🏠
🏠
| 日時 | |
| 関係者（共同研究者） | |
UPKI(学認;Gakunin)用Shibboleth IdPでGoogle Apps SSO（シングルサインオン）を利用する方法
★ポイント：transientId(urn:oasis:names:tc:SAML:2.0:nameid-format:transient)を送信するとエラーになるみたいです．
★ログアウト：Shibboleth IdP 2.4.0からはSLO(Single LogOut)が実装されたので可能になりました1)．
・関連ＵＲＬの2の資料（https://shibbole…）を参考に基本設定を行う。
動作の概要ですが、
SAMLアサーション2)によって、
＜saml:NameID Format="urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified"＞
にて、ユーザ名（@より前の情報）のみがGoogleに転送されます。
Google Appsの方に、ユーザ名を登録してあると利用できる仕組みになっています。Google Appsに登録していないユーザは利用できないようです。
・attribute-filter.xmlを変更する。
＜AttributeFilterPolicy id="releaseTransientIdToAnyone"＞
＜PolicyRequirementRule xsi:type="basic:NOT" ＞ ←
＜basic:Rule xsi:type="basic:AttributeRequesterString" value="google.com" /＞ ←
＜/PolicyRequirementRule＞ ←
attribute-filter.xmlを変更する理由は、Google Appsに、不要な属性情報(transient IDなど)が転送されると正常に認証トークンが成立しないようです。PolicyRequirementRule xsi:type="basic:Any"が存在する場合は、調整する必要があるようだ3)。
【関連ＵＲＬ】
1. "Google Apps 用 SAML シングルサインオン (SSO) サービス", http://code.goog… , Google
2. "Achieving Single Sign-on with Google Apps and Shibboleth 2.0", https://shibbole…
3. 山形大学学術認証フェデレーション実証実験、https://upki.yam…
【関連講義】
・サイバーキャンパス「鷹山」,UPKI関係資料4)
【関連ノート】
Google AppsのSSO時のLogout(Shibbolethを使った場合)5)
【キーワード】
シボレス, ＳＳＯ, 学認, SAML,UPKI
