doc/install/install-sso.html.textile.liquid

   1 ---
   2 layout: default
   3 navsection: installguide
   4 title: Install the Single Sign On (SSO) server
   5 ...
   6
   7 h2(#dependencies). Install prerequisites
   8
   9 The Arvados package repository includes an SSO server package that can help automate much of the deployment.
  10
  11 h3(#install_ruby_and_bundler). Install Ruby and Bundler
  12
  13 {% include 'install_ruby_and_bundler' %}
  14
  15 h3(#install_web_server). Set up a Web server
  16
  17 For best performance, we recommend you use Nginx as your Web server frontend with a Passenger backend to serve the SSO server. The Passenger team provides "Nginx + Passenger installation instructions":https://www.phusionpassenger.com/library/walkthroughs/deploy/ruby/ownserver/nginx/oss/install_passenger_main.html.
  18
  19 Follow the instructions until you see the section that says you are ready to deploy your Ruby application on the production server.
  20
  21 h2(#install). Install the SSO server
  22
  23 On a Debian-based system, install the following package:
  24
  25 <notextile>
  26 <pre><code>~$ <span class="userinput">sudo apt-get install arvados-sso-server</span>
  27 </code></pre>
  28 </notextile>
  29
  30 On a Red Hat-based system, install the following package:
  31
  32 <notextile>
  33 <pre><code>~$ <span class="userinput">sudo yum install arvados-sso-server</span>
  34 </code></pre>
  35 </notextile>
  36
  37 h2(#configure). Configure the SSO server
  38
  39 The package has installed three configuration files in @/etc/arvados/sso@:
  40
  41 <notextile>
  42 <pre><code>/etc/arvados/sso/application.yml
  43 /etc/arvados/sso/database.yml
  44 /etc/arvados/sso/production.rb
  45 </code></pre>
  46 </notextile>
  47
  48 The SSO server runs from the @/var/www/arvados-sso/current/@ directory. The files @/var/www/arvados-sso/current/config/application.yml@, @/var/www/arvados-sso/current/config/database.yml@ and @/var/www/arvados-sso/current/config/environments/production.rb@ are symlinked to the configuration files in @/etc/arvados/sso/@.
  49
  50 The SSO server reads the @config/application.yml@ file, as well as the @config/application.defaults.yml@ file. Values in @config/application.yml@ take precedence over the defaults that are defined in @config/application.defaults.yml@. The @config/application.yml.example@ file is not read by the SSO server and is provided for installation convenience only.
  51
  52 Consult @config/application.default.yml@ for a full list of configuration options.  Local configuration goes in @/etc/arvados/sso/application.yml@, do not edit @config/application.default.yml@.
  53
  54 h3(#uuid_prefix). uuid_prefix
  55
  56 Generate a uuid prefix for the single sign on service.  This prefix is used to identify user records as originating from this site.  It must be exactly 5 lowercase ASCII letters and/or digits.  You may use the following snippet to generate a uuid prefix:
  57
  58 <notextile>
  59 <pre><code>~$ <span class="userinput">ruby -e 'puts "#{rand(2**64).to_s(36)[0,5]}"'</span>
  60 abcde
  61 </code></pre></notextile>
  62
  63 Edit @/etc/arvados/sso/application.yml@ and set @uuid_prefix@ in the "common" section.
  64
  65 h3(#secret_token). secret_token
  66
  67 Generate a new secret token for signing cookies:
  68
  69 <notextile>
  70 <pre><code>~$ <span class="userinput">ruby -e 'puts rand(2**400).to_s(36)'</span>
  71 zzzzzzzzzzzzzzzzzzzzzzzzzzzzzzzzzzzzzzzzzzzzzzzzzzzzzzzz
  72 </code></pre></notextile>
  73
  74 Edit @/etc/arvados/sso/application.yml@ and set @secret_token@ in the "common" section.
  75
  76 There are other configuration options in @/etc/arvados/sso/application.yml@. See the "Authentication methods":install-sso.html#authentication_methods section below for more details.
