Technique/Symfony/Connexion LDAP ou AD - Historique des versions

Jordan : /* Mise en place du filtrage et des rôles */

2021-01-11T10:44:33Z

Mise en place du filtrage et des rôles

Jordan : /* Adapter les fichiers gérénés */

2020-03-13T17:34:36Z

Adapter les fichiers gérénés

Jordan : /* Adapter les fichiers gérénés */

2020-03-13T17:27:22Z

Adapter les fichiers gérénés

Jordan : /* Adapter les fichiers gérénés */

2020-03-13T17:01:51Z

Adapter les fichiers gérénés

Jordan : /* Utiliser MakerBundle pour générer le système d'authentification */

2020-03-13T17:00:29Z

Utiliser MakerBundle pour générer le système d'authentification

Voir les modifications

Jordan : /* Mise en oeuvre */

2020-03-12T17:22:10Z

Mise en oeuvre

Jordan : /* Mise en place de l'authentification */

2020-03-12T11:09:42Z

Mise en place de l'authentification

Jordan : /* Surcharger le fournisseur d'utilisateurs de type "LDAP" */

2020-03-12T10:39:43Z

Surcharger le fournisseur d'utilisateurs de type "LDAP"

Jordan : /* Mise en place de l'authentification */

2020-03-12T09:25:35Z

Mise en place de l'authentification

Jordan le 12 mars 2020 à 08:31

2020-03-12T08:31:03Z

← Version précédente		Version du 11 janvier 2021 à 10:44
Ligne 550 :		Ligne 550 :

