unicon/shibboleth-idp

Shibboleth IdP Docker镜像

概述

本镜像包含部署好的Shibboleth IdP 3.4.3，运行在基于OpenJDK的Zulu 8 Update 212和Jetty 9.3.27上，基础系统为最新CentOS 7。作为基础镜像，需通过本地配置覆盖实现自定义部署。镜像中所有组件（Java、Jetty、Shibboleth IdP及扩展）均通过各厂商提供的加密哈希验证，确保构建过程可追溯且确定性。

核心功能

1. 提供Shibboleth IdP 3.4.3的基础运行环境
2. 支持通过配置文件覆盖实现自定义身份提供商逻辑
3. 组件哈希验证，保证镜像构建的安全性和一致性
4. 暴露浏览器端TLS端口（4443）和后端通道TLS端口（8443）
5. 支持环境变量配置Jetty堆内存、证书密码等参数
6. 支持外部化凭证和配置文件，避免敏感信息嵌入镜像

使用场景

• 教育机构身份认证系统部署
• 企业内部SAML 2.0协议集成
• 多系统统一身份管理场景
• 云环境下的身份提供商快速部署

配置说明

初始化配置

首次使用需生成初始配置：

bash
docker run -it -v $(pwd):/ext-mount --rm unicon/shibboleth-idp init-idp.sh

生成的customized-shibboleth-idp/目录包含IdP专属文件，需妥善保管（尤其是credentials/目录）。

创建自定义镜像

1. 准备目录结构（示例）：

[basedir]
|-- Dockerfile
|-- shibboleth-idp/
    |-- conf/          # 配置文件
    |-- credentials/   # 证书和密钥
    |-- metadata/      # 元数据文件
    |-- webapp/        # 前端资源
    |-- views/         # 页面模板

2. 编写Dockerfile：

dockerfile
FROM unicon/shibboleth-idp
MAINTAINER your_email@example.com
ADD shibboleth-idp/ /opt/shibboleth-idp/

3. 构建镜像：

bash
docker build --tag="your_org/shibboleth-idp:3.4.3" .

运行容器

基础运行命令：

bash
docker run -d \
  --name="shib-idp" \
  -p 443:4443 \
  -p 8443:8443 \
  -e JETTY_BROWSER_SSL_KEYSTORE_PASSWORD="your_password" \
  -e JETTY_MAX_HEAP="2048m" \
  -v /host/path/credentials:/opt/shibboleth-idp/credentials \
  your_org/shibboleth-idp:3.4.3

关键参数说明

• 端口映射：-p 443:4443（浏览器端）、-p 8443:8443（后端通道）
• 环境变量：
  • JETTY_BROWSER_SSL_KEYSTORE_PASSWORD：浏览器端证书密码
  • JETTY_BACKCHANNEL_SSL_KEYSTORE_PASSWORD：后端通道证书密码
  • JETTY_MAX_HEAP：Jetty最大堆内存（默认2048m）
• 卷挂载：可挂载/opt/shibboleth-idp/logs（日志）或/opt/shibboleth-idp/credentials（凭证）到主机目录

外部化敏感信息

为避免敏感信息嵌入镜像，可将凭证和密码文件外部化：

1. 将credentials/目录放在主机，运行时挂载：-v /host/credentials:/opt/shibboleth-idp/credentials
2. 将敏感配置（如密码）移至idp-secrets.properties，并挂载到/opt/shibboleth-idp/ext-conf，修改conf/idp.properties中的idp.additionalProperties指向该文件。

日志处理

Jetty日志和Shibboleth IdP的idp-process.log默认输出到控制台，可通过docker logs shib-idp查看。如需自定义日志配置，可覆盖/opt/shib-jetty-base/etc/jetty-logging.xml或/opt/shibboleth-idp/conf/logback.xml。

构建源码

直接从源码构建镜像：

bash
docker build --tag="your_org/shibboleth-idp" github.com/unicon/shibboleth-idp-dockerized

许可证

本Docker项目文件遵循Apache License 2.0，镜像内组件遵循各自许可证。