Mise en oeuvre d'un annuaire d'entreprise (Administration)

Version du 15 décembre 2009 à 15:27

Introduction

Une nouvelle notion apparait dans la console d'administration : l'annuaire.

L'annuaire va nous permettre

- de gérer finement (au niveau entité) l'authentification grâce au profil d'authentification
- de s'authentifier sur un annuaire externe (respectant le protocole LDAP)

Ainsi, le processus d'authentification est modifié.

Pour authentifier un utilisateur :

Avant :

1. On vérifiait la validité utilisateur mot de passe (+ compte non expiré + login réseau)
2. On s'assurait que l'utilisateur (ou un groupe auquel il appartenait) était en relation avec l'"Application-Société" dans laquelle il souhaitait rentrer

Aujourd'hui :

1. L'entité qui demande l'authentification (utilisateur ou groupe) doit être actrice d'un annuaire.(si plusieurs annuaires actifs, il faut choisir cet annuaire)
2. L'annuaire a la responsabilité de valider la demande d'authentification.(ainsi, pour un annuaire active directory, la validité utilisateur/mot de passe n'est pas gérée par la ligne 1000)
3. Ensuite, comme avant, on s'assure que l'entité est en relation avec l'"Application-Société"

Remarque : L'annuaire a également la responsabilité du profil d'authentification (longueur du mot de passe ...)

On distingue trois types d'annuaires (un "interne" et deux "externes"):

L'annuaire d'entreprise : il est livré par défaut, on ne peut pas en créer de nouveaux. Il permet, pour chaque entité déclarée dans cet annuaire, d'appliquer un profil d'authentification. L'annuaire porte un profil par défaut.

L'annuaire LDAP : Il permet d'authentifier les utilisateurs sur un serveur externe respectant la norme LDAP.

L'annuaire Active Directory : Il permet d'authentifier les utilisateurs auprès d'Active Directory.

Remarque : l'utilisateur admin se connecte toujours sur l'annuaire d'entreprise.

Paramétrage d'un annuaire LDAP

Les acteurs de l'annuaire

Ce sont les entités autorisées à s'authentifier. L'identifiant permet de les retrouver dans l'annuaire LDAP externe (grâce à l'attribut de recherche paramétré plus loin)

On cherche en priorité l'utilisateur parmi les acteur pour appliquer les politiques (puis le groupe éventuel)

Le paramétrage de la connexion LDAP

• Base DN : il s'agit du nom de domaine sur lequel seront effectuées les recherches
• L'utilisateur autorisé à interroger l'annuaire est utile à double titre :

1. Lors d'une tentative de connexion d'un utilisateur pour effectuer une rechercher dans l'annuaire.
2. Une fois l'utilisateur identifié pour effectuer des recherches dans l'annuaire, le compte de l'utilisateur n'ayant pas nécessairement les droits de recherche.

Le paramétrage des attributs

• L'attribut de recherche est utilisé pour ...
• Le nom est utiliser pour vérifier que l'utilisateur qui se connecte existe dans l'annuaire( avant même d'authentifier)
• Nom complet et adresse de messagerie permettent de renseigner ces éléments localement.

Connexion d'un utilisateur déclaré sur un annuaire externe

Scénario d'utilisation d'un annuaire externe.

Contexte

L'administrateur souhaite que les utilisateurs LDAP appartenant au groupe "Compta" accèdent au dossier "Dossier compta" de la Ligne 1000.

Paramétrage annuaire

1. L'administrateur crée un annuaire LDAP et le paramètre.
2. Ensuite, il crée un groupe "Grp compta" qui représente le groupe de son annuaire LDAP externe.
3. Il déclare ce groupe comme acteur dans l'annuaire et renseigne son identifiant LDAP. ("CN=Compta...")

Connexion d'un utilisateur appartenant à ce groupe

Lorsqu'un utilisateur appartenant à ce groupe s'authentifie pour la première fois dans la Ligne 1000, il est automatiquement créé.

La synchronisation des informations de l'utilisateur

Chaque fois qu'un utilisateur se connecte sur une annuaire type LDAP, on met à jour les informations (mail..) et la liste des groupes auquel il appartient.

Connexion sans passer par la fenêtre de login

Il est possible de se connecter à la ligne 1000 sans passer par la fenêtre de connexion.(rpc, ole..) C'est pourquoi, des mécanismes sont prévus pour que les paramétrages existants fonctionnent toujours.

Lors de la connexion à la la base, si l'annuaire n'est pas renseigné, on prend par défaut l'annuaire entreprise (s'il est actif). De même, si le groupe n'est pas renseigné et que l'utilisateur n'est pas autorisé en tant que tel dans la société, on tâche de trouver un groupe autorisé auquel l'utilisateur appartient.