LemonLDAP::NG (lemonldap-ng)
WebSSO de la plateforme, alternative à Keycloak : fournisseur OpenID Connect du portail et du Control Plane sur l'annuaire LDAP ou Active Directory de la banque, rôles issus des groupes, TOTP, sessions partagées dans PostgreSQL.
Généré depuis catalog/services/lemonldap-ng.yaml : ne pas modifier à la main.
Résumé
| |
|---|
| Version | 2.23.4 |
| Usage | installer et configurer, configurer et connecter |
| Couche | fonctionnelle (catalogue IA) |
| Catégorie | Identité et secrets |
| Méthodes d'installation | podman |
| Connexion externe | oidc |
| Réservé au bac à sable | non |
Licence
| |
|---|
| Identifiant SPDX | GPL-2.0-or-later |
| Politique de licence | exception de licence |
| Exception de licence | LEX-034 (en attente de la décision du client) |
| Composant de la plateforme | lemonldap-ng |
Paquets et artefacts
Un paquet que publie le projet du service (son image, son archive binaire, son paquet Python ou système) porte la licence du service ; un paquet tiers porte la licence écrite sur sa ligne, lue dans les métadonnées officielles du projet amont.
| Type | Paquet | Version | Licence | Détails |
|---|
| image de conteneur | docker.io/lemonldapng/lemonldap-ng | 2.23.4 | GPL-2.0-or-later | clé d'image lemonldap-ng, utilisée par schema, portal, condensé sha256:f5286ec04f74ab91a17cb1b52ed23dea07a6b964dc027740889b579b0d9711b6 |
Les images sont épinglées par étiquette dans le descripteur, et par condensé (digest) quand le descripteur en déclare un (le bundle hors ligne refuse alors une image téléchargée qui ne le porte pas) ; le condensé est enregistré dans le miroir du Manager à l'import du bundle hors ligne, et chaque téléchargement ou chargement est vérifié par rapport à lui.
Systèmes et architectures pris en charge
| Méthode | Systèmes d'exploitation | Architectures |
|---|
podman | famille RHEL (dnf), famille Debian (apt), Arch Linux (pacman) | x86_64, aarch64 (non restreintes par le descripteur) |
Systèmes hôtes certifiés : RHEL 8/9/10, Rocky Linux 8/9/10, AlmaLinux 8/9/10, Oracle Linux 8/9, CentOS Stream 9/10, Ubuntu 22.04/24.04, Debian 12, Arch Linux (rolling). Le contrôle préalable des hôtes accepte ces systèmes (une autre version d'une famille connue donne un avertissement, une version en fin de vie est refusée) et les architectures x86_64 et aarch64.
Prérequis
Hôte
- au moins 1024 Mo de mémoire (bloquant,
memory).
Réseau et ports
| Composant | Nom du port | Port | Ouvert dans le pare-feu de l'hôte |
|---|
portal | http | 8543/tcp | oui |
Services et connexions nécessaires
Détail et résolution : voir Dépendances.
Méthodes et modes d'installation
| Méthode | Défaut | Ce que la méthode utilise |
|---|
podman | oui | les images de conteneur du descripteur, exécutées par Podman sous systemd |
Composants
| Composant | Type | Méthodes d'installation | Ports |
|---|
Tables des sessions (schema) | ponctuel | podman | - |
Portail (portal) | maître | podman | 8543/tcp |
Nœud unique (standalone) (par défaut)
Un seul nœud de portail.
Ce que le mode déploie :
| Composant | Placement |
|---|
schema | min 1, max 1 |
portal | min 1, max 1 |
Cluster (cluster)
Plusieurs nœuds de portail derrière un répartiteur, qui partagent les sessions dans PostgreSQL ; l'URL publique est celle du répartiteur.
Ce que le mode déploie :
| Composant | Placement |
|---|
schema | min 1, max 1 |
portal | min 2, recommandé 2 |
Installer ce service
L'assistant d'installation du Navin Manager planifie, valide et exécute l'installation ; il faut la permission services:install sur le cluster.
-
Ouvrez l'assistant. Dans Clusters, choisissez l'action de ligne Installer des services du cluster cible. L'assistant s'ouvre sur sa première étape, Service.
