EsupPortail

EsupPortail
Propagation
d'authentification/identification
Shibboleth
Vincent Bonamy
Jean­Pierre Tran
24 Janvier 2011
Journée fédération 2011
1
1 ENT Multi-Établissement
- (Démo)
- Contexte
- Authentification
– EsupPortail + Shibboleth
- Propagation d'authentification
– « Multi » Proxy CAS
– Propagation d'identification « a la shib »
– … SAML Delegation … ?
24 Janvier 2011
Journée fédération 2011
2
1 ENT Multi-Établissement
- (Démo)
- Contexte
- Authentification
– EsupPortail + Shibboleth
- Propagation d'authentification
– « Multi » Proxy CAS
– Propagation d'identification « a la shib »
– … SAML Delegation … ?
24 Janvier 2011
Journée fédération 2011
3
Contexte
• UNR RUNN → 1 ENT mutualisé
• ENT = porte unique vers l'ensemble
des services
• Authentification ? Propagation
d'authentification ?
• Exemple de service : accès aux
espaces de stockage
→ esup-portlet-stockage
24 Janvier 2011
Journée fédération 2011
4
1 ENT Multi-Établissement
- (Démo)
- Contexte
- Authentification
– EsupPortail + Shibboleth
- Propagation d'authentification
– « Multi » Proxy CAS
– Propagation d'identification « a la shib »
– … SAML Delegation … ?
24 Janvier 2011
Journée fédération 2011
5
Authentification
• Authentification sur un ensemble de
SI. Solutions envisagées … :
– 1 CAS UNR + 1 LDAP UNR
– Shibboleth
• Solution retenue : Shibboleth ;-)
24 Janvier 2011
Journée fédération 2011
6
24 Janvier 2011
Journée fédération 2011
7
Shibboleth
• Authentification + Identification
• Mod shib apache + modifs userContext.xml,
security.properties ...
• Mapping attributs shib → attributs uPortal
• Looks différents : uPortalTemplateUserName
calculé en fonction des attributs shib/uPortal
• Groupes en fonctions des attributs shib/uPortal
(PAGS)
24 Janvier 2011
Journée fédération 2011
8
1 ENT Multi-Établissement
- (Démo)
- Contexte
- Authentification
– EsupPortail + Shibboleth
- Propagation d'authentification
– « Multi » Proxy CAS
– Propagation d'identification « a la shib »
– … SAML Delegation … ?
24 Janvier 2011
Journée fédération 2011
9
Shib / SAML Delegated
Auth ?
• Propagation d'authentification /
identification
• Mais ...
– On ne sait pas (encore) faire (!)
– > Dans un premier temps :
trouver des solutions pragmatiques
24 Janvier 2011
Journée fédération 2011
10
Propagation
d'authentification - PB1
• Objet :
– Permettre l'accès (web) à l'espace de
stockage personnel de l'utilisateur (d'un
établissement donné) sans ressaisie du
username/password
24 Janvier 2011
Journée fédération 2011
11
Proxy CAS ?
• CAS plutôt bien maîtrisé
• Librairie Java (Jasig) ok – utilisé dans
différentes Portlets
(esup-portlet-stockage ok)
• PAM CAS (Esup) simple à installer
• CAS utilisé par nos SI, SFTP (SSH) cassifié, …
→ PB1 == SFTP via auth proxy CAS sur SFTP cassifié
24 Janvier 2011
Journée fédération 2011
12
Shib + CAS
• Idée = faire qd même du ProxyCAS
=> Authentification Shib
+ authentification CAS
+ authentification Proxy CAS ^N
24 Janvier 2011
Journée fédération 2011
13
24 Janvier 2011
Journée fédération 2011
14
N CAS ...
• URL du serveur CAS doit être
fonction du suffixe de l'affiliation de
l'utilisateur (attribut récupéré par
shib).
24 Janvier 2011
Journée fédération 2011
15
24 Janvier 2011
Journée fédération 2011
16
24 Janvier 2011
Journée fédération 2011
17
24 Janvier 2011
Journée fédération 2011
18
Propagation
d'authentification - PB2
• Objet :
– Permettre l'accès (web) à l'espace de
stockage EsupEcm (Nuxeo) qui est une
application de GED shibbolethisée
24 Janvier 2011
Journée fédération 2011
19
Nuxeo Shibbolethisé
• Développement assuré par la société
Nuxeo et financé par le consortium
ESUP-Portail
• Shibbolethisation de Nuxeo ==
identification dans les entêtes HTTP ;
le shib est confié réellement à
mod_shib d'apache …
• Accès applicatifs à Nuxeo par CMIS ==
protocole de type REST (HTTP)
24 Janvier 2011
Journée fédération 2011
20
24 Janvier 2011
Journée fédération 2011
21
Propagation d'authentification
« a la shib »
Idée :
– Esup-portlet-stockage qui fait « proxy »
dans la propagation d'identification
court-circuite le mod_shib
– Esup-portlet-stockage positionne les
entêtes HTTP « a la shib » lors des
appels CMIS (requêtes HTTP).
24 Janvier 2011
Journée fédération 2011
22
24 Janvier 2011
Journée fédération 2011
23
SAML Delegation ?
Et le SAML Delegation alors ?
– Uportal sait faire
– WebProxyPortlet sait faire
→ à l'étude !
24 Janvier 2011
Journée fédération 2011
24