Openldap on slash-root.fr

LemonLDAP : Installation avec un LDAP et FusionDirectory

Tue, 16 Nov 2021 14:48:52 +0100

Introduction

LemonLDAP::NG est un logiciel open source, créé en 2004 par la Gendarmerie nationale française. Il fournit une solution d' authentification unique distribuée avec gestion centralisée des droits sous licence GPL.

Le logiciel LemonLDAP::NG est issu d'un logiciel créé par Eric German suivant le protocole de gestion d'annuaire LDAP sous TCP/IP pour le Ministère des finances français. La Gendarmerie nationale reprend ce logiciel pour l'élargir et le conformer à ses besoins.

Le logiciel fonctionne avec les serveurs web Apache ou Nginx mais un mode reverse proxy permet de l'utiliser avec des applications exécutées sur un autre serveur (IIS, Tomcat, etc.)3,4.

Il peut gérer plus de 200000 utilisateurs de différentes organisations, il implémente à la fois5 :

les services de fournisseur d'identité et de service SAML, OpenID, CAS et OpenID Connect6 ;
peut-être utilisé comme Proxy protocolaire en fédération des identités ;
l'authentification basée sur LDAP, Kerberos, SQL, Twitter et d'autres protocoles ;
l'authentification à double facteur (U2F, TOTP, Yubikey, REST ou externe tels SMS ou mails)7
un système d'authentification unique basé sur des cookies sécurisés ;
un menu dynamique des applications ;
un module de réinitialisation de mots de passe ;
un module d'auto-création de compte ;
un dispositif de notification ;
un explorateur de sessions.

Depuis la version 1.9, il propose un connecteur FranceConnect, lui permettant d'être simplement soit fournisseur d'identités, soit fournisseur de services8.

La version 2.0.6 apporte, entre autres évolutions, les nouvelles fonctionnalités suivantes :

la sur-charge des seconds facteurs et la prise en charge du protocole RADIUS ;
la possibilité de définir une politique locale des mots de passe ;
un module de simulation d'identités pour des environnements de formation ;
un module d'endossement d'identité pouvant être activé à des fins de diagnostic ;
un module permettant de consulter le profil SSO d'un utilisateur et de vérifier ses droits d'accès ainsi que les en-têtes transmis ;
un module pour éditer la configuration en lecture seule.

La version 2.0.7 permet un meilleur support du protocole OpenId Connect et apporte de nombreuses améliorations ou correctifs.

La version 2.0.8 offre de nombreuses API et améliorations.

La version 2.0.9 apporte un outil de gestion des sessions, ameliore la gestion des mots de passe, une documentation intégrée au code source et des correctifs.

Source : LemonLDAP::NG — Wikipédia (wikipedia.org)

Pré-requis

Un serveur OpenLDAP installé et fonctionnel
FusionDirectory déployé sur le serveur LDAP
Un nom de domaine avec la gestion de sa zone DNS

Suite directe de : OpenLDAP : Installation avec FusionDirectory - slash-root.fr

Le nom de domaine utilisé dans cet article sera : example.com

LemonLDAP sera déployé sur le même serveur qu'OpenLDAP / FusionDirectory

Installation LemonLDAP

Utiliser le dépôt officiel :

sudo cat > /etc/apt/sources.list.d/lemonldap-ng.list << 'EOL'
# LemonLDAP::NG repository
deb https://lemonldap-ng.org/deb 2.0 main
deb-src https://lemonldap-ng.org/deb 2.0 main
EOL

Récupérer la clef GPG :

wget -O - https://lemonldap-ng.org/_media/rpm-gpg-key-ow2 | sudo apt-key add -

Mise à jour du cache apt :
```
sudo apt update
```
Installer le package principal et le module Perl pour Apache2 :
```
sudo apt install libapache2-mod-perl2 lemonldap-ng
```
LemonLDAP est également compatible avec Nginx mais cela ne sera pas abordé dans cet article.
Installer le module FCGID pour Apache :
```
sudo apt install libapache2-mod-fcgid
```

Activer les modules et les configurations :

sudo a2ensite manager-apache2.conf
sudo a2ensite portal-apache2.conf
sudo a2ensite handler-apache2.conf
sudo a2enmod fcgid perl alias rewrite headers

Tester la configuration d'Apache2 :
```
sudo apachectl configtest
```
Redémarrer Apache2 :
```
sudo systemctl restart apache2
```

Par défaut, le domaine est example.com. Celui-ci peut être changé.

Pour changer le nom de domaine par défaut :
```
sed -i 's/example\.com/mondomaine.local/g' /etc/lemonldap-ng/* /var/lib/lemonldap-ng/conf/lmConf-1.json
```
Adapter la suite des instructions avec le domaine utilisé en lieu et place d'example.com.

