SimpleSAMLphpでShibbolethとSAML / シングルサインオン

SimpleSAMLphpを使ってSPとテスト用IdP(Shibboleth)を構築する。
Shibbolethによる学術認証フェデレーションへの要参加するシステム構築で、SAMLでシングルサインオンをする必要が出てきました。

検証用にIdentity Providers(IdP)を用意する必要があり、OpenAMとかいろいろ漁ったところ、サクッと検証サーバ立てるのに、SimpleSAMLphpが一番手っ取り早かった。spもSimpleSAMLphpを利用します。

以下、インストール設定メモです。
idp,spとも同一サーバ上で動作させることができますが、分かりやすいようにサーバを分けました。
(※一度インストール~動作まで理解できれば同一サーバでも導入はすごく簡単です。)
・apache,phpは導入済みを前提とします。
・ホストのFQDNが正しく表示されること。

【確認環境】
—————————————————-
1.iDP (ユーザ認証サーバ)
FQDN:idp.sco.jp

https://idp.sco.jp

CentOS 7.2.1511
apache 2.4.6
php 5.4
simplesamlphp-1.14.9

—————————————————-
2.SP (ユーザ認証要求)
FQDN:sp.starserv.ne.jp

http://sp.starserv.ne.jp

RedHat 6.8
httpd-2.2
php 5.6
simplesamlphp-1.14.9
—————————————————-
【目標】

http://sp.starserv.ne.jpからSAMLでシングルサインオンできること。

【インストール】
1.iDP

https://simplesamlphp.org/docs/stable/simplesamlphp-install
を参考にします。

simplesamlphp-1.14.9.tar.gzをダウンロードし/var/simplesamlphp に展開する。
Apacheの設定で
Alias /simplesaml /var/simplesamlphp/www
を追加する。
今回は、httpsで動かします。(httpでも問題ありません。)

https://idp.sco.jp/simplesaml/

1

■iDPの設定
/var/simplesamlphp/config/config.php

・admin ユーザのログインパスワード123から変更

'auth.adminpassword' => '1234567890',

※パスワードは暗号化できますが、とりあえずplainで。
・管理者(admin)でログインできるか確認。

・idpモジュールの有効化

'enable.saml20-idp' => true,
'enable.shib13-idp' => true,

※enable.saml20-idpは今回使わないので、falseでいいですが実験のためこれも有効にしました。
SimpleSAMLphp設定ページで有効になっているか確認します。
2
・認証方法を設定
ユーザ属性データは、exampleauthを使うことにし、
authsources.phpに記載します。(LDAPとかいろんなDBが利用できますがここはパス)
まずは有効化設定(enableファイルを作成する。)
touch /var/simplesamlphp/modules/exampleauth/enable

ID=user1 password=test1
ID=user2 password=test2
の2ユーザ作成
/var/simplesamlphp/config/authsources.php

    'example-userpass' => array(
        'exampleauth:UserPass',
        'user1:test1' => array(
            'uid' => array('user1'),
            'eduPersonAffiliation' => array('member', 'developer'),
        ),
        'user2:test2' => array(
            'uid' => array('user2'),
            'eduPersonAffiliation' => array('member', 'admin'),
        ),
    ),

・自己証明書を作成
/var/simplesamlphp/certフォルダーに、server.crt、server.pemを作成します。
cd /var/simplesamlphp/cert
openssl req -newkey rsa:2048 -new -x509 -days 3652 -nodes -out server.crt -keyout server.crt

/var/simplesamlphp/metadata/saml20-idp-hosted.php

        'privatekey' => 'server.pem',
        'certificate' => 'server.crt',

/var/simplesamlphp/metadata/shib13-idp-hosted.php

        'privatekey' => 'server.pem',
        'certificate' => 'server.crt',

iDPの設定は一旦ここまで、後で「連携」でメタデータをSPと相互に信頼設定する必要があります。

■SPの設定
iDPの設定と同じように、simplesamlを設置します。

http://sp.starserv.ne.jp/simplesaml

iDPは動作させません。SPとして使います。
/var/simplesamlphp/config/config.php

'auth.adminpassword' => 'qwertyuiop',

※パスワードは暗号化できますが、とりあえずplainで。
・管理者(admin)でログインできるか確認。

・自己証明書を作成
/var/simplesamlphp/certフォルダーに、server.crt、server.pemを作成します。
・動作確認のため、デバッグモードにする。

