Shibboleth-IdP 2.x Verstehen, Erweitern, Anwenden

Transkript

1 Shibboleth-IdP 2.x Verstehen, Erweitern, Anwenden Manuel Haim, DFN-Betriebstagung, Forum AAI

2 In diesem Vortrag... Verstehen Ablauf Shibboleth-Login Überblick Konfigurationsdateien Überblick Attributweitergabe Erweitern Überblick Java-Webanwendungen und Tomcat Überblick Shibboleth-Installationsdateien Beispiele für Erweiterungen Anwenden Tipps zum Performance-Tuning Shibboleth-Login für Kiosk-Systeme Neues zum IdP Memcached StorageService 2

3 (1) Verstehen 3

4 4

5 Beispielanwendung! Beispielanwendung! 5

6 ++ Webapplikation Webapplikation (web.xml) (web.xml) war/idp.war war/idp.war bzw. bzw. src/main/webapp/ src/main/webapp/ 6

7 Der lange Weg der Attribute bis zur Webanwendung......und die unterschiedlichen Attribut-Bezeichnungen: 7

8 (2) Erweitern 8

9 Technischer Hintergrund Beim Shibboleth-IdP handelt es sich um eine JavaWebanwendung Ansammlung von Java-Klassen,.jsp- und weitere Dateien Konfiguration in Datei./WEB-INF/web.xml alle Dateien lassen sich zu einer.war-datei bündeln Diese läuft auf einem Java-Applikationsserver bzw. JavaServlet-Container (z.b. Apache Tomcat) z.b..war-datei nach Tomcat kopieren, wird autom. gestartet Erweiterungen müssen i.d.r. in Java implementiert und in die Webanwendung integriert werden z.b. Eclipse IDE nutzen, dabei.jar-libs aus Shibboleth-IdP und Tomcat (oder deren.java-sourcen) includieren 9

10 Java-Servlets beantworten den HTTP-Request Java-Filter werden URL-bezogen & pro Webanwendung definiert zum Pre- / Post-Processing (z.b. Session-Verwaltung im IdP) Java-Valves ( Ventile ) werden für alle Webanwendungen definiert zum Pre- / Post-Processing (z.b. HTTP-Header auswerten, Logging,...) 10

11 Erweiterungsstrategien und Beispiele (Java-Klassen) Tomcat-Valve (server.xml) Applikationsserver-Ebene Applikationsserver-Ebene unimr.tomcat6.proxiedsslvalve org.apache.catalina.valves.remoteipvalve Applikations-Ebene Servlets und Filter (web.xml) und jsp-dateien Applikations-Ebene UniMrUsernamePasswordLoginServlet uapprove.intercepter UniMrMemcachedStorageServiceFilter UniMrLogoutServlet UniMrMemcachedLoggerServiceFilter UniMrSPAccessFilter Spring-Beans (handler.xml, internal.xml, service.xml) UniMrLogin UniMrMemcachedStorageService UniMrMemcachedLoggerService Unter-Ebene Unter-Ebene (hier (hier SpringSpringFramework) Framework) => => Beim Beim Shibboleth-IdP Shibboleth-IdPmüssen müssen pro proanwendungsfall Anwendungsfall häufig häufig zwei zwei separate separate Java-Klassen Java-Klassen implementiert implementiert werden werden (z.b. (z.b. Servlet Servlet und und Spring-Bean) Spring-Bean) 11

12 Da bleibt für Entwickler und Nutzer nur eine Frage... Wohin mit den Plugins??? 12

13 13

14 Entwicklungs- bzw. Installationszyklus für Shibboleth-IdP-Plugins Java-Klasse(n) programmieren, dann als.jar-datei bündeln auf den Test-Server kopieren (ins lib-verzeichnis des Install-Pakets) Ggf..xml-Konfigurations- und.jsp-ressourcendateien anpassen install.sh ausführen und neues war-archiv nach Tomcat kopieren Tipp: besser ein Context Deployment Fragment (xml-datei) anlegen und darin auf das war-archiv verweisen Tomcat neustarten Shibboleth-IdP nutzen und Log-Dateien mitlesen ;-) 14