Accès Web UI

Pour accéder à la Web UI et effectuer les tests nécessaires, il y a 4 enregistrements A à réaliser dans la zone DNS du domaine :
- auth.example.com
- manager.example.com
- test1.example.com
- test2.example.com
C'est 4 URLs sont à rediriger vers le même serveur. test1 et test2 sont là pour simuler 2 applications différentes.
Avec un navigateur web, accéder à http://auth.example.com :

Dans un 1er temps, utiliser le login dwho avec le mot de passe dwho. Ce compte est local à LemonLDAP et à des droits administrateur sur la plateforme.

Se rendre sur WebSSO Manager ou directement via l'URL : http://manager.example.com :

La configuration qui va être appliqué peut se faire intégralement par cette Web UI :

Afin de pouvoir automatiser tout ce processus plus tard, la configuration sera réalisée en ligne de commande à l'aide de l'outil :
```
/usr/share/lemonldap-ng/bin/lemonldap-ng-cli help
```

Activer les applications de démonstration

LemonLDAP est fournit avec 2 applications de démonstration qui permettent de lire les en-têtes HTTP. Pour les activer :
```
sudo a2ensite test-apache2.conf
sudo systemctl reload apache2
```

C'est un vhost standard d'Apache2 :

sudo cat /etc/apache2/sites-enabled/test-apache2.conf

Remarquer la ligne qui à été ajoutée concernant le SSO :

 # SSO protection
 PerlHeaderParserHandler Lemonldap::NG::Handler::ApacheMP2

Vérifier l'accès aux applications de démonstration en se rendant sur :
- http://test1.example.com
- http://test2.example.com
Pas besoin de s'authentifier car cela a été fait l'autre de l'accès à la plateforme LemonLDAP :

Il est possible de se déconnecter de cette application test1, en bas de la page :

Lors de la prochaine tentative d'accès, une demande d'authentification de LemonLDAP sera demandée.

Configuration avec OpenLDAP / FusionDirectory

Pour le moment LemonLDAP est en mode démo et utilise une base de compte interne. La configuration de LemonLDAP va consister à utiliser l'annuaire OpenLDAP préalablement déployé avec FusionDirectory. Une chose à savoir est que l'accès au manager est réservé exclusivement à l'utilisateur dwho de la base de compte interne à LemonLDAP. Lors de la jonction de l'annuaire LDAP à LemonLDAP, la base de compte interne ne sera plus exploitable. Par conséquence, l'accès au WebSSO Manager ne se fera plus. Il y a plusieurs méthodes possibles pour retrouver cet accès. En voici une qui consiste à n'autoriser que l'utilisateur fd-admin de l'annuaire LDAP :

Avec l'utilisateur dwho se rendre dans le Manager. Puis Hôtes virtuels, manager.example.com, Règles d'accès :
Modifier la partie Règles à droite comme ci-dessus. Puis Sauver la configuration.

Paramétrer la liaison à l'annuaire LDAP :

sudo /usr/share/lemonldap-ng/bin/lemonldap-ng-cli -yes 1 \
 set \
 authentication LDAP \
 userDB LDAP \
 passwordDB LDAP \
 registerDB LDAP \
 ldapServer 'ldap://localhost' \
 managerDn 'cn=admin,dc=example,dc=com' \
 managerPassword 'MonSuperPassword' \
 ldapBase 'ou=people,dc=example,dc=com' \

Pour des raisons de praticité, le managerDn utilisé est le compte admin de l'annuaire. Dans un contexte de production un autre compte sera utilisé.

Afin d'avoir une vue synthétique de l'annuaire et obtenir les chemins complets pour la précédente commande, utiliser :
```
sudo slapcat | grep "dn:"
```

Exporter les attributs souhaités :

sudo /usr/share/lemonldap-ng/bin/lemonldap-ng-cli -force 1 -yes 1 \
 addKey \
 ldapExportedVars uid uid \
 ldapExportedVars cn cn \
 ldapExportedVars sn sn \
 ldapExportedVars mail mail \
 ldapExportedVars givenName givenName

Voici le retour attendu :

Status : [
 {
 'localhost' => 'OK'
 }
 ];

Redémarrer Apache2 :
```
sudo systemctl restart apache2
```
L'utilisateur fd-admin peut maintenant s'authentifier, avec accès au manager, sur la plateforme : http://auth.example.com.

