1. Rencontres Mondiales du Logiciel Libre 2009 Prsentation du WebSSOLemonLDAP::NG Clment OUDOT

2. Menu du jourConcepts du WebSSO Le logiciel LemonLDAP::NG Nouveauts de la version 0.9.4 Dmonstration10 juillet 2009 2http://lemonldap.ow2.org 3. Dfinition du WebSSOSSO signifie Single Sign On , qui peut se traduire en franais par authentification unique Le SSO est souvent accompagn de certaines fonctionnalits : Politique de mot de passe centralise Transmission transparente des informations de session aux applications Gestion des profils applicatifs, c'est--dire qui accde quoi 10 juillet 20093 http://lemonldap.ow2.org 4. SSO par agent10 juillet 2009 4http://lemonldap.ow2.org 5. SSO par dlgation 10 juillet 2009 5 http://lemonldap.ow2.org 6. SSO par mandataire inverse 10 juillet 2009 6 http://lemonldap.ow2.org 7. Le protocole HTTPGET http://lemonldap.ow2.org HTTP/1.1 Accept: text/html User-Agent: Mozilla/5.0 (X11; U; Linux i686; fr; rv:1.7.6) HTTP/1.1 200 OK Date: Thu, 13 Mar 2008 15:05:29 GMT Server: Apache Content-Length: 264 Content-Type: text/html; charset=iso-8859-1 LemonLDAP::NG Homepage.... 10 juillet 2009 7 http://lemonldap.ow2.org 8. Prsentation de LemonLDAP::NGLemonLDAP::NG est un logiciel libre (licence GPL) hberg chez OW2 : http://lemonldap.ow2.org Dvelopp l'origine par Xavier GUIMARD pour les besoins de la Gendarmerie Nationale Produit bas sur Apache et mod_perl, entirement crit en Perl (moteur et interfaces) Fournit un portail d'accs dynamique et une interface d'administration 10 juillet 2009 8 http://lemonldap.ow2.org 9. Architecture10 juillet 2009 9http://lemonldap.ow2.org 10. PrincipeL'implmentation par dfaut utilise un annuaire LDAP pour : authentifier l'utilisateur (vrification du mot de passe) effectuer un contrle d'accs (selon les attributs LDAP de l'utilisateur) approvisionner les applications (par transmission des attributs LDAP dans les en-ttes HTTP) permettre l'utilisateur de changer son mot de passe 10 juillet 2009 10 http://lemonldap.ow2.org 11. Fonctionnement gnral10 juillet 2009 11 http://lemonldap.ow2.org 12. Gestion des sessionsUtilisation de n'importe quel moduleApache::Session pour le stockage (File, DBI,LDAP, Memcached, ...) Inscription du numro de session dans un cookie temporaire (non crit sur disque) avec le choix : Cookie non-scuris Cookie scuris (HTTPS uniquement) Double cookie Dure de vie des sessions configurable 10 juillet 200912 http://lemonldap.ow2.org 13. Rgles d'accsLes rgles d'accs sont des expressions Perl Elles peuvent tre appliques sur tout ou partie d'une application protge (utilisation d'expressions rgulires sur les URL) Tous les attributs exports lors de l'authentification sont disponibles dans les rgles Un systme de macros permet de stocker desvaleurs calcules en session10 juillet 200913http://lemonldap.ow2.org 14. Rgles d'accsAccs pour tous les utilisateurs authentifis : Default => accept Accs pour le groupe admin : Default => $groups =~ /admin/ Accs aux mp3 pour l'utilisateur HADOPI : ^/*.mp3 => $uid eq "HADOPI" Interception du logout de l'application ^/logout.php => logout_sso 10 juillet 200914http://lemonldap.ow2.org 15. Htes virtuelsLa distinction des applications est base sur lanotion d'htes virtuels Les htes virtuels peuvent tre rpartis surplusieurs serveurs Apache Chaque hte virtuel possde : Des rgles d'accs Des en-ttes HTTP Les en-ttes HTTP contiennent galement desexpressions Perl 10 juillet 200915 http://lemonldap.ow2.org 16. Applications nativement compatibles10 juillet 2009 16 http://lemonldap.ow2.org 17. Autres applications compatiblesApplications reposant sur la scurit Apache(.htaccess) : Nagios, ... Applications reposant sur la scurit Tomcat(users.xml) : Lutece, Probe, ... Applications utilisant HTTP Basic : Domino WebAccess, Outlook Web Access, ... Applications compatibles SiteMinder10 juillet 200917 http://lemonldap.ow2.org 18. Nouveauts de la version 0.9.4Utilisation de LDAP possible pour le stockage dela configuration et des sessions Rcriture complte des fonctions SOAP : leportail est directement un point d'accs SOAP Systme de notifications Nouvelles fonctions disponibles dans les rglesd'accs pour vrifier les dates, les jours et lesheures de connexion autoriss L'adresse du portail peut tre dynamique10 juillet 200918http://lemonldap.ow2.org 19. Nouveauts de la 0.9.4Sparation des modules d'authentification, dedonnes utilisateur et de mots de passe Gestion complte de la politique des mots depasse LDAP Configuration simplifie du cross-domain10 juillet 200919http://lemonldap.ow2.org 20. Feuille de routeRefonte de l'interface d'administration Validation du formulaire d'authentification pourles applications fermes Portefeuille de comptes pour les applicationsfermes Support SAML2 complet (fournisseur d'identitset fournisseur de service)10 juillet 200920 http://lemonldap.ow2.org 21. Dmonstration10 juillet 2009 21 http://lemonldap.ow2.org