OpenProject on slash-root.fr

Docker-Compose : OpenProject

Thu, 25 Aug 2022 11:55:11 +0200

Changelog

04/09/2022 : Fix environnement

Informations importantes

Tous les services tournent dans un seul conteneur.
Le compte par défaut est admin avec le mot de passe admin.
URL d'accès : http://localhost:8080
Par défaut des connexions anonymes sont autorisées. Dans le menu Administration / Authentification, il est possible de modifier ce comportement :

Fichier docker-compose.yml

version: '3.3'

services:

 openproject:
 image: openproject/community:12
 environment:
 OPENPROJECT_HOST__NAME: localhost:8080
 OPENPROJECT_HTTPS: "false"
 # head /dev/urandom | tr -dc A-Za-z0-9 | head -c 32 ; echo ''
 OPENPROJECT_SECRET_KEY_BASE: A_GENERER_AVEC_LA_CMD_CI-DESSUS
 volumes:
 - /var/run/docker.sock:/var/run/docker.sock:ro
 - /etc/localtime:/etc/localtime:ro
 - pgdata:/var/openproject/pgdata
 - assets:/var/openproject/assets
 ports:
 - 8080:80

volumes:
 pgdata:
 driver: local
 assets:
 driver: local

Execution

docker-compose up -d

OpenProject : Mise en place du SSO avec Keycloak

Thu, 28 Oct 2021 14:40:22 +0200

Introduction

Par défaut, OpenProject utilise une base locale d'utilisateurs pour gérer l'authentification. Afin de centraliser l'authentification sur un serveur dédié (avec OpenID-Connect) Keycloak, une configuration SSO est nécessaire sur OpenProject.

OpenProject va utiliser OpenID-Connect pour faire du SSO. Ca tombe bien Keycloak aussi ! Un paramétrage concernant cela est disponible via la web UI d'administration d'OpenProject mais celle-ci ne concerne que Google et Azure. Fort heureusement, c'est tout de même possible en éditant un fichier.

Référence :

OpenProject : Installation

Keycloak : Installation avec Docker et reverse-proxy SSL Nginx

Pré-requis

Pour mener à bien cette procédure, il faut :

Un serveur OpenProject installé avec une licence Entreprise
Un serveur Keycloak installé

Pour la licence OpenProject Entreprise, il est possible de faire un essai de 14 jours gratuitement. Sans licence Entreprise, le SSO n'est pas pris en charge par OpenProject. Lorsque l'essai de la version Entreprise arrive à son terme et que celle-ci n'est pas prolongé, alors la licence repasse automatique en Community Edition (Free).

Configuration partie Keycloak

Création d'un royaume :

Création d'un client :

Root URL : L'URL d'accès au serveur OpenProject.

Dans les propriétés du client nouvellement créer, définir l' Access Type sur confidential afin de générer un secret :

Bien penser à sauvegarder la modification en bas de la page.

Un nouvel onglet Credentials est apparu dans les propriétés du client. Un secret a été généré :

Créer un compte utilisateur si le serveur Keycloak est fraichement installé :

Attention : Sur l'illustration, seul le champ Username est indiqué comme obligatoire. Lorsque qu'un utilisateur s'authentifiera avec son compte Keycloak sur OpenProject, les champs Email , First Name , Last Name seront obligatoires. Ces propriétés ne peuvent en cas cas être communes à un autre compte.

Une fois l'utilisateur créé, dans l'onglet Credentials , définir son mot de passe :

Configuration partie OpenProject

Pour qu'un utilisateur puisse utiliser son compte Keycloak pour s'authentifier sur OpenProject, celui-ci doit être activé dans OpenProject. Par défaut l'activation se fait manuellement. Pour automatiser ce processus, une option d' activation automatique du compte existe dans OpenProject.

Se connecter en admin sur OpenProject puis "Administration -> Authentification", modifier l'option Auto-enregistrement comme suit :

Pour la suite des opérations, se connecter en SSH sur le serveur OpenProject.

Modifier le fichier /opt/openproject/config/configuration.yml afin d'ajouter la possibilité de s'authentifier sur OpenProject au travers du serveur SSO Keycloak. Ajouter les lignes suivantes dans la section default :

default:

# omniauth_direct_login_provider: openid

 openid_connect:
 openid:
 host: "keycloak.example.fr"
 identifier: "MonOpenProject"
 secret: "af90aced-0000-0000-0000-0959e6fd5226"
 icon: "openid_connect/auth_provider-google.png"
 display_name: "SSO"
 authorization_endpoint: "https://keycloak.example.fr/auth/realms/MonRoyaume/protocol/openid-connect/auth"
 token_endpoint: 'https://keycloak.example.fr/auth/realms/MonRoyaume/protocol/openid-connect/token'
 userinfo_endpoint: 'https://keycloak.example.fr/auth/realms/MonRoyaume/protocol/openid-connect/userinfo'
 end_session_endpoint: 'https://keycloak.example.fr/auth/realms/MonRoyaume/protocol/openid-connect/logout'
 check_session_iframe: 'https://keycloak.example.fr/auth/realms/MonRoyaume/protocol/openid-connect/login-status-iframe.html'
 sso: true
 issuer: 'https://keycloak.example.fr/auth/realms/MonRoyaume'
 discovery: false

