Shibboleth IDP 的安装和部署配置步骤(Tomcat部署)

Shibboleth是个基于SAML标准的单点登录实现。 http://shibboleth.net/products/

SAML2的简介见：
1. 我眼中的SAML
2. OASIS官方文档

闲扯两句SAML：

在SAML2的Web SSO(基于浏览器的单点登录,不包括app的用户认证)模型中，包括两个重要角色：Service Provider(SP)和Identity Provider(IDP)。

从流程上来讲，和oAuth有点类似，但是token机制区别很大，SAML把Token用特定的xml schema表示了。

简单的SAML WEB SSO流程：假设两个网站：网站A(SP)和网站B(IDP)
用户访问网站A的受保护资源，网站A产生了一个SAML Request，并让用户把这个Request提交给网站B,网站B发现用户未登录，于是让用户登录，用户登录后产生了SAML Response,然后将其发给网站A,网站A解析SAML Response并建立用户上下文。

以上是登录的流程，查了这么多信息也没看到SSO是怎么实现的。 从实际来看，因为用户未登录时，都是跳转到IDP来认证(集众认证)，所以起作用的应该是用户第一次在IDP登录时产生的Session。这点原理和JASIG CAS一致。

Shibboleth提供了SP和IDP的安装包，这里仅描述Shibboleth IDP的Tomcat安装部署。

准备材料：
1. Tomcat 8.0(之前的版本没有尝试，理论上可以部署)
2. shibboleth-identity-provider-3.1.2.zip  (http://shibboleth.net/downloads/identity-provider/latest/  )
3. 已经安装好的LDAP服务

安装步骤：
1. 解压下载的shibboleth IDP到任意目录，比如C:\Temp\shibboleth-identity-provider-3.1.2。

2. 运行bin目录下的install.bat，输入域名、安装目录(默认c:/opt/shibboleth-idp)、Cookie密码等信息，这里域名尽量不要用localhost(失败原因我还没找到)，哪怕先用个假域名，然后在hosts文件里指向localhost。
注：第一步解压目录和第二步真正安装之后的目录太像，很容易混淆，建议安装完之后就删掉解压目录。其实这个解压目录的bin目录有其他的功能，比如rebuild等等，本教程不涉及。

3. 配置Tomcat
   3.1 启用Tomcat的https，这点不描述了，具体请搜索"tomcat https 单向认证"
   3.2 将Tomcat默认8080端口和Https的8443端口修改为80和443.（这点感觉是可选的，先做了吧）
   3.3 部署安装好的shibboleth idp,在Tomcat的server.xml的host节点里面，添加context节点：

<Context docBase="C:/opt/shibboleth-idp/war/idp.war" path="idp"
			 privileged="true"
			 antiResourceLocking="false"
			 swallowOutput="true" />

熟悉的都知道这是Tomcat在读取外源的war。
   3.4 如果shibboleth的安装路径不在默认的c:/opt/shibboleth-idp,需要在Tomcat启动参数中加入参数

-Didp.home=<安装路径>

或者在shibboleth的war包里面找到web.xml，并加入上下文参数：

<context-param>
    <param-name>idp.home</param-name>
    <param-value>J:/Downloads/Shi bboleth/IdP</param-value>
</context-param>

4. 至此，shibboleth已经安装完了，接下来是配置
   4.1 配置LDAP，shibboleth默认提供了多种认证方式，配置文件都在C:\opt\shibboleth-idp\conf\authn\，配置文件的导向关系为：
general-authn.xml
↓
password-authn-config.xml
↓
ldap-authn-config.xml
↓
Place holder

所以LDAP连接的配置最终在C:\opt\shibboleth-idp\conf\ldap.properties中配置即可。

   4.2 添加一个Service Provider。这里已经有个现成的网站 https://www.testshib.org/，提供了判断你的shibboleth是否安装完成的验证方式，照步骤一步一步来就可以了。

Shibboleth官网Wiki： https://wiki.shibboleth.net/confluence/display/IDP30/Installation