{"id":66,"date":"2018-12-18T14:42:39","date_gmt":"2018-12-18T13:42:39","guid":{"rendered":"http:\/\/blog.nosland.com\/?p=66"},"modified":"2018-12-18T14:42:39","modified_gmt":"2018-12-18T13:42:39","slug":"shibboleth-federation-didentite","status":"publish","type":"post","link":"http:\/\/blog.nosland.com\/?p=66","title":{"rendered":"SHIBBOLETH &#8211; F\u00e9d\u00e9ration d&rsquo;identit\u00e9"},"content":{"rendered":"\n<h3>1&nbsp;FEDERATION D\u2019IDENTITE<\/h3>\n\n\n\n<p>La f\u00e9d\u00e9ration d\u2019identit\u00e9s permet de simplifier et s\u00e9curiser l\u2019acc\u00e8s \u00e0 des sites web dont l\u2019acc\u00e8s est contr\u00f4l\u00e9&nbsp;: plate-forme d\u2019enseignement \u00e0 distance, portail documentaire, application m\u00e9tier&#8230;<\/p>\n\n\n\n<p>Elle r\u00e9pond bien aux besoins de mutualisation entre organismes, aux probl\u00e9matiques d\u2019utilisateurs nomades et facilite le respect de la loi \u201cInformatique et libert\u00e9s\u201c.<\/p>\n\n\n\n<p>Elle est particuli\u00e8rement adapt\u00e9e pour certains types de sites&nbsp;:<\/p>\n\n\n\n<ul><li>ceux dont les usagers sont rattach\u00e9s \u00e0 des organismes diff\u00e9rents, par exemple une plate-forme d\u2019enseignement \u00e0 distance ou une application m\u00e9tier mutualis\u00e9e entre les diff\u00e9rents organismes d\u2019une Universit\u00e9 Num\u00e9rique en R\u00e9gion<\/li><li>ceux qui doivent contr\u00f4ler l\u2019acc\u00e8s d\u2019un tr\u00e8s grand nombre d\u2019utilisateurs, par exemple une Universit\u00e9 Num\u00e9rique Th\u00e9matique qui souhaite limiter l\u2019acc\u00e8s \u00e0 tous les \u00e9tudiants fran\u00e7ais d\u2019une certaine discipline<\/li><li>ceux qui doivent contr\u00f4ler l\u2019acc\u00e8s des utilisateurs sans n\u00e9cessairement devoir connaitre leur identit\u00e9, par exemple le portail documentaire d\u2019un \u00e9diteur priv\u00e9 de revues scientifiques.<\/li><\/ul>\n\n\n\n<h4>1.1&nbsp;PRINCIPE<\/h4>\n\n\n\n<p>Lr principe de&nbsp;f\u00e9d\u00e9ration d\u2019identit\u00e9&nbsp;est un concept qui vise \u00e0 mettre en place une centralisation des donn\u00e9es, et notamment des donn\u00e9es d\u2019identit\u00e9, au sein d\u2019un domaine informatique.<\/p>\n\n\n\n<p>Ainsi un utilisateur ne se connectera qu\u2019une unique fois par session aupr\u00e8s d\u2019une structure reconnue qui lui fournira la preuve de son identit\u00e9 (sous forme de jeton).<\/p>\n\n\n\n<p>L\u2019utilisateur le pr\u00e9sentera aux autres ressources qui souhaitent s\u2019assurer de son identit\u00e9, sans qu\u2019il n\u2019ait \u00e0 d\u00e9rouler une nouvelle proc\u00e9dure d\u2019authentification.<\/p>\n\n\n\n<p><strong>Une seule authentification&nbsp;<\/strong>(dite primaire), donc un seul mot de passe, (plus facile donc de faire appliquer une politique de renouvellement et complexit\u00e9 sans se confronter aux utilisateurs r\u00e9calcitrants).<\/p>\n\n\n\n<p>De plus, la f\u00e9d\u00e9ration d\u2019identit\u00e9 permet \u00e9galement de centraliser les donn\u00e9es d\u2019un utilisateur (comme son adresse mail de contact, un nom, une langue).<\/p>\n\n\n\n<p>Ces donn\u00e9es seront appel\u00e9es&nbsp;<strong>attributs&nbsp;<\/strong>et la centralisation permettra notamment de pouvoir modifier ces donn\u00e9es plus facilement.<\/p>\n\n\n\n<h4>1.2&nbsp;FONCTIONNEMENT<\/h4>\n\n\n\n<h5>1.2.1&nbsp;ACTEURS<\/h5>\n\n\n\n<p>La f\u00e9d\u00e9ration d\u2019identit\u00e9 s\u2019appuie sur 4 acteurs&nbsp;:<\/p>\n\n\n\n<ul><li>les&nbsp;<strong>utilisateurs finaux&nbsp;<\/strong>sont les personnes qui vont effectivement se connecter \u00e0 des sites web via une f\u00e9d\u00e9ration d\u2019identit\u00e9s. En g\u00e9n\u00e9ral elles ne savent pas et ne voient pas que leur connexion a lieu vers une f\u00e9d\u00e9ration d\u2019identit\u00e9s, c\u2019est transparent pour elles.