การติดตั้ง CAS เพื่อทำ Single Sign-on

การติดตั้ง CAS

Central Authentication Service

1. ชุดติดตั้ง

ก็อปปีชุดติดตั้งมาจาก CDROM ประกอบการสอน วางไว้ที่โฟลเดอร์ c:\cas\setup ซึ่งควรจะมีภาพดังต่อไปนี้

รูปภาพ 1 ก็อปปีชุดติดตั้งที่รับมา วางไว้ที่ c:\cas\setup
สังเกตว่าในโฟลเดอร์ modules จะมีไฟล์ cas.war ที่ถูกสร้างไว้เรียบร้อยแล้ว ซึ่งการสร้างท่านสามารถไปดาวน์โหลดซอร์สโค้ดมาจากเว็บไซต์ http://www.ja-sig.org และใช้คำสั่ง mvn install ซึ่งเป็นของ Apache Maven เพื่อสร้างไฟล์ WAR ตัวนี้ขึ้นมาได้

2. การติดตั้งเซิร์ฟเวอร์

ให้ติดตั้งโปรแกรมที่ทำหน้าที่เป็นเซิร์ฟเวอร์ ดังต่อไปนี้
·      apache-tomcat-6.0.18 ทำหน้าที่เป็น Web Server ทางฝั่ง Java
·      Apache 2.2 ทำหน้าที่เป็น Web Server ทางฝั่ง PHP
·      PHP ทำหน้าที่เป็น PHP Script Runtime
·      Apache Directory Service ทำหน้าที่เป็น LDAP Server
·      Apache Directory Studio ทำหน้าที่เป็นตัวเปิดดูรายการใน LDAP Server
การติดตั้งโปรแกรมเหล่านี้ท่านสามารถไล่ไปได้ตาม Setup Wizard ของโปรแกรมแต่ละตัว ยกเว้นโปรแกรม Tomcat ที่ไม่จำเป็นต้องติดตั้ง ท่านเพียงแต่ก็อปปีโฟลเดอร์ apache-tomcat-6.0.18 จากโฟลเดอร์ setup มาวางไว้ที่ c:\cas\setup เท่านั้น ก็ถือว่าเสร็จเรียบร้อย หลังจากติดตั้งอุปกรณ์เหล่านี้เสร็จแล้ว ท่านอาจจะมีรายการโฟลเดอร์ใน c:\cas ดังนี้

รูปภาพ 2 รายการโฟลเดอร์ของโปรแกรมแต่ละที่จะใช้ในการทดลอง (ยกเว้น Apache Directory Service ที่ติดตั้งไว้ที่อื่น)
ให้เปิดโปรแกรม Apache Directory Studio และเข้าไปสร้าง user ไว้สัก 2 คน ให้มีชื่อว่า user1 และ user2 โดยมีรหัสผ่านเป็น password เช่นเดียวกันทั้ง 2 คน

3. การติดตั้งไฟล์ cas.war

ให้สตาทร์ apache-tomcat-6.0.18 แล้วก็อปปีไฟล์ cas.war จากโฟลเดอร์ c:\cas\setup ไปวางไว้ที่ c:\cas\apache-tomcat-6.0.18\webapps เพื่อ Deploy Web Application หลังจากนั้นสตาทร์ Tomcat ขึ้นมา และตรวจสอบว่าไม่มีข้อผิดพลาดใดเกิดขึ้น
Tomcat จะแตกไฟล์ cas.war ออกเป็นโฟลเดอร์ cas ซึ่งภายในจะมีส่วนประกอบดังนี้

รูปภาพ 3 ไฟล์ที่ประกอบอยู่ในโฟลเดอร์ cas

4. การเปลี่ยนไปใช้ LDAP

ให้ก็อปปีไฟล์ deployerConfigContext.xml จากโฟลเดอร์ c:\cas\setup\conf  มาทับไฟล์ที่อยู่ในโฟลเดอร์ WEB-INF ของ cas และเปิดขึ้นมาตรวจสอบดูค่าคอนฟิก ดังนี้

รูปภาพ 4 ที่ authenticationHandlers ใช้ FastBindLdapAuthenticationHandler
และที่ส่วนท้ายของไฟล์ deployerConfigContext.xml จะพบบีนเพิ่มเติมคือ contextSource ดังนี้