  77
  78 h2(#database). Set up the database
  79
  80 Configure the SSO server to connect to your database by updating @/etc/arvados/sso/database.yml@. Replace the @xxxxxxxx@ database password placeholder with the "password you generated during database setup":install-postgresql.html#sso. Be sure to update the @production@ section.
  81
  82 <notextile>
  83 <pre><code>~$ <span class="userinput">editor /etc/arvados/sso/database.yml</span>
  84 </code></pre></notextile>
  85
  86 h2(#reconfigure_package). Reconfigure the package
  87
  88 {% assign railspkg = "arvados-sso-server" %}
  89 {% include 'install_rails_reconfigure' %}
  90
  91 h2(#client). Create arvados-server client
  92
  93 {% assign railshost = "" %}
  94 {% assign railsdir = "/var/www/arvados-sso/current" %}
  95 Use @rails console@ to create a @Client@ record that will be used by the Arvados API server.  {% include 'install_rails_command' %}
  96
  97 Enter the following commands at the console.  The values that appear after you assign @app_id@ and @app_secret@ correspond to the values for @sso_app_id@ and @sso_app_secret@, respectively, in the "API server's SSO settings":install-api-server.html#omniauth.
  98
  99 <notextile>
 100 <pre><code>:001 &gt; <span class="userinput">c = Client.new</span>
 101 :002 &gt; <span class="userinput">c.name = "joshid"</span>
 102 :003 &gt; <span class="userinput">c.app_id = "arvados-server"</span>
 103 :004 &gt; <span class="userinput">c.app_secret = rand(2**400).to_s(36)</span>
 104 =&gt; "<strong>save this string for your API server's sso_app_secret</strong>"
 105 :005 &gt; <span class="userinput">c.save!</span>
 106 :006 &gt; <span class="userinput">quit</span>
 107 </code></pre>
 108 </notextile>
 109
 110 h2(#configure_web_server). Configure your web server
 111
 112 Edit the http section of your Nginx configuration to run the Passenger server and act as a frontend for it. You might add a block like the following, adding SSL and logging parameters to taste:
 113
 114 <notextile>
 115 <pre><code>server {
 116   listen 127.0.0.1:8900;
 117   server_name localhost-sso;
 118
 119   root   /var/www/arvados-sso/current/public;
 120   index  index.html;
 121
 122   passenger_enabled on;
 123   # If you're not using RVM, comment out the line below.
 124   passenger_ruby /usr/local/rvm/wrappers/default/ruby;
 125 }
 126
 127 upstream sso {
 128   server     127.0.0.1:8900  fail_timeout=10s;
 129 }
 130
 131 proxy_http_version 1.1;
 132
 133 server {
 134   listen       <span class="userinput">[your public IP address]</span>:443 ssl;
 135   server_name  auth.<span class="userinput">your.domain</span>;
 136
 137   ssl on;
 138   ssl_certificate     <span class="userinput">/YOUR/PATH/TO/cert.pem</span>;
 139   ssl_certificate_key <span class="userinput">/YOUR/PATH/TO/cert.key</span>;
 140
 141   index  index.html;
 142
 143   location / {
 144     proxy_pass            http://sso;
 145     proxy_redirect        off;
 146     proxy_connect_timeout 90s;
 147     proxy_read_timeout    300s;
 148
 149     proxy_set_header      X-Forwarded-Proto https;
 150     proxy_set_header      Host $http_host;
 151     proxy_set_header      X-Real-IP $remote_addr;
 152     proxy_set_header      X-Forwarded-For $proxy_add_x_forwarded_for;
 153   }
 154 }
 155 </code></pre>
 156 </notextile>
 157
 158 Finally, restart Nginx and your Arvados SSO server should be up and running. You can verify that by visiting the URL you configured your Nginx web server to listen on in the server section above (port 443). Read on if you want to configure your Arvados SSO server to use a different authentication backend.
 159
 160 h2(#authentication_methods). Authentication methods
 161
 162 Authentication methods are configured in @application.yml@.  Currently three authentication methods are supported: local accounts, LDAP, and Google+.  If neither Google+ nor LDAP are enabled, the SSO server defaults to local user accounts.   Only one authentication mechanism should be in use at a time.
