Drupal sso

vendredi 13 septembre 13

l’agilité du SIOpenCSI

Le SSO, la fédérationet Drupal

Bruno Bonfils <[email protected]>

2vendredi 13 septembre 13

mailto:[email protected]


% whoami

✦ sysadmin devenu consultant sécurité spécialisé en gestion d’identité (SSO, IAM, PKI, etc.)

✦ Simple utilisateur de Drupal

✦ Twitter : bbonfils

✦ IRC : [email protected]




La présentation

✦ Cas d’utilisation

✦ Description des problématiques

✦ Description des réponses techniques

✦ Best pratices


Définitions✦ SSO : authentification unique

✦ Fédération : authentification unique déléguée à une entité tierce

✦ Référentiel d’identité : « base de données » maître contenant la liste des utilisateurs, mots de passes, attributs (dont rôles)

✦ Rôle : Fonction d’une personne

✦ Droit : Permission (donné ou refusée) d’effectuer une action sur un élément


Définitions

✦ Fournisseur d’identité (IdP) : en charge d’authentifier un utilisateur

✦ Fournisseur de services (SP) : site utilisateur, par exemple un Drupal


Cas d’utilisation

✦ Une société (ACME) qui dispose de :

✦ Un Drupal comme outil interne

✦ Un Drupal comme site vitrine

✦ Une application tierce comme GED


Cas d’utilisation : les acteurs

✦ Technicien : consulte et publie des articles sur le drupal interne, la GED. Peut consulter le site vitrine (comme n’importe quel Internaute)

✦ Marketing : en charge de publier des articles sur le site vitrine

✦ Internaute : consulte et commente les articles du site vitrine


Pour mieux comprendre

9

Intranet(Drupal)

Extranet(Drupal)

GED(Autre)

Intranet

Internet

Consulte, commente

Internaute

Technicien

Consulte, commente

Consulte, publiecommente

Consulte, publie

Marketing



Mode non SSO

✦ Chaque site dispose de sa base de comptes (login, mot de passes, rôles)

✦ Problèmes utilisateurs

✦ Double (voire triple) saisie pour un employé

✦ Création d’un compte pour qu’un Internaute puisse commenter


Un référentiel par site

11

Intranet(Drupal)

Extranet(Drupal)

GED(Autre)

Intranet

Internet

Internaute

Technicien MarketingAdministrateur

gère

gère

gère


Mode non SSO

✦ Problèmes d’administrations

✦ Multiples créations de comptes, saisies d’attributs,

✦ Rigueur requise (ex : bbonfils vs bonfilsb), notamment entre les différents administrateurs


Mode non SSO

✦ Il est toujours facile de créer un utilisateur

✦ Il est beaucoup plus difficile de supprimer un utilisateur, a fortiori dans un laps de temps pertinent

13

!vendredi 13 septembre 13

Simplifions...

✦ Le DSI d’ACME veut simplifier l’authentification des employés dans un premier temps, puis des Internautes dans un second temps


Utilisation d’un référentiel unique

✦ Simplifie l’administration

✦ L’utilisateur à le même mot de passe et attributs sur tous les sites

✦ Solutions possibles :

✦ Base de données SQL

✦ Serveur LDAP

✦ Active Directory


Un référentiel unique

16

Intranet(Drupal)

Extranet(Drupal)

GED(Autre)

Intranet

Internet

Internaute



Quid des comptes internautes ?

✦ On peut très bien mixer une authentification avec référentiel et une authentification locale


Mix de référentiels

18

Intranet(Drupal)

Extranet(Drupal)

GED(Autre)

Intranet

Internet

Internaute


Comptes internautes

Comptes employés


Drupal et LDAP

✦ Le module ldap de Drupal est très complet

✦ Authentification

✦ Autorisation

✦ Provisionning

✦ Documentation !


Et le SSO ?

✦ Nous avons maintenant un référentiel unique, propre, et facile à maintenir

✦ Simplifions la vie des employés en rajoutant l’authentification unique


Comprendre le SSO

✦ Un utilisateur s’authentifie sur un seul site (le fournisseur d’identité)

✦ Il n’a pas besoin de s’authentifier sur tous les autres sites qui utilisent ce fournisseur d’identité


SSO : La technique

✦ On distingue deux grands familles de fonctionnement

✦ Par cookie

✦ Par ticket


Le SSO par cookie

✦ L’IdP positionne un cookie (généralement sur .domaine.com)

✦ Les SP lisent ce cookie, le vérifient auprès de l’IdP et récupérent les attributs de l’utilisateur


SSO par cookie

24

Service IdP

accède à

redirige

accède à

authentification

redirige (cookie)

accède à (cookie)

information de session


SSO par cookie

25

Service 2 IdP

accède à (cookie)

information de session

Exemple :• liste des groupes• attributs :• email, prénom, nom


Le SSO par ticket

✦ L’utilisateur s’authentifie sur l’IdP

✦ Chaque service demande un ticket à l’IdP


Le SSO par ticket

27

Service IdP

accède à

redirige

accède à

authentification

redirige (cookie + jeton)

accède à (jeton)

vérifie le jeton


Le SSO par ticket

28

Service 2 IdP

accède à

redirige

accède à (cookie)

redirige (jeton)

accède à (jeton)

vérifie le jeton


SSO

SSO employés

29

Intranet(Drupal)

Extranet(Drupal)

GED(Autre)

Intranet

Internet

Internaute


Comptes internautes

Comptes employés


Solutions SSO libres

✦ Par cookie

✦ LemonLDAP::NG

✦ OpenAM

✦ Par ticket

✦ CAS

✦ SAML


Et maintenant ?

✦ Simplifions la vie des internautes en ajoutant la possibilité d’utiliser un compte déjà existant auprès de fournisseurs divers


Les solutions techniques

✦ OpenID (en perte de vitesse)

✦ OAuth2

✦ Facebook, Google, etc..


SSO

Fédération

33

Intranet(Drupal)

Extranet(Drupal)

GED(Autre)

Intranet

Internet

Internaute


Comptes internautes

Comptes employés

Google Facebook

oauth


SSO vs Fédération ?

✦ Le terme fédération sous entend que deux entités (sociétés) sont impliquées

✦ Le fournisseur de service : vous

✦ Le fournisseur d’identité : Google, etc.

✦ Le terme SSO est utilisé dans un cadre mono entité


La gestion des rôles

✦ Un fournisseur d’identité ne doit pas transmettre des droits, mais des rôles fonctionels

✦ Ces rôles doivent être mappés localement à des groupes, qui eux définissent des droits


Rappel

36

Intranet(Drupal)

Extranet(Drupal)

GED(Autre)

Intranet

Internet

Consulte, commente

Internaute

Technicien

Consulte, commente


Consulte, publie

Marketing



Matrice : Intranet

37

Role Groupe Droits

developper developper• Création du contenu

xxx• Consultation

marketing anonymous Consultation


Fédération : SAML

✦ Il existe un autre protocole (standard) de fédération : SAML

✦ Très utile (et utilisé) dans le cas d’applications SaaS

✦ Drupal se repose alors sur l’excellente bibliothèque simplesamlphp


Démo

✦ LDAP

✦ CAS

✦ SimpleSAML


Conclusion

✦ Drupal est probablement le CMS le plus complet en terme de modules d’authentifications / autorisations


l’agilité du SIOpenCSI

Questions ?


Technology

Drupal sso