15 Populäres Beispiel: uapprove (L. Hämmerle, SWITCH.ch) Idee: Benutzer soll den Nutzungsbedingungen sowie der Weitergabe seiner Attribute an die einzelnen SPs zustimmen Umsetzung: Filter und Servlets ch.switch.aai.uapprove.intercepter filtert die HTTP-Requests; bei Vorliegen einer erfolgreichen Authentifizierung wird der Request an uapprove weitergereicht ch.switch.aai.uapprove.tou.touservlet Terms of Use Zustimmungsseite zu Nutzungsbedingungen ch.switch.aai.uapprove.ar.attributereleaseservlet Zustimmungsseite zur Attributweitergabe 15

16 Beispiel: UniMR Memcached Logger Idee: Alle genutzten SPs (Authentifizierungen) an zentraler Stelle mitloggen, um später ein zentrales Logout anzubieten angefragt von der Uni Bamberg als Ersatz für Logfile-Parsing Zentrales Logout über eigenständigen Logout-Server (nur für uni-eigene SPs) Logging in einer oder mehreren Memcached-Instanzen Logdaten sind auch noch nach IdP-Session-Timeout verfügbar Memcached = In-Memory Key-Value-Store Key = mclog!<principalname> Value = <spentityid>!<unixtime> <spentityid>!<unixtime> Umsetzung via Spring-Bean und Filter und spymemcached.jar 16

17 Implementierung UniMR Memcached Logger (1) Spring-Bean public public class class UniMrMemcachedLoggerService UniMrMemcachedLoggerService {{ /** /** Constructor. Constructor. */*/ public public UniMrMemcachedLoggerService(String UniMrMemcachedLoggerService(String servers, servers, int int exp) exp) {{ for(string for(string address address :: servers.split("\\s")) servers.split("\\s")) {{ clients.add(new clients.add(new UniMrMemcachedLoggerClient(address, UniMrMemcachedLoggerClient(address, exp)); exp)); /** /**Add Add value value to to space-separated space-separated list list of of spentityid!unixtime spentityid!unixtime values. values. */*/ public public void void add(string add(string key, key, String String value) value) {{ for(unimrmemcachedloggerclient for(unimrmemcachedloggerclient client client :: clients) clients) {{ client.add(key, client.add(key, value); value); 17

18 Implementierung UniMR Memcached Logger (2) Filter public public class class UniMrMemcachedLoggerFilter UniMrMemcachedLoggerFilter implements implements Filter Filter {{ private private static static UniMrMemcachedLoggerService UniMrMemcachedLoggerService mc; mc; public public void void init(filterconfig init(filterconfig filterconfig) filterconfig) throws throws ServletException ServletException { } { } public public void void dofilter(servletrequest dofilter(servletrequest request, request, ServletResponse ServletResponse response, response, FilterChain FilterChain filterchain) filterchain) throws throws IOException, IOException, ServletException ServletException {{ HttpServletRequest HttpServletRequest httprequest httprequest == (HttpServletRequest) (HttpServletRequest) request; request; //// Some Some lines lines taken taken from from uapprove... uapprove... LoginContext LoginContext logincontext logincontext == HttpServletHelper.getLoginContext(storageService, HttpServletHelper.getLoginContext(storageService, context, context, httprequest); httprequest); ifif (logincontext (logincontext == == null) null) {{ else else ifif (logincontext.getauthenticationfailure() (logincontext.getauthenticationfailure()!=!= null) null) {{ else else ifif (request.getparametermap().containskey("samlrequest")) (request.getparametermap().containskey("samlrequest")) {{ log.trace("unbind log.trace("unbind login login context."); context."); HttpServletResponse HttpServletResponse httpresponse httpresponse == (HttpServletResponse) (HttpServletResponse) response; response; HttpServletHelper.unbindLoginContext(...); HttpServletHelper.unbindLoginContext(...); else else {{ nächste nächste Seite Seite 18

