Gitlab : configurer le SSO avec ADFS

Romain

il y a 1 an

Dans ce tutoriel, je vais vous expliquer comment configurer le SSO sur Gitlab avec un serveur ADFS en utilisant SAML.

Pour rappel, ADFS est un fournisseur d’authentification lié à l’Active Directory, celui-ci permet de mettre en place une authentification unique (SSO) pour l’ensemble des applications configurer dans les services ADFS.

Ce qui permet au utilisateur d’avoir besoin de s’authentifier une seule fois sur la première application et ensuite ils n’auront plus besoin de fournir leurs identifiants pour les autres logiciels qui s’appuie sur ADFS

Configuration de Gitlab pour l'utilisation de SAML
Configuration de l'approbation de partie de confiance dans ADFS
Se connecter à Gitlab avec ADFS

Configuration de Gitlab pour l’utilisation de SAML

Le but ici est de lié Gitlab à ADFS pour avoir une authentification unique, pour ce tutoriel, j’ai utilisé Gitlab en conteneur avec Docker et j’ai donc déclaré ma configuration ADFS dans mon fichier docker-compose.yml.

Voici mon fichier docker-compose.yml

Les lignes concernant la configuration d’ADFS vont de la ligne 24 à 39.

Quelques explications :

Activation de l’authentification unique SAML :

gitlab_rails['omniauth_allow_single_sign_on'] = ['saml']

On empêche la création de nouveau utilisateur :

gitlab_rails['omniauth_block_auto_created_users'] = true

Ici c’est un choix personnel, si vous souhaitez qu’à la première connexion un compte soit créé passer la valeur à false.

Dans le cas où il n’y a pas de création de compte automatique, il faut avant provisionner le compte de l’utilisateur dans Gitlab et indiquer la même adresse e-mail que dans l’Active Directory pour la liaison.

Permet la liaison avec les utilisateurs dans la base de local de Gitlab :

gitlab_rails['omniauth_auto_link_saml_user'] = true

Ensuite on rentre dans le bloc de configuration pour la liaison avec le serveur ADFS :

gitlab_rails['omniauth_providers'] = [{...}]

name : permert de nommer le fournisseur
label: texte qui sera sur le bouton de connexion avec ADFS
assertion_consumer_service_url : point de terminaison du serveur Gitlab, il doit être en HTTPS, adapter le domaine à votre installation en laissant /users/auth/saml/callback.
idp_cert_fingerprint : l’empreinte du certificat ADFS pour la signature de jetons, elle se trouve dans la console ADFS dans Service / Certificats. On peut l’avoir en affichant le certificat et dans l’onglet Détails
idp_sso_target_url : url du service d’authentification ADFS, changer seulement le domaine dans le fichier d’exemple.
issuer : l’url de votre Gitlab, elle va permettre à ADFS d’authentifier d’où vient la demande pour envoyer les bonnes revendications.
name_identifier_format : identifiant unique qui va permettre d’authentifier l’utilisateur.

Une fois la configuration effectuée, il faut redémarrer le conteneur avec : sudo docker-compose up -d.

Si vous êtes dans un autre environnement Gitlab, vous trouvez les équivalents ici.

Configuration de l’approbation de partie de confiance dans ADFS

Pour ce facilité la configuration, on va télécharger un fichier XML pour la configuration, celui ci est disponible sur votre gitlab à l’url suivante (modifier le domaine correspondant à votre environnement) :

https://gitlab.rdr-it.com/users/auth/saml/metadata

Coller le fichier XML sur le serveur.

Dans la console ADFS, aller dans Approbations de partie de confiance 1 et cliquer sur Ajouter une approbation de partie de confiance 2.

Sélectionner Prise en charge des revendications 1 et cliquer sur Démarrer 2.

Choisir Importer les données concernant la partie de confiance à partir d’un fichier 1, aller sélectionner le fichier XML 2 et cliquer sur Suivant 3.

Nommer 1 la partie de confiance et cliquer sur Suivant 2.

Configurer la stratégie d’accès 1 (pour ma part je laisse tout le monde vu que je dois provisionner les comptes) puis cliquer sur Suivant 2.

Un récapitulatif de la configuration est disponible, cliquer sur Suivant 1.

La relation d’approbation est ajoutée, cliquer sur Fermer 1.

Normalement, une autre fenetre s’ouvre pour configurer les revendications, cliquer sur Ajouter une règle 1.

Choisir le modèle : Envoyer les attributs LDAP en tant que revendications 1 et cliquer sur Suivant 2.

Configurer la règle comme sur la capture, ci-dessous, en indiquant le nom de la règle 1, le magasin d’attributs 2, le mappage 3 et cliquer sur Terminer 4 pour ajouter la règle.

On a utilisé deux fois l’adresse email comme revendication, une fois en tant Name ID, comment identifiant unique et l’adresse email qui est nécessaire pour la liaison dans Gitlab.

La règle est ajoutée, cliquer sur Appliquer 1 et OK 2.