SimpleSAMLphpをSPとしてShibbolethをIdPにする

現在の手元のShibbolethが非常に「アレ」な設定になってるため詳細については詰めないけれども、メモがわりに気をつけるべき点を書く

一番厄介に見えたのは「デフォルトでShibbolethはAssertionをSP側のサーバ証明書 (に入ってる公開鍵) で暗号化する」という点。

https://groups.google.com/forum/?fromgroups=#!topic/shibboleth-users/FvcuVGTHd7Y
Shibboleth IdPs encrypt by default and the metadata you gave the IdP for your SP doesn't include an encryption key.
IdPとSPを両方SimpleSAMLphpにした場合と一番異なるのがこれ。不幸にしてSimpleSAMLphpのデフォルトスクリーン上で"Federation"タブ経由で見れるSAML 2.0 Metadata XMLがこれを意識してくれないというのもまた一つ問題。そのままコピペでShibbolethのmetadataに書いても動かない。

もうひとつ参考: http://shibboleth.1660669.n2.nabble.com/Configure-IdP-to-encrypt-SAML-assertions-td2198881.html

Shibboleth側のmetadataに追加する EntityDescriptor 内にこういう感じの設定が必要。これによってこのSPとやり取りするための基本的な記述をShibboleth (IdP) が得る。


<EntityDescriptor entityID="https://sp_exp.example.com/simplesamlphp/module.php/saml/sp/metadata.php/default-sp">
  <SPSSODescriptor protocolSupportEnumeration="urn:oasis:names:tc:SAML:1.1:protocol urn:oasis:names:tc:SAML:2.0:protocol">
    <SingleLogoutService Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Redirect" Location="https://sp_exp.example.com/simplesamlphp/module.php/saml/sp/saml2-logout.php/sp_as_spexp"/>
    <AssertionConsumerService Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST" Location="https://sp_exp.example.com/simplesamlphp/module.php/saml/sp/saml2-acs.php/sp_as_spexp" index="0"/>
    <AssertionConsumerService Binding="urn:oasis:names:tc:SAML:1.0:profiles:browser-post" Location="https://sp_exp.example.com/simplesamlphp/module.php/saml/sp/saml1-acs.php/sp_as_spexp" index="1"/>
    <AssertionConsumerService Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Artifact" Location="https://sp_exp.example.com/simplesamlphp/module.php/saml/sp/saml2-acs.php/sp_as_spexp" index="2"/>
    <AssertionConsumerService Binding="urn:oasis:names:tc:SAML:1.0:profiles:artifact-01" Location="https://sp_exp.example.com/simplesamlphp/module.php/saml/sp/saml1-acs.php/sp_as_spexp/artifact" index="3"/>
    <AssertionConsumerService Binding="urn:oasis:names:tc:SAML:2.0:profiles:holder-of-key:SSO:browser" Location="https://sp_exp.example.com/simplesamlphp/module.php/saml/sp/saml2-acs.php/sp_as_spexp" index="4"/>
    <KeyDescriptor>
      <ds:KeyInfo xmlns:ds="http://www.w3.org/2000/09/xmldsig#">
        <ds:X509Data>
          <ds:X509Certificate>MII(ごーにょごにょ
ごーにょごにょ
ぽーにょぽにょ
さかなのこ</ds:X509Certificate>
        </ds:X509Data>
      </ds:KeyInfo>
    </KeyDescriptor>
  </SPSSODescriptor>
  <ContactPerson contactType="technical">
    <GivenName>Hansode</GivenName>
    <SurName>San</SurName>
    <EmailAddress>hansode@example.com</EmailAddress>
  </ContactPerson>
</EntityDescriptor>

X509Certificateで囲まれている部分をサーバの証明書とする。これがShibboleth (IdP) から送られるAssertionを暗号化する際の公開鍵を含んでる。

＃ ついでに、Shibbolethのattribute-filter.xmlでこのSPに対して公開したい属性も書くこと。これも、重要だよ

次にSimpleSAMLphpの方で上記のIdPを受け入れてかつAssertionを復号化するための設定を書く。
  • metadata/saml20-idp-remote.php の上記Shibboleth IdP に該当する設定に 'assertion.encryption' => 'TRUE' を追加
  • config/authsources.php の当該SP設定に privatekey (秘密鍵へのパス) を追加
saml20-idp-remote.phpのあれこれは大体こういう感じになるはず。

