Mettre en place un système SSO

Version imprimable

23/04/2012, 23h11
rolandl

Mettre en place un système SSO

Bonsoir à tous !

Dans le cadre d'un projet, je dois mettre en place un système SSO sur une application web développée en J2EE. Le système doit récupérer les identifiants de la session Windows dans l'active directory afin de connecter automatiquement l'utilisateur à l'application web.

Je suis actuellement en pleine phase de documentation et je commence à avoir une idée de comment faire. Pouvez-vous me dire si je m'y prends correctement (outils, raisonnement, etc...).

Si j'ai bien compris, il faut que j'utilise l'outil qui s'appelle JNDIRealm. Ainsi, en configurant correctement les fichiers web.xml de mon application et context.xml de mon server tomcat, je dois pouvoir automatiquement savoir si l'utilisateur est accepté ou pas.

D'après la documentation officielle, la techno JNDIRealm me permet d'identifier directement mon utilisateur ou de récupérer les identifiants afin de les comparer avec ceux de ma base de données ? Est-ce que le deuxième scénario est vraiment réalisable ou est-ce qu'il pose des problèmes de sécurité ?

Merci d'avance pour vos éclairages et votre aide !

EDIT : Plus j'en lis sur le sujet et plus je me perds. J'ai vu qu'il existe des solutions autres que JNDIRealm comme par exemple JOSSO ou JAAS. Quelles sont les différences entre ces outils ? Permettent-ils tous la même chose ? Matchent-ils tous avec Active directory ?

Merci d'avance pour votre aide !
24/04/2012, 11h14
faty_br

Je travaille aussi sur les solutions SSO.
JOSSO c'est un Framework SSO.
JAAS c'est Java Authentication and Authorization Service. C'est une API de securité des applications Java. On peut avoir une application qui combine les deux: Jaas et n importe quelle autre solution SSO: CAS, JOSSO, openAM, Spenego, CROWD... J'espere j'ai pu vous aider.
24/04/2012, 11h54
rolandl

Citation:

Envoyé par faty_br

Je travaille aussi sur les solutions SSO.
JOSSO c'est un Framework SSO.
JAAS c'est Java Authentication and Authorization Service. C'est une API de securité des applications Java. On peut avoir une application qui combine les deux: Jaas et n importe quelle autre solution SSO: CAS, JOSSO, openAM, Spenego, CROWD... J'espere j'ai pu vous aider.

Tout d'abord merci pour le début de réponse.

J'ai lu pas mal d'article et voici ma question : est-ce qu'avec JNDIRealm, JAAS, JGuard, JOSSO, etc. je peux identifier mon utilisateur dans mon application J2EE à partir de ces identifiants Windows ? J'entends par là que l'utilisateur se connecte à sa session windows et il ets automatiquement connecté à l'application web sans qu'on lui redemande ses identifiants.

Ou est-ce qu'aux contraires, ces solutions demandent à chaque fois les identifiants et ne font qu'aller consulter l'active directory plutôt qu'une base de données classique ?

Je suis également tombé sur la notion de Windows Integrated Authentication et notamment cet exemple en PHP qui permet de récupérer automatiquement le nom de l'utilisateur connecté à la session windows. Est-ce possible de mettre en place le même système sur une application J2EE ?