Versions Compared

Old Version 27

changes.mady.by.user Paul Scott

Saved on

compared with

New Version Current

changes.mady.by.user Paul Scott

Saved on

Key

  • This line was added.
  • This line was removed.
  • Formatting was changed.

Introduktion

Uppgraderingen till Shibboleth IdPv4 är lite mer komplicerad än en vanlig uppgradering av Shibboleth. Innan man uppgradera till v4, måste man har ha redan anpassat konfigurationsfilerna till den nya versionversionen. 

...

Om din IdP version är under 3v3.4 så borde måste du uppgraderar uppgradera till senaste 3.4 version först. De här instruktionerna är testad på IdPer på version 3.4.6.

...

Anpassa IdPv3.4.X konfiguration för IdPv4

Detta steg är väldigt viktigt och mest tidskrävande om man inte redan har gjort det. 

Du måste ha uppdaterat dina konfigurationsfiler (särskillt särskilt attribute-resolver.xml och attribute-filter.xml) till att vara kompatibla med IdP v3.4 och v4 innan du påbörjar uppgradering. Kontrollera loggfilerna för att säkerställa att inga DEPRECATED varnings varningar förekommer. Alla varning varningar måste lösas innan uppgradering till v4. De flesta DEPRECATED varningar förekommer på grund av legacy (IdP v2) konfiguration i attribute-resolver och attribute-filter. De nya standard attribute-resolver och attribute-filter filer finns nedanhär: 

Example of a standard attribute resolver for Shibboleth IdP v3.4.0 v4 and above och Example of a standard attribute filter for Shibboleth IdP v3.4.0 and above

Dessa filer uppfyller de nya rekommendationer för entitetskategorier inom SWAMID. Dessa filer kan dock inte användas rakt av. Det är rekommenderat att utgå från ifrån dessa filer och "migrerar in" lokala anpassningar från nuvarande konfigurationen, sedan testa så mycket som möjligt - helst på en test IdP. Det är rekommenderat att produktionssätta de nya filer ett tag innan uppgraderingen till IdPv4 så man kan säkerställa att attribute resolvern och filtern fungerar som de ska.  

...

Här beskriver vi de steg som har testats och fungerar för SWAMID IdPer som tidigare installerats med hjälp av SWAMIDs idp-installer. Dessa steg är testad på Centos 7 och Debian.

Centos specifik

IdPv4 kräver Java 11. Avinstallera Java 8 och installera Java 11. 

...

Följande steg är samma oavsett om du kör Debian eller Centos. Jetty måste uppgraderas från 9.3 till 9.4. Det är bra att kontrollera dependencies som du kan ha i edit-webapp mappen innan du kör själva Shibboleth uppgraderingen.   

Jetty

Shibboleth IdP v4 kräver Jetty 9.4 och ganska mycket har ändrats jämfört med 9.3. SWAMID operations har därför packeterat paketerat en jetty-base mapp som är anpassad för SWAMID IdPer. Du kan ladda ner den och packa upp i jetty mappen, därefter finns bara några ändringar som du behöver göra. Den Tar-filen är baserad på en jetty-base som Shibboleth projektet publicerar. Det finns mer information om hur man konfigurerar jetty-base hos Shibboleths Wiki (https://wiki.shibboleth.net/confluence/display/IDP4/Jetty94) 

...

Ladda ner SWAMIDs jetty-base och packa upp. Ladda ner : swamid-jetty-base.tar.gz

Code Block
languagebash
# cd jetty-distribution-9.4.32.v20200930
# tar zxf /path/to/swamid-jetty-base.tar.gz

...

  • alla filer under start.d
    • https.12 och idp-backchannel.p12 hanteras nu i separata filer, kontrollera path till filerna och byta "changeit" till det riktiga lösenordet för keystore-filerna.
    • start.ini kan behöva justeras om du vill ändra hur mycket minne Jetty kan använda

...

Code Block
languagebash
title/etc/default/jetty
collapsetrue
export JAVA_HOME=/etc/alternatives/jre_11
export PATH=/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin
export JAVA_OPTIONS="-Didp.home=/opt/shibboleth-idp -Xmx4096M"
export JETTY_HOME=/opt/jetty
export JETTY_BASE=/opt/jetty/jetty-base
export JETTY_USER=jetty
export JETTY_START_LOG=/opt/jetty/logs/start.log
export JETTY_RUN=/tmp

...

Ladda ner och packa upp den senaste version av IdP v4, i skrivande stund 4.0.1. Backa upp din shibboleth-idp mapp innan du uppgraderaruppgradera.

Code Block
languagebash
# cd /opt
# wget http://shibboleth.net/downloads/identity-provider/latest/shibboleth-identity-provider-4.0.1.tar.gz
# tar zxvf shibboleth-identity-provider-4.0.1.tar.gz
# cp -r shibboleth-idp shibboleth-idp.orig

...

Vi har sett att det finns äldre versioner av httpcore, httpclient, commons-dbcp2, commons-pool2 under mapp /opt/shibboleth-idp/edit-webapp/WEB-INF/lib. Om du har dessa jar-filer i /opt/shibboleth-idp/edit-webapp/WEB-INF/lib, tar ta bort dem. Nyare versioner av dessa filer finns med i Shibboleth IdPv4. 

Följande legacy delen av web.xml som idp-installern la till en gång i tiden verkar orsaker problem för nya Jetty. Rekommendationen är att kommentera bort hela security-constraint och login-config som visas nedan (om de finns)

Code Block
languagexml
titleDelar av web.xml som eventuellt behöver kommenteras bort
collapsetrue
 <!-- IdP-installer has appended these settings to the config which uncomments entries documented above -->
 <!--
    Uncomment to use container managed authentication. The new servlet spec (3.1)
    supports "**" as a wildcard syntax to avoid role usage, which is normally desirable.
    Older containers usually support "*" when proprietary options are used (e.g., Jetty
    requires setting the Strict property on the SecurityManager.)
    -->
    <security-constraint>
        <display-name>Web Login Service</display-name>
        <web-resource-collection>
            <web-resource-name>user authentication</web-resource-name>
            <url-pattern>/Authn/RemoteUser</url-pattern>
            <url-pattern>/profile/SAML2/SOAP/ECP</url-pattern>
            <http-method>GET</http-method>
            <http-method>POST</http-method>
        </web-resource-collection>
        <auth-constraint>
            <role-name>**</role-name>
        </auth-constraint>
        <user-data-constraint>
            <transport-guarantee>CONFIDENTIAL</transport-guarantee>
        </user-data-constraint>
    </security-constraint>

 <!-- Uncomment if you want BASIC auth managed by the container. -->
    <login-config>
        <auth-method>BASIC</auth-method>
        <realm-name>ShibUserPassAuth</realm-name>
    </login-config>

MySQL Connector och HikariCP jar-filer

Om du inkluderar andra JAR filer i /opt/shibboleth-idp/edit-webapp/WEB-INF/lib såsom MySQL connector , och HikariCP så är det bra att uppgradera dem dessa till senaste versionversionen. SWAMID operations har testat med mysql-connector-java-5.1.48-bin.jar och HikariCP-3.4.5.jar.

...

Vi rekommendera att du jämföra edit-webapp/WEB-INF/web.xml med den version som finns i shibboleth-identity-provider-4.0.1/webapp/WEB-INF. Detta för att kontrollera att din web.xml under edit-webapp är korrekt och aktuell. 

...