Support pour authentification externe

[sirjeannot]

Bonjour,

est-il prévu de supporter de l'authentification sur le frontend via kerberos ou autres?

Merci

[gmolveau-anssi]

Bonjour,

L'authentification doit être gérée par le reverse-proxy qui transmettra ensuite à Eurydice le header requis.

Apache2 + Kerberos, ou bien Traefik + OIDC via Keycloak sont des options qui fonctionnent bien.

Il existe sinon le mode basic-auth mais qui est bien plus limité.

La documentation à ce sujet est en cours de réécriture.

Merci 😃

[GuillaumeFbr]

Bonjour,

Je me permets de relancer ce sujet car je ne parviens pas à utiliser l'authentification avec le header:

J'ai configuré un simple reverse proxy nginx qui ajoute le header "X-Remote-User":

server {
	listen 443 ssl;
	ssl_certificate_key /etc/nginx/ca.key;
	ssl_certificate /etc/nginx/ca.pem;
	server_name eurydice.local;
	location / {
		proxy_pass http://localhost:8888;
		proxy_set_header X-Real-IP $remote_addr;
		proxy_set_header X-Forwarded-Proto $scheme;
		proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
		proxy_set_header X-Forwarded-Host $host;
		proxy_set_header X-Remote-User "guillaume";
		proxy_set_header X-Remote-Role "guillaume";
	       proxy_set_header Host $host;
	}
	location /admin {
		proxy_pass http://localhost:8080;
	}
	location /static {
		proxy_pass http://localhost:8080;
	}
	location /api {
		proxy_pass http://localhost:8080;
	}
}

server {
	listen 443 ssl;
	server_name whoami.local;
	ssl_certificate_key /etc/nginx/ca.key;
	ssl_certificate /etc/nginx/ca.pem;
	location / {
		proxy_pass http://localhost:9999;
		proxy_set_header X-Real-IP $remote_addr;
		proxy_set_header X-Forwarded-Proto $scheme;
		proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
		proxy_set_header X-Forwarded-Host $host;
		proxy_set_header X-Remote-User "guillaume";
		proxy_set_header X-Remote-Role "guillaume";
	        proxy_set_header Host $host;
	}
}

un container traefik/whoami ajouté à la fin du compose.prod.yml et dans le même network me confirme les infos suivantes:

X-Forwarded-For: 192.168.1.145
X-Forwarded-Host: whoami.local
X-Forwarded-Proto: https
X-Real-Ip: 192.168.1.145
X-Remote-Role: guillaume
X-Remote-User: guillaume

Dans mon .env, la variable REMOTE_USER_HEADER=X-Remote-User.
Malgré toutes mes tentatives, impossible de m'authentifier:
Le container backend-origin me remonte toujours WARNING Forbidden: /api/v1/user/login/
J'ai tenté de varier le nom du header + Down -v et re-up la stack mais sans succès... Pour le reste ça marche nickel!!

Merci par avance,

Guillaume