Comme dit, de ce coté là il n'y a pas trop de problèmes; pleins d'applications supportent LDAP; le reproche que je faisais, c'est qu'il faut deviner a partir des noms que l'application donne aux paramètres, ce qu'elle va en faire; des paramètres, il y en a souvent beaucoup parce qu'il y a beaucoup de possibilités. Et chaque appli n'implémente pas forcément tout.
Et comme souvent c'est de l'authentification, les erreurs sont jetés, compliquant d'autant le diagnostique.
Les autres pierres d'achoppement que j'ai rencontré sont la gestion des groupes et la méthode d'authentification.
Si j'ai bien compris, l'authentification peut se faire selon deux méthodes:
- soit on essaye de se connecter à l'annuaire avec les informations fournies par l'utilisateur, si ça rate c'est (probablement) que le login ou le mot de passe sont faux.
- Autre méthode, se connecter avec un utilisateur dédié et par une opération un peu magique que je n'ai jamais bien identifié malgré mes lectures, on fait ensuite la validation (est-ce qu'on récupère le mdp chiffré de l'utilisateur ? Est-ce qu'on utilise une fonction que je n'ai pas vu ? Mystère).
Une fois faite l'authentification (le client est bien celui que l'on croit) il faut faire l'autorisation (le client a-t-il le droit ?) et là, c'est encore pire. Beaucoup d'applications s'imaginent qu'elles sont seules au monde (alors qu'on utilise généralement LDAP pour mutualiser les comptes) et partent du principe que si l'utilisateur est authentifié, c'est qu'il a le droit.
D'autre permettent de définir des groupes, mais ne laisse pas forcément beaucoup de latitude sur l'usage des groupes. Si j'ai bien compris mes bouquins, la notion de groupe est étrangère à LDAP, on se contente de regarder si un objet contient l'identifiant d'un autre objet. Comme il faut se taper le boulot à la main, c'est rarement récursif.
D'autres enfin permettent d'exprimer la requête qui va permettre d'autoriser l'utilisateur. Il faut être capable d'écrire une requête LDAP qui ne remonte un utilisateur que s'il est dans un groupe; j'ai jamais réussi, j'ignore toujours si c'est possible.
[^] # Re: Pour ou contre
Posté par Sébastien Koechlin . En réponse au journal Références et LDAP. Évalué à 1.
Et comme souvent c'est de l'authentification, les erreurs sont jetés, compliquant d'autant le diagnostique.
Les autres pierres d'achoppement que j'ai rencontré sont la gestion des groupes et la méthode d'authentification.
Si j'ai bien compris, l'authentification peut se faire selon deux méthodes:
- soit on essaye de se connecter à l'annuaire avec les informations fournies par l'utilisateur, si ça rate c'est (probablement) que le login ou le mot de passe sont faux.
- Autre méthode, se connecter avec un utilisateur dédié et par une opération un peu magique que je n'ai jamais bien identifié malgré mes lectures, on fait ensuite la validation (est-ce qu'on récupère le mdp chiffré de l'utilisateur ? Est-ce qu'on utilise une fonction que je n'ai pas vu ? Mystère).
Une fois faite l'authentification (le client est bien celui que l'on croit) il faut faire l'autorisation (le client a-t-il le droit ?) et là, c'est encore pire. Beaucoup d'applications s'imaginent qu'elles sont seules au monde (alors qu'on utilise généralement LDAP pour mutualiser les comptes) et partent du principe que si l'utilisateur est authentifié, c'est qu'il a le droit.
D'autre permettent de définir des groupes, mais ne laisse pas forcément beaucoup de latitude sur l'usage des groupes. Si j'ai bien compris mes bouquins, la notion de groupe est étrangère à LDAP, on se contente de regarder si un objet contient l'identifiant d'un autre objet. Comme il faut se taper le boulot à la main, c'est rarement récursif.
D'autres enfin permettent d'exprimer la requête qui va permettre d'autoriser l'utilisateur. Il faut être capable d'écrire une requête LDAP qui ne remonte un utilisateur que s'il est dans un groupe; j'ai jamais réussi, j'ignore toujours si c'est possible.