	== Mise en place du filtrage et des rôles ==		== Mise en place du filtrage et des rôles ==
		+	Les rôles déjà existants dans Symfony sont les suivants :
		+	*'''ROLE_USER'''
		+	::Ce rôle est affecté automatiquement à chaque utilisateur
		+	*'''ROLE_ADMIN'''
		+	::C'est un rôle par défaut pour les actions d'administration. Il n'est pas obligatoire de l'utiliser.
		+	*'''ROLE_ALLOWED_TO_SWITCH'''
		+	::Rôle donnant l'autorisation de pouvoir basculer vers un autre utilisateur sans s'authentifier.
		+	</pre>
		+
		+	Comme indiqué lors de [[#Surcharger_le_fournisseur_d.27utilisateurs_de_type_.22LDAP.22\|la surcharge du fournisseur LDAP]], à chaque groupe d'appartenance de l'utilisateur sera associé un rôle équivalent de la forme <code>ROLE_<nom-du-groupe></code>. De ce fait, si un utilisateur appartient aux groupes <code>BUREAU_ETUDES</code> et <code>DEVELOPPEURS</code>, lors de son authentification au travers du LDAP, il se verra affecter les rôles <code>ROLES_BUREAU_ETUDES</code> et <code>ROLES_DEVELOPPEURS</code>.
		+
		+	'''Attention !''' Le fournisseur LDAP va créer des rôles en fonction des groupes d'appartenance des utilisateurs, mais rien n'empêche de créer des rôles supplémentaires dans l'application.
		+
		+	Ainsi, en s'inspirant de [https://symfony.com/doc/current/security.html#roles la documentation officielle de Symfony sur les rôles], il est possible de produire ce genre de filtrage :
		+	<syntaxhighlight lang="yaml">
		+	security:
		+	providers:
		+	ldap_users:
		+	id: App\Security\CustomLdapUserProvider
		+	firewalls:
		+	dev:
		+	pattern: ^/(_(profiler\|wdt)\|css\|images\|js)/
		+	security: false
		+	main:
		+	anonymous: lazy
		+	provider: ldap_users
		+	guard:
		+	authenticators:
		+	- App\Security\LoginFormAuthenticator
		+	logout:
		+	path: app_logout
		+	target: home_index
		+
		+	role_hierarchy:
		+	ROLE_MANAGERS: [ROLE_ADMIN,ROLE_ALLOWED_TO_SWITCH]
		+	# Note: Only the first access control that matches will be used
		+	access_control:
		+	- { path: ^/login$, roles: IS_AUTHENTICATED_ANONYMOUSLY }
		+	- { path: ^/(admin\|manage/users), roles: 'ROLE_MANAGERS' }
		+	- { path: ^/(add\|edit\|delete), roles: ROLE_ADMIN, ip: 192.168.0.33 }
		+	- { path: ^/, roles: IS_AUTHENTICATED_REMEMBERED }
		+	</syntaxhighlight>
		+
		+	<u>'''Explications :'''</u>
		+	*'''role_hierarchy'''
		+	:Cette section permet d'imbriquer des rôles dans d'autres rôles
		+	:Par exemple, si un utilisateur du LDAP appartient au groupe <code>MANAGERS</code>, le fournisseur LDAP lui affectera le rôles <code>ROLE_MANAGERS</code> et la configuration du module de sécurité lui affectera les rôles <code>ROLE_ADMIN</code> et <code>ROLE_ALLOWED_TO_SWITCH</code>
		+	*'''access_control'''
		+	:Cette section est le cœur même du filtrage dans Symfony
		+	:Pour chaque requête, chaque règle de filtrage est analysée. Seule la première qui correspond à la requête sera utilisée, les suivantes seront ignorées.
		+	:*<code>{ path: ^/login$, roles: IS_AUTHENTICATED_ANONYMOUSLY }</code>
		+	::Cette règle autorise quiconque à accéder à la page <code>/login</code>. Dans cet exemple, cette page correspond à l'authentification, cette règle est donc obligatoire quand on veut authentifier ses utilisateurs.
		+	:*<code>{ path: ^/(admin\|manage\|users), roles: 'ROLE_MANAGERS' }</code>
		+	::Seuls les utilisateurs ayant le rôle <code>ROLE_MANAGERS</code> peuvent accéder aux pages <code>/admin</code>, <code>/manage</code> et <code>/users</code>.
		+	:*<code>{ path: ^/(add\|edit\|delete), roles: ROLE_ADMIN, ip: 192.168.0.33 }</code>
		+	::Seuls les utilisateurs ayant le rôle <code>ROLE_ADMIN</code> et ayant l'adresse IP <code>192.168.0.33</code> peuvent accéder aux pages <code>/add</code>, <code>/edit</code> et <code>/delete</code>.
		+	:*<code>{ path: ^/, roles: IS_AUTHENTICATED_REMEMBERED }</code>
		+	::Seuls les utilisateurs authentifiés peuvent accéder au contenu du site.

	== Résumé ==		== Résumé ==

@@ Ligne 546 : / Ligne 546 : @@
 *Ligne 95
 **Définition d'une route par défaut vers laquelle rediriger si la valeur <code>$targetPath</code> n'est pas définie (la valeur de cette variable correspond à la route dont l'accès a été demandé avant d'être redirigé vers la page d'authentification)
 == Mise en place du filtrage et des rôles ==
 == Résumé ==

@@ Ligne 534 : / Ligne 534 : @@
+}
 </syntaxhighlight>
 == Mise en place du filtrage et des rôles ==
 == Résumé ==

@@ Ligne 430 : / Ligne 430 : @@
 Et voici les modifications à apporter :
-<syntaxhighlight lang="php" line highlight="18-19,27,27,29,33,75-79,81,86-89,94">
+<syntaxhighlight lang="php" line highlight="18-19,27,27,29,33,75-81,86-89,95">
 <?php
@@ Ligne 520 : / Ligne 520 : @@
              'Bienvenue. Vous êtes connecté !'
          );
          if ($targetPath = $this->getTargetPath($request->getSession(), $providerKey)) {
              return new RedirectResponse($targetPath);

@@ Ligne 267 : / Ligne 267 : @@
 === Mise en oeuvre ===
 == Mise en place du filtrage et des rôles ==
 == Résumé ==

