Secioss Identity Suite Cloud Edtion SP
Secioss Identity Suite Cloud Editionは、クラウドコンピューティング環境においてSAML 2.0、OpenID 2.0によるシングルサインオンやSOAP通信によるアカウント同期をサイト間で実現するソフトウェアです。
Secioss Identity Suite Cloud Editionは、SP（Service Provider）とIDP（Identity Provider）から構成されており、Secioss identity Suite Cloud Edition SP（以降Identity Suite Cloud SPとします）をSaaSサイトに導入することで、SaaSサービスに対して以下の機能を簡単に追加することできます。
-
シングルサインオン
SAMLのService ProviderやOpenIDのRelying Partyとして動作し、SAML、OpenIDによるシングルサインオンを行います。SaaSアプリケーションはREST APIによりこのシングルサインオン機能を簡単に認証機能へ組み込むことができます。 -
アカウント同期
SaaSアプリケーションのアカウント管理用SOAP APIを提供し、SOAP経由でのアカウント管理やサイト間でのアカウント同期を実現します。Identity Suite Cloud SPは、SOAP APIで受け付けた更新要求を、LISMによりSaaSアプリケーションのデータベースへ反映します。
さらに、Secioss Identity Suite Cloud Edition IDP（以降Identity Suite Cloud IDPとします）を企業に導入することで、Identity Suite Cloud SPを導入したSaaSサービスとのシングルサインオンやアカウント同期をGUI管理ツールから簡単に設定することができます。
オープンソースプロジェクト
Identity Suite Cloud SPについては、オープンソースソフトウェアとしてGPLライセンスにより公開しています。
商用サービス
Identity Suite Cloud SPに関するコンサルティング、商用サポートサービスについては、こちらへお問合せ下さい。
以下では、Identity Suite Cloud SPの設定方法とシングルサインオン用のREST APIについて解説します。
1. インストール
Identity Suite Cloud SPの推奨環境は以下になります。
-
OS： CentOS 5、RedHat Enterprise Linux 5
-
Webサーバ： Apache 2.2
今回のインストール環境としては、LinuxのCentOS 5を想定しています。
1.1 EPELリポジトリの設定
# wget http://download.fedora.redhat.com/pub/epel/5/i386/epel-release-5-3.noarch.rpm
# rpm -ivh epel-release-5-3.noarch.rpm
1.2 必要なソフトウェアのインストール
# yum install php-pear
# yum install php-xml
# yum install php-pear-Log
# yum install php-pear-HTTP-Request
# yum install php-Smarty
# yum install perl-LDAP
# yum install php-pecl-memcache
# yum install perl-XML-Simple
# yum install perl-Config-General
# yum install perl-Mail-Sendmail
# yum install perl-SOAP-Lite
# yum install perl-CGI-Session
1.3 memcached
# rpm -Uvh memcached
# /sbin/chkconfig --level 345 memcached on
# /etc/init.d/memcached start
1.4 simpleSAMLphp
simpleSAMLphpのサイト（http://code.google.com/p/simplesamlphp/）からソフトウェアをダウンロードして、/usr/share配下に展開してください。
# unzip simplesmalphp_1_4.zip -d /usr/share
# mv /usr/share/simplesamlphp_1_4 /usr/share/simplesamlphp
# chown -R apache.apache /usr/share/simplesamlphp
ApacheからsimpleSAMLphpへアクセスできるように設定を行います。
# vi /etc/httpd/conf.d/simplesamlphp.conf
Alias /simplesaml /usr/share/simplesamlphp/www
1.5 PHP OpenID Library
OpenID Enabledのサイト（http://openidenabled.com/php-openid/）からPHP OpenID Library 2をダウンロードし、/usr/share/pear配下にコピーします。
# bzip2 -cd php-openid-2.1.3.tar.bz2 | tar xvf -
# cp -r php-openid-2.1.3/Auth /usr/share/pear
1.6 Identity Suite Cloud SP
http://sourceforge.jp/projects/secioss-auth/releases/からsecioss-idsuite-cloud-sp-1.0.x.tgzをダウンロードして下さい。
1.6.1 siscloudのインストール
secioss-idsuite-cloud-sp付属のsiscloudパッケージをインストールします。
# tar zxvf secioss-idsuite-cloud-sp-1.0.x.tgz
# cd secioss-idsuite-cloud-sp-1.0.x
# tar -C /usr/share -zxvf software/siscloud-1.0.x.tgz
# mv /usr/share/siscloud-1.0.x /usr/share/siscloud
# chown -R apache.apache /usr/share/siscloud
# cp /usr/share/sisclud/cgi/* /var/www/cgi-bin
# chown apache.apache /usr/share/simplesamlphp/config
Apacheからsiscloudへアクセスできるように設定を行います。
