Projet esup-ecm

Recherche

Sommaire

Pages enfant
  • Recette de la version Shibboleth de nuxeo

Vous regardez une version antérieure (v. /wiki/spaces/PROJESUPECM/pages/95846405/Recette+de+la+version+Shibboleth+de+nuxeo) de cette page.

afficher les différences afficher l'historique de la page

« Afficher la version précédente Vous regardez la version actuelle de cette page. (v. 4) afficher la version suivante »

Tests UNR RUNN - [Vincent bonamy]

Authentification

Configurations utilisées :

  • Apache
    RequestHeader set nuxeo-virtual-host "https://dsi-2.univ-rouen.fr/"
    ProxyPass /nuxeo ajp://localhost:8009/nuxeo

    <Location "/nuxeo">
        AuthType shibboleth
    ShibRequireSession Off
        ShibUseHeaders On
        Require shibboleth
    </Location>

    <Location "/nuxeo/shibLogin">
    ShibRequireSession On
    Redirect /nuxeo/shibLogin https://dsi-2.univ-rouen.fr/nuxeo
    </Location>
  • nxserver/config/shibboleth-config.xml
 <extension
    target="org.nuxeo.ecm.platform.shibboleth.service.ShibbolethAuthenticationService"
    point="config">
    <config>
      <uidHeaders>
        <!--uidHeader idpUrl="url1">uid1</uidHeader>
        <uidHeader idpUrl="url2">uid2</uidHeader-->
        <default>uid</default>
      </uidHeaders>

      <loginURL>https://dsi-2.univ-rouen.fr/nuxeo/shibLogin</loginURL>
      <logoutURL>https://dsi-2.univ-rouen.fr/nuxeo/logout</logoutURL>

      <fieldMapping header="uid">eppn</fieldMapping>
      <fieldMapping header="mail">mail</fieldMapping>
    </config>
  </extension>

-> l'authentification fonctionne comme cela.

le loginURL n'est pas mis à l'url du WAYF car :

  1. cela ne fonctionnait pas avec notre WAYF : cela me parait très dépendant de l'implémentation du WAYF (construction de l'URL différente d'un produit à un autre et d'une version à une autre)
  2. d'un point de vue d'architecture / exploitation, c'est au mod shib de faire la redirection sur un WAYF (ou directement sur un IDP d'ailleurs) à mon sens

-> Cependant problème : en mettant le uidHeaders > default à eppn, cela ne fonctionne pas.

En effet l'uid est ici bonamvin pour nous, mais dans un contexte de fédération d'identités nous voulons ici non pas à local uid mais un vrai uid : ie l'eppn pour nous qui est de la forme bonamvin@univ-rouen.fr (très certainement le @ doit poser pb dans l'insertion sql)

  • Aucune étiquette