<\/li><li>les&nbsp;<strong>fournisseurs d\u2019identit<\/strong><strong>\u00e9s<\/strong>&nbsp;sont les organismes auxquels sont rattach\u00e9s les utilisateurs finaux. Par exemple dans la f\u00e9d\u00e9ration \u00c9ducation-Recherche il s\u2019agit d\u2019organismes de recherche et d\u2019\u00e9tablissements d\u2019enseignement. Un fournisseur d\u2019identit\u00e9s a pour r\u00f4le d\u2019authentifier ses utilisateurs quand ceux acc\u00e8dent un site web via la f\u00e9d\u00e9ration d\u2019identit\u00e9s.<\/li><li>les&nbsp;<strong>ressources&nbsp;<\/strong>sont les sites web auxquels peuvent acc\u00e9der les utilisateurs finaux via une f\u00e9d\u00e9ration d\u2019identit\u00e9s. Il peut s\u2019agir par exemple de sites d\u2019enseignement \u00e0 distance, d\u2019outils collaboratifs en ligne, de portail de documentations num\u00e9ris\u00e9es&#8230;<\/li><li>l\u2019<strong>op<\/strong><strong>\u00e9rateur de la f<\/strong><strong>\u00e9d<\/strong><strong>\u00e9ration&nbsp;<\/strong>est l\u2019entit\u00e9 qui g\u00e8re la f\u00e9d\u00e9ration, a d\u00e9fini ses r\u00e8gles de fonctionnement et prend en charge l\u2019inscription des fournisseurs d\u2019identit\u00e9s et des ressources dans la f\u00e9d\u00e9ration.<\/li><\/ul>\n\n\n\n<h5>1.2.2&nbsp;FLUX<\/h5>\n\n\n\n<p>Voici le d\u00e9roulement de l\u2019acc\u00e8s \u00e0 une ressource par un utilisateur via une f\u00e9d\u00e9ration d\u2019identit\u00e9s&nbsp;:<\/p>\n\n\n\n<ol><li>l\u2019utilisateur se rend avec son navigateur sur la page d\u2019accueil d\u2019une ressource, par exemple cours-en-ligne.example.org.&nbsp;<br>Il clique sur le lien \u201cMe connecter\u201d, un nouvelle page s\u2019affiche et il choisit dans cette nouvelle page son organisme de rattachement.<\/li><li>l\u2019utilisateur est automatiquement renvoy\u00e9 vers la page d\u2019authentification classique de son organisme sur laquelle il peut saisir son identifiant et mot de passe habituel.<\/li><li>si l\u2019authentification r\u00e9ussit, le logiciel fournisseur d\u2019identit\u00e9s de l\u2019organisme va automatiquement r\u00e9cup\u00e9rer des informations sur l\u2019utilisateur dans le ou les r\u00e9f\u00e9rentiels de l\u2019organisme.<\/li><li>l\u2019utilisateur est renvoy\u00e9 sur la ressource o\u00f9 il est alors automatiquement authentifi\u00e9 et peut alors l\u2019utiliser.<\/li><li>lors de la redirection de l\u2019utilisateur depuis le fournisseur d\u2019identit\u00e9s vers la ressource, cette derni\u00e8re re\u00e7oit de la part du fournisseur d\u2019identit\u00e9s une preuve informatique d\u2019authentification de l\u2019utilisateur et \u00e9ventuellement des informations sur l\u2019utilisateur<\/li><\/ol>\n\n\n\n<p><strong>Remarque&nbsp;:&nbsp;<\/strong>les \u00e9tapes 3 et 5 ne sont pas vues par l\u2019utilisateur<\/p>\n\n\n\n<figure class=\"wp-block-image\"><img src=\"http:\/\/cv.geniaut.fr\/Paris8\/wikiP8\/webdsi.univ-paris8.fr\/site\/Systeme\/Idp\/Images\/flux.png\" alt=\"PIC\"\/><\/figure>\n\n\n\n<h5>1.2.3&nbsp;LOGICIELS<\/h5>\n\n\n\n<p>La f\u00e9d\u00e9ration d\u2019identit\u00e9 utilise les redirections pour rendre les flux transparents pour l\u2019utilisateur.<\/p>\n\n\n\n<p>Pour que la s\u00e9quence de ces flux fonctionne, il faut que l\u2019organisme jouant le r\u00f4le de fournisseur d\u2019identit\u00e9s installe un logiciel de f\u00e9d\u00e9ration d\u2019identit\u00e9s, appel\u00e9&nbsp;<strong>identity provider&nbsp;<\/strong>(fournisseur d\u2019identit\u00e9s).<\/p>\n\n\n\n<p>De m\u00eame pour le site jouant le r\u00f4le de ressource, qui doit installer un logiciel&nbsp;<strong>service provider&nbsp;<\/strong>en frontal de son application&nbsp;; cette derni\u00e8re doit elle-m\u00eame \u00eatre rendue compatible avec ce logiciel.