Unterschiede

Hier werden die Unterschiede zwischen zwei Versionen angezeigt.

--- de:shibidp3prepare-tomcat [2020/05/05 09:10] – secret Required nötig nach Update auf Tomcat 8.5.51 Thorsten Michels
+++ de:shibidp3prepare-tomcat [2021/05/03 13:18] (aktuell) – veralteten Inhalt gelöscht Silke Meyer
@@ Zeile 1: / Zeile 1: @@
-===== IdP 3.x Vorarbeiten: Tomcat =====
-==== Installation ====
-=== Debian 10 ===
-<code bash>
-root@idp:~# apt install tomcat9
-</code>
-=== Debian 8/9 ===
-<code bash>
-root@idp:~# apt-get install tomcat8
-</code>
-=== CentOS 7 ===
-CentOS 7 bringt über das Repository noch Tomcat 7 mit. Neuere Versionen können Sie manuell installieren.
-<code bash>
-root@idp:~# yum -y install tomcat
-</code>
-=== OpenSUSE Leap 15.1 ===
-OpenSUSE Leap 15 kommt mit Tomcat 9.
-<code bash>
-root@idp:~# zypper install tomcat
-</code>
-==== Startup-Konfiguration ====
-Einige globale Java-Parameter müssen beim Tomcat-Start festgelegt werden. Das IdP-Servlet benötigt mehr Speicher, als gemäß den Voreinstellungen vorgesehen ist und Zugriff auf das Filesystem:
-=== Debian 10 ===
-<file bash /etc/default/tomcat9>
-# den Tomcat mit genug Speicher starten:
-JAVA_OPTS="-Djava.awt.headless=true -XX:+UseConcMarkSweepGC -Xms1024m -Xmx2048m"
-</file>
-Diese Datei muss neu angelegt werden:
-<file ini /etc/systemd/system/tomcat9.service.d/override.conf>
-[Service]
-ReadWritePaths=/opt/shibboleth-idp/logs/
-ReadWritePaths=/opt/shibboleth-idp/metadata/
-</file>
-Anschließend:
-<code>
-systemctl daemon-reload
-</code>
-=== Debian 8/9 ===
-<file bash /etc/default/tomcat[8|9]>
-# den Tomcat mit genug Speicher starten:
-JAVA_OPTS="-Djava.awt.headless=true -XX:+UseConcMarkSweepGC -Xms1024m -Xmx2048m"
-# Zugriff auf das File-System:
-TOMCAT8_SECURITY=no
-</file>
-=== CentOS und OpenSUSE ===
-Die Tomcat-Start-Optionen werden in ''/etc/tomcat/tomcat.conf'' festgelegt.
-==== Port-Konfiguration ====
-In der Tomcat-Configuration wird dann
-  * aus Sicherheitsgründen der Default-Port 8080 abgeschaltet
-  * auf Port 8009 der AJP-Connector aktiviert über den der vorgelagerte Webserver Anfragen an Tomcat weiterleitet
-<file xml /etc/tomcatX/server.xml>
-   <!-- ... -->
-  <Service name="Catalina">
-    <!-- ... -->
-    <!-- non-SSL/TLS HTTP/1.1 Connector on port 8080 abschalten -->
-    <!-- <Connector port="8080" protocol="HTTP/1.1"
-               connectionTimeout="20000"
-               redirectPort="8443" /> -->
-    <!-- ... -->
-    <!-- Define an AJP 1.3 Connector on port 8009 -->
-    <Connector port="8009"
-               address="127.0.0.1"
-               protocol="AJP/1.3"
-               redirectPort="8443"
-               enableLookups="false"
-               useIPVHosts="true"
-               maxPostSize="100000"
-               secretRequired="false"
-               URIEncoding="UTF-8" />
-    <!-- ... -->
-  </Service>
-  <!-- ... -->
-</file>
-IdP-Sessions gehen bei einem Tomcat-Neustart in jedem Fall verloren. Daher ergibt es keinen Sinn (bzw. führt nur zu unnötigen IdP-Fehlermeldungen), einzustellen, dass alte Sessions über Tomcat-Neustarts persistiert werden sollen. Deaktivieren Sie daher dieses Tomcat-Feature:
-<file xml /etc/tomcatX/context.xml>
-<?xml version="1.0" encoding="UTF-8"?>
-<!--
-     ...
