SP多域配置咨询：能否将双域名服务部署至单台机器？

当然可以！完全没问题把这两个Shibboleth SP服务（对应domain.com和www.domain.com）部署在同一台Apache服务器上，我给你梳理下具体的配置思路和注意点：

Apache 虚拟主机配置 #

首先要为两个域名分别配置独立的Apache虚拟主机，让Apache能区分不同域名的请求。同时记得给两个域名配置SSL证书——用通配符证书*.domain.com最省心，能同时覆盖主域名和www子域名。

示例配置如下：

<VirtualHost *:443>
    ServerName domain.com
    # 替换成你的文档根目录
    DocumentRoot /var/www/domain.com
    # SSL配置，指向你的通配符证书文件
    SSLEngine on
    SSLCertificateFile /path/to/cert.pem
    SSLCertificateKeyFile /path/to/privkey.pem
    SSLCertificateChainFile /path/to/chain.pem

    # 开启Shibboleth认证
    ShibRequestSetting requireSession 1
    <Location />
        AuthType shibboleth
        Require shib-session
    </Location>
</VirtualHost>

<VirtualHost *:443>
    ServerName www.domain.com
    DocumentRoot /var/www/www.domain.com
    # 复用同一套SSL证书
    SSLEngine on
    SSLCertificateFile /path/to/cert.pem
    SSLCertificateKeyFile /path/to/privkey.pem
    SSLCertificateChainFile /path/to/chain.pem

    ShibRequestSetting requireSession 1
    <Location />
        AuthType shibboleth
        Require shib-session
    </Location>
</VirtualHost>

Shibboleth SP 配置 #

接下来要在Shibboleth的核心配置文件shibboleth2.xml里，为两个域名配置对应的SP实体。你有两种灵活的配置方式：

方式1：使用<Host>标签共享基础配置 #

如果两个SP的大部分配置（比如会话超时、属性映射）都一致，可以在同一个<ApplicationDefaults>下添加<Host>标签来区分域名，每个Host可以指定独立的entityID：

<ApplicationDefaults entityID="https://domain.com/shibboleth"
    REMOTE_USER="eppn persistent-id targeted-id">
    <!-- 主域名的配置 -->
    <Host name="domain.com" />
    <!-- www子域名的独立配置，指定专属entityID -->
    <Host name="www.domain.com" entityID="https://www.domain.com/shibboleth" />

    <!-- 通用配置：SAML端点、属性提取规则等 -->
    <Sessions lifetime="28800" timeout="3600" relayState="ss:mem"
        checkAddress="false" handlerSSL="true" cookieProps="https">
        <!-- 这里放你的会话相关配置 -->
    </Sessions>
</ApplicationDefaults>

方式2：独立<ApplicationDefaults>块 #

如果两个SP的差异很大，也可以配置两个完全独立的<ApplicationDefaults>块，分别对应不同的域名：

<!-- 对应domain.com的SP配置 -->
<ApplicationDefaults entityID="https://domain.com/shibboleth"
    REMOTE_USER="eppn persistent-id targeted-id">
    <Host name="domain.com" />
    <!-- 专属配置内容 -->
</ApplicationDefaults>

<!-- 对应www.domain.com的SP配置 -->
<ApplicationDefaults entityID="https://www.domain.com/shibboleth"
    REMOTE_USER="eppn persistent-id targeted-id">
    <Host name="www.domain.com" />
    <!-- 专属配置内容 -->
</ApplicationDefaults>

不管用哪种方式，都要记得把两个SP的元数据（可以通过https://domain.com/Shibboleth.sso/Metadata和https://www.domain.com/Shibboleth.sso/Metadata获取）注册到你的IdP服务器上，这样IdP才能识别这两个SP实体。

关键注意事项 #

• 确保服务器的CPU、内存等资源能支撑两个虚拟主机的并发请求，一般中小型网站的话普通配置就足够。
• 配置完成后重启Apache和Shibboleth服务：systemctl restart httpd shibd（根据你的系统调整命令）。
• 遇到问题时优先查看Shibboleth的日志文件（通常在/var/log/shibboleth/目录下），里面会有详细的错误排查信息。
• 确认两个域名的DNS记录都指向这台服务器的公网IP，且防火墙开放了443端口。

内容的提问来源于stack exchange，提问作者O.Palm