<\/p>\n\n\n\n<p>Ces logiciels permettent le rediriger l\u2019utilisateur automatiquement entre la ressource et le fournisseur d\u2019identit\u00e9s, et g\u00e8re la transmission de la preuve d\u2019authentification et des informations sur l\u2019utilisateur.<\/p>\n\n\n\n<p><strong>Shibboleth&nbsp;<\/strong>est le logiciel de f\u00e9d\u00e9ration d\u2019identit\u00e9s le plus utilis\u00e9 dans la communaut\u00e9 enseignement sup\u00e9rieur et recherche.<\/p>\n\n\n\n<h5>1.2.4&nbsp;META-DONNEES&nbsp;: WAYF<\/h5>\n\n\n\n<p>L\u2019op\u00e9rateur de la f\u00e9d\u00e9ration maintient la liste des ressources et des fournisseurs d\u2019identit\u00e9s inscrits dans la f\u00e9d\u00e9ration ainsi que les informations techniques sur chacun.<\/p>\n\n\n\n<p>Ces informations sont distribu\u00e9es publiquement sous forme du fichier de m\u00e9ta-donn\u00e9es (voir le fichier de m\u00e9ta-donn\u00e9es de la f\u00e9d\u00e9ration Education-Recherche) et permettent de faire fonctionner les briques logicielles les une avec les autres.<\/p>\n\n\n\n<p>Lors de l\u2019acc\u00e8s \u00e0 une ressource de la f\u00e9d\u00e9ration, un utilisateur doit pouvoir indiquer l\u2019organisme qui est capable de l\u2019authentifier. A cet effet la ressource lui pr\u00e9sente un menu d\u00e9roulant (appel\u00e9&nbsp;<strong>Where Are You From&nbsp;<\/strong>ou \u201dDiscovery Service\u201c) qui r\u00e9pertorie tous les fournisseurs d\u2019identit\u00e9s de la f\u00e9d\u00e9ration, ou dans certains cas le sous-ensemble de ces fournisseurs d\u2019identit\u00e9s qui permettent l\u2019acc\u00e8s \u00e0 cette ressource.<\/p>\n\n\n\n<p>Le&nbsp;<strong>WAYF&nbsp;<\/strong>est donc la face visible de la f\u00e9d\u00e9ration pour les utilisateurs.<\/p>\n\n\n\n<h3>2&nbsp;SHIBBOLETH<\/h3>\n\n\n\n<p><strong>Shibboleth&nbsp;<\/strong>est une suite de logiciels d\u00e9velopp\u00e9e \u00e0 l\u2019origine par le consortium Internet2 et sous la responsabilit\u00e9 du consortium Shibboleth \u00e0 pr\u00e9sent. Cette suite fournit une solution compl\u00e8te de f\u00e9d\u00e9ration d\u2019identit\u00e9s. Le principe de la f\u00e9d\u00e9ration d\u2019identit\u00e9s est de d\u00e9l\u00e9guer l\u2019authentification web des utilisateurs \u00e0 un service d\u2019authentification dans l\u2019organisme d\u2019origine de l\u2019utilisateur.<\/p>\n\n\n\n<p>Le protocole utilis\u00e9 est&nbsp;<strong>SAML 2<\/strong>, utilis\u00e9 \u00e9galement par d\u2019autres solutions logicielles de ce type.<\/p>\n\n\n\n<p>Les trois briques Shibboleth sont le fournisseur de services, le fournisseur d\u2019identit\u00e9s et le service de d\u00e9couverte (ou DS\/WAYF).<\/p>\n\n\n\n<p>Le fournisseur de services est un module d\u2019authentification pour le serveur Web. Il permet de&nbsp;:<\/p>\n\n\n\n<ul><li>d\u00e9l\u00e9guer l\u2019authentification des utilisateurs \u00e0 un fournisseur d\u2019identit\u00e9s,<\/li><li>transmettre le profil utilisateur,<\/li><li>g\u00e9rer le contr\u00f4le d\u2019acc\u00e8s de mani\u00e8re optionnelle.<\/li><\/ul>\n\n\n\n<p>Le fournisseur d\u2019identit\u00e9s est une application Java (servlet)&nbsp;; il permet de g\u00e9rer l\u2019authentification des utilisateurs, en r\u00e9ponse \u00e0 la requ\u00eate d\u2019un fournisseur de services. L\u2019authentification peut \u00eatre d\u00e9l\u00e9gu\u00e9e \u00e0 un serveur SSO-CAS (Central Authentication Service)&nbsp;: l\u2019authentification se fait par login\/mot de passe ou certificat \u00e9lectronique ou encore propose les deux&nbsp;; les attributs de l\u2019utilisateur sont extraits d\u2019un annuaire (AD ou LDAP), d\u2019une base SQL ou bien calcul\u00e9s, puis propag\u00e9s au fournisseur de services.