Unterschiede

Hier werden die Unterschiede zwischen zwei Versionen angezeigt.

--- de:shibidp:upgrade [2021/02/09 08:58] – Silke Meyer
+++ de:shibidp:upgrade [2021/10/20 09:51] – [Deprecation Warnings ab 4.1.0] Logausschnitt deprecated ePTID Silke Meyer
@@ Zeile 1: / Zeile 1: @@
 ====== Upgrade auf Shibboleth IdP 4.x ======
-Laut der [[https://wiki.shibboleth.net/confluence/display/IDP4/Upgrading|Shibboleth-Dokumentation]] **//soll//** der IdP 4.0 direkt auf einen funktionsfähigen IdP Version 3.4.6, 3.4.7 oder 3.4.8 installiert werden! Man erhält //kein// fehlerfrei funktionierendes System, wenn man die Version 4.x separat installiert und die Konfiguration der alten Version einfach in die neue Installation hineinkopiert. Es ist natürlich möglich, die geprüften Inhalte in eine Neuinstallation zu übertragen.
+Laut der [[https://wiki.shibboleth.net/confluence/display/IDP4/Upgrading|Shibboleth-Dokumentation]] soll der IdP 4.0.x direkt auf einen funktionsfähigen IdP Version 3.4.6, 3.4.7 oder 3.4.8 installiert werden! Man erhält //kein// fehlerfrei funktionierendes System, wenn man die Version 4.x separat installiert und die Konfiguration eines 3er-IdP einfach in die neue Installation hineinkopiert (z.B. doppelte Attribute). Es ist natürlich möglich, die geprüften Inhalte in eine Neuinstallation zu übertragen.
-<callout color="#ff9900" title="Vortrag">
+**Anmerkung zu 4.1.x:** Nach dem Aufbau dieser Dokumentationsseite ist die IdP-Version 4.1.x erschienen. Es ist möglich, auf gewohnte Weise auf diese Version zu aktualisieren. **Ab 4.1.x enthält der IdP jedoch einige grundsätzliche Änderungen und viele Vereinfachungen. Das Aufräumen einer aktualisierten Installation ist sehr [[https://wiki.shibboleth.net/confluence/display/KB/Example+4.1+Upgrade|kleinteilig]], fehleranfällig und aufwändig. Wir empfehlen daher bei einem Upgrade auf 4.1.x einen neuen IdP aufzusetzen.**
-Hier können Sie unseren **Vortrag "Upgrade auf Shibboleth IdP 4.x"** vom 17.11.2020 anschauen oder sich die {{ :de:idp4:idp4-upgrade.pdf |Folien }} herunterladen. Die Themen:
-  * Allgemeine Neuerung im IdP 4
+===== Vortrag =====
-  * Neuerungen, die nur auf neu installierten 4er IdPs aktiv sind
+Hier können Sie unseren **Vortrag "Upgrade auf Shibboleth IdP 4.0.x"** vom 17.11.2020 anschauen oder sich die {{ :de:idp4:idp4-upgrade.pdf |Folien }} herunterladen. Zu dem Zeitpunkt war der **IdP 4.1.x noch nicht erschienen**. Die Themen:
-  * Vorstellung der neuen Attribute SAML Subject ID und SAML Pairwise ID
+  * Intro (bis Minute 3:00)
-  * Vorgehensweise beim Upgrade (siehe auch unten auf dieser Seite)
+  * Allgemeine Neuerungen im IdP 4.0.x (3:00 - 7:16)
-  * Ausblick auf Shibboleth 4.1
+  * Neuerungen, die nur auf neu installierten 4er IdPs aktiv sind (7:16 - 13:42)
-{{:de:idp4:idp-upgrade.mp4 |}}
+    * Die Attribute Registry (13:42 - 21:53)
-</callout>
+    * Attribut-Export aus Data Connectors (21:53 - 23:17)
+  * Vorstellung der neuen Attribute SAML Subject ID und SAML Pairwise ID (23:17 - 31:17)
+  * Vorgehensweise beim Upgrade (31:17 - 36:35) (siehe auch unten auf dieser Seite)
+  * Wann empfehlen wir eine Neuinstallation? (36:35 - 39:10)
+  * Ausblick auf Shibboleth 4.1 (ab 39:10)
+Die Aufzeichnung enthält Kapitelmarken, mit denen Sie in einem geeigneten Player springen können.
