Télécharger en tant que PDF, PPTX
Téléchargé parLINAGORA
Matinée pour conmrendre consacrée à LinID.org, gestion, fédération et contrôle des identités
Le séminaire linid.org du 3 avril 2014 présente les composants de gestion et fédération des identités, ainsi que l'intégration avec Active Directory. Linagora, un acteur majeur du logiciel open source, propose des solutions technologiques pour les grandes organisations. La fédération des identités via le protocole SAML est mise en avant pour assurer un accès unifié et sécurisé aux services.
Contenu connexe
![[Identity Days 2021] Quel avenir pour OpenLDAP ?](https://cdn.slidesharecdn.com/ss_thumbnails/presentation-identitydays-2021-quel-avenir-pour-openldap-211126161907-thumbnail.jpg?width=640&height=640&fit=bounds)
![[Open Source Experience 2021] Une infrastructure Cloud et une solution IDaaS ...](https://cdn.slidesharecdn.com/ss_thumbnails/presentation-opensourceexperience-2021-infrastructure-cloud-widaas-211126162333-thumbnail.jpg?width=640&height=640&fit=bounds)
![[Université Lyon 1] Exemples de logiciels libres : LemonLDAP::NG et W'Sweet](https://cdn.slidesharecdn.com/ss_thumbnails/univlyon1plossra-200924080353-thumbnail.jpg?width=640&height=640&fit=bounds)
![[Identity Days 2021] W'IDaaS - Identity as a Service](https://cdn.slidesharecdn.com/ss_thumbnails/pre-widaas-identity-days-2021-211126162131-thumbnail.jpg?width=640&height=640&fit=bounds)
Similaire à Matinée pour conmrendre consacrée à LinID.org, gestion, fédération et contrôle des identités
![[RMLL2017] Des logiciels libres pour la gestion des identités !](https://cdn.slidesharecdn.com/ss_thumbnails/rmll2017-llgestionidentite-170704151326-thumbnail.jpg?width=640&height=640&fit=bounds)
![[OSSPARIS17] Des logiciels libres pour la gestion des identités !](https://cdn.slidesharecdn.com/ss_thumbnails/poss2017-llgestionidentite-171207214247-thumbnail.jpg?width=640&height=640&fit=bounds)
![[UDS] Cloud Computing "pour les nuls" (Exemple avec LinShare)](https://cdn.slidesharecdn.com/ss_thumbnails/uds-cloudcomputing-samiabenchekroun-170629143241-thumbnail.jpg?width=640&height=640&fit=bounds)
Matinée pour conmrendre consacrée à LinID.org, gestion, fédération et contrôle des identités
- 1. #mpclinid2014 Séminaire LinID.orgSéminaire LinID.org Gestion,fédération et contrôle des identités 3 AVRIL 2014 WWW.LINAGORA.COM
- 2. 2#mpclinid2014 Sommaire Introduction (15') Présentation des composants de LinID.org (30') Intégration du serveur Active Directory avec LinID.org (30') Pause (15') Mise en place de la fédération des identités avec le protocole SAML (45') Retour d'expérience par Olivier Guillard, AFNIC (30')
- 3. 3 Notre mission Avec sesAvecses logicielslogiciels etet servicesservices,, LINAGORA permet aux grandesLINAGORA permet aux grandes organisations publiquesorganisations publiques etet privéesprivées de développer leurde développer leur indépendance technologiqueindépendance technologique
- 4. 4#mpclinid2014 Présentation de LINAGORA Logicielset services pourLogiciels et services pour réussirréussir vos grands projets devos grands projets de transformationtransformation open sourceopen source Principaux clientsPrincipaux clients Edition LogicielleEdition Logicielle ServicesServices Assurance LogicielleAssurance Logicielle Messagerie Collaborative Partage de fichiers sécurisé Gestion et Fédération des Identités Plateforme d'intégration SOA 150 salariés Bureaux en France, Belgique, États Unis et Canada