<\/p>\n\n\n\n<p>Le service de d\u00e9couverte (DS) permet \u00e0 un utilisateur de s\u00e9lectionner son organisme de rattachement, c\u2019est-\u00e0-dire celui aupr\u00e8s duquel il pourra s\u2019authentifier.<\/p>\n\n\n\n<p>Le service de d\u00e9couverte propose un menu d\u00e9roulant \u00e0 l\u2019utilisateur avec la liste des fournisseurs d\u2019identit\u00e9s reconnus.<\/p>\n\n\n\n<h4>2.1 GESTION DES META DONNEES<\/h4>\n\n\n\n<p>RENATER g\u00e8re plusieurs cercles de confiance et publie un ou plusieurs fichiers de m\u00e9ta-donn\u00e9es pour chacune de ces f\u00e9d\u00e9rations&nbsp;:<\/p>\n\n\n\n<ul><li>la F\u00e9d\u00e9ration Education-Recherche&nbsp;: l\u2019environnement de production pour la communaut\u00e9 Education\/Recherche fran\u00e7aise.<\/li><li>l\u2019inter-f\u00e9d\u00e9ration eduGAIN (plus d\u2019info)&nbsp;: l\u2019environnement de production pour la communaut\u00e9 Education\/Recherche internationale. Les donn\u00e9es publi\u00e9es proviennent de GEANT, op\u00e9rateur de eduGAIN.<\/li><li>la F\u00e9d\u00e9ration de Test (plus d\u2019info)&nbsp;: l\u2019environnement de test pour les organismes Education\/Recherche.<\/li><\/ul>\n\n\n\n<p>Les fichiers de m\u00e9ta-donn\u00e9es font l\u2019objet d\u2019un processus de mise \u00e0 jour automatique, \u00e0 partir des donn\u00e9es saisies dans le guichet f\u00e9d\u00e9ration. Ce processus prend en charge la validation du format des m\u00e9ta-donn\u00e9es, l\u2019agr\u00e9gation \u00e9ventuelle (cas de eduGAIN) et la signature XML des fichiers de m\u00e9ta-donn\u00e9es.<\/p>\n\n\n\n<p>Les mises \u00e0 jour sont publi\u00e9es \u00e0 des fr\u00e9quences diff\u00e9rentes selon la version du fichier utilis\u00e9e, voir la description des versions de m\u00e9ta-donn\u00e9es ci-apr\u00e8s.<\/p>\n\n\n\n<p>Les m\u00e9ta-donn\u00e9es SAML publi\u00e9es ont une dur\u00e9e de validit\u00e9 de 9 jours. Apr\u00e8s cette \u00e9ch\u00e9ance votre IdP\/SP ne sera vraisemblablement plus capable d\u2019utiliser une copie locale d\u2019un fichier de m\u00e9ta-donn\u00e9es.<\/p>\n\n\n\n<p>Les m\u00e9ta-donn\u00e9es sont construites \u00e0 partir des informations techniques fournies par les administrateurs des IdP\/SP via le guichet f\u00e9d\u00e9ration. L\u2019enregistrement d\u2019un SP\/IdP dans une f\u00e9d\u00e9ration de production ainsi que la modification de certaines informations techniques sont soumis \u00e0 validation par les contacts f\u00e9d\u00e9ration d\u00e9sign\u00e9s par l\u2019organisme (membre ou partenaire) dont vous d\u00e9pendez.<\/p>\n\n\n\n<h5>2.1.1\u00a0CERTIFICAT<\/h5>\n\n\n\n<p>Dans Shibboleth, nous configurons la v\u00e9rification de la signature XML des nouveaux fichiers de m\u00e9ta-donn\u00e9es.<\/p>\n\n\n\n<p>Ce certificat disponible sur&nbsp;:<\/p>\n\n\n\n<figure class=\"wp-block-embed\"><div class=\"wp-block-embed__wrapper\">\nhttps:\/\/metadata.federation.renater.fr\/certs\/renater-_metadata-_signing-_cert-_2016.pem\n<\/div><\/figure>\n\n\n\n<p>est plac\u00e9 dans \/opt\/shibboleth-idp\/credentials.<\/p>\n\n\n\n<h5>2.1.2\u00a0CONFIGURATION<\/h5>\n\n\n\n<p>Pour que l\u2019IdP ou le SP fonctionne vis \u00e0 vis des autres entit\u00e9s SAML d\u2019une f\u00e9d\u00e9ration, il faut configurer la brique technique pour charger r\u00e9guli\u00e8rement le fichier de m\u00e9ta-donn\u00e9es de la f\u00e9d\u00e9ration.