Authentification OpenID par Authelia - Historique des versions

Thomas.sauvage : /* Inclure Authelia pour le développement de votre site */

2024-11-15T18:40:03Z

Inclure Authelia pour le développement de votre site

← Version précédente		Version du 15 novembre 2024 à 20:40
Ligne 62 :		Ligne 62 :
	Pour avoir accès à un serveur Authelia test pour le développement de votre site, vous pouvez utiliser [https://gitlab.binets.fr/br/docker-openid ce repository]. Les instructions d'installation sont détaillées dans le README.		Pour avoir accès à un serveur Authelia test pour le développement de votre site, vous pouvez utiliser [https://gitlab.binets.fr/br/docker-openid ce repository]. Les instructions d'installation sont détaillées dans le README.

	L'adresse du serveur d'authentification devient alors <code>http://~~localhost~~:9091</code> au lieu de <code>https://auth.binets.fr</code> (il faut donc par exemple changer la variable <code>AUTH_URL</code> de l'exemple précédent).		L'adresse du serveur d'authentification devient alors <code>http://127.0.0.1:9091</code> au lieu de <code>https://auth.binets.fr</code> (il faut donc par exemple changer la variable <code>AUTH_URL</code> de l'exemple précédent).

			⚠️ C'est bien <code>http://127.0.0.1:9091</code> et pas <code>http://localhost:9091</code>

Thibaut.de-saivre : /* Comment ça marche ? */

2024-02-16T06:16:15Z

Comment ça marche ?

← Version précédente		Version du 16 février 2024 à 08:16
Ligne 9 :		Ligne 9 :

	* Un bouton de Login de votre frontend fait une requête à votre backend.		* Un bouton de Login de votre frontend fait une requête à votre backend.
	* Votre backend renvoie une redirection vers [https://auth.binets.fr Authelia] à l'aide d'un client OpenID (de nombreux packages sont disponibles dans tous les langages de programmation à cet effet).		* Votre backend renvoie une redirection vers [https://auth.binets.fr Authelia] à l'aide d'un client OpenID (de nombreux packages sont disponibles dans tous les langages de programmation à cet effet). Il doit aussi envoyer une chaîne de caractères aléatoire (state) à Authelia, et la garder en mémoire pour cet utilisateur. Elle sera utilisée pour confirmer la validité de la redirection Authelia.
	* L'utilisateur sera alors redirigé vers [https://auth.binets.fr Authelia] pour s'authentifier. S'il l'est déjà (session Authelia valide existante), cette étape sera passée.		* L'utilisateur sera alors redirigé vers [https://auth.binets.fr Authelia] pour s'authentifier. S'il l'est déjà (session Authelia valide existante), cette étape sera passée.
	* Après authentification, [https://auth.binets.fr Authelia] redirigera l'utilisateur vers la route de votre backend précisée en tant que <code>callback url</code> dans la configuration d'authelia, en envoyant en prime des données liées à cet utilisateur (nom, email...).		* Après authentification, [https://auth.binets.fr Authelia] redirigera l'utilisateur vers la route de votre backend précisée en tant que <code>callback url</code> dans la configuration d'authelia, en envoyant en prime des données liées à cet utilisateur (nom, email...) ainsi que le "state".
	* Votre backend reçoit ces données, et crée une session propre à votre site pour cet utilisateur (session, JSON Web Token, Opaque Access Token...). Lorsque cette session propre à votre site expirera, l'utilisateur pourra à nouveau d'authentifier via Authelia pour la renouveler.		* Votre backend reçoit ces données, et crée une session propre à votre site pour cet utilisateur (session, JSON Web Token, Opaque Access Token...). Lorsque cette session propre à votre site expirera, l'utilisateur pourra à nouveau d'authentifier via Authelia pour la renouveler.

			'''NOTE''' : il est pratique d'envoyer le "state" à l'utilisateur via un cookie <code>HttpOnly</code> à expiration session. Il sera facile à récupérer après retour d'Authelia pour comparaison, et expirera tout seul à la fermeture de l'onglet du navigateur.

