Identity Cosmos » interopérabilité

Un blog en Français sur l’interopérabilité: http://interoperability-blog.com/

Sylvain — Fri, 16 Sep 2011 07:15:54 +0000

Un nouveau blog en français qui vient de démarrer sur le thème au combien important de l’interopérabilité. Sylvain Girod qui est l’auteur de ce blog est un consultant spécialiste de cette thématique et qui conduit de nombreux projets de kerberisation, d’intégration LDAP ou SAMBA et surtout de Fédération d’Identité.

Les premiers articles du blog abordent les thématiques autour des nouvelles fonctions de SAMBA et du support des distributions Linux sur Hyper-V.

Longue vie à ce nouveau blog !

Vous trouverez le blog [ ici ]

Lion & Active Directory: Trucs et astuces

Sylvain — Wed, 10 Aug 2011 09:57:58 +0000

MacWindows.com est un des sites de référence en terme de gestion de l’interopérabilité entre le monde Apple et Microsoft. L’arrivée de Lion apporte un nombre de bugs et de facteurs d’instabilité très important en ce qui concerne la connexion à des serveurs NAS ou la connexion à Active Directory. C’est pourquoi le blog MacWindows consacre une part très importante des derniers posts sur les différents trucs et astuces pour corriger ou contourner ces problèmes de connexion survenus depuis la sortie du dernier OS d’Apple. En effet, de nombreuses organisations utilisant le plug-in d’authentification à Active Directory découvrent des problèmes récurrents alors inconnus avec les versions précédentes. Les causes réelles de ces dysfonctionnements ne sont pas clairement expliquées par Apple, qui préfère annoncer pour l’instant des patchs pour les semaines à venir, sans garantir le support du fonctionnement tel que connu avant Lion. Si vous administrez du Lion sur votre réseau, je vous invite donc à regarder sur MacWindows.com si il n’y a pas quelques réponses à vos questions existentielles.

Etude comparative des solutions d’intégration gratuites à Active Directory pour les systèmes Unix et Linux

Sylvain — Sat, 16 Jul 2011 15:30:25 +0000

Une étude extrêmement intéressante a été réalisée par Rodney Ruddock, consultant au sein de la société Interop Systems, qui est un cabinet d’expertise Américain spécialisé dans les études de marché techniques en ce concerne les problématiques d’interopérabilité.

Cette excellente étude compare les différentes solutions logicielles gratuites permettant d’intégrer les systèmes Unix, Linux et Mac dans Active Directory, et qui permettent aux organisations d’utiliser Active Directory comme annuaire centralisant pour les authentifications des utilisateurs quel que soit le système utilisé. cette approche apportant de nombreux avantages tels que: unicité du nom utilisateur et du mot passe utilisateur sur l’ensemble des systèmes, centralisation des logs d’authentification sur les contrôleurs de domaine AD, stratégie de politique et de complexité de mot de passe unifiée sur l’ensemble des systèmes, etc.

En substance, voila les conclusions de Rodney Ruddock dans le tableau suivant, les cases en jaune indiquant les éléments significatifs et importants selon Rodney Ruddock:

Rodney Ruddock préconisant donc Centrify Express comme la solution idéale pour l’intégration gratuite des environnements hétérogènes dans Active Directory.

L’étude complète est accessible [ ICI ]

Centrify DirectExpress: Intégrer gratuitement les machines Mac, Linux et Unix dans Active Directory !!!

Sylvain — Tue, 31 May 2011 10:49:59 +0000

Centrify propose maintenant une version gratuite permettant de déployer et gérer l’intégration des environnement Mac, Linux et Unix dans Active Directory.

Bien sur, certaines fonctions ne sont pas présentes, donc pas de possibilité ici de gérer plusieurs UIDs/GIDs, de supporter les SmartCard ou de faire des GPOs sur les systèmes (fonctions intégrées dans la version payante) – néanmoins, il est possible ici de gratuitement intégrer les systèmes hétérogènes dans Active Directory.

Il donc possible de réaliser une intégration transparente dans l’annuaire Microsoft et donc de permettre aux utilisateur d’utiliser le même mot de passe sur tous les systèmes et de profiter d’un SSO utilisateur basé sur kerberos. Cela est déjà génial !

Centrify DirectExpress est téléchargeable [ ICI ]

Si vous voulez en savoir plus sur Centrify DirectExpress avant le déploiement, vous pouvez regarder la vidéo suivante:

Sortie de Shibboleth en version 2.3.0

Sylvain — Mon, 30 May 2011 20:37:19 +0000

Afin de palier à quelques problèmes fonctionnels ou failles de sécurité, notamment une faille spécifique à « XSS injection« .

La version 2.3.0 est téléchargeable [ici]

Rappelons que parallèlement aux nouvelles versions, la compatibilité du système de fédération Shibboleth s’étend progressivement avec les applications du marché et Open Source.

Microsoft annonce le support de SAML 2.0 dans Windows Identity Foundation (WIF)

Sylvain — Mon, 30 May 2011 19:17:16 +0000

Microsoft a annoncé la mise à disposition en CTP de l’extension WIF pour le protocole SAML 2.0. Cette extension WIF permet aux développeurs .NET pour créer des applications capables de consommer des « Claims » SP-Lite construits sur SAML 2.0.

La CTP est accessible sur Connect.