<\/p>\n\n\n\n<p>Nous ajoutons dans le fichier de configuration les 3 ficheirs de m\u00e9ta-donn\u00e9es&nbsp;:&nbsp;<br><strong>:&nbsp;<\/strong>\/opt\/shibboleth-idp\/conf\/attribute-resolver.xml<strong><\/strong>&#8230;&nbsp;<br><strong><\/strong>&lt;MetadataProvider&nbsp;id=\u00a0\u00bbShibbolethMetadata\u00a0\u00bb&nbsp;xsi:type=\u00a0\u00bbChainingMetadataProvider\u00a0\u00bb&nbsp;xmlns=\u00a0\u00bburn:mace:shibboleth:2.0:metadata\u00a0\u00bb&gt;&nbsp;<br><strong><\/strong><br><strong><\/strong>&nbsp;&nbsp;&#8230;&nbsp;<br><strong><\/strong><br><strong><\/strong>&nbsp;&nbsp;&lt;MetadataProvider&nbsp;id=\u00a0\u00bbRENATER\u2212TEST\u00a0\u00bb&nbsp;xsi:type=\u00a0\u00bbmetadata:FileBackedHTTPMetadataProvider\u00a0\u00bb&nbsp;<br><strong><\/strong>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;metadataURL=\u00a0\u00bbhttps:\/\/metadata.federation.renater.fr\/test\/preview\/preview\u2212sps\u2212renater\u2212test\u2212metadata.xml\u00a0\u00bb&nbsp;<br><strong><\/strong>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;backingFile=\u00a0\u00bb\/opt\/shibboleth\u2212idp\/metadata\/preview\u2212sps\u2212renater\u2212test\u2212metadata.xml\u00a0\u00bb&gt;&nbsp;<br><strong><\/strong>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&lt;MetadataFilter&nbsp;xsi:type=\u00a0\u00bbmetadata:SignatureValidation\u00a0\u00bb&nbsp;<br><strong><\/strong>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;trustEngineRef=\u00a0\u00bbshibboleth.MetadataTrustEngine2&Prime;&nbsp;<br><strong><\/strong>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;requireSignedMetadata=\u00a0\u00bbtrue\u00a0\u00bb&nbsp;\/&gt;&nbsp;<br><strong><\/strong>&nbsp;&nbsp;&lt;\/MetadataProvider&gt;&nbsp;<br><strong><\/strong>&nbsp;&nbsp;&lt;MetadataProvider&nbsp;id=\u00a0\u00bbEDUGAIN\u00a0\u00bb&nbsp;xsi:type=\u00a0\u00bbmetadata:FileBackedHTTPMetadataProvider\u00a0\u00bb&nbsp;<br><strong><\/strong>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;metadataURL=\u00a0\u00bbhttps:\/\/metadata.federation.renater.fr\/edugain\/main\/main\u2212sps\u2212edugain\u2212metadata.xml\u00a0\u00bb&nbsp;<br><strong><\/strong>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;backingFile=\u00a0\u00bb\/opt\/shibboleth\u2212idp\/metadata\/main\u2212sps\u2212edugain\u2212metadata.xml\u00a0\u00bb&gt;&nbsp;<br><strong><\/strong>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&lt;MetadataFilter&nbsp;xsi:type=\u00a0\u00bbmetadata:SignatureValidation\u00a0\u00bb&nbsp;<br><strong><\/strong>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;trustEngineRef=\u00a0\u00bbshibboleth.MetadataTrustEngine2&Prime;&nbsp;<br><strong><\/strong>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;requireSignedMetadata=\u00a0\u00bbtrue\u00a0\u00bb&nbsp;\/&gt;&nbsp;<br><strong><\/strong>&nbsp;&nbsp;&lt;\/MetadataProvider&gt;&nbsp;<br><strong><\/strong>&nbsp;&nbsp;&lt;MetadataProvider&nbsp;id=\u00a0\u00bbRENATER\u00a0\u00bb&nbsp;xsi:type=\u00a0\u00bbmetadata:FileBackedHTTPMetadataProvider\u00a0\u00bb&nbsp;<br><strong><\/strong>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;metadataURL=\u00a0\u00bbhttps:\/\/metadata.federation.renater.fr\/renater\/main\/main\u2212sps\u2212renater\u2212metadata.xml\u00a0\u00bb&nbsp;<br><strong><\/strong>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;backingFile=\u00a0\u00bb\/opt\/shibboleth\u2212idp\/metadata\/main\u2212sps\u2212renater\u2212metadata.xml\u00a0\u00bb&gt;&nbsp;<br><strong><\/strong>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&lt;MetadataFilter&nbsp;xsi:type=\u00a0\u00bbmetadata:SignatureValidation\u00a0\u00bb&nbsp;<br><strong><\/strong>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;trustEngineRef=\u00a0\u00bbshibboleth.MetadataTrustEngine2&Prime;&nbsp;<br><strong><\/strong>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;requireSignedMetadata=\u00a0\u00bbtrue\u00a0\u00bb&nbsp;\/&gt;&nbsp;<br><strong><\/strong>&nbsp;&nbsp;&lt;\/MetadataProvider&gt;&nbsp;<br><strong><\/strong><br><strong><\/strong>&lt;\/MetadataProvider&gt;&nbsp;<br><strong><\/strong>&#8230;<\/p>\n\n\n\n<p>Une fois l\u2019application shibboleth red\u00e9marr\u00e9e, les fichiers de m\u00e9ta-donn\u00e9es sont r\u00e9cup\u00e9r\u00e9s et stock\u00e9s dans \/opt\/shibboleth-idp\/metadata\/&nbsp;:<\/p>\n\n\n\n<ul><li>\/opt\/shibboleth-idp\/metadata\/preview-sps-renater-test-metadata.xml<\/li><li>\/opt\/shibboleth-idp\/metadata\/main-sps-edugain-metadata.xml<\/li><li>\/opt\/shibboleth-idp\/metadata\/main-sps-renater-metadata.xml<\/li><\/ul>\n\n\n\n<h3>3&nbsp;DROITS D\u2019ACCES<\/h3>\n\n\n\n<h4>3.1&nbsp;LEXISNEXIS<\/h4>\n\n\n\n<p>LexisNexis SA est une soci\u00e9t\u00e9 fran\u00e7aise d\u2019\u00e9dition professionnelle.