	==Informations disponibles (scopes)==		==Informations disponibles (scopes)==

Thibaut.de-saivre : /* Example d'implémentation */

2024-02-16T06:10:16Z

Example d'implémentation

← Version précédente		Version du 16 février 2024 à 08:10
Ligne 27 :		Ligne 27 :
	Lorsque votre backend reçoit ces informations après une authentification réussie avec Authelia, il est conseillé de créer votre propre session utilisateur en émettant un JSON Web Token (stocké dans un cookie <code>HttpOnly</code>, pour les sites avec Server-Side template Rendering), un Opaque Access Token (pour les sites avec un frontend et un backend séparés).		Lorsque votre backend reçoit ces informations après une authentification réussie avec Authelia, il est conseillé de créer votre propre session utilisateur en émettant un JSON Web Token (stocké dans un cookie <code>HttpOnly</code>, pour les sites avec Server-Side template Rendering), un Opaque Access Token (pour les sites avec un frontend et un backend séparés).

	==~~Example~~ d'implémentation==		==Exemples d'implémentation==
	===~~Pour~~ Node.js et Adonis JS===		===Backend Node.js basé sur Adonis JS===

	Le protocole OpenID est très commun, et de nombreux packets existent qui nous simplifieront la vie. Pour tous les backend basés sur Node.js (Adonis JS, ~~nest.js~~, Express...), il est possible d'utiliser le packet [https://www.npmjs.com/package/openid-client openid-client].		Le protocole OpenID est très commun, et de nombreux packets existent qui nous simplifieront la vie. Pour tous les backend basés sur Node.js (Adonis JS, Nest JS, Express...), il est possible d'utiliser le packet [https://www.npmjs.com/package/openid-client openid-client].

	Voici un example pour Adonis JS, qui s'adapte à tout backend basé sur Node.js, sur [https://gitlab.binets.fr/svg/example-backend/-/blob/main/app/Controllers/auth/authSigmaUser.ts Gitlab].		Voici un example pour Adonis JS, qui s'adapte à tout backend basé sur Node.js, sur [https://gitlab.binets.fr/svg/example-backend/-/blob/main/app/Controllers/auth/authSigmaUser.ts Gitlab].
Ligne 42 :		Ligne 42 :
	Le cron est nécessaire, car si un utilisateur commence à se connecter, une nouvelle ligne est crée dans la base de données. Elle est ensuite supprimée lorsqu'il a tapé ses identifiants. Si l'utilisateur ne tape jamais ses identiiants, la ligne n'est jamais supprimée, d'où la nécessité du cron.		Le cron est nécessaire, car si un utilisateur commence à se connecter, une nouvelle ligne est crée dans la base de données. Elle est ensuite supprimée lorsqu'il a tapé ses identifiants. Si l'utilisateur ne tape jamais ses identiiants, la ligne n'est jamais supprimée, d'où la nécessité du cron.

	~~===Utilisation~~ du ~~serveur Authelia~~ de ~~test===~~		'''NOTE''' : une autre possibilité est, lors de la redirection vers Authelia, d'envoyer le <code>state</code> à l'utilisateur sous la forme d'un cookie. Il sera renvoyé à votre backend lors du retour vers l'url callback, évitant la nécessité d'utiliser une base de données.

	~~L'exemple précédent utilise le serveur réel du BR, mais il est préférable d'utiliser un serveur de test~~ sur ~~ton ordinateur pendant que tu développes.~~		===Backend Golang basé sur Echo===

	~~Pour ce faire, clone ce~~ [https://gitlab.binets.fr/br/~~docker~~-~~openid repo~~] ~~sur ton pc~~.		Un exemple codé en Go est disponible dans [https://gitlab.binets.fr/thibaut.de-saivre/skibidi-site ce repository]. Il utilise le package [https://github.com/coreos/go-oidc OIDC] pour son client OpenID.

	~~L'adresse du serveur~~ d'authentification ~~devient alors~~ <code>~~http:~~//~~localhost:9091~~</code> ~~au lieu de~~ <code>~~https:~~//~~auth.binets.fr~~</code> ~~(il faut donc changer~~ la ~~variable~~ <code>~~AUTH_URL~~</code> de l'~~exemple précédent)~~		Le flow d'authentification de ce backend est le suivant :
			* Le bouton de login du frontend effectue une requête POST sur la route <code>/api/openid_redirect</code>.
			* Cette route redirige l'utilisateur vers Authelia, et crée un <code>uuid</code> qu'elle envoie à l'utilisateur via un cookie "state", ainsi qu'à Authelia.
			* Authelia redirige l'utilisateur vers la route <code>/api/openid_callback</code>. Le backend compare le state envoyé au callback avec celui contenu dans le cookie "state".
			* Le backend crée un JSON Web Token avec les informations de l'utilisateur et le renvoie sous la forme d'un cookie <code>HttpOnly</code> avec une durée de vie de 72 heures. Tant que ce cookie est valide, le site ne demandera pas à l'utilisateur de se réauthentifier.

