Un Electron Libre... - Tag - authentification

Apache : authentification intégrée sauf pour certains clients dont on ne connait pas la provenance réseau

NiCoS — Thu, 21 Aug 2008 13:01:00 +0200

Cas d'étude : une application auxquels les collaborateurs d'une entreprise accèdent via une authentification intégrée. Pour les filliales ne disposant pas du SSO ou pour permettre à des utilisateurs extérieurs de se connecter à l'application, une connexion anonyme doit être mise en place.

Solution retenue :

Apache 2.2
mod_auth_ntlm_winbind pour l'authentification sur Active Directory via Samba / Kerberos
mod_setenvif

Principe : par défaut, le serveur va chercher à authentifier l'utilisateur par authentification intégrée.

Exception : pour l'indexation de l'application, il faut autoriser l'accès anonyme au serveur

Problématique : seuls les plages IP des pays utilisant l'authentification intégrée est connue. Il faut donc permettre l'accès en anonyme à tout le monde sauf ces IP là.

L'importance ici tient dans la directive Order, Allow , Deny, Satisfy et SetEnvIf.

LoadModule auth_ntlm_winbind_module modules/mod_auth_ntlm_winbind.so
LoadModule setenvif_module modules/mod_setenvif.so
 
<Location />
    Order Deny,Allow
    Deny From All
 
    <IfModule mod_auth_ntlm_winbind.c>
        AuthName "NTLM Authentification"
        NTLMAuth on
        NTLMAuthHelper "/usr/bin/ntlm_auth --helper-protocol=squid-2.5-ntlmssp"
        NTLMBasicAuthoritative on
        AuthType NTLM
    </IfModule>
 
    Require valid-user
	<fModule mod_setenvif.c>
		# Declaration des clients utilisant l'authentification intégrée
		SetEnvIf Remote_Addr "10\.(10|13|14|19|20|44|45|49)\.[0-9]{1,3}\.[0-9]{1,3}" pays # Pays 1
		SetEnvIf Remote_Addr "10\.(70|18|48)\[0-9]{1,3}\.[0-9]{1,3}" pays # Pays 2
 
		# Declaration de l'IP du robot indexant le site
		SetEnvIf Remote_Addr "10\.135\.255\.(1|44|35|244)" indexation
	
		# Declaration de la machine pour generation du cache statique
		SetEnvIf Remote_Addr "(127\.0\.0\.1|10\.135\.255\.45)" local
		
		# Sont autorises en anonyme "tout le monde" sauf les pays avec authentification intégrée.
		Allow from env=local env=indexation !env=pays
	</IfModule>
	Satisfy any
</Location>

OpenID, le LDAP pour PME/TPE ?

NiCoS — Fri, 13 Apr 2007 14:52:00 +0200

OpenID est un système d'authentification unique (SSO ou Single Sign On en anglais) et décentralisé. Le système permet donc à un utilisateur d'utiliser son compte OpenID dans différentes applications web (sous réserve qu'elles intègrent cette fonctionnalité d'authentification) en lieu et place d'avoir un compte par application. Génial, non ?

Dans de nombreuses entreprises, ce système de compte unique est généralement mis en oeuvre via un annuaire LDAP (que ce soit avec la solution Microsoft Active Directory, ou la solution libre OpenLDAP par ex). Même si les fonctionnalités d'un annuaire LDAP vont plus loin que le simple stockage de compte (on peut l'utiliser comme un annuaire "pages blanches", stocker des droits applicatifs, etc), force est de constater que beaucoup d'entreprises (et en particulier les TPE/PME) n'utilisent que cette fonctionnalité d'authentification unique.

Dès lors, plutôt que de se doter d'un serveur ActiveDirectory ou OpenLDAP requérant des compétences en la matière, il peut être plus économique pour une entreprise de déployer un serveur OpenID (il existe une implémentation dans tous les langages ou presque). Ainsi, l'entreprise peut implémenter cette solution d'authentification unique sans impacter sensiblement son parc informatique, ni se doter de compétences particulières.

C'est trop beau pour être vrai et vous n'avez pas tout à fait tort. Les réserves tiennent pour le moment aux éléments suivants :

L'authentification via OpenID est encore faiblement implémentée, même si cela bouge très vite à ce sujet et des acteurs importants du web ont déjà implémenté ce système dans leur infrastructure (AOL, Microsoft, LiveJournal, Verisign, Zoomr, etc)
Pour les applications non web, OpenID ne peut pas être utilisée à ma connaissance. Là encore, des solutions techniques doivent pouvoir être trouvées pour contourner ce problème (webservices, etc).
Si vous voulez faire plus que de l'authentification, ce n'est pas prévu (à ce jour du moins).

Bref, tout ça pour dire qu'OpenID est à mon avis une alternative crédible face aux annuaires LDAP pour des besoins d'authentification simples et pour des applications web.Il serait bête de ne pas évaluer et prendre en compte dès maintenant, même si sa généralisation devra attendre un petit peu (sauf si vous avez la chance d'utiliser des outils disposant déjà de "connecteurs" OpenID...)

Quelques liens utiles (liste non exhaustive) :

OpenID.net
Définition de Wikipedia : OpenID
Comment utiliser OpenId, la solution d'identification tant attendue (Biologeek)
OpenID Enabled
OpenID France
Six cool things you can build with OpenID
OpenID for non SuperUsers

Djangoseries du matin...

NiCoS — Mon, 26 Feb 2007 08:42:00 +0100

Pour celles et ceux qui voudraient un dépôt de code (snippets) un peu comme les snippets de Symfony ou "Les petits bouts de code à Niko" mais en Django en lieu et place de Symfony, ils vont être ravis de l'annonce de la sortie de Django Snippets et du logiciel servant à faire tourner ce dépôt : Cab.

Toujours au passage, le module d'authentification a été sorti du projet cab et peut donc être réutilisé à outrance : Django-Registration.

Sinon, la version 0.96 avec notamment les newforms et le framework de test devrait sortir d'ici peu.