# vi /etc/httpd/conf.d/siscloud.conf
Alias /siscloud /usr/share/siscloud/www
1.6.2 LISMのインストール
secioss-idsuite-cloud-sp付属のLISMをインストールします。
# rpm -Uvh rpm/*.rpm
※RedHat Enterprise Linux 5、CentOS 5以外のOSの場合はsourceフォルダのソースをコンパイルしてインストールして下さい。
インストール手順はLISMのサイトをご覧下さい。
2. 設定
2.1 SAML認証の設定
# cd /usr/share/simplesamlphp
# cp config-templates/config.php config
# cp config-tempates/authsources.php config
# cp metadata-templates/{saml20-idp-remote.php,saml20-sp-hosted.php} metadata
# chown apache.apache metadata/*
# vi metadata/saml20-sp-hosted.php
$metadata = array( /*
* Example of a hosted SP
*/
'__DYNAMIC:1__' => array(
'host' => '__DEFAULT__'
) );
"__DYNAMIC:1__"の部分にService ProviderのIDを設定して下さい。このIDは、SAMLアサーションの発行者として使用され、Identity Suite Cloud IDPにおいてSaaSサービスのSAML認証の設定に必要となります。
2.2 Identity Suite Cloud SPの設定
2.3.1 認証の設定
# vi /usr/share/siscloud/conf/config.ini
memcache_host = <memcachedのホスト名>
trust = <認証を許可するサーバのホスト名の正規表現>
※memcachedのホスト名はスペースで連結して複数記述することができます。
2.3.2 REST APIの設定
REST APIにアクセスするためのユーザとパスワードを登録します。
# htpasswd -c /etc/httpd/conf/.htpasswd <ユーザ>
2.3.2 アカウント同期の設定
Identity Suite Cloud SPは、SOAP APIから更新リクエストを受け付け、LISMによってSaaSアプリケーションのデータベースやLDAPのアカウントを更新します。
SOAP APIの設定ファイルを以下のように記述して下さい。
# vi /var/www/cgi-bin/soaplism.conf
admin = <アカウント同期サービスの管理ユーザ>
adminpw = <管理ユーザのパスワード>
syncdir = <LISM用ディレクトリ>
conf = <LISMの設定ファイル>
LISMの設定ファイルlism.confには、更新対象のデータベース、またはLDAPの設定を行います。
LISMの設定方法については、LISMのサイトをご覧下さい。
ただし、Identity Suite Cloud SPのアカウント同期では、LISMの設定に以下の制限があります。
-
更新対象のデータは１つ
-
<data><container><rdn>の値には、"o=lism"を設定
さらに、Identity Suite Cloud IDPをマルチテナント構成として、複数の企業毎にアカウント同期を行う場合には、LISMのディレクトリツリーが、以下の構成となるようにLISMを設定する必要があります。
テナントIDは各企業に割り振られた識別子で、そのエントリの配下に各企業のアカウントを格納します。
Identity Suite Cloud IDPのアカウント同期の設定では、このテナントIDが必要となります。
マルチテナントに対応したオープンソースポータルLiferayを例としてLISMの設定の一部を例示します。
lism.conf
<config>
<data name="Liferay">
<container>
<rdn>o=lism</rdn>
</container>
<storage name="SQL">
<dsn>DBI:mysql:lportal:localhost</dsn>
<admin>admin</admin>
<passwd>secret</passwd>
<initquery>set names utf8</initquery>
<object name="Tenant">
<table>Company</table>
<id>
<column>companyId</column>
</id>
<oc>organization</oc>
<rdn>o</rdn>
<attr name="o">
<column>webId</column>
</attr>
</object>
<object name="User">
<container>
<oname>Tenant</oname>
<joinwhere>User_.companyId = %c</joinwhere>
</container>
<subcontainer>
<rdn>ou=People</rdn>
<oc>organizationalUnit</oc>
</subcontainer>
<table>User_</table>
<id>
<column>userId</column>
</id>
<oc>inetOrgPerson</oc>
<oc>organizationalPerson</oc>
<oc>Person</oc>
<rdn>uid</rdn>
<attr name="uid">
<column>screenName</column>
</attr>
<attr name="sn">
<selexpr>Contact_.lastname</selexpr>
<fromtbls>Contact_</fromtbls>
<joinwhere>User_.contactId = Contact_.contactId</joinwhere>
</attr>
<attr name="givenname">
<selexpr>Contact_.firstname</selexpr>
<fromtbls>Contact_</fromtbls>
<joinwhere>User_.contactId = Contact_.contactId</joinwhere>
</attr>
<attr name="userpassword">
<column>password_</column>
</attr>
<attr name="mail">
<column>emailAddress</column>
</attr>
...
