Distribution EOLE » Outils Eole » SSO » EoleSSO

Exemple de configuration stunnel, coté client

cert    = /etc/ssl/certs/stunnel-eole.crt
key     = /etc/ssl/certs/stunnel-eole.key
CAFile  =  /etc/stunnel/stunnel-server.pem
verify  =  3
pid     = /var/run/stunnel.pid
[redis]
client     = yes
SSLversion = TLSv1
accept     = 127.0.0.1:6379
connect    = sso.ac-reunion.fr:6379

/etc/ssl/certs/stunnel-eole.crt est généré par gen_certif, mais il faut désactiver

#nsCertType              = server

dans certif-eole.conf

Configuration stunnel, côté serveur

cert = /etc/stunnel/stunnel-server.pem
key = /etc/stunnel/stunnel-server.key
pid = /var/run/stunnel.pid
CAPath  = /etc/stunnel/eole
verify = 3
[redis]
SSLversion=TLSv1
accept = 172.31.186.31:6379
connect = 127.0.0.1:6379

Les ca_locale.crt et stunnel-eole.crt de chacun des clients est a copier dans /etc/stunnel/eole et la commande suivante est à lancer

c_rehash /etc/stunnel/eole

1. Fait :

• Activation des statistiques en mode expert dans le dictionnaire 21_sso.xml --> nécéssite l'installation de prometheus_client pour fonctionner

1. A mettre en place :

• paquet eole-sso-cluster-client :
  • installe python-redis et stunnel4
  • génère un certificat et met en place la configuration stunnel (avec hote et port de la machine hébergeant Redis). voir commentaires précédents
  • dictionnaire avec l'adresse et port de stunnel côté Redis + variable eolesso_cluster mise à "oui"

• paquet eole-sso-cluster-server ? (ou installation manuelle) :
  • installe redis-server et stunnel4
  • génère les certificats et la configuration stunnel pour accès à Redis. Port configurable (identique pour Redis/stunnel).
  • + conf ha-proxy ?

Exemple de conf haproxy ( juste ce qui a été ajouté par rapport à une conf classique )

global
        ssl-server-verify none
frontend https-in
        bind 172.31.186.31:443 ssl crt /etc/haproxy/ssl/sso.ac-reunion.fr.pem
        option   forwardfor
        redirect scheme https if !{ ssl_fc }
        default_backend    backend_servers
backend backend_servers
        balance         roundrobin
        cookie SERVERNAME  insert indirect nocache
        server          sso-master 172.31.186.29:443 ssl cookie s1 check
        server          sso-slave  172.31.186.30:443 ssl cookie s2 check