389 Directory Server 1.3.1.10

389Directoryserver

 

Le projet Fedora vient de mettre en ligne la version 1.3.1.10 de 389 Directory Server. Cette nouvelle version est téléchargeable [ ici ] – vous y trouverez aussi les notes d’information sur les nouveautés.

Pour moi, le plus “gros bug” corrigé est celui-ci: ” Ticket #47492 – PassSync removes User must change password flag on the Windows side  “

En effet, lors de la synchronisation vers Active Directory (module encore largement perfectible !) , un bug éliminait le besoin pour un utilisateur de changer son mot de passe au niveau d’Active Directory, plutôt ennuyeux…

Globalement, je suis assez déçu par ce produit, plein de promesses au départ, les trop nombreux bugs au niveau des modules de synchronisation ont eut raison de ma patience… FIM est peut être payant, mais cela fonctionne et il y a du support…

 

Post = le message d’un inconnu

Il y a qq jours, j’ai eu un message via le formulaire de contact du blog, message intéressant, incongru, piquant, mais sans signature électronique, je ne peux donc pas répondre !

Que l’individu se reconnaisse et laisse un message sur ce post – nous pourrons alors débattre !

” Bonjour, un point qui me turlupine depuis quelques années (si, si) et pour lequel je ne vois aucun développement concret aboutir. Il y a bien Shibboleth mais seules des centres de recherche sont impliqués et non le vulgum pecum. Or, je considère cela comme fondamental dans le monde électronique actuel et nous pourrons en discuter ensuite : la réappropriation par l’usager de son identité (et de ses authentifiants). Depuis quelques années on assiste à une centralisation forcée des identités et c’est volontairement que les multinationales avancent masquées sur le  sujet : l’identité individuelle recèle un gisement important de monétisation. Ben tiens. Qui plus est, avec les attaques que subissent régulièrement les offreurs de service hébergeant des bases d’identité on sera bientôt obligé de changer son mot de passe (80% des gens utilise le même mot de passe pour tous leurs services) toutes les heures. Il y a bien OpenId ou équivalent mais nous sommes toujours dans une optique de centralisation de l’identité. Et ça ce n’est pas tolérable. L’identité  ne DOIT PAS être délégable mais offrir malgré tout de la résilience. En fait, l’identité DOIT être un service  comme le DNS : distribué, individualisable (j’ai mon propre serveur DNS pour les domaines que je possède) et résistant (j’ai un secondaire qui n’est pas sur le même réseau). Les esprits chagrins objecteront que la sécurité est un sujet trop sérieux pour être laissé au particulier. Je leur répondrai que sans DNS l’Internet n’existerait pas et pourtant celui-ci est dans mon placard chez moi. Mais bon, il est vrai que je ne demande pas à Mme Michu d’héberger michu.com chez elle. Il existe des produits que l’on nomme HSM qui peuvent se matérialiser sous la forme d’une simple carte à puce connectée à un lecteur USB. La carte bancaire, ça, tout le monde connaît non ? On peut donc imaginer un boîtier homologué et certifié (EAL4+) qui assurerait la gestion de ou des identités des personnes qui souhaitent assurer cette gestion en propre. Pour les autres, comme il y a les serveurs DNS des hébergeurs, des registres ou des FAI et bien, il y aurait les fédérateurs d’identité commerciaux (sorte de FAI dédiés à l’identité). D’où la question : pourquoi ne pas commencer à développer une telle solution (coût de l’ordre de la centaine d’euros pour un équipement et donc 200 euros pour le système redondant) ? Votre question : pourquoi votre blog pour cette question ? Le hasard 🙂 db  “

31 mai 2011: OpenSSO Community Day à San Francisco

Oracle organise le 31 mai prochain à San Francisco les rencontres “OpenSSO Community Day” permettant de fédérer les acteurs communautaire autour des technologies:

Pour être honnête, la communauté Open Source dans le monde de l’IAM a été quelque peu orpheline après le rachat de SUN par Oracle, et je ne suis pas sur que cette journée dédiée à OpenSSO représente la résurrection massive des projets Open Source chez Oracle.

Dans l’intervalle, et si vous n’avez pas la possibilité de vous rendre à SF pour cet évènement, je vous conseille de surveiller les posts sur le “OpenSSO Ressource Center“. L’activité n’est pas très soutenue, mais bon, nous pouvons rêver à un redémarrage du projet.