'loggingdir' => '/var/log/simplesaml/',
'debug' => true,
'showerrors' => true,
'errorreporting' => true,
'logging.level' => LOG_DEBUG,
'logging.handler' => 'file',

・iDPの指定
/var/simplesamlphp/config/authsources.php

    'default-sp' => array(
        'saml:SP',
.
.
.
        'idp' => 'https://idp.sco.jp/simplesaml/shib13/idp/metadata.php',

idp’がNULLの場合はログイン画面の前にiDP選択画面が出てくるので、明示的に指定する。

・メタデータの設定
■iDP側 https://idp.sco.jp/simplesaml
SP側のSimpleSAMLphp設定ページ‐「連携」で、
default-sp「メタデータを表示」をクリックして、表示されたメタデータXMLをクリップボードにコピーする。
3

4

iDP側のSimpleSAMLphp設定ページ‐「連携」-XML を 「SimpleSAMLphpメタデータに変換」を
クリックし、貼り付けて「パース」する。
php用にコンバート表示されます。
shib13-sp-remote、saml20-sp-remoteの2つ。

5

表示された内容の、$metadata以下を
/var/simplesamlphp/metadata/saml20-sp-remote.php
/var/simplesamlphp/metadata/shib13-sp-remote.php
に記載します。上手くいけば、下記のようにSPが連携登録されます。
5-1

■SP側 http://sp.starserv.ne.jp/simplesaml
iDP側のSimpleSAMLphp設定ページ‐「連携」で、
SAML 2.0 IdPメタデータ「メタデータを表示」をクリックして、表示されたメタデータXMLをクリップボードにコピーする。
SP側のSimpleSAMLphp設定ページ‐「連携」-XML を 「SimpleSAMLphpメタデータに変換」をクリックし、貼り付けて「パース」する。
php用にコンバート表示されます。
saml20-idp-remoteの1つ。
表示された内容の、$metadata以下を
/var/simplesamlphp/metadata/saml20-idp-remote.php
に記載します。
同じ作業を
Shib 1.3 IdPメタデータについて行う。
/var/simplesamlphp/metadata/shib13-idp-remote.php

6

●連携の確認1

SP側 http://sp.starserv.ne.jp/simplesaml – 「認証」タブ
「設定されている認証元をテスト」
default-spをクリック

7
ログイン画面が表示されます。
8
user1:test1
user2:test2
でログインできればOK

9

●連携の確認2
最後にテストアプリからログインを試します。これができれば目的達成です。
サンプルプログラム
index.php

<?
require_once('/var/simplesamlphp/lib/_autoload.php');

$as = new SimpleSAML_Auth_Simple('default-sp');
$as->requireAuth();
$attributes = $as->getAttributes();

?>

<div style="font-weight: bold;">Hello, SimpleSAMLphp</div>
<table border="1">
<?php  foreach ($attributes as $key => $value): ?>
  <tr>
    <td><?=$key;?></td>
    <td><?=$value[0];?></td>
    <td><?=$value[1];?></td>
  </tr>
<?php endforeach;?>
</table>

<a href="logout.php">logout</a>

logout.php

<?
require_once('/var/simplesamlphp/lib/_autoload.php');

$as = new SimpleSAML_Auth_Simple('default-sp');
$as->requireAuth();
$attributes = $as->getAttributes();

$as->logout('http://sp.starserv.ne.jp/logout.html');
?>

logout.html

<html>
<body>
END
</body>
</html>

http://sp.starserv.ne.jp/index.php アクセス9.5

自動的にログイン認証画面が出ます。(実際ここは、学術認証IDP画面だったり、それぞれ接続先のログイン画面となります。)