 163
 164 h3(#local_accounts). Local account authentication
 165
 166 There are two configuration options for local accounts:
 167
 168 <pre>
 169   # If true, allow new creation of new accounts in the SSO server's internal
 170   # user database.
 171   allow_account_registration: false
 172
 173   # If true, send an email confirmation before activating new accounts in the
 174   # SSO server's internal user database (otherwise users are activated immediately.)
 175   require_email_confirmation: false
 176 </pre>
 177
 178 For more information about configuring backend support for sending email (required to send email confirmations) see "Configuring Action Mailer":http://guides.rubyonrails.org/configuring.html#configuring-action-mailer
 179
 180 If @allow_account_registration@ is false, you may manually create local accounts on the SSO server from the Rails console.  {% include 'install_rails_command' %}
 181
 182 Enter the following commands at the console.
 183
 184 <notextile>
 185 <pre><code>:001 &gt; <span class="userinput">user = User.new(:email =&gt; "test@example.com")</span>
 186 :002 &gt; <span class="userinput">user.password = "passw0rd"</span>
 187 :003 &gt; <span class="userinput">user.save!</span>
 188 :004 &gt; <span class="userinput">quit</span>
 189 </code></pre>
 190 </notextile>
 191
 192 h3(#ldap). LDAP authentication
 193
 194 The following options are available to configure LDAP authentication.  Note that you must preserve the indentation of the fields listed under @use_ldap@.
 195
 196 <pre>
 197   use_ldap:
 198     title: Example LDAP
 199     host: ldap.example.com
 200     port: 636
 201     method: ssl
 202     base: "ou=Users, dc=example, dc=com"
 203     uid: uid
 204     email_domain: example.com
 205     #bind_dn: "some_user"
 206     #password: "some_password"
 207 </pre>
 208
 209 table(table).
 210 |_. Option|_. Description|
 211 |title |Title displayed to the user on the login page|
 212 |host  |LDAP server hostname|
 213 |port  |LDAP server port|
 214 |method|One of "plain", "ssl", "tls"|
 215 |base  |Directory lookup base|
 216 |uid   |User id field used for directory lookup|
 217 |email_domain|Strip off specified email domain from login and perform lookup on bare username|
 218 |bind_dn|If required by server, username to log with in before performing directory lookup|
 219 |password|If required by server, password to log with before performing directory lookup|
 220
 221 h3(#google). Google+ authentication
 222
 223 In order to use Google+ authentication, you must use the <a href="https://console.developers.google.com" target="_blank">Google Developers Console</a> to create a set of client credentials.
 224
 225 # Go to the <a href="https://console.developers.google.com" target="_blank">Google Developers Console</a> and select or create a project; this will take you to the project page.
 226 # On the sidebar, click on *APIs & auth* then select *APIs*.
 227 ## Search for *Contacts API* and click on *Enable API*.
 228 ## Search for *Google+ API* and click on *Enable API*.
 229 # On the sidebar, click on *Credentials*; under *OAuth* click on *Create new Client ID* to bring up the *Create Client ID* dialog box.
 230 # Under *Application type* select *Web application*.
 231 # If the authorization origins are not displayed, clicking on *Create Client ID* will take you to *Consent screen* settings.
 232 ## On consent screen settings, enter the appropriate details and click on *Save*.
 233 ## This will return you to the *Create Client ID* dialog box.
 234 # You must set the authorization origins.  Edit @sso.your-site.com@ to the appropriate hostname that you will use to access the SSO service:
 235 ## JavaScript origin should be @https://sso.your-site.com/@
 236 ## Redirect URI should be @https://sso.your-site.com/users/auth/google_oauth2/callback@
 237 # Copy the values of *Client ID* and *Client secret* from the Google Developers Console into the Google section of @config/application.yml@, like this:
 238
 239 <notextile>
 240 <pre><code>  # Google API tokens required for OAuth2 login.
 241   google_oauth2_client_id: <span class="userinput">"---YOUR---CLIENT---ID---HERE--"-</span>
 242   google_oauth2_client_secret: <span class="userinput">"---YOUR---CLIENT---SECRET---HERE--"-</span></code></pre></notextile>