$metadata['https://idp_shibboleth.example.com/idp/shibboleth'] = array (
  'name' => 'Shibboleth',
  'metadata-set' => 'saml20-idp-remote',
  'entityid' => 'https://idp_shibboleth.example.com/idp/shibboleth',
  'SingleSignOnService' =>
  array (
    0 =>
    array (
      'Binding' => 'urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Redirect',
      'Location' => 'https://idp_shibboleth.example.com/idp/profile/SAML2/Redirect/SSO',
    ),
  ),
  'certData' => 'しょーめーしょ',
  'NameIDFormat' => 'urn:oasis:names:tc:SAML:2.0:nameid-format:transient',
  'assertion.encryption' => 'TRUE',
);

ローカルで試した限りだと metadata/saml20-sp-hosted.php の privatekey は見にいってくれないので注意。今回は公開鍵証明なのでsaml20-idp-remote.phpへの (共有鍵を用いた暗号化・復号化のための) sharedkeyの設定も行わない(このあたりのドキュメントも参照)

○ 自力でたどり着く道

このレベルですら結構試した例がWebにないのだが、要求としてはまぁまぁ普通のレベルの話。読むべきは以下のログなど

  • shibboleth-idp の idp-process.log (変なmetadata XMLを書いてたまにここに例外が吐かれてるのを見た)
  • SimpleSAMLphpのログ (DEBUGレベルのログを出して、IdPとSPがやりとりしているSAMLも見ると楽)
  • 今回はphpのソースまでたどってprivatekeyがどうやって読まれてるかもチェックした。いわゆるprintfデバッグでしかない
  • エラーメッセージをそのまんま検索する

このブログの人気の投稿

風花雪月

 2019年のゲームなので今更感あるんだけど「なしルナ」（金鹿）までやったのでメモっとく（ただしカジュアル）。主に「難易度」と「ストーリー」について感想を書く。 ちょっと前提 自分があまりこの手のゲームに慣れていないこと、あと「ルナは別格に難しい」なんて説明があったこともあって、色々調べ物をしたり警戒しながらやってたんだけど、ネットなどの情報がだいぶ出揃ってる2021年現在、そういう情報をフルに使いこなすと「ルナでも簡単」なのかなと思う。強いキャラとそれに合った成長プランが大体全部出揃ってるのと、試しながらやらないといけないのとでは、そりゃぁ辛さが違うよね、と。 難易度面 ノーマル、ハードについて、難易度的に特に指摘するほどのものがない…… ノーマルは自分の基準からするとおおよそ「イージー」。1周目から個人的にはハード選べば良かった気がした。この手のTRPGにあんまり慣れがないので、色々安全寄りに倒したら（フリー戦闘とかね！）後半がダルダルになってしまった。とはいえ、これは振り返ってそう思うのであって、はじめてやったときに計略が全く使いこなせてなかったり色々システムの基本を追いかけられてなかった中では、妥当かもなとも思う面がある。 基本的に、このゲームはハードですらシステム全体を活用する必要があまりない。一方、ルナだとシステムをそれなりに活用しないと辛いので、ルナがコアなプレイヤーの標準難易度ってことになる気がする。 一方、じゃぁ「標準難易度」としてルナが丁度よいかというと、こちらは、なんというか「ピーキー」で、妙にキッツキツにしすぎているところが目立ってしまって、逆に若干息苦しい。 後で書くけど、DLCの煤闇の章はルナに近接していて、かつ敵が単体で跳ね回る感じではなく、敵の総数がしっかりこちらを押してくる感じがより好印象だった。しかも物語が短くコンパクト。良い。 ルナで厳しく管理しないと行けないと思った要素は後で述べる。 「引き継ぎありハード」のあと、そのまま「引き継ぎなしルナティック」（なしルナ）にチャレンジした（3周目でなしルナ）。「ありルナ」をちょっと試したのだけど、EP.3くらいには「これは後半ダレる！」ってのが目に見えたので、「なしルナ」一直線で、これはちょっとドキドキした。 ルナの前半は面白くもないパズルゲーという感じで、敵の攻撃力があまりに高いので戦
続きを読む