รูปภาพ 5 ใช้ LdapContextSource เพื่อเชื่อมต่อไปที่ LDAP Server
หากท่านนำไปใช้งานจริงในสำนักงานของท่าน ท่านจำเป็นต้องเปลี่ยนค่า urls, userDn และ password ให้ตรงกับ LDAP Server ของท่านด้วยจึงจะใช้งานได้

5. เพิ่มเติมไฟล์ JAR

การเชื่อมต่อกับ LDAP ท่านจำเป็นต้องเพิ่มเติมไฟล์ JAR ลงไปที่ WEB-INF/lib ของ cas อีกดังนี้

รูปภาพ 6 ก็อปปีไฟล์ JAR เหล่านี้เพิ่มเติมเข้าไปใน WEB-INF/lib ของ cas
ก็อปปีไฟล์ JAR ที่อยู่ในโฟลเดอร์ c:\cas\setup\lib ใส่ไว้ใน WEB-INF/lib ของ cas แล้วสตาทร์ Tomcat ขึ้นมาใหม่อีกครั้ง

6. การทดสอบหลังการติดตั้ง

หลังจากสตาทร์ Tomcat และ LDAP Server ไว้แล้วให้เบราซ์ไปที่ http://locahost:8080/cas/login จะได้ผลลัพธ์ดังนี้

รูปภาพ 7 แสดงว่า cas สามารถทำงานได้ตามปกติ
ให้ทดลองล็อกอินด้วย user1 และ password กดปุ่ม LOGIN แล้วจะได้ผลลัพธ์ดังนี้

รูปภาพ 8 หาก Login Successful แสดงว่าเชื่อมต่อกับ LDAP Server สำเร็จ

7. คอนฟิกให้ Tomcat ใช้ SSL

ก็อปปีไฟล์จากโฟลเดอร์ c:\cas\setup\key ไปวางไว้ที่ c:\cas ดังนี้

รูปภาพ 9 ไฟล์ที่จำเป็นต้องใช้เป็น Public และ Private Key เพื่อทำ SSL
แล้วก็อปปีไฟล์ server.xml จากโฟลเดอร์ setup/conf มาวางทับไฟล์ server.xml ใน apache-tomcat-6.0.18/conf ดังนี้

รูปภาพ 10 ก็อปปีไฟล์ server.xml มาทับตัวที่อยู่ใน Tomcat
เมื่อเปิดไฟล์ server.xml ออกมาดูสังเกตการคอนฟิกให้ใช้งาน SSL ดังนี้

รูปภาพ 11 การคอนฟิกให้ Tomcat ใช้งาน SSL
เมื่อรีสตาทร์ Tomcat ขึ้นมาใหม่อีกครั้ง ให้ทดลองเบราซ์ไปที่ https://localhost:8443/cas/login ควรจะปรากฏหน้าเว็บและใช้งานได้ตามปกติ

8. การทดสอบไคลเอ็นต์ PHP

การใช้งานไคลเอ็นต์ที่เป็น PHP ท่านจำเป็นต้องติดตั้ง PHP และ Apache 2.2 ก่อน หลังจากนั้นให้ใช้คำสั่ง go-pear.bat เพื่อติดตั้ง PEAR และ CAS-1.0.1.gz เข้าไปในระบบ PHP หลังจากติดตั้งสำเร็จแล้วสังเกตว่าจะมีไฟล์ CAS.php อยู่ในโฟลเดอร์ PEAR ดังนี้

รูปภาพ 12 ไฟล์ CAS.php สำหรับใช้งาน PHP กับ CAS
ให้รีสตาทร์ Apache แล้วก็อปปีไฟล์ simple.php จากโฟลเดอร์ setup ไปวางไว้ที่โฟลเดอร์ htdocs ดังนี้

รูปภาพ 13 ก็อปปีไฟล์ simple.php มาทดลอง
 เมื่อเปิดไฟล์ simple.php ออกมาดูจะพบการเขียนโปรแกรมเพื่อเชื่อมต่อกับ CAS ไว้ดังนี้

