1. Installation d’un fournisseur d’identités Shibboleth CRU / UNR Paris 18 juin 2007, Paris 5 Olivier Salaün, Mehdi Hached, Florent Guilleux

5. Introduction à Shibboleth

7. Avec le SSO, c’était un peu mieux Sympa Moodle Université C Moodle Thèses Bibliothèque B Fond docu. Périodiques Contrôle d’accès Ressource Gestion utilisateurs / Authentification Université A Copyright SWITCHaai

9. Heureusement, la fédération est arrivée ! Sympa Moodle Université C Moodle Thèses Bibliothèque B Fond docu. Périodiques Contrôle d’accès Ressource Gestion utilisateurs / Authentification Université A Copyright SWITCHaai SSO SSO

11. Fonctionnement de Shibboleth : première requête vers un fournisseur de services (SP) Navigateur Fournisseur d’identités (IdP) Fournisseur de services (SP)

12. Fonctionnement de Shibboleth : première requête vers un fournisseur de services (SP) Navigateur Fournisseur d’identités (IdP) Fournisseur de services (SP) userId password nameId nameId nameId attributes

13. Fonctionnement de Shibboleth : point de vue de l’utilisateur Navigateur Fournisseur d’identités (IdP) Fournisseur de services (SP) userId password 1 2 3 4

14. Fonctionnement de Shibboleth : requêtes suivantes vers le même fournisseur de services (SP) Navigateur Fournisseur d’identités (IdP) Fournisseur de services (SP)

15. Architecture logique du SP Fournisseur de service Navigateur Fournisseur d’identités (IdP) attributes nameId userId password nameId nameId attributes Consommateur d’assertions Demandeur d’attributs Contrôleur d’accès Ressource

16. Architecture logique de l’IdP Fournisseur d’identités Service d’authentification Autorité d’authentification Autorité d’attributs nameId attributes userId Consommateur d’assertions Demandeur d’attributs Contrôleur d’accès Ressource Navigateur attributes nameId nameId nameId userId password userId attributes Référentiel utilisateurs Base d’authentification

18. Intégration dans le SI d’un fournisseur d’identités Navigateur Service d’authentification Autorité d’authentification Autorité d’attributs Référentiel utilisateurs Serveur SSO Fournisseur de service userId ticket attributes userId nameId nameId

20. Diffusion d’attributs

26. resolver.xml <AttributeResolver xmlns: ... > < SimpleAttributeDefinition id=&quot;urn:mace:dir:attribute-def:givenName&quot;> <DataConnectorDependency requires=&quot; data_base &quot; /> </SimpleAttributeDefinition> < SimpleAttributeDefinition id=&quot;urn:mace:cru.fr:attribute-def:supannOrganisme&quot;> <DataConnectorDependency requires=&quot; supann-test &quot;/> </SimpleAttributeDefinition> ... < JDBCDataConnector id=&quot; data_base &quot; minResultSet=&quot;1&quot; maxResultSet=&quot;1&quot; propagateErrors=&quot;true&quot; dbURL=&quot;jdbc:mysql://database.univ-test.fr/test-shib?user=shibboleth&quot; dbDriver=&quot;com.mysql.jdbc.Driver&quot; maxActive=&quot;10&quot; maxIdle=&quot;5&quot;> <Query>SELECT name AS givenName FROM shibboleth WHERE name=?</Query> </JDBCDataConnector> < JNDIDirectoryDataConnector id=&quot; supann-test &quot;> <Search filter=&quot;uid=%PRINCIPAL%&quot;> <Controls searchScope=&quot;SUBTREE_SCOPE&quot; returningObjects=&quot;false&quot; /> </Search> <Property name=&quot;java.naming.factory.initial&quot; value=&quot;com.sun.jndi.ldap.LdapCtxFactory&quot; /> <Property name=&quot;java.naming.provider.url&quot; value=&quot;ldap://ldap.cru.fr/ou=people,dc=univ-test,dc=fr&quot;/> </JNDIDirectoryDataConnector> </AttributeResolver>

29. Comment définir les règles qui déterminent quelles attributs fournir aux SP ? Transfert d'un attribut à tout SP: <Attribute name=&quot; urn:mace:dir:attribute-def:eduPersonPrincipalName &quot;> < AnyValue release=&quot; Permit &quot;> </Attribute> Transfert d'un attribut interdit pour un pour une valeur donnée : <Attribute name=&quot; urn:mace:dir:attribute-def:eduPersonScopedAffiliation &quot;> < Value release=&quot; deny &quot;>member@example.edu</Value> </Attribute>

31. Conclusion