Accueil > OpenID Connect OAuth Server par DnC > Développer > Démarrer

Installation, Configuration, Création des auteurs-concepteurs des applications, Tests, Inscription des applications, Adaptation des applications.

Installation du serveur OAuthSD

  publié le par DnC

L’installation d’un serveur OAuthSD se fait dans un environnement Linux décrit dans cet article.

Bien que faisant appel à Composer, cette installation est en partie manuelle, ainsi que la configuration du serveur et le chargement d’un jeu initial de données.

Prérequis

- hôte Linux : CentOs 6.5 ou 7 (préféré), CloudLinux 6 ou 7, RHEL 6 ou 7, [1]. Voir les détails au paragraphe : "Environnement matériel et logiciel du serveur".

Pour installer et administrer la configuration décrite ci-dessous, il sera utile de disposer d’un "panneau d’administration" pour la gestion de l’hôte et des serveurs. WHM/cPanel est un bon choix [2]. On peut également utiliser Webmin.

- serveur Apache 2.x [3]. La sécurité de fonctionnement d’OIDC exige une installation sur un domaine sécurisé par TLS (protocole https://).
- PHP 5.6 ou 7.1 (préféré).
- serveur de base de données MySQL ou équivalent [4] + phpMyAdmin (ou équivalent)
- serveur sshd/sFTP,
- client SSH (console et sFTP), accès par l’user root.

Installation d’OAuthSD

1. Installer le code d’OAuthSD

- Télécharger le code depuis GitHub : https://github.com/bdegoy/oauthsd, -> ’Clone or download" -> "Download ZIP.
- Installer le contenu dé-zippé dans le répertoire web du domaine(web document root) [5] .

2. Installer et exécuter Composer

Voir : Utiliser Composer avec OAuthSD.

- Ouvrir un client SSH,
- se déplacer dans le répertoire web du domaine, exemple pour CentOS :
user@mon.site.com [~]# cd public_html

- Si le code d’OAuthSD comporte le fichier /composer.phar et le dossier /composer/, alors Composer est déjà téléversé sur l’hôte pour une utilisation locale. En cas de doute, vous pouvez vérifier l’installation de Composer en suivant les indications de cet article : Utiliser Composer avec OAuthSD.

- Sinon, se reporter à l’installation de Composer. Le plus simple est une installation locale (dans le répertoire web du domaine).

- Exécuter user@mon.site.com [~]# composer install.

A l’issue, les packages utilisés par OAuthSD se trouvent installés dans le dossier /vendor.

3. Initialiser les données
- avec le client SSH, accéder au serveur MySQL et exécuter le contenu du fichier :

4. Configuration initiale
La seule configuration obligatoire au démarrage se fait dans le fichier /commons/keepsecret/database.php.
Voir Paramétrage d’OAuthSD.

5. Créer un répertoire pour les sessions d’OAuthSD
- créer un répertoire "sessions_oauthsd" un niveau au dessus du répertoire web du domaine.
- attribuer à ce répertoire le même user/group et les mêmes permissions que le répertoire web du domaine.

6. Programmer une tâche Cron

Le script cron.php doit être appelé toutes les minutes afin d’exécuter différentes tâches dont l’élaboration de synthèses statistiques (table oidc_stats).

Une tâche cron est programmée pour exécuter toutes les minutes la commande suivante (exemple pour Linux) :
wget -O /dev/null https://<serveur-url>/cron/cron.php >/dev/null 2>&1

Environnement matériel et logiciel du serveur

Connexion au réseau : routeur et firewall
Un serveur OIDC est sensible aux attaques par déni de service. On évitera de router les paquets TCP entrants à l’aide d’une DMZ. On préfèrera configurer un filtrage de port au niveau du routeur/firewall et une règle de routage NAT/PAT pour lier le port entrant (443) à l’IP fixe du serveur sur le réseau local.
Un Pare-feu à états (stateful inspection firewall) serait favorable pour faire face aux attaques de type DDOS. Un routeur/firewall dédié à la connexion du serveur serait favorable à l’adoption de paramètres de filtrage adaptés.

Matériel, RAM et Disques
Un serveur OIDC doit répondre rapidement à de nombreuses requêtes. Une machine dédiée à OAuthSD serait favorable. Le processeur doit être performant (2 à 4 cœurs), la mémoire suffisante ; un disque SSD serait favorable.
RAM : 4 GB minimum.
Partition / : 40GB minimum.
Partition swap : même taille que la RAM.