19 Implementierung UniMR Memcached Logger (3) Filter (Fortsetzung) else else {{ final final boolean boolean isprincipalauthenticated isprincipalauthenticated == logincontext.isprincipalauthenticated(); logincontext.isprincipalauthenticated(); if(isprincipalauthenticated) if(isprincipalauthenticated) {{ final final String String principalname principalname == logincontext.getprincipalname(); logincontext.getprincipalname(); final final String String relyingpartyid relyingpartyid == logincontext.getrelyingpartyid(); logincontext.getrelyingpartyid(); if(mc==null) if(mc==null) {{ log.debug("unimrmemcachedloggerservice log.debug("unimrmemcachedloggerservice not not available!"); available!"); else else {{ mc.add(principalname, mc.add(principalname, relyingpartyid, relyingpartyid, httprequest); httprequest); 19

20 Implementierung UniMR Memcached Logger (4) Definieren der Spring-Bean in Datei internal.xml <bean <bean id="unimr.shib2.unimrmemcachedloggerservice" id="unimr.shib2.unimrmemcachedloggerservice" class="unimr.shib2.unimrmemcachedloggerservice" class="unimr.shib2.unimrmemcachedloggerservice" depends-on="shibboleth.logbacklogging"> depends-on="shibboleth.logbacklogging"> <constructor-arg <constructor-arg value="idp-memcached.example.org:11211" value="idp-memcached.example.org:11211" /> /> <constructor-arg <constructor-arg value="86400" value="86400" type="int" type="int" /> /> </bean> </bean> Aktivieren in service.xml (..AttributeExporter depends-on=unimr.shib2..) Aktivieren des Filters in Datei web.xml <filter> <filter> <filter-name>unimrmemcachedloggerfilter</filter-name> <filter-name>unimrmemcachedloggerfilter</filter-name> <filter-class>unimr.shib2.unimrmemcachedloggerfilter</filter-class> <filter-class>unimr.shib2.unimrmemcachedloggerfilter</filter-class> </filter> </filter> <filter-mapping> <filter-mapping> <filter-name>unimrmemcachedloggerfilter</filter-name> <filter-name>unimrmemcachedloggerfilter</filter-name> <url-pattern>/*</url-pattern> <url-pattern>/*</url-pattern> </filter-mapping> </filter-mapping> 20

21 Beispiel: UniMR SP-Access-Filter Idee: Nutzung des Shibboleth-IdP bei internen SPs für alle, Zugriff auf externe SPs nur für berechtigte Personen. Umstellung der uni-eigenen Webdienste auf Shibboleth möglich, ohne Benutzer auszugrenzen, die nicht DFN-AAI-konform sind Nur ein Shibboleth-IdP für alle Personen nötig Umsetzung: Filter und Servlet unimr.shib2.unimrspaccessintercepter erweitert uapprove.intercepter, prüft edupersonentitlement auf urn:mace:dir:entitlement:common-lib-terms und führt den Nutzer ggf. zur unten genannten Fehlerseite (falls die entityid des SP nicht auf einer Whitelist steht) unimr-noaccess.jsp zeigt dem Nutzer die Fehlerseite Kein Zugriff 21

22 Implementierung UniMR SP-Access-Filter (1) Angepasste Kopie von ch.switch.aai.uapprove.intercepter public public class class UniMrSPAccessIntercepter UniMrSPAccessIntercepter implements implements Filter Filter {{ private private boolean boolean handleattributerelease(...) handleattributerelease(...) {{ boolean boolean whitelisted whitelisted == relyingpartyid.contains("uni-marburg.de"); relyingpartyid.contains("uni-marburg.de"); if(!whitelisted) if(!whitelisted) {{ //// IfIf SP SPisis not not whitelisted, whitelisted, check check for for common-lib-terms common-lib-terms entitlement. entitlement. boolean boolean commonlibterms commonlibterms == false; false; for(attribute for(attribute attribute attribute :: attributes) attributes) {{ ifif ("edupersonentitlement".equals(attribute.getid())) ("edupersonentitlement".equals(attribute.getid())) {{ commonlibterms commonlibterms == attribute.getvalues().contains( attribute.getvalues().contains( "urn:mace:dir:entitlement:common-lib-terms"); "urn:mace:dir:entitlement:common-lib-terms"); break; break; weiter weiter auf auf nächster nächster Seite Seite 22

