「Linux」カテゴリーアーカイブ

Linux

SimpleSAMLphpでShibbolethとSAML / シングルサインオン

4件のコメント

SimpleSAMLphpを使ってSPとテスト用IdP(Shibboleth)を構築する。
Shibbolethによる学術認証フェデレーションへの要参加するシステム構築で、SAMLでシングルサインオンをする必要が出てきました。

検証用にIdentity Providers(IdP)を用意する必要があり、OpenAMとかいろいろ漁ったところ、サクッと検証サーバ立てるのに、SimpleSAMLphpが一番手っ取り早かった。spもSimpleSAMLphpを利用します。

以下、インストール設定メモです。
idp,spとも同一サーバ上で動作させることができますが、分かりやすいようにサーバを分けました。
（※一度インストール～動作まで理解できれば同一サーバでも導入はすごく簡単です。）
・apache,phpは導入済みを前提とします。
・ホストのFQDNが正しく表示されること。

【確認環境】
—————————————————-
1.iDP (ユーザ認証サーバ)
FQDN:idp.sco.jp
https://idp.sco.jp
CentOS 7.2.1511
apache 2.4.6
php 5.4
simplesamlphp-1.14.9

—————————————————-
2.SP (ユーザ認証要求）
FQDN:sp.starserv.ne.jp
http://sp.starserv.ne.jp
RedHat 6.8
httpd-2.2
php 5.6
simplesamlphp-1.14.9
—————————————————-
【目標】
http://sp.starserv.ne.jpからSAMLでシングルサインオンできること。

【インストール】
1.iDP

https://simplesamlphp.org/docs/stable/simplesamlphp-install
を参考にします。

simplesamlphp-1.14.9.tar.gzをダウンロードし/var/simplesamlphp に展開する。
Apacheの設定で
Alias /simplesaml /var/simplesamlphp/www
を追加する。
今回は、httpsで動かします。（httpでも問題ありません。)

https://idp.sco.jp/simplesaml/
1

■iDPの設定
/var/simplesamlphp/config/config.php

・admin ユーザのログインパスワード123から変更

[js] ‘auth.adminpassword’ => ‘1234567890’,
[/js]

※パスワードは暗号化できますが、とりあえずplainで。
・管理者(admin)でログインできるか確認。

・idpモジュールの有効化

[js] ‘enable.saml20-idp’ => true,
‘enable.shib13-idp’ => true,
[/js]

※enable.saml20-idpは今回使わないので、falseでいいですが実験のためこれも有効にしました。
SimpleSAMLphp設定ページで有効になっているか確認します。
2
・認証方法を設定
ユーザ属性データは、exampleauthを使うことにし、
authsources.phpに記載します。（LDAPとかいろんなDBが利用できますがここはパス）
まずは有効化設定(enableファイルを作成する。）
touch /var/simplesamlphp/modules/exampleauth/enable

ID=user1 password=test1
ID=user2 password=test2
の２ユーザ作成
/var/simplesamlphp/config/authsources.php

[js] ‘example-userpass’ => array(
‘exampleauth:UserPass’,
‘user1:test1’ => array(
‘uid’ => array(‘user1’),
‘eduPersonAffiliation’ => array(‘member’, ‘developer’),
),
‘user2:test2’ => array(
‘uid’ => array(‘user2’),
‘eduPersonAffiliation’ => array(‘member’, ‘admin’),
),
),

[/js]

・自己証明書を作成
/var/simplesamlphp/certフォルダーに、server.crt、server.pemを作成します。
cd /var/simplesamlphp/cert
openssl req -newkey rsa:2048 -new -x509 -days 3652 -nodes -out server.crt -keyout server.crt

/var/simplesamlphp/metadata/saml20-idp-hosted.php

[js] ‘privatekey’ => ‘server.pem’,
‘certificate’ => ‘server.crt’,
[/js]

/var/simplesamlphp/metadata/shib13-idp-hosted.php

[js] ‘privatekey’ => ‘server.pem’,
‘certificate’ => ‘server.crt’,
[/js]

iDPの設定は一旦ここまで、後で「連携」でメタデータをSPと相互に信頼設定する必要があります。

■SPの設定
iDPの設定と同じように、simplesamlを設置します。
http://sp.starserv.ne.jp/simplesaml
iDPは動作させません。SPとして使います。
/var/simplesamlphp/config/config.php

[js] ‘auth.adminpassword’ => ‘qwertyuiop’,
[/js]

