palais des congrès Paris
7, 8 et 9 février 2012
La fédération d'identité : une nécessité pour le Cloud
Philippe BERAUDConsultant ArchitecteDirection Technique et SécuritéMicrosoft France
Jean-Yves GRASSETConsultant ArchitecteDirection Technique et SécuritéMicrosoft France
Code Session : SEC2204
Analyser différents scénarios d’extension de votre Système d’Information vers le Cloud Comprendre que l’adoption de services Cloud rend indispensable la fédération d’identitéMettre en évidence que l’identité ne se réduit pas à la notion d’utilisateur et intègre la notion de contexte Illustrer l’usage de la fédération avec des scénarios concrets
Objectifs de la session
Cf. The NIST Definition of Cloud Computing
Quelques définitions pour le Cloud
Services Cloud : 3ième priorité technologique des DSI pour 2012
Sous toutes les formes (IaaS, PaaS, SaaS) Enquête annuelle du Gartner intitulée "Amplifying the
Enterprise: The 2012 CIO Agenda"
80 % des entreprises françaises vont démarrer en 2012 un projet Cloud selon KPMG
1/3 des projets sur des domaines Cœur de métier 49 % souhaitent investir dans le SaaS, 35 % le IaaS, 31 % le
PaaS
Vers une informatique fédérée
PaaS
IaaS
Cloud public
…PaaS
IaaS
Cloud publicVers l’informatique fédérée
Google App Engine
amazonweb servicessalesforce
…
PaaS
SaaS
IaaS
Cloud privé
SaaS
Cloud publicEntreprise
SI fédéré (multi-sources)
Le développement du Cloud est en marche pour transformer de manière durable et profonde l’informatique
Vers l’informatique fédérée
Modèles de déploiement et opérateurs
multiples
Modèles de mise en œuvre multiples
Modèles de canaux multiples
Cloud privéCloud communautaireCloud publicAuto-hébergé SaaS PaaS IaaS Centre de données
conventionnel
Direct pour le SI Revente par le biais
de fournisseur de services
Système d’information (SI)
Freins et modérateurs
Meilleur des solutions courantes
Solutions les plus innovantes
Sécurité et vie privée Conformité et tendances
en termes de politiques Charge d’administration Facilité d’utilisation,
d’exploitation Gain ou perte pour
l’intégration
ROI Réduction des coûts Agilité, évolutivité et élasticité « Emancipation » des « Business Units » Périphériques mobiles et Consumérisation
de l’IT
Pilotes du changement
L’économie du Cloud crée l’informatique fédérée Le Cloud est ce que les fournisseurs informatiques vendent… …Une informatique fédérée est ce que les entreprises mettent en
place
L’identité joue un rôle central pour la mise en place de cette informatique fédérée
Avec une expérience transparente pour l’utilisateur Avec de multiples implications d’intégration en termes
d’authentification, de contrôle d’accès, de protection de l’information
Transmission sécurisée de crédentités (credentials), provisioning d’utilisateurs, expression et application de politiques, etc.
Vers l’informatique fédérée
Tendances pour les Clouds privés Capitalisation sur les services d’annuaires de l’entreprise
Tendances au niveau des fournisseurs Cloud Les fournisseurs exposent leur service sous forme d’API
Ces API sont conçues pour accepter des jetons plutôt que des mots de passe
Les standards de fédération sont largement exploités pour le SaaS, et à un niveau moindre pour le PaaS
Fédération d’identité et contrôle d‘accès Besoin éventuel de synchronisation de comptes (à
travers des environnements hétérogènes)
Vers l’informatique fédérée
PaaS
IaaS
Cloud public
…PaaS
IaaS
Cloud publicImpacts sur l’identité
SaaS
Cloud public
Fournisseur d’identité
PaaS
SaaS
IaaS
Cloud privé
Fédération d’identité
Entreprise
DEMO
Accéder à un service SaaS (Office 365)
Utilisation croissante des applications d’entreprise par les partenaires et les clients de l’entreprise (collaboration étendue) : B2B et/ou B2CS’applique également au Cloud !L’identité concerne les personnes ET les organisations
Impose de consommer des identités de multiples organisations
Suppose de prendre en charge l’identité choisie "Bring Your Own Identity" (BYOI)
Entreprise, Web/réseau social, Etat
Impacts sur l’identité
Impacts sur l’identité
SI fédéré (multi-
sources)Fournisseur d’identité /
Fournisseur de ressource
Cloud privé
PaaS
SaaS
IaaS
Cloud(s) public(s)
PaaS
SaaS
IaaS
PaaS
IaaS
Entreprise
Entreprise partenaire
Fournisseur d’identité
B2B via la fédération
B2B via la fédération
B2C via le Cloud
Facebook, Google,
Windows Live, etc.
