3.2. mod_auth_mellon Apache HTTPD 모듈

필요한 패키지를 설치하려면 다음이 필요합니다.

필요한 패키지를 설치하려면 다음 명령을 실행합니다.

yum install httpd mod_auth_mellon mod_ssl openssl

Apache의 SAML 사용과 관련된 구성 파일을 한 위치에 유지하는 것이 좋습니다.

Apache 구성 루트 /etc/httpd에 있는 saml2라는 새 디렉터리를 만듭니다.

mkdir /etc/httpd/saml2

Apache 애드온 모듈의 구성 파일은 /etc/httpd/conf.d 디렉터리에 있으며 파일 이름 확장자는 .conf입니다. /etc/httpd/conf.d/mellon.conf 파일을 만들고 여기에 Mellon의 설정 지시문을 배치해야 합니다.

Mellon의 설정 지시문은 대략 두 가지 정보 클래스로 나눌 수 있습니다.

Apache 구성 지시문은 일반적으로 위치라고 하는 URL 공간의 계층적 트리 구조를 따릅니다. 보호하려면 Mellon에 대해 하나 이상의 URL 위치를 지정해야 합니다. 각 위치에 적용되는 구성 매개 변수를 추가하는 방법에 유연성이 있습니다. 필요한 모든 매개 변수를 location 블록에 추가하거나 URL 위치 계층 구조(또는 두 위치의 일부 조합)에서 높은 공통 위치에 Mellon 매개변수를 추가할 수 있습니다. SP가 어떤 위치에 SAML 작업을 트리거하는지와 관계없이 동일한 방식으로 작동하는 것이 일반적이므로 여기에 사용되는 예제 구성은 계층 구조의 루트에 공통 Mellon 구성 지시문을 배치하고 Mellon에 의해 보호될 특정 위치를 최소 지시문으로 정의할 수 있습니다. 이 전략은 보호되는 각 위치에 대해 동일한 매개변수를 중복하지 않도록 합니다.

이 예제에는 하나의 보호 위치(https://$sp_host/private)만 있습니다.

Mellon 서비스 공급자를 구성하려면 다음 절차를 수행합니다.

 <Location / >
    MellonEnable info
    MellonEndpointPath /mellon/
    MellonSPMetadataFile /etc/httpd/saml2/mellon_metadata.xml
    MellonSPPrivateKeyFile /etc/httpd/saml2/mellon.key
    MellonSPCertFile /etc/httpd/saml2/mellon.crt
    MellonIdPMetadataFile /etc/httpd/saml2/idp_metadata.xml
 </Location>
 <Location /private >
    AuthType Mellon
    MellonEnable auth
    Require valid-user
 </Location>

SAML IdP 및 SP에서 SAML 메타데이터는 XML 형식으로 되어 있습니다. 메타데이터의 스키마는 표준이므로 참여 SAML 엔티티는 서로의 메타데이터를 사용할 수 있습니다. 다음이 필요합니다.

SAML 메타데이터의 구성 요소 중 하나는 X509 인증서입니다. 이러한 인증서는 다음 두 가지 용도로 사용됩니다.

이미 CA(인증 기관)가 있거나 자체 서명된 인증서를 생성할 수 있는 경우 자체 인증서를 사용할 수 있습니다. 이 예에서는 단순화를 위해 자체 서명된 인증서가 사용됩니다.

Mellon의 SP 메타데이터는 mod_auth_mellon 버전의 기능을 반영해야 하며, 유효한 SP 메타데이터 XML이어야 하며 X509 인증서(X509 인증서 생성에 익숙해지지 않는 경우)를 포함해야 하며, SP 메타데이터를 생성하는 가장 빠른 방법은 mod_auth_mellon 패키지에 포함된 도구를 사용하는 것입니다. 생성된 메타데이터는 텍스트 파일이므로 항상 나중에 편집할 수 있습니다. 또한 X509 키와 인증서를 생성합니다.

SAML IdP 및 SP는 EntityID로 알려진 고유한 이름을 사용하여 자신을 식별합니다. Mellon 메타데이터 생성 툴을 사용하려면 다음이 필요합니다.

SP 메타데이터를 생성하려면 다음 절차를 수행합니다.

가정: Red Hat Single Sign-On IdP가 $idp_host에 이미 설치되어 있습니다.

Red Hat Single Sign-On은 모든 사용자, 클라이언트 등을 영역으로 그룹화하는 여러 테넌시를 지원합니다. 각 영역은 다른 영역과 독립적입니다. Red Hat Single Sign-On에서 기존 영역을 사용할 수 있지만 이 예제에서는 test_realm이라는 새 영역을 생성하고 해당 영역을 사용하는 방법을 보여줍니다.

이러한 모든 작업은 Red Hat Single Sign-On 관리 콘솔을 사용하여 수행됩니다. 다음 절차를 수행하려면 $idp_host의 admin 사용자 이름과 암호가 있어야 합니다.