Distribution EOLE » Outils Eole » SSO » EoleSSO

• Problème
• Proposition
  • EOLE SSO
  • Proposition technique

Problème¶

Sur Scribe, nous avons deux sources de données qui ne peuvent pas être utilisées ensemble simplement :

• L’annuaire OpenLDAP contient les attributs Envole nécessaires à leur fonctionnement
• L’Active Directory contient le mot de passe et les informations de changement de mot de passe.

Actuellement, eole-SSO et LemonLDAP::NG ne permettent pas une utilisation totalement fonctionnelle des deux sources :

• Soit nous utilisons OpenLDAP et nous n’avons pas les informations d’obligation de changement de mot de passe
• Soit nous utilisons l’Active Directory et nous n’avons pas les attributs Envole

La détection de l’obligation de changement de mot de passe vient du mécanisme des politiques de mot de passe LDAP qui ne peut pas facilement être émulé en synchronisant des attributs de l’active directory vers OpenLDAP (impossible d’ajouter l’attribut pwdLastSet qui n’est défini par aucun schéma LDAP).

Proposition¶

Les solutions SSO devraient, dans le cadre d’un fonctionnement mixte AD / OpenLDAP :

• Tenter d’authentifier l’utilisateur sur l’active directory et détecter le besoin de changement de mot de passe
• Procéder au changement de mot de passe sur l’active directory
• aller chercher les informations utilisateur dans l’OpenLDAP

EOLE SSO¶

Il semble possible de détecter le changement de mot de passe pour un coût assez faible :

• Jouer l’authentification sur l’active directory et détecter l’exception ldap.INVALID_CREDENTIALS
  • En cas de mauvais mot de passe
    • l’exception contient un attribut chaîne de caractère info ayant pour valeur 80090308: LdapErr: DSID-0C0903A9, comment: AcceptSecurityContext error, data 52e, v1db1
  • En cas de mot de passe à changer
    • l’exception contient un attribut chaîne de caractère info ayant pour valeur 80090308: LdapErr: DSID-0C0903A9, comment: AcceptSecurityContext error, data 773, v1db1
• Le formulaire de changement de mot de passe doit procéder au changement de mot de passe (en utilisant changepasswrdeole.pl ?)

Pour tester, j’ai utilisé le petit script suivant :

#!/usr/bin/python3

import ldap
conn = ldap.initialize('ldaps://addc.domscribe.ac-test.fr')
conn.protocol_version = 3

ad_conn = ldap.initialize('ldaps://addc.domscribe.ac-test.fr')
ad_conn.protocol_version = 3

try:
    ad_conn.simple_bind_s('CN=admin,CN=Users,DC=domscribe,DC=ac-test,DC=fr', 'MauvaisMot2Passe!')
except Exception as err:
    print("AD BAD PASSWORD: {}".format(err))

try:
    ad_conn.simple_bind_s('CN=prof.6a,CN=Users,DC=domscribe,DC=ac-test,DC=fr', 'Eole12345!')
except Exception as err:
    print("AD MUST CHANGE:  {}".format(err))

openldap_conn = ldap.initialize('ldap://127.0.0.1')
openldap_conn.protocol_version = 3

try:
    openldap_conn.simple_bind_s('uid=admin,ou=local,ou=personnels,ou=utilisateurs,ou=0000000A,ou=ac-test,ou=education,o=gouv,c=fr', 'MauvaisMot2Passe!')
except Exception as err:
    print("OPENLDAP BAD PASSWORD: {}".format(err))  

try:
    openldap_conn.simple_bind_s('uid=prof.6b,ou=local,ou=personnels,ou=utilisateurs,ou=0000000A,ou=ac-test,ou=education,o=gouv,c=fr', 'Eole12345!')
except Exception as err:
    print("OPENLDAP MUST CHANGE:  {}".format(err))

Qui renvoit:

AD BAD PASSWORD: {'desc': 'Invalid credentials', 'info': '80090308: LdapErr: DSID-0C0903A9, comment: AcceptSecurityContext error, data 52e, v1db1'}
AD MUST CHANGE:  {'desc': 'Invalid credentials', 'info': '80090308: LdapErr: DSID-0C0903A9, comment: AcceptSecurityContext error, data 773, v1db1'}
OPENLDAP BAD PASSWORD: {'desc': 'Invalid credentials'}
OPENLDAP MUST CHANGE:  {'desc': 'Invalid credentials'}

Le module LemonLDAP::NG fait ce genre de détection aussi.

Proposition technique¶

• dans les variables de configuration des annuaires LDAP d'eoleSSO, permettre de déclarer un annuaire AD. Dans ce cas, il faudrait à première vue ajouter les informations suivantes :
  • adresse du serveur AD
  • branche de recherche des utilisateurs dans AD (ex: CN=Users,DC=domscribe,DC=ac-test,DC=fr)
• dans python-eoleldaptor, créer par exmple une classe eoleadproxy héritant de eoleldapproxy.
  • la méthode authenticate de cette classe ferait un premier test de connexion sur l'annuaire AD (recherche DN + bind) afin de remonter l'exception AD en cas d'échec d'authentification.
  • Si pas d'erreur, enchainer sur la méthode authenticate d'eoleldapproxy pour reprendre le fonctionnement classique sur l'annuaire ldap.
• au niveau d'eoleSSO, prévoir 3 résultats possibles au niveau de l'authentification (ok/echec/changement password requis) et faire remonter l'info jusqu'au frontend pour afficher le message voulu.

Le travail impacterait principalement les fichiers ssoshare/authserver.py, eolesso/dataproxy.py et authform.py pour le côté frontend. Le plus difficile étant de gérer l'aspect callback hell du code :-)

Cette solution peut fonctionner sur un module de type scribe AD, ça parait plus compliqué dans le cas d'annuaires multi-établissement ou répliqués (je ne sais pas si il y a des cas d'usage en mode AD).