23 Implementierung UniMR SP-Access-Filter (2) Angepasste Kopie von uapprove.intercepter (Fortsetzung) //// IfIf common-lib-terms common-lib-terms isis missing, missing, block block user. user. if(!commonlibterms) if(!commonlibterms) {{ ifif (IdPHelper.isPassiveRequest(servletContext, (IdPHelper.isPassiveRequest(servletContext, request)) request)) {{ IdPHelper.setAuthenticationFailure(servletContext, IdPHelper.setAuthenticationFailure(servletContext, request, request, new new PassiveAuthenticationException()); PassiveAuthenticationException()); return return false; false; IdPHelper.redirectToServlet(servletContext, IdPHelper.redirectToServlet(servletContext, request, request, response, response, "/noaccess"); "/noaccess"); return return true; true; /*/*This This results results in in aa no-access-page no-access-page to to be be shown. shown. */*/

24 Beispiel: UniMR Login Handler Kombination aus UsernamePassword- und SSO-Login-Handler: Checkbox zum Aktivieren/Deaktivieren von SSO auf Login-Seite Auswahlfeld für Benutzerdomäne (z.b. Students / Staff) (unterschiedliche JAAS-Konfigurationen für die Domänen nötig) bei forceauthn: Anmeldung unter anderem Username möglich Gastzugang -Button für Kiosk-Systeme (anhand IP-Adresse) IP-Adresse des Nutzers wird zu publiccredentials hinzugefügt (ermöglicht späteren Abruf per Back-Channel im Attribute Resolver) 24

25 Implementierung UniMR Login Handler Viele einzelne Dateien nötig (Download-Link auf Anfrage): META-INF/spring.handlers, UniMrAuthnNamespaceHandler.java UniMrLoginHandlerBeanDefinitionParser.java UniMrLoginHandlerFactoryBean.java META-INF/spring.schemas, schema/unimrlogin-profile-handler.xsd UniMrLoginHandler.java UniMrUsernamePasswordLoginServlet.java UniMrPrincipalHelper.java UniMrPublicCredentials.java Zum Weiterlesen: Anleitung im Shibboleth-Wiki 25

26 (3) Anwenden 26

27 Tipps zum Performance-Tuning Den IdP einmal mit, einmal ohne Plugins testen gibt es Unterschiede in der Performance? Bei Lasttests / Produktivbetrieb das Debug-Logging deaktivieren! Alle Server sollten über genügend RAM verfügen, so dass kein Swap-To-Disk nötig ist! Auch gespiegelte Platten können bremsen! Java-Optionen für Tomcat: --Xmx und -Xms Debug- oder Trace-Logging aktivieren und ein einzelnes Login durchführen nun kann man anhand der Zeitstempel im Logfile sehen, wie viele Millisekunden welche Aktion benötigt 27

28 Neues zum IdP Memcached StorageService Neue Version im Mai 2013 veröffentlicht Codebereinigungen von Ende 2011 (Dank an Petra Berg, HU Berlin) Anpassung an IdP 2.4 (Null-Pointer-Exception behoben) Neue Alternative: Infinispan Storage Service (Paul Hethmon) Diskussion mit Paul Hethmon in shibboleth-users-mailingliste Weitere Alternative: Database Backed Storage Service ebenfalls von Paul Hethmon basiert auf Hibernate 28