L’identité Devient un ensemble de revendications (claims) qui sont
consommées au sein de l’informatique fédérée Pour l’authentification (unique), la délégation
d’identité et le contrôle d’accès, (voire le peuplement) Condition pour l’utilisateur final d’une expérience
transparente Expérience d’authentification unique étendue
(BYOI/BYOD), collaboration facilité avec les partenaires commerciaux, identité transparente entre différents types d’appareils
Est véhiculée sous forme d’un jeton selon un protocole
Evolutions résultantes
2 rôles canoniques Fournisseur de revendications (Claims
Provider) Prend en charge des protocoles et
des formats de jetons standards pour délivrer les revendications
Partie consommatrice (Relying Party) Requiert et consomme des
revendications pour matérialiser l’identité en entrée
Suppose une relation entre les deux rôles
Contexte dans lequel la confiance est établie et les revendications définies
Identité fondée sur les revendications
Fournisseur de revendications (Service de jetons de sécurité)
Partie consommatrice
Entité Relation de
confiance
2. Obtient des revendications
1. Requiert des revendications
3. Transmet des revendications
Suppose la prise en charge des standards ouverts Au niveau format de jetons et protocolaires
Formats de jeton SAML, OpenID, Simple Web Tokens (SWT), JSON Web
Tokens (JWT), etc. Protocoles
SAML-P 2.0, WS-Federation, WS-Trust, OAuth(2), Simple Web Discovery (SWD), OpenID (Connect), etc.
Pour l’intégration et l’interopérabilité en fonction des capacités des fournisseurs Clouds, des ressources mises en œuvre et invoquées
Identité fondée sur les revendications
Application Web
Accès transparent via l’identité d’entreprise Utilisation des comptes et des groupes AD
Identité fondée sur les revendications
AD FS 2.0AD DS Relation via
échange de métadonnées
Cloud public (PaaS)
DEMO
Accéder à une application dans le Cloud public
3 modèles d’interface avec les fournisseurs de revendications1. Modèle de forme libre (Free-form
Model) ou point à point Chaque partie consommatrice
est configurée directement pour interagir avec différents fournisseurs de revendications
Modèles d’architecture
3 modèles d’interface avec les fournisseurs de revendications2. Structure en étoile (Hub-and-Spoke)
Centralisation de la gestion des fournisseurs de revendications pour l’interaction avec les parties consommatrices
Chaque partie consommatrice délègue au concentrateur (hub) cette gestion
Le concentrateur est son unique fournisseur de revendication
Modèle à la base des passerelles de fédération
Modèles d’architecture
3 modèles d’interface avec les fournisseurs de revendications3. Modèle hybride
Selon les parties consommatrices, les fournisseurs Cloud, etc.
Utilisation de courtiers de revendications (Claims brokers) pour l’abstraction de divers (niveaux de) fournisseurs de revendications
Adaptation protocolaire, transformation de revendications, transformations de formats de jetons
Modèles d’architecture
Application Web
Invoquer depuis l’application un service RESTful Accès via un jeton d’autorisation obtenu à partir de l’identité
d’entreprise
Quelques illustrations…
AD FS 2.0AD DS
Service RESTful
Cloud public (PaaS)
ACS
amazonweb services
Cloud public (IaaS)
DEMO
Invoquer depuis l’application un service RESTful
amazonweb services
Application Web
Ouvrir l’application à des partenaires Utilisation d’ACS comme passerelle de fédération
Quelques illustrations…
AD FS 2.0AD DS
Service RESTful
Cloud public (PaaS)
ACS
amazonweb services
Cloud public (IaaS)
Fournisseur de
revendications
DEMO
Ouvrir l’application à des partenaires
amazonweb services
Application Web
Ouvrir l’accès aux clients Utilisation d’ACS comme passerelle de fédération
Quelques illustrations…
AD FS 2.0AD DS
Service RESTful
Cloud public (PaaS)
ACS
amazonweb services
Cloud public (IaaS)
Fournisseur de
revendications
Google Accounts
DEMO
Ouvrir l’accès aux clients
amazonweb services
Nouveau périmètre de sécurité : la ressource et le contexte d’accès à la ressourceL’identité n’est donc PAS uniquement une référence pour l’authentification
Besoin de collecter plus d’information
L’identité s’applique EGALEMENT aux appareils Avec la consumérisation de l’IT et le "Bring Your Own Device"
(BYOD) Cf. session SEC2209 demain à 13h00
Besoin d’identifier l’appareil, de connaître son état de santé, son statut, sa localisation, etc.