Au niveau des projets dits “open” chez SUN, je regrette tout particulièrement le projet OpenDS, qui est en perte de vitesse (à l’arrêt ?) depuis le rachat de SUN par ORACLE, et cela est bien dommage… techniquement innovant, animé par une équipe SUN motivée, ce projet aurait pu devenir une référence, même dans le monde des entreprises… espérons que le projet puisse continuer, sous une forme ou sous une autre…

SSO pour les applications hébergées

oneloginJe suis tombé par hasard sur le site de OneLogin [ www.onelogin.com ] qui propose une offre qui me semble intéressante pour les utilisateurs d’applications hébergées nécessitant une authentification web. Le principe est relativement simple, l’utilisateur se connecte une fois sur la page de OneLogin, et il peut ensuite accéder à toutes les autres applications hébergées. Oui, je sais, ca existe déjà, mais il me semble que le nombre d’applications gérées nativement ( 1200+ ) et l’intégration possible avec un annuaire d’entreprise ( LDAP ou Active Directory ) me semble faire sortir cette offre du lot… A tester. Je suis intéressé par vos tests, retours et commentaires sur le sujet !

Microsoft permettra le SSO sur son offre cloud “Azure”

windows_azure_logo Microsoft implémente le support des identités tierces telles que Google, Facebook, LiveID et OpenID à sa plateforme cloud Azure via une mise à jour du composant Windows Azure AppFabric.

Windows Azure AppFabric est le nom d’un service .NET qui ne permet pour l’instant qu’un service de control d’accès simple. La mise à jour du mois d’Aout va grandement améliorer les processus et les fonctionnalités autour de l’authentification et du control d’accès :

  • Intégration avec Windows Identity Foundation (WIF) et les outils connexes à WIF
  • Support des fournisseurs d’indentité suivants : Windows Live ID, OpenID, Google, Yahoo et FaceBook
  • Support d’ADFS 2.0
  • Support des protocoles OAuth WRAP, WS-Trust et WS-Federation
  • Support des formats SAML 1.1, SAML 2.0 et Simple Web Token (SWT)
  • Fonction « Home Realm Discovery » permettant à l’utilisateur final de choisir son fournisseur d’identité
  • Un service « OData-based Management » permettant un accès via du code à la configuration ACS
  • Un portail web permettant la configuration en ligne d’ACS

Plus d’information (en anglais) sur cette mise à jour [ ici ]

Single Sign-Off: mais c’est quoi ce truc ?

assistance En travaillant sur les spécifications OpenID pour un client, je suis tombé “par hasard” sur le concept de Single Sign-Off [ http://iiw.idcommons.net/OpenID_Session_Management_Best_Practices ] – En gros l’idée est de permettre à un utilisateur de se déconnecter de façon centralisée de l’ensemble des applications en cours d’utilisation. Attention, cela n’est pas l’inverse du Single Sign-On… En effet, le Single Sign-On ne “lance” pas une connexion vers toutes les applications paramétrées, mais cela permet de présenter une processus d’authentification centralisée pour les applications reliées au Single Sign-On – Le processus d’authentification ne se réalisant que lorsque l’utilisateur va commencer à utiliser l’application. Mais alors, a quoi sert le Single Sign-Off ? Quel est l’objectif business ? A priori, les motivations sont d’ordre règlementaire, il semblerait par exemple que certaines interprétations du décret de confidentialité puissent mentionner ce type de besoin fonctionnel. La littérature semble très peu “verbose” sur le sujet… Avez vous des informations sur le sujet ? si oui, n’hésitez pas à poster vos commentaires avec des informations sur le sujet 😉

Vos comptes Google Apps compatibles OpenID

openid-logoGoogle a annoncé que les utilisateurs des solutions Google Apps pourront s’authentifier sur des applications externes utilisant l’implémentation Google’s OpenID Federated Login API avec leur compte Google Apps.

Google devient ainsi fournisseur de “compte utilisateur” au format OpenID. Pour rappel, OpenID est une technologie SSO sécurisée qui est progressivement adoptée par de nombreux fournisseurs d’application ou de contenu sur Internet ou sur des applications d’entreprise.

Plus d’information sur OpenID [ ICI ]