รูปภาพ 14 จุดที่สั่งให้ยิงไปที่ cas เพื่อให้ผ่านหน้าล็อกอินก่อน
เมื่อทดลองเบราซ์ไปที่ http://localhost/simple.php ควรจะถูกสลับอัตโนมัติไปที่หน้าล็อกอินของ cas และเมื่อผ่านการล็อกอินจะสลับกลับมาที่หน้า simple.php ดังนี้

รูปภาพ 15 ปรากฏชื่อ user ที่ล็อกอินผ่านแล้วคือ user1

9. การทดสอบไคลเอ็นต์ Java

สำหรับการทดสอบกับ Java ให้ท่านก็อปปีโฟลเดอร์ app1 จาก setup มาวางไว้ที่ webapps ของ Tomcat

รูปภาพ 16 ก็อปปีโฟลเดอร์ app1 มาวางไว้ที่ Tomcat/webapps
เมื่อรีสตาทร์ Tomcat ใหม่แล้วทดลองเบราซ์ไปที่ URL http://localhost:8080/app1/index.jsp ควรจะถูกสลับหน้าไปที่หน้าล็อกอินของ cas และหลังจากล็อกอินผ่านแล้วควรจะได้ผลลัพธ์ดังนี้

รูปภาพ 17 ผลลัพธ์หลังจากล็อกอินและสลับกลับมาที่หน้า index.jsp แล้ว
สำหรับ Java จำเป็นต้องติดตั้งไฟล์ JAR เพิ่มเติมของ CAS ไว้ที่ lib ดังนี้

รูปภาพ 18 หากท่านต้องการนำไปใช้กับโปรแกรม Java ของท่านจำเป็นต้องมีไฟล์นี้ใน CLASSPATH ด้วย
และหากท่านเปิดไฟล์ web.xml ดูจะพบว่ามีการติดตั้ง Filter ป้องกันไว้ดังนี้

รูปภาพ 19 มีการติดตั้ง Filter ให้สลับไปที่หน้าเว็บล็อกอินของ CAS โดยอัตโนมัติ
สำหรับการดึงข้อมูลผู้ใช้ เราใช้คำสั่ง request.getRemoteUser() ตามปกติ เช่นนี้

รูปภาพ 20 ดึงผู้ใช้ปัจจุบันด้วย request.getRemoteUser() ตามปกติ


ความคิดเห็น

แสดงความคิดเห็น

โพสต์ยอดนิยมจากบล็อกนี้

การติดตั้ง Shibboleth Single Sign-On
ตอนที่ 12 - การทำ SLO (Single Log-out)

รูปภาพ
19. การติดตั้ง Shibboleth แบบไม่ใช้ SSL ปัญหาที่เราจะพบในการใช้ SSL คือ ปัจจุบันเราใช้ Self Certificate X509 v3 ในการเข้ารหัสเพื่อทำ SSL ระหว่างตัว SP และ IdP แต่หากนำไปใช้งานกับ Internet Explorer จะพบข้อความแจ้งเตือนทุกครั้งก่อนที่เข้าถึงหน้าจอล็อกอิน เนื่องจาก Internet Explorer ตรวจสอบพบว่า Self Certificate ที่เราใช้งานนี้ไม่ได้รับรองโดย CA (Certificate Authority) ซึ่งหากเราต้องการเลี่ยงข้อความแจ้งเตือนดังกล่าวนี้ เราสามารถทำได้ 2 วิธีคือ 1.    ขอซื้อ Certificate X509 v3 ที่ถูกต้องและได้รับการรับรองจาก CA ที่มีได้รับการเชื่อถือ (Trust) ทางตรง หรือ ทางอ้อมจาก Internet Explorer (ดูที่รายการ Trust Root Certificate ในหน้าต่างปรับแต่งค่า Security ของ Internet Explorer) 2.    ไม่ใช้ SSL ของ Tomcat ทางพอร์ต 8443 และใช้พอร์ต HTTP ปกติที่หมายเลข 8080 แทน ในที่นี้จะแสดงวิธีการปรับแต่งไฟล์ idp-metadata.xml และ shibboleth2.xml แบบที่เลี่ยงการใช้งาน SSL และใช้พอร์ต HTTP 8080 ตามปกติของ Tomcat 19.1 แก้ไขไฟล์ idp-metadata.xml ไปที่โฟลเดอร์ c:\sso\shibboleth-idp\metad...
อ่านเพิ่มเติม

