KNF:SimpleSAMLphp-metadata: verschil tussen versies

Uit Kennisnet Developers Documentatie
Naar navigatie springen Naar zoeken springen
 
(15 tussenliggende versies door 2 gebruikers niet weergegeven)
Regel 1: Regel 1:
  +
{{Talen}}
  +
<br/>
  +
__TOC__
  +
 
==Instellen automatisch verversen metadata in SimpleSAMLphp==
 
==Instellen automatisch verversen metadata in SimpleSAMLphp==
   
'''LET OP:''' Onderstaande instructies zijn gebaseerd op Debian, hierdoor kunnen de paden die worden gebruikt afwijken van uw configuratie.
+
'''LET OP: Onderstaande instructies zijn gebaseerd op Debian, hierdoor kunnen de paden die worden gebruikt afwijken van uw configuratie.'''
   
*Zorg ervoor dat een verbinding vanaf de SimpleSAMLphp server met ''aselect.entree.kennisnet.nl'' op poort 443 mogelijk is.
+
*Zorg ervoor dat een verbinding vanaf de SimpleSAMLphp server met ''https://aselect.entree.kennisnet.nl'' op poort 443 mogelijk is.
   
  +
===Stap 1: Inschakelen modules===
*Er moeten 2 modules worden aangezet
+
Allereerst moeten er twee modules worden aangezet:
 
# cron
 
# cron
 
# metarefresh
 
# metarefresh
Regel 18: Regel 23:
 
</syntaxhighlight>
 
</syntaxhighlight>
   
  +
===Stap 2: Testen en configureren metarefresh module===
 
Vervolgens kan de metarefresh module getest worden:
 
Vervolgens kan de metarefresh module getest worden:
 
<syntaxhighlight lang="bash">
 
<syntaxhighlight lang="bash">
 
[root@simplesamlphp]# cd modules/metarefresh/bin
 
[root@simplesamlphp]# cd modules/metarefresh/bin
[root@simplesamlphp]# ./metarefresh.php -s https://aselect.entree.kennisnet.nl/openaselect/profiles/saml2/
+
[root@simplesamlphp]# php ./metarefresh.php -s https://aselect.entree.kennisnet.nl/openaselect/profiles/saml/
 
</syntaxhighlight>
 
</syntaxhighlight>
 
'''LET OP:''' De uitvoer moet een PHP array zijn waarin de metadata XML van de Entree federatie verwerkt is. Als dit niet zo is dan is mogelijk uw firewall toegang naar de authenticatieserver van de Entree Federatie niet goed geconfigureerd. Zorg dat dit goed functioneert voordat u verder gaat met de onderstaande stappen.
 
'''LET OP:''' De uitvoer moet een PHP array zijn waarin de metadata XML van de Entree federatie verwerkt is. Als dit niet zo is dan is mogelijk uw firewall toegang naar de authenticatieserver van de Entree Federatie niet goed geconfigureerd. Zorg dat dit goed functioneert voordat u verder gaat met de onderstaande stappen.
Regel 30: Regel 36:
 
[root@simplesamlphp]# nano config/config-metarefresh.php
 
[root@simplesamlphp]# nano config/config-metarefresh.php
 
</syntaxhighlight>
 
</syntaxhighlight>
 
   
 
In de config-metarefresh.php moet het volgende staan om het automatisch verversen mogelijk te maken:
 
In de config-metarefresh.php moet het volgende staan om het automatisch verversen mogelijk te maken:
Regel 42: Regel 47:
 
'sources' => array(
 
'sources' => array(
 
array(
 
array(
'src' => 'https://aselect.entree.kennisnet.nl/openaselect/profiles/saml2/',
+
// Bij livegang hoeft alleen deze waarde aangepast te worden naar https://aselect.entree.kennisnet.nl
  +
'src' => 'https://aselect-s.entree.kennisnet.nl/openaselect/profiles/saml/',
 
'template' => array('simplesaml.nameidattribute' => 'uid'),
 
'template' => array('simplesaml.nameidattribute' => 'uid'),
 
),
 
),
Regel 54: Regel 60:
 
</syntaxhighlight>
 
</syntaxhighlight>
   
  +
===Stap 3: Mappen structuur aanmaken===
 
 
Vervolgens moet de volgende mappen structuur worden aangemaakt:
 
Vervolgens moet de volgende mappen structuur worden aangemaakt:
 
<syntaxhighlight lang="bash">
 
<syntaxhighlight lang="bash">
Regel 60: Regel 66:
 
</syntaxhighlight>
 
</syntaxhighlight>
   
  +
===Stap 4: Rechten webserver instellen===
 
Nu moet de webserver gebruiker (www-data) rechten gegeven worden:
 
Nu moet de webserver gebruiker (www-data) rechten gegeven worden:
 
