Installation d’un fournisseur d’identités Shibboleth Formation CiRen CINES, Montpellier, mars 2007 Formateurs : Olivier Salaün olivier.salaun@cru.fr Mehdi Hached mehdi.hached@cru.fr Florent Guilleux florent.guilleux@cru.fr Installation d'un IdP Shibboleth

Installation d'un IdP Shibboleth Logistique Pause déjeuner : ~12h30 Plateaux repas Fin formation : 17h30 Accès sans fil Connexion sur les postes : Installation d'un IdP Shibboleth

Rappels sur Shibboleth Logiciel « open source » Version actuelle : 1.3.1 Version à venir : 2.0 Utilisera SAML 2.0 Fournisseur d’identités Service d’authentification, fournit des identités 1 par établissement Fournisseur de services Délègue l’authentification des utilisateurs aux IdPs Contrôle l’accès à des ressources web Installation d'un IdP Shibboleth

Installation d'un IdP Shibboleth La fédération du CRU Service opérationnel depuis janvier 2006 Le CRU gère L’enregistrement des entités La distribution des méta-données Le support aux sites Les membres IdP : 23 établissements d’enseignement sup. SP : éditeurs de contenus + ressources en région Installation d'un IdP Shibboleth

Installation d'un IdP Shibboleth Terminologie IdP : fournisseur d’identités SP : fournisseur de services WAYF : service de découverte SAML CAS : serveur de Single Sign-On Installation d'un IdP Shibboleth

L’architecture Shibboleth Ressources numériques SP Annuaire SSO IdP Fournisseur de service (SP) Fournisseur d’identité (IdP) Installation d'un IdP Shibboleth

Objectifs de la formation Installation de la brique IdP Shibboleth Test auprès du service de Test du CRU Exploration des configurations avancées Ne couvre pas : Mise en place d’un service opérationnel Installation d’un SP Installation d'un IdP Shibboleth

Installation d'un IdP Shibboleth Services de Test Fédération de Test du CRU Enregistrement automatique Ouvert à tout SP/IdP Pas d’usages en production SP de test Utilisable avec n’importe quel IdP de test Fonctionnement : liste les attributs reçus Annuaire LDAP de test Un seul enregistrement : etudiant1 Serveur CAS de test Mot de passe=uid Installation d'un IdP Shibboleth

Installer un IdP de test dans votre établissement Accès SSH possible via le réseau sans fil Utilisation d’un certificat serveur reconnu par le CRU Utilisation de votre serveur CAS et votre annuaire LDAP Nécessite l’ouverture de certains ports 443, 8443 Installation d'un IdP Shibboleth

Installation d'un IdP Shibboleth Servlet Java Requiert un serveur d’application (Tomcat, Jboss,…) Utilise les services déjà mis en place Serveur SSO (CAS) Annuaire LDAP (format supann) Bases métier Utilise des certificats X.509 Authentification du serveur auprès de l’utilisateur Authentification IdP  SP Signature/chiffrement des assertions SAML Installation d'un IdP Shibboleth

Installation d'un IdP Shibboleth Etapes de la formation Installation des pré-requis Installation de l’IdP Shibboleth Configuraion de l’IdP Test de l’IdP Configuration avancée Installation d'un IdP Shibboleth

Cinématique Installation d'un IdP Shibboleth Serveur SSO Navigateur Service d’authentification Consommateur d’assertions Demandeur d’attributs Autorité d’authentification Contrôleur d’accès Autorité d’attributs Ressource Référentiel utilisateurs Installation d'un IdP Shibboleth

Cinématique Installation d'un IdP Shibboleth Serveur SSO Navigateur userId password Navigateur ticket ticket ticket userId nameId nameId Service d’authentification Consommateur d’assertions nameId Demandeur d’attributs Autorité d’authentification nameId attributes attributes Contrôleur d’accès Autorité d’attributs userId Ressource attributes Référentiel utilisateurs Installation d'un IdP Shibboleth

Les briques logicielles IdP SAML SP de test du CRU mod_ssl mod_proxy Apache AJP Serveur CAS de test casclient JNDI JDBC certificat clef privée AC de test shibboleth-idp Tomcat Annuaire De test Java Installation d'un IdP Shibboleth