10

—動作ログ—
/var/log/simplesaml/simplesamlphp.log
Nov 30 18:43:51 simplesamlphp DEBUG [f138141d33] Session: doLogin(“default-sp”)
Nov 30 18:43:51 simplesamlphp DEBUG [f138141d33] Received SAML1 response
Nov 30 18:43:51 simplesamlphp DEBUG [f138141d33] Loading state: ‘_34d95aa9e4b6b8c2488713e94cd808da3658b6fb79:http://sp.starserv.ne.jp/simplesaml/module.php/core/as_login.php?AuthId=default-sp&ReturnTo=http%3A%2F%2Fsp.starserv.ne.jp%2F’
Nov 30 18:45:20 simplesamlphp DEBUG [f138141d33] Session: Valid session found with ‘default-sp’.
Nov 30 18:45:20 simplesamlphp DEBUG [f138141d33] Session: Valid session found with ‘default-sp’.
Nov 30 18:45:20 simplesamlphp DEBUG [f138141d33] Session: doLogout(‘default-sp’)
Nov 30 18:45:20 simplesamlphp DEBUG [f138141d33] Session: ‘default-sp’ not valid because we are not authenticated.

MS Project ガントチャート IDが全部表示されない

当社は、小規模から大規模の案件全てMS Projectにて、プロジェクトの管理をしています。

タスクの追加、リソースの割り当てを一通り行った後、一部タスクを新たに他の新規のリソースに割り当てたところ、ガントチャートで一部のIDが表示されなくなってしまった。タスクのフィルターはすべて選択になっているにも関わらず。

m2

ただし、ガントチャート(進捗管理)ではすべてのIDが出て表示される。

m3

1時間ぐらい悩み、タスクのフィルターで、”すべてのフィルターをクリアー”を
実行したら表示された。
フィルターの何か変はゴミが残ってたのかも。今更ですが、今後は、”すべてのフィルターをクリアー”をすると覚えておこう。

m34png

 

 

Nexus5x,6P のカメラ reverse landscapに対応

Nexus5x及び6Pで、QRコード読み取り,3D 行先コンパス ARでカメラ画像が、180度回転表示するバグを修正しました。

Nexus 5Xのイメージセンサーは設計上の部品配置の都合で、他のAndroid端末と異なり逆(reverse landscape)に取り付けられているとのことで、rotationが未設定のアプリはpreviewが反転するようになった。
http://qiita.com/tomoima525/items/f59d345ea40c36244f9b

当アプリも180度回転表示してしまいました。

元々は、
camera.setDisplayOrientation(90)
で90度回転させて縦表示するようにしていたのですが、
Nexus5xだと、
camera.setDisplayOrientation(90 + 180)
にしないとだめで、

camera2 APIを利用すれば全自動ですが、
最終、以下のコードを追加して対応致しました。

    int numCameras = Camera.getNumberOfCameras();
    int cameraID;
    int back_camera_flg = 0;

    int index = 0;
    Camera.CameraInfo cameraInfo;
    int result = 0;

    while (index < numCameras) {
      cameraInfo = new Camera.CameraInfo();
      Camera.getCameraInfo(index, cameraInfo);
      if (cameraInfo.facing == Camera.CameraInfo.CAMERA_FACING_FRONT && back_camera_flg == 0){
        result = (cameraInfo.orientation) % 360;
        result = (360 - result) % 360;
        Log.w(TAG,"----- CAMERA INFO FRONT " + result );
      }
      if (cameraInfo.facing == Camera.CameraInfo.CAMERA_FACING_BACK) {
        back_camera_flg = 1;
        result = (cameraInfo.orientation + 360) % 360;
        Log.w(TAG,"----- CAMERA INFO BACK " + result );
        break;
      }
      index++;
    }
     //camera.setDisplayOrientation(90);
    camera.setDisplayOrientation(result);
    //
    camera.setParameters(parameters);
  }