29 Funktionsweise: Funktionsweise: Pound mit sticky session. Pound mit sticky session. StorageService StorageServicespeichert speichertalle alle Objekte Objekteimmer immerininlokaler lokalermap. Map. (wg. Java-Objektreferenzen) (wg. Java-Objektreferenzen) StorageService wird bei get()storageservice wird bei get()und undset()-operationen set()-operationenmit mit memcached memcachedabgeglichen. abgeglichen. (BeanUtils.copyProperties()) (BeanUtils.copyProperties()) Ein ServletFilter wird nach Ein ServletFilter wird nach jedem jedemidp-servlet IdP-Servletausgeführt, ausgeführt, um umänderungen Änderungenam amsessionsessionobjekt explizit zurück Objekt explizit zurückininden den StorageService StorageServicezu zuschreiben. schreiben. Daten werden per HashDaten werden per HashFunktion Funktionauf aufmehrere mehrere memcached-instanzen memcached-instanzenverteilt. verteilt. Bei Ausfall eines Servers ist Bei Ausfall eines Servers ist schlimmstenfalls schlimmstenfallsein einneues neues Login am IdP erforderlich. Login am IdP erforderlich. Infinispan InfinispanStorageService StorageServiceund unddatabase DatabaseBacked Backed StorageService StorageServicefunktionieren funktionierensehr sehrähnlich ähnlich:-) :-) 29

30 Anwendungsbeispiel: Shibboleth-Login für die Internet-Nutzung an Kiosk-Systemen Problem: Kiosk-Systeme des Studentenwerks ( Net.Points ) erlauben ggf. anonymen Zugriff zum Internet. Lösung: Eigener Proxy-Server Intranetnutzung weiterhin möglich bei Zugriff auf Internet wird Shibboleth-Login-Seite angezeigt nach Shibboleth-Login muss die Proxy-Seite geöffnet bleiben, sie lädt sich alle 15sec neu und schreibt die IP-Adresse des Net.Points in eine memcached-instanz. 30

31 31

32 Implementierung Proxy-Login url_rewrite_program für squid-proxy: #!/usr/bin/perl #!/usr/bin/perl ## Proxylogin Proxylogin script script -- check check login login for for squid. squid. ## written written on on 14-Sep Sep-2011 by by Manuel Manuel Haim Haim ## based based on on ideas ideas by by ETH ETH Zuerich Zuerich ## Last Last change: change: 28-Jun Jun-2013 use use Cache::Memcached; Cache::Memcached; use use URI; URI; use use URI::Escape; URI::Escape; $ =1; $ =1; ## flush flush all all output output immediately immediately $memd $memd == new new Cache::Memcached Cache::Memcached {{ 'servers' 'servers' => => ["proxylogin.hrz.uni-marburg.de:11211"], ["proxylogin.hrz.uni-marburg.de:11211"], };}; Fortsetzung Fortsetzung nächste nächste Seite Seite 32

33 Implementierung Proxy-Login (2) url_rewrite_program für squid-proxy (Fortsetzung) while while (<>) (<>) {{ ## diamond diamond operator, operator, reads reads files files (line (line by by line) line) params params or or STDIN STDIN chomp; chomp; ## cut cut off off newline newline == split; split; ## split split line line by by spaces spaces $url $url == $X[1]; $X[1]; ## get get the the == split(/\//,$x[2]); split(/\//,$x[2]); ## get get the the client client IP IP(cut (cut off off the the fqdn) fqdn) $user $user == $memd->get("squid:".$ip[0]); $memd->get("squid:".$ip[0]); ## get get the the user user name name of of logged-in logged-in user user ifif ($url ($url =~ =~ /uni-marburg\.de/) /uni-marburg\.de/) {{ ## let let uni-marburg.de uni-marburg.de calls calls pass pass through through print print $X[0]." $X[0]." $url\n"; $url\n"; elsif($user) elsif($user) {{ ## let let url url pass pass through through ifif valid valid login login available available print print $X[0]." $X[0]." $url\n"; $url\n"; else else {{ ## rewrite rewrite any any other other url url ## show show informational informational landing landing page page first: first: print print $X[0]." $X[0]." 307: marburg.de/?".uri_escape($url)."\n"; 33

34 Weiterführende Links Shibboleth: Föderation DFN-AAI: Shibboleth-IdP der Uni Marburg: Eigenentwicklungen (Shibboleth-IdP-Plugins etc.): IdP Memcached StorageService (Eigenentwicklung): 34

35 Danke für Ihre Aufmerksamkeit! Noch Fragen? Gern jetzt im Anschluss :-) sonst per Manuel Haim, Quellennachweis Icons: Crystal Project (GNU LGPL). 35