Unité Autorisation & RBAC + leçon renouvellement (PKI) + navigation (15 unités)
Daniel Allaire
parent
dcfea61848
commit
672be0ed70
3 changed files with 109 additions and 2 deletions
81
Autorisation-et-RBAC.md
Normal file
81
Autorisation-et-RBAC.md
Normal file
|
|
@ -0,0 +1,81 @@
|
|||
# Autorisation & RBAC
|
||||
|
||||
> **Unité d'apprentissage.** Moule : ① concept → ② Set-OPS → ③ transférable → ④ à toi de jouer.
|
||||
> Le pendant naturel de **[Identité & SSO](Identité-et-SSO)** : celle-là dit *qui tu es*, celle-ci dit *ce que tu as le droit de faire*.
|
||||
|
||||
---
|
||||
|
||||
## ① Le concept *(générique)*
|
||||
|
||||
**Authentification (authN)** : *qui es-tu ?* — **Autorisation (authZ)** : *as-tu le droit ?* Deux
|
||||
questions distinctes. Se connecter ne dit **rien** sur ce qu'on peut faire.
|
||||
|
||||
**RBAC** (*Role-Based Access Control*) : on n'attribue pas des droits à chaque personne, mais des
|
||||
**rôles** (Viewer, Editor, Admin…), et chaque rôle porte un ensemble de **permissions**. La personne
|
||||
reçoit un rôle → hérite des droits. Simple, auditable, évolutif.
|
||||
|
||||
**Où décider ?** Deux écoles :
|
||||
- *local à l'app* : chaque service gère ses propres comptes/rôles (silos, à maintenir partout) ;
|
||||
- *centralisé (piloté par le SSO/annuaire)* : le rôle voyage **dans le jeton** ; l'app le lit et
|
||||
l'applique. Une seule source, cohérente partout. **Moindre privilège** par défaut.
|
||||
|
||||
Mécanique OIDC : le fournisseur d'identité met un **claim** (ex. `roles`) dans le jeton ; l'app
|
||||
**mappe** ce claim vers son niveau de droit interne.
|
||||
|
||||
---
|
||||
|
||||
## ② Comment Set-OPS le fait — l'exemple Grafana
|
||||
|
||||
Par défaut, un utilisateur SSO arrive en **Viewer** dans Grafana → il voit les tableaux de bord,
|
||||
mais **pas Explore** (requêtes ad-hoc). Pour donner Explore aux opérateurs, sans l'ouvrir à tous :
|
||||
|
||||
```
|
||||
Keycloak : rôle de realm 'grafana-editor' ──(assigné à testmail)
|
||||
+ mapper de rôles ──> claim "roles":["grafana-editor"] dans le jeton
|
||||
Grafana : role_attribute_path ──> "grafana-editor" ⇒ Editor (⇒ Explore)
|
||||
"grafana-admin" ⇒ Admin ; sinon Viewer
|
||||
```
|
||||
|
||||
Déclaratif dans Set-OPS : `serveur_keycloak_realm_roles`, `_role_mapper_clients`,
|
||||
`_role_assignments` (côté IdP) + `serveur_grafana_oidc_role_path` (côté app). kcadm **à chaud** :
|
||||
**zéro coupure SSO**. Une identité (`testmail`), et c'est **le rôle** — pas la connexion — qui décide
|
||||
d'Explore.
|
||||
|
||||
> **Raffinement souverain** : ici le rôle est assigné *explicitement* à testmail. L'idéal est de le
|
||||
> piloter par un **groupe d'annuaire** (LDAP → Keycloak → claim), pour que *l'appartenance* gouverne
|
||||
> l'autorisation. C'est le vrai « l'annuaire gouverne l'accès ».
|
||||
|
||||
---
|
||||
|
||||
## ③ Pourquoi c'est transférable
|
||||
|
||||
| Set-OPS | Équivalents ailleurs |
|
||||
|---|---|
|
||||
| rôles de realm Keycloak → claim | claims/scopes OIDC de tout IdP (Okta, Entra…) |
|
||||
| `role_attribute_path` Grafana | *role mapping* de n'importe quelle app OIDC |
|
||||
| RBAC (rôles → permissions) | **Kubernetes RBAC** · IAM cloud (AWS/GCP) · SGBD (rôles SQL) |
|
||||
| moindre privilège | principe **universel** de sécurité |
|
||||
|
||||
Tu as appris **authZ vs authN, le RBAC, l'autorisation par claim, le moindre privilège** — pas
|
||||
« Grafana ».
|
||||
|
||||
---
|
||||
|
||||
## ④ À toi de jouer
|
||||
|
||||
1. **Sens le défaut.** Avant tout rôle, un nouvel utilisateur SSO est **Viewer** dans Grafana : il
|
||||
voit le dashboard *Journaux de la flotte*, mais **pas** l'icône Explore.
