LibreBrigade est un outil permettant de gérer l'activité une organisation de secours. A ce jour, l'éditeur original du logiciel eBrigade, à partir de la version 5.3.2, a décidé de basculer dans un modèle SaaS.
Ce modèle est par nature incompatible avec le modèle des ADRASEC:
- Sur le volet financier, une petite association s'expose à un risque significatif, lié à l'évolution des prix de la solution.
- Sur le volet technique, une ADRASEC a intérêt à auto-héberger son infrastructure, notamment pour assurer un hébergement biface (Hamnet et Internet) qui garantit une disponibilité locale en cas de crise.
En attendant une reprise plus active du développement, une réduction de la surface publiquement accessible est préférable, la présence de failles exploitables par un acteur non authentifié étant non connue.
Pour ce faire, l'objectif du présent document est de pouvoir intégrer libreBrigade au fournisseur d'identité Authelia.
Authelia, en tant que fournisseur d'identité OpenID Connect / OAuth 2.0 permet également de basculer dans un modèle d'authentification unique pour les autres applications du SI de l'association.
Le vhost de libreBrigade est configuré de telle manière que seules les requêtes pour lesquelles une authentification SSO a été établie sont acceptées. En réciprocité, libreBrigade récupère du serveur web, le nom d'utilisateur au travers d'une variable d'environnement.
- (P1) Synchronisation initiale: etablir un fichier YAML pour Authelia des utilisateurs à partir de la base de libreBrigade
- Fournir une interface interne, pour mettre à jour certains attributs dans ce fichier YAML depuis libreBrigade
- (P1) Mise à jour d'un mot de passe
- (P1) Création d'un nouveau compte
- (P1) Mise à jour des attributs non critiques (nom, adresse e-mail)
- (P2) Activation ou désactivation d'un compte.
- (P3) Synchronisation du rôle pour permettre le RBAC pour d'autres applis sans double saisie.
- (P1) Ajouter une série de hooks dans libreBrigade pour interagir en transparence avec l'interface suscitée
- (P1) Permettre à libreBrigade de réutiliser le jeton SSO pour authentifier l'utilisateur.