SSLOptions +StdEnvVars
</Files>
<Directory "/var/www/cgi-bin">
SSLOptions +StdEnvVars
</Directory>
<Directory /var/www/simplesaml/www> #編集
<IfModule mod_authz_core.c> #編集
Require all granted #編集
</IfModule> #編集
</Directory> #編集
BrowserMatch "MSIE [2-5]" \
nokeepalive ssl-unclean-shutdown \
downgrade-1.0 force-response-1.0
CustomLog logs/ssl_request_log \
"%t %h %{SSL_PROTOCOL}x %{SSL_CIPHER}x \"%r\" %b"
</VirtualHost>
※80ポートアクセスを443リダイレクトしたい場合は下記も合わせて実施
confファイル名は何でもよい。
vi /etc/httpd/conf.d/rdct80.conf
<VirtualHost *:80>
ServerName sp.local
DocumentRoot /var/www/html/
RedirectMatch 301 .* https://sp.local/simplesaml/
</VirtualHost>
7.httpd再起動
systemctl restart httpd
8.稼働確認
https://sp.local/simplesaml/
SimpleSAMLphp設定
1.adminユーザパスワード設定
vi /var/www/simplesaml/config/config.php
config.php
'auth.adminpassword' => '（任意のパスワード）',
2.secretsaltの設定
下記コマンドでランダムな文字列を生成
tr -c -d '0123456789abcdefghijklmnopqrstuvwxyz' </dev/urandom | dd bs=32 count=1 2>/dev/null;echo
vi /var/www/simplesaml/config/config.php
config.php
'secretsalt' => '(生成したランダム文字列)',
SP構築
1.署名・暗号化用証明書作成
# cd /var/www/simplesaml
# openssl req -newkey rsa:2048 -new -x509 -days 3652 -nodes -subj "/C=JP/ST=Tokyo/CN=sp.local" -out cert/sp.local.crt -keyout cert/sp.local.pem
# ls -al /var/www/simplesaml/cert/
2.default-sp設定
vi /var/www/simplesaml/config/authsources.php
authsources.php
'default-sp' => array(
'saml:SP',
'RelayState' => 'https://sp.local/sample/start.php',
# idp認証後に遷移させたいURLがある場合
'privatekey' => 'sp.local.pem', #追加
'certificate' => 'sp.local.crt', #追加
#'entityID' => null, #コメントアウト
'entityID' => 'https://sp.local/', #追加
# idpのエンティティID
'idp' => 'idp_entityid',
#アサーションにNameID-format(unspecified)を強制する場合
'NameIDPolicy' => 'urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified',
サンプル用ページ作成
mkdir /var/www/sample/
vi /var/www/sample/start.php
start.php
<?php
require_once('/var/www/simplesaml/lib/_autoload.php');
$as = new SimpleSAML_Auth_Simple('default-sp');
$as->requireAuth();
$attr=$as->getAttributes();
$name=$as->getAuthData("saml:sp:NameID");
?>
<html>
<body>
<h1>This page is ServiceProvider start page.</h1>
<h2>NameID Format</h2>
<pre><?php print_r($name) ?></pre>
<h2>Attribute</h2>
<pre><?php print_r($attr) ?></pre>
<a href="logout.php">logout</a>
</body>
</html>
vi /var/www/sample/logout.php
logout.php
<?php
require_once('/var/www/simplesaml/lib/_autoload.php');
$as = new SimpleSAML_Auth_Simple('default-sp');
$as->requireAuth();
$attributes = $as->getAttributes();
$as->logout('https://sp.local/sample/start.php');
?>
3.Idpメタデータ取り込み
・simplesamlphp管理画面->連携->XML を SimpleSAMLphpメタデータに変換
・参照ボタンから対象のIdpメタデータ(XMLファイル)をアップロード
・変換されたメタデータ(saml20-idp-remote)の内容をコピー
・saml20-idp-remote.phpにペースト
※phpソースなのでphpタグを忘れずに
vi /var/www/simplesaml/metadata/saml20-idp-remote.php
saml20-idp-remote.php
<?php
$metadata['https://test.idp.local:443/'] = array (
'entityid' => 'https://test.idp.local:443/',
'contacts' =>
array (
),
'metadata-set' => 'saml20-idp-remote',
＜＜省略＞＞
),
);
?>
IDP側設定
IDP側で連携先のSPに関わる設定を行う。（IDPのマニュアルなど参照）
稼働確認
・simplesamlphpの管理画面にアクセス
https://sp.local/simplesaml/
もしくは
https://sp.local/simplesaml/module.php/core/authenticate.php?as=（sp名）
・認証タブ->設定されている認証元をテスト->default-sp を選択
・連携したいIdpを選択後、選択ボタンを押下
・IdpにリダイレクトされIdpの認証画面が表示される
・Idp認証後、アサーションで連携されたユーザ属性やSAML Subjectが表示される
または、
https://sp.local/sample/start.php
以上
Author And Source
この問題について(SimpleSAMLphp環境構築メモ), 我々は、より多くの情報をここで見つけました https://qiita.com/8ya43/items/c74d2710cd9b57d2cbb4著者帰属：元の著者の情報は、元のURLに含まれています。著作権は原作者に属する。
Content is automatically searched and collected through network algorithms . If there is a violation . Please contact us . We will adjust (correct author information ,or delete content ) as soon as possible .