Aller au contenu

Fournisseurs d’identité externes

MRBS 1.12.2 s’intègre à plusieurs systèmes d’identité. Préférer celui que l’organisation exploite et prend déjà en charge.

CAS

Configurer hôte, port, contexte et chemin d’un certificat CA fiable :

$auth["type"] = "cas";
$auth['cas']['host'] = 'cas.example.org';
$auth['cas']['port'] = 443;
$auth['cas']['context'] = '/cas';
$auth['cas']['ca_cert_path'] = '/path/to/ca-chain.pem';

Conserver la validation du serveur en production.

SAML

SAML utilise une installation SimpleSAMLphp existante. Configurer chemin absolu, source d’authentification et attributs :

$auth["type"] = "saml";
$auth['saml']['ssp_path'] = '/opt/simplesamlphp';
$auth['saml']['authsource'] = 'default-sp';
$auth['saml']['attr']['username'] = 'sAMAccountName';

Associer une identité immuable et unique au nom MRBS. Tester aussi l’absence et la modification d’attributs.

WordPress et Joomla

Ces méthodes chargent le CMS environnant et réutilisent comptes et rôles. Configurer le chemin relatif et associer explicitement rôles utilisateur et administrateur.

Une mise à niveau du CMS peut affecter l’intégration. Tester ensuite la connexion MRBS.

Wix

L’intégration Wix utilise une clé API de site et des informations de badge ou profil. Garder les identifiants hors du dépôt et limiter les autorisations.

Base externe

db_ext lit une base SQL séparée. Utiliser si possible un compte dédié en lecture seule et sélectionner le bon format de mot de passe.

Programme externe

La méthode ext délègue à un exécutable. Considérer programme et arguments comme sensibles, éviter l’interpolation shell, restreindre les droits et ne jamais journaliser les mots de passe.

Liste de déploiement

  • Vérifier TLS du fournisseur.
  • Associer explicitement les administrateurs.
  • Tester déconnexion et expiration.
  • Tester comptes désactivés et supprimés.
  • Définir le comportement lors d’une panne.
  • Prévoir une récupération après erreur de configuration.