<\/p>\n\n\n\n<p>Elle couvre les 3 domaines suivants&nbsp;:<\/p>\n\n\n\n<ul><li>La Recherche documentaire &amp; Information.&nbsp;<br>Lexis 360, la centaine codes et ouvrages publi\u00e9s chaque ann\u00e9e ainsi que plus de 450 volumes d \u2019encyclop\u00e9dies JurisClasseur permettent aux professionnels du droit de trouver rapidement des informations pertinentes et de rester \u00e0 la pointe de l\u2019actualit\u00e9.<\/li><li>La Gestion de Cabinet.&nbsp;<br>LexisNexis \u00e9dite Lexis Poly, des solutions logicielles d\u00e9di\u00e9es \u00e0 la performance de l\u2019activit\u00e9 des professionnels de tous les secteurs du droit, en s\u2019appuyant sur les technologies les plus avanc\u00e9es et son expertise \u00e9ditoriale (pr\u00e8s de 7500 actes int\u00e9gr\u00e9s).<\/li><li>L\u2019Actualit\u00e9 Juridique. Avec ses 31 revues, LexisNexis offre un large choix de titres couvrant l\u2019ensemble des domaines juridiques. Ces revues permettent aux professionnels de ma\u00eetriser l\u2019actualit\u00e9 juridique et proposent des analyses de fond r\u00e9dig\u00e9es par les plus grandes signatures.<\/li><\/ul>\n\n\n\n<p>Depuis le 31\/12\/2016, les acc\u00e8s num\u00e9riques \u00e0 LexisNexis se font via une authentication aupr\u00e8s de la f\u00e9d\u00e9ration d\u2019identit\u00e9 Renater.<\/p>\n\n\n\n<p>Le SP est disponible \u00e0 l\u2019adresse&nbsp;:&nbsp;<a href=\"https:\/\/shib.lexisnexis.com\/\">https:\/\/shib.lexisnexis.com<\/a><\/p>\n\n\n\n<p>Pour assurer l\u2019authentication, le SP doit disposer de l\u2019acc\u00e8s \u00e0 2 attributs&nbsp;:<\/p>\n\n\n\n<ol><li>eduPersonTargetedID&nbsp;: calcul\u00e9 \u00e0 partir de l\u2019UID de l\u2019individu et du d\u2019une cl\u00e9 de hashage<\/li><li>eduPersonScopedAffiliation&nbsp;: provient de l\u2019annuaire LDAP de l\u2019Universit\u00e9<\/li><\/ol>\n\n\n\n<p>La configuration de ces attributs se fait dans le fichier\u00a0:\u00a0<br><strong>:\u00a0<\/strong>\/opt\/shibboleth-idp\/conf\/attribute-resolver.xml&#8230;\u00a0<br>&lt;resolver:AttributeDefinition\u00a0id=\u00a0\u00bbeduPersonScopedAffiliation\u00a0\u00bb\u00a0xsi:type=\u00a0\u00bbScoped\u00a0\u00bb\u00a0<br>\u00a0\u00a0\u00a0\u00a0xmlns=\u00a0\u00bburn:mace:shibboleth:2.0:resolver:ad\u00a0\u00bb\u00a0\u00a0scope=\u00a0\u00bbnosland.com\u00a0\u00bb\u00a0\u00a0sourceAttributeID=\u00a0\u00bbeduPersonAffiliation\u00a0\u00bb>\u00a0<br>\u00a0\u00a0\u00a0\u00a0&lt;resolver:Dependency\u00a0ref=\u00a0\u00bbmyLDAP\u00a0\u00bb\u00a0\/>\u00a0<br>\u00a0\u00a0\u00a0\u00a0&lt;resolver:AttributeEncoder\u00a0xsi:type=\u00a0\u00bbSAML1ScopedString\u00a0\u00bb\u00a0xmlns=\u00a0\u00bburn:mace:shibboleth:2.0:attribute:encoder\u00a0\u00bb\u00a0<br>\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0name=\u00a0\u00bburn:mace:dir:attribute\u2212def:eduPersonScopedAffiliation\u00a0\u00bb\u00a0\/>\u00a0<br>\u00a0\u00a0\u00a0\u00a0&lt;resolver:AttributeEncoder\u00a0xsi:type=\u00a0\u00bbSAML2ScopedString\u00a0\u00bb\u00a0xmlns=\u00a0\u00bburn:mace:shibboleth:2.0:attribute:encoder\u00a0\u00bb\u00a0<br>\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0name=\u00a0\u00bburn:oid:1.3.6.1.4.1.5923.1.1.1.9&Prime;\u00a0friendlyName=\u00a0\u00bbeduPersonScopedAffiliation\u00a0\u00bb\u00