eGroupWare et CAS (Single Sign On)

junfan 2008-07-10 06:23:07 UTC #21

Merci beaucoup,

Très gentil de vous intéresser au problème
J’espère bien m’en sortir avec ces informations que j’ignorais.
D’après vos explications, cela veut-il dire que ca devrait fonctionner
en mode user ? Quoi qu’il en soit d’après ce que vous dites, j’ai besoin
du mode proxy pour Felamimail, je vais donc faire une demande de
certificats auprès de mes rssi…

Merci encore !

Christophe

coai a écrit :

Bonjour
le proxy ticket ne peut s’obtenir qu’en mode proxy.
Je conseillerais la liste :
http://listes.esup-portail.org/sympa/arc/phpcas-users
pour régler les problèmes de phpcas et de CAS.
Je sais simplement qu’il faut des vrais certificats pour CAS et le serveur
egroupware, si l’on veut fonctionner en mode proxy;
le mode proxy signifie que egroupware transmet l’authentification à
l’application tiers syrius imap, ce qui est nécessaire pour faire
fonctionner felamimail sans avoir à enregistrer le mot de passe dans la
config felamimail de chaque utilisateur.

Cordialement

coai

junfan wrote:

Bonjour,

Ca fonctionne un peu mieux maintenant je m’étais trompé avec un ancien
login.php O:-)

J’ai encore un petit problème…

En mode phpCAS::user j’ai dans les logs d’erreurs ceci :
66F4 .=> CASClient::retrievePT(‘imap://imap.univ-lille2.fr’, NULL, NULL)
[CAS.php:1179]
66F4 .| =>
CASClient::readURL(‘https://*.univ-lille2.fr:443//proxy?targetService=imap%3A%2F%2Fimap.univ-lille2.fr&pgt
=’, ‘’, NULL, NULL, ‘’) [client.php:1667]
66F4 .| <= true
66F4 .<= false

Le proxy ticket n’est pas transmit (retrievePT est à “false”)… pourquoi
?

Si j’utilise phpCAS::proxy, l’erreur est différente :
CASClient::authError(‘Ticket validated but no PGT Iou transmitted’,

Dans les deux cas je suis bien authentifé sur le serveur CAS, car je
peux ensuite accéder à d’autres applications CASsifier de l’intranet
sans me ré-authentifier

Qu’ai-je donc oublié ?

Christophe

ovillemain a écrit :

Bonjour,

Cela pourrait venir du fait qu’à l’installation de phpCAS, 2 règles de
validation sont actives par défaut :

login = mot de passe

mot de passe non renseigné
Sinon, je n’ai pas testé sans configurer, et phpCAS avait été installé
par
un de nos administrateurs réseaux. Aujourd’hui chez nous avec le code
proposé, une saisie d’une combinaison login/mot de passe non valide ne
permet pas d’entrer dans eGroupware.

–
Christophe Duhamel
Institut du Management et de la Distribution
Technicien Informatique
6, rue de l’hôtel de ville
B.P. 59 59051 Roubaix cedex 01 - France
Tél. : +33 (0)3 20 73 08 05
Fax : +33 (0)3 20 73 95 01
imd.univ-lille2.fr

Check out the new SourceForge.net Marketplace.
It’s the best place to buy or sell services for
just about anything Open Source.
http://sourceforge.net/services/buy/index.php

egroupware-french mailing list
egroupware-french@lists.sourceforge.net
https://lists.sourceforge.net/lists/listinfo/egroupware-french

–
Christophe Duhamel
Institut du Management et de la Distribution
Technicien Informatique
6, rue de l’hôtel de ville
B.P. 59 59051 Roubaix cedex 01 - France
Tél. : +33 (0)3 20 73 08 05
Fax : +33 (0)3 20 73 95 01
imd.univ-lille2.fr