	Pour ~~lancer~~ le serveur de ~~test fait~~ <code>~~docker compose up~~</code>		Voir la [https://gitlab.binets.fr/thibaut.de-saivre/skibidi-site#authentication section Authentication du README] pour plus de détails ainsi que des liens vers le code source pertinent.

			===Inclure Authelia pour le développement de votre site===

			Pour avoir accès à un serveur Authelia test pour le développement de votre site, vous pouvez utiliser [https://gitlab.binets.fr/br/docker-openid ce repository]. Les instructions d'installation sont détaillées dans le README.

			L'adresse du serveur d'authentification devient alors <code>http://localhost:9091</code> au lieu de <code>https://auth.binets.fr</code> (il faut donc par exemple changer la variable <code>AUTH_URL</code> de l'exemple précédent).

Thibaut.de-saivre : /* Informations disponibles (scopes) */

2024-02-16T05:51:54Z

Informations disponibles (scopes)

← Version précédente		Version du 16 février 2024 à 07:51
Ligne 24 :		Ligne 24 :
	* Prénom NOM (scope <code>profile</code>);		* Prénom NOM (scope <code>profile</code>);
	* groupes Sigma dont l'utilisateur est membre (scope <code>groups</code>).		* groupes Sigma dont l'utilisateur est membre (scope <code>groups</code>).

			Lorsque votre backend reçoit ces informations après une authentification réussie avec Authelia, il est conseillé de créer votre propre session utilisateur en émettant un JSON Web Token (stocké dans un cookie <code>HttpOnly</code>, pour les sites avec Server-Side template Rendering), un Opaque Access Token (pour les sites avec un frontend et un backend séparés).

	==Example d'implémentation==		==Example d'implémentation==

Thibaut.de-saivre : /* Informations disponibles */

2024-02-16T05:46:39Z

Informations disponibles

← Version précédente		Version du 16 février 2024 à 07:46
Ligne 14 :		Ligne 14 :
	* Votre backend reçoit ces données, et crée une session propre à votre site pour cet utilisateur (session, JSON Web Token, Opaque Access Token...). Lorsque cette session propre à votre site expirera, l'utilisateur pourra à nouveau d'authentifier via Authelia pour la renouveler.		* Votre backend reçoit ces données, et crée une session propre à votre site pour cet utilisateur (session, JSON Web Token, Opaque Access Token...). Lorsque cette session propre à votre site expirera, l'utilisateur pourra à nouveau d'authentifier via Authelia pour la renouveler.

	==Informations disponibles==		==Informations disponibles (scopes)==

	Les informations ~~disponibles sur authelia pour un utilisateur~~ sont :		Authelia met à disposition différentes données utilisateur à travers des <code>scopes</code>.
	* email ;		Lors de la configuration du client OpenID dans votre backend, vous devrez préciser les scopes auquels vous souhaitez accéder afin de recevoir les données correspondantes. Le scope <code>openid</code> est obligatoire.
	* uid ;
	* Prénom NOM ;
	* groupes Sigma ~~(seulement les groupes~~ dont on est membre).		Les informations suivantes sont mises à votre disposition :
			* email (scope <code>email</code>);
			* Prénom NOM (scope <code>profile</code>);
			* groupes Sigma dont l'utilisateur est membre (scope <code>groups</code>).

	==Example d'implémentation==		==Example d'implémentation==

Thibaut.de-saivre : /* Comment ça marche ? */

2024-02-16T05:41:10Z

Comment ça marche ?

