WebSSO et gestion des accès

1,808 views
1,712 views

Published on

Présentation donnée sur le stand de Linagora lors du salon Solution Linux 2009.
Intervenant : Clément OUDOT, Architecte Open Source

Published in: Technology
0 Comments
1 Like
Statistics
Notes
  • Be the first to comment

No Downloads
Views
Total views
1,808
On SlideShare
0
From Embeds
0
Number of Embeds
9
Actions
Shares
0
Downloads
55
Comments
0
Likes
1
Embeds 0
No embeds

No notes for slide

WebSSO et gestion des accès

  1. 1. 31 mars, 1er et 2 avril 2009 WebSSO et gestion des accès Clément OUDOT Architecte Open Source coudot@linagora.com www.linagora.com
  2. 2. Sommaire 2 WebSSO et gestion des accès ● Concepts et définition du WebSSO – Présentation de LemonLDAP::NG – X-domain et Liberty Alliance – www.linagora.com
  3. 3. Définition du WebSSO 3 SSO signifie « Single Sign On », qui peut se ● traduire en français par « authentification unique ». Le SSO regroupe plusieurs fonctionnalités : ● Couple identifiant/mot de passe unique – Transmission transparente des informations de – session aux applications Gestion des profils applicatifs, c'est-à-dire qui – accède à quoi www.linagora.com
  4. 4. SSO par agent 4 www.linagora.com
  5. 5. SSO par délégation 5 www.linagora.com
  6. 6. SSO par mandataire inverse 6 www.linagora.com
  7. 7. Le protocole HTTP 7 GET http://www.linagora.com HTTP/1.1 Accept: text/html User-Agent: Mozilla/5.0 (X11; U; Linux i686; fr; rv:1.7.6) HTTP/1.1 200 OK Date: Thu, 13 Mar 2008 15:05:29 GMT Server: Apache Content-Length: 264 Content-Type: text/html; charset=iso-8859-1 <?xml version=quot;1.0quot; encoding=quot;iso-8859-1quot; ?> <!DOCTYPE html PUBLIC quot;-//W3C//DTD XHTML 1.0 Transitional//ENquot; quot;http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtdquot;> <html xmlns=quot;http://www.w3.org/1999/xhtmlquot; lang=quot;frquot; xml:lang=quot;frquot; dir=quot;ltrquot;> <head> <title>Linagora, integrateur de reference sur le marche des logiciels libres</title> .... </html> www.linagora.com
  8. 8. Présentation de LemonLDAP::NG 8 LemonLDAP est un ensemble de scripts et de ● modules Perl utilisés à travers mod_perl et le serveur HTTP Apache LemonLDAP et LemonLDAP::NG sont des ● logiciels libres, les projets sont hébergés chez OW2 : http://lemonldap.objectweb.org LemonLDAP a été créé par Eric German, du ● Ministère des Finances La version ::NG a été écrite par Xavier ● Guimard, de la Gendarmerie Nationale www.linagora.com
  9. 9. Principes 9 Le principe général est d'utiliser un annuaire ● LDAP pour : authentifier l'utilisateur (vérification du mot de – passe) effectuer un contrôle d'accès (selon les attributs – LDAP de l'utilisateur) approvisionner les applications (par – transmissions des attributs LDAP dans les en- têtes HTTP) LemonLDAP::NG a été choisi pour le projet ● FederID (http://www.federid.org) www.linagora.com
  10. 10. Fonctionnement général 10 www.linagora.com
  11. 11. Intégration d'une application 11 Pré-requis : ● Accès au code source et possibilité de le modifier – disposer d'un langage permettant la lecture des en- – têtes HTTP Désactiver le formulaire d'authentification local ● Lire les en-têtes HTTP, en particulier celle ● fournissant l'identité de l'utilisateur www.linagora.com
  12. 12. Ajout d'une application dans le WebSSO 12 Utilisation du Manager pour créer un nouvel ● hôte virtuel dans la configuration LemonLDAP::NG : Nom de l'hôte virtuel – Règles d'accès – Informations transmises – Configuration du serveur Apache2 : ● Ajout d'un hôte virtuel ou reprise de l'existant – Ajout des paramètres d'appel du Handler – www.linagora.com
  13. 13. Présentation du X-domain 13 Un domaine est constitué d'un nom (linagora, ● yahoo, google, ...) et d'une extension, appelée aussi suffixe (fr, de, com, net, ...). La spécification des cookies précise qu'un ● cookie doit être déclaré sur un domaine et envoyé à aucun autre. Les navigateurs refusent d'ailleurs de transmettre un cookie à un domaine différent de celui qui l'a émis. Certaines applications sont parfois réparties ● sur plusieurs domaines, elles utilisent alors des mécanismes dits de « cross-domain ». www.linagora.com
  14. 14. X-domain 14 Plusieurs solutions techniques permettent de ● faire du cross-domain, la plus répandue consiste à faire transiter le numéro de session dans l'URL. L'architecture cross-domain suppose ● généralement l'existence d'un serveur maître unique, réalisant l'authentification et la mise en session des informations, et de un ou plusieurs esclaves, utilisant le numéro de session transmis pour retrouver les informations. www.linagora.com
  15. 15. Liberty Alliance 15 2 13 4 1 8 12 9 5 3 Agent (Handler) Assertion Consumer Identifiant 15 Mot de passe 14 6 Fournisseur Portail Application d'identités WebSSO protégée 7 10 11 LDAP Sessions www.linagora.com
  16. 16. 16 Merci de votre attention Clément OUDOT Architecte Open Source coudot@linagora.com www.linagora.com

×