- 5. 5 Le 1er investisseurprivé en R&D Open Source en France ! PARIS TOULOUSE LYON SOPHIA MONTPELLIER GRENOBLE 13 ingénieurs 16 1 1 2 6 +40ingénieurs R&D 1 1 +10nouveaux postes à pourvoir pour le développement d'OpenPaaS HAMBOURG COPENHAGEN 2,5 M€d'investissement en R&D +50 ingénieurs R&D dans les 3 ans
- 6. 6#mpclinid2014 Modèle économique On serémunère par : Conseil et intégration Développement de fonctionnalités spécifiques Support technique 100 % Free Free100 % Free Free = aucunaucun coûtcoût de licence = réellementréellement Open Source = paspas de modèle Freemium
- 7. 7 Signature électronique uniquementpour .doc Signature électronique pour tout type de document L'alternative aux logiciels propriétaires existe
- 8. 8#mpclinid2014 Sommaire Introduction (15') Présentation des composants de LinID.org (30') Intégration du serveur Active Directory avec LinID.org (30') Pause (15') Mise en place de la fédération des identités avec le protocole SAML (45') Retour d'expérience par Olivier Guillard, AFNIC (30')
- 9. #mpclinid2014 Présentation desPrésentation des composantsde LinIDcomposants de LinID
- 10. 10#mpclinid2014 Des logiciels libresde gestion des identités LinID est un ensemble de logiciels libres destinés à fournir une solution complète de gestion des identités et des accès : – LinID Directory Server : annuaire référentiel d'identités – LinID Directory Manager : interface de publication et de gestion – LinID Access & Federation Manager : SSO, contrôle d'accès et fédération des identités – LinID Provisioning Manager : synchronisation des identités entre les référentiels du SI
- 11. 11#mpclinid2014 Des composants complémentaireset intégrés Référentiel desRéférentiel des identitésidentités DirectoryDirectory ServerServer SourcesSources d'identitésd'identités (SIRH, ...)(SIRH, ...) Identités duIdentités du systèmesystème d'informationd'information ProvisioningProvisioning ManagerManager Applications duApplications du systèmesystème d'informationd'information Applications CloudApplications CloudApplications CloudApplications Cloud ConsoleConsole d'administrationd'administration OpenLDAPOpenLDAP ManagerManager Interface de gestionInterface de gestion DirectoryDirectory ManagerManager SSO, contrôle d'accès, fédérationSSO, contrôle d'accès, fédération d'identitésd'identités FederationFederation & Access& Access ManagerManager
- 12.
- 13. 13#mpclinid2014 LinID Directory Server Annuaire de référence : OpenLDAP Paquetages RPMs et Debian des dernières versions Utilitaire de sauvegarde/restauration des données et de la configuration Console d'administration : LinID OpenLDAP Manager Greffons de supervision Nagios/Centreon/Cacti
- 14. 14#mpclinid2014 L'annuaire le plusperformant du marché Tests de charge en lecture réalisés en 2013 : Source : http://fr.slideshare.net/ldapcon/benchmarks-on-ldap-directories
- 15. 15#mpclinid2014 Respect des standardset richesse fonctionnelle OpenLDAP est l'implémentation de référence des RFC IETF sur le protocole LDAP Un système de greffons permet l'activation de nombreuses fonctionnalités : – Intégrité référentielle – Unicité globale – Groupes dynamiques – Politique des mots de passe – Pagination et VLV – Attributs collectifs – Service dynamiques – Gestion de l'attribut memberOf
- 16.
- 17. 17#mpclinid2014 LinID OpenLDAP Manager Console Web de gestion de la configuration OpenLDAP (depuis la version 2.3) Gestion des backends et des overlays Gestion du schéma Détection dynamique des modules compilés et de la version Possibilité d'administrer plusieurs serveurs depuis une interface unique
- 18.
- 19.