← Version précédente		Version du 16 février 2024 à 07:41
Ligne 6 :		Ligne 6 :

	==Comment ça marche ?==		==Comment ça marche ?==
	~~TODO~~: ~~expliquer le flow~~, ~~les scopes~~		Lorsqu'un utilisateur souhaite s'authentifier, voici les actions qui devront être réalisées par votre site :

			* Un bouton de Login de votre frontend fait une requête à votre backend.
			* Votre backend renvoie une redirection vers [https://auth.binets.fr Authelia] à l'aide d'un client OpenID (de nombreux packages sont disponibles dans tous les langages de programmation à cet effet).
			* L'utilisateur sera alors redirigé vers [https://auth.binets.fr Authelia] pour s'authentifier. S'il l'est déjà (session Authelia valide existante), cette étape sera passée.
			* Après authentification, [https://auth.binets.fr Authelia] redirigera l'utilisateur vers la route de votre backend précisée en tant que <code>callback url</code> dans la configuration d'authelia, en envoyant en prime des données liées à cet utilisateur (nom, email...).
			* Votre backend reçoit ces données, et crée une session propre à votre site pour cet utilisateur (session, JSON Web Token, Opaque Access Token...). Lorsque cette session propre à votre site expirera, l'utilisateur pourra à nouveau d'authentifier via Authelia pour la renouveler.

	==Informations disponibles==		==Informations disponibles==

Thibaut.de-saivre le 16 février 2024 à 05:30

2024-02-16T05:30:13Z

← Version précédente		Version du 16 février 2024 à 07:30
Ligne 1 :		Ligne 1 :
	Sigma ~~permet à des~~ sites ~~externes (~~binets ~~en particulier) d'utiliser sa base de données pour authentifier les utilisateurs~~ à travers le protocole [https://fr.wikipedia.org/wiki/OpenID OpenID].		L'annuaire des utilisateurs Sigma est disponible pour l'authentification auprès de sites binets tiers à travers le protocole [https://fr.wikipedia.org/wiki/OpenID OpenID].

	Le serveur d'authentification est situé à l'adresse [https://auth.binets.fr auth.binets.fr] et est un instance [https://www.authelia.com/ ~~authelia~~].		Le serveur d'authentification est situé à l'adresse [https://auth.binets.fr auth.binets.fr] et est une instance [https://www.authelia.com/ Authelia].

	~~Le webmaster du~~ site ~~en question doit auparavant faire une demande~~ de ~~mise en place~~ de ce ~~système~~ en ~~créant une tâche PaniX. Il doit alors donner~~ l'url complète de ~~la page de login de son site (plus précisément,~~ l'~~URL de callback) et~~ une ~~justification de la demande~~. ~~Si la~~ demande ~~est acceptée~~, un ~~membre du BR va alors inscrire son~~ site ~~dans notre base de données de sites externes~~.		Pour permettre à votre site de bénéficier de ce moyen d'authentification, faites un [https://panix.binets.fr ticket Panix] en précisant l'url complète de callback vers laquelle Authelia redirigera l'utilisateur après une connexion réussie. La demande doit être justifiée, suite à quoi un BRman ajoutera votre site à la liste des bénéficiaires autorisés.

			==Comment ça marche ?==
			TODO: expliquer le flow, les scopes

	==Informations disponibles==		==Informations disponibles==

Thomas.sauvage : /* Développement */

2023-11-23T21:58:09Z

Développement

← Version précédente		Version du 23 novembre 2023 à 23:58
Ligne 12 :		Ligne 12 :
	* Prénom NOM ;		* Prénom NOM ;
	* groupes Sigma (seulement les groupes dont on est membre).		* groupes Sigma (seulement les groupes dont on est membre).

	~~==Développement==~~
	~~Pour utiliser une instance avec le même fonctionnement que celle du BR en développement, une image docker est disponible sur [http://ce%20dépôt%20gitlab https://gitlab.binets.fr/br/docker-openid].~~

	==Example d'implémentation==		==Example d'implémentation==

Thomas.sauvage : /* Utilisation du serveur Authelia de test */

2023-11-23T21:57:37Z

Utilisation du serveur Authelia de test

← Version précédente		Version du 23 novembre 2023 à 23:57
Ligne 33 :		Ligne 33 :
	===Utilisation du serveur Authelia de test===		===Utilisation du serveur Authelia de test===

	L'exemple précédent utilise le serveur réel du BR, mais il est préférable d'utiliser un serveur de test sur ton ordinateur pendant que tu développes. Pour ce faire, installe [https://www.docker.com/ docker] puis copie ce [https://gitlab.binets.fr/br/docker-openid/-/blob/main/docker-compose.yml?ref_type=heads docker compose] à la racine des fichiers de ton backend.		L'exemple précédent utilise le serveur réel du BR, mais il est préférable d'utiliser un serveur de test sur ton ordinateur pendant que tu développes.

