{"id":20105,"date":"2022-05-03T12:53:41","date_gmt":"2022-05-03T12:53:41","guid":{"rendered":"https:\/\/www-ppd.apps.centreon.com\/authentification-des-utilisateurs-et-solution-de-supervision-informatique-et-si-on-faisait-simple-et-securise\/"},"modified":"2022-05-03T12:50:36","modified_gmt":"2022-05-03T12:50:36","slug":"authentification-des-utilisateurs-et-solution-de-supervision-informatique-et-si-on-faisait-simple-et-securise","status":"publish","type":"post","link":"https:\/\/www-ppd.apps.centreon.com\/fr\/authentification-des-utilisateurs-et-solution-de-supervision-informatique-et-si-on-faisait-simple-et-securise\/","title":{"rendered":"Authentification des utilisateurs et solution de supervision informatique : et si on faisait simple et s\u00e9curis\u00e9 ?"},"content":{"rendered":"

La solution Centreon ne fait pas exception en mati\u00e8re d\u2019authentification, pour acc\u00e9der \u00e0 son environnement, les utilisateurs doivent fournir des identifiants. C\u2019est ce qui va vous permettre d\u2019assurer la s\u00e9curit\u00e9 et l’int\u00e9grit\u00e9 de votre syst\u00e8me.\u00a0<\/span><\/p>\n

Mais l’authentification peut aussi rapidement devenir un processus fastidieux. Il faut r\u00e9ussir \u00e0 trouver le bon \u00e9quilibre entre s\u00e9curit\u00e9 et simplicit\u00e9. Dans le cas d\u2019une solution de supervision informatique, il y a quelques \u00e9l\u00e9ments \u00e0 prendre en compte, allant du choix des \u00e9l\u00e9ments requis de la part des utilisateurs pour y acc\u00e9der, \u00e0 la gestion des comptes d’utilisateurs, localement ou centralement, en passant par la gestion de ce que chaque utilisateur peut faire et voir exactement dans la plateforme. Cet article de blog passe en revue les principes de base de l’authentification et pr\u00e9sente diff\u00e9rentes options pour simplifier les acc\u00e8s tout en garantissant une connexion s\u00e9curis\u00e9e. Vous y trouverez \u00e9galement des indications sur la meilleure fa\u00e7on d’int\u00e9grer votre solution de supervision informatique \u00e0 une solution de fournisseur d’identit\u00e9 pour activer l’authentification unique (SSO).<\/span><\/p>\n

L’authentification utilisateur : les bases<\/span><\/h2>\n

Vous g\u00e9rez probablement d\u00e9j\u00e0 l’acc\u00e8s des utilisateurs \u00e0 votre solution de supervision informatique. Comme pour tout autre logiciel, cela implique que les utilisateurs saisissent un nom d’utilisateur et un mot de passe valides. Mais les nouvelles exigences en mati\u00e8re de s\u00e9curit\u00e9 (et de simplicit\u00e9 !) impliquent que l’authentification des utilisateurs int\u00e8gre d\u00e9sormais d’autres fonctionnalit\u00e9s, telles que la gestion des empreintes digitales ou tout autre type de reconnaissance biom\u00e9trique. Ainsi, souvent, l’authentification n\u00e9cessitera de coupler plusieurs informations d’identification. On parle alors d\u2019authentification multifacteur ou MFA.<\/span><\/p>\n

Ensuite, les droits d’acc\u00e8s correspondants doivent \u00eatre appliqu\u00e9s pour l’utilisateur qui vient de s’authentifier. Cela n\u00e9cessite que l’application associe la personne en question \u00e0 un profil d’utilisateur. Cette partie du processus appel\u00e9e autorisation permet d\u2019appliquer les droits d’acc\u00e8s appropri\u00e9s ou ACL (Access Control List) \u00e0 un utilisateur donn\u00e9. L’ACL d\u00e9finit les actions autoris\u00e9es pour chaque utilisateur, les menus disponibles dans l’application, etc.<\/span>\u00a0<\/span><\/p>\n

Passons \u00e0 l\u2019\u00e9tape suivante : comment appliquer cela \u00e0 votre solution de supervision informatique et \u00e0 ses divers sc\u00e9narios d’utilisation ?<\/span><\/p>\n

Choisir entre gestion locale ou centralis\u00e9e des utilisateurs\u00a0<\/span><\/h2>\n

Dans un environnement de test, la d\u00e9finition locale de comptes d’utilisateurs a du sens, car il est plus facile de cr\u00e9er et de g\u00e9rer des profils d’utilisateurs. Mais quand votre solution est en production, la pratique \u00e0 privil\u00e9gier est de centraliser ces profils dans un annuaire. Cela facilite grandement les modifications telles que l’ajout et la suppression d’utilisateurs au rythme des arriv\u00e9es et des d\u00e9parts et la modification des droits des utilisateurs en fonction de l\u2019\u00e9volution des besoins.<\/span><\/p>\n

Centraliser des autorisations d’acc\u00e8s et utiliser la d\u00e9l\u00e9gation d\u2019identification\u00a0<\/span><\/h2>\n