Sponsored by: SourceForge.net Community Choice Awards: VOTE NOW!
Studies have shown that voting for your favorite open source project,
along with a healthy diet, reduces your potential for chronic lameness
and boredom. Vote Now at http://www.sourceforge.net/community/cca08

egroupware-french mailing list
egroupware-french@lists.sourceforge.net
https://lists.sourceforge.net/lists/listinfo/egroupware-french

coraim 2008-07-10 07:36:02 UTC #22

La connection CAS mode client pour egroupware fonctionne, elle a été développée par Olivier Villemain. Dans ce cas vous ne pouvez pas transmettre l’authentification au serveur de mail, cela oblige donc à entrer utilisateur par utilisateur le user/password imap dans “gérer mes comptes mail”. C’est contraignant quand on a des milliers de comptes (chez nous on veut que les comptes se créent en automatique et que cela fonctionne immédiatement), et puis si l’on stocke le mot de passe en base de données on perd d’une certaine façon le bénéfice de CAS qui est un système d’authentification centralisé très sécurisé, où le mot de passe n’est connu que de CAS. En plus c’est plus facile quand l’utilisateur change de mot de passe…
Mais il y a un avantage à tester avec le mode Client car c’est beaucoup plus simple niveau certificats, si on débute en serveur CAS.
Par rapport à votre problème de restriction d’accès à egroupware, vous pouvez aussi le gérer dans la conf du serveur http.(restriction par ip, ou accès restreint à une liste des login et module apache mod_cas).
Cordialement,

junfan:

Merci beaucoup,

Très gentil de vous intéresser au problème
J’espère bien m’en sortir avec ces informations que j’ignorais.
D’après vos explications, cela veut-il dire que ca devrait fonctionner
en mode user ? Quoi qu’il en soit d’après ce que vous dites, j’ai besoin
du mode proxy pour Felamimail, je vais donc faire une demande de
certificats auprès de mes rssi…

Merci encore !

Christophe

coai a écrit :

Bonjour
le proxy ticket ne peut s’obtenir qu’en mode proxy.
Je conseillerais la liste :
http://listes.esup-portail.org/sympa/arc/phpcas-users
pour régler les problèmes de phpcas et de CAS.
Je sais simplement qu’il faut des vrais certificats pour CAS et le serveur
egroupware, si l’on veut fonctionner en mode proxy;
le mode proxy signifie que egroupware transmet l’authentification à
l’application tiers syrius imap, ce qui est nécessaire pour faire
fonctionner felamimail sans avoir à enregistrer le mot de passe dans la
config felamimail de chaque utilisateur.

Cordialement

coai

junfan wrote:

Bonjour,

Ca fonctionne un peu mieux maintenant je m’étais trompé avec un ancien
login.php O:-)

J’ai encore un petit problème…

En mode phpCAS::user j’ai dans les logs d’erreurs ceci :
66F4 .=> CASClient::retrievePT(‘imap://imap.univ-lille2.fr’, NULL, NULL)
[CAS.php:1179]
66F4 .| =>
CASClient::readURL(‘https://*.univ-lille2.fr:443//proxy?targetService=imap%3A%2F%2Fimap.univ-lille2.fr&pgt
=’, ‘’, NULL, NULL, ‘’) [client.php:1667]
66F4 .| <= true
66F4 .<= false

Le proxy ticket n’est pas transmit (retrievePT est à “false”)… pourquoi
?

Si j’utilise phpCAS::proxy, l’erreur est différente :
CASClient::authError(‘Ticket validated but no PGT Iou transmitted’,

Dans les deux cas je suis bien authentifé sur le serveur CAS, car je
peux ensuite accéder à d’autres applications CASsifier de l’intranet
sans me ré-authentifier

Qu’ai-je donc oublié ?

Christophe

ovillemain a écrit :

Bonjour,

Cela pourrait venir du fait qu’à l’installation de phpCAS, 2 règles de
validation sont actives par défaut :

login = mot de passe

mot de passe non renseigné
Sinon, je n’ai pas testé sans configurer, et phpCAS avait été installé
par
un de nos administrateurs réseaux. Aujourd’hui chez nous avec le code
proposé, une saisie d’une combinaison login/mot de passe non valide ne
permet pas d’entrer dans eGroupware.