|
||||
2. **Donne Editor.** `testmail` a le rôle `grafana-editor` → **déconnecte/reconnecte-le** (Grafana
|
||||
applique le rôle *à la connexion*) → **Explore apparaît**.
|
||||
3. **Observe le claim.** Dans Keycloak (console admin) → Clients → grafana → *Client scopes* →
|
||||
*Evaluate* pour `testmail` : le jeton contient `"roles": ["grafana-editor"]`. C'est ② en vrai.
|
||||
4. **Casse & répare.** Retire `grafana-editor` de testmail (ou renomme-le en `grafana-viewer`),
|
||||
reconnecte : **Explore disparaît**. Remets-le : il revient. Tu *sens* que c'est **le rôle**, pas
|
||||
l'identité, qui ouvre la porte.
|
||||
|
||||
---
|
||||
|
||||
## Pour aller plus loin *(dépôt)*
|
||||
- IdP : `roles/serveur_keycloak/tasks/rbac-oidc.yml` (rôles + mapper + assignations).
|
||||
- App : `roles/serveur_grafana` (`serveur_grafana_oidc_role_path`).
|
||||
- Le pendant *authentification* : unité **[Identité & SSO](Identité-et-SSO)**.
|
||||
|
|
@ -78,7 +78,32 @@ Encrypt, Vault, une AC d'entreprise : le schéma est **identique**.
|
|||
|
||||
---
|
||||
|
||||
## ⑤ Le renouvellement : un système à part entière *(leçon d'exploitation vécue)*
|
||||
|
||||
Un certificat **expire**. Les certs internes de Set-OPS (step-ca) sont **courts** (~24 h) — c'est
|
||||
plus sûr (une clé volée ne vaut pas longtemps), mais ça **exige un renouvellement automatique**
|
||||
fiable. Et attention à un piège vécu en vrai :
|
||||
|
||||
> **Renouveler le fichier ne suffit pas — il faut recharger le consommateur.** Un service (nginx,
|
||||
> postfix, dovecot, slapd) charge son cert **en mémoire au démarrage**. Si le renouvellement
|
||||
> réécrit le fichier mais **ne recharge pas** le service, celui-ci sert l'**ancien cert périmé**
|
||||
> alors que le fichier sur disque est frais. Symptôme trompeur : `openssl x509 -in fichier` dit
|
||||
> « valide », mais le service sert un cert **expiré**.
|
||||
|
||||
Diagnostic-réflexe : **comparer le cert servi au cert fichier**.
|
||||
```bash
|
||||
echo | openssl s_client -connect EDGE:443 -servername keycloak.lab… 2>/dev/null | openssl x509 -noout -enddate # SERVI
|
||||
openssl x509 -in /etc/step/certs/EDGE.crt -noout -enddate # FICHIER
|
||||
```
|
||||
Dans Set-OPS, `client_pki_reload_services` (par nœud) fait recharger les **vrais** consommateurs
|
||||
après chaque renouvellement — edge→nginx, mail→postfix/dovecot, annuaire→slapd. Fix d'urgence si
|
||||
ça arrive : `systemctl reload nginx` sur l'edge.
|
||||
|
||||
**Casse & répare** : sur l'edge, arrête le timer `cert-renewer@…`, laisse le cert expirer (ou
|
||||
force une horloge), observe le login SSO casser (échec TLS de l'échange OIDC), puis recharge nginx
|
||||
→ tout revient. Tu *sens* que la PKI ne vit que si le renouvellement **et** le rechargement tournent.
|
||||
|
||||
## Pour aller plus loin *(dépôt)*
|
||||
- Rôles : `roles/serveur_step_ca`, `roles/client_pki`.
|
||||
- Rôles : `roles/serveur_step_ca`, `roles/client_pki` (`client_pki_reload_services`).
|
||||
- Le motif « pont de certificat » (renouvellement automatique) : voir les tâches `*-cert-sync` des rôles (Dovecot, Postfix, nginx…).
|
||||
- Tier 0 des sauvegardes (`/etc/step-ca`) : unité **Sauvegardes**.
|
||||
|
|
|
|||
|
|
@ -5,6 +5,7 @@
|
|||
|
||||
*Fondations*
|
||||
- [Identité & SSO](Identité-et-SSO)
|
||||
- [Autorisation & RBAC](Autorisation-et-RBAC)
|
||||
- [PKI & confiance](PKI-et-confiance)
|
||||
- [DNS & résolution de noms](DNS-et-résolution)
|
||||
|
||||
|
|
@ -28,7 +29,7 @@
|
|||
- [Liaisons (bindings)](Liaisons-bindings)
|
||||
|
||||
**Opérations**
|
||||
- Runbooks *(à venir)*
|
||||
- Runbooks → dépôt `docs/runbooks-exploitation.md`
|
||||
|
||||
**Repères**
|
||||
- Glossaire *(à venir)*
|
||||
|
|
|
|||
Loading…
Reference in a new issue