RIUTEC 2018

Laboratorio en ARIU: practicas con Single Sign On.

Requisitos:

Sala con conectividad ipv4 con dhcp y dns operativos.
Computadora del participante (en adelante «laptop«):
Conectividad ipv4.
Navegador Web.
Cliente SSH.
Virtualbox instalado.

Definiciones:

Dominios:

ariudemo.edu.ar (para las maquinas vmlabo)
demo.edu.ar (para el idp de federacion)

Usuarios y contraseñas:

Maquina / Servicio	Usuario	Contraseña
vmlabo	root	super123
Nube	admin	super123
ldap	cn=admin,dc=ariudemo,dc=edu,dc=ar	super123

Crear VM en Virtualbox.

0) VMLABO:

0.A) laptop: descargar la plantila de maquina virtual vmlabo desde el siguiente enlace: LINK_DE_DESCARGA

0.B) laptop: abrir Virtualbox: Importar servicio virtualizado –> Servicio a Importar (indicar la ruta del archivo descargado del punto anterior).

0.C) laptop: en Preferencias de servicio:

Controlador USB (Desactivar)
Reinicializar la dirección MAC de todas las tarjetas de red (Activar)

0.D) laptop: iniciar la maquina virtual vlmabo.

Nota: Puede presentar un error al iniciar la máquina al no encontrar la interfaz de red para crear el puente. Será necesario entonces ir a las Preferencias de red y cambiar el Nombre del adaptador. Luego iniciar.

Configurar un SP con IDP local.

1) IDP SAML con autenticación LDAP:

1.A) vmlabo: acceder a la consola como root, y verificar la dirección ipv4 que le fue asignada por dhcp.

1.B) participante: pensar un nombre de host único para su instancia de «vmlabo» en el dominio ariudemo.edu.ar. Ejemplo: nombre-x.ariudemo.edu.ar

1.C) laptop: incorporar en el archivo etc/hosts una entrada con:

{IPV4 de mi vmlabo} nombre-x.ariudemo.edu.ar

1.D) laptop: navegar https://nombre-x.ariudemo.edu.ar donde tenemos enlaces e informacion útil para la práctica.

1.E) laptop: establecer conexion ssh a nombre-x.ariudemo.edu.ar autenticando como root para comenzar a trabajar sobre vmlabo.

1.F) vmlabo: habilitamos servicio IDP SAML2 editando el archivo /var/www/html/simplesamlphp/config/config.php

Linea 424:

'enable.saml20-idp' => true,

Linea 1060:

'store.type' =>'memcache',

1.G) vmlabo: creamos un certificado ssl autofirmado para el IDP:

# cd /var/www/html/simplesamlphp/cert/

# openssl req -x509 -newkey rsa:4096 -keyout server.pem -out server.crt -days 365 -nodes

# chown -R www-data:www-data /var/www/html/simplesamlphp/cert/

1.H) vmlabo: configuramos nuestro IDP SAML2 editando /var/www/html/simplesamlphp/metadata/saml20-idp-hosted.php

Desde linea 24:

                            
                               'auth' => 'mi-ldap-local',

                               'redirect.sign' => true,

                               'name' => 'IDP nombre-X',

                               'redirect.validate' => true,

                               'assertion.encryption' => true,

1.I) vmlabo: incorporamos una fuente de autenticacion LDAP al IDP, editando el archivo /var/www/html/simplesamlphp/config/authsources.php

Desde linea 13 intercalar lo siguiente:

'mi-ldap-local' => array(

               'ldap:LDAP',

               'hostname' => 'ldap://localhost',
               'referrals' => TRUE,
               'attributes' => array(

                                     'uid',
                                     'cn',
                                     'sn',
                                     'mail',
                ),
               'search.enable' => TRUE,
               'search.base' => 'dc=ariudemo,dc=edu,dc=ar',
               'search.attributes' => array('uid', 'mail'),
               'search.username' => 'cn=admin,dc=ariudemo,dc=edu,dc=ar',
               'search.password' => 'super123',
               ),

1.J) participante: Pensar un nombre de dominio para que adopten los usuarios ldap preestablecidos, por ejemplo @miuniversidad.demo.edu.ar

1.K) laptop: editamos los usuarios LDAP seteandoles el atributo mail con el dominio elegido.