	~~Tu auras besoin des fichiers de configuration de Authelia, pour~~ ce faire ~~tape la commande <code>?</code> pour récupérer celle disponible sur~~ ce [https://gitlab.binets.fr/br/docker-openid repo]		Pour ce faire, clone ce [https://gitlab.binets.fr/br/docker-openid repo] sur ton pc.

	L'adresse du serveur d'authentification devient alors <code>http://localhost:9091</code> au lieu de <code>https://auth.binets.fr</code> (il faut donc changer la variable <code>AUTH_URL</code> de l'exemple précédent)		L'adresse du serveur d'authentification devient alors <code>http://localhost:9091</code> au lieu de <code>https://auth.binets.fr</code> (il faut donc changer la variable <code>AUTH_URL</code> de l'exemple précédent)

	Pour lancer le serveur de test fait <code>docker compose up</code>		Pour lancer le serveur de test fait <code>docker compose up</code>

Thomas.sauvage : /* Example d'implémentation */

2023-11-23T21:56:04Z

Example d'implémentation

← Version précédente		Version du 23 novembre 2023 à 23:56
Ligne 30 :		Ligne 30 :

	Le cron est nécessaire, car si un utilisateur commence à se connecter, une nouvelle ligne est crée dans la base de données. Elle est ensuite supprimée lorsqu'il a tapé ses identifiants. Si l'utilisateur ne tape jamais ses identiiants, la ligne n'est jamais supprimée, d'où la nécessité du cron.		Le cron est nécessaire, car si un utilisateur commence à se connecter, une nouvelle ligne est crée dans la base de données. Elle est ensuite supprimée lorsqu'il a tapé ses identifiants. Si l'utilisateur ne tape jamais ses identiiants, la ligne n'est jamais supprimée, d'où la nécessité du cron.

			===Utilisation du serveur Authelia de test===

			L'exemple précédent utilise le serveur réel du BR, mais il est préférable d'utiliser un serveur de test sur ton ordinateur pendant que tu développes. Pour ce faire, installe [https://www.docker.com/ docker] puis copie ce [https://gitlab.binets.fr/br/docker-openid/-/blob/main/docker-compose.yml?ref_type=heads docker compose] à la racine des fichiers de ton backend.

			Tu auras besoin des fichiers de configuration de Authelia, pour ce faire tape la commande <code>?</code> pour récupérer celle disponible sur ce [https://gitlab.binets.fr/br/docker-openid repo]

			L'adresse du serveur d'authentification devient alors <code>http://localhost:9091</code> au lieu de <code>https://auth.binets.fr</code> (il faut donc changer la variable <code>AUTH_URL</code> de l'exemple précédent)

			Pour lancer le serveur de test fait <code>docker compose up</code>

Authentification OpenID par Authelia - Historique des versions

Thomas.sauvage : /* Inclure Authelia pour le développement de votre site */

Thibaut.de-saivre : /* Comment ça marche ? */

Thibaut.de-saivre : /* Example d'implémentation */

Thibaut.de-saivre : /* Informations disponibles (scopes) */

Thibaut.de-saivre : /* Informations disponibles */

Thibaut.de-saivre : /* Comment ça marche ? */

Thibaut.de-saivre le 16 février 2024 à 05:30

Thomas.sauvage : /* Développement */

Thomas.sauvage : /* Utilisation du serveur Authelia de test */

Thomas.sauvage : /* Example d'implémentation */

Thomas.sauvage : /* Inclure Authelia pour le développement de votre site */

Thibaut.de-saivre : /* Comment ça marche ? */

Thibaut.de-saivre : /* Example d'implémentation */

Thibaut.de-saivre : /* Informations disponibles (scopes) */

Thibaut.de-saivre : /* Informations disponibles */

Thibaut.de-saivre : /* Comment ça marche ? */

Thomas.sauvage : /* Développement */

Thomas.sauvage : /* Utilisation du serveur Authelia de test */

Thomas.sauvage : /* Example d'implémentation */