> For the complete documentation index, see [llms.txt](https://ajuda.rnp.br/cafe/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://ajuda.rnp.br/cafe/sheerid/adesao-sp/instalacao-shibboleth-sp.md). # Instalação Shibboleth SP Roteiro para auxiliar na configuração de um Service Provider utilizando um sistema Ubuntu ### Introdução Este tutorial apresenta os passos necessários para se fazer a instalação do Shibboleth Service Provider (SP). Tal ferramenta será utilizada para atuar como provedor de serviços dentro da Federação CAFe. A seguir serão apresentados os requisitos bem como roteiro para a referida instalação. É importante ressaltar que ao longo da instalação existem variáveis (que estão destacadas em negrito) que devem ser substituídas manualmente pelos seus respectivos valores. ### Requisitos Para executar este roteiro, espera-se que já tenham sido executados os seguintes roteiros anteriormente: ### Clique aqui: [Geração de Chave e Certificado](/cafe/sheerid/adesao-sp/geracao-de-chave-e-certificado.md) para atender os itens 1, 2.1 e 2.4 ## Glossário de Variáveis Ao longo deste roteiro serão utilizadas algumas variáveis que deverão ser substituídas para que ocorra o perfeito funcionamento dos arquivos de configuração. A seguir é apresentado um glossário para substituição das variáveis: {% hint style="info" %} **$DOMINIO\_INST** = Ex.: instituicao.br\ **$ENDERECO\_IP** = Ex.: 111.222.333.444\ **$HOSTNAME** = Ex.: servidor.instituicao.br {% endhint %} ## Roteiro #### Inicialmente faça a instalação do Apache 2 bem como dos módulos para PHP5 e Shibboleth 2. Para tanto execute a linha de comando a seguir: ``` apt-get -y install apache2 libapache2-mod-php5 libapache2-mod-shib2 ``` #### Verifique o arquivo /etc/apache2/ports.conf para constatar a presença das linhas Listen 80 e Listem 443. Caso tais linhas não existam ou estejam comentadas, adicione-as ao final do arquivo. #### Faça a liberação do Shibboleth no arquivos de regras do firewall. Para tanto adicione as linhas abaixo no arquivo /etc/default/firewall. ``` # Liberação do Apache (Shibboleth-SP) #SHIB-SP iptables -A INPUT -p tcp -m tcp --dport 80 -j ACCEPT #SHIB-SP iptables -A INPUT -p tcp -m tcp --dport 443 -j ACCEPT #SHIB-SP #SHIB-SP ``` #### Substitua o conteúdo do arquivo /etc/apache2/sites-available/default pelas linhas a seguir: ``` NameVirtualHost * ServerName $HOSTNAME ServerSignature Off # Redirecionamento para SSL RewriteEngine on RewriteCond %{HTTPS} !=on RewriteRule ^(.*) https://%{SERVER_NAME}/$1 [R,L] DocumentRoot /var/www/ Options Indexes FollowSymLinks MultiViews AllowOverride None Order allow,deny allow from all ErrorLog /var/log/apache2/error.log # Possible values include: debug, info, notice, warn, error, crit, # alert, emerg. LogLevel info CustomLog /var/log/apache2/sp-access-80.log combined ``` #### É possível fazer o download do arquivo acima através da seguinte linha de comando: ``` wget https://svn.rnp.br/repos/CAFe/ubuntu/lucid/shibboleth-sp/default -O /etc/apache2/sites-available/default --no-check-certificate ``` #### Substitua o conteúdo do arquivo /etc/apache2/sites-available/shibboleth-sp2.conf pelas linhas a seguir: ``` ServerName $HOSTNAME ServerSignature Off SSLEngine on SSLCertificateFile /etc/ssl/certs/$HOSTNAME.crt SSLCertificateKeyFile /etc/ssl/private/$HOSTNAME.key #ShibURLScheme https