※パスワードは暗号化できますが、とりあえずplainで。
・管理者(admin)でログインできるか確認。

・自己証明書を作成
/var/simplesamlphp/certフォルダーに、server.crt、server.pemを作成します。
・動作確認のため、デバッグモードにする。

[js] ‘loggingdir’ => ‘/var/log/simplesaml/’,
‘debug’ => true,
‘showerrors’ => true,
‘errorreporting’ => true,
‘logging.level’ => LOG_DEBUG,
‘logging.handler’ => ‘file’,
[/js]

・iDPの指定
/var/simplesamlphp/config/authsources.php

[js] ‘default-sp’ => array(
‘saml:SP’,
.
.
.
‘idp’ => ‘https://idp.sco.jp/simplesaml/shib13/idp/metadata.php’,
[/js]

idp’がNULLの場合はログイン画面の前にiDP選択画面が出てくるので、明示的に指定する。

・メタデータの設定
■iDP側　https://idp.sco.jp/simplesaml
SP側のSimpleSAMLphp設定ページ‐「連携」で、
default-sp「メタデータを表示」をクリックして、表示されたメタデータＸＭＬをクリップボードにコピーする。
3

4

iDP側のSimpleSAMLphp設定ページ‐「連携」－XML を 「SimpleSAMLphpメタデータに変換」を
クリックし、貼り付けて「パース」する。
php用にコンバート表示されます。
shib13-sp-remote、saml20-sp-remoteの２つ。

5

表示された内容の、$metadata以下を
/var/simplesamlphp/metadata/saml20-sp-remote.php
/var/simplesamlphp/metadata/shib13-sp-remote.php
に記載します。上手くいけば、下記のようにSPが連携登録されます。
5-1

■SP側 http://sp.starserv.ne.jp/simplesaml
iDP側のSimpleSAMLphp設定ページ‐「連携」で、
SAML 2.0 IdPメタデータ「メタデータを表示」をクリックして、表示されたメタデータＸＭＬをクリップボードにコピーする。
SP側のSimpleSAMLphp設定ページ‐「連携」－XML を 「SimpleSAMLphpメタデータに変換」をクリックし、貼り付けて「パース」する。
php用にコンバート表示されます。
saml20-idp-remoteの１つ。
表示された内容の、$metadata以下を
/var/simplesamlphp/metadata/saml20-idp-remote.php
に記載します。
同じ作業を
Shib 1.3 IdPメタデータについて行う。
/var/simplesamlphp/metadata/shib13-idp-remote.php

6

●連携の確認１

SP側 http://sp.starserv.ne.jp/simplesaml – 「認証」タブ
「設定されている認証元をテスト」
default-spをクリック

7
ログイン画面が表示されます。
8
user1:test1
user2:test2
でログインできればＯＫ

9

●連携の確認２
最後にテストアプリからログインを試します。これができれば目的達成です。
サンプルプログラム
index.php

[js] <?
require_once(‘/var/simplesamlphp/lib/_autoload.php’);

$as = new SimpleSAML_Auth_Simple(‘default-sp’);
$as->requireAuth();
$attributes = $as->getAttributes();

?>

<div style="font-weight: bold;">Hello, SimpleSAMLphp</div>
<table border="1">
<?php foreach ($attributes as $key => $value): ?>
<tr>
<td><?=$key;?></td>
<td><?=$value[0];?></td>
<td><?=$value[1];?></td>
</tr>
<?php endforeach;?>
</table>

<a href="logout.php">logout</a>
[/js]

logout.php

[js] <?
require_once(‘/var/simplesamlphp/lib/_autoload.php’);

$as = new SimpleSAML_Auth_Simple(‘default-sp’);
$as->requireAuth();
$attributes = $as->getAttributes();

$as->logout(‘http://sp.starserv.ne.jp/logout.html’);
?>

[/js]

logout.html

[js] <html>
<body>
END
</body>
</html>
[/js]