-
Choisissez le service. À l'étape Service, sélectionnez LemonLDAP::NG. La carte affiche la licence GPL-2.0-or-later et les dépendances dont l'installation a besoin. Pour enregistrer à la place un service oidc existant de votre organisation, activez Utiliser un service externe existant.
-
Choisissez les hôtes et le mode. À l'étape Hôtes, cochez les hôtes, puis choisissez le Mode : standalone (par défaut), cluster. Chaque mode déploie les composants listés dans Méthodes et modes d'installation. Avec plusieurs composants, placez chacun sur ses hôtes dans Répartition des composants (Proposer un placement propose un placement qui respecte les cardinalités).
-
Liez les dépendances. À l'étape Liaisons, choisissez pour chaque dépendance (database, directory) Installer avec la plateforme ou Utiliser une connexion existante ; une dépendance facultative peut rester sur Aucune liaison.
-
Configurez. À l'étape Configuration, relisez les paramètres (voir Paramètres de configuration) ; les paramètres obligatoires sont users_base. Les mots de passe laissés vides avec une valeur générée par défaut sont générés et scellés par le Manager.
-
Relisez et installez. À l'étape Installation, le Manager valide le plan et affiche l'ordre d'installation ; quand il indique « Le plan est valide. Prêt pour l'installation. », choisissez Installer. Un mode hautement disponible n'est installé que si ses contrôles HA réussissent.
-
Vérifiez. L'opération se termine quand les contrôles de santé de chaque instance réussissent (voir Contrôles de santé) ; le service apparaît alors en marche dans Services.
Connecter un service existant
| |
|---|
| Schémas | https, http |
| Port par défaut | 443 |
| Authentification | obligatoire |
| Contrôle de santé | /.well-known/openid-configuration |
| Méthode d'authentification | Champs | Description |
|---|
client_credentials | client_id, client_secret | Client OpenID Connect confidentiel du portail (identifiant et secret, authentification client_secret_basic) : le Manager les vérifie au point token ; le grant client credentials n'a pas besoin d'être autorisé. |
Documentation officielle : https://lemonldap-ng.org/documentation/latest/idpopenidconnect.html
Haute disponibilité
Prérequis
| Prérequis | Doit être hautement disponible | Modes | Description |
|---|
database | oui | modes de niveau ha ou cluster | PostgreSQL hautement disponible portant les sessions de tous les nœuds du portail. |
Topologie par mode
| Modes | Niveau le plus haut du catalogue | Répartition | Composant du quorum | Domaines de panne | Description |
|---|
standalone | autonome (standalone) | unique (single) | - | 1 | Un nœud de portail, sans tolérance aux pannes. |
cluster | ha (ha) | actif-actif (active-active) | - | 2 | Nœuds de portail avec la même configuration, qui partagent les sessions dans PostgreSQL, derrière un répartiteur. |
Remarques
- Les nœuds du portail ne se parlent pas : leur disponibilité est celle de PostgreSQL, de l'annuaire et du répartiteur.
- En mode cluster, les nœuds ne gardent aucun cache local des sessions : chaque session, code et jeton est lu dans PostgreSQL, si bien qu'une requête peut arriver sur n'importe quel nœud. Chaque nœud purge les sessions expirées toutes les heures.
