Ce site est optimisé pour être consulté depuis un navigateur moderne dans lequel JavaScript est activé.

Boucle de redirection lors d'un login CAS

IUTMULHOUSE

Bonjour,

Nous avons acheté la version premium, et nous souhaitons mettre en place l'authentification CAS.

Nous avons suivi les instructions de votre documentation.
Le serveur est sur une base Debian 12 bookworm avec PHP 8.2

Ci dessous les fichier de configuration utilisés

Config apache

<VirtualHost *:80>
   # Redirection HTTPS
    RewriteEngine On
    RewriteRule ^(.*)$ https://%{HTTP_HOST}$1 [R=301,L]
</VirtualHost>

<VirtualHost *:443>
   # Activation HTTP/2
   Protocols h2 http/1.1
   # Indication SNI
   ServerName nom.de.domaine.fr


# Réglages SSL
 SSLEngine on
# Certificats
 SSLCertificateFile     /certs/certpem
 SSLCertificateKeyFile   /certs/certificate.key
# SSLCertificateChainFile /certs/certificat.crt


</VirtualHost>

# Bloc configuration application
  DocumentRoot /var/www/robert2
   <Directory /var/www/robert2>
        Options ExecCGI FollowSymlinks
        AllowOverride All
        Require all granted
   </Directory>

# Emplacements des logs
  ErrorLog ${APACHE_LOG_DIR}/error.log
  CustomLog ${APACHE_LOG_DIR}/access.log combined


# Configuration protocoles
SSLProtocol             all -SSLv3 -TLSv1 -TLSv1.1
SSLCipherSuite          ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SH>
SSLHonorCipherOrder     off
SSLSessionTickets       off

Configuration Robert 2

{
    "apiUrl": "https://url.iut.fr",
    "enableCORS": false,
    "displayErrorDetails": true,
    "useRouterCache": true,
    "useHTTPS": true,
    "sessionExpireHours": 12,
    "JWTSecret": "secret",
    "httpAuthHeader": "Authorization",
    "defaultLang": "fr",
    "currency": {
        "symbol": "€",
        "name": "Euro",
        "iso": "EUR",
        "symbol_intl": "€",
        "decimal_digits": 2,
        "rounding": 0
    },
    "billingMode": "none",
    "degressiveRateFunction": "daysCount",
    "maxItemsPerPage": 100,
    "handScanner": {
        "scanTimeout": 100,
        "inputLayout": "azerty"
    },
    "email": {
        "from": "",
        "driver": "mail",
        "smtp": {
            "host": "localhost",
            "port": 1025,
            "username": null,
            "password": null,
            "security": ""
        },
        "mailjet": {
            "apiKey": null,
            "apiSecretKey": null
        }
    },
    "notifications": {
        "overdue": {
            "enabled": false,
            "days": [
                1,
                15,
                22,
                27,
                30
            ],
            "lookBackMaxMonths": 2
        },
        "preparers": {
            "enabled": false,
            "daysBefore": 1
        }
    },
    "db": {
        "host": "localhost",
        "username": "robert",
        "password": "DBPASS",
        "database": "robert_db",
        "prefix": ""
    },
    "companyData": {
        "country": "France",
        "email": "user@iut.fr",
        "legalNumbers": [
            {
                "name": "SIRET",
                "value": ""
            },
            {
                "name": "APE",
                "value": ""
            }
        ],
        "locality": "secret",
        "logo": "LOGO.png",
        "name": "IUT",
        "phone": "+331234657",
        "street": "adresse",
        "vatNumber": "",
        "vatRate": 0,
        "zipCode": "68200"
    },

    "auth": {
        "cookie": "auth",
        "CAS": {
            "enabled": true,
            "host": "cas.iut.fr",
            "uri": "/cas",
            "port": 443,
            "cert": "/var/www/robert2/src/App/Config/cas.pem",
            "attributes": {
                "pseudo": "givenName",
                "email": ["mail", "email"],
                "firstName": "first_name",
                "lastName": "last_name",
                "group": "group"
            },
            "defaultGroup": "member"
        }
    }
}

Que faut il faire, nous n'avons pas de log d'erreur ou quoi ce soit pour trouver la cause ....

Merci

Cordialement,

Polo

Bonjour IUTMULHOUSE

Que se passe-t-il exactement comme problème ? Pouvez-vous nous décrire la procédure pour reproduire le bug, svp ?
La boucle de redirection intervient à quel moment ?
Aussi, est-ce que ça le fait avec plusieurs utilisateurs, ou juste un seul ?

Autre chose : dans votre configuration CAS vous pouvez ajouter la correspondance des groupes CAS avec les rôles de Loxya (Robert2), ainsi que la liste des groupes qui serviront à créer des bénéficiaires. Par exemple :

{
   ...
    "groupsMapping": {
        "Etudiant": "visitor",
        "Professeur": "member",
        "Administrateur": "admin",
        "IT": "admin"
    },
    "beneficiaryGroups": ["Etudiant"]
}

Car là, vous utilisez un groupe par défaut ("defaultGroup"), donc tous vos utilisateurs seront créés au niveau d'accès "membre", ce qui n'est pas idéal. Note : le problème de redirection ne vient sûrement pas de là, mais au moins votre configuration sera complète.