PHP 4G 大容量のファイルアップロード: enable_post_data_reading

PHPで大容量のダウンロードはサーバ側でfreadで数Kバイト単位で送出すればいいだけですが、アップロードは、そうはいかず、enable_post_data_readingをoff設定にして、自力でpostデータをパースし、データ部を数Kバイト単位で読むしかないのです。実装しました。
(1Gのファイルのダウンロード、アップロードは、オンメモリーで処理すると、
例えば同時接続10でアップロードすると10Gにもなって破綻します。)

[設定]

プログラムはアップロード専用フォルダーにして、
.htaccess

php_flag enable_post_data_reading Off

・enable_post_data_reading Offにすると、$_POST,$_FILEは使えません。$_GET,$SESSIONは有効。
・ini_set()ではenable_post_data_readingは設定できません。

test.html

<html lang="ja">
<head>
<meta http-equiv="Content-Type" content="text/html; charset=utf-8" />
<meta http-equiv="Content-Style-Type" content="text/css" />
<meta http-equiv="Content-Script-Type" content="text/javascript" />
<link rel="stylesheet" href="/css/jquery-ui.css" type="text/css" />
<script type="text/javascript" src="/js/jquery.min.js"></script>
<title></title>
</head>

<SCRIPT Language="Javascript1.2">
<!--

$(function() {
  $('input[type=file]').change(function() {
        file1 = document.getElementById("userfile1").files[0];
        file2 = document.getElementById("userfile2").files[0];
        file3 = document.getElementById("userfile3").files[0];

        if(typeof file1 === "undefined"){
                document.sedesupload.up_size1.value = "0\t";
        }else{
                document.sedesupload.up_size1.value = file1.size + "\t" + file1.name;
        }

        if(typeof file2 === "undefined"){
                document.sedesupload.up_size2.value = "0\t";
        }else{
                document.sedesupload.up_size2.value = file2.size + "\t" + file2.name;
        }

        if(typeof file3 === "undefined"){
                document.sedesupload.up_size3.value = "0\t";
        }else{
                document.sedesupload.up_size3.value = file3.size + "\t" + file3.name;
        }

  });
});

-->
</SCRIPT>

<body>
<br>
<h1>TEST</h1>

<form enctype="multipart/form-data" name="sedesupload" action="binupload-multi.php" method="POST">
<input type="hidden" name="trkno" value="DD00008">
<input type="hidden" name="user" value="T">

<input type="hidden" name="up_size1" id="up_size1" value="0">
<input type="hidden" name="up_size2" id="up_size2" value="0">
<input type="hidden" name="up_size3" id="up_size3" value="0">

No1: <input name="userfile1" id="userfile1" type="file" /><br>
No2: <input name="userfile2" id="userfile2" type="file" /><br>
No3: <input name="userfile3" id="userfile3" type="file" /><br>

<br>
<input type="submit" value="ファイルを送信"/>
</form>
</html>

・最大3ファイルを選択
・POSTデータに3ファイルのファイルサイズ、ファイル名を同時にセット。ファイルサイズをサーバ側に知らせないと、受け側のプログラムが面倒な処理になるので、入れてます。

binupload-multi.php

<?php
# php 5.4 or higher
#.htaccess php_flag enable_post_data_reading Off
#
#print_r($_SESSION);    // is
#print_r($_REQUEST);    // is
#print_r($_GET);        // is
#print_r($_POST);       // null

//-- config base -----------------
ini_set("max_execution_time",180 * 3);
$base_dir = "/home/temp";
$READ_BUF_SIZE = 8192;
//-------------------------------

$handle_in = fopen("php://input", "rb");
if (FALSE === $handle_in) {
    exit("Failed to open stream to URL");
}

$header_sec = 0;