Paramètres de configuration
Réseau
| Paramètre | Type | Défaut | Valeurs permises | Obligatoire | Secret | Redémarrage | Description |
|---|
Port du portail (port) | port | 8543 | - | non | non | oui | Port des pages de connexion et des points OpenID Connect (HTTPS quand TLS est actif, sinon HTTP). |
TLS (tls_enabled) | bool | true | - | non | non | oui | Servir en HTTPS avec un certificat de l'autorité du Manager (HTTP simple seulement derrière un répartiteur TLS). |
URL publique (public_url) | url | https://{{ host.fqdn }}:{{ config.port }} | - | non | non | non | Adresse du portail pour les navigateurs et le Control Plane, émetteur des jetons (le répartiteur en mode cluster). |
Annuaire
| Paramètre | Type | Défaut | Valeurs permises | Obligatoire | Secret | Redémarrage | Description |
|---|
DN de base des utilisateurs (users_base) | string | - | - | oui | non | non | Sous-arbre de l'annuaire où chercher les utilisateurs, par exemple ou=people,dc=bank,dc=internal. |
Type d'annuaire (directory_kind) | enum | openldap | openldap, active_directory | non | non | non | openldap : utilisateurs inetOrgPerson (uid) et groupes groupOfNames ; active_directory : utilisateurs person (sAMAccountName), groupes group et règles de mot de passe d'Active Directory. |
Attribut de connexion (login_attribute) | string | (vide) | ^([A-Za-z][A-Za-z0-9-]{0,63})?$ | non | non | non | Attribut comparé à l'identifiant saisi (vide : uid, ou sAMAccountName pour Active Directory). |
Filtre des utilisateurs (user_filter) | string | (vide) | - | non | non | non | Filtre LDAP des utilisateurs, $user étant l'identifiant (vide : l'attribut de connexion et la classe d'objet du type d'annuaire). |
DN de base des groupes (groups_base) | string | (vide) | - | non | non | non | Sous-arbre où chercher les groupes d'un utilisateur (vide : le DN de base des utilisateurs). |
Classe d'objet des groupes (group_object_class) | string | (vide) | ^([A-Za-z][A-Za-z0-9-]{0,63})?$ | non | non | non | Classe d'objet des groupes (vide : groupOfNames, ou group pour Active Directory). |
Attribut des membres (group_member_attribute) | string | member | ^[A-Za-z][A-Za-z0-9-]{0,63}$ | non | non | non | Attribut d'un groupe qui liste ses membres : leur DN (member, uniqueMember), ou leur identifiant pour memberUid. |
Groupes imbriqués (nested_groups) | bool | false | - | non | non | non | Donner aussi les groupes qui contiennent les groupes de l'utilisateur. |
Rôles des groupes (role_groups) | json | {"platform_admin": "navin-platform-admins", "tenant_admin": "navin-tenant-admins", "security_officer": "navin-security-officers", "finops": "navin-finops", "developer": "navin-developers", "auditor": "navin-auditors"} | - | non | non | non | Rôle de la plateforme donné aux membres de chaque groupe de l'annuaire (rôle : nom du groupe) ; chaque utilisateur a aussi le rôle viewer. |
Attribut de l'organisation (tenant_attribute) | string | (vide) | ^([A-Za-z][A-Za-z0-9-]{0,63})?$ | non | non | non | Attribut de l'annuaire portant l'identifiant (slug) de l'organisation de l'utilisateur, donné dans la réclamation tenant. |
Organisation par défaut (default_tenant) | string | (vide) | ^([a-z0-9][a-z0-9-]{0,62})?$ | non | non | non | Organisation (slug) des utilisateurs dont l'attribut d'organisation est vide (vide : aucune). |
Attribut d'habilitation (clearance_attribute) | string | (vide) | ^([A-Za-z][A-Za-z0-9-]{0,63})?$ | non | non | non | Attribut de l'annuaire portant le niveau de classification de l'utilisateur (public, internal, confidential, restricted ou secret), donné dans la réclamation clearance (vide : internal pour tous). |
Clients
| Paramètre | Type | Défaut | Valeurs permises | Obligatoire | Secret | Redémarrage | Description |
|---|
URL du portail (portal_url) | url | https://{{ host.fqdn }}:3000 | - | non | non | non | Adresse du portail de Navin Enterprise : son /auth/callback est la seule URI de redirection du client portal. |
Client du portail (portal_client_id) | string | portal | ^[A-Za-z0-9._-]{1,64}$ | non | non | non | Identifiant du client du portail (portal_client_id de Navin Enterprise). |