@@ Ligne 239 : / Ligne 239 : @@
 == Mise en place de l'authentification ==
-=== Pare-feux ===
+=== Principes de base ===
-Le principe du système d'authentification du module de sécurité de Symfony repose sur la définition de ''"pare-feux"'' (<code>firewalls</code>) dans le fichier <code>config/packages/security.yaml</code>.
+==== Pare-feux ====
 Un seul pare-feu est actif à chaque requête. Le nom du pare-feu importe peu. Cela est seulement utile pour savoir quel chemin a pris la requête d'un utilisateur pour s'authentifier.
@@ Ligne 246 : / Ligne 247 : @@
 Les paramètres <code>pattern</code>, <code>host</code> et <code>methods</code> du pare-feu permettent de restreindre l'accès aux ressources de l'application. C'est la première restriction qui correspond à la requête qui activera le pare-feu Symfony correspondant. Voir la [https://symfony.com/doc/current/security/firewall_restriction.html documentation sur les restrictions dans un pare-feu Symfony].
-Dans la suite de cette procédure, le nom du pare-feu utilisé est <code>main</code>.
+A moins de définir le paramètre "security:firewalls:myfirewall:security" à <code>false</code>, l'authentification est activée par défaut dans le pare-feu par défaut (<code>main</code>). Cela implique que l'utilisateur <u>doit être authentifié</u> pour accéder à la ressource demandée.
 Plus d'informations sur https://symfony.com/doc/current/security.html#a-authentication-firewalls.
-=== Authentification ===
+==== Authentification ====
-A moins de définir le paramètre "security:firewalls:myfirewall:security" à <code>false</code>, l'authentification est activée par défaut. Cela implique que l'utilisateur <u>doit être authentifié</u> pour accéder à la ressource demandée.
+De la même manière qu'il y a des fournisseurs d'utilisateurs au sein de Symfony, il y a des fournisseurs d'authentification.
-Or, un utilisateur qui arrive sur l'application pour la première fois est, par définition, <u>non authentifié</u>. De ce fait, sans aucun autre paramètre supplémentaire, cet utilisateur ne pourra jamais accéder à l'application.
+Les différents fournisseurs d'authentification natifs à Symfony sont décrits ici : https://symfony.com/doc/current/security/auth_providers.html.
-Pour pouvoir accorder au minimum un accès aux pages de base de l'application, il faut ajouter l'option "security:firewalls:myfirewall:anonymous" et la définir à ''"lazy"''. Ainsi, techniquement, du point de vue de Symfony, les utilisateurs non identifiés seront considérés authentifiés comme anonyme (<code>anonymous</code>).
+=== Mise en oeuvre ===
 == Mise en place du filtrage et des rôles ==
 == Résumé ==

@@ Ligne 224 : / Ligne 224 : @@
 *<syntaxhighlight lang="php" inline>private function getAttributeValue(Entry $entry, string $attribute)</syntaxhighlight>
 **Simple copier/coller de la fonction privée <code>getAttributeValue</code> de la classe parente (car utilisée dans dans la fonction <code>loadUser</code>)
 == Mise en place de l'authentification ==

@@ Ligne 26 : / Ligne 26 : @@
 *[[#Installer le module de sécurité|Installer le module de sécurité]]
 *[[#Créer la gestion des utilisateurs|Créer la gestion des utilisateurs]]
-*Mise en place de l'authentification
+*[[#Mise en place de l'authentification|Mise en place de l'authentification]]
-*Mise en place du filtrage et des rôles
+*[[#Mise en place du filtrage et des rôles|Mise en place du filtrage et des rôles]]
 == Installer le module de sécurité ==
@@ Ligne 224 : / Ligne 224 : @@
 *<syntaxhighlight lang="php" inline>private function getAttributeValue(Entry $entry, string $attribute)</syntaxhighlight>
 **Simple copier/coller de la fonction privée <code>getAttributeValue</code> de la classe parente (car utilisée dans dans la fonction <code>loadUser</code>)