Annuaire OAuth2

Version du 9 janvier 2014 à 10:03

Les annuaires OAuth2 sont des annuaires de gestion d'identités implémentant le protocole d'authentification OAuth2

De nombreux fournisseurs de service implémentent OAuth2 comme par exemple Google ou Microsoft LiveID

Les bénéfices de l'utilisation d'un annuaire OAuth2 sont les suivants :

• Vous n'avez plus besoin de gérer les identités des utilisateurs.
• Vos utilisateurs se connectent avec les identifiants du fournisseurs de l'annuaire.
• Vos utilisateurs sont automatiquement connectés lorsqu'ils sont authentifiés sur le fournisseur de l'annuaire.

Vous devrez cependant déclarer explicitement les utilisateurs dans l'administration 1000 pour les autoriser.

Tip : Les annuaires OAuth sont le pendant dans le monde Web des annuaires d'Entreprise de type LDAP ou AD, ils prennent en charge la fonction authorisation mais pas la fonction autorisation.

Cas d'utilisation standards

Par exemple si vous mettez en oeuvre l'annuaire Google :

Lors de la première connexion d'un utilisateur au Service 1000

• Il est redirigé sur la page de connexion Google
• Il doit alors autoriser le Service 1000 à accéder à ses informations d'identification.
• Il est ensuite redirigé sur le Service 1000
• Il est connecté.

Lors des accès suivant au Service 1000:

• Il est automatiquement connecté au Service 1000 sans passer par la page de connexion.

Si l'utilisateur révoque son autorisation dans la gestion de son compte Google :

• Au prochain accès au Service 1000 il devra de nouveau se connecter et recommencer la phase d'autorisation.

Si l'administrateur du Service 1000 supprime ou désactive l'utilisateur :

• Il ne pourra plus se connecter car bien que authentifié il ne sera pas autorisé.

Pré-requis

La mise en oeuvre d'un annuaire OAuth2 nécessite que vous enregistriez votre Service 1000 auprès de l'annuaire OAuth2. Les informations mises en oeuvre au cours de cette étapes sont généralement :

• Une URL de rappel pointant sur votre Service 1000
• Un identifiant ClientID
• Un secret client associé à cet identifiant

L'URL de rappel que vous fournissez à l'annuaire est une URL pointant sur votre Service 1000, bien que cela ne soit pas indispensable au protocole, cette URL doit généralement être publique. Si votre Service 1000 n'est pas public, vous pouvez mettre en oeuvre un serveur intermédiaire public se chargeant de la redirection.

Mise en oeuvre

Créer une application oAuth2

La création d'une application oAuth2 permet d'obtenir le clientId et le clientSecret nécéssaires au fonctionnement de l'authentification.

• Exemples

• Le service 1000 dispose d'une adresse publique

Attention : L'url de rappel doit être http://[hôte]/oauth2_success.l1000'

• Le service 1000 ne dispose pas d'une adresse publique

Certains fournisseurs permettent dans le cadre d'applications dites "desktop" de renseigner une url de rappel "localhost"

Il est possible également d'utiliser un service de redirection.

Attention : L'url de rappel doit correspondre à l'adresse publique du service de redirection

Dans cet exemple on a un machine à l'adresse publique "http://maredirection", le service 1000 est sur la machine pc100299 (adresse privée) Sur cette machine est installé l'application nodejs.

L'adresse de de rappel paramétrée chez le fournisseur oAuth2 est "http://maredirection/redirect"

Voici le code d'un service node.js réalisant la redirection nécessaire :

var express = require('express')
  , appPort = process.env['app_port'] ||3000
  , app = express();    
 
app.get('/redirect', function(req, res){  //l'url de redirection dans la console contient le chemin "redirect"
  res.redirect('http://pc100299/sf_660/server/oauth2_success.l1000'+req.url);//ici pc100299 est l'adresse privée du service 1000
											});
 
app.listen(appPort);
console.log("Express server listening on port %d", appPort);

Paramétrer l'annuaire dans la console d'administration

• Le service 1000 dispose d'une adresse publique

Il suffit de renseigner

* le "clientID" 
* le "clientSecret".

• Le service 1000 ne dispose pas d'une adresse publique

Il faut renseigner

* le "clientID" 
* le "clientSecret".
* L'adresse de rappel

• Le fournisseur est déjà paramétré

• Le fournisseur n'est pas encore paramétré

Il faut renseigner les paramètres annuaires afin de permettre à Sage 1000 de récupérer le nom prénom et courriel de l'utilisateur

Il faut ensuite modifier le fichier "/1000Site/csss/sage.css" pour renseigner l'image à afficher sur la fenêtre de connexion.

Le nom de la classe est : "login-" suivi du nom de l'annuaire.

La fenêtre de connexion affiche les annuaires oAuth2 actifs

Autoriser les utilisateurs

• Autorisation préalable

Il est possible d'autoriser préalablement les utilisateurs. Il faut créer l'utilisateur le lier à l'annuaire et renseigner l'identifiant annuaire. L'identifiant annuaire correspond au paramétrage annuaire "UserIdPath" Par exemple si "UserIdPath" retourne l'adresse email de l'utilisateur, il faut renseigner l'adresse email dans l'identifiant annuaire.

Attention : UserIdPath doit correspondre à une information qui permet d'identifier l'utilisateur (ne pas mettre un prénom dans cette zone)

• Autorisation à la demande

Si un utilisateur souhaite se connecter à l'application mais qu'il n'est pas reconnu, une demande d'autorisation est envoyée aux utilisateurs qui ont le rôle d'administration des utilisateurs et dossier.

Les rôles nécessaires pour recevoir le message :

Le traitement des demandes d'autorisation :

Cet assistant crée l'utilisateur, le lie à l'annuaire, et l'ajoute aux utilisateurs autorisés du dossier choisi.

Une fois la demande acceptée un message est envoyé au demandeur.

Diagramme de séquence