ตัวอย่างการเข้ารหัส AES ด้วย Java และถอดรหัสด้วย C#.NET

รูปภาพ
ตัวอย่างการเข้ารหัสแบบ AES 128 bit บน Java และ .NET 1. การทดสอบการเข้ารหัสและถอดรหัสระหว่าง Java และ .NET 1.1 การเข้ารหัสด้วย Java ให้รันไฟล์ TestEncrypt.java จะได้ผลลัพธ์ดังนี้ รูปภาพ 1 ผลลัพธ์การรันไฟล์ TestEncrypt.java สังเกตว่า cipher text ของภาษาไทยจะยาวกว่าเพราะเข้ารหัสตัวอักษรแบบ UTF8 1.2 การถอดรหัสด้วย Java ให้รันไฟล์ TestDecrypt.java จะได้ผลลัพธ์ดังนี้ รูปภาพ 2 ผลลัพธ์การรันไฟล์ TestDecrypt.java 1.3 การถอดรหัสด้วย .NET ให้รันโปรเจค Encryption จะปรากฏแบบฟอร์มดังนี้ รูปภาพ 3 แบบฟอร์มการทดสอบที่ .NET ให้ก็อปปี้ cipher text ของคำว่า Hello World จากภาพที่ 1 ที่ได้จากโปรแกรมฝั่ง Java มาแปะไว้ในเท็กบ็อกซ์ Cipher Text แล้วกดปุ่ม Decrypt จะได้ผลลัพธ์ดังนี้ รูปภาพ 4 ผลลัพธ์การถอดรหัสที่ฝั่ง .NET ได้คำว่า Hello World กลับมาถูกต้อง 1.4 การถอดรหัสคำภาษาไทยด้วย .NET ให้ก็อปปี Cipher Text ของคำว่า “ สวัสดีครับ ” มาจากผลลัพธ์ในภาพที่ 1 ของโปรแกรม Java เอามาใส่ใน .NET แล้วกดปุ่ม Decrypt จะได้ผลลัพธ์กลับออกมาเป็นคำว่า “ สวัสดีครั...
อ่านเพิ่มเติม

การรักษาความปลอดภัยแบบ OWASP

รูปภาพ
การรักษาความปลอดภัยระบบเว็บแอพพลิเคชันตามวิธีการ OWASP ความเป็นมา เนื่องจากปัจจุบันบริษัทเป็นผู้พัฒนาและส่งมอบระบบเว็บแอพพลิเคชันที่ใช้งานระดับองค์กรจำนวนหลายโครงการให้กับหน่วยงานตั้งแต่ขนาดกลางถึงขนาดใหญ่ จึงจำเป็นต้องคำนึงถึงการรักษาความปลอดภัยข้อมูลเป็นนโยบายอันดับต้น โดยแนวทางการรักษาความปลอดภัยที่ได้รับความนิยมในปัจจุบันก็คือ OWASP (Open Web Applicatoin Security Project) ซึ่งได้รวบรวมจุดอ่อนทางด้านการรักษาความปลอดภัยของระบบเว็บแอพพลิเคชันไว้จำนวนมาก พร้อมทั้งแนะนำแนวทางป้องกันที่เป็นรูปธรรม สามารถนำมาใช้ปฏิบัติได้เพื่อป้องกันไม่ให้ระบบเว็บแอพพลิเคชันเกิดช่องโหว่ และถูกจู่โจมลักลอบใช้งานหรืออาจจะถูกเข้าถึงข้อมูลและนำไปใช้โดยผู้ที่ไม่พึงประสงค์ แนวทาง OWASP จุดอ่อนทางด้านการรักษาความปลอดภัยข้อมูล 10 อันดับแรก ที่ OWASP แนะนำไว้มีดังต่อไปนี้ 1.    Cross Site Scripting 2.    Injection Flaws 3.    Malicious File Execution 4.    Insecure Direct Object Reference 5.    Cross Site Request Forgery (CSRF) 6.    I...
อ่านเพิ่มเติม