Dies ist eine alte Version des Dokuments!


In allen Konfigurationsbeispielen muss APPSESSIONNAME durch den Cookie-Namen der zu schützen Anwendung ersetzt werden, die den Identifier der Anwendungs-Session enthält.

Die Einrichtung für SessionHook ist identisch der Konfiguration Anwendungsszenario normal.

Konfiguration Apache 2.4: Login

httpd.conf
<Location /LOGINLAZY>
   #KEINE Prüfung mit RewriteMap-Skript, da die Prüfung in der <Location /LAZYAPPLICATION> der Anwendung erfolgt.!!!
   authType shibboleth
   ShibRequestSetting requireSession true
   <RequireAll>
      Require shib-attr eppn ~ ^foo*@beispiel-uni.de$
      Require shib-attr eduPersonEntitlement ~ ^urn:beispiel-uni.de:foobar$
   </RequireAll>
</Location>

Konfiguration Apache 2.4: Anwendung (komplett)

httpd.conf
<Location /LAZYAPPLICATION>
#Lazy Session Shibboleth
authType shibboleth
ShibRequestSetting requireSession false
Require shibboleth		
ShibUseHeaders on
RewriteEngine On
#den Wert der Anwendungssession merken um die Anwendungssession sauber zerstören zu können
RewriteCond %{HTTP:Cookie} APPSESSIONNAME=([^;]+)
RewriteRule .* - [E=appsid:%1]
 
#prüfen, ob die Anfrage gültig ist und ggf. das Logout durchführen
#ACHTUNG: Erst die Anwendungssession zerstören und das das Shibboleth-Logout!
 
RewriteCond ${shibchecker:lazy,%{HTTP:Shib-Session-ID},APPSESSIONNAME,%{HTTP:Cookie}} ([^;]+)
#Um die Aufrufe zu minimieren, wird das Ergebnis in einer Umgebungsvariable gespeichert und dann können die verschiedenen Rückgabewerte wieder in einzelnen Bedingungen ausgewertet werden
RewriteRule .* - [E=shibcheckertype:%1]
 
#Login? - das redirect muss automatisch erfolgen, da sonst ein Nutzer die Möglichkeit hätte, ein altes Cookie der Anwendung einzuschleusen und durch den sessionHook und den erneuten Aufruf von shibchecker wird sonst 
# eine Anwendungs-Session gefunden, die dann zum Logout führt
RewriteCond %{ENV:shibcheckertype} ^doLogin$
RewriteRule .* https://sp.beispiel-uni.de/LOGINLAZY
 
#Anwendungssession bekannt machen? - Anwendungssession muss noch initialisiert (shibchecker bekannt gemacht werden) werden, damit das Anwendungs-Cookie nicht verändert werden kann
#bevorzugt
RewriteCond %{ENV:shibcheckertype} ^doAppSession$
über ein extra Skript, wenn ohne weiteres die Anwendungssession initialisiert werden kann
RewriteRule .* https://sp.beispiel-uni.de/initsess/initsess.php
 
#oder über Refresh-Header, falls man das Initialisieren der Anwendungssession nicht selbst triggern kann
#RewriteCond %{ENV:shibcheckertype} ^doAppSession$
#RewriteRule .* - [E=doAppSession:1]				
#Header set Refresh "0" env=doAppSession
 
#Logout?		
RewriteCond %{ENV:shibcheckertype} ^doLogout$
RewriteRule .*  https://sp.beispiel-uni.de/eviluse/SESSIONREMOVER.php?appsid=%{ENV:appsid}
 
</Location>

Anmerkung: Führt die Anwendung selbständig das Redirect zum Shibboleth-Login und auch die Initialisierung der Anwendungssession durch, so verkürzt sich die Konfiguration, da auf die Rückgabewerte doLogin und doAppSession nicht reagiert werden muss.

Konfiguration Apache 2.4: Anwendung (reduziert)

httpd.conf
<Location /LAZYAPPLICATION>
   #Lazy Session Shibboleth
   authType shibboleth
   ShibRequestSetting requireSession false
   Require shibboleth
   ShibUseHeaders on
   RewriteEngine On
   #den Wert der Anwendungssession merken um die Anwendungssession sauber zerstören zu können
   RewriteCond %{HTTP:Cookie} APPSESSIONNAME=([^;]+)
   RewriteRule .* - [E=appsid:%1]
   #prüfen, ob die Anfrage gültig ist und ggf. das Logout durchführen
   #ACHTUNG: Erst die Anwendungssession zerstören und das das Shibboleth-Logout!
   RewriteCond ${shibchecker:lazy,%{HTTP:Shib-Session-ID},APPSESSIONNAME,%{HTTP:Cookie}} ^doLogout$
   RewriteRule .*  https://sp.beispiel-uni.de/eviluse/SESSIONREMOVER.php?appsid=%{ENV:appsid}
</Location>
  • Zuletzt geändert: vor 8 Jahren