Navegar https://nombre-x.ariudemo.edu.ar/phpldapadmin –> login (password super123)
En panel izquierdo desplegar dc=ariudemo,dc=edu,dc=ar y seleccionar los usuarios de a uno, por ejemplo «cn=Carlos Gardel»
Buscar el campo Email y modificarle el dominio, quedando por ejemplo carlos.gardel@miuniversidad.demo.edu.ar.
Hacia abajo presionar el botón «update object«, y luego nuevamente «update object«.

1.L) laptop: comprobamos acceso y autenticacion en el IDP navegando https://nombre-x.ariudemo.edu.ar/simplesaml

Solapa «Autenticacion» –> Probar las fuentes para la autentificación ya configuradas –> mi-ldap-local
Probar con alguno de estos usuarios y contraseñas:

Usuario	Contraseña
carlos	gardel
gabriela	sabatini
martin	fierro
tita	merello

2) SP Nextcloud:

2.A) vmlabo: creamos un certificado ssl para usar en el SP

# cd /tmp

# openssl req -x509 -newkey rsa:4096 -keyout server.pem -out server.crt -days 365 -nodes

2.B) vmlabo: Configuramos dominio para la nube editando el archivo /var/www/html/nextcloud/config/config.php

en la linea 8:

                     0 => 'nombre-x.ariudemo.edu.ar',

en la linea 13:

                     overwrite.cli.url => 'nombre-x.ariudemo.edu.ar/nube',

2.C) laptop: creamos la configuracion SAML en Nextcloud.

Navegar https://nombre-x.ariudemo.edu.ar/nube/index.php/settings/admin/saml (usuario admin y clave super123)
Seleccionamos «Use la autenticacion nativa SAML»
Tildar la opcion «Permitir el uso de back-ends de múltiples usuarios (por ejemplo, LDAP)»
Atributo para definir la UID = mail
Visualizacion opcional del nombre del IDP = SSO MiOrganizacion
Seleccionar «Mostrar configuracion del proveedor de servicio»
- Certificado X.509 del Proveedor de Servicio = pegar el contenido del archivo /tmp/server.crt
- Llave privada del Proveedor de Servicio = pegar el contenido del archivo /tmp/server.pem
- Identificador de entidad del IDP = https://nombre-x.ariudemo.edu.ar/simplesaml/saml2/idp/metadata.php
- URL objetivo del IdP donde el SP mandara mensaje de Solicitud de Autenticacion = https://nombre-x.ariudemo.edu.ar/simplesaml/saml2/idp/SSOService.php
Seleccionar «Mostrar configuracion del Proveedor de identidad opcional…»
- Direccion URL del Idp donde el SP enviara peticiones SLO = https://nombre-x.ariudemo.edu.ar/simplesaml/saml2/idp/SingleLogoutService.php
- Certificado X.509 del IdP = pegar texto obtenido en https://nombre-x.ariudemo.edu.ar/simplesaml/module.php/saml/idp/certs.php/idp.crt
Seleccionar «Mostrar configuracion de mapeado de atributos…»
- Atributo para definir el nombre mostrado = cn
- Atributo para definir la direccion de correo electronico = mail
Seleccionar «Mostrar configuracion de seguridad…»
- Firmas y cifrado ofrecido = tildar los 5 casilleros.
- Firmas y cifrado necesitado = tildar los casilleros 1,2,3,4 y 6.
Presionar el boton «Descargar metadatos en XML«, abrirlo y copiar su contenido.
Navegar hacia el conversor de metadatos de simplesamlphp: https://nombre-x.ariudemo.edu.ar/simplesaml/admin/metadata-converter.php (login con admin, super123)
Pegar el XML que tenemos copiado y presionar el botón «Analizar«
Copiar el contenido de los metadatos convertidos a formato php.

2.D) vmlabo: editar el archivo /var/www/html/simplesamlphp/metadata/saml20-sp-remote.php

Pegar al final los metadatos convertidos
Extraer o comentar la linea donde dice ‘expire‘.
Modificar los valores ‘encryption‘ y ‘signing‘ poniendo todos en true, guardar y cerrar el archivo.

2.E) laptop: navegar la nube y probar la autenticacion «SSO Mi Organizacion» con los usuarios ldap de prueba.

