Differences

This shows you the differences between two versions of the page.

--- docpublic:systemes:shibboleth:idpv3xc8 [2020/06/04 20:20]
procacci@tem-tsp.eu [proxy-ajp et TLS via apache]
+++ docpublic:systemes:shibboleth:idpv3xc8 [2020/07/04 15:15] (current)
procacci@tem-tsp.eu [proxy et TLS via apache]
@@ Line 201: / Line 201: @@
 [root@idpx opt]# firewall-cmd --reload
 success
+[root@idpx opt]# firewall-cmd --permanent --add-rich-rule 'rule family="ipv4" source address="157.19.19.0/16" service name="http" log prefix="http" accept'
+success
+[root@idpx opt]# firewall-cmd --permanent --add-rich-rule 'rule family="ipv4" source address="157.19.19.0/16" service name="https" log prefix="https" accept'
+success
+[root@idpx opt]# firewall-cmd --reload
+success
 </code>
 ou plus generalement
@@ Line 211: / Line 219: @@
 ==== acces tomcat ====
-le serveur est maintenant acessible , exemple
+le serveur est maintenant accessible , exemple
-http://idp3.tem-tsp.eu:8080/manager/html (login/pass definit plus haut)
+http://idpx.tem-tsp.eu:8080/manager/html (login/pass definit plus haut)
-==== proxy-ajp et TLS via apache =====
+sauf si l'adresse ip source de consultation n'est pas autorisé par le control d'acces de l'application manager , cf adresse IP dans le parametre allow :
-mise en place d'un proxy ajp pour une gestion de TLS et ports par defaut (80/443) par apache
+<code>
+[root@idpx ~]# vim /opt/tomcat/webapps/manager/META-INF/context.xml
+<Context antiResourceLocking="false" privileged="true" >
+  <Valve className="org.apache.catalina.valves.RemoteAddrValve"
+         allow="127\.\d+\.\d+\.\d+|::1|0:0:0:0:0:0:0:1|192.168.0.10|10.10.10.11" />
+  <Manager sessionAttributeValueClassNameFilter="java\.lang\.(?:Boolean|Integer|Long|Number|String)|org\.apache\.catalina\.filters\.CsrfPreventionFilter\$LruCache(?:\$1)?|java\.util\.(?:Linked)?HashMap"/>
+</Context>
+</code>
+==== proxy et TLS via apache =====
+https://tomcat.apache.org/tomcat-9.0-doc/proxy-howto.html
+https://tomcat.apache.org/tomcat-9.0-doc/connectors.html
+https://rimuhosting.com/mod_jk2_and_mod_proxy_ajp.jsp (secretRequired="false")
+mise en place d'un proxy pour une gestion de TLS et ports par defaut (80/443) par apache
 il faut installer le mod_ssl d'apache pour disposer d'https
@@ Line 231: / Line 255: @@
 <code>
-[root@idex certs]#grep ^SSL /etc/httpd/conf.d/ssl.conf | tail -3
+[root@idpx certs]#grep ^SSL /etc/httpd/conf.d/ssl.conf | tail -3
 SSLCertificateFile /etc/pki/tls/certs/idp.imtbstsp_eu.pem
 SSLCertificateKeyFile /etc/pki/tls/private/idp.imtbstsp.key
@@ Line 244: / Line 268: @@
 ProxyPass /manager/ ajp://127.0.0.1:8009/manager/
 </code>
+et l'activer coté tomcat
+<code>
+[root@idpx opt]# vim /opt/tomcat/conf/server.xml
+<!-- Define an AJP 1.3 Connector on port 8009 -->
+ <Connector protocol="AJP/1.3"
+               port="8009"
+               secretRequired="false"
+               address="127.0.0.1"
+               redirectPort="8443" />
+</code>
+sans l'option secretRequired="false" (cf https://rimuhosting.com/mod_jk2_and_mod_proxy_ajp.jsp ) , impossible d'acceder au manager via proxy_ajp, il faudrai mieux controler cet acces en limitant les acces proxy uniquement a 127.0.0.1 entre httpd et tomcat .
 lancement httpd et verification de la presence du module AJP

docpublic/systemes/shibboleth/idpv3xc8.1591302052.txt.gz · Last modified: 2020/06/04 20:20 by procacci@tem-tsp.eu

Show page Old revisions

[unknown link type]Back to top