+{{ :de:idp4:idp_upgrade.mp4 |}}
 <callout color="#ff9900" title="Vorgehen in Abhängigkeit Ihrer IdP-Version">
@@ Zeile 18: / Zeile 25: @@
   * [[de:shibidp:upgrade#upgrade_von_341_-_345| Upgrade von 3.4.1 - 3.4.5]]
   * [[de:shibidp:upgrade#neuinstallation_bei_idp_33x_oder_aelter | Neuinstallation bei 3.3.x oder älter]]
+  * **Anmerkung zu 4.1.x:** Nach dem Aufbau dieser Dokumentationsseite ist die IdP-Version 4.1.x erschienen. **Es ist möglich, auf diese Version zu aktualisieren** (getestet mit einem Upgrade von 3.4.8 über 4.0.1 auf 4.1.0). Ab 4.1.x enthält der IdP jedoch einige grundsätzliche Änderungen und viele Vereinfachungen. **Das Aufräumen einer aktualisierten Installation ist sehr [[https://wiki.shibboleth.net/confluence/display/KB/Example+4.1+Upgrade|kleinteilig]]** und aufwändig. Es lohnt sich ggf., die Version 4.1.x neu aufzusetzen. Die Upgrade-Deadline am 30.06.2021 bleibt dadurch unberührt.
 </callout>
@@ Zeile 90: / Zeile 98: @@
 Ein von 3.4.x aktualisierter Shibboleth-IdP verhält sich in Bezug auf den gewählten Verschlüsselungsalgorithmus so wie vor dem Upgrade. Der Algorithmus, der bisher zum Einsatz kam, gilt jedoch nicht mehr als sicher. Bitte schauen Sie sich die unter [[de:shibidp:config-encryption|Konfiguration des Verschlüsselungsalgorithmus]] gezeigten Möglichkeiten an. Wir zeigen dort einen empfohlenen Weg mit dem neueren Algorithmus AES-GCM und Ausnahmen für SPs, die den Algorithmus noch nicht kennen.
-==== Deprecation Warnings ab 4.x ====
+==== Umstellung auf die Nutzung der Attribute Registry (optional) ====
+Ab der Version 4.x kommt der IdP mit der neu eingeführten [[https://shibboleth.atlassian.net/wiki/spaces/IDP4/pages/1272054306/AttributeRegistryConfiguration|Attribute Registry]]. Sie können Ihre Datei ''conf/attribute-resolver.xml'' deutlich vereinfachen, wenn Sie auf die Registry umstellen. Außerdem bietet der IdP dann die Möglichkeit, Attribute direkt zu nutzen (zu "exportieren"), die in Ihrem IdM dieselbe ID haben wir in der Attribute Registry. Dadurch können Sie eventuell etliche Attributdefinitionen komplett loswerden. Die Schritte:
+  * Alle im Resolver definierten Attribute, die nach außen übermittelt werden sollen (die also nicht nur eine Dependency für eine andere Attributdefinition sind), müssen in der Attribute Registry (unterhalb von ''conf/attributes'' existieren. In der Registry müssen die jeweiligen Transcoding-Regeln und Kurzbeschreibungen stehen. Ist dies der Fall, können Sie die betreffenden Zeilen aus dem Resolver entfernen.
+  * Wenn Sie beim DataConnector "exportAttributes" nutzen, müssen Sie sicherstellen, dass bei allen Attributdefinitionen, die von diesen "exportierten" Attributen abhängen, jetzt InputDataConnector statt InputAttributDefinition stehen muss.
+  * Aktivieren Sie die Registry verwenden soll, indem Sie ''conf/services.xml'' editieren und folgenden Abschnitt shibboleth.AttributeRegistryResources einkommentieren:<file xml /opt/shibboleth-idp/conf/services.xml>    <util:list id ="shibboleth.AttributeRegistryResources">
+        <value>%{idp.home}/conf/attribute-registry.xml</value>
+        <value>%{idp.home}/conf/attributes/default-rules.xml</value>
+        <value>%{idp.home}/conf/attribute-resolver.xml</value>
+    </util:list>
+</file>
+==== Deprecation Warnings ab 4.0.1 ====
 Direkt nach der Aktualisierung auf einen 4.xer IdP erscheinen im Log neue Deprecation Warnings. Wir empfehlen, sie über die Minor Updates hin gleich zu bearbeiten. Hier finden Sie fortlaufend die Einstellungen, die ab 4.x abgekündigt sind.