Sauvegarde
Il faut prévoir un disque interne dédié à la sauvegarde ainsi qu’une sauvegarde externe. Les sauvegardes pourront être réalisées à l’aide du panel d’administration du serveur. La capacité du disque de sauvegarde interne sera égal à 3 fois au moins la capacité du disque principal.

Administration à distance
Il est utile de disposer d’un tunnel SSH ou VPN pour accéder au panneau d’administration ainsi qu’au serveur sshd à l’aide d’une console distante.

Connexion Internet pour les tests
Certains tests nécessitent la connexion du serveur au réseau Internet. Il en est ainsi par exemple des tests décrits dans la rubrique Tests et certification. Cette connexion peut-être fermée par la suite si le serveur doit fonctionner dans un réseau local ou privé.

Avertissement quant aux proxies
Si un proxy doit être installé en amont du serveur ( par ex. un répartiteur de charge), il est important qu’il ait une IP fixe vu du serveur OAuthSD et qu’il transmette l’IP de la requête d’origine par la déclaration HTTP_X_FORWARDED_FOR.
Voir Vérification de l’origine de la requête reçue par un serveur de ressource.

Notes

[1Désactiver SELinux.

[2Offrant notamment le stateful firewall CSF-LFD, l’outil de configuration EasyApache, des outils de sécurité avec un audit très complet et permettant de configurer facilement un certificat SSL/TLS pour un fonctionnement en https://.

[3Nginx incompatible. Ne pas configurer de proxy inverse

[4PostGres SQL incompatible.

[5C’est à dire le répertoire /public_html (dans le cas de CentOS). Notez que OAuthSD comprend un répertoire /public_html/web/ : ne pas confondre !

Paramétrage d’OAuthSD

  publié le par DnC

Configuration obligatoire au démarrage

L’adaptation du fichier /commons/keepsecret/database.php est la seule configuration obligatoire lors d’un nouveau déploiement du serveur OAuthSD.


- fichier /commons/keepsecret/database.php.
Il permet de définir la connexion à la base de données et doit contenir le code suivant :

  1. /** Database
  2. * $dsn is the Data Source Name for your database, for example "mysql:dbname=my_oauth2_db;host=localhost"
  3. */
  4. $connection = array(
  5. *        'dsn' => 'mysql:dbname=...;host=localhost',  // MySQL
  6. *        'username' => '...',
  7. *        'password' => '...'
  8. *    );

Télécharger

Options TFA par SMS

Si l’identification à deux facteurs avec SMS est activée (constante ’TFA_PROVIDER’ = ’checkbysms’), le fichier /commons/keepsecret/sms.php doit contenir les identifiants de connexion à l’API OVH SMS :

  1. define('OVHSMSAPI_APPLICATIONKEY','...');    
  2. define('OVHSMSAPI_APPLICATIONSECRET','...');
  3. define('OVHSMSAPI_CONSUMER_KEY','...');
  4. define('OVHSMSAPI_ENDPOINT','ovh-eu');
  5. define('OVHSMSAPIUSER', 'OAUTHSD');

Télécharger

Vous devez avoir un compte valide sur l’API SMS d’OVH. Les identifiants sont obtenus avec la requête suivante :

https://api.ovh.com/createToken/index.cgi?GET=/sms&GET=/sms/*&PUT=/sms/*&DELETE=/sms/*&POST=/sms/*

Autres options

Les fichiers /commons/configure_oauth.php et /commons/configure_oidc ne nécessitent pas de modification pour une première configuration. On se reportera aux titres et commentaires des constantes.

Utiliser Composer avec OAuthSD

  publié le par DnC

Lancer un client SSH avec l’utilisateur du domaine

Il ne faut pas exécuter composer en root.
Pour accéder à notre serveur, on configure un client SSH avec les identifiants de l’utilisateur du domaine. Dans notre exemple, le domaine est "mon.site.com" et l’utilisateur est "user".