Keycloak : Integration LDAP externe

Thu, 04 Nov 2021 17:33:31 +0100

Introduction

La solution Keycloak est embarqué avec la possibilité de joindre un annuaire LDAP/AD. Il est possible de fédérer plusieurs serveurs d'annuaires au sein d'un même royaume keycloak. Les attributs utilisateurs de l'annuaire LDAP peuvent être mappé dans un model d'utilisateur keycloak. Par défaut, les attributs username, email, first name, last name sont mappés mais d'autres attributs peuvent l'être également.

Cet article fait suite à :

Keycloak : Installation avec Docker et reverse-proxy SSL Nginx

OpenLDAP : Installation avec FusionDirectory

Prérequis

Un serveur Keycloak fonctionnel
Un serveur OpenLDAP/FusionDirectory fonctionnel

Toute la procédure fera référence aux configuration déployées dans les articles cités en introduction.

Configuration

Se rendre sur la WebUI du serveur Keycloak : https://keycloak.example.com
Se rendre dans la partie User Federation et ajouter ldap en provider :

Paramétrage - 1ère partie

Stockage

Par défaut, Keycloak importe les utilisateurs de l'annuaire LDAP dans sa base locale d'utilisateurs. Cette copie des utilisateurs peut être synchronisée soit manuellement soit automatiquement toutes les x minutes par exemple. Seul les mots de passes ne sont pas synchronisés. Dans le processus d'identification de l'utilisateur, la validation du mot de passe est délégué au serveur LDAP. L'avantage de cette approche est que toutes les fonctionnalités de Keycloak fonctionneront avec des attributs utilisateurs supplémentaires qui sont stockés localement sur Keycloak. Cela permet également de réduire la charge sur le serveur LDAP.

Il est possible de ne pas importer les utilisateurs de l'annuaire LDAP dans Keycloak en décochant Import Users. Cela aura pour effet d'augmenter les requêtes vers le serveur LDAP car aucune information utilisateur ne sera stockée localement sur Keycloak. L'autre conséquence de ce choix est que si une fonctionnalité de Keycloak repose sur une partie non supporté par l'annuaire LDAP, celle-ci ne fonctionnera pas. En revanche, l'avantage est de ne pas avoir à gérer la synchronisation des comptes.

Edition

L'Edit Mode permet aux utilisateurs et aux administrateurs, à travers leurs consoles respectives sur Keycloak, de modifier les metadas utilisateur.

READONLY : Les attributs utilisateurs resteront inchangés. Une erreur apparaitra si une modification d'attribut est faites. Cela est également valable pour la modification d'un mot de passe utilisateur.
WRITABLE : Tous les attributs utilisateurs modifiés seront synchronisés automatiquement avec l'annuaire LDAP.
UNSYNCED : Tous les changements d'attributs seront stockés localement dans la base de Keycloak. La synchronisation des modifications au sein de Keycloak vers l'annuaire LDAP devra être faites manuellement.

Vendor

Plusieurs choix sont possibles suivant le type d'annuaire LDAP en face :

Active Directory
Red Hat Directory Server
Tivoli
Novell eDirectory
Other

L'annuaire installé étant OpenLDAP, other est le choix à faire.

Paramétrage - 2nd partie

Connection URL : Indiquer le chemin d'accès au serveur LDAP
Users DN : Indiquer le chemin d'accès aux utilisateurs dans l'annuaire.
Bind DN : Indiquer un compte dans l'annuaire ayant des droits d'écriture.
Bind Credential : Le mot de passe du compte spécifié dans "Bind DN".

Synchronisation

Un peu plus bas de la page de configuration de la connexion au serveur LDAP, un menu Sync Settings est disponible :

Batch Size : Le nombre de compte utilisateurs qui seront traités en une synchronisation.
Periodic Full Sync : La planification en secondes de la synchronisation totale / complète.
Periodic Changed Users Sync : La planification en secondes de la synchronisation des changements apportés aux attributs utilisateurs.

Après avoir sauvegarder tous les paramètres, il est possible de déclencher manuellement une première synchronisation des utilisateurs de l'annuaire LDAP dans Keycloak :

Mappers

Par défaut, des Mappers sont mis en place. Un mapper va permettre de mapper un attribut utilisateur de l'annuaire LDAP à un attribut utilisateur de Keycloak :

Dans mes différents essais, en déployant cette solution de SSO avec un OpenLDAP, il est apparu que l'attribut firstName de Keycloak est mappé avec l'attribut cn de l'annuaire LDAP. L'attribut cn dans l'annuaire (avec la couche FusionDirectory) est une concaténation du prénom et du nom de l'utilisateur :

Au lieu de modifier la configuration de l'annuaire LDAP, modifier le mapper first name dans Keycloak :

Modifier LDAP Attribute pour indiquer givenName.

givenName est le nom de l'attribut prénom au sein de l'annuaire LDAP dans notre configuration.