–
Christophe Duhamel
Institut du Management et de la Distribution
Technicien Informatique
6, rue de l’hôtel de ville
B.P. 59 59051 Roubaix cedex 01 - France
Tél. : +33 (0)3 20 73 08 05
Fax : +33 (0)3 20 73 95 01
imd.univ-lille2.fr

Check out the new SourceForge.net Marketplace.
It’s the best place to buy or sell services for
just about anything Open Source.
http://sourceforge.net/services/buy/index.php

egroupware-french mailing list
egroupware-french@lists.sourceforge.net
https://lists.sourceforge.net/lists/listinfo/egroupware-french

–
Christophe Duhamel
Institut du Management et de la Distribution
Technicien Informatique
6, rue de l’hôtel de ville
B.P. 59 59051 Roubaix cedex 01 - France
Tél. : +33 (0)3 20 73 08 05
Fax : +33 (0)3 20 73 95 01
imd.univ-lille2.fr

Sponsored by: SourceForge.net Community Choice Awards: VOTE NOW!
Studies have shown that voting for your favorite open source project,
along with a healthy diet, reduces your potential for chronic lameness
and boredom. Vote Now at http://www.sourceforge.net/community/cca08

egroupware-french mailing list
egroupware-french@lists.sourceforge.net
https://lists.sourceforge.net/lists/listinfo/egroupware-french

junfan 2008-07-10 07:50:18 UTC #23

Merci beaucoup pour ces informations très intéressantes !

Bien cordialement

Christophe

coai a écrit :

La connection CAS mode client pour egroupware fonctionne, elle a été
développée par Olivier Villemain. Dans ce cas vous ne pouvez pas transmettre
l’authentification au serveur de mail, cela oblige donc à entrer utilisateur
par utilisateur le user/password imap dans “gérer mes comptes mail”. C’est
contraignant quand on a des milliers de comptes (chez nous on veut que les
comptes se créent en automatique et que cela fonctionne immédiatement), et
puis si l’on stocke le mot de passe en base de données on perd d’une
certaine façon le bénéfice de CAS qui est un système d’authentification
centralisé très sécurisé, où le mot de passe n’est connu que de CAS. En plus
c’est plus facile quand l’utilisateur change de mot de passe…
Mais il y a un avantage à tester avec le mode Client car c’est beaucoup plus
simple niveau certificats, si on débute en serveur CAS.
Par rapport à votre problème de restriction d’accès à egroupware, vous
pouvez aussi le gérer dans la conf du serveur http.(restriction par ip, ou
accès restreint à une liste des login et module apache mod_cas).
Cordialement,

junfan wrote:

Merci beaucoup,

Très gentil de vous intéresser au problème
J’espère bien m’en sortir avec ces informations que j’ignorais.
D’après vos explications, cela veut-il dire que ca devrait fonctionner
en mode user ? Quoi qu’il en soit d’après ce que vous dites, j’ai besoin
du mode proxy pour Felamimail, je vais donc faire une demande de
certificats auprès de mes rssi…

Merci encore !

Christophe

coai a écrit :

Bonjour
le proxy ticket ne peut s’obtenir qu’en mode proxy.
Je conseillerais la liste :
http://listes.esup-portail.org/sympa/arc/phpcas-users
pour régler les problèmes de phpcas et de CAS.
Je sais simplement qu’il faut des vrais certificats pour CAS et le
serveur
egroupware, si l’on veut fonctionner en mode proxy;
le mode proxy signifie que egroupware transmet l’authentification à
l’application tiers syrius imap, ce qui est nécessaire pour faire
fonctionner felamimail sans avoir à enregistrer le mot de passe dans la
config felamimail de chaque utilisateur.

Cordialement

coai

junfan wrote:

Bonjour,

Ca fonctionne un peu mieux maintenant je m’étais trompé avec un ancien
login.php O:-)

J’ai encore un petit problème…

En mode phpCAS::user j’ai dans les logs d’erreurs ceci :
66F4 .=> CASClient::retrievePT(‘imap://imap.univ-lille2.fr’, NULL, NULL)
[CAS.php:1179]
66F4 .| =>
CASClient::readURL(‘https://*.univ-lille2.fr:443//proxy?targetService=imap%3A%2F%2Fimap.univ-lille2.fr&pgt
=’, ‘’, NULL, NULL, ‘’) [client.php:1667]
66F4 .| <= true
66F4 .<= false

Le proxy ticket n’est pas transmit (retrievePT est à “false”)…
pourquoi
?

