SimpleSAMLphp のdefault-spをOpenIdPと連携させるテスト @ CentOS

諸事情でSSO (Single Sign On) に興味が湧いたのです。まずとっかかりということで、表題の通りの非常に簡単なセットアップ部分のメモを書きます。

まず環境です。
  • 作業日: 2012-11-03 
  • さくらのVPS上
  • CentOS release 6.3 (Final)
  • simplesamlphp-1.10.0
ちなみに、最初は手元のKVM + Ubuntu環境でテストしようとしていました。しかし外部のサーバからこっちが見えないので辞め。

＃ SAMLってだけであればローカル環境からのPullリクエストだけで行けるかと思ったんですよ！

ちなみにここでのメモはUbuntu環境ではあまり役に立ちません。パッケージがすでにあり (Ubuntu 12.04.01 LTS) 、設定ファイル等の位置がマニュアルでインストールした場合と大分違います。

○ 参考にした資料

以降少し参照します。正しくない記述が若干混じっている気もします (特に2つめ)
0. 証明書入れる

やっといてください。今回は自己振り出し「でない」ちゃんとした証明書が偶然入ってるホストでやりました

1. PHP入れる

こっから始めたのでここも書きます。

  • yumでphp, php-mbstring, php-domxml-php4-php5 をインストール
php-mbstringが必要かははっきりしません。SimpleSAMLphpはDOM XMLも使えないとだめなのでphp-domxml-php4-php5も入れます。


出来ればここでphpが動くテストをしておきましょう。PHP設定環境構築の記事は腐ってるものも含めてたくさんあるので省略

2. /opt 下にSimpleSAMLphpを入れる

CentOSの今回の環境ではパッケージが見つからなかったので本家からダウンロードしました。

対象のディレクトリに対してchown apache:apacheをしてありますが、必要かはわかりません。

3. SimpleSAMLphp の設定を変更

標準設定では動くにしてもまずいところがある (特にデフォルトパスワード) ので、直します。あと、今回はSPとして動かすのでその設定もしてみます。

＃ Ubuntuではパスワード周りが別ファイルになっていました。

/opt/(simplesamlphp)/config/config.php を修正します。
  • http://(host)/simplesamlphp にしたいなら baseurlpath を直す
    • デフォルトでは simplsaml
  • adminpasswordを直す
  • secretsalt を生成する (生成の仕方はコメントに書いてあるはず)
  • enable.saml20-sp の行を「追加」して true (他のサイトだとあるように書いてあるのだけど見つからなかった)
    • 必要ないかもしんない
  • ログの設定など、したければ
インストール直後の時点でconfig.phpのコメントは十分丁寧なので、眺める価値がある気がします。

なお、全力の平文でパスワードが書かれるので、その他のread権限は剥奪しておいた方が吉かもしれませんね。

4. /etc/httpd/ 下のどこかにSimpleSAMLphp向けの設定を書く

httpd (apache2) /opt/simplesamlphp-1.10.0/ を参照しないと外から見えません。その設定を書きます。

一番楽なのは conf.d/ssl.conf の </VirtualHost> 前に設定を書くことだとは思いますが、本当は別のファイルを作ったほうが後々メンテしやすいかもしれません。

＃ ちなみにそうしなかったのはVirtualHost外に書く場合にhttpsでのみsimplesamlphpディレクトリを読ませる方法がよーわからんかった、という一点に尽きます。今回に限って言えば本質的なところではありません

Alias /simplesamlphp/ /opt/simplesamlphp-1.10.0/www/
<Directory "/opt/simplesamlphp-1.10.0/www/">
        Order allow,deny
        Allow from all
        Options -Indexes
</Directory>

-Indexesがなかった場合に https://(host)/simplesamlphp/ にアクセスしてもindex.phpを読みに行ってくれなかったので書いてあります。必須かどうかはわかりません

5. サンプルページを表示し、Adminでログイン。正しく動作してるか確認

設定がうまく出来ていれば、https://(host)/simplesamlphp にアクセスしたときに勝手にリダイレクトされてhttps://(host)/simplesamlphp/module.php/core/frontpage_welcome.php が開かれます。

ここでWelcomeの画面上から管理者ログインをします。パスワードはさきほどconfig.phpに書いたものを使います。

うまくログインできたら、Configuration (設定) タブをクリックして、以下のような画面からPHPの動作状況を確認します。

もしRequired (必須) の何かが抜けていると、親切な警告もなしにSimpleSAMLphpがエラー出して動かなくなります。


やや蛇足ですが、上記のページにある"Sanity check of your simpleSAMLphp setup" は初期状態ではクリックしてもsanity checkをしてくれません。modules/sanitycheck/config-templates/config-sanitycheck.php を config/ 下にコピーすれば動きました (モジュールがenableされてることも確認してください。default-enableというファイルがモジュールのディレクトリにあればOK。なければenableという空ファイルをそこに)

5. SPと登録するIdPの設定をする

ここまでで SimpleSAMLphp 自体が動いているという確認が出来たあと、SPとIdPの設定をします。

今回の記事では、SPは自分自身、IdPはOpenIdPです。

SimpleSAMLphpはOpenIdPがどこの何なのか知らなければならず、OpenIdPは自分を使うSPのメタデータを受け取っていなければなりません。つまり両方に設定が必要です。