pemって言ったら改行も仕様に含むんだよもん

冗談じゃねぇ、と思ったけどPEMはBASE64を使っていてBASE64はMIMEの仕様の一部で、とたどっていった結果、一行あたりの制約がPEMの仕様に漏れでてくる、ということのようだ。 http://ja.wikipedia.org/wiki/Base64 https://bitbucket.org/hdknr/openidcx/issue/61/certs-pem どうしてそんなことになったかというと、OpenSSLで鍵を読み込んでいるときに、ファイル経由でpemを読んだら問題なかったのに、それをメモリ上にのっけてやってみたらだめだったという事件の流れ。データの違いは改行の違いだけで「この改行って意味があるの！？」とかびびった。 具体的には、PEM_read_bio_PrivateKey() が "bad base64 decode" とか言い出した。そんなわけあるんかいな、と思ったら、あったのだ。 メモリ上にマッピングするときに「改行なんて要らないよね」とか言った自分が悪い。いや、しかし…… PEMというのは -----BEGIN CERTIFICATE----- MIICnjCCAYYCCQCvgY9YjPLo2DANBgkqhkiG9w0BAQUFADARMQ8wDQYDVQQDEwZ1 YnVudHUwHhcNMTIxMDAzMDkyOTM1WhcNMjIxMDAxMDkyOTM1WjARMQ8wDQYDVQQD EwZ1YnVudHUwggEiMA0GCSqGSIb3DQEBAQUAA4IBDwAwggEKAoIBAQC8lP+hcVM3 ... Qjyuxx//vDtL53k92bKb2orQkL/3u/cF4ynwy6p646UkEyrQAtbUS1O/F91ZG6k9 GigCBfK8xKa5yMJ7vQQk/vmkrI+pfqc0G4uKV/lvCSmPkXqjxgA/6OvRStazr9Jt LA0gcsiaR0HwBMYe4ESZb3vzKyQKQZwr4SbfLQWPr8DA09kC3nxBo2hAhLYWptlz c9u9i7DWOPMNDxDQvXl+ibG/jqSumEONN+493z5uj/awqSt9lUyPVU7Ngn54FeVN 1iU= -----END CER
続きを読む

LibreOfficeで表紙、目次、本体でフッターのページ番号のスタイルを変える

イメージ
○ やりたいこと 次のようなドキュメントをLibreOfficeで作りたいの 表紙 (フッターのページ番号はなし) 目次 (フッターのページ番号はローマ数字で例えば i〜iii) 本文 (フッターのページ番号はリセットされて例えば 1〜40) ○ 覚えとく概念 「書式(O)」の「スタイルと書式設定」で段落のスタイルとかを設定できます。 これの内、 段落スタイル を使って色々楽しくやる方法については、以下の本を参照してくだされ。 「スタイルと書式設定」の4つめのボタンが「ページスタイル」の設定です。今回フッターをページごとに変える際にも使います。 ○ 表紙のページスタイルを「最初のページ」にする まぁ簡単ですな ○ 表紙のページで「改ページ」するとともにスタイルもリセットする 「挿入(I)」から「任意区切り」を選んで、改ページを選択します。 ここで「スタイル」ってありますね。ここで次のページのスタイルを設定します。 言い方変えると、改ページしない限り、「次ページのスタイルを変える」ことは原則できません。例外が各ページスタイルで設定されている「次に続くスタイル」です。 基本的にこの項目は「左右見開き」とかそういう限定された時にしか使えませんね。 リセットして、目次用のスタイルを上記「区切りの挿入」で指定します。 ああ、「目次」なんていうページスタイルがLibreOfficeにはない。 というわけで作ります。「スタイルと書式設定」のページスタイルの項で右クリック、「新規作成」を選択します。ここの読者がこんなところでハマると信じたくはないな。……信じとぅない！ 「ページ」タブが重要。最初に「フッターのページ番号をローマ数字にする」って言ったわけで。 これで目次用のスタイルが出来たので、改ページと一緒に次のページスタイルをこれにします。あと、「ページ番号の変更」で1を選ぶのを忘れない。 ○ 目次挿入 「挿入(I)」の「目次と索引 >> 目次と索引」を使います。上の本がちょっとだけ詳しいから省略。 ○ フッターにページ番号入れる。 フッターあたりをクリックして適当にやります。適当に。 フッターを中央寄せ
続きを読む