Configurar un SP con IDP de Federacion.

3) SP Nextcloud:

3.A) laptop: incorporar en el archivo etc/hosts una entrada con:

{IPV4 del idpF} idpf.demo.edu.ar

3.B) laptop: Creamos una configuracion adicional SAML en Nextcloud.

Navegar https://nombre-x.ariudemo.edu.ar/nube/index.php/settings/admin/saml (usuario admin y clave super123)
+ Añadir proveedor de identidad
Tildar la opcion «Permitir el uso de back-ends de múltiples usuarios (por ejemplo, LDAP)»
Atributo para definir la UID = mail
Visualizacion opcional del nombre del IDP = SSO Federacion
Seleccionar «Mostrar configuracion del proveedor de servicio»
- Certificado X.509 del Proveedor de Servicio = pegar el contenido del archivo /tmp/server.crt
- Llave privada del Proveedor de Servicio = pegar el contenido del archivo /tmp/server.pem
- Identificador de entidad del IDP = https://idpf.demo.edu.ar/simplesaml/saml2/idp/metadata.php
- URL objetivo del IdP donde el SP mandara mensaje de Solicitud de Autenticacion = https://idpf.demo.edu.ar/simplesaml/saml2/idp/SSOService.php
Seleccionar «Mostrar configuracion del Proveedor de identidad opcional…»
- Direccion URL del Idp donde el SP enviara peticiones SLO = https://idpf.demo.edu.ar/simplesaml/saml2/idp/SingleLogoutService.php
- Certificado publico X.509 del IdP = descargarlo y pegar su contenido. Obtenerlo desde https://idpf.demo.edu.ar/simplesaml/module.php/saml/idp/certs.php/idp.crt
Seleccionar «Mostrar configuracion de mapeado de atributos…»
- Atributo para definir el nombre mostrado = cn
- Atributo para definir la direccion de correo electronico = mail
Seleccionar «Mostrar configuracion de seguridad…»
- Firmas y cifrado ofrecido = tildar los 5 casilleros.
- Firmas y cifrado necesitado = tildar los casilleros 1,2,3,4 y 6.
Presionar el boton «Descargar metadatos en XML«, abrirlo y copiar su contenido.
Navegar hacia el conversor de metadatos de simplesamlphp: https://nombre-x.ariudemo.edu.ar/simplesaml/admin/metadata-converter.php (login con admin, super123)
Pegar el XML que tenemos copiado y presionar el botón «Analizar«
Copiar el contenido de los metadatos convertidos a formato php.

4) IDP Federacion:

4.A) laptop: navegar la siguiente url para obtener los metadatos del SP-Federacion en formato php (copiar el texto)

https://idpf.demo.edu.ar/simplesaml/module.php/saml/sp/metadata.php/Federacion?output=xhtml

4.B) vmlabo: editar el archivo /var/www/html/simplesamlphp/metadata/saml20-sp-remote.php

Pegar al final los metadatos obtenidos en formato php del SP-Federacion.

4.C) laptop: (participante) conectarse por ssh a idpf.demo.edu.ar con usuario demo y contraseña demo

crear el archivo /home/demo/nombre-x.sp-metadata y pegar el contenido de los metadatos convertidos.
crear el archivo /home/demo/nombre-x.idp-metadata y pegar los metadatos del IDP (local) armado en la Etapa 1.
Obtenerlos en formato php desde https://nombre-x.ariudemo.edu.ar/simplesaml/saml2/idp/metadata.php?output=xhtml

4.D) idp-federacion: (orador) editar el archivo /var/www/simplesamlphp/metadata/saml20-sp-remote.php

Incorporar el contenido del archivo /home/demo/nombre-x.sp-metadata
Extraer o comentar la linea donde dice ‘expire‘.
Modificar los valores ‘encryption‘ y ‘signing‘ poniendo todos en true, guardar y cerrar el archivo.
Editar el archivo /var/www/simplesamlphp/metadata/saml20-idp-remote.php
Pegar el contenido del archivo /home/demo/nombre-x.idp-metadata

4.F) laptop: navegar la nube https://nombre-x.ariudemo.edu.ar/nube y probar la autenticacion «SSO Federacion«.