Adapter les valeurs suivantes :

host : Le FQDN du serveur Keycloak
identifier : Le nom du client créé dans Keycloak
secret : Le secret du client généré dans Keycloak

# Les URLS suivantes peuvent facilement être obtenues dans Keycloak
# Realm Settings -> Endpoints : OpenIP Endpoint Configuration

authorization_endpoint: "https://keycloak.example.fr/auth/realms/MonRoyaume/protocol/openid-connect/auth"
token_endpoint: 'https://keycloak.example.fr/auth/realms/MonRoyaume/protocol/openid-connect/token'
userinfo_endpoint: 'https://keycloak.example.fr/auth/realms/MonRoyaume/protocol/openid-connect/userinfo'
end_session_endpoint: 'https://keycloak.example.fr/auth/realms/MonRoyaume/protocol/openid-connect/logout'
check_session_iframe: 'https://keycloak.example.fr/auth/realms/MonRoyaume/protocol/openid-connect/login-status-iframe.html'
issuer: 'https://keycloak.example.fr/auth/realms/MonRoyaume'

La directive omniauth_direct_login_provider indique que seul l'authentification passera par keycloak. Commenter cette directive pour avoir le choix d'authentification entre keycloak (SSO) ou la base locale d'OpenProject.

OpenProject : Redémarrer le service openproject

sudo systemctl restart openproject

Vérification du fonctionnement

Dorénavant lors de la connexion sur OpenProject, une option de connexion SSO est disponible :

Le serveur Keycloak prends le relais pour demander les credentials :

Après la 1ère connexion d'un utilisateur au travers du SSO, celui-ci est présent dans OpenProject avec un fournisseur d'authentification OpenID :

OpenProject : Installation

Wed, 20 Oct 2021 14:55:58 +0200

Contexte

OpenProject sera installé sur Debian 10.
La base de données recommandée est PostgreSQL.
Le serveur web recommandé est Apache.

Installation

Installer gnupg2 :
```
sudo apt install gnupg2
```

Importer la clef PGP utilisées pour signer les paquets openproject :

wget -qO- https://dl.packager.io/srv/opf/openproject/key | sudo apt-key add -

Ajouter le repo adéquat :

sudo wget -O /etc/apt/sources.list.d/openproject.list \
https://dl.packager.io/srv/opf/openproject/stable/11/installer/debian/10.repo

Télécharger et installer openproject :

sudo apt-get update
sudo apt-get install openproject

Configuration

Pré-requis

Si une base de données PostgreSQL externe veut être utilisée en lieu et place d'une base de données locale, s'assurer d'avoir les informations suivantes :
- database hostname
- port
- username
- password

L'utilisateur utilisé pour la connexion à la base de données doit avoir le privilège CREATE DATABASE.

Si le HTTPS est utilisé, prévoir le chemin d'accès vers le :
- certificate file
- private key file
- CA bundle file

Lancer le wizard

Exécuter le wizard :
```
sudo openproject configure
```

Si une erreur se produit et/ou une reconfiguration est nécessaire, annuler le wizard avec CTRL+C et relancer le wizard avec sudo openproject reconfigure.

Les choix fait durant le wizard sont persistent dans le fichier /etc/openproject/installer.datet l'exécution de sudo openproject configureréutilise ces valeurs. Seul les options non présentes dans le fichier installer.datseront alors demandées.

Pour relancer la demande de tous les paramètres : sudo openproject reconfigure.

Choisir l’édition

OpenProject est fournit avec 2 éditions :
- L'édition par défaut : Pour une gestion de projet générale.
- L'édition BIM : Pour une gestion de projet axée dans l'industrie du bâtiment/construction.
Plus d'information sur la BIM Edition ici.
La slection de l'édition est uniquement disponible sur les distributions suivantes :
- RHEL/CentOS 8
- Ubuntu 20.04
- Ubuntu 18.04
- Debian 10
- Debian 11

Configuration base de données

OpenProject requiert une base de données PostgreSQL pour stocker les données.
Cette étape va permettre de sélectionner la méthode de connexion à cette base de données.
3 options :
- Skip : Pas de connexion à une base de données. Il sera nécessaire de spécifier une base de données manuellement à l'aide de la variable DATABASE_URL :
```
sudo openproject config:set DATABASE_URL="postgresql://[user[:password]@][host][:port][/dbname][?param1=value1&...]"
```
- Install : Le wizard installe et configure une base de données PostgreSQL locale. C'est cette option qui sera retenu dans cette documentation.
- Reuse : Pour utiliser une base de données PostgreSQL existante. Des paramètres de connexion supplémentaire sont demandés lors de ce choix.

