| Beide Seiten der vorigen Revision Vorhergehende Überarbeitung Nächste Überarbeitung | Vorhergehende Überarbeitung |
| de:shibidp:install [2023/01/05 11:06] – [Vorbereitung der IdP-Metadaten] NameID-Abschnitt entfernt. Maßgeblich ist eh, was in relying-party.xml steht. Silke Meyer | de:shibidp:install [2023/12/05 10:11] (aktuell) – [Vorbereitung der IdP-Metadaten] Wolfgang Pempe |
|---|
| |
| ====== Vorbereitung der IdP-Metadaten ====== | ====== Vorbereitung der IdP-Metadaten ====== |
| |
| <callout color="#ff9900" title="Einmalige Verwendung der idp-metadata.xml"> | |
| Die Datei ''./metadata/idp-metadata.xml'' wird in der DFN-AAI nicht verwendet. Sie wird später weder vom IdP aktualisiert, noch von anderen Teilnehmern benötigt. Sie wird hier **ausschließlich für das initiale Einlesen in die Metadatenverwaltung** editiert und verwendet! | |
| </callout> | |
| |
| Die Metadatenverwaltung der DFN-AAI kann die Metadaten Ihres IdP einlesen. Das verringert den Aufwand beim Eintragen der IdP-Metadaten. Wir empfehlen, vor dem initialen Registrieren des IdPs in ''./metadata/idp-metadata.xml'' die fehlenden Einträge zu aktivieren, damit die Felder in der Metadatenverwaltung ausgefüllt werden können. Im Folgenden sind nur die relevanten Ausschnitte angegeben: | Die Metadatenverwaltung der DFN-AAI kann die Metadaten Ihres IdP einlesen. Das verringert den Aufwand beim Eintragen der IdP-Metadaten. Wir empfehlen, vor dem initialen Registrieren des IdPs in ''./metadata/idp-metadata.xml'' die fehlenden Einträge zu aktivieren, damit die Felder in der Metadatenverwaltung ausgefüllt werden können. Im Folgenden sind nur die relevanten Ausschnitte angegeben: |
| | |
| <!-- Protocol-Support für SAML2-Queries im Attribute Authority-Descriptor aktivieren --> | <!-- Protocol-Support für SAML2-Queries im Attribute Authority-Descriptor aktivieren --> |
| <AttributeAuthorityDescriptor protocolSupportEnumeration="urn:oasis:names:tc:SAML:1.1:protocol urn:oasis:names:tc:SAML:2.0:protocol"> | <AttributeAuthorityDescriptor protocolSupportEnumeration="urn:oasis:names:tc:SAML:2.0:protocol"> |
| | |
| ... | ... |
| | |
| <AttributeService Binding="urn:oasis:names:tc:SAML:1.0:bindings:SOAP-binding" Location="..."/> | |
| <!-- SAML2-Attribute-Service einkommentieren --> | <!-- SAML2-Attribute-Service einkommentieren --> |
| <AttributeService Binding="urn:oasis:names:tc:SAML:2.0:bindings:SOAP" Location="..."/> | <AttributeService Binding="urn:oasis:names:tc:SAML:2.0:bindings:SOAP" Location="..."/> |
| |
| <!-- die fehlenden NameID-Formate hinzufügen --> | |
| <NameIDFormat>urn:mace:shibboleth:1.0:nameIdentifier</NameIDFormat> | |
| <NameIDFormat>urn:oasis:names:tc:SAML:2.0:nameid-format:transient</NameIDFormat> | |
| <NameIDFormat>urn:oasis:names:tc:SAML:2.0:nameid-format:persistent</NameIDFormat> | |
| |
| </AttributeAuthorityDescriptor> | </AttributeAuthorityDescriptor> |
| </EntityDescriptor> | </EntityDescriptor> |
| </code> | </code> |
| | |
| | <callout type="danger" title="Einmalige Verwendung der idp-metadata.xml"> |
| | Die Datei ''./metadata/idp-metadata.xml'' wird in der DFN-AAI nicht verwendet. Sie wird später weder vom IdP aktualisiert, noch von anderen Teilnehmern benötigt. Sie wird hier **ausschließlich für das initiale Einlesen in die Metadatenverwaltung** editiert und verwendet! |
| | |
| | Der Inhalt dieser Datei wird per default unter der URL ''https://idp.example.org/idp/shibboleth'' ausgeliefert. Manche Dienstbetreiber gehen fälschlicherweise davon aus, dass die Daten darin ständig aktuell sind (wie es beim Shibboleth-Service-Provider ist). Deshalb sollte man diese URL abstellen, indem man in ''idp.properties'' den zugehörigen Eintrag leert: |
| | |
| | <file properties ./conf/idp.properties> |
| | #idp.entityID.metadataFile=%{idp.home}/metadata/idp-metadata.xml |
| | idp.entityID.metadataFile= |
| | </file> |
| | Die Änderung wird nach dem nächsten Tomcat-Neustart wirksam. |
| | </callout> |
| |
| {{tag>idp4 tutorial included-in-ansible}} | {{tag>idp4 tutorial included-in-ansible}} |