Merci d'avance pour vos précisions !

IUTMULHOUSE

Bonjour,

La boucle intervient après authentification avec le CAS

à savoir que l'utilisateur qui se connecte n'existe pas dans la base.
Lien direct du GIF qui peut être agrandie : https://postimg.cc/sBv0Hv9H

Donovan

Bonjour,

Il semble que l'application n'arrive pas à vérifier l'état de connexion de l'utilisateur (la validité du ticket renvoyé par le serveur CAS) et redirige donc l'utilisateur vers le serveur CAS, et ainsi de suite.

Dans un premier temps, il faudrait essayer de supprimer les données de site lié à votre instance de Loxya pour voir si cela change quelque chose (cookies, stockage local). Il faut aussi vérifier que l'écriture des cookies n'a pas été interdite, sans quoi cela ne fonctionnera pas. Dans le même temps il faudrait activer le debugging dans votre configuration Loxya pour que la connexion CAS produise des logs pour que l'on puisse tracer le souci, ceci peut-être fait en ajoutant:

"logger": {
    "level": "debug"
}

Une fois fait, des nouveaux fichiers de log seront générés lors de la connexion CAS, ceux-ci se trouveront au niveau du chemin suivant : src/var/logs/auth-cas-[DATE].log. (Note Importante: Attention à bien supprimer les données potentiellement sensibles (généralement liées aux attributs renvoyés par le serveur CAS) avant de coller le contenu du fichier ici)

Quoi qu'il en soit, il est possible qu'il faille prévoir une petite session de support, avec partage d'écran par exemple, pour que l'on puisse débloquer la situation. En fonction des retours aux vérifications ci-dessus, si vous n'arrivez pas à trouver la source du problème, je vous invite à prendre rendez-vous via le calendrier sur la page de contact du site que l'on puisse voir ça ensemble.

Je reste à votre entière disposition si vous avez besoin de quoique ce soit.

IUTMULHOUSE

Bonjour,

le problème se produit pour toute authentification CAS quel que soit l'utilisateur.

Sans avoir activé le debugging il y'a effectivement des logs dans /src/var/logs/auth-cas j'ai effectivement pas vu ou étaient les logs dans l'application ( je regardais que les logs d'apache et de php .... )

voici ce qui en retourne sans debug

[2023-10-09T09:40:21.712938+02:00] Auth CAS.ERROR: An error ocurred while creating a CAS user: Retrieved user data for "prenom.nom@uha.fr" was incomplete / invalid.
Provided data: {
  "credentialType": "UsernamePasswordCredential",
  "clientIpAddress": "client_ip",
  "isFromNewLogin": "false",
  "authenticationDate": "2023-10-09T06:31:20.738409Z",
  "authenticationMethod": "LdapAuthenticationHandler",
  "successfulAuthenticationHandlers": "LdapAuthenticationHandler",
  "serverIpAddress": "cas_ip",
  "userAgent": "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/117.0.0.0 Safari/537.36",
  "longTermAuthenticationRequestTokenUsed": "false",
  "cn": "Nom Prenom"
}

Ci dessous avec debug

à savoir notre service CAS ne retourne comme attribut que le CN ( nom prenom) et le mail. peut être qu'il n'y a pas assez d'information pour l'application pour créer un utilisateur ?

Donovan

Bonjour,

En effet, il y a un souci avec les attributs passés à Loxya / Robert2.

Dans la configuration que vous avez donné dans le premier message, on avait:

"attributes": {
    "pseudo": "givenName",
    "email": ["mail", "email"],
    "firstName": "first_name",
    "lastName": "last_name",
    "group": "group"
},

Or, malheureusement ça ne correspond pas du tout à ce qui est retourné par le serveur CAS.

Il faut corriger les points suivants :

L'e-mail est passé en identifiant CAS et non en attribut, il faudrait aussi le passer en attribut
et paramétrer la clé de configuration email ci-dessus en conséquence.
Un pseudo doit être passé explicitement dans un attribut (une chaîne de caractères sans espaces, avec ou sans tirets / underscore).
À défaut le système utilise l'identifiant CAS passé mais dans votre cas celui-ci n'est pas utilisable car c'est une adresse e-mail.
Les noms et prénoms doivent être passés dans des attributs séparés.
(firstName / lastName dans la configuration plus haut)
Le groupe ne semble pas spécifié dans les attributs non plus, en l'état ce n'est pas un souci mais il faut être conscient qu'avec cette configuration, toute personne qui se connecte sera assignée au groupe "Membre" (comme spcécifié par la configuration defaultGroup). Si cela vous convient il n'y a rien à faire pour ce point.

Si vous constatez que vous avez besoin d'aide, n'hésitez pas à prendre RDV pour les points bloquants comme proposé plus haut.

Vous avez besoin d'une aide personnalisée de la part de l'un des développeurs du logiciel, pour son installation ou son paramétrage ?

Prenez rendez-vous directement sur la page calendly.com/loxya/support-installation.
Nous vous aiderons avec plaisir !