====== SAML Single Sign-On avec Pandora FMS ======

{{indexmenu_n>12}}

**SAML** est une norme ouverte d'authentification et d'autorisation basée sur XML. **Pandora FMS** peut fonctionner comme un fournisseur de services avec votre fournisseur d'identité SAML interne.

<WRAP center round important 90%>

Les administrateurs s'authentifient toujours par rapport à la base de données locale.

</WRAP>

<wrap #ks1 />

===== Configurant Pandora FMS =====

Il faudra se rendre à <wrap :en>**Management → Setup → Setup → Authentication**</wrap> et sélectionner SAML sous <wrap :en>**Authentication method**</wrap>.

{{  :wiki:pfms-management-setup-setup-authentication.png  }}

<wrap #ks2 />

===== Configuration du fournisseur de services =====

Pour configurer le fournisseur de services, téléchargez les éléments suivants [[https://simplesamlphp.org/|SimpleSamlphp]] et installez-les dans ''/opt/simplesamlphp/''.

Un //endpoint// devra être configuré pour gérer les authentifications en ''/simplesaml '':
<code bash>
ln -s /opt/simplesamlphp/www /var/www/html/simplesaml


</code>

Vous devrez ajouter votre SP dans ''/opt/simplesamlphp/config/authsources.php '':
<file>

'test-sp' => [
       'saml:SP',
       'entityID' => 'http://app.example.com',
       'idp' => 'http://172.16.0.3:8080/simplesaml/saml2/idp/metadata.php',
   ],

</file>

Les métadonnées du ''idP '':
<file>
$metadata['http://172.16.0.3:8080/simplesaml/saml2/idp/metadata.php'] = array(
       'name' => array(
           'en' => 'Test IdP',
       ),
       'description' => 'Test IdP',
       'SingleSignOnService' => 'http://172.16.0.3:8080/simplesaml/saml2/idp/SSOService.php',
       'SingleLogoutService' => 'http://172.16.0.3:8080/simplesaml/saml2/idp/SingleLogoutService.php',
       'certFingerprint' => '119b9e027959cdb7c662cfd075d9e2ef384e445f',
   );

</file>

<WRAP center round tip 90%>

Il est recommandé d'utiliser la validation du certificat avec un certificat direct au lieu de ''certFingerprint''.

</WRAP>

Vous devrez vous assurer que le fichier ''/opt/simplesamlphp/lib/_autoload.php'' existe.

Une fois **simplesamlphp** installé, vérifiez si le //login// fonctionne directement dans **SAML**. Pour ce faire, accédez à l'adresse IP suivante et sélectionnez la source d'authentification.
<file>
http://<IP_ADDRESS>/simplesaml/module.php/core/authenticate.php

</file>

{{  :wiki:saml1.jpg  |saml1.jpg}}

Un écran //login// comme celui ci-dessous s'affiche, dans lequel vous devez saisir l'utilisateur **SAML** et le mot de passe que vous avez créé.

{{  :wiki:saml2.jpg  |saml2.jpg}}

Si le //login// est correct, un écran récapitulatif avec tous les attributs de l'utilisateur s'affiche.

Le guide est également disponible à l'adresse suivante [[https://simplesamlphp.org/docs/stable/simplesamlphp-sp|SimpleSAMLphp Service Provider QuickStart]].

<wrap #ks3 />

===== Configuration de votre fournisseur d'identité =====

Pour que les utilisateurs SAML soient générés correctement dans Pandora FMS, il est nécessaire de définir les attributs d'identification suivants qui apparaissent dans la configuration SAML pour chacun d'entre eux :

  * <wrap :en>**Failback to local authentication**</wrap> : Si cette option est désactivée, aucun utilisateur n'existant pas dans SAML (à l'exception des utilisateurs de type superadministrateur) ne sera autorisé à se connecter. Si l'authentification par SAML échoue et que cette option est désactivée, la base de données du serveur ne sera pas interrogée.
  * <wrap :en>**Automatically create remote users**</wrap> : Il créera automatiquement les utilisateurs lorsque vous vous connecterez pour la première fois à l'aide de SAML dans l'outil. S'il est désactivé, il doit être créé manuellement au préalable.
  * <wrap :en>**SimpleSAML path**</wrap> : Définir le chemin d'accès au dossier dans lequel se trouve le répertoire ''simplesamlphp''.
  * <wrap :en>**SAML Source**</wrap> : Nom de la source SAML à laquelle les demandes doivent être adressées. Le nom doit correspondre à la source sélectionnée dans :
<file>

http://<IP_ADDRESS>/simplesaml/module.php/core/authenticate.php

</file>

  * <wrap :en>**SAML user id attribute**</wrap> : Le champ récupéré de SAML à utiliser comme nom d'utilisateur (par ex. **uid**).
  * <wrap :en>**SAML mail attribute**</wrap> : Le champ récupéré de SAML à utiliser comme courriel de l'utilisateur (par ex. **email**).
  * <wrap :en>**SAML group name attribute**</wrap> : Le champ récupéré de SAML à utiliser comme groupe de l'utilisateur (par ex. **group1PersonAffiliation**).
  * <wrap :en>**Profile attribute**</wrap> : Le champ récupéré de SAML à utiliser comme profil de groupe de l'utilisateur (par ex. **urn:profile_example:Operator Read**).
  * <wrap :en>**Simple attribute / Multivalue attribute**</wrap> : Option permettant de choisir entre l'utilisation d'un attribut simple pour les champs Profil et Etiquette dans Pandora FMS ou d'un attribut multivaleur.

En cas de choix <wrap :en>**Simple attribute**</wrap> deux nouveaux champs apparaissent, intitulés <wrap :en>**Profile attribute**</wrap> et <wrap :en>**Tag attribute**</wrap> où seront sélectionnés les noms des attributs SAML qui coïncideront avec le nom du profil et de l'étiquette dans Pandora FMS lors de sa création.

Lorsque l'on sélectionne <wrap :en>**Multivalue attribute**</wrap> un attribut respectant ce format doit être utilisé :

<code>
<Attribute Name="MULTIVALUE_ATTRIBUTE">
<AttributeValue>PREFIX:role:rolename</AttributeValue>
<AttributeValue>PREFIX:tag:tagname</AttributeValue>
</Attribute>

</code>

Une fois l'attribut créé dans le SAML et sélectionné de cette manière avec la configuration dans Pandora FMS, les paramètres suivants seront indiqués :

  * <wrap :en>**SAML profiles and tag attribute**</wrap> : Nom de l'attribut multivaleur.
  * <wrap :en>**SAML profile and tags prefix**</wrap> : Préfixe précédant le code //role//  et //tag//  dans la valeur de l'attribut. Dans le cas où il est ''urn:pfms:role:< rolename >''  et ''urn:pfms:tag:''  le préfixe doit être configuré ''urn:pfms''.

<wrap #ks4 />

===== Connexion =====

Vous devez vous rendre dans la console de Pandora FMS et cliquer sur le bouton //Login//. Vous serez redirigé vers le fournisseur d'identité.

{{  :wiki:saml_idp.png  }}

Après une connexion réussie, vous serez redirigé vers la console Pandora FMS.

[[:fr:documentation:start|Retour à l'index de la documentation de Pandora FMS]]