Authentification SAML¶

Intégration de Guacamole avec un fournisseur d'identité SAML 2.0 (Azure AD, Okta, Keycloak, etc.) pour une authentification centralisee.

Concepts SAML¶

SAML 2.0 est un protocole de fédération d'identité basé sur des assertions XML signees. Guacamole joue le rôle de Service Provider (SP) et delègue l'authentification a un Identity Provider (IdP).

sequenceDiagram
    actor Utilisateur
    participant Guacamole as Guacamole (SP)
    participant IdP

    Utilisateur->>Guacamole: Acces a l'application
    Guacamole->>Utilisateur: Redirect vers IdP (AuthnRequest)
    Utilisateur->>IdP: Authentification (login/MFA)
    IdP->>Utilisateur: Assertion SAML signee (redirect)
    Utilisateur->>Guacamole: POST assertion (ACS URL)
    Guacamole->>Guacamole: Verification signature + extraction attributs
    Guacamole->>Utilisateur: Session ouverte

Terminologie¶

Configuration guacamole.properties¶

Editez /etc/guacamole/guacamole.properties sur la VM (ou mettez à jour le template Ansible pour le prochain build) :

# SAML Identity Provider
saml-idp-metadata-url: https://login.microsoftonline.com/TENANT_ID/federationmetadata/2007-06/federationmetadata.xml
saml-idp-url: https://login.microsoftonline.com/TENANT_ID/saml2

# Service Provider
saml-entity-id: https://guacamole.exemple.com/guacamole
saml-callback-url: https://guacamole.exemple.com/guacamole

# Attribut de groupe (optionnel)
saml-group-attribute: groups

Après modification, redemarrez Tomcat :

sudo systemctl restart tomcat9

Informations a fournir à l'IdP¶

L'administrateur de l'IdP a besoin de ces informations pour créer l'application SAML :

Le Name ID transmis par l'IdP devient le nom d'utilisateur dans Guacamole.

Fallback admin local¶

Si l'IdP est indisponible ou mal configuré, l'accès à l'interface de login local est possible via :

https://guacamole.exemple.com/guacamole/#/?login=local

Cette URL contourne SAML et affiche le formulaire de login standard. Utile pour l'administration en cas de problème avec l'IdP.

Auto-création des comptes¶

Lorsqu'un utilisateur s'authentifie via SAML pour la première fois, Guacamole peut créer automatiquement son compte dans PostgreSQL :

postgresql-auto-create-accounts: true

Ce parametre est déjà present dans le template Ansible du chapitre précédent. Le compte est créé sans connexions assignees : l'administrateur doit ensuite lui attribuer des accès.

Tests SAML¶

Étape 1 : vérifier la metadata SP¶

Guacamole expose sa propre metadata a :

https://guacamole.exemple.com/guacamole/api/ext/saml/metadata

Verifiez que l'EntityID et l'ACS URL correspondent à ce que vous avez configuré.

Étape 2 : tester le flux¶

1. Ouvrez https://guacamole.exemple.com/guacamole/ dans un navigateur prive
2. Vous devez être redirige vers la page de login de l'IdP
3. Authentifiez-vous avec un compte IdP valide
4. Vous devez être redirige vers Guacamole avec une session ouverte

Étape 3 : vérifier les logs¶

sudo journalctl -u tomcat9 -f | grep -i saml

Les erreurs courantes sont des problèmes de signature (certificat IdP obsolète) ou d'URL de callback incorrecte.