</object>
...
</data>
</config>
2.4 ログの設定
シングルサインオンとID同期のログは、それぞれsyslogのlocal5、local4に出力します。
/etc/syslog.confに以下の設定を追記して、syslogデーモンを再起動して下さい。
local5.* -/var/log/auth.log
local4.* -/var/log/lism.log
3. REST API
3.1 IDP設定
SAML認証のIDPの設定として、Identity Suite Cloud IDPの情報を、Identity Suite Cloud SPに対して送信します。
�� IDPの設定値として、以下のパラメータをPOSTします。
-
user： APIにアクセスするユーザ
-
password： APIにアクセスするパスワード
-
idp： IDPサーバのSAMLアサーションの発行者
-
login： IDPのログインページのURL
http://<IDPのホスト名>/simplesaml/saml2/idp/SSOService.php -
logout： IDPのログアウトページのURL
http://<IDPのホスト名>/simplesaml/saml2/idp/SingleLogoutService.php -
certfinterprint： IDPのSAML認証用証明書から生成したfingerprint
※証明書のfingerprintは以下のコマンドで生成することができます。
# cat server.crt | openssl x509 -fingerprint
�� Identity Suite Cloud SPは、IDPの設定を追加して、結果をXML形式のレスポンスとして返します。
レスポンスの形式は、以下になります。
<response>
<code>エラーコード</code>
<message>メッセージ</message>
</response>
-
エラーコード： 成功 0、エラー 0以外
-
メッセージ： エラーメッセージ
3.2 認証
Identity Suite SPに対して、SAML、またはOpenIDによる認証を依頼し、その結果を受け取ります。
�� ユーザがSaaSサイトにアクセスします。
�� 認証が済んでいない場合、クエリストリングに以下の値を付加して、SAML認証の場合"/siscloud/saml"、OpenID認証の場合"/siscloud/openid"にリダイレクトします。
-
back： SaaSサイトのログインページのURL
-
idpentityid： SAML認証の場合、IDPの識別子として3.1項で設定したIDPサーバの発行者を指定
�� Identity Suite Cloud SPは、SAML認証の場合SAMLのIDPに対して、OpenID認証の場合OpenIDのOPに対して、認証要求を送信し、ユーザはIDP、OPに対してログインを行います。
�� ユーザの認証に成功した場合、クエリストリングbackで指定したURLに、リダイレクトでトークン（secioss_token）をPOSTします。
�� トークンを取得したSaaSサイトは、クエリストリングsecioss_tokenにトークンを設定して、"/siscloud/api/login.php"にアクセスします。
�� Identity Suite Cloud SPは、トークンの値を確認し、XML形式のレスポンスを返します。
レスポンスの形式は以下になります。
<?xml version="1.0" encoding="UTF-8"?>
<response>
<code>エラーコード</code>
<userid>ユーザ名</userid>
<idpentityid>IDPの識別子</idpentityid>
</response>
-
エラーコード： 成功 0、エラー 0以外
-
ユーザ名： 認証を行ったユーザ名
-
IDPの識別子： IDPサーバのFQDN
�Д汽ぅ箸硫萍未鯢充┐靴泙后�
3.3 ログアウト
SaaSサイトのログアウト処理後、"/simplesaml/saml2/sp/SingleLogoutService.php"にリダイレクトして下さい。
4. サンプルプログラム
Identity Suite Cloud SPには、SAML認証、OpenID認証用のサンプルプラグラムが付属しています。
4.1 設定
# vi /usr/share/siscloud/www/login_sample.php
$idp = http://<Identity Suite Cloud SPのホスト名>/siscloud/api/login.php
$idp = <Identity Suite Cloud IDPのホスト名>
4.2 動作確認
http://<Identity Suite Cloud SPのホスト名>/siscloud/login_sample.phpにアクセスします。
��SAML、またはOpenIDの認証を行います。
-
SAML認証： SAMLのログインをクリックして下さい。
-
OpenID認証： OpenID URLにOpenIDのURLを入力して下さい。OpenIDのOPがIdentity Suite SPの場合は、http://<Identity Suite IDPのホスト名>/siscloud/auth/index.phpと入力して下さい。
�▲蹈哀ぅ鷂紂�Identity Suite Cloud SPのレスポンスが表示されます。
- by
- at 14:44
