Nyckelrullning 2016 - Shibboleth Service Provder v2

 

Det är enkelt att ändra signeringsnyckel och metadataflöde i Shibboleth SP v2. Det enda du behöver göra är att hämta ner nya publika signeringsnyckeln och därefter ändra i filen shibboleth.xml.

  1. Ladda ner den nya publika signeringsnyckeln md-signer2.crt och spara den i samma katalog som filen shibboleth2.xml.

  2. Verifiera nyckeln

    openssl x509 -noout -fingerprint -sha256 -in %{idp.home}/credentials/md-signer2.crt
Output skall bli
SHA256 Fingerprint=A6:78:5A:37:C9:C9:0C:25:AD:5F:1F:69:22:EF:76:7B:C9:78:67:67:3A:AF:4F:8B:EA:A1:A7:6D:A3:A8:E5:85
  3. Ändra publik signeringsnyckel för SWAMID i shibboleth2.xml till den nya filen, certificate="md-signer2.crt"
  4. Ändra vilket metadataflöde som ska laddas hem från SWAMID i shibboleth2.xml, uri="http://mds.swamid.se/md/swamid-idp.xml" alt "https://mds.swamid.se/md/swamid-idp-transitive.xml"
  5. Starta om Shibboleth och titta i loggarna att allt startar ordentligt.

 

Ändring i shibboleth2.xml för de som enbart vill ha användare innom SWAMID
...
<MetadataProvider
          type="XML"
          uri="http://mds.swamid.se/md/swamid-idp.xml"
          backingFilePath="swamid-idp.xml" reloadInterval="300">
     <SignatureMetadataFilter certificate="md-signer2.crt"/>
</MetadataProvider>
...
Ändring i shibboleth2.xml för de som även vill ha användare från eduGAIN
 ...
<MetadataProvider
          type="XML"
          uri="http://mds.swamid.se/md/swamid-idp-transitive.xml"
          backingFilePath="idp-transitive.xml" reloadInterval="300">
     <SignatureMetadataFilter certificate="md-signer2.crt"/>
</MetadataProvider>
...
  • No labels