ここからは本家のドキュメントの通りで十分なので、そちらを主に参照して設定しましょう。以下、本家だけだとよくわからなかったところをランダムにメモります。

○ metadata/ と metadata-templates/ は基本同じファイルが入っている。metadata/を使う

見た限りではmetadata/ディレクトリにテンプレートとなるファイルがほぼ入っています (後述する saml20-sp-hosted.php はない)

metadata/ 内のファイルを書き換え、間違ったと思ったらmetadata-templates/ からコピって復元する、的な方法で良い気がします。

＃ Ubuntu だとDebian/Ubuntu的な流儀で設定ファイルが分散しており、metadataに関しては /etc/metadata/ と /usr/share/doc/simplesamlphp/examples/metadata-templates/ に分かれています。/etc/metadata/ には最初何もないように見えました。

○ saml20-sp-hosted.php なんてファイルは最初はない

このファイルは作る必要がありました。こちらを参考にしています。

<?php
$metadata = array(
        'https://YOUR_HOST/simplesaml' => array(
                'host'  => 'YOUR_HOST',
                'certificate' => 'YOUR_HOST.crt',
                'privatekey'  => 'YOUR_HOST.key',
                'redirect.sign' => 'TRUE',
                'redirect.validate' => 'TRUE',
                'privatekey_pass' => 'MySSLCertKeyPassword',
        )
);
?>

このファイルのパーミッションにも注意しましょう。

○ OpenIdPにメタデータを登録するときに……

SimpelSAMLphp のFederation (連携) タブからEntityID としてhttps://(host)/simplesamlphp/module.php/saml/sp/metadata.php/default-sp のようなものをコピーし、OpenIdP側に登録します。

You need to login with an OpenIdP account to authenticate (you can create a new account if you do not have one already). Next, click the link 'Add from SAML 2.0 XML metadata', and paste in your SAML 2.0 XML Metadata. After clicking the 'Import metadata' button, you will be presented with a form where you can edit your metadata. You can check that your metadata was parsed correctly by looking at the 'SAML 2.0' tab. The textfields for AssertionConsumerService and SingleLogoutService should contain two URLs:
認証するにはOpenIdPアカウントを用いてログインする必要がある (もしアカウントがない場合は新規に作成する。次に'Add from SAML 2.0 XML metadata'のリンクをクリックし、あなたのSAML 2.0 XML形式メタデータを貼り付ける。'Import metadata' をクリックしたら、メタデータを編集できるフォームが表示される。そこで'SAML 2.0'タブを見ることであなたの提供したメタデータが正しく解釈されたことを確認することが出来る。AssertionConsumerServiceとSingleLogoutServiceは以下のような2種類のURLを保持しているはずだ。
で、私はここで勘違いして 'Add new entity' リンクの方をクリックして色々とちりました。上記のとおりにやる、か、私のように手で全部入れることも出来るとは思います。

なお、ここで登録する上記のEntityIDに対して自分でアクセスしてみて、ただしくXMLがダウンロードされることを確認しておくと良いかと思います。既に若干述べましたが、XML DOMがインストールされていない状態でこれをやると単にエラーがでてSimpleSAMLphpが正しく動作しません。

6. 連携できることを確認

本家のページ の5のとおりです。


このブログの人気の投稿

風花雪月

 2019年のゲームなので今更感あるんだけど「なしルナ」（金鹿）までやったのでメモっとく（ただしカジュアル）。主に「難易度」と「ストーリー」について感想を書く。 ちょっと前提 自分があまりこの手のゲームに慣れていないこと、あと「ルナは別格に難しい」なんて説明があったこともあって、色々調べ物をしたり警戒しながらやってたんだけど、ネットなどの情報がだいぶ出揃ってる2021年現在、そういう情報をフルに使いこなすと「ルナでも簡単」なのかなと思う。強いキャラとそれに合った成長プランが大体全部出揃ってるのと、試しながらやらないといけないのとでは、そりゃぁ辛さが違うよね、と。 難易度面 ノーマル、ハードについて、難易度的に特に指摘するほどのものがない…… ノーマルは自分の基準からするとおおよそ「イージー」。1周目から個人的にはハード選べば良かった気がした。この手のTRPGにあんまり慣れがないので、色々安全寄りに倒したら（フリー戦闘とかね！）後半がダルダルになってしまった。とはいえ、これは振り返ってそう思うのであって、はじめてやったときに計略が全く使いこなせてなかったり色々システムの基本を追いかけられてなかった中では、妥当かもなとも思う面がある。 基本的に、このゲームはハードですらシステム全体を活用する必要があまりない。一方、ルナだとシステムをそれなりに活用しないと辛いので、ルナがコアなプレイヤーの標準難易度ってことになる気がする。 一方、じゃぁ「標準難易度」としてルナが丁度よいかというと、こちらは、なんというか「ピーキー」で、妙にキッツキツにしすぎているところが目立ってしまって、逆に若干息苦しい。 後で書くけど、DLCの煤闇の章はルナに近接していて、かつ敵が単体で跳ね回る感じではなく、敵の総数がしっかりこちらを押してくる感じがより好印象だった。しかも物語が短くコンパクト。良い。 ルナで厳しく管理しないと行けないと思った要素は後で述べる。 「引き継ぎありハード」のあと、そのまま「引き継ぎなしルナティック」（なしルナ）にチャレンジした（3周目でなしルナ）。「ありルナ」をちょっと試したのだけど、EP.3くらいには「これは後半ダレる！」ってのが目に見えたので、「なしルナ」一直線で、これはちょっとドキドキした。 ルナの前半は面白くもないパズルゲーという感じで、敵の攻撃力があまりに高いので戦
続きを読む