a0\/>\u00a0<br>&lt;\/resolver:AttributeDefinition>\u00a0<br><br>&lt;resolver:AttributeDefinition\u00a0xsi:type=\u00a0\u00bbad:SAML2NameID\u00a0\u00bb\u00a0id=\u00a0\u00bbeduPersonTargetedID\u00a0\u00bb\u00a0<br>\u00a0\u00a0\u00a0\u00a0nameIdFormat=\u00a0\u00bburn:oasis:names:tc:SAML:2.0:nameid\u2212format:persistent\u00a0\u00bb\u00a0sourceAttributeID=\u00a0\u00bbcomputedID\u00a0\u00bb>\u00a0<br>\u00a0\u00a0\u00a0\u00a0&lt;resolver:Dependency\u00a0ref=\u00a0\u00bbcomputedID\u00a0\u00bb\u00a0\/>\u00a0<br>\u00a0\u00a0\u00a0\u00a0&lt;resolver:AttributeEncoder\u00a0xsi:type=\u00a0\u00bbenc:SAML1XMLObject\u00a0\u00bb\u00a0name=\u00a0\u00bburn:oid:1.3.6.1.4.1.5923.1.1.1.10&Prime;\u00a0\/>\u00a0<br>\u00a0\u00a0\u00a0\u00a0&lt;resolver:AttributeEncoder\u00a0xsi:type=\u00a0\u00bbenc:SAML2XMLObject\u00a0\u00bb\u00a0name=\u00a0\u00bburn:oid:1.3.6.1.4.1.5923.1.1.1.10&Prime;\u00a0<br>\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0friendlyName=\u00a0\u00bbeduPersonTargetedID\u00a0\u00bb\u00a0\/>\u00a0<br>&lt;\/resolver:AttributeDefinition>\u00a0<br><br>&lt;resolver:DataConnector\u00a0xsi:type=\u00a0\u00bbdc:ComputedId\u00a0\u00bb\u00a0<br>\u00a0\u00a0\u00a0\u00a0id=\u00a0\u00bbcomputedID\u00a0\u00bb\u00a0<br>\u00a0\u00a0\u00a0\u00a0generatedAttributeID=\u00a0\u00bbcomputedID\u00a0\u00bb\u00a0<br>\u00a0\u00a0\u00a0\u00a0sourceAttributeID=\u00a0\u00bbuid\u00a0\u00bb\u00a0<br>\u00a0\u00a0\u00a0\u00a0salt=\u00a0\u00bbXXXXXXXXXXXXXXXXXXXXXX\u00a0\u00bb>\u00a0<br>\u00a0\u00a0\u00a0\u00a0&lt;resolver:Dependency\u00a0ref=\u00a0\u00bbmyLDAP\u00a0\u00bb\u00a0\/>\u00a0<br>&lt;\/resolver:DataConnector>\u00a0<br>..<\/p>\n\n\n\n<p>Les autorisations d\u2019acc\u00e8s \u00e0 ces attributs sont r\u00e9alis\u00e9es dans le fichier&nbsp;:&nbsp;<br><strong>:&nbsp;<\/strong>\/opt\/shibboleth-idp\/conf\/attribute-filter.xml<strong><\/strong>&#8230;&nbsp;<br><strong><\/strong>&nbsp;&nbsp;&nbsp;&nbsp;&lt;!\u2212\u2212&nbsp;categorie&nbsp;principale&nbsp;d\u2019usager&nbsp;et&nbsp;organisme&nbsp;de&nbsp;rattachement&nbsp;administratif&nbsp;&nbsp;\u2212\u2212&gt;&nbsp;<br><strong><\/strong>&nbsp;&nbsp;&nbsp;&nbsp;&lt;AttributeRule&nbsp;attributeID=\u00a0\u00bbeduPersonScopedAffiliation\u00a0\u00bb&gt;&nbsp;<br><strong><\/strong>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&lt;PermitValueRule&nbsp;xsi:type=\u00a0\u00bbbasic:ANY\u00a0\u00bb&nbsp;\/&gt;&nbsp;<br><strong><\/strong>&nbsp;&nbsp;&nbsp;&nbsp;&lt;\/AttributeRule&gt;&nbsp;<br><strong><\/strong><br><strong><\/strong>&nbsp;&nbsp;&nbsp;&nbsp;&lt;!\u2212\u2212&nbsp;identifiant&nbsp;utilisateur&nbsp;opaque,&nbsp;persistent&nbsp;et&nbsp;specifique&nbsp;a&nbsp;un&nbsp;couple&nbsp;SP\/IdP&nbsp;\u2212\u2212&gt;&nbsp;<br><strong><\/strong>&nbsp;&nbsp;&nbsp;&nbsp;&lt;AttributeRule&nbsp;attributeID=\u00a0\u00bbeduPersonTargetedID\u00a0\u00bb&gt;&nbsp;<br><strong><\/strong>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&lt;PermitValueRule&nbsp;xsi:type=\u00a0\u00bbbasic:ANY\u00a0\u00bb&nbsp;\/&gt;&nbsp;<br><strong><\/strong>&nbsp;&nbsp;&nbsp;&nbsp;&lt;\/AttributeRule&gt;&nbsp;<br><strong><\/strong>..<\/p>\n\n\n\n<h5>3.1.1&nbsp;TEST<\/h5>\n\n\n\n<p>#\u00a0\/opt\/shibboleth\u2212idp\/bin\/aacli.sh\u00a0\u2212\u2212principal\u00a0nospheratus\u2212\u2212configDir\u00a0\/opt\/shibboleth\u2212idp\/conf\u00a0\\\u00a0<br>\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u2212\u2212requester\u00a0https:\/\/shib.lexisnexis.com\u00a0<br><br>&lt;?xml\u00a0version=\u00a0\u00bb1.0&Prime;\u00a0encoding=\u00a0\u00bbUTF\u22128&Prime;?