CAS <= 6.1 : mélange de session
Cf "Danger du cache attribute-repository" sur la page Paramétres importants de la configuration CAS.
CAS 6.4.[0-4] : délégation OpenID Connect
NB : le fix a été accepté et devrait être inclus en 6.4.5
CAS 6.4 intègre pac4j >= 5.1.4, or pac4j oidc ne fonctionne pas avec nimbus oidc < 9.14 :
java.lang.IllegalAccessError: class org.pac4j.oidc.profile.creator.OidcProfileCreator tried to access protected method com.nimbusds.oauth2.sdk.ProtectedResourceRequest.<init>(Ljava/net/URI;Lcom/nimbusds/oauth2/sdk/token/AccessToken;)V (org.pac4j.oidc.profile.creator.OidcProfileCreator and com.nimbusds.oauth2.sdk.ProtectedResourceRequest are in unnamed module of loader 'app')
Solution : modifiez build.gradle :
+ // pour délégation : + // ( https://github.com/apereo/cas/pull/5334 ) + implementation "com.nimbusds:oauth2-oidc-sdk:9.14" + implementation "org.apereo.cas:cas-server-support-pac4j-webflow" @@ -562,17 +559,17 @@ bootWar { cas { from "org.apereo.cas:cas-server-webapp${project.appServer}:${project.'cas.version'}@war" provided = false - excludes = ["WEB-INF/lib/servlet-api-2*.jar"] + excludes = ["WEB-INF/lib/servlet-api-2*.jar", "WEB-INF/lib/oauth2-oidc-sdk-9.13.jar"]
Détails : https://github.com/apereo/cas/pull/5334
CAS 6.4 : cas-server-support-trusted-mfa-redis bug
cas-server-support-trusted-mfa-redis seems to trigger spring-boot RedisRepositoriesAutoConfiguration, which fails to start with a "redisTemplate" error.
Solution : ajouter ceci dans cas.properties :
spring.data.redis.repositories.enabled: false
RememberMe et ticket registry
tl;dr : ne pas utiliser Memcache pour le ticket registry si RememberMe
RememberMeDelegatingExpirationPolicy peut choisir des ExpirationPolicy en fonction du
TicketState
. C'est notamment utilisé par la méthodeisExpired
.quand le ticket registry cleaner est actif, il utilise
isExpired
mais pas de "ticket registry cleaner" avec memcache (contrairement à redis) (ref : MemcachedTicketRegistryConfiguration)
à l'ajout du ticket dans memcache (pareil pour redis), c'est le default policy qui est utilisé (cf MemcachedTicketRegistry et BaseDelegatingExpirationPolicy ). La durée de mise en memcache est indépendante de la case rememberMe...
Donc avec redis,
- mettre un très haut
cas.ticket.tgt.primary.max-time-to-live-in-seconds
(appelécas.ticket.tgt.hardTimeout.timeToKillInSeconds
en CAS 5.3) qui sera utilisé dans redis - et CAS fera des passes (bien moches) pour appliquer les règles plus précises (cf
cas.ticket.registry.cleaner.schedule.repeatInterval
qui est toutes les 2 min par défaut)