Steffen Hofmann Freie Universität Berlin ZEDAT Identity and Customer Management (ICM) Aktueller Stand Shibboleth IdP3

Transkript

1 Steffen Hofmann Freie Universität Berlin ZEDAT Identity and Customer Management (ICM) Aktueller Stand Shibboleth IdP3

2 Übersicht Bericht vom Shibboleth IdP3 Installationssprint in Berlin Planung nächster Installationssprint Anleitung im DFN-AAI-Wiki Aktuelle Version Ausschnitte aus der Architektur mit Anpassungsmöglichkeiten 2

3 Bericht vom Shibboleth IdP3 Installationssprint in Berlin am 02./ eine wirklich heiße Veranstaltung >32 ( und kuschelig war es auch) 32 Teilnehmer (ursprünglich max. 25 Teilnehmer geplant) sehr gute Vorbereitung der Dokumentation von Wolfgang Pempe als Leitfaden durch die Installation fast alle hatten am Ende einen lauffähigen Shibboleth IdP3 erster Tag sehr produktiv, viel gegenseitige Unterstützung in kleinen Gruppen am zweiten Tag war ein wenig die Luft raus insgesamt positive Resonanz Wiederholung mit speziellen Teilaspekten gewünscht 3

4 Planung nächster Installationssprint, Teil 1 wieder in Berlin im Sommer von Donnerstag Mittag bis Freitag Abend Räumlichkeiten an. der FU nur in der vorlesungsfreien Zeit: bis außerhalb der Schulferien: (Niedersachsen) bis (Bayern) ZKI etc. schon Ende September Vorschlag: hier im Seminaris Ende Mai/Anfang Juni (max. 185 pro Person) wie viele Teilnehmer? 4

5 Planung nächster Installationssprint, Teil 2 Themen: Webseitenanpassungen mit Velocity Eigene Pre- und Postauthentication-Flows 2-Faktor-Authentifizierung. 5

6 Anleitung im DFN-AAI-Wiki Berücksichtigung verschiedener Linux-Distributionen Berücksichtigung verschiedener Java-Versionen viele Besonderheiten, die beim Installationsprint aufgefallen sind, mit aufgenommen weitere Quellen: 6

7 Aktuelle Version Seit Version kann (wohl) produktiv eingesetzt werden für November Version angekündigt ( code freeze): u.a. aus einem Login-Flow können weitere Login-Flows als Subflows aufgerufen werden Unterstützung von Kerberos-Authentifizierung mit Kerberos Service-Ticket vom Client (Browser) neue Implementierung für Client-Storage-Service mit optional HTML5 Locale Storage Dokumentation wird stetig ergänzt bzw. verbessert, z.b. im Bereich User Consent 7

8 Ausschnitte aus der Architektur, sso-abstract-flow, Teil 1 1. DoProfileWork 2. CheckForInitialAuthentication 3. PreInitialSetup (wenn z.b. kein AuthenticationContext vorhanden ist) 4. DoInitialAuthenticationSubflow (wenn z.b. kein AuthenticationContext vorhanden ist) 5. PostInitialSetup 8

9 Ausschnitte aus der Architektur, sso-abstract-flow, Teil 2 1. DoAuthenticationSubflow 2. ResolveAttributes 3. AttributeResolution (wenn Attribute geholt werden müssen) 4. CheckPostAuthnInterceptContext 5. DoPostAuthnInterceptSubflow (wenn postauthn-subflows konfiguriert sind) 6. BuildResponse 9

10 Ausschnitte aus der Architektur, initial-authn-flow 1. AuthenticationSetup 2. TestForSession 3. FilterFlows 4. SelectAuthenticationFlow 5. CallAuthenticationFlow 6. CallSubjectCanonicalization 7. FinalizeAuthentication 8. UpdateSessionWithAuthenticationResult 10

11 Eigene Flows in ${idp.home}/flows/ viel über Namenskonvention, z.b. intercept/myownpostauthnflow/my-flow.xml in ${idp.home}/conf/globals.xml zugehörige Bean, z.b. bean id="intercept/myownpostnauthflow" in ${idp.home}/conf/relying-party.xml (Reihenfolge entscheidend) <bean id="shibboleth.defaultrelyingparty" parent="relyingparty"> <property name="profileconfigurations"> <list> <bean parent="shibboleth.sso p:postauthenticationflows= "#{ {'terms of use', 'attribute release', 'myownpostnauthflow'} }" /> <bean parent="saml2.sso" p:postauthenticationflows= "attribute release" /> </list> </property> </bean> 11