Si j’utilise phpCAS::proxy, l’erreur est différente :
CASClient::authError(‘Ticket validated but no PGT Iou transmitted’,

Dans les deux cas je suis bien authentifé sur le serveur CAS, car je
peux ensuite accéder à d’autres applications CASsifier de l’intranet
sans me ré-authentifier

Qu’ai-je donc oublié ?

Christophe

ovillemain a écrit :

Bonjour,

Cela pourrait venir du fait qu’à l’installation de phpCAS, 2 règles de
validation sont actives par défaut :

login = mot de passe

mot de passe non renseigné
Sinon, je n’ai pas testé sans configurer, et phpCAS avait été installé
par
un de nos administrateurs réseaux. Aujourd’hui chez nous avec le code
proposé, une saisie d’une combinaison login/mot de passe non valide ne
permet pas d’entrer dans eGroupware.

–
Christophe Duhamel
Institut du Management et de la Distribution
Technicien Informatique
6, rue de l’hôtel de ville
B.P. 59 59051 Roubaix cedex 01 - France
Tél. : +33 (0)3 20 73 08 05
Fax : +33 (0)3 20 73 95 01
imd.univ-lille2.fr

Check out the new SourceForge.net Marketplace.
It’s the best place to buy or sell services for
just about anything Open Source.
http://sourceforge.net/services/buy/index.php

egroupware-french mailing list
egroupware-french@lists.sourceforge.net
https://lists.sourceforge.net/lists/listinfo/egroupware-french

–
Christophe Duhamel
Institut du Management et de la Distribution
Technicien Informatique
6, rue de l’hôtel de ville
B.P. 59 59051 Roubaix cedex 01 - France
Tél. : +33 (0)3 20 73 08 05
Fax : +33 (0)3 20 73 95 01
imd.univ-lille2.fr

Sponsored by: SourceForge.net Community Choice Awards: VOTE NOW!
Studies have shown that voting for your favorite open source project,
along with a healthy diet, reduces your potential for chronic lameness
and boredom. Vote Now at http://www.sourceforge.net/community/cca08

egroupware-french mailing list
egroupware-french@lists.sourceforge.net
https://lists.sourceforge.net/lists/listinfo/egroupware-french

egroupware-french mailing list
egroupware-french@lists.sourceforge.net
https://lists.sourceforge.net/lists/listinfo/egroupware-french

thecanea 2010-04-21 13:59:35 UTC #24

Bonjour, désolé de relancer le thread si longtemps après,
mais je serai intéressé par avoir plus d’informations sur la
façon de restreindre l’accès à egroupware à une liste de login
donnée.

Serait-il possible d’avoir des exemples d’implémentation, ou des liens
vers des sujets en parlant plus en détails ?

Merci par avance,

Cordialement,

thecanea

thecanea 2010-04-21 14:46:07 UTC #25

Bonjour, désolé de relancer également ce post.

Je rencontre le problème indiqué par “ovillemain”.

J’ai bien la boucle infinie pour un user qui s’authentifie via CAS, mais qui n’a pas de compte en tant que tel sur egroupware. A la limite, ça ne dérange pas trop.

Cependant le souci, c’est que ça m’engendre le meme problème par la suite pour des users qui eux ont un compte egroupware…

C’est à dire que j’ouvre mon navigateur. Je me connecte à mon egroupware avec un compte valide (via CAS), tout marche. Je me déconnecte, je reviens sur egroupware, et je me connecte avec un compte valide pour CAS, mais ne disposant pas de compte egroupware. Là j’obtiens une boucle infinie… Je me déconnecte, je retente de me connecter avec mon compte initial, et là j’ai du coup une boucle infinie… Assez génant…

Auriez vous des idées ?

De même, je souhaite implémenter du côté d’egroupware une vérification du login pour essayer de supprimer cette boucle infinie : quelque chose du genre :

si login non connu dans egroupware, je renvoi vers une page sans redirection du style : no-account.php

Comment faire, est-ce que l’un d’entre vous a déjà essayé ?

Merci par avance pour toute piste et idée, car c’est assez obscur pour moi…

Cordialement,

thecanea