http://sp.starserv.ne.jp/index.php アクセス9.5

自動的にログイン認証画面が出ます。（実際ここは、学術認証IDP画面だったり、それぞれ接続先のログイン画面となります。）

10

—動作ログ—
/var/log/simplesaml/simplesamlphp.log
Nov 30 18:43:51 simplesamlphp DEBUG [f138141d33] Session: doLogin(“default-sp”)
Nov 30 18:43:51 simplesamlphp DEBUG [f138141d33] Received SAML1 response
Nov 30 18:43:51 simplesamlphp DEBUG [f138141d33] Loading state: ‘_34d95aa9e4b6b8c2488713e94cd808da3658b6fb79:http://sp.starserv.ne.jp/simplesaml/module.php/core/as_login.php?AuthId=default-sp&ReturnTo=http%3A%2F%2Fsp.starserv.ne.jp%2F’
Nov 30 18:45:20 simplesamlphp DEBUG [f138141d33] Session: Valid session found with ‘default-sp’.
Nov 30 18:45:20 simplesamlphp DEBUG [f138141d33] Session: Valid session found with ‘default-sp’.
Nov 30 18:45:20 simplesamlphp DEBUG [f138141d33] Session: doLogout(‘default-sp’)
Nov 30 18:45:20 simplesamlphp DEBUG [f138141d33] Session: ‘default-sp’ not valid because we are not authenticated.

Linux

PHP 4G 大容量のファイルアップロード: enable_post_data_reading

コメントする

PHPで大容量のダウンロードはサーバ側でfreadで数Ｋバイト単位で送出すればいいだけですが、アップロードは、そうはいかず、enable_post_data_readingをoff設定にして、自力でpostデータをパースし、データ部を数Ｋバイト単位で読むしかないのです。実装しました。
（1Gのファイルのダウンロード、アップロードは、オンメモリーで処理すると、
例えば同時接続10でアップロードすると10Gにもなって破綻します。）

[設定]

プログラムはアップロード専用フォルダーにして、
.htaccess

[js] php_flag enable_post_data_reading Off
[/js]

・enable_post_data_reading Offにすると、$_POST,$_FILEは使えません。$_GET,$SESSIONは有効。
・ini_set()ではenable_post_data_readingは設定できません。

test.html

[js] <html lang="ja">
<head>
<meta http-equiv="Content-Type" content="text/html; charset=utf-8" />
<meta http-equiv="Content-Style-Type" content="text/css" />
<meta http-equiv="Content-Script-Type" content="text/javascript" />
<link rel="stylesheet" href="/css/jquery-ui.css" type="text/css" />
<script type="text/javascript" src="/js/jquery.min.js"></script>
<title></title>
</head>

<SCRIPT Language="Javascript1.2">
<!–

$(function() {
$(‘input[type=file]’).change(function() {
file1 = document.getElementById("userfile1").files[0];
file2 = document.getElementById("userfile2").files[0];
file3 = document.getElementById("userfile3").files[0];

if(typeof file1 === "undefined"){
document.sedesupload.up_size1.value = "0\t";
}else{
document.sedesupload.up_size1.value = file1.size + "\t" + file1.name;
}

if(typeof file2 === "undefined"){
document.sedesupload.up_size2.value = "0\t";
}else{
document.sedesupload.up_size2.value = file2.size + "\t" + file2.name;
}

if(typeof file3 === "undefined"){
document.sedesupload.up_size3.value = "0\t";
}else{
document.sedesupload.up_size3.value = file3.size + "\t" + file3.name;
}

});
});

–>
</SCRIPT>

<body>
<br>
<h1>TEST</h1>

<form enctype="multipart/form-data" name="sedesupload" action="binupload-multi.php" method="POST">
<input type="hidden" name="trkno" value="DD00008">
<input type="hidden" name="user" value="T">

<input type="hidden" name="up_size1" id="up_size1" value="0">
<input type="hidden" name="up_size2" id="up_size2" value="0">
<input type="hidden" name="up_size3" id="up_size3" value="0">

No1: <input name="userfile1" id="userfile1" type="file" /><br>
No2: <input name="userfile2" id="userfile2" type="file" /><br>
No3: <input name="userfile3" id="userfile3" type="file" /><br>

<br>
<input type="submit" value="ファイルを送信"/>
</form>
</html>

[/js]

・最大3ファイルを選択
・POSTデータに3ファイルのファイルサイズ、ファイル名を同時にセット。ファイルサイズをサーバ側に知らせないと、受け側のプログラムが面倒な処理になるので、入れてます。

binupload-multi.php

[js] <?php
# php 5.4 or higher
#.htaccess php_flag enable_post_data_reading Off
#
#print_r($_SESSION); // is
#print_r($_REQUEST); // is
#print_r($_GET); // is
#print_r($_POST); // null

//– config base —————–
ini_set("max_execution_time",180 * 3);
$base_dir = "/home/temp";
$READ_BUF_SIZE = 8192;
//——————————-

$handle_in = fopen("php://input", "rb");
if (FALSE === $handle_in) {
exit("Failed to open stream to URL");
}

$header_sec = 0;