12 Anpassung des Subjects /PrincipalName in ${idp.home}/conf/c14n/subject-c14n.xml <util:list id="shibboleth.postloginsubjectcanonicalizationflows"> <ref bean="c14n/x500" /> <ref bean="c14n/simple" /> </util:list> in ${idp.home}/conf/c14n/simple-subject-c14n-config.xml <! Simple transforms to apply to username after authentication. > <util:constant id="shibboleth.c14n.simple.lowercase" static field="java.lang.boolean.false"/> <util:constant id="shibboleth.c14n.simple.uppercase" static field="java.lang.boolean.false"/> <util:constant id="shibboleth.c14n.simple.trim" static field="java.lang.boolean.true"/> <! Apply any regular expression replacement pairs after authentication. > <util:list id="shibboleth.c14n.simple.transforms"> <! bean parent="shibboleth.pair" p:second="$1" / > </util:list> 12

13 StorageService Client-seitig: ServletRequestScopedStorageService (browser session cookie) ServletRequestScopedStorageService (long-lived browser cookie) Server-seitig: MemoryStorageService ( wie im IdP2) MemcachedStorageService ( Cluster geeignet!) JPAStorageService ( Cluster geeignet!) 13

14 JPAStorageService JPA = Java Persistence API SQL-Datenbank (als Cluster) idp.session.trackspsessions=true in idp.properties MySQL: CREATE TABLE `StorageRecords` ( `context` varchar(255) NOT NULL, `id` varchar(255) NOT NULL, `expires` bigint(20) DEFAULT NULL, `value` longtext NOT NULL, `version` bigint(20) NOT NULL, PRIMARY KEY (`context`,`id`) ) 14

15 JPAStorageService, SQL beim ersten SP, Teil 1 INSERT INTO StorageRecords ( expires, value, version, id, context ) VALUES ( , '{ "ts": , "nam":"superman@fu berlin.de", "v4":" " }', 1, 'tsruwtulbnoisses', '_session' ); 15

16 JPAStorageService, SQL beim ersten SP, Teil 2 INSERT INTO StorageRecords ( expires, value, version, id, context ) VALUES ( , '{ "id":"authn/password", "ts": , "princ":[ { "typ":"net.shibboleth.idp.authn.principal.usernameprincipal", "nam":"superman@fu berlin.de" }, <...> { "typ":3, "nam":"urn:oasis:names:tc:saml:1.0:am:password" }, { "U":"superman } ] }', 1, 'tsruwtulbnoisses', 'authn/password' ); 16

17 JPAStorageService, SQL beim ersten SP, Teil 3 UPDATE StorageRecords SET expires= , value= '{ "ts": , "nam":"superman@fu berlin.de", "v4":" ", "flows":["authn/password"] }', version=2 WHERE id='tsruwtulbnoisses' AND context='_session'; 17

18 JPAStorageService, SQL beim ersten SP, Teil 4 INSERT INTO StorageRecords ( expires, value, version, id, context ) VALUES ( , 'net.shibboleth.idp.saml.session.saml2spsession: { "id":" test.fu berlin.de/shibboleth", "ts": , "nam":"<saml2:nameid Format=\\"urn:oasis:names:tc:SAML:2.0:nameid format:transient\\" NameQualifier=\\" berlin.de/idp3\\" SPNameQualifier=\\" test.fu berlin.de/shibboleth\\" xmlns:saml2=\\"urn:oasis:names:tc:saml:2.0:assertion\\"> Aye...Aye= </saml2:nameid>", "ix":"_39f771963cc57a41dd9fffbe00bd1598"}', 1, 'tsruwtulbnoisses', ' test.fu berlin.de/shibboleth' ); 18

19 JPAStorageService, SQL beim ersten SP, Teil 5 UPDATE StorageRecords SET expires= , value= '{ "ts": , "nam":"superman@fu berlin.de", "v4":" ", "flows":["authn/password"], "svcs":[" test.fu berlin.de/shibboleth"] }', version=3 WHERE id='tsruwtulbnoisses' AND context='_session'; 19

20 ENDE FRAGEN? 20

21 Steffen Hofmann KONTAKT 21