>&lt;saml2:AttributeStatement\u00a0<br>\u00a0\u00a0\u00a0xmlns:saml2=\u00a0\u00bburn:oasis:names:tc:SAML:2.0:assertion\u00a0\u00bb>\u00a0<br>\u00a0\u00a0\u00a0&lt;saml2:Attribute\u00a0FriendlyName=\u00a0\u00bbeduPersonScopedAffiliation\u00a0\u00bb\u00a0Name=\u00a0\u00bburn:oid:1.3.6.1.4.1.5923.1.1.1.9&Prime;\u00a0<br>\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0NameFormat=\u00a0\u00bburn:oasis:names:tc:SAML:2.0:attrname\u2212format:uri\u00a0\u00bb>\u00a0<br>\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0&lt;saml2:AttributeValue\u00a0xmlns:xs=\u00a0\u00bbhttp:\/\/www.w3.org\/2001\/XMLSchema\u00a0\u00bb\u00a0<br>\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0xmlns:xsi=\u00a0\u00bbhttp:\/\/www.w3.org\/2001\/XMLSchema\u2212instance\u00a0\u00bb\u00a0xsi:type=\u00a0\u00bbxs:string\u00a0\u00bb>employee@nosland.com\u00a0<br>\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0&lt;\/saml2:AttributeValue>\u00a0<br>\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0&lt;saml2:AttributeValue\u00a0xmlns:xs=\u00a0\u00bbhttp:\/\/www.w3.org\/2001\/XMLSchema\u00a0\u00bb\u00a0<br>\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0xmlns:xsi=\u00a0\u00bbhttp:\/\/www.w3.org\/2001\/XMLSchema\u2212instance\u00a0\u00bb\u00a0xsi:type=\u00a0\u00bbxs:string\u00a0\u00bb>member@nosland.com\u00a0<br>\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0&lt;\/saml2:AttributeValue>\u00a0<br>\u00a0\u00a0\u00a0&lt;\/saml2:Attribute>\u00a0<br><br>\u00a0\u00a0\u00a0&lt;saml2:Attribute\u00a0FriendlyName=\u00a0\u00bbeduPersonTargetedID\u00a0\u00bb\u00a0Name=\u00a0\u00bburn:oid:1.3.6.1.4.1.5923.1.1.1.10&Prime;\u00a0<br>\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0NameFormat=\u00a0\u00bburn:oasis:names:tc:SAML:2.0:attrname\u2212format:uri\u00a0\u00bb>\u00a0<br>\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0&lt;saml2:AttributeValue>\u00a0<br>\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0&lt;saml2:NameID\u00a0Format=\u00a0\u00bburn:oasis:names:tc:SAML:2.0:nameid\u2212format:persistent\u00a0\u00bb\u00a0<br>\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0SPNameQualifier=\u00a0\u00bbhttps:\/\/shib.lexisnexis.com\u00a0\u00bb>XXXXXXX\u00a0<br>\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0&lt;\/saml2:NameID>\u00a0<br>\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0&lt;\/saml2:AttributeValue>\u00a0<br>\u00a0\u00a0\u00a0&lt;\/saml2:Attribute>\u00a0<br>&lt;\/saml2:AttributeStatement><\/p>\n","protected":false},"excerpt":{"rendered":"<p>1&nbsp;FEDERATION D\u2019IDENTITE La f\u00e9d\u00e9ration d\u2019identit\u00e9s permet de simplifier et s\u00e9curiser l\u2019acc\u00e8s \u00e0 des sites web dont l\u2019acc\u00e8s est contr\u00f4l\u00e9&nbsp;: plate-forme&hellip;<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":[],"categories":[6],"tags":[],"_links":{"self":[{"href":"http:\/\/blog.nosland.com\/index.php?rest_route=\/wp\/v2\/posts\/66"}],"collection":[{"href":"http:\/\/blog.nosland.com\/index.php?rest_route=\/wp\/v2\/posts"}],"about":[{"href":"http:\/\/blog.nosland.com\/index.php?rest_route=\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"http:\/\/blog.nosland.com\/index.php?rest_route=\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"http:\/\/blog.nosland.com\/index.php?rest_route=%2Fwp%2Fv2%2Fcomments&post=66"}],"version-history":[{"count":1,"href":"http:\/\/blog.nosland.com\/index.php?rest_route=\/wp\/v2\/posts\/66\/revisions"}],"predecessor-version":[{"id":67,"href":"http:\/\/blog.nosland.com\/index.php?rest_route=\/wp\/v2\/posts\/66\/revisions\/67"}],"wp:attachment":[{"href":"http:\/\/blog.nosland.com\/index.php?rest_route=%2Fwp%2Fv2%2Fmedia&parent=66"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"http:\/\/blog.nosland.com\/index.php?rest_route=%2Fwp%2Fv2%2Fcategories&post=66"},{"taxonomy":"post_tag","embeddable":true,"href":"http:\/\/blog.nosland.com\/index.php?rest_route=%2Fwp%2Fv2%2Ftags&post=66"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}