- 20.
- 21. 21#mpclinid2014 LinID Directory Manager Framework J2EE haut niveau pour création d'interfaces de gestion d'annuaires LDAP Fonctionnalités : – Pages blanches, pages jaunes – Formulaire de création, mise à jour et suppression – Délégation – Recherches multicritères – Navigation par arbre – Gestion des photos – Organigrammes Adaptabilité dynamique au schéma de données et aux contrôles d'accès
- 22.
- 23.
- 24.
- 25.
- 26.
- 27.
- 28.
- 29. 29#mpclinid2014 LinID Access Manager Produit de WebSSO et contrôle d'accès (LemonLDAP::NG) Modules d'authentification LDAP, SQL, CAS, Kerberos, OpenID, SAML, SSL, OTP (Yubikey), etc. Intégration directe SiteMinder, Apache htaccess, HTTP Basic, Tomcat Rejeu de formulaires Historique de connexion
- 30.
- 31.
- 32.
- 33.
- 34. 34#mpclinid2014 LinID Federation Manager Extension de LinID Access Manager pour la fédération d'identité Support : – Authentification et fournisseur d'identité SAML2 / Shibboleth – Authentification et fournisseur d'identité OpenID – Authentification et fournisseur d'identité CAS Cas d'usage – Partage d'applications pour plusieurs organisations – Accès à des applications dans une organisation multi AD hors forêt – Sécurisation de l'accès à des applications SaaS (Google Apps) via une authentification locale (AD, certificats, token, ...) – Passerelle mutli-protocoles (CAS/SAML/LDAP/OpenID/...)
- 35. 35#mpclinid2014 IDP SP SLO Émissiondes requêtes et réponses Méthode Authn Response Authn Request Attribute Request Request Response HTTP GET OK OK OK OK HTTP POST OK OK OK OK Artifact GET OK OK Artifact POST OK OK PAOS TODO TODO SOAP OK OK OK Réception des requêtes et réponses Méthode Authn Request Authn Response Attribute Response Request Response HTTP GET OK OK OK OK OK HTTP POST OK OK OK OK OK Artifact GET OK OK OK Artifact POST OK OK OK PAOS TODO TODO TODO SOAP OK OK OK Matrice du support SAML2
- 36. 36#mpclinid2014 LinID Federation Manageret le Cloud
- 37.
- 38. 38#mpclinid2014 LinID Provisioning Manager- PM Moteur d'approvisionnement et de synchronisation Fonctionnement : unitaire ou événementiel Référentiels supportés : – SGBD : Oracle, MySQL, PostgreSQL, Ingres, Sybase… – Annuaires LDAP : Sun/Oracle DS, OpenLDAP, Active Directory, ... – Fichiers : CSV, XML, LDIF, ... – Autres : Google Apps, OBM, NIS, Executable Libraires avancées : – Active Directory – Samba Extensibilité simple via Java Supervision temps réel Nagios/Centreon via JMX
- 39. 39#mpclinid2014 Exemples d'implémentation Synchronisationd'un annuaire d'entreprise vers des annuaires techniques Samba Synchronisation bidirectionnelle entre Active Directory et OpenLDAP, avec gestion des mots de passe Import des comptes dans un annuaire depuis une base de données RH Approvisionnement d'identités dans des bases de données d'applications
- 40. 40#mpclinid2014 Sommaire Introduction (15') Présentation des composants de LinID.org (30') Intégration du serveur Active Directory avec LinID.org (30') Pause (15') Mise en place de la fédération des identités avec le protocole SAML (45') Retour d'expérience par Olivier Guillard, AFNIC (30')
- 41. #mpclinid2014 Intégration du serveurIntégrationdu serveur Active Directory avecActive Directory avec LinID.orgLinID.org
- 42. 42#mpclinid2014 Le serveur ActiveDirectory
- 43. 43#mpclinid2014 Active Directory ActiveDirectory est le serveur de gestion de parc de Microsoft Parmi ses services, Active Directory propose un annuaire LDAP, toutefois quelques libertés ont été prises vis-à-vis du standard LDAP : – Chiffrement spécifique du mot de passe, pas d'export possible – Limites sur le nombre d'entrées retournées (page size) et le nombre de valeurs retournées par attributs (val range) – Schéma non standard, en particulier la classe d'objet « user » – Période de validité de l'ancien mot de passe même après son changement – Utilisation de nombreux attributs binaires – Format de temps spécifique (nombre de blocs de 100 ns depuis le 1er janvier 1601)
- 44.