Note :
- les exemples de code correspondent à CentOS.
- Il faut vérifier que cet utilisateur appartient au groupe "wheel" des sudoers. Si ce n’est pas le cas, exécuter (en root) :
root@mon.site.com [~]#usermod -aG wheel username

On se place dans le cas d’une installation locale de Composer, c’est à dire dans le dossier racine des documents web (web document root).

user@mon.site.com [~]# cd public_html

Vérifier l’installation de Composer

Exécuter :
user@mon.site.com [~/public_html]# composer diagnose

Retourne :

Checking composer.json: WARNING
Checking platform settings: OK
Checking git settings: OK
Checking http connectivity to packagist: OK
Checking https connectivity to packagist: OK
Checking github.com rate limit: OK
Checking disk free space: OK
Checking pubkeys: FAIL
Missing pubkey for tags verification
Missing pubkey for dev verification
Run composer self-update --update-keys to set them up
Checking composer version: OK
Composer version: 1.9.0
PHP version: 5.6.40
PHP binary path: /opt/cpanel/ea-php56/root/usr/bin/php

Nous avons un problème avec les clés publiques de Composer. Lançons :
user@mon.site.com [~/public_html]# composer self-update --update-keys

Comme indiqué, il faudra naviguer à l’URL https://composer.github.io/pubkeys.html pour copier ces clés et les coller comme demandé :

Open https://composer.github.io/pubkeys.html to find the latest keys
Enter Dev / Snapshot Public Key (including lines with -----): -----BEGIN PUBLIC KEY-----
MIICIjANBgkqhkiG9w0BAQEFAAOCAg8AMIICCgKCAgEAnBDHjZS6e0ZMoK3xTD7f
...
wSEuAuRm+pRqi8BRnQ/GKUcCAwEAAQ==
-----END PUBLIC KEY-----
Stored key with fingerprint: 4AC45767 E5EC2265 2F0C1167 CBBB8A2B  0C708369 153E328C AD90147D AFE50952
Enter Tags Public Key (including lines with -----): -----BEGIN PUBLIC KEY-----
MIICIjANBgkqhkiG9w0BAQEFAAOCAg8AMIICCgKCAgEA0Vi/2K6apCVj76nCnCl2
...
TzCFWGk/HM6a4f0IzBWbJ5ot0PIi4amk07IotBXDWwqDiQTwyuGCym5EqWQ2BD95
RGv89BPD+2DLnJysngsvVaUCAwEAAQ==
-----END PUBLIC KEY-----
Stored key with fingerprint: 57815BA2 7E54DC31 7ECC7CC5 573090D0  87719BA6 8F3BB723 4E5D42D0 84A14642
Public keys stored in /home/user/.composer

Nous pouvons vérifier à nouveau Composer :

user@mon.site.com [~/public_html]# composer diagnose
Checking composer.json: OK
Checking platform settings: OK
Checking git settings: OK
Checking http connectivity to packagist: OK
Checking https connectivity to packagist: OK
Checking github.com rate limit: OK
Checking disk free space: OK
Checking pubkeys:
Tags Public Key Fingerprint: 57815BA2 7E54DC31 7ECC7CC5 573090D0  87719BA6 8F3BB723 4E5D42D0 84A14642
Dev Public Key Fingerprint: 4AC45767 E5EC2265 2F0C1167 CBBB8A2B  0C708369 153E328C AD90147D AFE50952
OK
Checking composer version: OK
Composer version: 1.9.0
PHP version: 5.6.40
PHP binary path: /opt/cpanel/ea-php56/root/usr/bin/php

Cette fois-ci c’est bon.

Mettre à jour Composer

user@mon.site.com [~/public_html]# composer self-update
Si Composer était à jour, on obtient :
You are already using composer version 1.9.0 (stable channel).

Installer le code d’OAuthSD ou vérifier l’installation

L’installation ou la vérification se fait en exécutant :
user@mon.site.com [~/public_html]# composer install

Si OAuthSD est déjà installé et complet, on obtient :

Loading composer repositories with package information
Installing dependencies (including require-dev) from lock file
Nothing to install or update
Generating autoload files

"Installing dependencies (including require-dev) from lock file" signifie qu’une installation avait déjà été effectuée. La mise à jour conserve les versions des composants (inscrites dans le fichier composer.lock) de la version courante d’OAuthSD. C’est important pour assurer la cohérence de l’ensemble du code par rapport à la dernière version stable.

Mettre à jour le code d’OAuthSD

Attention ! une mise à jour du code avec les dernières versions des composants n’est pas recommandée à moins qu’une nouvelle version stable d’OAuthSD ait été notifiée comme prête pour la mise à jour.

La mise à jour se fait en exécutant :
user@mon.site.com [~/public_html]# composer update

Notre application était à jour des derniers développements, ainsi que les composants. On obtient donc :

Loading composer repositories with package information
Updating dependencies (including require-dev)
Nothing to install or update
Generating autoload files

"Updating dependencies (including require-dev)" signifie que les composants auraient été mis à jour dans leur dernière version. Un nouveau fichier composer.lock est créé.