<syntaxhighlight lang="bash">
 
<syntaxhighlight lang="bash">
Regel 65: Regel 72:
 
</syntaxhighlight>
 
</syntaxhighlight>
   
  +
===Stap 5: Aanpassen SimpleSAMLphp configuratie===
 
 
Pas nu de centrale SimpleSAMLphp configuratie (config.php) aan zodat deze de automatisch opgehaalde metadata gaat gebruiken:
 
Pas nu de centrale SimpleSAMLphp configuratie (config.php) aan zodat deze de automatisch opgehaalde metadata gaat gebruiken:
 
<syntaxhighlight lang="bash">
 
<syntaxhighlight lang="bash">
[root@simplesamlphp]# nano /etc/simplesamlphp/config.php
+
[root@simplesamlphp]# nano /etc/simplesamlphp/config/config.php
 
</syntaxhighlight>
 
</syntaxhighlight>
   
Regel 79: Regel 86:
 
</syntaxhighlight>
 
</syntaxhighlight>
   
  +
=== Stap 6: Instellen cronjob===
 
Nu stellen we de cron module van SimpleSAML in:
 
Nu stellen we de cron module van SimpleSAML in:
 
[root@simplesamlphp]# nano config/module_cron.php
 
[root@simplesamlphp]# nano config/module_cron.php
Regel 89: Regel 97:
 
'allowed_tags' => array('daily', 'hourly', 'frequent'),
 
'allowed_tags' => array('daily', 'hourly', 'frequent'),
 
'debug_message' => TRUE,
 
'debug_message' => TRUE,
'sendemail' => TRUE,
+
'sendemail' => FALSE,
 
);
 
);
 
</syntaxhighlight>
 
</syntaxhighlight>
Regel 102: Regel 110:
 
Deze cronjob moet één keer per uur worden uitgevoerd:
 
Deze cronjob moet één keer per uur worden uitgevoerd:
 
<syntaxhighlight lang="bash">
 
<syntaxhighlight lang="bash">
01 * * * * curl --silent "https://<YOUR_SERVER>/saml/module.php/cron/cron.php?key=<TOKEN>&tag=hourly" > /dev/null 2>&1
+
01 * * * * curl --silent "https://<YOUR_SERVER>/simplesaml/module.php/cron/cron.php?key=<TOKEN>&tag=hourly" > /dev/null 2>&1
 
</syntaxhighlight>
 
</syntaxhighlight>
   
Vul bij ''<TOKEN>'' de eerder ingestelde tekenreeks in; vul bij ''<YOUR_SERVER>'' de domeinnaam in van de webserver waarop uw SimpleSAML instantie te bereiken is.<br/>
+
Vul bij ''<TOKEN>'' de eerder ingestelde tekenreeks in; vul bij ''<YOUR_SERVER>'' de domeinnaam in van de webserver waarop uw SimpleSAML instantie te bereiken is.<br/><br/>
'''LET OP:''' Het kan voorkomen dat SimpleSAMLphp niet per se op https://<YOUR_SERVER>/saml/* geïnstalleerd is, maar op een ander pad. Houd in dat geval het eigen pad aan. Dit geldt ook voor de configuratiewijzigingen hieronder.<br/>
+
'''LET OP:''' Het kan voorkomen dat SimpleSAMLphp '''NIET''' per se op https://<YOUR_SERVER>/simplesaml/* geïnstalleerd is, maar op een ander pad. Houd in dat geval het eigen pad aan. Dit geldt ook voor de configuratiewijzigingen hieronder.<br/><br/>
   
 
Om te testen of de cronjob goed functioneert kan hij handmatig worden aangeroepen:
 
Om te testen of de cronjob goed functioneert kan hij handmatig worden aangeroepen:
 
<syntaxhighlight lang="bash">
 
<syntaxhighlight lang="bash">
[root@simplesamlphp]# curl 'https://<YOUR_SERVER>/saml/module.php/cron/cron.php?key=<TOKEN>&tag=hourly'
+
[root@simplesamlphp]# curl 'https://<YOUR_SERVER>/simplesaml/module.php/cron/cron.php?key=<TOKEN>&tag=hourly'
 
</syntaxhighlight>
 
</syntaxhighlight>
 
Dit commando geeft geen resultaat als de cronjob werkt en geeft een foutmelding de cronjob niet goed werkt.
 
Dit commando geeft geen resultaat als de cronjob werkt en geeft een foutmelding de cronjob niet goed werkt.
   