@@ Zeile 136: / Zeile 156: @@
 </AttributeFilterPolicy>
 </file>
+==== Deprecation Warnings ab 4.1.0 ====
+  * Der ''xsi:type="SAML2NameID"'' im Attribute Resolver wird für das nächste Major Release abgekündigt. Sie sehen die Warnung, wenn Sie das veraltete Attribut ''eduPersonTargetedID'' im Resolver definiert haben. Bitte **ignorieren** Sie die Warnung vorerst. Sehr viele Service Provider verlangen das Attribut nach wie vor.<code>WARN [DEPRECATED:125] - xsi:type 'SAML2NameID', (file [/opt/shibboleth-idp/conf/attribute-resolver.xml]): This will be removed in the next major version of this software; replacement is (none)</code>
 ====== Upgrades innerhalb der Produktlinie IdP 4.x ======
-Laut [[https://wiki.shibboleth.net/confluence/display/IDP4/Upgrading|Shibboleth-Wiki]] werden die Minor- oder Patch-Updates - genau wie bereits im IdP 3.x - jeweils über die laufende IdP-Version drüber installiert:
+Laut [[https://wiki.shibboleth.net/confluence/display/IDP4/Upgrading|Shibboleth-Wiki]] werden die Minor- oder Patch-Updates jeweils über die laufende IdP-Version drüber installiert:
   * Sie laden dazu die [[http://shibboleth.net/downloads/identity-provider/latest/|neueste IdP-Version]] herunter (unter Linux standardmäßig nach ''/opt/install'') und entpacken sie.
-  * Dann führen Sie das interaktive Installationsskript erneut aus. Wichtig ist, dass Sie als Zielverzeichnis das Verzeichnis der laufenden Installation angeben, z.B. ''/opt/shibboleth-idp'' unter Linux. Unter Linux ist außerdem zu beachten, dass beim Upgrade die Schreib-/Leseberechtigungen korrekt gesetzt werden (Parameter'' -Didp.conf.filemode=644'' beim Aufruf von ''./bin/install.sh'').<code>root@idp:/opt/install/shibboleth-identity-provider-4.0.1# ./bin/install.sh  -Didp.conf.filemode=644
+  * Dann führen Sie das interaktive Installationsskript erneut aus. Wichtig ist, dass Sie als Zielverzeichnis das Verzeichnis der laufenden Installation angeben, z.B. ''/opt/shibboleth-idp'' unter Linux. Unter Linux ist außerdem zu beachten, dass beim Upgrade die Schreib-/Leseberechtigungen korrekt gesetzt werden (Parameter'' -Didp.conf.filemode=644'' beim Aufruf von ''./bin/install.sh'').<code>root@idp:/opt/install/shibboleth-identity-provider-4.1.4# ./bin/install.sh  -Didp.conf.filemode=644
-Buildfile: /opt/install/shibboleth-identity-provider-4.0.1/bin/build.xml
+Buildfile: /opt/install/shibboleth-identity-provider-4.1.4/bin/build.xml
 install:
-Source (Distribution) Directory (press <enter> to accept default): [/opt/install/shibboleth-identity-provider-4.0.1] ?
+Source (Distribution) Directory (press <enter> to accept default): [/opt/install/shibboleth-identity-provider-4.1.4] ?
 Installation Directory: [/opt/shibboleth-idp] ?
-INFO [net.shibboleth.idp.installer.V4Install:155] - Update from version 4.0.0 to version 4.0.1
+INFO [net.shibboleth.idp.installer.V4Install:155] - Update from version 4.1.3 to version 4.1.4
-INFO [net.shibboleth.idp.installer.BuildWar:72] - Rebuilding /opt/shibboleth-idp/war/idp.war, Version 4.0.1
+INFO [net.shibboleth.idp.installer.BuildWar:72] - Rebuilding /opt/shibboleth-idp/war/idp.war, Version 4.1.4
 INFO [net.shibboleth.idp.installer.BuildWar:81] - Initial populate from /opt/shibboleth-idp/dist/webapp to /opt/shibboleth-idp/webpapp.tmp
 INFO [net.shibboleth.idp.installer.BuildWar:90] - Overlay from /opt/shibboleth-idp/edit-webapp to /opt/shibboleth-idp/webpapp.tmp
@@ Zeile 155: / Zeile 178: @@
 BUILD SUCCESSFUL
-Total time: 1 minute 25 seconds
+Total time: 42 seconds
 </code>