DocumentRoot /var/www/ Options -Indexes -FollowSymLinks -MultiViews AllowOverride None Order deny,allow Allow from all AuthType shibboleth ShibRequireSession On require valid-user Order allow,deny allow from all # # AuthType shibboleth # ShibRequireSession On # require valid-user # ErrorLog /var/log/apache2/error.log # Possible values include: debug, info, notice, warn, error, crit, # alert, emerg. LogLevel info CustomLog /var/log/apache2/sp-access-443.log combined ``` #### É possível fazer o download do arquivo acima através da seguinte linha de comando: ``` wget https://svn.rnp.br/repos/CAFe/ubuntu/lucid/shibboleth-sp/shibboleth-sp2 -O /etc/apache2/sites-available/shibboleth-sp2.conf --no-check-certificate ``` #### Ative o módulo Rewrite, Shibboleth e SSL no Apache através das seguintes linhas de comando: ``` a2enmod shib2 a2enmod ssl a2enmod rewrite ``` #### Habilite o site bem como faça a exclusão dos arquivos desnecessários. Para tanto, execute as linhas de comando a seguir: ``` a2ensite shibboleth-sp2 rm -rf /var/www/index.html rm -rf /etc/shibboleth/IQ-metadata.xml ``` #### Substitua o conteúdo do arquivo /etc/shibboleth/shibboleth2.xml pelas linhas a seguir: ``` ``` #### Substitua o conteúdo do arquivo /etc/shibboleth/attribute-map.xml pelas linhas a seguir: ``` ``` #### Substitua o conteúdo do arquivo /etc/shibboleth/attribute-policy.xml pelas linhas a seguir: ``` ``` #### Substitua o conteúdo do arquivo /root/**$HOSTNAME**-metadata-sp.xml pelas linhas abaixo. (o arquivo é criado manualmente) {% hint style="warning" %} O arquivo abaixo é um template por esse motivo você deve alterar os valores $HOSTNAME pelo nome da URL do seu serviço original, por exemplo, "servico-exemplo.com.br". {% endhint %} {% hint style="warning" %} Também é necessário que inclua o hash do seu certificado no aquivo para então enviar o metadado para a equipe de operação e suporte da CAFe. O local onde deve ser inserido o certificado está especificado no template. {% endhint %} ``` $HOSTNAME CN=$HOSTNAME,OU=RNP,O=Rede Nacional de Ensino e Pesquisa,L=Rio de Janeiro,ST=Rio de Janeiro,C=BR COPIE O HASH DO SEU CERTIFICADO NESSE ESPAÇO - SEM e COPIE O HASH DO SEU CERTIFICADO NESSE ESPAÇO - SEM e COPIE O HASH DO SEU CERTIFICADO NESSE ESPAÇO - SEM e COPIE O HASH DO SEU CERTIFICADO NESSE ESPAÇO - SEM e ``` {% hint style="danger" %} O conteúdo do certificado que deve ser incluído no arquivo acima é referente ao certificado gerado e armazenado no arquivo /etc/ssl/certs/**$HOSTNAME**.crt {% endhint %} #### Para instalar a aplicação de homologação, execute a linha de comando a seguir: ``` mkdir /var/www/secure wget https://svn.rnp.br/repos/CAFe/ubuntu/lucid/shibboleth-sp/index.php -O /var/www/secure/index.php --no-check-certificate ``` #### Editar o arquivo " /etc/init.d/shibd " se o SO for Ubuntu 14.04. Encontrar as linhas abaixo e editar para que fique igual ao exemplo. Caso seja Ubuntu 18.04lts o arquivo está em **/lib/systemd/system/shibd.service** \#DAEMON\_USER=\_shibd - comentar a linha DAEMON\_USER=root - adicionar esta nova linha {% hint style="danger" %} \*\* Após realizar a alteração, executar o stop do shibd e depois o start. {% endhint %} --- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://ajuda.rnp.br/cafe/sheerid/adesao-sp/instalacao-shibboleth-sp.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.