$contents = "";
$multi_part ="";
$multi_part_now = "";

while (!feof($handle_in)) {
// ————————————
// STEP 0: first GET multi part strings
// ————————————
if($header_sec == 0){
//get multipart string
$multi_part = str_replace("\r\n", ”, fgets($handle_in));
$header_sec = 1; //Next Content
if(strlen($multi_part) == 0){
print "multi_part_len 0 error \r\n";
exit;
}
print "[". $multi_part . "]<br><br>";

continue;
}

// ————————————
// STEP 2: next GET multi part strings & check
// ————————————
if($header_sec == 2){
$multi_part_now = str_replace("\r\n", ”, fgets($handle_in));

if($multi_part_now === $multi_part){
$header_sec = 1;
continue;
}else{
// Last part check
if($multi_part_now == $multi_part . "–"){
print "sucess\r\n";
}else{
print "sequence error step 2\r\n";
}
break;
}
}

// ————————————————–
// STEP 1: GET Content-Disposition (post name & data)
// ————————————————–
if($header_sec == 1){
$line = str_replace("\r\n", ”, fgets($handle_in));
$sbuf = explode(‘filename="’,$line);
if(count($sbuf) == 1){
//parameter
$pbuf = explode(‘name="’,$sbuf[0]);
$pname = mb_substr($pbuf[1], 0, -1);

fgets($handle_in); //null line;
$pdata = str_replace("\r\n", ”, fgets($handle_in));
print "NAME=[".$pname . "] DATA=[" . $pdata . "]<br>";

if($pname === "up_size1"){
$upbuf = explode("\t",$pdata);
$upfile_size[0] = $upbuf[0];
$upfile_name[0] = $upbuf[1];
}elseif($pname === "up_size2"){
$upbuf = explode("\t",$pdata);
$upfile_size[1] = $upbuf[0];
$upfile_name[1] = $upbuf[1];
}elseif($pname === "up_size3"){
$upbuf = explode("\t",$pdata);
$upfile_size[2] = $upbuf[0];
$upfile_name[2] = $upbuf[1];
}
$header_sec = 2;
continue;

}else{
//file parameter
$filename = mb_substr($sbuf[1], 0, -1);

fgets($handle_in); //skip Content-Type:;
fgets($handle_in); //skip null line;
print "FLENMAE=[".$filename . "]<br>";

if($filename == ""){
fgets($handle_in); //skip null line;
$header_sec = 2;
continue;
}else{
for($i = 0 ; $i < 3 ; $i++){
if($filename === $upfile_name[$i]){
$filesize = $upfile_size[$i];
$handle_out = fopen($base_dir . "/" . $filename, "w+b");
$header_sec = 3;
break;
}
}
}
}
}

// ————————————————–
// STEP 3: GET file binary contests
// ————————————————–
if($header_sec == 3){
if($filesize < $READ_BUF_SIZE){
$contents = fread($handle_in, $filesize);
fwrite($handle_out,$contents);
}else{
$readsize = 0;
while (!feof($handle_in)) {
$contents = fread($handle_in, $READ_BUF_SIZE);

$readsize += $READ_BUF_SIZE;
fwrite($handle_out,$contents);

if(($readsize) + $READ_BUF_SIZE >= $filesize){
$contents = fread($handle_in, $filesize – $readsize);
fwrite($handle_out,$contents);
break;
}
//usleep(1000);
}

}
fgets($handle_in); //null line;
$header_sec = 2;
fclose($handle_out);
}
}
fclose($handle_in);

?>
[/js]

・max_execution_timeは、540秒（9分)
・マルチパートを区切りに、POSTデータをパース
・ファイルの場合は、ファイルサイズを基に8192バイト単位で受信しファイルに書き込み。

※テストコードなのでコードレビューはしておりません。
プログラム中に固定化（３ファイル前提）されているところもありますので利用される方はご注意を。日本語ファイル名等はそれなりの処理をして下さい。

112

113

合計9.5Ｇ　アップロードできました。
この時、httpdのCPU使用率は50%でした。
※usleep(1000) 1msecのsleepを入れるとCPU使用率は13%になります。当然アップロード時間も増加しますので、max_execution_timeは要調整。

httpd CPU使用率
———————-
50% なし
34% usleep(100)
28% usleep(300)
13% usleep(1000) 1msec
———————–

まあ、昔のperlのcgi時代は全て自分でPOSTデータはパースしてたので、
全然違和感はないですが、今は全部やってくれるので知らない内に
オンメモリーで処理されていること忘れがちあるいはそもそも、そんな考えも
しないという新人の技術者も多いかと思いますのでご注意を。