  +
===Stap 8: Controleren en testen===
 
Om de uitvoer te bekijken gaat u naar:
 
Om de uitvoer te bekijken gaat u naar:
 
<syntaxhighlight lang="bash">
 
<syntaxhighlight lang="bash">
Regel 122: Regel 131:
 
<syntaxhighlight lang="bash">
 
<syntaxhighlight lang="bash">
 
total 32
 
total 32
drwxr-xr-x 2 www-data root 4096 Jan 19 15:07 . <
+
drwxr-xr-x 2 www-data root 4096 Jan 19 15:07 .
 
drwxr-xr-x 3 root root 4096 Jan 19 08:56 ..
 
drwxr-xr-x 3 root root 4096 Jan 19 08:56 ..
 
-rw-r--r-- 1 www-data www-data 10593 Jan 19 15:07 saml20-idp-remote.php
 
-rw-r--r-- 1 www-data www-data 10593 Jan 19 15:07 saml20-idp-remote.php
Regel 129: Regel 138:
 
De twee PHP bestanden (''saml20-idp-remote.php'' en ''saml20-sp-remote.php'') bevatten de volledige configuratie die nodig is om te koppelen met de Entree Federatie.
 
De twee PHP bestanden (''saml20-idp-remote.php'' en ''saml20-sp-remote.php'') bevatten de volledige configuratie die nodig is om te koppelen met de Entree Federatie.
   
Controleer of de koppeling met de Entree federatie nog werkt.
+
Controleer of de koppeling met de Entree federatie nog werkt.<br/>
'''Maak een backup van de bestanden'''
+
'''Maak een backup van de bestanden'''<br/>
 
Verwijder vervolgens de oude metadata bestanden van de server:
 
Verwijder vervolgens de oude metadata bestanden van de server:
 
<syntaxhighlight lang="bash">
 
<syntaxhighlight lang="bash">
Regel 137: Regel 146:
 
</syntaxhighlight>
 
</syntaxhighlight>
 
<br/>
 
<br/>
Controleer hierna of de koppeling met de Entree federatie nog steeds werkt.
+
Controleer hierna of de koppeling met de Entree federatie nog steeds werkt. <br/>
 
Als het inloggen via de Entree federatie niet meer werkt zet dan de oude bestanden weer terug en controleer de stappen en instellingen hierboven nogmaals.
 
Als het inloggen via de Entree federatie niet meer werkt zet dan de oude bestanden weer terug en controleer de stappen en instellingen hierboven nogmaals.
   
 
Indien het configureren niet lukt kunt u contact opnemen met Kennisnet
 
Indien het configureren niet lukt kunt u contact opnemen met Kennisnet
   
 
[[Categorie:Kennisnet Federatie]]
 
 
[[Categorie:Entree Federatie]]
 
[[Categorie:Entree Federatie]]
[[Categorie:Handleiding]]
 

Huidige versie van 7 jan 2020 om 12:05

Nl.gif Nederlands En.gif English


Instellen automatisch verversen metadata in SimpleSAMLphp

LET OP: Onderstaande instructies zijn gebaseerd op Debian, hierdoor kunnen de paden die worden gebruikt afwijken van uw configuratie.

Stap 1: Inschakelen modules

Allereerst moeten er twee modules worden aangezet:

  1. cron
  2. metarefresh

Ga naar de webserver op console of SSH en voer de volgende commando's uit om de modules aan te zetten:

[root@simplesamlphp]# cd /usr/share/simplesamlphp
[root@simplesamlphp]# touch modules/cron/enable
[root@simplesamlphp]# cp modules/cron/config-templates/*.php config/
[root@simplesamlphp]# touch modules/metarefresh/enable
[root@simplesamlphp]# cp modules/metarefresh/config-templates/*.php config/

Stap 2: Testen en configureren metarefresh module

Vervolgens kan de metarefresh module getest worden:

[root@simplesamlphp]# cd modules/metarefresh/bin
[root@simplesamlphp]# php ./metarefresh.php -s https://aselect.entree.kennisnet.nl/openaselect/profiles/saml/

LET OP: De uitvoer moet een PHP array zijn waarin de metadata XML van de Entree federatie verwerkt is. Als dit niet zo is dan is mogelijk uw firewall toegang naar de authenticatieserver van de Entree Federatie niet goed geconfigureerd. Zorg dat dit goed functioneert voordat u verder gaat met de onderstaande stappen.