Besoin d’augmenter la force d’authentification Cf. session SEC211 aujourd’hui tout de suite après !
Autres impacts sur l’identité
Nouveau périmètre de sécurité : la ressource et le contexte d’accès à la ressourceL’identité s’applique EGALEMENT au code
Besoin d’identifier son contexte d’exécution Besoin de connaître son origine, sa nature, son niveau de
privilège, etc. Besoin de prendre en compte un graphe d’appel
Ex. Application Cloud composite invoquant des services Cloud s’exécutant depuis le même fournisseur Cloud, d’autres fournisseurs Cloud, sur site
Autres impacts sur l’identité
Investir dans la fédération d’identité et les revendicationsConduire des activités de preuves de concepts / d’évaluationCommencer à se connecter aux services CloudTirer parti des revendications pour les nouvelles applications métier pour le Cloud hybride
En guise de conclusion
Des ressources Windows Azure gratuites
Testez Windows Azure gratuitement pendant 90 jours
http://aka.ms/tester-azure-90j
Abonnés MSDN, vous bénéficiez de Windows Azure
http://aka.ms/activer-azure-msdn
AD FS 2.0 http://www.microsoft.com/adfs Carte du contenu AD FS 2.0
http://social.technet.microsoft.com/wiki/contents/articles/2735.aspx
Windows Azure Access Control Services (ACS) http://msdn.com/acs Carte du contenu ACS
http://social.technet.microsoft.com/wiki/contents/articles/1546.aspx
Windows Identity Foundation (WIF) http://www.microsoft.com/adfs Carte du contenu WIF
http://social.technet.microsoft.com/wiki/contents/articles/1546.aspx
Pour aller au-delà
Sessions Microsoft TechDays 2011 http://www.microsoft.com/france/mstechdays/showcase/default.aspx Session ARC203 "Architecture des applications et des services fondés
sur la fédération d'identité et les revendications : une introduction" Session SEC2306 "Utiliser Active Directory Federation Services 2.0
pour une authentification unique interopérable entre organisations et dans le Cloud"
Identity Developer Training http://bit.ly/cWyWZ2
A Guide to Claims-based Identity And Access Control 2nd Edition
http://bit.ly/uHsywx
Pour aller au-delà
Portail Microsoft France Interopérabilité http://www.microsoft.com/france/interop/ Portail US
http://www.microsoft.com/interop/
Portail Microsoft Spécifications Ouvertes http://www.microsoft.com/openspecifications
Portail Port 25 http://port25.technet.com/
Portail "Interop Vendor Alliance" http://interopvendoralliance.com/
Portail "Interoperability Bridges and Labs Center" http://www.interoperabilitybridges.com/
Weblog Interoperability@Microsoft http://blogs.msdn.com/b/interoperability/
Plus d’informations
Groupe "Forum des architectures applicatives Microsoft"
http://bit.ly/archiappms
Plus d’informations
Ce forum regroupe des architectes en informatique qui ont des choix de technologies à faire dans les projets pour lesquels ils travaillent. L’architecte applicatif, en situation de projet, travaille typiquement aux côtés de la direction de projet pour choisir et assumer des choix techniques en fonction des contraintes du projet (fonctionnalités, délais, ressources). Pour effectuer ces choix à bon escient, il doit connaître ce que le marché offre en termes de technologies. Cela peut prend typiquement deux formes : veille technologique continue, recherches dans le cadre du projet.
L’architecte applicatif a aussi pour rôle de faire le lien entre les équipes de développement et les équipes d’infrastructure et d’exploitation de la future application. Il doit également veiller à ce que ses choix soient bien mis en œuvre pendant le développement. Ce forum, à l’initiative de Microsoft France, a pour but d’aider les architectes applicatifs • A faciliter la connaissance de l’offre de Microsoft pour les projets en entreprise (envoi de liens vers des
présentations, documents, webcasts, conférences, etc.), mais également • A échanger sur des problématique d’architecture ayant un rapport, même partiel, avec la plateforme Microsoft
(est-ce que AD FS 2.0 fonctionne dans un environnement SAML-P 2.0, comment se passe la réversibilité d’une application développée pour le Cloud, quelles sont les implications d’un déploiement sur une ferme Web, etc.).
Cet espace est le vôtre, faites le vivre, nous sommes aussi et surtout là pour vous lire.
Microsoft France39, quai du président Roosevelt
92130 Issy-Les-Moulineaux
www.microsoft.com/france