Authentification SAML (ADFS etc...)

berserker · 2013-04-02 16:56:53

Bonjour,

Je me demandais s'il était envisageable d'intégrer SAML dans GLPI.

SAML permet l’authentification (avec ou sans SSO) fédérée avec différents annuaires externes et non accessibles en LDAP directement.

C'est de plus en plus utilisé par les les différentes applis web (ak. Joomla, Google App, Office 365 etc....).

Cela permettrai entre autre une authentification à travers Internet et sans mise en place de VPN pour accéder à un LDAP ou Active Directory.

Active Directory dispose d'ailleurs d'un module SAML : ADFS (Active Directort Federation Service 2.0).

Certaines librairies sont disponibles pour une mise en place rapide sous Php :http://simplesamlphp.org/

Merci d'avance de votre retour

MoYo · 2013-04-19 15:21:27

L'idée semble intéressante.
Je créé un ticket : https://forge.indepnet.net/issues/4320

Par contre je ne vois pas trop comment nous pourrions mettre en place cela sans plateforme de test.
Si vous avez des idées de plateforme simple à mettre en place

berserker · 2013-04-22 11:39:29

Pour la plateforme de test, il suffit d'un contrôleur Active Directory 2008 R2 il me semble. ADFS est un rôle à rajouter.

Si besoin que je le mette en place, je regarderai comment faire cela rapidement.

Autre gros avantage de cette solution : plus besoin de mod_auth_sspi ou mod_ntlm, donc une installation plus aisée pour nombre d'entre nous

jpsuter · 2013-08-23 08:39:08

Il n'y à rien à développer, j'ai mis en place une authentification SAML2 dans notre système GLPI, j'utilise le module auth_mellon avec apache (configuration similaire a sspi), puis j'active la configuration "authentification externe" dans GLPI avec "REMOTE_USER". côté federation, j'utilise SAP, mais ça marche aussi avec OpenAM (donc certainement également avec shibbolet).
ADFS est peut-être une variante possible, mais je n'utilise windows que sous la contrainte.

cartesimrefusee · 2013-08-23 08:45:12

jpsuter wrote:

Il n'y à rien à développer, j'ai mis en place une authentification SAML2 dans notre système GLPI, j'utilise le module auth_mellon avec apache (configuration similaire a sspi), puis j'active la configuration "authentification externe" dans GLPI avec "REMOTE_USER". côté federation, j'utilise SAP, mais ça marche aussi avec OpenAM (donc certainement également avec shibbolet).
ADFS est peut-être une variante possible, mais je n'utilise windows que sous la contrainte.

Tu peux nous en dire plus s'il te plait ?

ddurieux · 2013-08-23 09:58:32

Et en 0.84, tu peux récupérer les infos issues de ces authentifications externes (nom, prénom, email....) si tu n'as pas d'annuaire branché à GLPI (dans le cas ou t'as pluisuers annuaires avec les identifiants non unique sur l'ensemble de tes annuaires)

cartesimrefusee · 2013-08-23 10:25:08

Merci, faut vraiment que je teste la 0.84

berserker · 2014-01-20 17:09:11

jpsuter wrote:

Il n'y à rien à développer, j'ai mis en place une authentification SAML2 dans notre système GLPI, j'utilise le module auth_mellon avec apache (configuration similaire a sspi), puis j'active la configuration "authentification externe" dans GLPI avec "REMOTE_USER". côté federation, j'utilise SAP, mais ça marche aussi avec OpenAM (donc certainement également avec shibbolet).
ADFS est peut-être une variante possible, mais je n'utilise windows que sous la contrainte.

Je déterre un peu, mais pas eu beaucoup de temps pour me connecter au forum ces derniers mois !

Donc vis a vis de l'idée d'utiliser un module pour Apache, la problèmatique est qu'on se repose sur un composant externe.

Si on pouvait être autonome la dessus cela serait bcp mieux !

garfius · 2018-06-20 17:37:44

jpsuter wrote:

Il n'y à rien à développer, j'ai mis en place une authentification SAML2 dans notre système GLPI, j'utilise le module auth_mellon avec apache (configuration similaire a sspi), puis j'active la configuration "authentification externe" dans GLPI avec "REMOTE_USER". côté federation, j'utilise SAP, mais ça marche aussi avec OpenAM (donc certainement également avec shibbolet).
ADFS est peut-être une variante possible, mais je n'utilise windows que sous la contrainte.

Epic win, it worked like a charm.

Just used MELLON_*** $_server variables

SSO on glpi rules

robertocarlos.floresh · 2018-08-09 22:32:46

Hi... which file it is?? or where is located??