Configureer de metarefresh module voor het automatisch verversen van de metadata:

[root@simplesamlphp]# cd /usr/share/simplesamlphp
[root@simplesamlphp]# nano config/config-metarefresh.php

In de config-metarefresh.php moet het volgende staan om het automatisch verversen mogelijk te maken:

<?php 
$config = array( 
  'conditionalGET' => true, 
  'sets' => array( 
     'kn' => array( 
        'cron'    => array('hourly'), 
        'sources' => array( 
           array( 
              // Bij livegang hoeft alleen deze waarde aangepast te worden naar https://aselect.entree.kennisnet.nl
              'src'      => 'https://aselect-s.entree.kennisnet.nl/openaselect/profiles/saml/', 
              'template' => array('simplesaml.nameidattribute' => 'uid'), 
           ), 
        ), 
        'expireAfter'  => 60*60*24*4, // Maximum 4 days cache time. 
        'outputDir'    => 'metadata/metadata_knf/', 
        'outputFormat' => 'flatfile', 
     ), 
  ), 
);

Stap 3: Mappen structuur aanmaken

Vervolgens moet de volgende mappen structuur worden aangemaakt:

[root@simplesamlphp]# mkdir -p /usr/share/simplesamlphp/metadata/metadata_knf

Stap 4: Rechten webserver instellen

Nu moet de webserver gebruiker (www-data) rechten gegeven worden:

[root@simplesamlphp]# chown www-data /usr/share/simplesamlphp/metadata/metadata_knf

Stap 5: Aanpassen SimpleSAMLphp configuratie

Pas nu de centrale SimpleSAMLphp configuratie (config.php) aan zodat deze de automatisch opgehaalde metadata gaat gebruiken:

[root@simplesamlphp]# nano /etc/simplesamlphp/config/config.php

Zoek in het bestand de regel op die start met metadata.sources. Deze moet worden aangepast zodat deze er als volgt uit ziet:

       'metadata.sources' => array( 
               array('type' => 'flatfile'), 
               array('type' => 'flatfile', 'directory' => 'metadata/metadata_knf'), 
       ),

Stap 6: Instellen cronjob

Nu stellen we de cron module van SimpleSAML in: [root@simplesamlphp]# nano config/module_cron.php

Deze moet er als volgt uit zien:

<?php 
$config = array ( 
       'key' => '<TOKEN>', 
       'allowed_tags' => array('daily', 'hourly', 'frequent'), 
       'debug_message' => TRUE, 
       'sendemail' => FALSE, 
);

Vul op de plaats van <TOKEN> een lange tekenreeks in. Hiermee wordt voorkomen dat iemand vanaf buiten het cron script, dat in de volgende stap wordt gemaakt, kan aanroepen.

Stel nu de cronjob in:

[root@simplesamlphp]# crontab -e

Deze cronjob moet één keer per uur worden uitgevoerd:

01 * * * * curl --silent "https://<YOUR_SERVER>/simplesaml/module.php/cron/cron.php?key=<TOKEN>&tag=hourly" > /dev/null 2>&1

Vul bij <TOKEN> de eerder ingestelde tekenreeks in; vul bij <YOUR_SERVER> de domeinnaam in van de webserver waarop uw SimpleSAML instantie te bereiken is.

LET OP: Het kan voorkomen dat SimpleSAMLphp NIET per se op https://<YOUR_SERVER>/simplesaml/* geïnstalleerd is, maar op een ander pad. Houd in dat geval het eigen pad aan. Dit geldt ook voor de configuratiewijzigingen hieronder.

Om te testen of de cronjob goed functioneert kan hij handmatig worden aangeroepen:

[root@simplesamlphp]# curl 'https://<YOUR_SERVER>/simplesaml/module.php/cron/cron.php?key=<TOKEN>&tag=hourly'

Dit commando geeft geen resultaat als de cronjob werkt en geeft een foutmelding de cronjob niet goed werkt.

Stap 8: Controleren en testen

Om de uitvoer te bekijken gaat u naar:

[root@simplesamlphp]# ls -al /usr/share/simplesamlphp/metadata/metadata_knf/


Voorbeeld van de uitvoer:

total 32 
drwxr-xr-x 2 www-data root      4096 Jan 19 15:07 . 
drwxr-xr-x 3 root     root      4096 Jan 19 08:56 .. 
-rw-r--r-- 1 www-data www-data 10593 Jan 19 15:07 saml20-idp-remote.php 
-rw-r--r-- 1 www-data www-data 11083 Jan 19 15:07 saml20-sp-remote.php

De twee PHP bestanden (saml20-idp-remote.php en saml20-sp-remote.php) bevatten de volledige configuratie die nodig is om te koppelen met de Entree Federatie.

Controleer of de koppeling met de Entree federatie nog werkt.
Maak een backup van de bestanden
Verwijder vervolgens de oude metadata bestanden van de server:

[root@simplesamlphp]# rm /etc/simplesamlphp/metadata/saml20-idp-remote.php
[root@simplesamlphp]# rm /etc/simplesamlphp/metadata/saml20-sp-remote.php


Controleer hierna of de koppeling met de Entree federatie nog steeds werkt.
Als het inloggen via de Entree federatie niet meer werkt zet dan de oude bestanden weer terug en controleer de stappen en instellingen hierboven nogmaals.

Indien het configureren niet lukt kunt u contact opnemen met Kennisnet