Si l’on essaie de lire entre les lignes, il y a fort à parier que cette annonce prépare le support pour d’autres technologies que la technologie WS-Fed pour les application Microsoft, et bien sur pour Azure. Nous pouvons même imaginer que cela puisse être vrai pour les applications en ligne dans le Cloud Microsoft (Office 365 for ever). Cela pourrait signifier qu’il serait possible à terme de réaliser du SSO vers Office 365 via des technologies de fédération différentes de ADFS 2.0 (tant que la technologie utilisée est capable de faire de la fédération en mode Web et en mode client lourd, ce qui n’est pas le cas de Shibboleth mais qui est le cas d’ADFS).

Bref, ça bouge chez Microsoft en ce qui concerne la Fédération, et cela est très bon signe pour l’interopérabilité.

Microsoft Interoperability Strategy Group

Sylvain — Wed, 18 May 2011 09:58:38 +0000

Depuis plusieurs années Microsoft travaille très activement dans le domaine de l’interopérabilité, tant sur la partie standard de document, sur les domaines des plateformes de développement (PHP) ou même sur la partie système (kerberos, LDAP, etc…). Si vous êtes sensible à ces éléments, il est à noter un site Microsoft extrêmement intéressant www.interoperabilitybridges.com qui traite de cette thématique.

Ce site web est dédié au travail collaboratif lié à l’interopérabilité entre les technologies Microsoft et les technologies non-Microsoft. Ce site est est géré par le groupe « Interoperability Strategy Group » de Microsoft. Le blog de l’équipe étant lui accessible à cette adresse: http://blogs.msdn.com/b/interoperability/

De plus, je vous invite fortement à suivre le porteur du message interopérabilité Microsoft en France http://twitter.com/#!/Alfonso_Castro pour vous informer au quotidien sur ces notions stratégiques et techniques.

31 mai 2011: OpenSSO Community Day à San Francisco

Sylvain — Tue, 17 May 2011 09:49:17 +0000

Oracle organise le 31 mai prochain à San Francisco les rencontres « OpenSSO Community Day » permettant de fédérer les acteurs communautaire autour des technologies:

Pour être honnête, la communauté Open Source dans le monde de l’IAM a été quelque peu orpheline après le rachat de SUN par Oracle, et je ne suis pas sur que cette journée dédiée à OpenSSO représente la résurrection massive des projets Open Source chez Oracle.

Dans l’intervalle, et si vous n’avez pas la possibilité de vous rendre à SF pour cet évènement, je vous conseille de surveiller les posts sur le « OpenSSO Ressource Center« . L’activité n’est pas très soutenue, mais bon, nous pouvons rêver à un redémarrage du projet.

Au niveau des projets dits « open » chez SUN, je regrette tout particulièrement le projet OpenDS, qui est en perte de vitesse (à l’arrêt ?) depuis le rachat de SUN par ORACLE, et cela est bien dommage… techniquement innovant, animé par une équipe SUN motivée, ce projet aurait pu devenir une référence, même dans le monde des entreprises… espérons que le projet puisse continuer, sous une forme ou sous une autre…

Est ce que freeIPA est l’Active Directory de RedHat ?

Sylvain — Thu, 17 Feb 2011 23:00:40 +0000

Apparu il y a quelques mois en version 1.0, la suite freeIPA est passée totalement inaperçue dans le monde de la gestion des identités et des accès. Et pourtant, la version 2.0 (pour l’instant en beta) propose une liste de fonctions qui rappelle fortement ce que propose Microsoft au travers d’Active Directory:

Service LDAP (anciennement Fedora Directory Server)
Service MIT Kerberos
Service NTP
Service DNS
Service d’autorité de certification
Interface d’administration en mode web ou en ligne de commandes
Gestion des comptes utilisateurs et des groupes

Avouez que la ressemblance est troublante…

J’ai pour habitude de dire qu’Active Directory, c’est trois éléments: [1] Un service LDAP [2] Un service Kerberos [3] Un ensemble d’autres choses… Le tout proposé avec des outils d’administration et de gestion intégrés.

freeIPA 2.0 proposera en Mars 2011 des outils de synchronisation avec Active Directory, à voir la comparaison avec un méta-annuaire.

Mais, le véritable chalenge sera comme souvent l’intégration des clients… Active Directory possède pour l’instant la plus grande couverture fonctionnelle de clients qui puisse exister: Windows, Mac, Unix, Linux, tout est possible ! Il sera donc très important de tester l’intégration des clients lors du test éventuel de freeIPA en version 2.0.

Sortie de la version 2.1 pendant l’été 2011.

SSO pour les applications hébergées

Sylvain — Thu, 27 Jan 2011 21:42:37 +0000

Je suis tombé par hasard sur le site de OneLogin [ www.onelogin.com ] qui propose une offre qui me semble intéressante pour les utilisateurs d’applications hébergées nécessitant une authentification web. Le principe est relativement simple, l’utilisateur se connecte une fois sur la page de OneLogin, et il peut ensuite accéder à toutes les autres applications hébergées. Oui, je sais, ca existe déjà, mais il me semble que le nombre d’applications gérées nativement ( 1200+ ) et l’intégration possible avec un annuaire d’entreprise ( LDAP ou Active Directory ) me semble faire sortir cette offre du lot… A tester. Je suis intéressé par vos tests, retours et commentaires sur le sujet !