May you help me??

garfius wrote:

jpsuter wrote:
Il n'y à rien à développer, j'ai mis en place une authentification SAML2 dans notre système GLPI, j'utilise le module auth_mellon avec apache (configuration similaire a sspi), puis j'active la configuration "authentification externe" dans GLPI avec "REMOTE_USER". côté federation, j'utilise SAP, mais ça marche aussi avec OpenAM (donc certainement également avec shibbolet).
ADFS est peut-être une variante possible, mais je n'utilise windows que sous la contrainte.

Epic win, it worked like a charm.
Just used MELLON_*** $_server variables
SSO on glpi rules

orthagh · 2018-08-10 09:33:15

it's an external project, see: https://www.google.fr/search?q=mod_auth … e&ie=UTF-8
It's a module for apache which do the saml auth like ntlm auth, so system configuration.
Glpi just need to know the header where is located the user login (set it up in Setup > Authentication > other authentication method)

ChrisADM · 2018-10-17 16:18:40

J'ai utilisé auth_mellon pour faire du SSO SAML avec un Azure AD.

Ca fonctionne parfaitement, un peu dur à paramétrer mais ça fonctionne !

ajabol · 2018-11-17 19:43:40

@ChrisAdm: pourrais-tu me dire commment tu as fait pour le SAML avec Azure AD. Je ne trouve aucune doc à ce sujet. Ton aide serait précieuse. Merci!

Cédric-gge · 2018-11-23 19:43:52

Bonjour,

Je déterre un peu le sujet car il m'intéresse beaucoup, je suis actuellement en train de tenter de migrer l'authentification d'un glpi existant utilisant du ldap sur un AD, vers du saml2 avec onelogin.

Pour l'instant il se passe un aller retour sans fin entre le serveur sur lequel j'ai dupliqué glpi et celui qui fournit l'identité après que je me sois identifié sur celui-ci.
Apache réponds un code 303 ("POST /glpi/ HTTP/1.1" 303).

J'ai surement manqué quelque chose sur la configuration du mod_auth_mellon ou dans celle de glpi, donc un pu d'aide serait plus que bienvenue.

Merci beaucoup

robtou12 · 2018-11-26 11:50:14

@ChrisADM Ton aide me serait bien précieuse également

Cédric-gge · 2018-12-04 16:25:38

Hello again,

A force de creuser j'ai fini par m'en sortir.
Je crois que c'est cette doc qui m'a le plus aidée : saml sso apache

Comme j'ai pas mal galéré, j'espère que ça pourra vous aider.

Last edited by Cédric-gge (2018-12-04 16:27:05)

GLPIM · 2018-12-07 12:10:10

Bonjour,

Je viens me greffer sur cet échange car c'est le topic qui se rapproche le plus de mon cas :
J'ai actuellement installer GLPI v9.3 sur une machine Windows Server 2016, elle même hébergée sur un serveur Azure. J'y accède (à mon site GLPI) donc par internet, aucun soucis. Cependant, Je dois maintenant raccorder cette application à OKTA (ce n'est pas moi qui est en charge). Donc pour ce faire, on m'a demandé de remplir un formulaire "OKTA SAML". Sur ce formulaire je dois renseigner notamment l' " ENTITY ID SAML". J'en déduis donc que l'installation du module SAML sur mon application est obligatoire.
Je cherche ainsi à installer et configurer ce protocole SAML sur mon application.

Comment dois-je procéder ?

J'ai essayé d'installer le plugin "fp-saml" dispo dans la librairie plugins GLPI (avec les différentes recommandation Composer etc.) mais le plugins n’apparaît même pas dans la rubrique PLUGIN de mon site.

Je tiens à préciser que j'ai bien modifier la conditions sur les version dans setup.php en :
if (version_compare(GLPI_VERSION, '0.84', 'lt') || version_compare(GLPI_VERSION, '9.4.0', 'gt')) {

D'autre part, comment dois-je configurer le fichier conf.php ? Que dois-je y ajouter ? y enlever ?

Merci d'avance pour votre réponse

robtou12 · 2018-12-28 11:52:43

@Cédric-gge Idem, GLPI fonctionnel avec authentification ADFS Azure et SSO activé puis redirection direct sans log supplémentaires dans GLPI + SSL avec certificat intégré actif.
J'ai pris des semaines à tout mettre en place, je dirais que la doc qui m'a le plus aidé est celle-ci : https://www.techsupportpk.com/2018/05/s … mment-form
Puis vient celle-ci : https://blog.piservices.fr/post/2017/04 … r-un-linux
Si je peux aidé quelqu'un sur ce sujet, n'hésitez pas !

robtou12 · 2018-12-31 16:04:50

@GLPIM Le module que tu as évoqué n'est plus disponible / mis à jour, cependant à l'aide d'une machine Debian tu peux héberger GLPI et communiquer via l'ADFS/Azure grâce à un module installable -> mod_auth_mellon.
En espérant t'avoir aidé !