Apache2

OpenProject comprend un serveur d'application en ruby interne. Seulement le serveur écoute uniquement sur une interface locale.
Pour pouvoir y accéder d'Internet, il est nécessaire d'avoir un serveur web comme proxy transférer les connexions entrantes vers le serveur applicatif OpenProject.
Le wizard propose d'installer automatiquement un serveur web Apache2 pour agir comme un proxy.
2 options :
- Install : Option recommandée. Installe et configure un serveur web Apache2 avec un virtual host du nom de domaine fournit. C'est ce serveur qui fournira du SSL/TLS. Plusieurs options sont demandées par la suite.
- Le nom de domaine pleinement qualifié. Correspond à la valeur ServerNamedu virtual host d'apache.
- Pour spécifier un prefix afin d'accéder à l'applicatif (exemple : mondomaine.example.com/openproject) : /openproject. Laisser vide si l'accès désiré à l'application est http(s)://mondomaine.example.com.
- Pour utiliser des certificats SSL/TLS, 3 choix supplémentaires sont à faire pour spécifier l'accès aux certificats.
- Skip : Non recommandé. Un serveur web Apache ou Nginx doit être installé et configuré manuellement pour rediriger les requêtes entrantes vers localhost:6000.
Attention avec un serveur Nginx, toutes les fonctionnalités ne sont pas disponible pour OpenProject.

SVN/Git intégration

Si le choix d'installer automatiquement Apache2 est fait, il est demandé si une intégration de SVN/Git doit être faites.
Plus d'informations ici

Configuration email

Configurer la méthode d'envoie de mail pour les diverses notifications.
3 options :
- Sendmail : Utilisation d'une installation de sendmail en locale ou d'un serveur postfix local.
- SMTP : Option recommandée en production. Autorise la connexion à un serveur SMTP à travers une authentification de type : NONE, PLAIN, LOGIN, CRAM-MD5.
- Skip : Aucune configuration. Néanmoins, la configuration peut se faire plus tard en se rendant sur l'URL : openproject.example.com/settings?tab=notifications.

Serveur Memcached

OpenProject a besoin d'un serveur local memcached. L'installation de celui-ci doit "toujours" être faites.

Accès OpenProject

L'installation est terminée.
L'application OpenProject est disponible à l'adresse : http(s)://openproject.example.com/server prefix.
Username = admin
Password = admin
Changer le mot de passe admin immédiatement

Mise à jour PostgreSQL

La version actuelle d'OpenProject est la 11.4.0.
La prochaine version majeure sera la 12.0 (fin 2021).
PostgreSQL v13 sera nécessaire.

Installer la nouvelle version de PostgreSQL :

sudo apt-get update
sudo apt-get install postgresql-13

Arrêter les serveurs PostgreSQL :

sudo su - postgres -c "/usr/lib/postgresql/10/bin/pg_ctl stop --wait --pgdata=/var/lib/postgresql/10/main"
sudo su - postgres -c "/usr/lib/postgresql/13/bin/pg_ctl stop --wait --pgdata=/var/lib/postgresql/13/main"

Migrer les données vers PostgreSQL v13 :

sudo su - postgres << CMD
/usr/lib/postgresql/13/bin/pg_upgrade \
--old-bindir=/usr/lib/postgresql/10/bin \
--new-bindir=/usr/lib/postgresql/13/bin \
--old-datadir=/var/lib/postgresql/10/main \
--new-datadir=/var/lib/postgresql/13/main \
--old-options '-c config_file=/etc/postgresql/10/main/postgresql.conf' \
--new-options '-c config_file=/etc/postgresql/13/main/postgresql.conf'
CMD

Faire de PostgreSQL v13 le serveur par défaut sur le port 45432 :

sudo su - postgres -c "cp /etc/postgresql/{10,13}/main/conf.d/custom.conf"
sudo su - postgres -c "sed -i 's|45432|45433|' /etc/postgresql/10/main/conf.d/custom.conf"
sudo su - postgres -c "/usr/lib/postgresql/13/bin/pg_ctl start --wait --pgdata=/var/lib/postgresql/13/main -o '-c config_file=/etc/postgresql/13/main/postgresql.conf'"

Vérifier dans OpenProject la version de PostgreSQL.

Supprimer l'ancienne version de PostgreSQL :

sudo rm -rf /var/lib/postgresql/10/main
sudo apt-get purge postgresql-10