Authentification unique
Un seul compte ouvre toutes les applications. Les groupes décident qui peut ouvrir quoi, et la vérification se fait en amont de chaque application par une barrière : les applications sans connexion propre sont donc protégées elles aussi. Le personnel ne voit que les applications qu’il peut ouvrir; les administrateurs voient tout.
Fonctionnement
Section intitulée « Fonctionnement »- Keycloak tient un seul domaine d’authentification et constitue l’unique page de connexion, à
auth.yourdomain.com. L’inscription est désactivée, l’adresse courriel sert de nom d’utilisateur, les courriels en double et les modifications du nom d’utilisateur sont refusés, et la protection contre la force brute est active. - Groupes.
adminest ajouté à la liste d’autorisation de chaque application protégée.staffcontient les départements comme sous-groupes.clientest le groupe par défaut des nouveaux comptes.visitorest une étiquette signifiant public et n’apparaît jamais dans un jeton de connexion. La vérification d’administrateur du panneau est le groupeadmin. - Barrière par application. Chaque application protégée, et chaque outil d’administration (la page d’état, le moniteur de tâches, les graphiques de ressources), a son propre mandataire de connexion avec ses propres groupes autorisés et son propre témoin de session, limité à cette adresse. Un témoin vu par une application ou un outil n’en ouvre aucun autre. Une personne saisit tout de même son mot de passe une seule fois : chaque nouvelle application ou nouvel outil renvoie le navigateur vers Keycloak, qui reconnaît la session ouverte. Une application sans accès déclaré est refusée à tous sauf aux administrateurs.
- Applications du catalogue. Outline, Rocket.Chat, EspoCRM, Zammad, Immich et Element proposent Sign in with Keycloak sans aucune étape : dans les minutes qui suivent le premier déploiement, Catena crée l’entrée de connexion propre à l’application dans Keycloak et l’application redémarre une fois avec elle. Nextcloud reçoit son entrée de la même façon, et Catena enregistre Keycloak dans l’application sans aucune étape à effectuer. Le webmail de l’application de serveur de courriel est configuré avec l’application. Windshift reçoit son entrée de connexion de la même façon, et son administrateur ajoute le fournisseur une fois dans l’écran d’administration de Windshift. DocuSeal, Plane, Twenty, Portainer et Arcane n’ont pas d’authentification unique dans leurs éditions gratuites et gardent leur propre connexion; seuls les administrateurs atteignent les adresses de Portainer et d’Arcane. La page de modèle de chaque application liste ses étapes. Qui peut se connecter par le bouton propre à l’application suit les groupes de l’application : les administrateurs seulement, le personnel et les administrateurs, ou tous les comptes quand le groupe
clientest autorisé. - Applications hors catalogue. Pour une application qui veut une connexion OIDC native, vous posez les étiquettes
vps.auth.oidcdans son fichier compose : Catena crée alors l’entrée de connexion propre à l’application dans Keycloak et place son identifiant, son secret et son émetteur dans l’environnement de l’application (voir Connexion avec les comptes Catena). Sur la tuile de l’application, vous voyez si cette connexion est prête, en attente ou en échec; le personnel voit un badge OIDC. - Deuxième facteur. Paramètres > Exigences de connexion bascule entre Mot de passe seulement et Mot de passe et application d’authentification. Le défaut est le mot de passe seulement, et le changement s’applique aux comptes existants à leur prochaine connexion, ainsi qu’aux autres administrateurs de la console propre à Keycloak. Un avis sur chaque page d’administration le recommande jusqu’à ce que vous l’activiez ou fermiez l’avis.
- Console propre à Keycloak. L’administrateur de
auth.yourdomain.com/adminconfigure un code à usage unique à sa première connexion et le saisit ensuite à chaque fois; des mots de passe erronés répétés verrouillent le compte jusqu’à 15 minutes. Un domaine de sécuritévpsque vous désactivez reste désactivé après les mises à jour. Voir Connexion et personnes. - Courriel. La réinitialisation de mot de passe et les invitations exigent Paramètres > Courriel sortant (Resend, Brevo ou un serveur SMTP personnalisé). Sans courriel sortant, le courriel de réinitialisation est désactivé.
- Connexion au panneau. Vous vous connectez au panneau avec le courriel administrateur local et le mot de passe affiché une seule fois à l’installation, en plus de la barrière.
Personnes et piste d’audit
Section intitulée « Personnes et piste d’audit »Le panneau Personnes gère les comptes et les groupes depuis le panneau d’administration : créer, renommer et supprimer des groupes, y ajouter des personnes, désactiver des comptes. Avant qu’un groupe soit renommé ou supprimé, le panneau liste chaque application qui cesserait d’admettre des gens, et qui détient ce groupe; la confirmation correspond à l’impact affiché. Chaque action administrative est écrite dans un journal signé à chaîne de hachage sur le serveur; le panneau Journal d’audit l’affiche, l’exporte et le vérifie.
Ce qu’ajoute chaque édition
Section intitulée « Ce qu’ajoute chaque édition »L’authentification unique, les groupes et l’écriture de la piste d’audit sont dans Communauté. Catena Pro ajoute le panneau Personnes et plusieurs domaines, chacun avec sa propre connexion. Catena Business ajoute le panneau Journal d’audit. Voir la comparaison des éditions.
- Les utilisateurs et les groupes sont vos données : une mise à jour de la configuration du serveur ne les réimporte jamais.
- Renommer un groupe dans Keycloak sans le panneau Personnes ne donne aucun aperçu de l’impact.
- La connexion au panneau est le compte administrateur local, pas un utilisateur Keycloak.