$contents = "";
$multi_part ="";
$multi_part_now = "";

while (!feof($handle_in)) {
        // ------------------------------------
        // STEP 0: first GET multi part strings
        // ------------------------------------
        if($header_sec == 0){
                //get multipart string
                $multi_part = str_replace("\r\n", '', fgets($handle_in));
                $header_sec = 1; //Next Content
                if(strlen($multi_part) == 0){
                        print "multi_part_len 0 error \r\n";
                        exit;
                }
                print "[". $multi_part . "]<br><br>";

                continue;
        }

        // ------------------------------------
        // STEP 2: next GET multi part strings & check
        // ------------------------------------
        if($header_sec == 2){
                $multi_part_now = str_replace("\r\n", '', fgets($handle_in));

                if($multi_part_now === $multi_part){
                        $header_sec = 1;
                        continue;
                }else{
                        // Last part check
                        if($multi_part_now == $multi_part . "--"){
                                print "sucess\r\n";
                        }else{
                                print "sequence error step 2\r\n";
                        }
                        break;
                }
        }

        // --------------------------------------------------
        // STEP 1: GET Content-Disposition (post name & data)
        // --------------------------------------------------
        if($header_sec == 1){
                $line = str_replace("\r\n", '', fgets($handle_in));
                $sbuf = explode('filename="',$line);
                if(count($sbuf) == 1){
                        //parameter
                        $pbuf = explode('name="',$sbuf[0]);
                        $pname = mb_substr($pbuf[1], 0, -1);

                        fgets($handle_in); //null line;
                        $pdata = str_replace("\r\n", '', fgets($handle_in));
                        print "NAME=[".$pname . "] DATA=[" . $pdata . "]<br>";

                        if($pname === "up_size1"){
                                $upbuf = explode("\t",$pdata);
                                $upfile_size[0] = $upbuf[0];
                                $upfile_name[0] = $upbuf[1];
                        }elseif($pname === "up_size2"){
                                $upbuf = explode("\t",$pdata);
                                $upfile_size[1] = $upbuf[0];
                                $upfile_name[1] = $upbuf[1];
                        }elseif($pname === "up_size3"){
                                $upbuf = explode("\t",$pdata);
                                $upfile_size[2] = $upbuf[0];
                                $upfile_name[2] = $upbuf[1];
                        }
                        $header_sec = 2;
                        continue;

                }else{
                        //file parameter
                        $filename = mb_substr($sbuf[1], 0, -1);

                        fgets($handle_in); //skip Content-Type:;
                        fgets($handle_in); //skip null line;
                        print "FLENMAE=[".$filename . "]<br>";

                        if($filename == ""){
                                fgets($handle_in); //skip null line;
                                $header_sec = 2;
                                continue;
                        }else{
                                for($i = 0 ; $i < 3 ; $i++){
                                        if($filename === $upfile_name[$i]){
                                                $filesize = $upfile_size[$i];
                                                $handle_out = fopen($base_dir . "/" . $filename, "w+b");
                                                $header_sec = 3;
                                                break;
                                        }
                                }
                        }
                }
        }

        // --------------------------------------------------
        // STEP 3: GET file binary contests
        // --------------------------------------------------
        if($header_sec == 3){
                if($filesize < $READ_BUF_SIZE){
                        $contents = fread($handle_in, $filesize);
                        fwrite($handle_out,$contents);
                }else{
                        $readsize = 0;
                        while (!feof($handle_in)) {
                                $contents = fread($handle_in, $READ_BUF_SIZE);

                                $readsize += $READ_BUF_SIZE;
                                fwrite($handle_out,$contents);

                                if(($readsize) + $READ_BUF_SIZE >= $filesize){
                                        $contents = fread($handle_in, $filesize - $readsize);
                                        fwrite($handle_out,$contents);
                                        break;
                                }
                                //usleep(1000);
                        }

                }
                fgets($handle_in); //null line;
                $header_sec = 2;
                fclose($handle_out);
        }
}
fclose($handle_in);

?>

・max_execution_timeは、540秒(9分)
・マルチパートを区切りに、POSTデータをパース
・ファイルの場合は、ファイルサイズを基に8192バイト単位で受信しファイルに書き込み。

※テストコードなのでコードレビューはしておりません。
プログラム中に固定化(3ファイル前提)されているところもありますので利用される方はご注意を。日本語ファイル名等はそれなりの処理をして下さい。