Guill · 2019-05-07 14:32:00

J'essaye sans succès de faire fonctionner l'authentification SAML avec auth Mellon et ADFS.

Quelqu'un qui a réussi pourrait-il m'expliquer un peu en détail les paramètres à utiliser ?

Merci

richard.blade · 2019-05-07 16:04:20

Bonjour à tous,

je suis dans la même galère ...

Ma direction me demande de mettre en place un SSO entre l'Office 365 et le serveur GLPI qui est une VM sous Linux.

Je vous avoue qu'un p'tit tuto serait le bien venu...

Merci d'avance.

robtou12 · 2019-05-27 14:13:40

https://1drv.ms/b/s!AlQR0-8AYHckmVwaG3L4DzmbY2nu

Voilà, en espérant vous avoir aidé !

Last edited by robtou12 (2019-06-17 09:56:37)

Isia · 2019-06-19 09:14:01

Salut à tous !
Moi aussi j'ai été confronté à la demande de mon entreprise d'intégrer un SSO lié avec Office365 pour GLPI.

J'ai vu qu'il existe un plugin qui fait cela mais payant et très chère.

Du coup j'ai développé mon propre plugin qui gère cela : https://github.com/virtazp/glpi-connect_azure
Il vous permettra de mettre en place le SSO avec Oauth2, en modifiant les valeurs des variables dans le fichier provider.class.php du plugin.
Il faudra également rajouter un appel de méthode dans le fichier glpi/front/logout.php : line 83 : PluginAzureProvider::logoutCookie();

A ceux qui développe un peu , il est adaptable facilement pour Facebook, Google, etc...

robtou12 · 2019-06-19 11:16:29

@Isia Bien joué, je vais pas tester ton plugin car j'en ai pas l'utilité mais merci à toi de permettre au futur utilisateurs de gagner un temps considérable .

Isia · 2019-06-19 12:24:36

Oui j'aime bien quand les gens partage leur travail donc je fais de même
J'ai rajouté une minuscule documentation sur le github pour aider en plus.
Le plugin sera plus évolué dans un avenir proche, mais il est opérationnel en attendant.

Forum GLPI-Project

Announcement

#1 2013-04-02 16:56:53

Authentification SAML (ADFS etc...)

#2 2013-04-19 15:21:27

Re: Authentification SAML (ADFS etc...)

#3 2013-04-22 11:39:29

Re: Authentification SAML (ADFS etc...)

#4 2013-08-23 08:39:08

Re: Authentification SAML (ADFS etc...)

#5 2013-08-23 08:45:12

Re: Authentification SAML (ADFS etc...)

#6 2013-08-23 09:58:32

Re: Authentification SAML (ADFS etc...)

#7 2013-08-23 10:25:08

Re: Authentification SAML (ADFS etc...)

#8 2014-01-20 17:09:11

Re: Authentification SAML (ADFS etc...)

#9 2018-06-20 17:37:44

Re: Authentification SAML (ADFS etc...)

#10 2018-08-09 22:32:46

Re: Authentification SAML (ADFS etc...)

#11 2018-08-10 09:33:15

Re: Authentification SAML (ADFS etc...)

#12 2018-10-17 16:18:40

Re: Authentification SAML (ADFS etc...)

#13 2018-11-17 19:43:40

Re: Authentification SAML (ADFS etc...)

#14 2018-11-23 19:43:52

Re: Authentification SAML (ADFS etc...)

#15 2018-11-26 11:50:14

Re: Authentification SAML (ADFS etc...)

#16 2018-12-04 16:25:38

Re: Authentification SAML (ADFS etc...)

#17 2018-12-07 12:10:10

Re: Authentification SAML (ADFS etc...)

#18 2018-12-28 11:52:43

Re: Authentification SAML (ADFS etc...)

#19 2018-12-31 16:04:50

Re: Authentification SAML (ADFS etc...)

#20 2019-05-07 14:32:00

Re: Authentification SAML (ADFS etc...)

#21 2019-05-07 16:04:20

Re: Authentification SAML (ADFS etc...)

#22 2019-05-27 14:13:40

Re: Authentification SAML (ADFS etc...)

#23 2019-06-19 09:14:01

Re: Authentification SAML (ADFS etc...)

#24 2019-06-19 11:16:29

Re: Authentification SAML (ADFS etc...)

#25 2019-06-19 12:24:36

Re: Authentification SAML (ADFS etc...)

Board footer