- 45. 45#mpclinid2014 Objectifs de lasynchronisation Utiliser LinID Directory Server (OpenLDAP) comme référentiel des identités Conserver Active Directory comme composant d'infrastructure Synchroniser utilisateurs et groupes entre les annuaires Le sens d'implémentation de la synchronisation dépend du serveur gérant les créations/modifications/suppressions d'utilisateur La synchronisation du mot de passe nécessite un traitement particulier
- 46. 46#mpclinid2014 Démonstration Synchronisation entemps réel des utilisateurs de LinID Directory Server vers Active Directory LinID Directory Server Active DirectoryLinID Provisionning Manager
- 47. 47#mpclinid2014 Stratégies de synchronisationdu mot de passe 1ère solution : pas de synchronisation, conservation du mot de passe dans AD et utilisation de la délégation SASL dans OpenLDAP 2ème solution : modification du mot de passe sur OpenLDAP, utilisation d'un chiffrement réversible pour synchronisation vers AD 3ème solution : modification du mot de passe sur AD, utilisation d'une DLL (passwdHK) pour transmettre le mot de passe à OpenLDAP
- 48. 48#mpclinid2014 Fonctionnement de ladélégation SASL
- 49. 49#mpclinid2014 Utilisation d'un chiffrementréversible LinID Provisionning Manager peut utiliser le chiffrement AES Un connecteur peut être écrit pour chiffrer à la volée un mot de passe en clair : – En SHA pour le mot de passe standard LDAP (userPassword) – EN AES réversible dans un attribut dédié Le connecteur AD peut ensuite utiliser l'attribut dédié pour déchiffrer le mot de passe avant de l'envoyer à AD On simule une authentification sur AD pour chaque entrée afin de ne mettre à jour le mot de passe que s'il a changé
- 50. 50#mpclinid2014 Utilisation d'une DLL L'utilisation d'une DLL check password est un mécanisme standard proposé par Active Directory, initialement pour implémenter sa propre politique de vérification de mot de passe Cette DLL intercepte le mot de passe en clair lors du changement par l'utilisateur, et accepte ou non son changement dans Active Directory Une implémentation libre de la DLL existe : passwdHK On configure alors un script qui est appelé par la DLL et qui va faire la modification du mot de passe dans OpenLDAP
- 51.
- 52. 52#mpclinid2014 Support AD dansLinID A&F Manager LinID Access & Federation Manager sait s'interfacer avec l'authentification Active Directory : – Soit en utilisant l'authentification LDAP (identifiant et mot de passe) – Soit en utilisant l'authentification Windows intégrée (Kerberos) – Soit les deux, en testant d'abord Kerberos, puis LDAP Le changement du mot de passe dans Active Directory peut également se faire depuis le portail LinID A&F Manager
- 53. 53#mpclinid2014 Utilisation de LDAP L'authentification se fait de manière standard au protocole LDAP Le module AD vérifie en plus le champ « changement du mot de passe à la prochaine connexion » et force l'utilisateur à faire ce changement au niveau du portail Le module AD traite ensuite l'opération de changement de mot de passe en utilisant l'attribut spécifique unicodePwd
- 54. 54#mpclinid2014 Utilisation de Kerberos L'authentification de l'utilisateur est réalisée grâce au ticket Kerberos obtenu à l'ouverture de session et stocké dans le navigateur C'est un module d'authentification Apache qui traite les échanges Kerberos Le portail LinID A&F Manager peut ensuite consolider les informations de l'utilisateur en effectuant une recherche LDAP dans Active Directory Une configuration spécifique permet de présenter un formulaire d'authentification standard dans le cas où l'authentification Kerberos échoue
- 55. 55#mpclinid2014 Sommaire Introduction (15') Présentation des composants de LinID.org (30') Intégration du serveur Active Directory avec LinID.org (30') Pause (15') Mise en place de la fédération des identités avec le protocole SAML (45') Retour d'expérience par Olivier Guillard, AFNIC (30')
- 56. #mpclinid2014 Mise en placede laMise en place de la fédération des identitésfédération des identités avec le protocole SAMLavec le protocole SAML
- 57.
