Tento návod popisuje instalaci a konfiguraci poskytovatele identit (Identity Provider, IdP). Přestože existují i jiné možnosti (např. SimpleSAMLphp), doporučujeme použít Shibboleth IdP řady 4, jemuž se tento návod věnuje.

Sdružení CESNET doporučuje provozovat Shibboleth IdP na aktuální verzi 64bitové linuxové distribuce Debian, pro niž je tento návod sepsán.

Pro instalaci můžete použít jak dedikovaný hardware, tak virtuální stroj. Systém by však měl splňovat alespoň následující výkonové požadavky, které závisí mimo jiné na množství obsluhovaných uživatelů:

• 1 jádro CPU,
• 4 GB RAM,
• 15 GB HDD.

Pro správnou funkčnost je velice důležité, aby měl server přesně nastavený a synchronizovaný čas. SAML zprávy obsahují časové značky, které jsou kontrolovány, a pokud je čas na serveru špatně, autentizace uživatelů nebude fungovat.

Z pohledu softwarové výbavy je pro běh potřeba následující:

• Java,
• servletový kontejner,
• webový server,
• databáze.

Shibboleth IdP je webová aplikace naprogramovaná v Javě, která pro svůj běh potřebuje kromě samotné Javy ještě servletový kontejner a samozřejmě i webový server. Pro obojí použijeme Jetty z balíčků Debianu.

Dále je také potřeba databáze pro ukládání souhlasů s uvolněním uživatelských informací (atributů) a ukládání pseudonáhodného řetězce pro atribut eduPersonTargetedID / persistentní NameID. Jako databázi použijeme MariaDB.

V tomto návodu budeme používat utility, které nejsou součástí minimální instalace Debianu, a proto si je nainstalujeme:

# Instalace používaných utilit
apt install --no-install-recommends dirmngr gpg less vim

Zbývající instalace je rozdělena do třech kroků:

1. MariaDB,
2. Jetty,
3. Shibboleth IdP.