OpenAM HTTPS で Web Agent が動かない

目次

FrontPage
・Windows11
・Chromebook
・Random
・機械学習
・さくらVPS
・Fedora13
・SuSe10
・Docker
・Ansible
・Java
・Scala
・Python
・Ruby
・Lisp
・Computer
・GIS
・HTML
・Culture
・Link

訪問者

total: 10032
today: 6
yesterday: 7
now: 5

更新

最新の10件

人気の10件

MenuBar

HTTPS で Web Agent が動かない †

• アプリ構成

  ┌サーバ────────────┐           ┌クライアント───┐
  │                              │           │                  │
  │OpenAM 9.5.3 --(ajp)-- Apache ----(HTTPS)---- Apache           │ 
  │                   (mod_proxy)│           │ (WebAgent)       │
  └───────────────┘           └─────────┘

  • サーバ Apache 2.2 + Java 6 + Tomcat 6 + OpenAM 9.5.3
  • クライアント Apache 2.2 + OpenAM WebAgent? 3.0.4
• 現象
  • クライアント側の Apache が立ち上がらない
    /var/log/httpd/error_log

    2012-03-25 12:22:27.056   Error 4317:7f8bf2a7a820 all: Unable to open local audit file: '/opt/web_agents/apache22_agent/Agent_003/logs/audit
    /amAgent_app_gp1_example_com_80.log', errno = 13
    2012-03-25 12:22:27.056      -1 4317:7f8bf2a7a820 all: =======================================
    2012-03-25 12:22:27.056      -1 4317:7f8bf2a7a820 all: Version: 3.0-04 ER 2
    2012-03-25 12:22:27.056      -1 4317:7f8bf2a7a820 all: 
    2012-03-25 12:22:27.056      -1 4317:7f8bf2a7a820 all: Build Date: Sat Mar 24 00:04:53 GMT 2012
    2012-03-25 12:22:27.056      -1 4317:7f8bf2a7a820 all: Build Machine: constable.internal.forgerock.com
    2012-03-25 12:22:27.056      -1 4317:7f8bf2a7a820 all: =======================================
    2012-03-25 12:22:27.075      -1 4317:7f8bf2a7a820 all: Validating naming URL [https://sso.gp1.example.com:443/openam/namingservice]...
    2012-03-25 12:22:27.075      -1 4317:7f8bf2a7a820 all: URL values:
     protocol: https
     host: sso.gp1.example.com
     port 443
     path: /openam/namingservice
     query: 
     URL: https://sso.gp1.example.com:443/openam/namingservice
    2012-03-25 12:22:27.130   Error 4317:7f8bf2b58070 all: URL [https://sso.gp1.example.com:443/openam/namingservice] validation failed with error [-1]
    [Sun Mar 25 12:22:27 2012] [crit] Failed to initialize policy web agent 
    Configuration Failed

  • https://sso.gp1.example.com:443/openam/namingservice は、クライアント側から読める

    # curl "https://sso.gp1.example.com:443/openam/namingservice" --insecure
    OpenSSO

原因とやってみたこと †

• https://bugster.forgerock.org/jira/browse/OPENAM-618
  • Apache をマルチスレッドモデルで動かすと、Web agent が暗号化ライブラリの NSS を正常に初期化できないらしい
  • apachectrl (Apacheの起動スクリプト) で NSS がマルチスレッドで動かないように環境変数を設定すれば良いらしい
• Scientific Linux 6.2 の NSS は、3.13.1.7
• やってみた

  [~] # head -10 /usr/sbin/apachectl 
  
  #!/bin/sh
  
  NSS_STRICT_NOFORK=DISABLED
  export NSS_STRICT_NOFORK
  NSS_STRICT_SHUTDOWN=""
  export NSS_STRICT_SHUTDOWN
  #
  # Licensed to the Apache Software Foundation (ASF) under one or more
  # contributor license agreements.  See the NOTICE file distributed with
  # this work for additional information regarding copyright ownership. 

• 念のため、サーバ側、クライアント側でやってみたけど状況は変わらず
• Web Agent 3.0.5 で Fix 予定だそうだから、3.0.5 EA (Early Access : 初期提供版) でやってみたけど状況は変わらず
• どうやら、NSS 3.12.3〜8 では上記の方法で巧くいくらしい。NSS 3.12.9 で NSS の振る舞いが変わったため、上記の方法では巧くいかないみたい。

  Either the way the agent initializes NSS has to be changed or 
  ,as NSS 3.12.9 has again changed the behaviour, bundle this version instead. 
  
  どちらかの方法で agent が NSS をイニシャライズする方法を変更しなければならない。
  NSS 3.12.9 で振る舞いが変わったので、(OpenAM の WebAgentに) このバージョンを
  代わりにバンドルするようにしてちょうだいな

結論 †

• 当面 OpenAM は HTTP で運用するのが吉かな (→ Nさん嘘を教えてごめんなさい)

Java#OpenAM