👤 C3.2.1 — SSO, OIDC & Keycloak · Séance 2/2

Introduction — Mise en situation SSO (10 min)

Lors de la séance 1, nous avons déployé l'annuaire OpenLDAP d'InnovatTech. Problème actuel : un utilisateur doit se connecter à 8 applications différentes avec 8 mots de passe. Avec SSO : 1 seule authentification → accès à toutes les applications. Objectif de cette séance : réduire la fatigue due aux mots de passe et améliorer la gestion centralisée des accès.

Section 1 — Protocoles SSO (~50 min)

SAML 2.0

SAML (Security Assertion Markup Language) est un protocole mature pour la fédération d'identité entre un Identity Provider (IdP) et des Service Providers (SP). L'IdP émet des assertions signées XML ; la confiance est établie par échange de métadonnées et certificats.

Flux SP-initiated (le plus courant) :

Utilisateur        SP (App)              IdP (Keycloak)
    │──GET /app──────►│                       │
    │                 │──Redirect AuthnRequest─►│
    │◄────────────────│                       │
    │────────────────────────────────────────►│  (login utilisateur)
    │◄────────────────────────────────────────│
    │  Assertion SAML (HTTP-POST)             │
    │──Assertion─────►│                       │
    │                 │──Valide + session─────  │
    │◄────────────────│  Accès accordé         │

OAuth2 — Authorization Code Flow

OAuth2 est un cadre d'autorisation (pas d'authentification) permettant à une application d'obtenir l'autorisation d'agir au nom d'un utilisateur. 4 étapes :

1. Authorization Request : le client redirige l'utilisateur vers l'Authorization Server avec client_id, scopes, redirect_uri
2. Authorization Code : après consentement, l'Authorization Server renvoie un code de courte durée
3. Token Request : le client échange le code contre un access_token (+ refresh_token) via une requête POST directe
4. Utilisation : le client utilise l'access_token pour appeler l'API protégée (Resource Server)

OpenID Connect (OIDC)

OIDC est une couche d'identité construite au-dessus d'OAuth2. Il ajoute un ID Token (JWT) qui transporte l'identité de l'utilisateur.

Structure d'un JWT

// Header.Payload.Signature (3 parties séparées par des points)
// Payload décodé (exemple) :
{
  "sub": "1234567890",          // Identifiant unique de l'utilisateur
  "name": "Léa Martin",         // Nom complet
  "email": "lmartin@innovattech.fr",
  "iss": "https://auth.innovattech.fr",  // Émetteur (Issuer)
  "aud": "crm-app",             // Application destinataire (Audience)
  "exp": 1708900000,            // Expiration (timestamp Unix)
  "iat": 1708896400             // Date d'émission (Issued At)
}

Scopes OIDC standards : openid (obligatoire), profile, email, phone. Le scope openid déclenche l'émission de l'ID Token.

SCIM — Provisioning automatisé

SCIM (System for Cross-domain Identity Management) est un protocole REST standardisé pour automatiser la création/modification/suppression d'utilisateurs et de groupes entre un annuaire central et des applications cloud. Plutôt que créer manuellement des comptes dans chaque application, SCIM automatise les opérations CRUD via des endpoints HTTP (POST /Users, PATCH /Users/{id}, DELETE /Users/{id}).

Section 2 — Keycloak (~25 min)

Keycloak est une solution open-source IAM (Identity and Access Management) qui propose un IdP complet supportant OIDC, OAuth2 et SAML.

Concepts clés

Déploiement rapide (développement)

docker run -d --name keycloak   -p 8080:8080   -e KEYCLOAK_ADMIN=admin   -e KEYCLOAK_ADMIN_PASSWORD=AdminPass1!   quay.io/keycloak/keycloak:latest start-dev
# Accéder à http://localhost:8080

TP — Déployer Keycloak et configurer un SSO OIDC (85 min)

Scénario : InnovatTech souhaite centraliser l'authentification de 3 applications (CRM, portail RH, ticketing). Votre mission : déployer Keycloak, créer le realm innovattech, configurer un client OIDC crm-app et démontrer un SSO fonctionnel.

Étapes

1. Déployer Keycloak avec Docker (commande ci-dessus)

2. Créer le realm innovattech dans l'interface d'administration

3. Créer un utilisateur de test lmartin avec mot de passe temporaire

4. Créer un client OIDC crm-app (type confidentiel, redirect URI : http://localhost:3000/callback)

5. Inspecter les endpoints OIDC :

# Récupérer les endpoints OIDC du realm innovattech
curl http://localhost:8080/realms/innovattech/.well-known/openid-configuration | python3 -m json.tool
# Identifie : authorization_endpoint, token_endpoint, jwks_uri, userinfo_endpoint

6. Tester le flux Authorization Code et décoder l'ID Token sur jwt.io, identifier ≥5 claims.

7. Optionnel : Configurer la User Federation LDAP pour synchroniser l'annuaire de la séance 1.

Synthèse (10 min)

Question : Quelle est la différence fondamentale entre OAuth2 et OpenID Connect ?