--->
-<!-- The contents of this file will be loaded for each web application -->
-<Context>
-    <!-- Default set of monitored resources. If one of these changes, the    -->
-    <!-- web application will be reloaded.                                   -->
-    <WatchedResource>WEB-INF/web.xml</WatchedResource>
-    <WatchedResource>${catalina.base}/conf/web.xml</WatchedResource>
-    <!-- Uncomment this to disable session persistence across Tomcat restarts -->
-    <!-- siehe https://wiki.shibboleth.net/confluence/display/IDP30/ApacheTomcat8 -->
-    <Manager pathname="" />
-</Context>
-</file>
-==== Java Standard Tag Library (JSTL) ====
-=== Debian 10 ===
-Unter Debian 10 kann die JSTL aus dem Debian-Repository installiert werden:
-<code bash>
-root@idp:~# apt install libtaglibs-standard-impl-java
-</code>
-Anschließend muss der Pfad zur .jar-Datei noch ''/etc/tomcat9/catalina.properties'' hinzugefügt werden:
-<file xml /etc/tomcat9/catalina.properties>
-common.loader="${catalina.base}/lib","${catalina.base}/lib/*.jar","${catalina.home}/lib","${catalina.home}/lib/*.jar","/usr/share/java/*.jar"
-</file>
-=== Debian 8/9 ===
-Unter Debian 8 und 9 muss die fehlerfreie Version der Java Standard Tag Library heruntergeladen und in das Tomcat-Verzeichnis $CATALINA_BASE/lib gelegt werden. Unter Debian/Ubuntu ist das ''/var/lib/tomcat8/lib'', bei anderen Distributionen passen Sie den Pfad ggf. entsprechend an:
-<code bash>
-root@idp:~# wget https://build.shibboleth.net/nexus/service/local/repositories/thirdparty/content/javax/servlet/jstl/1.2/jstl-1.2.jar \
-             -O /var/lib/tomcat8/lib/jstl-1.2.jar
-</code>
-=== OpenSUSE Leap 15.1 ===
-<code bash>
-root@idp:~# zypper install jakarta-taglibs-standard
-</code>
-==== Tomcat Restart ====
-Nach den ganzen obigen Anpassungen können Sie jetzt den Tomcat neu starten:
-<code bash>
-root@idp:~# systemctl restart tomcatX
-</code>
-Behalten Sie beim Neustart in einem zweiten Fenster das Tomcat-Log im Blick, um zu sehen, ob es beim Start Probleme gibt:
-<code bash>
-root@idp:~# tail -f /var/log/tomcatX/catalina.DATUM.log
-# oder
-root@idp:~# journalctl -u tomcat -f
-</code>
-Sofern der Tomcat nicht fehlerfrei startet sollten Sie dem erst nachgehen, bevor Sie mit dieser Anleitung weiter machen. Wenn im Log die Meldung "Server startup in XXXXX ms" kommt, ist der Tomcat betriebsbereit. Kontrollieren Sie dann, ob die Port-Konfiguration erfolgreich war und der Tomcat nur noch an 1-2 Ports auf Localhost lauscht. Der **Port 8005** ist bei Debian/Ubuntu mit Tomcat8 sowieso OpenSUSE mit Tomcat 9 noch standardmäßig offen, bei Debian/Ubuntu mit Tomcat9 nicht mehr. Das ist okay so.
-<code bash>
-root@idp:~# netstat -tlpn | grep java
-(tcp6     0    0 127.0.0.1:8005    :::*    LISTEN   2594/java)
- tcp6     0    0 127.0.0.1:8009    :::*    LISTEN   2594/java
-</code>
-==== Konfiguration für das IdP-Servlet vorbereiten ====
-Um das IdP-Servlet im Tomcat zu aktivieren, erstellen Sie folgende Datei im Tomcat-localhost-Context:
-<file xml /etc/tomcatX/Catalina/localhost/idp.xml>
-<Context docBase="/opt/shibboleth-idp/war/idp.war"
-         privileged="true"
-         unpackWAR="true"
-         antiResourceLocking="false"
-         swallowOutput="true" />
-</file>
-**Achtung:**  Unter CentOS 7 und Tomcat 7 muss ''unpackWAR="false"''  gesetzt werden!
-Solange nichts unter /opt/shibboleth liegt, startet der Tomcat jetzt nur mit Fehlern neu.
-Weiter geht es mit [[:de:shibidp3prepare-http|HTTP-Server]].
-{{tag>idp3}}