Audience du Control Plane (audience) | string | control-plane | ^[A-Za-z0-9._-]{1,64}$ | non | non | non | Audience ajoutée aux jetons d'accès du portail (oidc_audience de Navin Enterprise). |
Autres clients (extra_clients) | json | [] | - | non | oui | non | Autres clients OpenID Connect, par exemple le BFF d'un agent sectoriel : une liste de {"client_id", "redirect_uris", "secret", "audiences", "post_logout_redirect_uris"} ; un client sans secret est public. Chaque client utilise PKCE S256. |
Sécurité
| Paramètre | Type | Défaut | Valeurs permises | Obligatoire | Secret | Redémarrage | Description |
|---|
TOTP obligatoire (mfa_required) | bool | true | - | non | non | non | Chaque utilisateur enregistre une application TOTP à la première connexion, puis donne un code à chaque connexion. |
Durée de la session (s) (session_timeout_s) | int | 36000 | min 900, max 86400 | non | non | non | Durée de vie maximale d'une session SSO, en secondes. |
Inactivité maximale (s) (idle_timeout_s) | int | 1800 | min 300, max 28800 | non | non | non | Une session SSO sans activité pendant ce nombre de secondes prend fin. |
Durée des jetons (s) (access_token_ttl_s) | int | 300 | min 60, max 3600 | non | non | non | Durée de vie des jetons d'accès et d'identité, en secondes. |
Clé de signature des jetons (signing_key) | password | généré | - | non | oui | oui | Clé privée RSA de 3072 bits qui signe les jetons (RS256) ; sa clé publique est publiée sur /oauth2/jwks. |
Identifiant de la clé (signing_key_id) | string | généré | - | non | non | oui | Identifiant (kid) de la clé de signature dans les jetons et le JWKS. |
Niveau de journalisation (log_level) | enum | notice | error, warn, notice, info, debug | non | non | non | Niveau des journaux du portail (journal du service). |
Dépendances
Pour chaque dépendance active, le Manager prend la première solution parmi : la liaison choisie dans l'assistant ; un service de la même installation qui la fournit ; un service déjà installé dans le cluster ; la seule connexion du type attendu. Sinon, une dépendance facultative reste non liée, et une dépendance obligatoire est ajoutée à l'installation dans son mode par défaut (la colonne ci-dessous nomme le service du catalogue ajouté).
| Liaison | Fournie par | Type de connexion | Point d'accès | Facultative | Quand rien n'est lié | Description |
|---|
database | postgresql | postgresql | sql | non | postgresql est ajouté à l'installation | Sessions du portail (SSO, persistantes avec les secrets TOTP, OpenID Connect), partagées par tous les nœuds du portail. |
directory | - | ldap | - | non | l'installation est refusée (dependency_not_installable) | Annuaire des utilisateurs et de leurs groupes (LDAP ou Active Directory), déclaré comme connexion LDAP du Manager. |
Points d'accès
| Point d'accès | Schéma | Composant | Port | Chemin | Paramètre TLS | Paramètres de liaison | Secrets de liaison | Commande de provisionnement |
|---|
http | http | portal | 8543 (port) | - | tls_enabled | issuer, jwks_url, client_id | - | - |
Fichiers de configuration client
Fichiers rendus pour le téléchargement de la configuration client :
lemonldap-ng.env (client.env.j2)
Contrôles de santé
Vivacité (par instance)
| Composant | Contrôle | Détails |
|---|
portal | HTTP {{ 'https' if config.tls_enabled else 'http' }}://{{ host.fqdn }}:{{ config.port }}/.well-known/openid-configuration | Attendu 200 ; 60 tentatives ; intervalle 2 s ; délai 5 s |
Disponibilité (contrôle du service)
| Contrôle | Détails |
|---|
HTTP {{ config.public_url.rstrip('/') }}/.well-known/openid-configuration | Attendu 200 ; 10 tentatives ; intervalle 3 s ; délai 5 s |
Contrôles préalables
| Contrôle | Type | Signification | Sévérité | Composants |
|---|
memory | memory_mb {"min": 1024} | au moins 1024 Mo de mémoire | bloquant | tous les composants |
port_free | port_free {"param": "port"} | port 8543 libre sur l'hôte | bloquant | tous les composants |
Désinstallation
Chemins supprimés quand les données sont purgées : {{ paths.data }}, {{ paths.log }}.
Liens rapides
- Page de connexion :
{{ config.public_url.rstrip('/') }}/
- Découverte OIDC :
{{ config.public_url.rstrip('/') }}/.well-known/openid-configuration
Documentation amont