- 58. 58#mpclinid2014 Pourquoi la fédérationdes identités ? Le SSO est un moyen d'unifier l'authentification au sein d'une organisation L'utilisateur ne choisit pas sur quelles applications il souhaite avoir du SSO L'utilisateur a la même identité sur chaque application Vie privée ? Anonymat ? L'utilisateur doit pouvoir : – Posséder des identités différentes sur des services différents (Clément OUDOT chez Google, Mon Petit Chou sur Meetic) – Choisir de relier une identité à une autre pour faire du SSO sur un service – Briser le lien a posteriori
- 59. 59#mpclinid2014 Cercle de confiance ServiceProvider Identity Provider Service Provider Attributes Provider User interaction Web service
- 60. 60#mpclinid2014 Fédération d'un compte Fournisseurd'identité Fournisseur de service clement.oudot abcd1234 abcd1234 monpetitchou=abcd1234 ? clement.oudot monpetitchou
- 61. 61#mpclinid2014 Fédération et protocoles La fédération d'identité permet de créer des cercles de confiance entre fournisseurs de service et fournisseurs d'identités Les comptes des différents fournisseurs de services peuvent être fédérés avec le compte du fournisseur d'identité (ce compte est appelé principal) Chaque fournisseur de service dialogue alors avec le fournisseur d'identité pour s'assurer que l'utilisateur est bien reconnu sur le cercle de confiance Les standards d'origine SAML1, Liberty Alliance et Shibboleth convergent aujourd'hui vers SAML2 SAML gère également la déconnexion (Single Logout), l'échange d'attributs, l'autorisation...
- 62. 62#mpclinid2014 SAML, gloire etbeauté SAML 1.0 WS-* ID-FF 1.2 ID-WSF 1.2 Shibboleth 1 SAML 2.0 ID-WSF 2.0
- 63.
- 64. 64#mpclinid2014 Cinématique SAML 2.0 1.Premier accès à l'application IDP SAML SP SAML 2. Authentification sur le serveur SAML choisi par l'utilisateur et autorisé dans le cercle de confiance 3. Réponse SAML IDP SAML IDP SAML
- 65. 65#mpclinid2014 Les composants duprotocole SAML
- 66. 66#mpclinid2014 LinID Access &Federation Manager
- 67. 67#mpclinid2014 Démonstration Utilisation de LinIDA&F Manager comme IDP et de simpleSAMLphp comme SP LinID Directory Server SP LinID Access & Federation Manager IDP
- 68. 68#mpclinid2014 Sommaire Introduction (15') Présentation des composants de LinID.org (30') Intégration du serveur Active Directory avec LinID.org (30') Pause (15') Mise en place de la fédération des identités avec le protocole SAML (45') Retour d'expérience par Olivier Guillard, AFNIC (30')
- 69. #mpclinid2014 Retour d'expérienceRetour d'expérience OlivierGUILLARD, AFNICOlivier GUILLARD, AFNIC
- 70. #mpclinid2014 Merci de votreattention WWW.LINAGORA.COM