Produits Entr'ouvert » Authentic 2 » Plugin Carte eID (fedict/bosa)

(rouge pour le moment en raison du ticket lié)

Bon, 1h à tenter de remonter un environnement similaire en local, en vain et malgré la copie de ma conf qui avait fonctionné pour coder #60837. Toujours des erreurs lasso, côté idp imitant le csam, au chargement du SP authentic qui inclut l’authentificateur fedict, sans plus de précision et alors que l’enregistrement du SP à partir de l’url des MD dans l’/admin/ "csam" se passe sans souci. Ça commence à me gaver.

La migration se passe sans encombres, je vais relire le code.

Toujours des erreurs lasso, côté idp imitant le csam, au chargement du SP authentic qui inclut l’authentificateur fedict

Éventuellement sur un autre ticket mais on parle bien de https://connexion-csam.test.entrouvert.org/ quelle manip quelle erreur ? Très vite quand je compare https://connexion-csam.test.entrouvert.org/admin/saml/libertyprovider/6/change/ et https://connexion-csam.test.entrouvert.org/admin/saml/libertyprovider/4/change/ le mien n'a pas la section KeyDescriptor, ça élimine toute une classe de problèmes.

Frédéric Péters a écrit :

Éventuellement sur un autre ticket mais on parle bien de https://connexion-csam.test.entrouvert.org/ quelle manip quelle erreur ? Très vite quand je compare https://connexion-csam.test.entrouvert.org/admin/saml/libertyprovider/6/change/ et https://connexion-csam.test.entrouvert.org/admin/saml/libertyprovider/4/change/ le mien n'a pas la section KeyDescriptor, ça élimine toute une classe de problèmes.

Je vais regarder cela ensuite par acquis de conscience, mais je n’avais pas vu passer la note 10 de ce ticket qui indique que ça a déjà été appliqué en local avec succès. Je suis en train de relire le code.

Dans l’immédiat, ce qui m’embête un peu est cette impression que l’IdP CSAM, puisqu’apparaissant dans la liste les IdPs déclarés dans les settings mellon (avec un ENTITY_ID:="belgium.be"), va atterrir à la fois en tant qu’authentificateur SAML et en tant qu’authentificateur Fedict dans le /manage/.
Sur la machine d’Imio, les migrations authentic2_auth_saml/migrations/0002_auto_20220608_1559.py et authentic2_auth_fedict/migrations/0002_auto_20220706_1712.py vont toutes deux êtres exécutées et sauf erreur de ma part on aura deux authentificateurs différents. Il faudrait peut-être faire dépendre la migration de création de l’authentificateur Fedict de celle créant les authentificateurs SAML, ensuite dans la migration Fedict vérifier qu’un authentificateur SAML de même identifiant n’existe pas déjà, et le supprimer au besoin. Je me plante ?

D’autres remarques, pas du tout rédhibitoires et qu’on pourrait traiter dans des prochains tickets : réduire encore la dépendances aux settings et retirer des choses écrites en dur dans le code, en se rapprochant du modèle de l’authentificateur SAML. Quelques exemples comme le mapping écrit en dur dans le code de l’adaptateur et qu’on pourrait voir apparaître en lecture seule dans le /manage/, ou bien encore les AUTHN_CLASSREF qui sont ici utilisées pour déterminer si le raccordement Fedict supporte [a] le compte ItsMe et [b] les jetons personnels, avec [a] et [b] qui pourraient être des cases à cocher dans le /manage/.

Paul Marillonnet a écrit :

Dans l’immédiat, ce qui m’embête un peu est cette impression que l’IdP CSAM, puisqu’apparaissant dans la liste les IdPs déclarés dans les settings mellon (avec un ENTITY_ID:="belgium.be"), va atterrir à la fois en tant qu’authentificateur SAML et en tant qu’authentificateur Fedict dans le /manage/.
Sur la machine d’Imio, les migrations authentic2_auth_saml/migrations/0002_auto_20220608_1559.py et authentic2_auth_fedict/migrations/0002_auto_20220706_1712.py vont toutes deux êtres exécutées

La migration SAML a déjà été exécutée, et aïe tu as raison elle a créé un authentificateur SAML, passé inaperçu et heureusement désactivé car pas de A2_AUTH_SAML_ENABLE.

Il faudrait peut-être faire dépendre la migration de création de l’authentificateur Fedict de celle créant les authentificateurs SAML, ensuite dans la migration Fedict vérifier qu’un authentificateur SAML de même identifiant n’existe pas déjà, et le supprimer au besoin.

Donc ici tu proposes de nettoyer ça au détour de la migration, aller faisons ça.

réduire encore la dépendances aux settings

Oui c'est important de noter qu'ici on a 0 migré la config en base comme dit le titre du ticket, tout reste lu depuis les settings sauf activé/désactivé, ordre, condition d'affichage.

Valentin Deniaud a écrit :

Donc ici tu proposes de nettoyer ça au détour de la migration, aller faisons ça.

Bon en testant je me prends forcément des LookupError: No installed app with label 'authentic2_auth_saml' et même si ça pourrait marcher je suis frileux de mixer les choses comme ça, plutôt on corrigera directement sur la db d'IMIO. Pas de modif au patch donc.

corrigera directement sur la db d'IMIO

Ça n'est pas réaliste.

Frédéric Péters a écrit :

corrigera directement sur la db d'IMIO

Ça n'est pas réaliste.

J’étais parti dans l’idée que l’authentificateur SAML en surplus serait désactivé par défaut, sans aucune incidence sur les écrans de connexion authentic, et qu’on irait ensuite dans le /manage/ le supprimer carrément et l’oublier à jamais. J’oublie un truc ?

Paul Marillonnet a écrit :

Frédéric Péters a écrit :

corrigera directement sur la db d'IMIO

Ça n'est pas réaliste.

J’étais parti dans l’idée que l’authentificateur SAML en surplus serait désactivé par défaut, sans aucune incidence sur les écrans de connexion authentic, et qu’on irait ensuite dans le /manage/ le supprimer carrément et l’oublier à jamais. J’oublie un truc ?

Oui ce n'est peut-être pas clair de nos discussions avec Paul mais le bug s'est déjà produit, il est sans rapport avec ce ticket. J'ai créé #67611 pour en discuter.

Automatic expiration