pemって言ったら改行も仕様に含むんだよもん

冗談じゃねぇ、と思ったけどPEMはBASE64を使っていてBASE64はMIMEの仕様の一部で、とたどっていった結果、一行あたりの制約がPEMの仕様に漏れでてくる、ということのようだ。 http://ja.wikipedia.org/wiki/Base64 https://bitbucket.org/hdknr/openidcx/issue/61/certs-pem どうしてそんなことになったかというと、OpenSSLで鍵を読み込んでいるときに、ファイル経由でpemを読んだら問題なかったのに、それをメモリ上にのっけてやってみたらだめだったという事件の流れ。データの違いは改行の違いだけで「この改行って意味があるの！？」とかびびった。 具体的には、PEM_read_bio_PrivateKey() が "bad base64 decode" とか言い出した。そんなわけあるんかいな、と思ったら、あったのだ。 メモリ上にマッピングするときに「改行なんて要らないよね」とか言った自分が悪い。いや、しかし…… PEMというのは -----BEGIN CERTIFICATE----- MIICnjCCAYYCCQCvgY9YjPLo2DANBgkqhkiG9w0BAQUFADARMQ8wDQYDVQQDEwZ1 YnVudHUwHhcNMTIxMDAzMDkyOTM1WhcNMjIxMDAxMDkyOTM1WjARMQ8wDQYDVQQD EwZ1YnVudHUwggEiMA0GCSqGSIb3DQEBAQUAA4IBDwAwggEKAoIBAQC8lP+hcVM3 ... Qjyuxx//vDtL53k92bKb2orQkL/3u/cF4ynwy6p646UkEyrQAtbUS1O/F91ZG6k9 GigCBfK8xKa5yMJ7vQQk/vmkrI+pfqc0G4uKV/lvCSmPkXqjxgA/6OvRStazr9Jt LA0gcsiaR0HwBMYe4ESZb3vzKyQKQZwr4SbfLQWPr8DA09kC3nxBo2hAhLYWptlz c9u9i7DWOPMNDxDQvXl+ibG/jqSumEONN+493z5uj/awqSt9lUyPVU7Ngn54FeVN 1iU= -----END CER
続きを読む

LibreOfficeで表紙、目次、本体でフッターのページ番号のスタイルを変える

イメージ
○ やりたいこと 次のようなドキュメントをLibreOfficeで作りたいの 表紙 (フッターのページ番号はなし) 目次 (フッターのページ番号はローマ数字で例えば i〜iii) 本文 (フッターのページ番号はリセットされて例えば 1〜40) ○ 覚えとく概念 「書式(O)」の「スタイルと書式設定」で段落のスタイルとかを設定できます。 これの内、 段落スタイル を使って色々楽しくやる方法については、以下の本を参照してくだされ。 「スタイルと書式設定」の4つめのボタンが「ページスタイル」の設定です。今回フッターをページごとに変える際にも使います。 ○ 表紙のページスタイルを「最初のページ」にする まぁ簡単ですな ○ 表紙のページで「改ページ」するとともにスタイルもリセットする 「挿入(I)」から「任意区切り」を選んで、改ページを選択します。 ここで「スタイル」ってありますね。ここで次のページのスタイルを設定します。 言い方変えると、改ページしない限り、「次ページのスタイルを変える」ことは原則できません。例外が各ページスタイルで設定されている「次に続くスタイル」です。 基本的にこの項目は「左右見開き」とかそういう限定された時にしか使えませんね。 リセットして、目次用のスタイルを上記「区切りの挿入」で指定します。 ああ、「目次」なんていうページスタイルがLibreOfficeにはない。 というわけで作ります。「スタイルと書式設定」のページスタイルの項で右クリック、「新規作成」を選択します。ここの読者がこんなところでハマると信じたくはないな。……信じとぅない！ 「ページ」タブが重要。最初に「フッターのページ番号をローマ数字にする」って言ったわけで。 これで目次用のスタイルが出来たので、改ページと一緒に次のページスタイルをこれにします。あと、「ページ番号の変更」で1を選ぶのを忘れない。 ○ 目次挿入 「挿入(I)」の「目次と索引 >> 目次と索引」を使います。上の本がちょっとだけ詳しいから省略。 ○ フッターにページ番号入れる。 フッターあたりをクリックして適当にやります。適当に。 フッターを中央寄せ
続きを読む