A pr\u00e9sent les environnements de travail sont riches en applications. Aussi, il est tout \u00e0 fait logique de centraliser les autorisations d’acc\u00e8s aux applications, afin de simplifier le processus pour l’administrateur. Pour cela, on met en place un fournisseur d’identit\u00e9 (IdP). C\u2019est une solution qui stocke les profils des utilisateurs et les diff\u00e9rentes applications auxquelles ils peuvent avoir acc\u00e8s et\u00a0 qui va agir\u00a0 un peu comme un agent de s\u00e9curit\u00e9 dans un hall d’immeuble. Sauf qu\u2019au lieu de laisser les utilisateurs acc\u00e9der \u00e0 des \u00e9tages, il les laisse acc\u00e9der aux applications en fonction de leurs autorisations d\u2019acc\u00e8s. C\u2019est ce que l\u2019on appelle la d\u00e9l\u00e9gation d’authentification.\u00a0<\/span><\/p>\n

Parmi des exemples connus de IdP, citons les annuaires LDAP, tels que Microsoft Active Directory ou leurs homologues open source avec OpenLDAP ou LemonLDAP, etc. L\u2019IdP se combine souvent avec l’authentification unique (SSO), que de nombreuses organisations ont \u00e9galement mis en place pour simplifier la vie des utilisateurs. Microsoft Azure AD ou Okta fournissent, entre autres, ce type d’authentification.<\/span><\/p>\n

G\u00e9rer l\u2019authentification unique (SSO) et son interaction avec les IdP<\/span><\/h2>\n

Le SSO permet aux utilisateurs de s’authentifier une seule fois et de naviguer d’une application \u00e0 l’autre sans avoir \u00e0 se r\u00e9-authentifier. Lorsqu’un utilisateur veut acc\u00e9der \u00e0 une nouvelle application, l’application contacte le fournisseur d’identit\u00e9 pour r\u00e9cup\u00e9rer les param\u00e8tres de l’utilisateur (nom, pr\u00e9nom, adresse e-mail, etc.). L\u2019utilisateur \u00e9tant d\u00e9j\u00e0 authentifi\u00e9, le fournisseur d’identit\u00e9 transmet l’identifiant \u00e0 la prochaine application. Tout est transparent pour l’utilisateur qui n’a pas \u00e0 saisir d’informations suppl\u00e9mentaires.<\/span><\/p>\n

Aujourd’hui, deux protocoles majeurs sont utilis\u00e9s pour r\u00e9aliser la d\u00e9l\u00e9gation d’identit\u00e9 et le SSO : SAMLv2 et OpenID Connect (OIDC). A partir de ces deux protocoles, des variantes ont \u00e9t\u00e9 d\u00e9velopp\u00e9es pour r\u00e9pondre \u00e0 des besoins sp\u00e9cifiques. Un exemple bien connu de tous est le bouton \u00ab\u00a0Se connecter avec Apple\u00a0\u00bb ou \u00ab\u00a0Se connecter avec Google\u00a0\u00bb que vous voyez souvent lorsque vous souhaitez vous connecter \u00e0 une application.<\/span><\/p>\n

Int\u00e9grer votre plate-forme de supervision informatique Centreon aux fournisseurs IdP et SSO<\/span><\/h2>\n

Centreon supporte le protocole LDAP pour l’authentification et l’autorisation des utilisateurs. Centreon prend \u00e9galement en charge le SSO soit via le SSO bas\u00e9 sur le Web, soit via une int\u00e9gration directe avec OIDC.\u00a0<\/span><\/p>\n

Pour l’authentification unique bas\u00e9e sur le Web, l’authentification se fait entre le serveur Web (Apache) et le fournisseur d’identit\u00e9. Dans ce cas, vous pouvez utiliser SAMLv2 ou OIDC avec les modules compl\u00e9mentaires Apache. Dans une configuration d’int\u00e9gration directe dans Centreon, le protocole OIDC est utilis\u00e9 pour les utilisateurs d\u00e9j\u00e0 enregistr\u00e9s. Nous avons valid\u00e9 l’authentification avec Okta, Microsoft Azure ou encore Keycloak. Pour notre prochaine version, nous travaillons \u00e0 l’int\u00e9gration des autorisations via le protocole OIDC au sein de Centreon afin de simplifier encore la gestion des acc\u00e8s utilisateurs pour les administrateurs. Cela permettra d’importer automatiquement de nouveaux utilisateurs et d’appliquer des profils Centreon (ACL).<\/span><\/p>\n

Octroyer des droits d’acc\u00e8s sp\u00e9cifiques \u00e0 Centreon via IdP et SSO<\/span><\/h2>\n

En conclusion, il est important de rappeler que les IdP permettent d’ajouter des informations au profil de l’utilisateur avec l’application qui en fait la demande. Par exemple, vous pouvez cr\u00e9er des groupes auxquels vous pouvez abonner des utilisateurs. C’est gr\u00e2ce \u00e0 de tels outils que l’application peut associer un profil d’utilisateur donn\u00e9 \u00e0 ses droits d’acc\u00e8s, ce qui vous permet de modifier facilement les acc\u00e8s de chacun aux applications.<\/span><\/p>\n

Des questions sur ce sujet ? Suivez-nous sur <\/span>The Watch<\/span><\/a> pour plus de discussions comme celle-ci ou contactez-nous avec votre question.<\/span><\/p>\n

Pour en savoir plus, regardez cette courte vid\u00e9o avec Laurent Pinsivy, Product Manager.<\/span><\/p>\n