112

113

合計9.5G アップロードできました。
この時、httpdのCPU使用率は50%でした。
※usleep(1000) 1msecのsleepを入れるとCPU使用率は13%になります。当然アップロード時間も増加しますので、max_execution_timeは要調整。

httpd CPU使用率
———————-
50% なし
34% usleep(100)
28% usleep(300)
13% usleep(1000) 1msec
———————–

まあ、昔のperlのcgi時代は全て自分でPOSTデータはパースしてたので、
全然違和感はないですが、今は全部やってくれるので知らない内に
オンメモリーで処理されていること忘れがちあるいはそもそも、そんな考えも
しないという新人の技術者も多いかと思いますのでご注意を。

Windows 10 / bootcamp いつ頃からか、USB内のプログラムが実行できない。

いつ頃からか、USB内のプログラムが実行できない。

「指定されたデバイス、パスまたはファイルにアクセスできません。アクセス許可がない可能性があります。」
とダイアログが出て実行できません。

特に不自由はなかったのですが、USB内のパスワード付アクセスプログラムを実行する必要があって
実行できないとフォルダーが開けないので調査。

ネットで検索してもアクセス権限を見直すとかしか出て来ず><

DOS窓から実行すると、ただ「拒否されました」と一言。
こちらの文言の方が迷いがなくすぐ推測がつきました。UAC制御関連なのだと。
で、たどり着いたのが↓の画面

ac1

gpedit.mscを起動
「コンピュータの構成」
「管理用テンプレート」
「システム」
「リムーバブル記憶域へのアクセス」
「リムーバブルディスク:実行アクセス権の拒否」
“有効”になってました。(もしかして覚えていませんが自分で最初に有効にしたのかもしれません。。)

これを未構成に変更してOK。

 

QRコード読み取り バージョンアップしました。 ズームイン、ズームアウト 1.3.0

QRコード読み取り バージョンアップしました。

・カメラのズーム機能を実装しました。

15m先のバーコードが読めるというバーコードリーダを見て、それならということで、ズームイン、ズームアウトを実行しました。
ポスターに近寄らなくても、ズームインでQRコードが読み取れます。
(android 2.3.3の旧機種でも動作します!)

https://play.google.com/store/apps/details?id=jp.co.seiwa.zxing.client.android

※ついでに、開発ツールをEclipseからAndroid Stadio 2.1.2に移行しました。

B_2016-06-12-12-08-48
<ズームイン↓>
B_2016-06-12-12-08-56

【活動報告】講義に行ってきました

久しぶりの投稿になります。(ネタができたので)
大寒波のため、体調管理にはお気を付け下さい。

先日とある大学で講義のお願いがありましたので、
1コマ分、講義を行ってきました。

テーマは
[仕事について、学生時代について、就職活動について]・・・などなど。

学生の方々はなかなか熱心で、
就職活動を控えているということもあり、就職活動についての話では、
特に興味深く聞いて下さりました。

世間では売り手市場などと謳われてますが、
学生の方々にとっては、初めての就職活動を経験するわけなので、
良い意味で、学生の方々の緊張感を感じることが出来ました。

もちろん、講義の中で弊社の紹介も行ってまいりましたので、
またこうゆう機会があれば、弊社を知ってもらうため、どんどんアピールしていきます。

講義風景

インターンシップ報告

星和テクノロジーに、10/1~10/30までインターンシップで、HALの学生さん2名を受け入れて、本日無事 成果発表となり修了致しました。指導・受講ともにご苦労様でした。

システム開発を行うにあたって、開発計画~概要・詳細設計、レビュー、リリース、プレゼンを経験して頂きました。

【WEBアプリケーション:phpによる数独作成】
DSC_0060

【Redmineプラグイン開発 redmaine_issue_history_tabs(機能拡張)】
DSC_0062

※当社は、Redmineにて、プロジェクト管理、タスク管理、進捗管理、情報共有を行っています。
今回、改修頂いた機能を実際使って行きます。